5.4 管理者ロールの管理

デフォルトでは、Oracle Access Managementの管理者ロールはWebLogicの管理者ロール(Administrators)と同じです。

他のユーザー・アイデンティティ・ストア(たとえばOracle Internet Directory)を登録することもできますが、ただし、認証先の登録済ストアの少なくとも1人のユーザーを使用してユーザーweblogicを定義する必要があります。管理者ログインは、認証スキーム(および割り当てられた認証モジュール)がIAMSuiteAgentによって使用されており、そのシステム・ストアも使用する場合にのみ機能します。この項では次のトピックを記載しています:

5.4.1 管理者ロールの理解

企業によっては、Access Managerを担当するユーザーとSecurity Token Serviceを担当するユーザーに別の管理者グループが必要になることがあります。すべての管理者ロール、ユーザーおよびグループをシステム・ストアに格納する必要があります。システム・ストアを変更する場合は、適切な管理者ロールを新しいシステム・ストアに追加することが必要です。

アイデンティティ・ストア登録の編集時にストアをシステム・ストアとして指定すると、「アクセス・システム管理者」セクションが表示されます。ユーザー・アイデンティティ・ストア登録を追加または編集するときに、新しい管理者ロールを追加できます。図5-6は、使用するページとコントロールを示しています。

図5-6 システム管理者ロールの追加

「図5-6 システム管理者ロールの追加」の説明

5.4.2 管理者ロールの定義および削除

システム・ストアとして指定したユーザー・アイデンティティ・ストアに格納する必要があるOracle Access Management管理者ロールを定義または削除できます。

まず、管理者が使用できるように目的のLDAPグループを定義してから、管理者グループがグループ検索ベースで使用可能なことを確認します。(「ユーザー・アイデンティティのシステム・ストアの使用について」を参照してください。)システム・ストアに管理者ロールを追加またはシステム・ストアから削除するには、次の手順に従います。

システム・ストア登録の表示: 次のステップを実行します(またはシステム・ストアとして指定する、「データ・ソース」ノード内の異なるシステム・ストアを検索します)。
1. Oracle Access Managementコンソールの上部にある「構成」をクリックします。
2. 「構成」コンソールで、「管理」をクリックします。
  
  登録したシステム・ストアは、このページからは変更できません。
3. システム・ストアを検索して構成済の管理者を見つけます。
ユーザー・ロールの追加:
1. 「アクセス・システム管理者」表の上にある「付与」(+)ボタンをクリックして、「ユーザーとグループの追加」ダイアログ・ボックスを表示します。
2. 「タイプ」リストで「ユーザー」を選択し、「検索」をクリックします。
3. 結果リスト内で目的のユーザーをクリックし、「選択済の追加」をクリックします。
4. 必要に応じて繰り返し、目的の管理者ユーザー・ロールを追加します。
5. 「適用」をクリックしてユーザー・ロールを送信します。
グループ・ロールの追加:
1. 「アクセス・システム管理者」表の上にある「付与」(+)ボタンをクリックして、「ユーザーとグループの追加」ダイアログ・ボックスを表示します。
2. 「タイプ」リストの「グループ」を選択し、「検索」ボタンをクリックします。
3. 結果リスト内で目的のグループをクリックし、「選択済の追加」ボタンをクリックします。
4. 必要に応じて繰り返し、目的の管理者グループ・ロールを追加します。
5. 「適用」をクリックしてグループ・ロールを送信します。
管理者ロールの削除:
1. 「アクセス・システム管理者」表で、削除するユーザーまたはグループを含む行をクリックします。
2. 表の上にある「削除」(x)ボタンをクリックします。
3. 確認するメッセージが表示されたら確認します。
4. 「適用」をクリックして削除を送信します。
システム・ストアを使用する認証プラグインを修正します(新しいストアの場合)。

この手順の詳細は、「プラグイン・ベースのモジュールによるマルチステップ認証の編成」を参照してください。
新しいロールのテスト: ブラウザのウィンドウを閉じてから、再び開きます。
1. Oracle Access Managementコンソールからサインアウトしてブラウザ・ウィンドウを閉じます。
2. Oracle Access Managementコンソールを起動して、以前の管理者ロールを使用してログインを試み、これが失敗することを確認します。
3. 新しい管理者ロールを使用してログインし、この試みが成功することを確認します。
  
  ログイン失敗: 「管理者のロックアウト」を参照してください。