6 ターゲットの使用

この章では、Oracle Privileged Account Managerでターゲットを使用する場合に実行できる様々なタスクについて説明します。

この章では、次の項目について説明します。

• 第6.1項「ターゲットとは」

• 第6.2項「Oracle Privileged Account Managerでのターゲットの追加および構成」

• 第6.3項「ターゲットの検索」

• 第6.4項「ターゲットを開く」

• 第6.5項「ターゲットのサービス・アカウント・パスワードの管理」

• 第6.6項「Oracle Privileged Account Managerからのターゲットの削除」

注意: この章で説明するタスクの多くは、Oracle Privileged Account Managerのコマンド行ツールまたはOracle Privileged Account ManagerのRESTfulインタフェースを使用しても実行できます。 Oracle Privileged Account Managerコンソールのかわりにこれらのインタフェースを使用する場合の手順は、付録A「コマンド行ツールの使用」または付録B「Oracle Privileged Account ManagerのRESTfulインタフェースの使用」を参照してください。 ターゲットを追加、編集または削除するには、セキュリティ管理者管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

6.1 ターゲットとは

ターゲットとは、ユーザー、システムまたはアプリケーション・アカウントを格納および使用し、それらに依存するソフトウェア・システムです。

ターゲットは、Oracle Privileged Account Managerを使用して環境に作成することや、環境から削除することはできません。かわりに、Oracle Privileged Account Managerは、他のメカニズムを使用してプロビジョニングされた既存のターゲットを管理します。

Oracle Privileged Account Managerでターゲットを追加すると、そのターゲットに対する参照が作成されます。実際には、ターゲットを登録してOracle Privileged Account Managerにその管理を依頼することになります。Oracle Privileged Account Managerからターゲットを削除すると、単にその参照が削除されます。

Oracle Privileged Account Managerでは、database、LDAP、lockbox、SAP UM、SAP UME、SSH、UNIXおよびWindowsターゲット・タイプがサポートされます。

lockboxターゲットによって、Oracle Privileged Account Managerでパスワード・ボールトに似た機能が提供されます。つまり、デプロイメント内の特権アカウントに関連付けられたパスワード(またはその他の機密情報)を格納するためのセキュアなメカニズムが提供されます。このターゲット・タイプは、次の点で、他の従来のOracle Privileged Account Managerターゲット・タイプと異なります。

• Oracle Privileged Account Managerは、lockboxターゲット・システムと相互作用しません。これらのシステムへの接続、またはこれらのシステムに対して実行される操作はありません。

• Oracle Privileged Account Managerは、lockboxターゲット上のアカウントに関連付けられたパスワードのライフサイクル管理またはリセットを実行しません。

• パスワードの変更はアウトオブバンドで処理され、管理アクションとしてOracle Privileged Account Manager内で更新されます。そのため、Oracle Privileged Account Managerはパスワードをランダム化せず、それらは管理者によって指定された状態で格納されます。

lockboxターゲットは、Oracle Privileged Account Managerでターゲット・システム上の特権アカウントを自動的に管理することなく、それらのアカウントのパスワードを一元的に格納し、安全に付与する必要がある場合に適しています。たとえば、そのようなターゲット・システムでのパスワードの変更方法および時期の制御を、Oracle Privileged Account Managerに許可せず、自分で実行する場合が考えられます。

また、特定のターゲット・タイプに適したICFコネクタが提供されていないが、Oracle Privileged Account Managerを通じてそのシステムへのアクセスを管理する必要がある場合、lockboxターゲットが役立ちます。

6.2 Oracle Privileged Account Managerでのターゲットの追加および構成

この節では、以下のトピックについて説明します。

• 第6.2.1項「ターゲットの追加」

• 第6.2.2項「ターゲットの構成」

• 第6.2.3項「ターゲットのカスタム属性の構成」

• 第6.2.4項「サードパーティJARのコピー」

6.2.1 ターゲットの追加

注意: いずれかのターゲット・タイプ(lockboxを除く)のターゲットを追加する場合、そのアカウントで次のことができる権限を持つサービス・アカウント(無人アカウントとも呼ばれます)を構成する必要があります。 ターゲット・システムでのアカウントの検索 ターゲット・システムでのアカウントのパスワードの変更 Oracle Privileged Account Managerの管理対象として、サービス・アカウントおよび特権アカウントと同じアカウントを使用しないようにする必要があります。 サービス・アカウントの詳細は、第1.2.1項「機能」の有人および無人アカウントに関する説明および第7章「サービス・アカウントの使用」を参照してください。

注意: IBM WebSphere上でOracle Privileged Account Managerを使用している場合、このトピックの詳細は、Oracle Fusion Middleware Oracle Identity and Access Managementサード・パーティ・アプリケーション・サーバー・ガイドのIBM WebSphere上のOracle Privileged Account Managerへのターゲットの追加時における相違点に関する項を参照してください。

Oracle Privileged Account Managerが管理可能なターゲットを追加するには、次の手順を実行します。

1. Oracle Privileged Account Managerにログインします。

2. 「管理」アコーディオンから「ターゲット」を選択して、「ターゲット」ページを開きます。

3. 検索結果表のツールバーにある「追加」をクリックし、新しいターゲットを開きます。新しい「無題」ページが開きます(このページには、次の3つのタブがあります)。

   
   

   注意: この時点では、「一般」タブのみがアクティブです。「特権アカウント」および「メンバー所属」の各タブは、ターゲットを作成して保存するまではアクティブになりません。

   
   

   • 一般

     通常、このタブには3つの領域があり、これを使用してターゲットのそれぞれのパラメータを指定します。3つの領域は次のとおりです。

     • 基本構成

     • 拡張構成

     • カスタム属性

   • 特権アカウント

     このタブには、ターゲットで現在管理されている特権アカウントのリストが含まれ、そのターゲットによって管理されているアカウントを追加、オープンおよび削除できます。

   • メンバー所属

     このタブには、特権アカウントがメンバーとなっている各種リソース・グループの一覧表が含まれています。

4. 「一般」タブで、「ターゲット・タイプ」ドロップダウン・リストを選択してターゲット・タイプ(database、ldap、lockbox、sapum、sapume、ssh、unixまたはwindows)を選択した後、残りの構成パラメータとカスタム属性を設定します。

   
   

   注意: ターゲット・タイプを設定すると、新規の「無題」ページがリフレッシュされ、選択内容に基づいてパラメータが変更されます。 各ターゲット・タイプの構成パラメータの詳細は、第6.2.2項「ターゲットの構成」を参照してください。 ターゲットのカスタム属性の構成の詳細は、第6.2.3項「ターゲットのカスタム属性の構成」を参照してください。 ターゲットのサードパーティjarのコピーの詳細は、第6.2.4項「サードパーティJARのコピー」を参照してください。

   
   

5. ターゲットの構成パラメータを設定したら、「テスト」をクリックしてターゲットの構成を確認します。

   構成が有効な場合、「Test Succeeded」というメッセージが表示されます。

6. 「保存」をクリックして、Oracle Privileged Account Managerサーバーに新しいターゲットを追加します。

   Oracle Privileged Account Managerによって自動的にターゲットGUIDが割り当てられ、その読取り専用値は「基本構成」パラメータ・セクションの下部に表示されます。

これで、このターゲットを特権アカウントに関連付けることができます。詳細な手順については、第9.2項「Oracle Privileged Account Managerへの特権アカウントの追加」を参照してください。

6.2.2 ターゲットの構成

次の項では、ターゲットごとに使用可能なパラメータについて説明します。

• 第6.2.2.1項「データベース・ターゲットの構成」

• 第6.2.2.2項「LDAPターゲット・タイプの構成」

• 第6.2.2.3項「Lockboxターゲット・タイプの構成」

• 第6.2.2.4項「UNIXターゲット・タイプの構成」

• 第6.2.2.5項「Windowsターゲット・タイプの構成」

• 第6.2.2.6項「SSHターゲット・タイプの構成」

• 第6.2.2.7項「SAP UMターゲット・タイプの構成」

• 第6.2.2.8項「SAP UMEターゲット・タイプの構成」

注意: (アスタリスク(*)記号で示された)すべての必須属性を指定する必要があります。

6.2.2.1 データベース・ターゲットの構成

databaseターゲット・タイプを選択すると、次のリージョンが表示されます。

• 基本構成:

  このリージョンには、databaseターゲット・タイプの作成時に値を指定できる基本構成パラメータが含まれています。このパラメータについては、表6-1を参照してください。

• 拡張構成:

  このリージョンには、databaseターゲット・タイプの作成時に値を指定できるオプションの拡張構成パラメータが含まれています。このパラメータについては、表6-2を参照してください。

表6-1 データベース・ターゲット・タイプの基本構成パラメータ

パラメータ名	説明
名前	新しいターゲットの名前を入力します。
説明	このターゲットの説明を入力します。
組織	ターゲットに関連付ける組織の名前を入力します。
ドメイン	ターゲット・サーバーのドメインを入力します。
パスワード・ポリシー	ターゲットのサービス・アカウントに適用するパスワード・ポリシーを選択します。Oracle Privileged Account Managerは、このポリシーを使用してパスワードを自動生成します。
コネクタ・サーバー	ドロップダウン・リストからコネクタ・サーバーを選択して、使用されるコネクタ・サーバーを指定します。 デフォルトはNoneです。
パスワード・ロールオーバーの有効化	このボックスを有効にすると、割り当てられたパスワード・ポリシーで指定されている「パスワード有効期限」設定に従って、Oracle Privileged Account Managerによって、そのターゲットのサービス・アカウント・パスワードがランダムに生成された値に自動的に変更(ロールオーバー)されます。 注意: ターゲットのサービス・アカウントに対するパスワードのロールオーバーは、特権アカウントのパスワードの有効期限と似ています。パスワードが、関連付けられたパスワード・ポリシーで構成されている有効期限までに変更されていない場合、そのパスワードはOracle Privileged Account Managerによって、ランダム化された値に自動的に変更されます。
ホスト	ターゲット・サーバーのホスト名を入力します。
データベース接続URL	ターゲット・システムの場所を識別するために使用するJDBC URLを入力します。 次に例を示します。 Oracle:jdbc:oracle:thin:@<host>: <port>:<sid> 注意: Oracle Privileged Account Managerでは、Oracle、MSSQL、SybaseおよびMySQLデータベース・タイプがサポートされます。 サポートされている特別なオプションは、『Oracle Identity Manager Database User Managementコネクタ・ガイド』を参照してください。
管理ユーザー名(サービス・アカウント)	このターゲットへの接続時に使用する管理者名を入力します。 注意: sysユーザー名を使用する場合、 「拡張構成」領域にある接続プロパティ・フィールドにinternal_logon=sysdbaと入力する必要があります。この入力は、systemでは必要ありません。
管理ユーザー・パスワード(サービス・アカウント・パスワード)	ユーザーのパスワードを入力します。
データベース・タイプ	コネクタを使用するデータベースのタイプ(Oracle、MSSQL、SybaseまたはMySQL)を選択します。 Oracle Databaseターゲットを選択する場合、ドライバjarは必要ありません。他のターゲット・システムの場合、サードパーティjarをコピーする必要があります。詳細は、第6.2.4.1項「データベース・ターゲットのサードパーティJARのコピー」を参照してください。
メンバー所属リソース・グループ	このターゲットを関連付けられるリソース・グループを検索して選択します。

次の表では、オプションの拡張構成パラメータについて説明します。

表6-2 データベース・ターゲット・タイプの拡張構成パラメータ

パラメータ名	説明
接続プロパティ	セキュアな接続を構成する場合に使用する接続プロパティを入力します。 これらのプロパティは、prop1=val1#prop2=val2という書式で指定された名前/値ペアにする必要があります。

6.2.2.2 LDAPターゲット・タイプの構成

ldapターゲット・タイプを選択すると、次のリージョンが表示されます。

• 基本構成

  このリージョンには、ldapターゲット・タイプの作成時に値を指定できる基本構成パラメータが含まれています。このパラメータについては、表6-3を参照してください。

• 拡張構成

  このリージョンには、ldapターゲット・タイプの作成時に値を指定できるオプションの拡張構成パラメータが含まれています。このパラメータについては、表6-4を参照してください。

表6-3 LDAPターゲット・タイプの基本構成パラメータ

パラメータ名	説明
名前	新しいターゲットの名前を入力します。
説明	このターゲットの説明を入力します。
組織	ターゲットに関連付ける組織の名前を入力します。
ドメイン	ターゲット・サーバーのドメインを入力します。
パスワード・ポリシー	ターゲットのサービス・アカウントに適用するパスワード・ポリシーを選択します。Oracle Privileged Account Managerは、このポリシーを使用してパスワードを自動生成します。
コネクタ・サーバー	ドロップダウン・リストからコネクタ・サーバーを選択して、使用されるコネクタ・サーバーを指定します。 デフォルトはNoneです。
ホスト	ターゲット・サーバーのホスト名を入力します。
TCPポート	LDAPサーバーとの通信時に使用するTCP/IPポートを入力します。 上向きまたは下向きの矢印アイコンを使用して、この値を増加できます。
SSL	LDAPサーバーへの接続時にSecure Socket Layer (SSL)を使用するには、このボックスを選択します。 注意: SSLで接続する場合、Oracle Privileged Account ManagerをホストしているJ2EEコンテナにSSL証明書をインポートする必要があります。詳細は、第17.1項「SSL経由でターゲット・システムと接続するためのOracle Privileged Account Managerの構成」を参照してください。
プリンシパル(サービス・アカウント)	LDAPサーバーに対する認証時に使用する識別名(DN)を入力します。 たとえば、cn=adminとします。
パスワード(サービス・アカウント・パスワード)	ユーザーのパスワードを入力します。
ベース・コンテキスト	LDAPサーバーのツリーでユーザーを検索する場合や、ユーザーがメンバーであるグループを検索する場合に使用するLDAPツリーの1つ以上の開始点を入力します。パイプ(|)を使用して値を区切ります。
アカウント・ユーザー名属性	アカウントのユーザー名として使用する属性を入力します。 (デフォルトはuidです)。
メンバー所属リソース・グループ	このターゲットを関連付けられるリソース・グループを検索して選択します。

次の表では、オプションの拡張構成パラメータについて説明します。

表6-4 LDAPターゲット・タイプの拡張構成パラメータ

パラメータ名	説明
UID属性	Uid属性にマップされているLDAP属性の名前を入力します。
アカウント取得用LDAPフィルタ	LDAPリソースから返されるアカウントを制御するためのLDAPフィルタを入力します。 フィルタを指定しない場合、Oracle Privileged Account Managerでは、指定したすべてのオブジェクト・クラスを含むアカウントのみが返されます。
パスワード属性	パスワードを保持するLDAP属性の名前を入力します。 ユーザーのパスワードを変更すると、Oracle Privileged Account Managerによってこの属性に新規パスワードが設定されます。
アカウント・オブジェクト・クラス	LDAPツリー内への新規ユーザー・オブジェクトの作成時に使用する1つ以上のオブジェクト・クラスを入力します。 個々の行に各オブジェクト・クラスを入力します。エントリを区切るのにカンマまたはセミコロンは使用しません。 一部のオブジェクト・クラスは、値を区切るためのパイプ(|)を使用してクラス階層を指定する必要があります。

6.2.2.3 Lockboxターゲット・タイプの構成

lockboxターゲット・タイプを選択すると、「基本構成」リージョンが表示されます。このリージョンには、lockboxターゲット・タイプの作成時に値を指定できる基本構成パラメータが含まれています。このパラメータについては、表6-5を参照してください。

表6-5 Lockboxターゲット・タイプの基本構成パラメータ

パラメータ名	説明
名前	新しいターゲットの名前を入力します。
説明	このターゲットの説明を入力します。
組織	ターゲットに関連付ける組織の名前を入力します。
ドメイン	ターゲット・サーバーのドメインを入力します。
ホスト	ターゲット・サーバーのホスト名を入力します。
メンバー所属リソース・グループ	このターゲットを関連付けられるリソース・グループを検索して選択します。

注意: 第3.2.3項「ICFコネクタの使用」の説明に従ってopam-config.xmlファイルを編集することによって、構成パラメータをこのリストに追加できます。

6.2.2.4 UNIXターゲット・タイプの構成

unixターゲット・タイプを選択すると、次のリージョンが表示されます。

• 基本構成

  このリージョンには、unixターゲット・タイプの作成時に値を指定できる基本構成パラメータが含まれています。このパラメータについては、表6-6を参照してください。

• 拡張構成

  このリージョンには、unixターゲット・タイプの作成時に値を指定できるオプションの拡張構成パラメータが含まれています。このパラメータについては、表6-7を参照してください。

表6-6 UNIXターゲット・タイプの基本構成パラメータ

パラメータ名	説明
名前	新しいターゲットの名前を入力します。
説明	このターゲットの説明を入力します。
組織	ターゲットに関連付ける組織の名前を入力します。
ドメイン	ターゲット・サーバーのドメインを入力します。
パスワード・ポリシー	ターゲットのサービス・アカウントに適用するパスワード・ポリシーを選択します。Oracle Privileged Account Managerは、このポリシーを使用してパスワードを自動生成します。
コネクタ・サーバー	ドロップダウン・リストからコネクタ・サーバーを選択して、使用されるコネクタ・サーバーを指定します。 デフォルトはNoneです。
パスワード・ロールオーバーの有効化	このボックスを有効にすると、割り当てられたパスワード・ポリシーで指定されている「パスワード有効期限」設定に従って、Oracle Privileged Account Managerによって、そのターゲットのサービス・アカウント・パスワードがランダムに生成された値に自動的に変更(ロールオーバー)されます。 注意: ターゲットのサービス・アカウントに対するパスワードのロールオーバーは、特権アカウントのパスワードの有効期限と似ています。パスワードが、関連付けられたパスワード・ポリシーで構成されている有効期限までに変更されていない場合、そのパスワードはOracle Privileged Account Managerによって、ランダム化された値に自動的に変更されます。
ホスト	ターゲット・サーバーのホスト名を入力します。
ポート	UNIXサーバーとの接続に使用されるポート(デフォルト・ポートは22)を入力します。上向きまたは下向きの矢印アイコンを使用して、この値を増加できます。 注意: サポートされるのはSSHプロトコルのみです。
ログイン・ユーザー(サービス・アカウント)	このターゲットへの接続時に使用するユーザー名を入力します。
ログイン・ユーザー・パスワード(サービス・アカウント・パスワード)	ユーザーのパスワードを入力します。
ログイン・シェル・プロンプト	ターゲットへのログイン時に表示するシェル・プロンプトを入力します。 たとえば、$または#とします。 注意: sudo認可を使用している場合、ログイン・ユーザー用とsudoルート・アカウント用ではプロンプトが異なることがあります。たとえば、jdoeのシェル・プロンプトは$ですが、ルートへのsudo実行後、そのプロンプトは#に変わることがあります。そのような場合、角カッコ[ ]内に両方の記号を指定する必要があります。デフォルト値[$#%>~]は、すべての一般的に使用されるUNIXシェル・プロンプトで構成されており、多くの状況に対応します。
Sudo認可	ユーザーがsudo認可を必要とする場合、このボックスを選択します。 rootユーザーの場合はこのボックスを選択しないでください。 注意: sudo認可を使用する場合、UNIXコネクタは、ターゲット・システムで特定の条件(sudo実行ファイルに含まれる特定の構成など)が満たされていることを要求します。これらの条件の詳細は、Oracle Identity Manager UNIXコネクタ・ガイドで、コネクタ操作用にターゲット・システムでSUDOユーザー・アカウントを作成する作業に関する項を参照してください。
メンバー所属リソース・グループ	このターゲットを関連付けられるリソース・グループを検索して選択します。

次の表では、オプションの拡張構成パラメータについて説明します。

表6-7 UNIXターゲット・タイプの拡張構成パラメータ

パラメータ名	説明
コマンド・タイムアウト	コマンドを終了せずに完了するまで待機する時間(ミリ秒)を指定します。
パスワード要求表現	ユーザーのパスワードの設定時にターゲットに表示される表現を指定します。たとえば、Enter passwordおよびRe-enter passwordという表現をpasswdコマンドの実行時に表示する場合、このフィールドの値はenter password,re-enter passwordになります。 注意: 正規表現も指定できます。2つの式を区切るには、カンマを使用します。
パスワード要求前の表現	一部のターゲットでのpasswdコマンドの実行時に、プロンプトを表示してからパスワード・プロンプトを表示できます。プロンプトの表現および要求する入力値を指定し、カンマを使用してこれらの値を区切ります。
sudoパスワード要求表現	sudoモードでのコマンドの実行時に表示するパスワード・プロンプトを指定します。(デフォルト値はpasswordです) 注意: これは、sudoユーザーを使用している場合、sudoが設定された後にsudo -vを入力すると受信するプロンプトです。oracleがユーザーである、次のような別のプロンプトが表示される場合があります。[sudo] password for Oracle: これは動的プロンプトであり、プロンプトでのパスワードの入力をコネクタが予測できるようにするため、デフォルトの静的プロンプトに変更する必要があります。デフォルトのパスワード・プロンプトは次のコマンドを"Defaults"セクションで追加することで、sudoユーザーを使用して設定できます。 Defaults passprompt="password:"

6.2.2.5 Windowsターゲット・タイプの構成

windowsターゲット・タイプを選択すると、「基本構成」リージョンが表示されます。このリージョンには、windowsターゲット・タイプの作成時に値を指定できる基本構成パラメータが含まれています。このパラメータについては、表6-8を参照してください。

表6-8 Windowsターゲット・タイプの基本構成パラメータ

パラメータ名	説明
名前	新しいターゲットの名前を入力します。
説明	このターゲットの説明を入力します。
組織	ターゲットに関連付ける組織の名前を入力します。
ドメイン	ターゲット・サーバーのドメインを入力します。
パスワード・ポリシー	ターゲットのサービス・アカウントに適用するパスワード・ポリシーを選択します。Oracle Privileged Account Managerは、このポリシーを使用してパスワードを自動生成します。
コネクタ・サーバー	ドロップダウン・リストからコネクタ・サーバーを選択して、使用されるコネクタ・サーバーを指定します。 デフォルトはNoneです。 注意: Windowsターゲットでは、Windowsコネクタがインストールされているコネクタ・サーバーが必要です。コネクタ・サーバーの構成の詳細は、第5.4項「コネクタ・サーバーの管理」を参照してください。
パスワード・ロールオーバーの有効化	このボックスを有効にすると、割り当てられたパスワード・ポリシーで指定されている「パスワード有効期限」設定に従って、Oracle Privileged Account Managerによって、そのターゲットのサービス・アカウント・パスワードがランダムに生成された値に自動的に変更(ロールオーバー)されます。 注意: ターゲットのサービス・アカウントに対するパスワードのロールオーバーは、特権アカウントのパスワードの有効期限と似ています。パスワードが、関連付けられたパスワード・ポリシーで構成されている有効期限までに変更されていない場合、そのパスワードはOracle Privileged Account Managerによって、ランダム化された値に自動的に変更されます。
ホスト	ターゲット・サーバーのホスト名を入力します。
管理者アカウント	管理者アカウントのユーザー名を入力します。 注意: AdminNameの形式は次のいずれかを使用できます。 MachineName\Username DomainName\Username AdminNameをDomainName\Username形式で指定する場合は、マシンのIPアドレスをHostnameとして指定できます。
管理者パスワード	管理者アカウントのパスワードを入力します。
メンバー所属リソース・グループ	このターゲットを関連付けられるリソース・グループを検索して選択します。

6.2.2.6 SSHターゲット・タイプの構成

"ssh"ターゲット・タイプを選択すると、「基本構成」リージョンが表示されます。このリージョンには、sshターゲット・タイプの作成時に値を指定できる基本構成パラメータが含まれています。このパラメータについては、表6-9を参照してください。

注意: SSHをサポートするネットワーク・デバイスの例としてはルーター、ファイアウォールおよびハイパーバイザがあります。特定のネットワーク・デバイスを操作するためのカスタマイズの追加方法の詳細は、付録C「SSHコネクタの操作」を参照してください。 カスタマイズ・プロセスにはスクリプトの作成と正規表現の構成が含まれます。これらの手順の詳細は、次の項を参照してください。 第C.2項「スクリプトの作成」 第C.3項「検索の正規表現の構成」

表6-9 SSHターゲット・タイプの基本構成パラメータ

パラメータ名	説明
名前	新しいターゲットの名前を入力します。
説明	このターゲットの説明を入力します。
組織	ターゲットに関連付ける組織の名前を入力します。
ドメイン	ターゲット・サーバーのドメインを入力します。
パスワード・ポリシー	ターゲットのサービス・アカウントに適用するパスワード・ポリシーを選択します。Oracle Privileged Account Managerは、このポリシーを使用してパスワードを自動生成します。
コネクタ・サーバー	ドロップダウン・リストからコネクタ・サーバーを選択して、使用されるコネクタ・サーバーを指定します。 デフォルトはNoneです。
パスワード・ロールオーバーの有効化	このボックスを有効にすると、割り当てられたパスワード・ポリシーで指定されている「パスワード有効期限」設定に従って、Oracle Privileged Account Managerによって、そのターゲットのサービス・アカウント・パスワードがランダムに生成された値に自動的に変更(ロールオーバー)されます。 注意: ターゲットのサービス・アカウントに対するパスワードのロールオーバーは、特権アカウントのパスワードの有効期限と似ています。パスワードが、関連付けられたパスワード・ポリシーで構成されている有効期限までに変更されていない場合、そのパスワードはOracle Privileged Account Managerによって、ランダム化された値に自動的に変更されます。
ホスト	ターゲット・サーバーのホスト名を入力します。
管理権限モード・パスワード	このボックスを有効にすると、Oracle Privileged Account Managerでは、このターゲットのCiscoデバイスに対する権限モード・パスワードを管理できます。 注意: 権限モード・パスワードは、権限コマンドを実行できる権限モードを入力するために、一部のCiscoデバイスによって使用されます。 このオプションが選択されると、"PRIVILEGE_MODE_ACCOUNT"というアカウントがOracle Privileged Account Managerのターゲットの下に作成されます。セキュリティ管理者はこのアカウントを使用して、そのCiscoデバイスの権限モード・パスワードを管理できます。たとえば、このアカウントのパスワードがリセットされると、Ciscoデバイスの権限モード・パスワードもリセットされます。 このアカウントでパスワードがリセットされる際、UPDATE_ACCOUNT操作に対して定義されているスクリプトが、Ciscoデバイスで権限モード・パスワードのリセットに使用されます。スクリプトの詳細は、第C.2項「スクリプトの作成」と第C.4.1.1項「スクリプト・ファイルの内容」を参照してください。
ポート	SSHサーバーとの接続に使用されるポート(デフォルト・ポートは22)を入力します。上向きまたは下向きの矢印アイコンを使用して、この値を増加できます。 注意: サポートされるのはSSHプロトコルのみです。
ログイン・ユーザー名 (サービス・アカウント)	このターゲットへの接続時に使用するユーザー名を入力します。
パスワード (サービス・アカウント・パスワード)	このターゲットへの接続に使用されるユーザーのパスワードを入力します。
プロパティ・ファイルのパス	プロパティ・ファイルのフルパスを入力します。
検索の正規表現	ターゲットから取得したユーザー検索の出力から、ユーザーまたはロール(あるいはその両方)をフェッチする場合に使用する必要がある正規表現を入力します。
ログイン・シェル・プロンプト	ターゲットへのログイン時に表示するシェル・プロンプトを入力します。 たとえば、$または#とします。
権限モード・パスワード	このフィールドは省略可能です。権限モードにアクセスするための、権限モードのパスワードを入力します。このパラメータの値はCisco製品を使用している場合にのみ指定し、それ以外はこのフィールドは無視して構いません。
メンバー所属リソース・グループ	このターゲットを関連付けられるリソース・グループを検索して選択します。

6.2.2.7 SAP UMターゲット・タイプの構成

sapumターゲット・タイプを選択すると、次のリージョンが表示されます。

• 基本構成

  このリージョンには、sapumターゲット・タイプの作成時に値を指定できる基本構成パラメータが含まれています。このパラメータについては、表6-10を参照してください。

• 拡張構成

  このリージョンには、sapumターゲット・タイプの作成時に値を指定できるオプションの拡張構成パラメータが含まれています。このパラメータについては、表6-11を参照してください。

注意: このターゲットの場合、サードパーティjarをコピーする必要があります。詳細は、第6.2.4.2項「SAPUMおよびSAPUMEターゲットのサードパーティJARのコピー」を参照してください。

表6-10 SAPUMターゲット・タイプの基本構成パラメータ

パラメータ名	説明
名前	新しいターゲットの名前を入力します。
説明	このターゲットの説明を入力します。
組織	ターゲットに関連付ける組織の名前を入力します。
ドメイン	ターゲット・サーバーのドメインを入力します。
パスワード・ポリシー	ターゲットのサービス・アカウントに適用するパスワード・ポリシーを選択します。Oracle Privileged Account Managerは、このポリシーを使用してパスワードを自動生成します。
コネクタ・サーバー	ドロップダウン・リストからコネクタ・サーバーを選択して、使用されるコネクタ・サーバーを指定します。 デフォルトはNoneです。
パスワード・ロールオーバーの有効化	このボックスを有効にすると、割り当てられたパスワード・ポリシーで指定されている「パスワード有効期限」設定に従って、Oracle Privileged Account Managerによって、そのターゲットのサービス・アカウント・パスワードがランダムに生成された値に自動的に変更(ロールオーバー)されます。 注意: ターゲットのサービス・アカウントに対するパスワードのロールオーバーは、特権アカウントのパスワードの有効期限と似ています。パスワードが、関連付けられたパスワード・ポリシーで構成されている有効期限までに変更されていない場合、そのパスワードはOracle Privileged Account Managerによって、ランダム化された値に自動的に変更されます。
ホスト	ターゲット・サーバーのホスト名を入力します。
ユーザー	サービス・アカウントの名前を入力します。
パスワード	サービス・アカウントのパスワードを入力します。
SAPシステム番号	SAPターゲットのシステム番号を入力します。デフォルト値は00です。
クライアント	SAPクライアント設定の名前を入力します。デフォルト値は000です。
SAP宛先名	作成する必要がある宛先を定義する一意のリソース名を入力します。
マスター・システム	SAPシステムの識別に使用されるRFC宛先の値を入力します。
ダミー・パスワード	ユーザー作成プロビジョニング操作時にコネクタで使用するダミー・パスワードを入力します。
メンバー所属リソース・グループ	このターゲットを関連付けられるリソース・グループを検索して選択します。

次の表では、オプションの拡張構成パラメータについて説明します。

表6-11 SAPUMターゲット・タイプの拡張構成パラメータ

パラメータ名	説明
CUAモード	マスター・システムから子システムへのパスワードの伝播
子システムへのパスワードの伝播	マスター・システムから子システムへのパスワードの伝播

6.2.2.8 SAP UMEターゲット・タイプの構成

sapumeターゲット・タイプを選択すると、次のリージョンが表示されます。

• 基本構成

  このリージョンには、sapumeターゲット・タイプの作成時に値を指定できる基本構成パラメータが含まれています。このパラメータについては、表6-12を参照してください。

• 拡張構成

  このリージョンには、sapumeターゲット・タイプの作成時に値を指定できるオプションの拡張構成パラメータが含まれています。このパラメータについては、表6-13を参照してください。

注意: このターゲットの場合、サードパーティjarをコピーする必要があります。詳細は、第6.2.4.2項「SAPUMおよびSAPUMEターゲットのサードパーティJARのコピー」を参照してください。

表6-12 SAPUMEターゲット・タイプの基本構成パラメータ

パラメータ名	説明
名前	新しいターゲットの名前を入力します。
説明	このターゲットの説明を入力します。
組織	ターゲットに関連付ける組織の名前を入力します。
ドメイン	ターゲット・サーバーのドメインを入力します。
パスワード・ポリシー	ターゲットのサービス・アカウントに適用するパスワード・ポリシーを選択します。Oracle Privileged Account Managerは、このポリシーを使用してパスワードを自動生成します。
コネクタ・サーバー	ドロップダウン・リストからコネクタ・サーバーを選択して、使用されるコネクタ・サーバーを指定します。 デフォルトはNoneです。
パスワード・ロールオーバーの有効化	このボックスを有効にすると、割り当てられたパスワード・ポリシーで指定されている「パスワード有効期限」設定に従って、Oracle Privileged Account Managerによって、そのターゲットのサービス・アカウント・パスワードがランダムに生成された値に自動的に変更(ロールオーバー)されます。 注意: ターゲットのサービス・アカウントに対するパスワードのロールオーバーは、特権アカウントのパスワードの有効期限と似ています。パスワードが、関連付けられたパスワード・ポリシーで構成されている有効期限までに変更されていない場合、そのパスワードはOracle Privileged Account Managerによって、ランダム化された値に自動的に変更されます。
ホスト	ターゲット・サーバーのホスト名を入力します。
UME URL	SPMLサービスのURLを入力します。
ユーザーID	サービス・アカウントの名前を入力します。
パスワード	サービス・アカウントのパスワードを入力します。
ダミー・パスワード	ユーザー作成プロビジョニング操作時にコネクタで使用するダミー・パスワードを入力します。
メンバー所属リソース・グループ	このターゲットを関連付けられるリソース・グループを検索して選択します。

次の表では、オプションの拡張構成パラメータについて説明します。

表6-13 SAPUMEターゲット・タイプの拡張構成パラメータ

パラメータ名	説明
ログオン名の最初のサブストリング	英語の完全リコンシリエーションをサポートする、一連の文字を入力します。他の言語の場合は、その言語のすべての文字を入力します。 サンプル値: abcdefghijklmnopqrstuvwxyz1234567890
SPMLリクエストのログ記録	SPMLリクエストを出力する場合は「yes」と入力します。デフォルト値はnoです。

6.2.3 ターゲットのカスタム属性の構成

カスタム属性は、カスタムの属性と値を格納できるオプションのパラメータです。これらのパラメータを使用して、ターゲットに関する追加情報を格納できます。たとえば、Unixターゲットのデータ・センターの名前を定義したり、Oracle DatabaseターゲットのOracleホームのパスを定義したりできます。これらの属性を使用すれば、ターゲット・システムに関する詳細情報を管理者に提供できます。カスタム属性は、このような追加情報をプラグインに渡す場合にも使用できます。

カスタム属性を構成するには、新しい行を追加して「属性名」列と「属性値」列に値を指定します。複数値属性の場合は、同じ属性名で新しい行を追加し、「属性値」列に、その次の値を指定する必要があります。

ターゲット・タイプのカスタム属性を構成するには、新しい行を追加して「属性名」列に値を指定し、「保存」をクリックします。

6.2.4 サードパーティJARのコピー

この項では、データベース、SAPUMおよびSAPUMEターゲットのサードパーティjarをコピーする手順について説明します。構成するターゲットに応じて、次のいずれかの手順を実行します。

• 第6.2.4.1項「データベース・ターゲットのサードパーティJARのコピー」

• 第6.2.4.2項「SAPUMおよびSAPUMEターゲットのサードパーティJARのコピー」

6.2.4.1 データベース・ターゲットのサードパーティJARのコピー

Oracle Databaseターゲットを選択する場合、ドライバjarは必要ありません。他のターゲット・システムの場合、次のいずれかのサードパーティjarをコピーする必要があります。

• MSSQLの場合: sqljdbc4.jarをコピーします。

• MySQLの場合: mysql-connector-java-5.1.20-bin.jarをコピーします。

• Sybaseの場合: jconn4.jarをコピーします。

jarのコピーには、次のいずれかのオプションを使用できます。

オプション1: 『Oracle Fusion Middleware Oracle WebLogic Serverアプリケーションの開発』のドメイン/libディレクトリへのJARの追加に関する項の説明に従って、サードパーティjarをWebLogicドメインの/libディレクトリにコピーします。

オプション2: コネクタjarを次のように変更して、サードパーティjarを含めます。

1. 次の場所にあるDBUMコネクタ・バンドルのバックアップ・コピーを作成します。

   ORACLE_HOME/connectors/dbum/bundle/
   org.identityconnectors.dbum-1.0.1116.jar
   

2. temporary/libフォルダを作成し、このフォルダにサードパーティjarを配置します。

3. 次のようにバンドルをサードパーティjarで更新します。

   jar -uvf org.identityconnectors.dbum-1.0.1116.jar lib/JAR_NAME
   

4. temporary/libフォルダを削除します。

5. すべてのOracle Privileged Account Managerプロセスを起動して、すべての変更を有効にします。

詳細は、『Oracle Identity Manager Database User Managementコネクタ・ガイド』のコネクタ・サーバーへのコネクタのインストールに関する項を参照してください。

6.2.4.2 SAPUMおよびSAPUMEターゲットのサードパーティJARのコピー

注意: バージョン3.0.2以降のsapjco3.jarファイルを使用していることを確認してください。SAP Webサイトからファイルをダウンロードするには、ソフトウェア・ダウンロード認可を使用して、SAPサービス・マーケットプレイスにアクセスできる必要があります。

サードパーティjarおよび外部コード・ファイルをダウンロードして必要な場所にコピーする手順:

1. 次のようにして、SAP Javaコネクタ・ファイルをSAPのWebサイトからダウンロードします。

   1. 「Application Platform」、「Connectivity」、「Connectors」、「SAP Java Connector」、「Tools & Services」の順に選択して、「SAP Java Connector」ページを開きます。

   2. 「SAP Java Connector」ページの右側のペインに、ダウンロード可能なファイルのリンクが表示されます。ダウンロードするSAP JCoリリースのリンクをクリックします。

   3. 表示されたダイアログ・ボックスで、ファイルの保存先を指定します。

2. 保存場所から、ダウンロードしたファイルの内容を抽出します。

3. 『Oracle Fusion Middleware Oracle WebLogic Serverアプリケーションの開発』のドメイン/libディレクトリへのJARの追加に関する項の説明に従って、これらのサードパーティjarをWebLogicドメインの/libディレクトリにコピーします。

4. RFCファイルをOracle Identity Managerホスト・コンピュータ上の必要なディレクトリにコピーし、このディレクトリへのパスが含まれるように適切な環境変数を変更します。

   • Microsoft Windowsの場合:

     sapjco3.dllファイルをwinnt\system32ディレクトリにコピーします。あるいは、これらのファイルを任意のディレクトリにコピーし、そのディレクトリへのパスをPATH環境変数に追加することもできます。

   • SolarisおよびLinuxの場合:

     libsapjco3.soファイルを/usr/local/jcoディレクトリにコピーし、このディレクトリへのパスをLD_LIBRARY_PATH環境変数に追加します。

5. Microsoft Windowsプラットフォームでは、msvcr80.dllおよびmsvcp80.dllファイルがc:\WINDOWS\system32ディレクトリに存在することを確認します。必要に応じて、両方のファイルをインターネット上の様々なソースからダウンロードすることができます。

6. IBM WebSphere Application Serverを使用している場合、次の手順を実行します。

   1. 次のファイルをWEBSPHERE_HOME/AppServer/libにコピーします。

      • libsapjco3.so

      • sapidoc3.jar

      • sapjco3.jar

      たとえば、前述のファイルを/home/shareuser/R2PS1ST1WAS/IBM/WebSphere/AppServer/libの場所にコピーします

   2. 次の例に示されているように、PROFILE_HOME/bin/setupCmdLine.shファイルを更新します。

      WAS_CLASSPATH="$WAS_HOME"/properties:"$WAS_HOME"/lib/startup.jar:"$WAS_HOME"/lib/bootstrap.jar:"$WAS_HOME"/lib/lmproxy.jar:"$WAS_HOME"/lib/urlprotocols.jar:"$WAS_HOME"/lib/sapjco3.jar:"$WAS_HOME"/lib/sapidoc3.jar:"$JAVA_HOME"/lib/tools.jar

7. 環境変数への変更を有効にするために、サーバーを再起動します。

8. SAP JCoが正常にインストールされたかどうかをチェックするには、コマンド・ウィンドウで、次のコマンドのいずれかを実行します。

   java –jar JCO_DIRECTORY/sapjco3.jar
   java –classpath JCO_DIRECTORY/sapjco3.jar com.sap.conn.jco.rt.About
   

   前述のコマンドで、JCO_DIRECTORYはsapjco3.jarファイルがコピーされた場所です。

   図6-1は表示されるダイアログ・ボックスを示しています。JCoクラスおよびJCoライブラリ・パスはこのダイアログ・ボックスに表示されているはずです。

   図6-1 SAP JCoテストの実行時に表示されるダイアログ・ボックス

   
   「図6-1 SAP JCoテストの実行時に表示されるダイアログ・ボックス」の説明
   
   

6.3 ターゲットの検索

管理者権限を持っている場合、次の基準またはこれらの項目の組合せを使用してターゲットを検索できます。

• 名前

• タイプ(All、database、ldap、lockbox、sapum、sapume、ssh、unixまたはwindows)

• ホスト

• ドメイン

• 説明

• パスワード期間

• 権限

ターゲットを検索するには、次の手順を実行します。

1. 「管理」アコーディオンで、「ターゲット」を選択します。

2. 「ターゲット」タブが表示されたら、検索ポートレットのパラメータを使用して、検索を構成します。次に例を示します。

   • すべてのLDAPターゲットを検索するには、「タイプ」メニューからldapを選択します。

   • 使用可能なすべてのターゲットを検索する場合は、検索パラメータを指定しません。

3. 「検索」をクリックします。

   検索結果表で検索結果を確認します。

6.4 ターゲットを開く

ターゲットを開いて、ターゲットの構成パラメータとそれに関連する特権アカウント・パラメータを確認および編集できます。

次のいずれかの方法を使用してターゲットを開きます。

• 検索結果表で名前(アクティブ・リンク)をクリックします。

• ターゲットの行番号を選択してから、「アクション」をクリックして、ドロップダウン・リストから「開く」を選択します。

ターゲットおよび特権アカウント情報にアクセスできる「ターゲット: TargetName」ページが表示されます。

6.5 ターゲットのサービス・アカウント・パスワードの管理

Oracle Privileged Account Managerには、次のものなどターゲットのサービス・アカウント・パスワードを管理するためのいくつかのオプションがあります。

• パスワードの表示

• パスワード履歴の表示

• パスワードのリセット

• パスワードのロールオーバーの有効化

セキュリティ管理者管理ロールを持つ管理者は、Oracle Privileged Account Managerコンソール、コマンド行ツールまたはREST APIを使用してこれらのパスワード管理タスクを実行できます。

注意: コンソールを使用したパスワードの管理の詳細は、第7.3項「サービス・アカウント・パスワードの管理」を参照してください。 コマンド行の説明は、第A.5項「ターゲットの操作」を参照してください。 REST APIの説明は、第B.6項「ターゲット・リソース」を参照してください。

Oracle Privileged Account Managerでは、パスワード管理操作が監査され、パスワード・アクセスが追跡されます。

注意: 特権アカウントのパスワードを表示およびリセットする手順は、この項で説明する手順とは異なります。詳細は、第9.8項「特権アカウントのパスワードの管理」を参照してください。

6.6 Oracle Privileged Account Managerからのターゲットの削除

ターゲットを削除するには、検索結果表からターゲットを選択して「削除」アイコンをクリックします。

警告: ターゲットを削除すると、Oracle Privileged Account Managerに格納されている、そのターゲットに関する情報(特権アカウントを含む)もすべて削除されます。 ターゲットを削除する前に、まずそのターゲットからすべての関連情報を取得する必要があります。たとえば、ターゲットのサービス・アカウント・パスワードと、ターゲット上の特権アカウントに関連付けられた現在のパスワードを保存します。