7.2 コンポーネント・イベント・メッセージのロギング

ロギング・インフラストラクチャは、問題診断に使用できるメッセージを記録します。セキュリティ・トークン・サービスはJ2EE Webアプリケーションで、Access Manager J2EEアプリケーションの一部です。どちらもOJDLをロギング目的に使用します。セキュリティ・トークン・サービスでは、パートナとのやり取りをタイムスタンプとともに取得します。管理者は、ロガーの定義対象となる各コンポーネントに対してログ・レベルを指定することにより、メッセージに記録される情報の量を制御します。

一般に、ユーザーは、問題診断のためにOracleテクニカル・サポートへ送るファイルを作成するためにロギングを有効にします。ログ・メッセージに関するドキュメントはありません。場合によっては、ログ・ファイルを参照することによってユーザー自身で問題を診断できることもあります。

Oracle Access Managementでは、表7-1に示すファイルを使用します。

表7-1 ロギング・ファイル

ファイル・タイプ	説明
ロギング構成ファイル	ロギング・レベルとロギングに関するその他の構成情報を提供します。このファイルは次のパスに格納されています。 $DOMAIN_HOME/config/fmwconfig/servers/SERVER-NAME/logging.xml ノート: デフォルトでは、セキュリティ・トークン・サービスとIdentity Federationのメッセージは、OAMサーバーのログ・ファイルに記録されます。ただし、便宜上、「セキュリティ・トークン・サービスおよびIdentity Federationのロギングの構成」で説明しているとおり、logging.xmlを編集してセキュリティ・トークン・サービスまたはIdentity Federationの情報を別のログ・ファイルに記録するようにできます。
ログ・ファイル	記録された情報は次の場所に格納されます。 $DOMAIN_HOME/servers/SERVER-NAME/logs/ SERVER-NAME-diagnostics.log

Oracle Access Managementでは、表7-2に示すWebLogicコンテナのロギングのデフォルトを使用します。

表7-2 ロギングのデフォルト

ログのタイプ	説明
イベント	次のイベントは自動的に記録されます。 OAMサーバー・イベント(管理されたランタイム・サーバー) 管理イベント(コンソールを使用した構成変更に対して生成)
レベル	デフォルトでは、すべてのOracle Access Managementコンポーネントのログ・レベルが「通知」レベルになっています。「エラー」レベルでのロギングで生成される出力は少量ですが、他のログ・レベルではロギング出力が大量になることがあり、その場合はパフォーマンスに影響します。本番環境では、通常はロギングを無効にするか、ロギング出力量が少くなるようなレベル(たとえばエラー・レベル)に設定します。

詳細は、次を参照してください。

• セキュリティ・トークン・サービスとAccess Managerのコンポーネント・ロガー

• サンプル・ロガーとログ・ハンドラ定義

• ロギング・レベルについて

関連項目:

• Fusion Middleware Controlを使用してログを構成および表示する方法の詳細は、「Fusion Middleware Controlによるパフォーマンスおよびログのモニタリング」を参照してください。

• 『Oracle Platform Security Servicesによるアプリケーションの保護』のロギング情報

7.2.1 セキュリティ・トークン・サービスとAccess Managerのコンポーネント・ロガー

セキュリティ・トークン・サービスとAccess Managerのコンポーネント・ロガーは異なります。

セキュリティ・トークン・サービスにあるロガーは、oracle.security.fedの1つのみです。詳細は、「セキュリティ・トークン・サービスおよびIdentity Federationのロギングの構成」を参照してください。

次の表に示すように、それぞれのAccess Managerコンポーネントには対応するロガー名が関連付けられています。

• 表7-3

• 表7-4

• 表7-5

表7-3 Oracle Access Managementのサーバー側コンポーネントのロガー

コンポーネント名	OAMロガー名	説明
プロトコル・バインディング	oracle.oam.binding	ワイヤ・プロトコルのリクエストとレスポンスのJavaオブジェクト表現へのマーシャリング/アンマーシャリングを処理します
SSOコントローラ	oracle.oam.controller.sso	ユーザー・セッションのライフサイクル管理と、SSOおよびログアウト・フローの編成を処理します
OAMプロキシ	oracle.oam.proxy.oam	OAPプロトコルのリクエストとレスポンスのマーシャリング/アンマーシャリングによるOAM Webゲートとの相互作用と、OAPリクエスト/レスポンスを処理するOAMサーバーを支援するために必要なデータ/メッセージ変換の実行を処理します
OSSOプロキシ	oracle.oam.proxy.osso	リクエストとレスポンスのマーシャリング/アンマーシャリングによるOSSOエージェントとの相互作用と、mod_ossoリクエスト/レスポンスを処理するOAMサーバーを支援するために必要なデータ/メッセージ変換の実行を処理します
OpenSSOプロキシ	oracle.oam.proxy.opensso	リクエストとレスポンスのマーシャリング/アンマーシャリングによるOpenSSO WebおよびJavaエージェントとの相互作用と、OpenSSOリクエスト/レスポンスを処理するOAMサーバーを支援するために必要なデータ/メッセージ変換の実行を処理します
資格証明コレクタ	oracle.oam.credcollector	認証スキームが要求する必須情報を取得するためのユーザーとの相互作用を処理します
パートナのリモート登録	oracle.oam.engine.remotereg	OAMサーバーへのパートナの登録と、それに関連付けられた保護済ポリシーの管理を処理します
Oracle Access Managementコンソール	oracle.oam.admin.console	Access Managementデプロイメントの管理とモニタリングをサポートするコンソールです
管理サービス構成	oracle.oam.admin.service.config	構成を管理するUIコンソールが使用するモジュールです
診断とモニタリング	oracle.oam.diag	診断とモニタリングを可能にするためにOAMサーバー・コンポーネントが使用するインストゥルメンテーションを提供します

表7-4 Oracle Access Management共有サービス・エンジン・コンポーネントのロガー

コンポーネント名	OAMロガー名	説明
認証エンジン	oracle.oam.engine.authn	指定した認証スキームが要求する資格証明とその他のデータを検証することで、ユーザー・アイデンティティの確立をサポートします
ポリシー・サービス・エンジン	oracle.oam.engine.policy	認証、認可およびトークン発行のポリシー管理をサポートします。さらに、ランタイム処理をサポートするポリシー決定サービスも提供します
セッション管理エンジン	oracle.oam.engine.session	ユーザー/管理者が開始したイベントとタイムアウト・ベースのイベントのサポートがある、ユーザー・セッションとトークン・コンテキスト情報の管理をサポートします
トークン・エンジン	oracle.oam.engine.token	生成から取消しまでのトークンの全ライフ・サイクルの管理をサポートします
SSOエンジン	oracle.oam.engine.sso	ユーザー・ログイン・セッションのライフサイクルを管理することで、シングル・サインオンの操作性をサポートします。
PartnerTrustMetadataエンジン	oracle.oam.engine.ptmetadata	パートナ・メタデータと信頼情報の管理をサポートします
認可エンジン	oracle.oam.engine.authz	OAPランタイム・リクエスト操作に直接マップするメソッドを提供するラッパーです

表7-5 Oracle Access Management Foundation APIコンポーネントのロガー

コンポーネント名	OAMロガー名	説明
セッション・アクセス	oracle.oam.session.access	** コードを逆コンパイルしないかぎり、有用ではありません
セッション・アクセス実行	oracle.oam.session.accessimpl	** コードを逆コンパイルしないかぎり、有用ではありません
ポリシー・アクセス	oracle.oam.policy.access	** コードを逆コンパイルしないかぎり、有用ではありません

7.2.2 サンプルのロガーおよびログ・ハンドラの定義

ここでは、Access Manager専用のサンプルのロガーおよびログ・ハンドラを示します。

セキュリティ・トークン・サービスにあるのは、「セキュリティ・トークン・サービスおよびIdentity Federationのロギングの構成」で説明しているように、ロガーとログ・ハンドラそれぞれ1つずつのみです。

次の例に、logging.xmlファイルでのAccess Managerのロガーとログ・ハンドラの構成を示します。

<logging_configuration>

  <log_handlers>
    <log_handler name='oam-handler' class='oracle.core.ojdl.logging.
    ODLHandlerFactory'>
      <property name='path' value='oam/diagnostic'/>
      <property name='maxFileSize' value='10485760'/>
      <property name='maxLogSize' value='104857600'/>
    </log_handler>
  </log_handlers>

  <loggers>
    <logger name='oracle.security.am' level='NOTIFICATION:1'>
      <handler name='oam-handler'/> 
      ...
    </logger>
  </loggers>

</logging_configuration>

関連項目:

Java EEアプリケーション・ロギングの詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』の付録I、I.1.1項を参照してください。

7.2.3 ロギング・レベルについて

Oracle Access Managementでは、ロガーにより出力されるデータの量はロガーのレベルによって制御され、レベルが高くなるほどより多くの情報が記録されます。

ロガーのレベルは、logging.xmlファイルの中で<logger>要素により、次の書式で指定されます。

<logger name="loggerName" level="notifLevel"/>

ここで、loggerNameはロガー名であり(「セキュリティ・トークン・サービスとAccess Managerのコンポーネント・ロガー」を参照)、notifLevelはODLメッセージ・レベルとJavaメッセージ・レベルのどちらかです。

表7-6に、ODLメッセージ・レベルとJavaメッセージ・レベルの対応を昇順に示します。

表7-6 ODLレベルとJavaレベルの対応

ODLメッセージ・レベル	Javaメッセージ・レベル
INCIDENT_ERROR:1	SEVERE.intValue()+100
ERROR:1	SEVERE (例外を記録)
WARNING:1	WARNING (例外を記録)
NOTIFICATION:1	INFO (デフォルト)
NOTIFICATION:16	CONFIG
NOTIFICATION:32	INFOとCONFIG
TRACE:1	FINE(状況によっては本番環境に推奨)
TRACE:16	FINER(本番環境にはお薦めしない)
TRACE:32	FINEST(本番環境にはお薦めしない)

上記に挙げられていない他のJavaレベル値は(つまり、SEVERE.intValue()+100からFINESTまでの範囲にないもの)、ODLレベルのUNKNOWNに相当します。

ノート:

メッセージを最も詳細レベルで記録するフィルタをoracle.security.fedパッケージおよびサブパッケージ(セキュリティ・トークン・サービスのクラス)に定義すると、サーバーを再起動した後でOAMサーバーのログが表示されます。詳細は、「セキュリティ・トークン・サービスおよびIdentity Federationのロギングの構成」を参照してください。