Oracle® Fusion Middleware Oracle Identity and Access Management移行ガイド 11gリリース2 (11.1.2.2.0) E53415-02 |
|
![]() 前 |
![]() 次 |
この章では、Sun Java System Access Manager 7.1をOracle Access Management Access Manager (Access Manager) 11gリリース2 (11.1.2.2.0)に移行する方法について説明します。
この章は次の項で構成されています。
第6.7項「Oracle Identity and Access Management11.1.2.2.0のインストール」
第6.13項「Sun Java System Access Manager 7.1のアーティファクトのOAM 11.1.2.2.0への移行」
この項では、Sun Java System Access Manager 7.1からAccess Manager 11.1.2.2.0への移行プロセスで使用される2つのツールを紹介します。
OpenSSOエージェント評価ツール
OpenSSOエージェント評価ツールは、Sun Java System Access Manager 7.1サーバーからエージェントとポリシーを読み取り、Access Manager 11.1.2.2.0に移行可能なエージェントとポリシー要素を分析して、評価レポートを生成します。生成されたレポートでは、エージェントを移行できるかどうかと、Access Manager 11.1.2.2.0ポリシー・モデルに基づいて、ポリシーの手動移行、自動移行または準移行のいずれが可能かについての情報が提供されます。
評価ツールは、Sun Java System Access Manager 7.1のエージェント、プロファイル、ポリシー、ユーザー・ストアおよび認証ストアに関する情報を読み取り、表示します。このツールは、Access Manager 11.1.2.2.0でサポートされるアーティファクトに関する情報に基づいて、Access Manager 11.1.2.2.0に移行できるデータとAccess Manager 11.1.2.2.0に移行できないデータを評価します。
Sun Java System Access Manager 7.1環境を移行する前に、評価ツールを使用して評価レポートを複数回生成できます。
移行ツール
移行ツールは、Sun Java System Access Manager 7.1の次のアーティファクトをAccess Manager 11.1.2.2.0に移行します。
エージェントの構成
ポリシー
ユーザー・ストアの構成
認証ストアの構成
注意: 移行ツールと評価ツールでは、SSLポートを介した構成ストアへの接続はサポートされません。 |
他の移行シナリオの詳細は、第1.2項「移行および共存のシナリオ」を参照してください。
この項では、この章で説明する手順を使用して実行可能な移行の3つのモードについて説明します。移行のモードは次の2つになります。
完全移行は、Sun Java System Access Manager 7.1の互換性のあるエージェント、ポリシー、ユーザー・ストアおよび認証ストアをすべてAccess Manager 11.1.2.2.0に移行します。初めて行う移行は完全移行になります。最初の移行後、次に行われるそれぞれの移行はデルタ移行になります。完全移行を実行できるのは最初の1回のみです。
新規移行では、移行フレームワークによってAccess Manager 11.1.2.2.0構成ストアで移行バージョンが設定されます。
完全移行を実行するには、「移行ロードマップ」で説明する手順に従います。
注意: 完全移行が失敗した場合、完全移行の再実行を開始する前に、部分的に移行されたデータを手動で削除する必要があります。 |
増分移行は、選択移行とも呼ばれます。Access Manager 11.1.2.2.0に移行するSun Java System Access Manager 7.1のエージェントおよびポリシーを選択できるためです。この移行は、様々なエージェントおよびポリシーのセットを使用して複数回実行できるため、増分移行と呼ばれます。増分移行の対象としてユーザー・ストアおよび認証ストアのみを選択することはできません。増分移行の対象としてエージェントおよびポリシーを選択する際に、それぞれのユーザー・ストアおよび認証ストアも選択する必要があります。
注意: 完全移行を実行した後、増分移行を実行できます。これは、増分デルタと呼ばれます。 複数の増分移行の後、完全移行を実行できます。この場合、完全移行では、以前の増分移行の一環としてすでに移行されているエージェントとポリシーは無視されます。 すでに移行されているアーティファクト(エージェントおよびポリシー)を選択して複数の増分移行を実行した場合、それらのアーティファクトは無視され、増分移行では、移行されていないアーティファクトのみが移行されます。 |
デルタ移行は、Sun Java System Access Manager 7.1の新しく追加されたアーティファクト(エージェント、ポリシー、ユーザー・ストアおよび認証ストア)をAccess Manager 11.1.2.2.0に移行できる移行モードです。デルタ移行は、作成操作の場合のみサポートされます。
1回目の移行(完全移行)後、実行する移行はすべてデルタ移行になります。
デルタ移行を実行するたびに、完全移行によってAccess Manager 11.1.2.2.0構成ストアで設定される移行バージョンに関する情報が取得され、1ずつ増えて、Access Manager 11.1.2.2.0構成ストアに保存されます。
データ移行を実行する手順は、完全移行の手順と同じで「移行ロードマップ」で説明します。
この項では、Access Manager 11.1.2.2.0と互換性のあるSun Java System Access Manager 7.1のアーティファクトについてまとめています。この項には次のトピックが含まれます:
この項では、Sun Java System Access Manager 7.1からAccess Manager 11.1.2.2.0へのエージェントの移行についてまとめています。
この移行ツールは、エージェント自体ではなくエージェント構成を移行します。移行でサポートされるWebエージェント2.2はSun Java System Web Server 7.0です。
ローカル・エージェントは、最小限の構成で移行されます。ローカル・エージェントはローカル構成モードで機能するエージェントです。これらのエージェントは、各自の構成のローカル構成ファイルのみを受け入れます。ローカル・エージェントのエージェントID、エージェント・パスワード、エージェント・ベースURLなどの基本構成プロパティのみがSun Java System Access Manager 7.1サーバーに保存されます。移行後、このような構成の詳細はAccess Manager 11.1.2.2.0サーバーに保存されます。
エージェントの移行には下位互換性があります。
異なるレルムに名前が同じエージェントが2つ以上存在する場合、エージェントは先頭にレルム名が付いた名前で移行されます。
例: j2eeAgent
という名前のエージェントがTopRealm
(/
)とSubRealm
(/>SubRealm
)の両方に存在する場合、これらのエージェントは、TopRealm_j2eeAgent
およびSubRealm_j2eeAgent
という名前で移行されます。
この項では、Sun Java System Access Manager 7.1からAccess Manager 11.1.2.2.0へのポリシーの移行についてまとめています。
Sun Java System Access Manager 7.1のポリシーは、次の4つのアーティファクトで構成されます。
ルール(リソース + アクション)
サブジェクト
条件
レスポンス・プロバイダ
OpenSSOエージェント評価ツールの実行時に生成される評価レポート(PolicyInfo.txt
)のポリシーは、Access Manager 11.1.2.2.0のアーティファクトの互換性に基づき、自動ポリシー、準ポリシーおよび手動ポリシーに分類されます。
自動ポリシー: 該当ポリシーのすべてのアーティファクトをAccess Manager 11.1.2.2.0のポリシーのアーティファクトにマップできる場合は、自動ポリシーとみなされます。自動ポリシーはすべてAccess Manager 11.1.2.2.0に移行できます。
準ポリシー: 該当ポリシーの一部のアーティファクトをAccess Manager 11.1.2.2.0のポリシーのアーティファクトにマップできる場合は、準ポリシーとみなされます。準ポリシーはAccess Manager 11.1.2.2.0に移行されません。
手動ポリシー: 該当ポリシーのどのアーティファクトもAccess Manager 11.1.2.2.0のポリシーのアーティファクトにマップできない場合は、手動ポリシーとみなされます。手動ポリシーはAccess Manager 11.1.2.2.0に移行されません。
Sun Java System Access Manager 7.1には次の2種類のポリシーがあります。
参照ポリシー: これらのポリシーは移行に適用されません。
非参照ポリシー: これらのポリシーは移行されます。
ルール
ルールを使用しないSun Java System Access Manager 7.1のポリシーは移行でサポートされません。このようなポリシーは無効とみなされます。
移行に適用できるのは、アクションGET
およびPOST
が含まれるルールのみです。これらのルールには、サービス・タイプURL Policy Agent
があります。
その他のサービス・タイプ(LOOKUP
およびUPDATE
アクションが含まれるDiscovery Service
や、QUERY
およびMODIFY
アクションが含まれるLiberty Personal Profile Service
など)は、移行に適用されません。これらのアクション(Access Manager 11.1.2.2.0でリソース操作と呼ばれる)はAccess Manager 11.1.2.2.0でサポートされていないためです。
サブジェクト
移行でサポートされるサブジェクト・タイプは、AM Identity Subject
(ユーザーおよびグループ)とAuthenticated Users
のみです。これらのサブジェクトは、Access Manager 11.1.2.2.0でIdentity Conditionの一部として移行されます。
条件
アクティブ・セッション時間
Sun Java System Access Manager 7.1ポリシーのこの条件は、Access Manager 11.1.2.2.0のAttributeConditionのSession Expiry Time
属性にマップされます。
この条件の属性Terminate session
は、この属性の適切なマッピングがAccess Manager 11.1.2.2.0に存在しないため、移行時に無視されます。
モジュール・インスタンスごとの認証
Sun Java System Access Manager 7.1ポリシーのこの条件は、Access Manager 11.1.2.2.0に条件ではなくAuthN
スキームとして移行されます。
表6-1は、Access Manager 11.1.2.2.0に移行されてAuthN
スキームでマップされるSun Java System Access Manager 7.1の認証モジュールを示しています。
認証レベル(less than or equal to)および認証レベル(greater than or equal to)
Sun Java System Access Manager 7.1ポリシーのどちらの条件も、ネームスペースがSESSION
で属性名がAuthentication Level
のAttributeCondition
のセッション属性にマップされます。
Access Manager 11.1.2.2.0にはgreater than or equal to
およびless than or equal to
に対応するマッピングがないため、どちらの条件もAttributeOperatorのEQUALS
にマップされます。このマッピングは、Sun Java System Access Manager 7.1のポリシー条件のequals
ファクタが原因で行われます。そのため、greater than or equal to
とless than or equal to
のどちらの条件もAccess Manager 11.1.2.2.0では同様になります。
たとえば、認証レベルの条件がless than or equal to 5
のSun Java System Access Manager 7.1ポリシーを移行する場合、Access Manager 11.1.2.2.0の移行後のポリシーの認証レベルはequal to 5
になります。
現在のセッション・プロパティ
この条件は、ネームスペースがSESSION
で属性名がOther
のAttributeConditionのセッション属性にマップされ、キーと値がこの条件の属性として追加されます。Sun Java System Access Manager 7.1のこの条件の値は複数になります。そのため、Access Manager 11.1.2.2.0のこの条件には、名前は同じでも値が異なる複数の属性があります。
アイデンティティ・メンバーシップ
Sun Java System Access Manager 7.1ポリシーのこの条件は、Access Manager 11.1.2.2.0のIdentity condition
にマップされます。
Sun Java System Access Manager 7.1のすべてのサブジェクトの一意のユーザーまたはグループ、およびすべてのアイデンティティ・メンバーシップ条件の一意のユーザーまたはグループは、Access Manager 11.1.2.2.0の1つのアイデンティティ条件にユーザーまたはグループのセットとして作成されます。
実行時の検証では、ユーザーまたはグループのこのセット間でORが実行されます。
IPアドレスおよびDNS名
Sun Java System Access Manager 7.1ポリシーの条件IP Address
は、Access Manager 11.1.2.2.0のIP condition
にマップされます。
条件DNS name
はAccess Manager 11.1.2.2.0ではサポートされません。
LDAPフィルタ条件
Sun Java System Access Manager 7.1ポリシーのこの条件は、Access Manager 11.1.2.2.0のIdentity condition
にマップされます。
Sun Java System Access Manager 7.1のすべてのLDAPフィルタ条件の一意のLDAPフィルタはすべて、Access Manager 11.1.2.2.0の1つのアイデンティティ条件にLDAPフィルタのセットとして作成されます。
時間(曜日、日付、時刻およびタイムゾーン)
Sun Java System Access Manager 7.1ポリシーのこの条件は、Access Manager 11.1.2.2.0のTime condition
にマップされます。
Sun Java System Access Manager 7.1のTime
条件には、日付、時刻、曜日またはタイムゾーンのいずれかの値が含まれます。Access Manager 11.1.2.2.0のTime
条件には、時刻または曜日が含まれます。そのため、時刻(開始および終了時刻)と曜日のみを含むSun Java System Access Manager 7.1のTime
条件をAccess Manager 11.1.2.2.0のTime
条件にマップできます。それ以外の場合はすべて無視されます。
レスポンス・プロバイダ
Sun Java System Access Manager 7.1サーバーまたはポリシー・サーバーは、アイデンティティまたはユーザー・リポジトリ属性(ユーザー・ストアのユーザー属性)をレスポンス・プロバイダとしてエージェントに送信します。OpenSSOエージェントは、これらの属性を、エージェントの構成に従ってHttpヘッダー、リクエスト属性またはHttp Cookieを介してリソースまたはアプリケーションに戻します。
レスポンス・プロバイダ(静的および動的)はすべて、Httpヘッダー・タイプでSun Java System Access Manager 7.1からAccess Manager 11.1.2.2.0に移行されます。
この項では、Sun Java System Access Manager 7.1からAccess Manager 11.1.2.2.0へのユーザー・ストアの移行についてまとめています。
OpenSSO Enterprise 8.0には次の3種類のユーザー・ストアがあります。
アクティブ・ディレクトリ: このユーザー・ストアはAccess Manager 11.1.2.2.0に移行できます。
汎用LDAPv3: このユーザー・ストアはAccess Manager 11.1.2.2.0に移行できます。
OpenSSOスキーマのSun DS: 11.1.2.2.0ではサポートされるデータ・ストアのタイプがないため、このユーザー・ストアは、Access Manager 11.1.2.2.0に移行できません。
この項では、Sun Java System Access Manager 7.1からAccess Manager 11.1.2.2.0への認証ストアの移行についてまとめています。
Access Manager 11.1.2.2.0の対応する認証モジュールに移行およびマップ可能なSun Java System Access Manager 7.1の認証ストアは、次のとおりです。
Sun Java System Access Manager 7.1のLDAPは、Access Manager 11.1.2.2.0のOAM LDAPにマップされます。
Sun Java System Access Manager 7.1の証明書は、Access Manager 11.1.2.2.0のX509にマップされます。
Sun Java System Access Manager 7.1のWindows Desktop SSOは、Kerberos Access Manager 11.1.2.2.0にマップされます。
LDAPタイプの認証ストアはすべて、名前AS_
レルム名
_
モジュール名
でAccess Manager 11.1.2.2.0に移行されます。LDAP以外のタイプの認証ストアは移行されません。
図6-1は、Sun Java System Access Manager 7.1とAccess Manager 11.1.2.2.0のトポロジを比較したものです。
図6-1 Sun Java System Access Manager 7.1とAccess Manager 11.1.2.2.0のトポロジ
表6-2に、Sun Java System Access Manager 7.1からAccess Manager 11.1.2.2.0への移行手順を示します。
表6-2 タスク・ロードマップ
タスク番号 | タスク | 参照先 |
---|---|---|
1 |
前提条件を満たします。 |
「移行の前提条件」を参照してください。 |
2 |
Oracle Identity and Access Management 11.1.2.2.0をインストールします。 |
「Oracle Identity and Access Management 11.1.2.2.0のインストール」を参照してください。 |
3 |
Oracle Access Management Access Manager 11.1.2.2.0を構成します。 |
「Oracle Access Manager 11.1.2.2.0の構成」を参照してください。 |
4 |
評価レポートを生成し、Access Manager 11.1.2.2.0にどのアーティファクトを移行できるかを分析します。 このタスクは複数回実行できます。 |
「評価レポートの生成」を参照してください。 |
5 |
WebLogic管理サーバーを起動します。 |
「WebLogic管理サーバーの起動」を参照してください。 |
6 |
増分移行を実行する場合は、追加手順を実行します。 |
「増分移行のための追加手順」を参照してください。 |
7 |
プロパティ・ファイルを作成します。 |
「プロパティ・ファイルの作成」を参照してください。 |
8 |
移行ツールを実行して、Sun Java System Access Manager 7.1からAccess Manager 11.1.2.2.0に移行します。 |
「Sun Java System Access Manager 7.1のアーティファクトのOAM 11.1.2.2.0への移行」を参照してください。 |
9 |
移行後の手順を完了します。 |
「移行後タスクの実行」を参照してください。 |
10 |
移行を確認します。 |
「移行の確認」を参照してください。 |
Sun Java System Access Manager 7.1からAccess Manager 11.1.2.2.0に移行するには、次の前提条件を満たす必要があります。
システム要件および動作保証のドキュメントを読み、環境がインストールする製品の最小要件を満たしていることを確認します。
Oracle Fusion Middlewareのシステム要件と仕様
このドキュメントには、ハードウェアとソフトウェアの要件、最小ディスク領域とメモリーの要件、および必要なシステム・ライブラリ、パッケージまたはパッチに関する情報が含まれます。
Oracle Fusion Middlewareのサポートされるシステム構成
このドキュメントには、サポートされるインストール・タイプ、プラットフォーム、オペレーティング・システム、データベース、JDKおよびサード・パーティ製品に関する情報が含まれます。
インストール時に発生する可能性がある相互運用性および互換性の問題については、『Oracle Fusion Middleware相互運用および互換性ガイド』を参照してください。
Oracle Fusion Middleware製品が旧バージョンの他のOracle Fusion Middleware、Oracleまたはサード・パーティ製品と機能するために重要な情報がこのドキュメントに記載されています。この情報は、既存の環境をアップグレードする既存ユーザーと新しいOracle Fusion Middlewareユーザーの両方に適用されます。
注意: Oracle Fusion Middlewareの概念とディレクトリ構造の詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・プランニング・ガイド』のOracle Fusion Middlewareの概念とディレクトリ構造の理解に関する項を参照してください。 |
使用しているSun Java System Access Managerのリリースが移行でサポートされていることを確認します。Sun Java System Access Manager 7.1の移行がサポートされている開始ポイントの詳細は、第1.4項「移行および共存がサポートされている開始ポイント」を参照してください。
移行プロセスの一環として、Oracle Identity and Access Management 11.1.2.2.0を新規でインストールする必要があります。この11.1.2.2.0のインストールは、Sun Java System Access Manager 7.1をインストールするマシンまたは別のマシンで行うことができます。
Oracle Identity and Access Management 11.1.2.2.0のインストールの詳細は、Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイドのOracle Identity and Access Management (11.1.2.2.0)のインストールに関する説明を参照してください。
Oracle Identity and Access Management 11.1.2.2.0のインストール後、ドメインでAccess Manager 11.1.2.2.0を構成する必要があります。
Access Manager 11.1.2.2.0の構成の詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Access Managementの構成に関する項を参照してください。
この項では、OpenSSOエージェント評価ツールを使用して評価レポートを生成する方法について説明します。評価レポートには、Sun Java System Access Manager 7.1デプロイメントで利用可能なエージェント、ポリシー、ユーザー・ストアおよび認証ストアのプレビューが表示され、Access Manager 11.1.2.2.0に移行可能なアーティファクトが示されます。
移行プロセスを開始する前に、評価レポートを複数回生成できます。
この項には次のトピックが含まれます:
注意: 評価ツールを実行する前に、次の前提条件を満たす必要があります。
|
次のコマンドを使用して、現在の作業ディレクトリからIAM_HOME
/oam/server/tools/opensso_assessment
に移動します。
UNIXの場合:
cd IAM_HOME
/oam/server/tools/opensso_assessment/
Windowsの場合:
cd IAM_HOME
\oam\server\tools\opensso_assessment\
OpenssoAgentdiscTool.zip
フォルダの内容を、選択したディレクトリに抽出します。解凍したフォルダには名前OpenssoAgentdiscTool
を使用することをお薦めします。
評価ツールを実行する前に、LDAP接続の詳細をプロパティ・ファイルで指定する必要があります。手順は次のとおりです。
次の場所にあるOpenSSOAgentDiscTool.properties
ファイルを開きます。
UNIXの場合: unzipped_folder
/resources/
Windowsの場合: unzipped_folder
\resources\
次のプロパティについて適切な値を設定します。
openSSOLDAPServerURL=
host
:
port
このプロパティでは、host
およびport
は、Sun Java System Access Manager 7.1で使用される構成ストアのLDAPホストとポートを表します。
openSSOLDAPBindDN=
login_id
ここで、login_id
は、LDAPサーバーのバインドDNになります。Sun Java System Access Manager 7.1の構成ディレクトリ・サーバーの管理権限またはルート権限が必要です。
openSSOLDAPSearchBase=
LDAP_search_base
ここで、LDAP_search_base
は、構成ストアのLDAP検索ベースになります。
ファイルを保存して閉じます。
注意: LDAP接続の詳細を指定しない場合、メッセージが これらのパラメータについて不適切な値を指定した場合、評価ツールを実行できず、エラーが表示されます。 |
OpenSSOエージェント評価ツールを実行する前に、移行する2.2エージェントのエージェント・プロファイルを、エージェント・キーの値でエージェントの属性agentRootURL
およびtype
に適切な値を指定して更新する必要があります。これを行うには、次の手順を実行します。
次のURLを使用してSun Java System Access Manager 7.1管理コンソールにログインします。
http://host
:port
/amserver
「アクセス制御」タブに移動し、2.2エージェントをインストールするレルムをクリックします。
「サブジェクト」タブに移動して、「エージェント」タブをクリックします。
移行するエージェントのリンクをクリックします。
エージェント・キーの値で、属性agentRootURL
およびType
の値がまだない場合は、これらの属性の適切な値を次の形式で「新規の値」フィールドに入力します。
agentRootURL=
agent_webcontainer_URL
Type=WebAgent/J2EEAgent
注意: 前述のキーと値では大文字と小文字が区別されます。 |
各属性の入力後、「追加」をクリックします。
「保存」をクリックします。
OpenSSOエージェント評価ツールを実行するには、次の操作を行います。
第6.9.1項「評価ツールの入手」の説明に従い、次のコマンドを使用して、内容を抽出したフォルダにディレクトリを変更します。
cd <path to the unzipped folder>
次のコマンドを実行します。
java -jar openssoagentdisc.jar <sam server URL> <username> <debugLevel>
各項目は次のとおりです。
<sam server URL>
は、Sun Java System Access Manager 7.1サーバーのURLです。これはhttp://<host>:<port>/amserver
形式で指定します。<host>
および<port>
は、Sun Java System Access Manager 7.1サーバーが動作しているマシンのホスト名とポートを表します。
<username>
は、Sun Java System Access Manager 7.1サーバーのユーザー名です。
<debugLevel>
はオプションです。この引数の値は、error
またはmessage
のいずれかにします。コマンドでこの引数を指定しない場合、デフォルト値error
を取ります。
次の入力が求められます。
Enter server login password:
Sun Java System Access Manager 7.1サーバーの管理ユーザーのパスワードを入力します。このユーザーは、通常amadminになります。
Enter LDAP login password:
LDAPサーバーのログイン・パスワードを入力します。
注意: このコマンドで使用される引数の詳細は、解凍したディレクトリで次のコマンドを実行します。 java -jar openssoagentdisc.jar -help |
評価ツールは、次の場所に5つのカンマ区切りの値(CSV)ファイルを生成します。
unzipped_folder
/consoleOutput/
これらのレポートには、Access Manager 11.1.2.2.0でサポートされる、Sun Java System Access Manager 7.1のエージェント、ポリシー、ユーザー・ストアおよび認証ストアに関する情報があります。
表6-3は、評価ツールの実行時に生成されるCSVファイルを示しています。
表6-3 生成されるレポート・ファイル
ファイル | 説明 |
---|---|
|
Sun Java System Access Manager 7.1に登録されているJ2EEおよびWebエージェントに関する情報と、Access Manager 11.1.2.2.0でサポートされるエージェントのリストが含まれます。 |
|
認証ストアに関する情報が含まれます。 |
|
エージェント、ポリシー、ユーザー・ストアおよび認証ストアに関する簡単な情報が含まれます。 |
|
ポリシーに関する情報が含まれます。 |
|
ユーザー・ストアに関する情報が含まれます。 |
注意: CSVファイルは、CSVとして直接開くことも、Microsoft Excelを使用して開くこともできます。レポート内のデータは階層構造で表示されます。最上部にレルム名またはサブレルム名が表示され、エージェント、ポリシー、認証ストアおよびユーザー・ストアに関連するデータがその後に続きます。 |
移行ツールを実行する前に、WebLogic管理サーバーを起動する必要があります。
管理サーバーを起動するには、次を実行します。
UNIXの場合:
コマンドを使用して、現在の作業ディレクトリからMW_HOME
/user_projects/domains/
domain_name
/bin
ディレクトリに移動します。
cdMW_HOME
/user_projects/domains/domain_name
/bin/
次のコマンドを実行します。
startWebLogic.sh
プロンプトが表示されたら、WebLogic管理サーバーのユーザー名とパスワードを入力します。
Windowsの場合:
コマンド行で次のコマンドを使用して、現在の作業ディレクトリからMW_HOME
\user_projects\domains\
domain_name
\bin
ディレクトリに移動します。
cdMW_HOME
\user_projects\domains\domain_name
\bin\
次のコマンドを実行します。
startWebLogic.cmd
プロンプトが表示されたら、WebLogic管理サーバーのユーザー名とパスワードを入力します。
この項では、増分移行を行う場合に実行する追加手順について説明します。完全移行やデルタ移行などの他の移行モードの場合、この項は無視してください。
評価レポートを生成すると(「評価レポートの生成」を参照)、IncrementalMigrationIncludeFile.txt
というファイルがAssessmentToolUnzippedFolder
/consoleOutput/
に生成されます。このファイルの内容は次のとおりです。
REALM#TopRealm##AGENT#j2eeAgent_1##N
REALM#TopRealm##AGENT#j2eeAgent_2##N
REALM#TopRealm##POLICY#Policy1##N
REALM#TopRealm##POLICY#Policy2##N
各行には、Sun Java System Access Manager 7.1のレルム名、エージェントまたはポリシーの名前、およびデフォルトでN
に設定されているフラグが含まれます。フラグの値Y
は「Yes」を表し、N
は「No」を表します。指定されたフラグによって、エージェントまたはポリシーが増分移行に含まれるか、除外されるかが決まります。
注意: 前述の値では大文字と小文字が区別されません。 |
一部のエージェントおよびポリシーを増分移行に含める場合は、IncrementalMigrationIncludeFile.txt
ファイルでそれらのエージェントおよびポリシーのフラグをY
に設定します。また、第6.12項「プロパティ・ファイルの作成」で作成するプロパティ・ファイルのopenSSOSMIncludeFilePath
プロパティで、このファイルの絶対パスを指定します。これにより、フラグがY
に設定されているすべてのエージェントおよびポリシーが移行に含まれます。
注意:
|
一部のエージェントおよびポリシーを増分移行から除外する場合は、IncrementalMigrationIncludeFile.txt
ファイルでそれらのエージェントおよびポリシーのフラグをY
に設定します。また、第6.12項「プロパティ・ファイルの作成」で作成するプロパティ・ファイルのopenSSOSMExcludeFilePath
プロパティで、このファイルの絶対パスを指定します。これにより、フラグがY
に設定されているすべてのエージェントおよびポリシーが移行から除外されます。
注意:
|
アクセス可能な場所でプロパティ・ファイルを作成します。たとえば、oam_migration.properties
という名前でプロパティ・ファイルを作成します。
プロパティ・ファイルで次のプロパティについて適切な値を入力します。
openSSOServerURL=
SAM_server_URL
openSSOAdminUser=
SAM_admin_username
openSSOAdminPassword=
openSSOServerDebugLevel=error
/message
openSSOLDAPServerURL=
LDAP host:port
openSSOLDAPBindDN=
LDAP_bind_DN
openSSOLDAPBindPwd=
openSSOLDAPSearchBase=
LDAP_searchBase
openSSOMigrationMode=Complete/Incremental
openSSOSMIncludeFilePath=
absolute_path_to_include_file
openSSOSMExcludeFilePath=
absolute_path_to_exclude_file
表6-4は、プロパティ・ファイルの各プロパティに指定する必要がある値の説明です。
表6-4 プロパティ・ファイルの値
プロパティ | 説明 |
---|---|
|
Sun Java System Access Manager 7.1サーバーのURLを指定します。これは次の形式で指定してください。
各項目は次のとおりです。
|
|
Sun Java System Access Manager管理サーバーのユーザー名を指定します。 |
|
このプロパティの値を指定しないでください。手順4の説明に従って、移行コマンドを実行すると、移行ツールによってSun Java System Access Manager管理パスワードの入力が求められます。 |
|
次のいずれかの値を指定します。
この値はデバッグ・レベルを表します。 |
|
LDAPサーバーのURLを指定します。これは次の形式で指定してください。
各項目は次のとおりです。
|
|
LDAPサーバーのバインドDNを指定します。Sun Java System Access Managerの構成ディレクトリ・サーバーの管理権限またはルート権限が必要です。 |
|
このプロパティの値を指定しないでください。手順4の説明に従い、移行コマンドを実行すると、移行ツールによってLDAPバインド・パスワードの入力が求められます。 |
|
構成ストアのLDAP検索ベースを指定します。 |
|
このプロパティに次のいずれかの値を設定して、移行のモードを指定します。
このプロパティに値を指定しなかった場合は、完全移行が実行されます。また、値 これらの値では、大/小文字が区別されます。 移行のモードの詳細は、「移行のモード」を参照してください。 |
|
増分移行を実行する場合、Sun Java System Access Manager 7.1の一部のエージェントおよびポリシーを移行に含めるには、
増分移行の実行時に 完全移行の場合、このプロパティは無視してください。 |
|
増分移行を実行する場合、Sun Java System Access Manager 7.1の一部のエージェントおよびポリシーを移行から除外するには、
増分移行の実行時に 完全移行の場合、このプロパティは無視してください。 |
注意:
増分移行を実行する際に |
Sun Java System Access Manager 7.1からAccess Manager 11.1.2.2.0にアーティファクトを実際に移行する前に、評価レポートを生成して(第6.9項「評価レポートの生成」を参照)、Access Manager 11.1.2.2.0にどのアーティファクトを移行できるかを分析したことを確認します。
Sun Java System Access Manager 7.1をAccess Manager 11.1.2.2.0に移行するには、次の手順を実行します。
増分移行を実行する場合は、第6.11項「増分移行のための追加手順」に記載されている追加手順を実行していることを確認します。
第6.12項「プロパティ・ファイルの作成」の説明に従ってプロパティ・ファイルを作成していることを確認します。
次のコマンドを実行して、WebLogic Scripting Tool (WLST)を起動します。
UNIXの場合:
コマンド行で次のコマンドを実行し、現在の作業ディレクトリからIAM_HOME
/common/bin
ディレクトリに移動します。
cd
IAM_HOME
/common/bin
次のコマンドを実行して、WebLogic Scripting Tool (WLST)を起動します。
./wlst.sh
Windowsの場合:
コマンド行で次のコマンドを実行し、現在の作業ディレクトリからIAM_HOME
\common\bin
ディレクトリに移動します。
cd
IAM_HOME
\common\bin
次のコマンドを実行して、WebLogic Scripting Tool (WLST)を起動します。
wlst.cmd
次のコマンドを実行して、WLSTをWebLogic Serverインスタンスに接続します。
connect('wls_admin_username
','wls_admin_password
','t3://hostname
:port
');
このコマンドでは、次のように指定します。
wls_admin_username
は、WebLogic管理サーバーのユーザー名です。
wls_admin_password
は、WebLogic管理サーバーのパスワードです。
hostname
は、WebLogic管理サーバーが動作しているマシンです。
port
は管理サーバーのポートです。
次のコマンドを実行して、Sun Java System Access Manager 7.1のアーティファクトをAccess Manager 11.1.2.2.0に移行します。
oamMigrate(oamMigrateType="OpenSSO",pathMigrationPropertiesFile="<absolute_path_of_properties_file>");
各項目は次のとおりです。
<absolute_path_of_properties_file>
は、手順1で作成したプロパティ・ファイルの絶対パスです。次に例を示します。
UNIXの場合: oamMigrate(oamMigrateType="OpenSSO",pathMigrationPropertiesFile="
abc
/
def
/oam_migration.properties
"
Windowsの場合: oamMigrate(oamMigrateType="OpenSSO",pathMigrationPropertiesFile="
abc
\\
def
\\oam_migration.properties
次の入力が求められます。
Enter value for property : openSSOAdminPassword :
Sun Java System Access Manager 7.1管理サーバーのパスワードを入力します。
Enter value for property : openSSOLDAPBindPwd :
LDAPサーバーへのバインド・パスワードを入力します。
注意: 初めて 最初の移行(完全移行)後、このコマンドを再実行してデルタ移行を行うことができます。 完全移行とデルタ移行の詳細は、第6.2項「移行のモード」を参照してください。 |
移行が完了すると、WLSTコンソールには、移行の結果を示すメッセージが表示されます。
Sun Java System Access Manager 7.1からAccess Manager 11.1.2.2.0に移行した後、次の移行後のタスクを完了する必要があります。
移行ツールは、次の場所にAMAgent.properties
ファイルを作成します。
<domain_home>/<domain_name>/output/OpenSSOMigration/AM7.1/<realm_name>/<agent_name>/AMAgent.properties
AMAgent.properties
ファイルで、@DEBUG_LOGS_DIR@
タグをエージェント・ホスト上のデバッグ・ログの有効なディレクトリ・パスに置き換える必要があります。これを行うには、次の手順を実行します。
AMAgent.properties
ファイルを開きます。
プロパティcom.sun.am.policy.agents.config.local.log.file =@DEBUG_LOGS_DIR@/amAgent
で、タグ@DEBUG_LOGS_DIR@
を、エージェント・ホスト上のデバッグ・ログの有効なディレクトリ・パスに置き換えます。
エージェント・ホスト上にある既存のプロパティ・ファイルをバックアップして、新しく作成されたAMAgent.properties
ファイルをエージェント・ホストにコピーする必要があります。これを行うには、次の手順を実行します。
エージェントのWebコンテナ・インスタンスを停止します。
既存のプロパティ・ファイル(移行プロセスを開始する前にエージェント・ホストに存在したプロパティ・ファイル)をバックアップします。
新しく作成されたAMAgent.properties
ファイルを次の場所からエージェント・ホストにコピーします。
<domain_home>/<domain_name>/output/OpenSSOMigration/AM7.1/<realm_name>/<agent_name>/AMAgent.properties
エージェントのWebコンテナ・インスタンスを起動します。
この実行後、保護されているリソースにアクセスすると、ユーザーはAccess Manager 11.1.2.2.0サーバーにリダイレクトされ認証が行われます。
移行ツールは、Sun Java System Access Manager 7.1からAccess Manager 11.1.2.2.0に移行されるユーザー・ストアのパスワードを取得しません。そのため、移行後は、移行されるすべてのユーザー・ストアのパスワードを手動で更新する必要があります。これを行うには、次の手順を実行します。
次のURLを使用してOracle Access Management 11.1.2.2.0コンソールにログインします。
http://host
:port
/oamconsole
ここで、host
はAccess Manager 11.1.2.2.0が動作しているマシンを表し、port
はポート番号を表します。
「起動パッド」タブに移動します。
構成で、「ユーザー・アイデンティティ・ストア」をクリックします。存在するすべての移行されたLDAPユーザー・ストアのパスワードを手動で更新します。
移行後、移行した認証ストアの最小および最大プール・サイズはデフォルトで0に設定されます。そのため、Oracle Access Management 11.1.2.2.0コンソールで認証ストアの「最小プール・サイズ」と「最大プール・サイズ」に適切な値を手動で設定する必要があります。これを行うには、次の手順を実行します。
次のURLを使用してOracle Access Management 11.1.2.2.0コンソールにログインします。
http://host
:port
/oamconsole
「起動パッド」タブに移動します。
構成で、「ユーザー・アイデンティティ・ストア」をクリックします。
編集する認証ストアを選択します。
「接続の詳細」にスクロール・ダウンして、「最小プール・サイズ」と「最大プール・サイズ」の値を設定します。たとえば、最小プール・サイズを10、最大プール・サイズを50にします。
「適用」をクリックします。
次の手順を実行して、Access Manager管理対象サーバーおよび移行したエージェントのWebインスタンスを再起動します。
移行されているエージェントのWebコンテナ・インスタンスを停止します。
Access Manager管理対象サーバーを停止します。
管理対象サーバーの停止の詳細は、付録A「管理対象サーバーの停止」を参照してください。
Access Manager管理対象サーバーを起動します。
管理対象サーバーの起動の詳細は、付録A「管理対象サーバーの起動」を参照してください。
移行されているエージェントのWebコンテナ・インスタンスを起動します。
移行を確認するには、次の手順を実行します。
次のURLを使用してOracle Access Management 11.1.2.2.0コンソールにログインします。
http://host
:port
/oamconsole
このURLの内容は、次のとおりです。
host
は、Oracle Access Management 11.1.2.2.0コンソールをホストするマシンの完全修飾ドメイン名を表します。
port
は、Oracle Access Management 11.1.2.2.0コンソールの指定されたバインド・ポートを表します。これは管理サーバーのバインド・ポートと同じです。
Sun Java System Access Manager 7.1のエージェント(2.2エージェント)、ユーザー・ストア、認証ストア、認証モジュール、ホスト識別子、リソース、および正しい認証モジュールを備えた正しい認証スキームのポリシーがAccess Manager 11.1.2.2.0に移行されていることを確認します。
URLを使用して、保護されているページにアクセスします。このURLにより、Oracle Access Management 11.1.2.2.0サーバーの「ログイン」ページにリダイレクトされるようになっています。認証が成功すると、正常な認可が実行され、リソースに正常にアクセスできます。