WebLogic Server用のKerberos識別の作成

 WebLogic Server用のKerberos識別を作成するには:

1. Active Directoryドメイン・コントローラ・マシンで、WebLogic ServerドメインおよびEPM Systemコンポーネントで使用されるIISをホストするコンピュータについて、ユーザー・アカウント(epmHostなど)を作成します。

   注意:	マシンではなく、ユーザー・オブジェクトとして識別を作成します。 コンピュータの簡易名を使用します。たとえば、ホスト名がepmHost.example.comの場合、epmHostを使用します。 ユーザー・オブジェクトの作成時に使用したパスワードを書き留めます。これは、SPNの作成に必要です。 パスワード・オプション、特に「ユーザーは次回ログオン時にパスワードの変更が必要」オプションを選択しないでください。

2. Kerberosプロトコルに準拠するようにユーザー・オブジェクトを変更します。アカウントは、Kerberos事前認証を必要とします。

   • 「Account」タブで、使用する暗号化を選択します。

   • 他のアカウント・オプション(特に「Kerberos事前認証を必要としない」)が選択されていないことを確認します。

   • 暗号化タイプを設定すると、オブジェクトのパスワードが破損する可能性があるため、パスワードをオブジェクトの作成時に設定したパスワードにリセットします。

3. Active Directoryドメイン・コントローラをホストするコンピュータで、コマンド・プロンプト・ウィンドウを開き、Active Directoryサポート・ツールがインストールされているディレクトリに移動します。

4. 必要なSPNを作成して構成します。

   1. 次のようなコマンドを使用して、手順1で作成したユーザー・オブジェクト(epmHost)にSPNが関連付けられていることを確認します。

      setspn -L epmHost

   2. 次のようなコマンドを使用して、Active Directoryドメイン・サービス(AD DS)でWebLogic ServerのSPNを構成し、共有秘密鍵を含むkeytabファイルを生成します。

      ktpass -princ HTTP/epmHost.example.com@EXAMPLE.COM -pass password -mapuser epmHost -out c:\epmHost.keytab

5. WebLogic Serverをホストするコンピュータでkeytabファイルを作成します。

   1. コマンド・プロンプトを開きます。

   2. MIDDLEWARE_HOME/jdk160_29/binに移動します。

   3. 次のようなコマンドを実行します:

      ktab -k keytab_filename -a epmHost@example.com

   4. パスワードの入力を求められたら、手順1でユーザーの作成時に設定したパスワードを入力します。

6. WebLogicドメイン内の起動ディレクトリ(C:\Oracle\Middleware\user_projects\domains\EPMSystemなど)にkeytabファイルをコピーします。

7. Kerberos認証が正しく機能していることを確認します。

   kinit -k -t keytab-file account-name

   このコマンドで、account-nameはKerberosプリンシパルを示します。例: HTTP/epmHost.example.com@EXAMPLE.COM。このコマンドからの出力は次のようになります:

   New ticket is stored in cache file C:\Documents and Settings\Username\krb5cc_MachineB