17.2 Single Sign-Onの構成

レポートを実行するには、有効なSSOのユーザーIDとパスワードでログインする必要があります。Oracle Fusion MiddlewareとともにインストールされるOracle Internet Directoryインスタンスが、ユーザーとグループの情報のデフォルト・リポジトリとして使用されます。別のOracle Internet Directoryインスタンスを使用するようにReports Serverを構成する場合やセキュリティを無効にする場合、第17.3項「Single Sign-Onの管理」を参照してください。Oracle Internet Directoryにユーザーを追加する方法の詳細は、Oracle Fusion Middleware Oracle Internet Directory管理者ガイドを参照してください。また、Oracle Fusion Middlewareのインストールごとに、Reports Serverインスタンスは、そのOracle Fusion Middlewareのインストールに固有のアプリケーション・エンティティとしてOracle Internet Directoryに接続します。この動作の詳細は、第17.3.4項「Oracle Internet Directoryへの接続」を参照してください。

ユーザーがSingle Sign-Onにログインしていない場合、rwservletによりReports Serverに対してレポートを実行しようとすると、ログインするように要求されます。レポートのユーザー・パラメータにSSOCONNが含まれている場合は、OracleAS Single Sign-On ServerによってOracle Internet Directory内にユーザーのデータ・ソース接続情報があるかどうか検索されます。見つからない場合、OracleAS Single Sign-On Serverではユーザーは新しいリソースを作成するように要求されます。rwservletの詳細は、第A.2.5項「rwservlet」を参照してください。SSOCONNの詳細は、第17.3.3.1項「SSOCONN」を参照してください。OAMサーバーの場合、ユーザーのデータ・ソース接続情報がOracle Internet Directoryに存在しないと、Oracle Reportsにより「キーが存在しません」というエラー・メッセージが表示されます。OTN(http://www.oracle.com/technetwork/middleware/reports/overview/index.html)で提供されているLDIFサンプルを使用するか、または第17.3.3.2.2項「バッチ・ロード」を参照して、Oracle Internet Directory内に新しいリソースを作成する必要があります。詳細は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』を参照してください。

Oracle Portalが構成されていれば、Reports ServerはデフォルトでOracle Portalとも連携して動作するように構成されます。必要に応じて、ポータルにレポートを追加して、ユーザーがポータルからレポートを起動できるようにすることができます。この場合、ユーザーはポータルにログインする必要があります。ポータルにログインすることによりSingle Sign-Onモードで識別されるため、レポートの起動時に再度ログインするように要求されません。

必要に応じて、Oracle PortalでReports Serverに関連付けられているリソース(レポート、プリンタ、Reports Server、カレンダなど)にアクセス制御を定義することもできます。リソースへのアクセスを制御するには、それらのリソースをポータルに追加して、それぞれのアクセス・オプションを指定する必要があります。Oracle Portalで指定したリソース・アクセス制御は、ポータルの外部で実行するレポートにも適用されます。たとえば、ユーザーがrwservletによりレポートを実行しようとすると、Oracle Portalで指定したアクセス制御が適用されます。

17.2.1 Oracle Reportsで使用されるSingle Sign-Onコンポーネント

図17-1は、Single Sign-Onのコンポーネント・アーキテクチャの概要です。

図17-1 Single Sign-Onアーキテクチャ

「図17-1 Single Sign-Onアーキテクチャ」の説明

Single Sign-On環境のコンポーネントは、次のとおりです。

クライアントWebブラウザ

Oracle HTTP Server

Oracle HTTP Serverは、クライアント・ブラウザからのリクエストを処理します。

注意:

セキュリティの最高レベルでは、Oracle HTTP Serverとのすべての通信にSSLを使用するように構成できます。Oracle HTTP Serverは、OpenSSLモジュールでSecure Sockets Layer (SSL)およびHTTP Secure Sockets Layer (HTTPS)をサポートします。これがOracle HTTP Serverで設定されると(Oracle HTTP Server管理者ガイドを参照)、rwservletではSSLポート番号が自動的に検出されます。

Reports Servlet

Oracle Reports Servlet (rwservlet)は、Oracle WebLogic Server内で実行されるOracle Reports Servicesのコンポーネントです。レポート・リクエストがOracle HTTP Serverに送信されると、Oracle Reports Servlet (rwservlet)ではジョブ・リクエストがReports Serverに渡されます。
Reports Server

Reports Server (rwserver)では、クライアント・リクエストを処理します。この処理には、認証と認可の確認、スケジューリング、キャッシュおよび配布が含まれます。
認証サーバー
- Oracle Internet Directory内を検索して、ログイン資格証明を検証します。
- Oracle Access Manager (OAMサーバー) - これは、Webシングル・サインオン、認証、認可などを含む全セキュリティ機能を提供するOracle FMW 11g認証サーバーです。Reports Servicesを実行するときに、アイデンティティ・ストアとしてOracle Internet Directoryを使用します。Oracle Access Managerは、Oracle HTTP Serverに対して構成されるアクセス・クライアントとしてmod_ossoまたはwebgateを使用できます。
アクセス・クライアント
- webgate - WebGateはシングル・サインオン・サポートを提供します。これは受信HTTPリクエストをインターセプトし、認証のためにそれらをアクセス・サーバーに転送します。Oracle Forms ServicesおよびOracle Reports Servicesは、認証サーバーに対するアクセス・クライアントとしてwebgateを使用できます。
Oracle Internet Directory

Oracle Internet Directoryは、高度にスケーラブルなLDAPバージョン3のOracle固有サービスであり、Oracle共通のユーザー識別情報をホスティングします。OracleAS Single Sign-Onでは、Oracle Internet Directoryに格納されている情報と照合してユーザーを認証します。すでに説明したとおり、Oracle Reports Servicesに対してSingle Sign-Onが有効であれば、Oracle Internet Directoryでユーザーおよびグループの権限情報がチェックされます。さらに、Oracle Internet Directoryからデータ・ソース接続情報が取得されます。
Oracle Delegated Administration Service

Delegated Administration Serviceは、Oracle Internet Directoryを更新するための包括的インタフェースを実現します。Oracle Internet Directoryのデータ・ソース接続文字列に関連付けられていないSingle Sign-Onキーを検出すると、Oracle Reports ServicesではOracle Delegated Administration Servicesを表示します。

詳細は、第17章「Oracle Single Sign-Onの構成と管理」を参照してください。