ヘッダーをスキップ
Oracle® Fusion Middleware Oracle Identity and Access Managementエンタープライズ・デプロイメント・ガイド
11gリリース2 (11.1.2.2.0)
B71694-10
  目次へ移動
目次
前
前 		 次
次		  

10 デプロイ後構成の実行

この章では、デプロイ後に実行する必要のあるタスクについて説明します。

次の項で構成されます。

10.1 デプロイ後のOPSSの手順

このリリースのIdentity and Access Managementでは、最適化されたOPSSが使用可能です。この最適化されたOPSSを使用するには、OPSSスキーマをアップグレードする必要があります。デプロイメント・ツールではこれは行われないため、プロビジョニングの最後にパッチ・セット・アシスタントを使用してこの手順を手動で実行する必要があります。

EDGIADおよびEDGIGDのOPSSスキーマをアップグレードする手順:

  1. IAD_MW_HOME/oracle_common/binの場所からpsaコマンドを実行してパッチ・セット・アシスタントを起動します。例:

    ./psa

  2. 「ようこそ」画面で「次へ」をクリックします。

  3. 「コンポーネントの選択」画面で、「Oracle Platform Security Services」のみを選択し、「次へ」をクリックします。

  4. 「前提条件」画面で、データベース・バックアップがあるかどうか、そのデータベースのバージョンは保証されているかどうかを指定します。

    「次へ」をクリックします。

  5. 「スキーマ」ページで次のように入力します。

    • スキーマ・ユーザー名: 例: EDGIAD_OPSS

    • パスワード: RCUを実行した際に提供したパスワード。

    • データベース・タイプ: Oracle Database

    • 接続文字列: IDMDB-SCANOAM :DB_LSNR_PORT/OAM_DB_SERVICENAME(例: IAMDB-SCAN.mycompany.com:1521/oamedg.mycompany.com)

    • DBAユーザー名: sys as sysdba

    • DBAパスワード: PASSWORD

    「接続」をクリックします。

    「次へ」をクリックします。

  6. 「調査」ページに「成功」が表示されていることを確認し、「次へ」をクリックします。

  7. 「アップグレード・サマリー」ページで、情報が正しいことを確認し、「アップグレード」をクリックします。

  8. アップグレードが完了したら、「次へ」をクリックします。

  9. 「アップグレード成功」ページで「閉じる」をクリックします。

  10. 次の場所にあるログ・ファイルを確認してスキーマのアップグレードが成功したことを確認します。

    IAD_MW_HOME/oracle_common/upgrade/logs/psa/psatimestamp.log

  11. ドメインを再起動します。

  12. OPSSスキーマをアップグレードしたら、次のコマンドを実行します。

    SELECT VERSION, STATUS, UPGRADED FROM SCHEMA_VERSION_REGISTRY WHERE OWNER='<RCU_Prefix>_OPSS';

    バージョンは11.1.1.7.2で、「アップグレード」フラグは「はい」になります。

10.2 デプロイ後のOracle Unified Directoryの手順

Oracle Unified Directoryで次の手順を実行します。

10.2.1 Oracle Unified Directory変更ログ・アクセスの更新

Oracle Unified DirectoryおよびOracle Identity Managerを使用している場合、すべてのOUDホスト(LDAPHOST1およびLDAPHOST2)で次の手順を実行して、変更ログへのアクセス権を付与します。

変更ログへのアクセス権を付与する手順:

  1. レプリケーションしたOUDホストのいずれかで次のコマンドを発行して、既存の変更ログの権限を削除します。

    OUD_ORACLE_INSTANCE/bin/dsconfig set-access-control-handler-prop \
--remove global-aci:"(target=\"ldap:///cn=changelog\")(targetattr=\"*\")(version 3.0; acl \"External changelog access\"; deny (all) userdn=\"ldap:///anyone\";)" \
        --hostname OUD_HOST \
        --port OUD_ADMIN_PORT \
        --trustAll \
        --bindDN cn=oudadmin \
        --bindPasswordFile passwordfile \
        --no-prompt

    例:

    OUD_ORACLE_INSTANCE/bin/dsconfig set-access-control-handler-prop \
--remove global-aci:"(target=\"ldap:///cn=changelog\")(targetattr=\"*\")(version 3.0; acl \"External changelog access\"; deny (all) userdn=\"ldap:///anyone\";)" \
        --hostname LDAPHOST1.mycompany.com \
        --port 4444 \
        --trustAll  \
        --bindDN cn=oudadmin \
        --bindPasswordFile mypasswordfile \
        --no-prompt

  2. 次の新しいACIを追加します。

    OUD_ORACLE_INSTANCE/bin/dsconfig set-access-control-handler-prop \
--add global-aci:"(target=\"ldap:///cn=changelog\")(targetattr=\"*\")(version 3.0; acl \"External changelog access\"; allow (read,search,compare,add,write,delete,export) groupdn=\"ldap:///cn=OIMAdministrators,cn=groups,dc=mycompany,dc=com\";)" \
        --hostname OUD_HOST \
        --port OUD_ADMIN_PORT \
        --trustAll \
        --bindDN cn=oudadmin \
        --bindPasswordFile passwordfile \
        --no-prompt

    例:

    OUD_ORACLE_INSTANCE/bin/dsconfig set-access-control-handler-prop \
--add global-aci:"(target=\"ldap:///cn=changelog\")(targetattr=\"*\")(version 3.0; acl \"External changelog access\"; allow (read,search,compare,add,write,delete,export) groupdn=\"ldap:///cn=OIMAdministrators,cn=groups,dc=mycompany,dc=com\";)" \
        --hostname LDAPHOST1.mycompany.com \
        --port 4444 \
        --trustAll \
        --bindDN cn=oudadmin \
        --bindPasswordFile mypasswordfile \
        --no-prompt

10.2.2 LDAP同期化のためのOracle Unified Directory ACIの更新

次に、LDAP同期が有効な場合のOracle Unified Directory操作の失敗時の回避策を説明します。

LDAP同期が有効にされている環境では、Oracle Unified Directoryに対する特定の操作が、Oracle Unified Directoryログにおける次のエラーで失敗となります。

The request control with Object Identifier (OID) "1.2.840.113556.1.4.319" cannot be used due to insufficient access rights

この問題を回避するには、Oracle Unified Directoryの両方のインスタンスの構成ファイルを編集する必要があります。

  1. Oracle Unified Directoryの構成ファイルOUD_ORACLE_INSTANCE/OUD/config/config.ldifにおいて、次のように制御1.2.840.113556.1.4.319のACIをldap://allからldap://anyoneに変更します。

    変更前:

    ds-cfg-global-aci: (targetcontrol="1.3.6.1.1.12 || 1.3.6.1.1.13.1 || 1.3.6.1.1.13.2 || 1.2.840.113556.1.4.319 || 1.2.826.0.1.3344810.2.3 || 2.16.840.1.113730.3.4.18 || 2.16.840.1.113730.3.4.9 || 1.2.840.113556.1.4.473 || 1.3.6.1.4.1.42.2.27.9.5.9") (version 3.0; acl "Authenticated users control access"; allow(read) userdn="ldap:///all";)

    変更後:

    ds-cfg-global-aci: (targetcontrol="2.16.840.1.113730.3.4.2 || 2.16.840.1.113730.3.4.17 || 2.16.840.1.113730.3.4.19 || 1.3.6.1.4.1.4203.1.10.2 || 1.3.6.1.4.1.42.2.27.8.5.1 || 2.16.840.1.113730.3.4.16 || 2.16.840.1.113894.1.8.31 || 1.2.840.113556.1.4.319") (version 3.0; acl "Anonymous control access"; allow(read) userdn="ldap:///anyone";)

  2. 第15.1項「コンポーネントの起動と停止」の説明に従って、Oracle Unified Directoryサーバーを再起動します。

10.3 デプロイ後のOracle Identity Managerの手順

次のデプロイ後の手順を実行します。

10.3.1 既知の問題に対処するためのデプロイメント後の手順

既知の問題により、ノード・マネージャSSLは完全に構成されていません。回避策は、各ドメインのデプロイメントの管理サーバーおよび管理対象サーバーごとに、次の手順を実行します。

  1. 15.2項「Identity ManagementコンソールのURLについて」に記載されているURLを使用して、ドメインのWebLogicコンソールにログインします。

  2. 「ロックして編集」をクリックします。

  3. 「環境」→「サーバー」に移動します。

  4. サーバー名(例: wls_oam1)をクリックします。

  5. 「SSL」タブをクリックします。

  6. 「拡張オプション」を展開し、「ホスト名の検証」を「BEAホスト名の検証」に変更します。

  7. 「保存」をクリックします。

  8. ドメインのサーバーごとに繰り返します。

  9. 「変更のアクティブ化」をクリックします。

  10. ドメインを再起動します。

  11. 2番目のドメインで繰り返します。

10.3.2 サーバー起動パラメータの更新

Identity and Access Managementデプロイメント・ツールの既知の問題の回避策として、Oracle Identity Managerプロパティを追加する必要があります。次の手順を実行してください。

  1. IAMGovernanceDomainのWebLogicコンソールにログインします。(コンソールのURLは第15.2項「Identity and Access ManagementコンソールのURLについて」に記載されています。)

  2. 「環境」→「サーバー」と移動します。

  3. 「ロックして編集」をクリックします。

  4. 「WLS_OIM1」サーバーをクリックします。

  5. 「サーバーの起動」サブタブをクリックします。

  6. 「引数」フィールドに次の追加を行います。

     -Djava.net.preferIPv4Stack=true

  7. 「保存」をクリックします。

  8. 管理対象サーバー「WLS_OIM2」に対し手順4から7を繰り返します。

  9. 「変更のアクティブ化」をクリックします。

10.4 デプロイ後の電子メール・サーバーの手順

第8.12項「Oracle Identity Managerの構成」で電子メール・サーバーを構成しており、電子メール・サーバーのセキュリティがSSLの場合、次の追加手順を実行します。

  1. プロキシが環境用に設定されていることを確認します。

    1. IAMGovernanceDomain管理サーバーおよびOIM管理対象サーバー(wls_oim1/2)を停止します。

    2. IGD_MSERVER_HOME/bin/setDomainEnv.shをバックアップします。

    3. IGD_MSERVER_HOME/bin/setDomainEnv.shをプロキシ設定を含むように変更します。

    4. このコマンドを環境設定の一部としてsetDomainEnv.shファイルに含めます。

      export PROXY_SETTINGS="-Dhttp.proxySet=true -Dhttp.proxyHost=www-proxy.mycompany.com -Dhttp.proxyPort=80 -Dhttp.nonProxyHosts=localhost|$.mycompany.com|.mycompany.com|.oracle.com"

      例:

      export JAVA_PROPERTIES
export PROXY_SETTINGS="-Dhttp.proxySet=true -Dhttp.proxyHost=www-proxy.mycompany.com -Dhttp.proxyPort=80 -Dhttp.nonProxyHosts=localhost|${HOST}|*.mycompany.com"ARDIR="${WL_HOME}/server/lib"
export ARDIR

  2. SOA環境からDemoTrustストア参照を削除します。これによりSOAを非SSLモードで実行することになります。

    1. DemoTrust参照を削除するために、IGD_MSERVER_HOMEを変更します。

    2. setDomainEnv.shからこの参照を削除します。

      -Djavax.net.ssl.trustStore=$<WL_HOME>/server/lib/DemoTrust.jks from EXTRA_JAVA_PROPERTIES

    3. 管理サーバーおよび管理対象サーバーの両方を再起動します。

10.5 デプロイ後のAccess Managerの手順

この項の項目は次のとおりです。

10.5.1 アイドル・タイムアウト値の更新

デフォルトでAccess Managerのアイドル・タイムアウトは2時間に設定されています。これは、セッションがタイムアウトになった後にログアウトしていない状態で問題が発生する場合があります。この値を15分に更新します。

アイドル・タイムアウト値を更新する手順:

  1. 第15.2項「Identity and Access ManagementコンソールのURLについて」に記載されているURLを使用して、Access Managementコンソールにログインします。

  2. 8.9項「ユーザー名およびパスワードの設定」で作成したAccess Manager管理者ユーザー(例: oamadmin)としてログインします。

  3. 「構成」の「共通設定」をクリックします。

  4. 「アイドル・タイムアウト(分)」を15に変更します。

  5. 「適用」をクリックします。

10.5.2 Webゲート・エージェントの更新

デプロイメント後に、既存のWebゲート・エージェントを更新します。Identity and Access ManagementコンソールのURLは第15.2項「Identity and Access ManagementコンソールのURLについて」に記載されています。

すでに設定されているはずのWebgate_IDMおよびWebgate_IDM_11g以外の、Webゲート・プロファイルのAccess Managerセキュリティ・モデルを更新します。さらにIAMSuiteAgentプロファイルのパスワードを、統合用のOAAMに使用できるように設定します。(IAMSuiteAgentはAccess Managerがインストールされたときに作成されています。)

これらのWebゲート・エージェントを更新する手順:

  1. 8.9項「ユーザー名およびパスワードの設定」のエントリで特定されたAccess Management管理者ユーザーとしてAccess Managementコンソールにログインします。

  2. 「Access Manager」ボックスの「SSOエージェント」をクリックします。

  3. 「Webゲート」タブが選択されていることを確認します。

  4. 「検索」をクリックします。

  5. たとえば、「IAMSuiteAgent」などのエージェントをクリックします。

  6. 第8.15項「Oracle Access Managerの構成」の「Access Manager構成」画面の「OAM転送モード」に定義した値と同じセキュリティ値を設定します。

    「適用」をクリックします。

  7. 「プライマリ・サーバー」リストで、「+」をクリックし、不足しているAccess Managerサーバーを追加します。

  8. まだパスワードを割り当てていない場合には、アクセス・クライアント・パスワード・フィールドにパスワードを入力し、「適用」をクリックします。

    アクセス・クライアント・パスワードを設定した場合には、第8.9項「ユーザー名およびパスワードの設定」で使用した共通のIAMパスワード(COMMON_IDM_PASSWORD)、またはAccess Manager独自のパスワードなどを割り当てます。

  9. プライマリ・サーバーのリストに表示されているすべてのAccess Managerサーバーについて、「接続の最大数」を20に設定します。(これはプライマリ・サーバーの合計の最大接続数で、10 x WLS_OAM1接続プラス10 x WLS_OAM2接続となります。)

  10. 「ユーザー定義パラメータ」に次のように表示されている場合、

    logoutRedirectUrl=http://OAMHOST1.mycompany.com:14100/oam/server/logout

    これを次のように変更します。

    logoutRedirectUrl=https://sso.mycompany.com/oam/server/logout

  11. 「適用」をクリックします。

  12. Webゲートごとに手順を繰り返します。

  13. セキュリティ設定が、使用しているAccess Managerサーバーの設定と一致していることを確認します。

10.6 トラスト・ストアへのロード・バランサ証明書の追加

Oracle Privileged Account Manager (OPAM)では、ロード・バランサで使用されるSSL証明書を、OPAMで使用されるJDK内の信頼できる証明書に追加する必要があります。

証明書を追加する手順:

  1. ロード・バランサから証明書を取得します。

    ロード・バランサの証明書は、Firefoxなどのブラウザを使用して取得できます。ただし、証明書を取得する最も簡単な方法は、opensslコマンドを使用します。コマンドの構文は、次のとおりです。

    openssl s_client -connect LOADBALANCER -showcerts </dev/null 2>/dev/null|openssl x509 -outform PEM > SHARED_CONFIG_DIR/keystores/sso.mycompany.com.pem

    例:

    openssl s_client -connect sso.mycompany.com:443 -showcerts </dev/null 2>/dev/null|openssl x509 -outform PEM > SHARED_CONFIG_DIR/keystores/sso.mycompany.com.pem

    このコマンドでは、次のディレクトリ内のsso.mycompany.com.pemの名前のファイルに証明書が保存されます。

    SHARED_CONFIG_DIR/keystores

  2. 次のコマンドを実行して、CA証明書ファイルsso.mycompany.com.pemをIGD_MW_HOME Java、およびノード・マネージャのトラスト・ストアにインポートし、証明書をJDKおよびノード・マネージャのトラスト・ストアにロードします。

    set JAVA_HOME to IGD_MW_HOME/jdk6
set PATH to include JAVA_HOME/bin
 
keytool -importcert -file SHARED_CONFIG_DIR/keystores/sso.mycompany.com.pem -trustcacerts -keystore $JAVA_HOME/jre/lib/security/cacerts
 
keytool -importcert -file SHARED_CONFIG_DIR/keystores/sso.mycompany.com.pem -trustcacerts -keystore
SHARED_CONFIG_DIR/keystores/appTrustKeyStore-oimhost1vhn.mycompany.com.jks
 
keytool -importcert -file SHARED_CONFIG_DIR/keystores/sso.mycompany.com.pem -trustcacerts -keystore
SHARED_CONFIG_DIR/keystores/appTrustKeyStore-oimhost2vhn.mycompany.com.jks
 
keytool -importcert -file SHARED_CONFIG_DIR/keystores/sso.mycompany.com.pem -trustcacerts -keystore
SHARED_CONFIG_DIR/keystores/appTrustKeyStore-oimhost1.mycompany.com.jks
 
keytool -importcert -file SHARED_CONFIG_DIR/keystores/sso.mycompany.com.pem -trustcacerts -keystore
SHARED_CONFIG_DIR/keystores/appTrustKeyStore-oimhost2.mycompany.com.jks

    ここで、JAVA_HOMEはIGD_MW_HOME/jdk6に設定されます。

    キーストアのパスワードを入力するように求められます。JDKのデフォルトのパスワードはchangeitで、ノード・マネージャのキーストアのデフォルトのパスワードはCOMMON_IAM_PASSWORDです。証明書が有効であることを確認するようにも求められます。


    注意:

    OIMサーバーに割り当てた仮想ホストの名前は、oimhost1vhnおよびoimhost2vhnです。

10.7 すべてのコンポーネントの再起動

第15.1項「コンポーネントの起動と停止」の説明に従い、すべてのコンポーネントを再起動します。

  前
前 		 次
次
  目次へ移動
目次