Oracle® Fusion Middleware

Oracle Business Intelligence Enterprise Editionセキュリティ・ガイド

12c (12.2.1.3.0)

E90099-02(原本部品番号:E80929-02)

2017年11月

Oracle Business Intelligence Enterprise Editionのセキュリティを構成する方法について説明する、システム管理者向けのドキュメントとなります。これには、SSO、SSL、外部認証およびプレゼンテーション・サービスの権限の設定が含まれます。

Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionセキュリティ・ガイド, 12c (12.2.1.3.0)

E90099-02

Copyright © 2015, 2017, Oracle and/or its affiliates.  All rights reserved.

原本著者: Helen Gilmore

原本協力著者: Nick Fry、Kate Price

原本協力者: Oracle Business Intelligence development, product management, and quality assurance teams

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、このソフトウェアまたはハードウェアを安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle およびその関連企業の登録商標です。その他の名称は、他社の商標の可能性があります。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXはThe Open Groupの登録商標です。

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。適用されるお客様とOracle Corporationとの間の契約に別段の定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。適用されるお客様とOracle Corporationとの間の契約に定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

目次

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメントとその他のリソース

- システム要件と動作要件

- 表記規則

Oracle Business Intelligenceのセキュリティの新機能

- 12c (12.2.1.3.0)の新機能

- 軽量のシングル・サインオン(SSO)

- 12c (12.2.1.2.0)の新機能

- 12c (12.2.1.1.0)の新機能

- 12c (12.2.1.0)の新機能

1 Oracle Business Intelligenceのセキュリティの紹介

- Oracle Business Intelligenceでセキュリティを設定するための上位レベルのロードマップ

- Oracle Business Intelligenceのセキュリティの概要

- 認証について

- 認可について

- アプリケーション・ロールについて

- セキュリティ・ポリシーについて

- ユーザー、グループおよびアプリケーション・ロールについて

- Oracle Business Intelligenceでセキュリティを構成するツールの使用

- Oracle WebLogic Server管理コンソールの使用

- Oracle Fusion Middleware Controlの使用

- Oracle BI管理ツールの使用

- プレゼンテーション・サービスの管理ページの使用

- Oracle Business Intelligenceでセキュリティを設定するためのプロセス

- 用語

2 デフォルト・セキュリティ構成を使用したセキュリティの管理

- ユーザー、グループおよびアプリケーション・ロールの使用

- ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例

- 組込みWebLogic LDAPサーバーにおけるユーザーおよびグループの管理

- 新規グループおよび新規アプリケーション・ロールへのユーザーの割当て

- 組込みWebLogic LDAPサーバーにおける新規ユーザーの作成

- 組込みWebLogic LDAPサーバーにおける新規グループの作成

- 組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て

- ユーザーの削除

- 組込みWebLogic LDAPサーバーにおけるユーザー・パスワードの変更

- Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理

- Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示

- Fusion Middleware Controlの使用によるアプリケーション・ロールの作成と削除

- アプリケーション・ロールの作成

- 既存のロールからのアプリケーション・ロールの作成

- アプリケーション・ロールへのグループの割当て

- アプリケーション・ロールの削除

- Fusion Middleware Controlを使用したアプリケーション・ポリシーの作成

- Fusion Middleware Controlを使用したアプリケーション・ロールの変更

- アプリケーション・ポリシーへのアプリケーション・ロールの追加

- アプリケーション・ロールのメンバーの追加または削除

- アプリケーション・ロール名の変更

- Oracle BI管理ツールの使用によるメタデータ・リポジトリ権限の管理

- アプリケーション・ロールのメタデータ・リポジトリ権限の設定

- メタデータ・リポジトリでのアプリケーション・ロールの管理 - 高度なセキュリティ構成トピック

- アプリケーション・ロールの使用によるPresentation Servicesの権限の管理

- アプリケーション・ロールに対するPresentation Servicesの権限の設定

- BIプレゼンテーション・サービスでの資格証明の暗号化 - 高度なセキュリティ構成トピック

- BI Publisherの使用によるデータ・ソース・アクセスの権限の管理

- デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性の有効化

- Oracle BIプレゼンテーション・カタログでのセキュリティ・タスクの管理のためのruncatの使用

3 代替認証プロバイダの使用

- 概要

- 代替認証プロバイダを構成するための大まかな手順

- 代替認証プロバイダのグループおよびユーザーの設定

- 代替認証プロバイダを使用するためのOracle Business Intelligenceの構成

- 認証プロバイダとしてのOracle Internet Directoryの再構成

- Oracle Internet Directoryオーセンティケータ固有のリファレンス

- 認証プロバイダとしてのMicrosoft Active Directoryの再構成

- アイデンティティ・ストアでのユーザーおよびグループ名属性の構成

- ユーザー名属性の構成

- グループ名属性の構成

- 認証プロバイダとしてのLDAPの構成とデータベースへのグループの格納

- 前提条件

- グループおよびグループ・メンバーのサンプル・スキーマの作成

- Oracle WebLogic Server管理コンソールの使用によるデータ・ソースおよびBISQLGroupProviderの構成

- Oracle WebLogic Serverの使用によるプライマリ・アイデンティティ・ストアとしてのOracle Internet Directoryの構成

- BISQLGroupProviderのインストール

- Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成

- BISQLGroupProvider SQLオーセンティケータの構成

- 仮想アイデンティティ・ストアの構成

- アイデンティティ・ストアの構成による仮想化の有効化

- LDAPに対するSSLの構成

- グループ情報を取得するためのデータベース・アダプタの構成

- アプリケーション・ロールへのデータベース・グループの追加による構成のテスト

- アダプタのエラーの修正

- 認証プロバイダとしてのデータベースの構成

- 概要と前提条件

- ユーザーおよびグループのサンプル・スキーマの作成

- Oracle WebLogic Server管理コンソールの使用によるデータ・ソースとSQLオーセンティケータの構成

- Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成

- Oracle WebLogic Server管理コンソールの使用によるSQL認証プロバイダの構成

- SQLオーセンティケータのSELECT文のリファレンス

- デフォルト・オーセンティケータ制御フラグの構成

- 認証プロバイダの並替え

- 仮想アイデンティティ・ストアの構成

- データベース・アダプタの構成

- SQL認証プロバイダのトラブルシューティング

- Oracle WebLogic Server管理コンソールの使用によるグローバルAdminロールへのユーザーの追加

- SQLAuthenticatorに対する正しくないデータ・ソース名の指定

- 正しくないSQL問合せ

- アダプタの削除および再作成によるデータベース・アダプタ・エラーの修正

- Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成

- 複数の認証プロバイダの構成

- JAAS制御フラグ・オプションの設定

- 認証プロバイダとしての単一のLDAP認証プロバイダの構成

- 唯一のオーセンティケータとしてのOracle Internet Directory LDAP認証の構成

- タスク1 - バックアップおよびリカバリの有効化

- タスク2 - WebLogic Serverおよび代替認証プロバイダを使用するためのシステムの構成

- タスク3 - OID LDAPでの必須ユーザーの特定または作成

- タスク4 - WebLogicコンソールでのOID LDAPグループとグローバル・ロールとの関連付け

- タスク5 - OID LDAPでのユーザーからグループへのメンバーシップの設定

- タスク6 - デフォルトの認証プロバイダの削除

- タスク7 - BIサービスの再起動

- タスク8 - WebLogic Serverロールの削除

- タスク9 - 代替認証メソッドの停止

- トラブルシューティング

- BIシステム・ユーザーの資格証明のリセット

4 SSO認証の有効化

- Oracle Business IntelligenceのSSOの構成タスク

- SSO認証およびOracle Business Intelligenceについて

- SSO実装に関する考慮事項

- Oracle Access Manager環境でのSSOの構成

- Oracle WebLogic ServerのOIDオーセンティケータの構成

- 認証プロバイダのソース・リファレンス

- Oracle WebLogic Serverの新しいIDアサーション・プロバイダとしてのOracle Access Managerの構成

- カスタムSSO環境の構成

- Smart Viewを使用したシングル・サインオンの構成

- Oracle Business IntelligenceにおけるSSO認証の使用の有効化

- WLSTコマンドを使用したSSO認証の有効化および無効化

- Fusion Middleware Controlの使用によるSSO認証の有効化

- オンライン・カタログ・マネージャの接続の有効化

5 Oracle Business IntelligenceのSSLの構成

- SSLとは

- エンドツーエンドSSLの有効化

- 標準の非SSL Oracle BI EEシステムの構成

- WebLogic SSLの構成

- 管理サーバーのみの起動

- HTTPSポートの構成

- LDAPを使用するための内部WebLogic Server LDAPの構成

- 内部WebLogic Server LDAPのトラスト・ストアの構成

- HTTPの無効化

- 再起動

- t3sを使用するためのOWSMの構成

- システムの再起動

- Oracle BI EE内部SSLの有効化

- 内部SSLの無効化

- クライアント用の信頼およびアイデンティティのエクスポート

- クライアント用のSSLの構成

- クライアント証明書のエクスポート

- BIスケジューラのSSLが有効化されている場合のSASchInvokeの使用

- Oracle BI Job Managerの構成

- Oracle BIプレゼンテーション・サービスへのオンライン・カタログ・マネージャの接続

- SSL経由で通信するためのOracle BI管理ツールの構成

- リモート・クライアント・アクセス用のODBC DSNの構成

- SSL経由で通信するためのOracle BI Publisherの構成

- 証明書の有効期限の確認

- 証明書の置換え

- リスナー・アドレスの変更後の証明書の更新

- 新しいサーバーの追加

- 構成テンプレート構成済システムのSSLの有効化

- Business Intelligenceの内部SSLを使用しない場合のSSLの有効化

- SSL暗号スイートの手動構成

- 外部システムへのSSL接続の構成

- Fusion Middleware Controlの使用によるSMTPサーバーのSSLの構成

- 複数認証プロバイダ使用時のSSLの構成

- Oracle BI EE内部SSL使用のために予約されたWebLogicアーティファクト

A レガシー・セキュリティ管理オプション

- 軽量SSOおよびレガシー認証オプション

- レガシー認証オプション

- 初期化ブロックの使用によるLDAP認証の設定

- LDAPサーバーの設定

- LDAP認証でのUSERセッション変数の定義

- ロギング・レベルの設定

- 外部表認証の設定

- Oracle BIデリバーおよび外部初期化ブロックの認証について

- 認証の順序

- カスタム・オーセンティケータ・プラグインを使用する認証

- セッション変数の管理

- サーバー・セッションの管理

- セッション・マネージャの使用

- 代替認可オプション

- プレゼンテーション・サービスのセキュリティに影響する変更

- 初期化ブロックの使用による認可の設定

B デフォルト・セキュリティ構成の理解

- Oracle Business Intelligenceのセキュリティについて

- セキュリティ・フレームワークについて

- Oracle Platform Security Services

- Oracle WebLogic Server

- 主なセキュリティ要素

- サンプル・アプリケーションを使用したセキュリティ構成

- デフォルト認証プロバイダ

- ポリシー・ストア・プロバイダ

- グループおよびアプリケーション・ロールを使用したユーザーへの権限の付与

- 権限の継承とロールの階層

- インストール後の共通セキュリティ・タスク

C Oracle Business Intelligenceにおけるセキュリティのトラブルシューティング

- ユーザーのログイン認証が失敗する問題の解決

- 認証の概念

- インストール時のデフォルトの認証

- Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlの使用によるOracle Business Intelligenceの構成

- WebLogicドメインおよびログの場所

- WebLogic Server管理者ユーザー・アカウント

- Oracle Business Intelligenceのログインの概要

- ユーザーのログイン認証が失敗する原因の特定

- ユーザーのログイン認証が失敗する問題の解決

- Oracle Business Intelligenceに1人のユーザーがログインできない

- ユーザー・エラーの結果としてログインが失敗したかどうか

- アカウントがロックされているかどうか

- オーセンティケータが正しく構成されていないことが原因でOracle Business Intelligenceにユーザーがログインできない

- アイデンティティ・ストア/LDAPサーバーに正しいオーセンティケータを指定したかどうか

- LDAPサーバーのオーセンティケータが正しく構成されているかどうか

- Oracle Web Services Managerが動作していないときにOracle Business Intelligenceにユーザーがログインできない

- データベースに関する問題 - OWSMでポリシーを取得できない

- OracleSystemUserに関する問題 - OWSMでポリシーを取得できない

- Oracle Business Intelligenceにユーザーがログインできない - 外部アイデンティティ・ストアが正しく構成されているかどうか

- ユーザーが任意のパスワードまたはパスワードなしでログインできる

- デフォルト・オーセンティケータを削除した後にWebLogic Serverを起動できない

- アイデンティティ・ストアとの非一貫性の解決

- アイデンティティ・ストアからユーザーが削除される

- アイデンティティ・ストアでユーザーの名前が変更される

- ユーザー名に関連付けられているグループがアイデンティティ・ストアに存在しない

- ポリシー・ストアとの非一貫性の解決

- ポリシー・ストアからアプリケーション・ロールが削除される

- ポリシー・ストアでアプリケーション・ロールの名前が変更される

- SSL通信問題の解決

- カスタムSSO環境の問題の解決

- SSOを使用したRSSフィードの認証の解決

D ダッシュボードと分析のセキュリティの管理

- Oracle BIプレゼンテーション・サービスのユーザーのセキュリティ管理

- Oracle BIプレゼンテーション・サービスのセキュリティ設定

- Oracle BIプレゼンテーション・サービスのセキュリティの目標とは

- ユーザーへの権限の割当て方法

- Oracle BIプレゼンテーション・サービスの管理ページの使用

- 管理ページの理解

- プレゼンテーション・サービス権限の管理

- プレゼンテーション・サービスの権限とは

- プレゼンテーション・サービスのデフォルトの権限割当て

- 「Oracle BI Enterprise Editionアクションへのアクセス」

- 「「Oracle BI for Microsoft Officeへのアクセス」権限」

- 「「HTMLマークアップを含むコンテンツの保存」権限」

- EnableSavingContentWithHTML

- KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

- プレゼンテーション・サービスでのセッションの管理

- Oracle BIプレゼンテーション・サービスのユーザーの権限およびパーミッションの判別

- ユーザーの権限またはパーミッションの判別ルール

- タスク1 - 該当ユーザーの明示的レコードの有無チェック

- タスク2 - 該当ユーザーのカタログ・グループに対するレコードの有無チェック

- タスク3 - 該当ユーザーのアプリケーション・ロールに対するレコードの有無チェック

- タスク4 - デフォルト動作への戻し

- タスク5 - 一致レコード一切なし

- アプリケーション・ロールによるユーザーの権限の判別例

- アプリケーション・ロールによるユーザーのパーミッションの判別例

- 削除されたカタログ・グループによるユーザーの権限の判別例

- 削除されたカタログ・グループによるユーザーのパーミッションの判別例

- ユーザーへの共有ダッシュボードの提供

- 共有ダッシュボードのカタログ構造について

- 共有ダッシュボードの作成

- ダッシュボードのテスト

- ユーザー・コミュニティへのダッシュボードのリリース

- ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御

- ダッシュボードの保存済カスタマイズの概要

- 保存済カスタマイズの管理

- 保存済カスタマイズを作成するための権限の設定

- 保存済カスタマイズを管理するための使用シナリオ例

- 他のユーザーの代理実行の有効化

- 他のユーザーの代理実行を有効化する理由

- プロキシ・レベルとは

- 他のユーザーの代理実行を有効化するプロセス

- プロキシ・ユーザーとターゲット・ユーザーの関連付けの定義

- プロキシ機能のセッション変数の作成

- プロキシ機能の構成ファイルの設定の変更

- プロキシ機能のカスタム・メッセージ・テンプレートの作成

はじめに

Oracle Business Intelligence Foundation Suiteは、レポート、非定型問合せ、OLAP、ダッシュボード、スコアカード、What-If分析など、すべてのエンタープライズのビジネス・インテリジェンス・ニーズを満たす、完全かつオープンな統合ソリューションです。Oracle Business Intelligence Foundation Suiteには、Oracle Business Intelligence Enterprise Editionが含まれています。

Oracle Business Intelligence Enterprise Edition (Oracle BI EE)は包括的な一連のエンタープライズ・ビジネス・インテリジェンス・ツールおよびインフラストラクチャであり、拡張性のある効率的な問合せおよび分析サーバー、非定型の問合せおよび分析ツール、インタラクティブ・ダッシュボード、プロアクティブ・インテリジェンスとアラート、エンタープライズ・レポート・エンジンなどが含まれます。

Oracle BI EEのコンポーネントは、共通のサービス指向アーキテクチャ、データ・アクセス・サービス、分析および計算インフラストラクチャ、メタデータ管理サービス、意味的ビジネス・モデル、セキュリティ・モデルやユーザー・プリファレンスおよび管理ツールを共有します。Oracle BI EEは、各データ・ソース向けに最適化されたリクエスト生成、最適化されたデータ・アクセス、高度な計算、インテリジェント・キャッシュ・サービス、クラスタリングにより、スケーラビリティとパフォーマンスを提供します。

このガイドには、システム管理に関する情報や、セキュリティ環境の有効化および管理に関する情報などが記載されています。

対象読者

このガイドは、Oracle Business Intelligenceのセキュリティ管理を担当するシステム管理者を対象としています。

ドキュメントのアクセシビリティについて

Oracleのアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWebサイト(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc)を参照してください。

Oracleサポートへのアクセス

サポートを購入したオラクル社のお客様は、My Oracle Supportを介して電子的なサポートにアクセスできます。詳細情報はhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoか、聴覚に障害のあるお客様はhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trsを参照してください。

関連ドキュメントとその他のリソース

関連するOracle Business Intelligenceのドキュメントのリストは、Oracle Business Intelligenceのドキュメント・ライブラリを参照してください。

次の関連ドキュメントも参照してください。

- Oracle Platform Security Servicesによるアプリケーションの保護

さらに、次もあります。

- Oracle Business Intelligenceに関連するオンライン・トレーニングのリソースについては、Oracle Learning Libraryを参照してください。

- 製品情報センターに関するサポート・ノート(記事ID: 1267009.1)をMy Oracle Support(https://support.oracle.com)でアクセスしてください。

システム要件と動作保証

ハードウェアとソフトウェアの要件、プラットフォーム、データベースおよびその他の情報の詳細は、システム要件と動作要件のドキュメントを参照してください。いずれのドキュメントもOracle Technology Network (OTN)から入手できます。

システム要件のドキュメントには、ハードウェアとソフトウェアの要件、ディスク領域とメモリーの最小要件、必要なシステム・ライブラリ、パッケージまたはパッチなどの情報が記載されています。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-requirements-100147.html

動作要件のドキュメントには、サポートされているインストール・タイプ、プラットフォーム、オペレーティング・システム、データベース、JDKおよびサードパーティ製品が記載されています。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-certification-100350.html

表記規則

このマニュアルでは次の表記規則を使用します。

表記規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

Oracle Business Intelligenceのセキュリティの新機能

この項では、Oracle Business Intelligenceリリース12cでのセキュリティ機能の変更を示します。

以前のリリースからOracle BI EEをアップグレードする場合は、注意して次の情報を参照してください。機能、ツールおよび手順に大きな違いがあります。『Oracle Business Intelligenceアップグレード・ガイド』を参照してください。

この項では、次の項目について説明します。

- 12c (12.2.1.3.0)の新機能

- 12c (12.2.1.2.0)の新機能

- 12c (12.2.1.1.0)の新機能

- 12c (12.2.1.0)の新機能

12c (12.2.1.3.0)の新機能

Oracle BI EE 12c (12.2.1.3.0)のセキュリティの新機能は次のとおりです。

- このリリースではOpenSSLバージョン1.0.2hを使用します。

- 軽量のシングル・サインオン(SSO)

軽量のシングル・サインオン(SSO)

ユーザーはOracle Business Intelligenceに1回ログインすることで、従来の(分析)ホーム・ページ、Visual Analyzerおよび新しいホーム・ページの間を移動できます。

軽量のSSOは、新規インストールの場合のみ、Oracle Business Intelligenceでデフォルトで有効になります。Oracle BI EEにパッチを適用して最新のリリースにしている場合、軽量のSSOはデフォルトでは有効になりません。

外部SSOが構成されている場合、軽量のSSOは外部SSO構成に従います。Oracle BI EEでは、同じメカニズムを使用して外部SSOと軽量の内部SSOを有効にします。

軽量のSSOの無効化が必要な場合は、WSLTのSSO無効化コマンドを使用します。「WLSTコマンドを使用したSSO認証の有効化および無効化」を参照してください。

12c (12.2.1.2.0)の新機能

この項には、新しいセキュリティ機能に関する情報が含まれています。

Oracle BI EE 12c (12.2.1.2.0)には新しいセキュリティ機能はありません。

12c (12.2.1.1.0)の新機能

Oracle BI EE 12c (12.2.1.1.0)のセキュリティの新機能は次のとおりです。

- 「カタログ・グループの非サポート」を参照してください

カタログ・グループの非サポート

このリリースでは、カタログ・グループはサポートされないため、アプリケーション・ロールを使用する必要があります。

『Oracle Business Intelligenceのアップグレード』を参照してください。

12c (12.2.1.0)の新機能

Oracle BI EE 12c (12.2.1.0)のセキュリティの新機能は次のとおりです。

- BISystemUserおよびBISystemの削除

- ユーザーGUIDの削除

- データベース・セキュリティ・ストア

- より簡単なSSL構成

- アプリケーション・ロールへのカタログ・グループの移行

BISystemUserおよびBISystemの削除

このリリースでは管理および構成を簡略化するために、内部通信用のBISystemUserと呼ばれる実際のユーザー(または同等のユーザー)がOracle Business Intelligenceで不要になりました。システム・ユーザーの概念は仮想であり、oracle.bi.system/system.user資格証明によって表されます。値は構成アシスタントによって安全かつランダムに生成されます。Oracle BIコンポーネントではこの資格証明を、Oracle BI Securityで支援される内部通信に使用します。BISystemアプリケーション・ロールはポリシー・ストアで使用できなくなり、11gからアップグレードされた環境から削除されます。

ユーザーGUIDの削除

このリリースでは、管理を容易にするためにユーザーGUIDが削除されました。ライフサイクル操作の一部としてGUIDをリフレッシュする必要がなくなりました。GUIDはユーザー名で置き換えられます。ユーザーはユーザーIDごとに認証されます。つまり、特定のユーザーIDを使用して認証するユーザーにユーザーIDに関連付けられたアクセス権限が付与されます。そのため、システムを離れるユーザーはユーザーIDを完全に削除する必要があります。システムを離れるユーザーがOracle Business Intelligenceから完全に削除されていることを確認するのは、管理者の責任になります。

「ユーザーの削除」を参照してください。

データベース・セキュリティ・ストア

このリリースでは、セキュリティ・ストア(ポリシーおよび資格証明ストア)がファイルではなくリレーショナル・データベースで構成されます。データベースはRCUで使用されるデータベースと同じです。この変更により、スケーリングが容易になり、クラスタの信頼性が高まります。

『Oracle Business Intelligenceのインストールと構成』を参照してください。

より簡単なSSL構成

このリリースでは、エンドツーエンドSSLの構成で複雑さが減り、オフライン・コマンドを使用します。

11gとこのリリースとのSSLサポートの主な違いは次のとおりです。

- SSLはWebLogicトラスト・ストアを使用します
追加のBI固有の信頼構成は必要ありません。

- オフライン・コマンド
Fusion Middleware ControlのUIを使用してプロセスを構成する必要はありません。

- WebLogic証明書の問題の診断

- セキュリティの向上 - TLSv1.2のみ

- 構成は中心でユーザー構成と混ざりません。

- 設定が上書きされるリスクのない高度なオプションをサポートします。

「Oracle Business IntelligenceのSSLの構成」を参照してください。

アプリケーション・ロールへのカタログ・グループの移行

このリリースでは、新しいプロセスを使用してカタログ・グループをアプリケーション・ロールに移行できます。

『Oracle Business Intelligenceのアップグレード』のカタログ・グループの移行に関する項を参照してください。

1 Oracle Business Intelligenceのセキュリティの紹介

この章では、Oracle Business Intelligenceのセキュリティ・モデル、セキュリティの構成に使用するツールおよびセキュリティを構成するためのロードマップについて説明します。

注意:

Oracle BI Publisherを単独でインストールしてあり、Oracle Fusion Middlewareセキュリティを使用する場合は、『Oracle Business Intelligence Publisher管理者ガイド』のセキュリティ・モデルに関する項を参照してください。

この章の構成は、次のとおりです。

- Oracle Business Intelligenceでセキュリティを設定するための上位レベルのロードマップ

- Oracle Business Intelligenceのセキュリティの概要

- 認証について

- 認可について

- ユーザー、グループおよびアプリケーション・ロールについて

- Oracle Business Intelligenceでセキュリティを構成するツールの使用

- Oracle Business Intelligenceでセキュリティを設定するためのプロセス

- 用語

Oracle Business Intelligenceでセキュリティを設定するための上位レベルのロードマップ

この上位レベルのロードマップを使用して、典型的なアクション・シーケンスを理解し、Oracle Business Intelligenceでのセキュリティを維持します。

「ユーザー、グループおよびアプリケーション・ロールの使用」を参照してください。

1. この章の残りの部分に目を通して、セキュリティのコンセプト、ツールおよび用語の概要を把握します。

2. ユーザーの認証に使用する認証プロバイダを決定します。

3. 必要なユーザーおよびグループを設定します。

4. 必要なアプリケーション・ロールを設定します。

5. 各グループを適切なアプリケーション・ロールに割り当てます。

6. Oracle BIリポジトリでユーザーおよびグループが持っている権限を調整します。

7. Oracle BIプレゼンテーション・カタログでユーザーおよびグループが持っている権限を調整します。

8. 必要に応じてシングル・サインオン(SSO)を構成します。

9. 必要に応じてSecure Sockets Layer (SSL)を構成します。

「Oracle Business Intelligenceでセキュリティを設定するためのプロセス」を参照してください。

Oracle Business Intelligenceのセキュリティの概要

Oracle Business Intelligence 12cは、Oracle Fusion Middlewareセキュリティ・アーキテクチャと密接に統合されており、コアなセキュリティ機能をそのアーキテクチャのコンポーネントに委任します。具体的には、Oracle Business Intelligenceインストールは次の種類のセキュリティ・プロバイダを利用します。

- Oracle Business Intelligenceにアクセス可能なユーザーおよびグループに関する情報へのアクセス方法を認識し、かつユーザーを認証する責任を担う認証プロバイダ。

- アプリケーション・ロールおよびアプリケーション・ポリシーへのアクセスを提供するポリシー・ストア・プロバイダ。これは、セキュリティ・ポリシーのコアな部分を形成し、Oracle Business Intelligenceで表示と操作ができるユーザーとできないユーザーを決定します。

- Oracle Business Intelligenceで必要な資格証明を格納し、その資格証明へのアクセスを提供する資格証明ストア・プロバイダ。

デフォルトでは、Oracle Business Intelligenceインストールは、ユーザーおよびグループの情報にOracle WebLogic Server組込みLDAPサーバーを使用する認証プロバイダとともに構成されます。Oracle Business Intelligenceのデフォルトのポリシー・ストア・プロバイダおよび資格証明ストア・プロバイダは、資格証明、アプリケーション・ロールおよびアプリケーション・ポリシーをデータベースに格納します。

Oracle Business Intelligenceのインストール後、必要に応じて、別のセキュリティ・プロバイダを使用するようにドメインを再構成できます。たとえば、Oracle Internet Directory、Oracle Virtual Directory、Microsoft Active Directoryまたは別のLDAPサーバーを認証に使用するようにインストールを再構成できます。また、資格証明、アプリケーション・ロールおよびアプリケーション・ポリシーの格納に、データベースではなくOracle Internet Directoryを使用するようにインストールを再構成することもできます。

下位互換性のため、Oracle Business Intelligenceの複数のレガシー認証オプションがサポートされます。ベスト・プラクティスは、デフォルトのセキュリティ・モデルにより、アイデンティティ・ストアおよび認証プロバイダを使用して認証および認可を行うことです。これが可能でないシナリオや、従来の認証方法および認可方法が必要になる場合もあります。別の方法を使用するには、Oracle WebLogicドメインで構成済の認証プロバイダによって参照されるアイデンティティ・ストアに、ユーザー移入およびグループが保持されていないことが必要です。したがって、別の認証方法を使用する場合は、この章のいくつかの項は関係がありません。かわりに、「レガシー・セキュリティ管理オプション」を参照してください。アプリケーション・ロールは、別の認証メカニズムおよび認可メカニズムで使用されます。

認証について

認証プロバイダ内でユーザーおよびグループを管理します。

Oracle Business Intelligence 12cの各インストールには、Oracle WebLogic Serverドメインが関連付けられています。Oracle Business Intelligenceは、そのドメインに対して構成された認証プロバイダにユーザーの認証を委任します。

デフォルト認証プロバイダは、Oracle Business IntelligenceのOracle WebLogic Serverドメインに組み込まれたLDAPサーバーに格納されているユーザーおよびグループ情報にアクセスします。Oracle WebLogic Serverの管理コンソールを使用すると、組込みLDAPサーバーでユーザーおよびグループの作成と管理ができます。

別のディレクトリの認証プロバイダを構成することもできます。Oracle WebLogic Serverの管理コンソールを使用すると、ディレクトリのユーザーおよびグループを表示できます。ただし、このディレクトリを変更するには、引き続き適切なツールを使用する必要があります。たとえば、Oracle Internet Directory (OID)を使用するようにOracle Business Intelligenceを再構成した場合は、ユーザーおよびグループの表示はOracle WebLogic Serverの管理コンソールでできますが、管理はOIDコンソールで行う必要があります。サポートされるLDAPディレクトリの詳細は、BI動作保証のマトリックスを参照してください。

「デフォルト・セキュリティ構成を使用したセキュリティの管理」を参照してください。

Oracle WebLogic Serverドメインおよび認証プロバイダの詳細は、『Oracle WebLogic Serverセキュリティの管理』を参照してください。

認可について

認可とは、操作や表示の権限が与えられているものを、ユーザーが操作し表示できるようにすることです。

ユーザーが認証された後、セキュリティの面で次に重要なのは、操作権限や表示権限が与えられているものを、ユーザーが操作し表示できるようにすることです。Oracle Business Intelligence 12cでの認可は、アプリケーション・ロールで定義されたセキュリティ・ポリシーによって制御されます。

アプリケーション・ロールについて

アプリケーション・ロールにより、ユーザーに対するセキュリティ・ポリシーを定義します。

ディレクトリ・サーバーにおけるグループ内のユーザーに関するセキュリティ・ポリシーを定義するかわりに、Oracle Business Intelligenceはロールベースのアクセス制御モデルを使用します。セキュリティは、ディレクトリ・サーバー・グループおよびユーザーに割り当てられているアプリケーション・ロールによって定義されます。たとえば、アプリケーション・ロールBIServiceAdministrator、BI ConsumerおよびBIContentAuthorなどです。

アプリケーション・ロールはユーザーが持っている機能的役割を表し、これによって、その役割を果すために必要な権限をユーザーに付与します。たとえば、セールス・アナリストのアプリケーション・ロールにより、会社のセールス・パイプラインに関するレポートを表示、編集および作成するためのユーザー・アクセスが許可されます。

アプリケーション・ロールとディレクトリ・サーバーのユーザーおよびグループとの間の間接層により、Oracle Business Intelligenceの管理者は、企業のLDAPサーバーに新しいユーザーやグループを作成することなく、アプリケーション・ロールおよびポリシーを定義できます。かわりに、管理者は、認可要件を満たすアプリケーション・ロールを定義し、企業のLDAPサーバーに前から存在しているユーザーやグループにこれらのロールを割り当てます。

さらに、アプリケーション・ロールによって提供される間接層により、ビジネス・インテリジェンス・システムのアーティファクトを、開発、テスト、本番の各環境間で移動できます。環境の移動に伴うセキュリティ・ポリシーの変更は必要なく、ターゲット環境で使用可能なユーザーおよびグループにアプリケーション・ロールを割り当てることのみが必要です。

次の図に、グループ、ユーザー、アプリケーション・ロール、権限および継承のセット例を示します。

この図には次のことが示されています。

- BIConsumersという名前のグループには、User1、User2およびUser3が含まれています。グループBIConsumersのユーザーには、アプリケーション・ロールBIConsumerが割り当てられています。これによりユーザーはレポートを表示できます。

- BIContentAuthorsという名前のグループには、User4およびUser5が含まれています。グループBIContentAuthorsのユーザーには、アプリケーション・ロールBIContentAuthorが割り当てられています。これによりユーザーはレポートを作成できます。

- BIServiceAdministratorsという名前のグループには、User6およびUser7が含まれています。グループBIServiceAdministratorsのユーザーには、リポジトリの管理を可能にするアプリケーション・ロールBIServiceAdministratorが割り当てられています。

セキュリティ・ポリシーについて

セキュリティ・ポリシーは、Oracle BIプレゼンテーション・サービス、メタデータ・リポジトリおよびポリシー・ストアに分割されています。

セキュリティ・ポリシー定義は次のコンポーネントに分割されています。

- Oracle BIプレゼンテーション・サービス
Oracle BIプレゼンテーション・サービスでは、ユーザーが特定のアプリケーション・ロールによりアクセスできる特定のカタログ・オブジェクトおよび機能を定義します。機能へのアクセスは「権限の管理」ページでOracle BIプレゼンテーション・サービスの権限として定義され、Oracle BIプレゼンテーション・カタログのオブジェクトへのアクセスは「権限」ダイアログで定義されます。

- リポジトリ
リポジトリでは、ユーザーが特定のアプリケーション・ロールによりアクセスできるリポジトリ内のメタデータ・アイテムを定義します。Oracle BI管理ツールを使用して、セキュリティ・ポリシーを定義できます。

- ポリシー・ストア
ポリシー・ストアでは、ユーザーが特定のアプリケーション・ロールによりアクセスできるBIサーバーおよびOracle BI Publisherの機能を定義します。デフォルトのOracle Business Intelligence構成では、ポリシー・ストアはOracle Enterprise Manager Fusion Middleware Controlを使用して、またはOracle WebLogic Scripting Tool (WLST)を使用して管理されます。『Oracle Platform Security Servicesによるアプリケーションの保護』を参照してください。

「Oracle Business Intelligenceでセキュリティを構成するツールの使用」を参照してください。

ユーザー、グループおよびアプリケーション・ロールについて

Oracle Business Intelligenceアプリケーションの作成者は、アプリケーションのアプリケーション・ロールおよび権限付与を定義して名前を付けることができます。

Oracle Business Intelligenceアプリケーションの作成者は、前のバージョンに存在したデフォルトのアプリケーション・ロールおよび権限付与を使用する必要はありません。ただし、デフォルトのアプリケーション・ロールおよび権限セット付与を使用できます。

Oracle Business Intelligenceを最初に構成する場合、提供されたBIアーカイブ(BAR)ファイルを使用してビジネス・インテリジェンス・サービス・インスタンスを作成できます。『Oracle Business Intelligenceのインストールと構成』を参照してください。

サービス・インスタンスで使用できるアプリケーション・ロールおよびメンバーシップのセットは、サービス・インスタンスにインポートしたBARファイルによって異なります。インポートされたセキュリティ・ポリシーには、アプリケーション・ロール定義、アプリケーション・ロールのメンバーシップ、権限セット定義、権限定義、権限セット付与、権限付与、Oracle BIプレゼンテーション・サービスおよびリポジトリ・セキュリティ・ポリシーが含まれます。

サンプル・アプリケーションLite BARファイルまたは初期BARファイルを使用して初期BIサービス・インスタンスを作成すると、初期サービス・インスタンスがサンプル・アプリケーション・ロールおよびそのアプリケーションのアプリケーション・ポリシーをインポートします。

サンプル・ファイルまたは初期ファイルを使用せずに初期サービス・インスタンスを作成すると、システムにより、空のBARファイルがサービス・インスタンスにインポートされ、最小セットのアプリケーション・ロールおよびポリシーがサービス・インスタンスに追加されます。最小セットはBIServiceAdministratorアプリケーション・ロールのみです。自分のBIアプリケーションに固有の独自のセキュリティ・ポリシーを作成できます。

Oracle Business Intelligenceでセキュリティを構成するツールの使用

Oracle Business Intelligenceでセキュリティを構成するには、次のツールを使用します。

- Oracle WebLogic Server管理コンソールの使用

- Oracle Fusion Middleware Controlの使用

- Oracle BI管理ツールの使用

- プレゼンテーション・サービスの管理ページの使用

「ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例」を参照してください。

この図は、インストールの例のOracle Business Intelligenceで組込みWebLogic LDAPサーバーを使用してセキュリティを構成するために使用するツールを示しています。

「デフォルト・セキュリティ構成を使用したセキュリティの管理」を参照してください。

Oracle WebLogic Server管理コンソールの使用

ユーザーおよびグループの認証に使用できるWebLogic LDAPサーバーの管理には、Oracle WebLogic Server管理コンソールを使用します。

Oracle WebLogic Serverは自動的にインストールされ、デフォルトの管理サーバーとして機能します。Oracle WebLogic Server管理コンソールはブラウザベースであり、組込みディレクトリ・サーバーの管理に使用されます。

Oracle Business Intelligenceを構成する場合に初期セキュリティ構成によってアイデンティティ・ストアとしてデフォルト・オーセンティケータの組込みWebLogic LDAPディレクトリが使用されることに注意してください。11gのBIインストールでは、特定のユーザーおよびグループがLDAPディレクトリに追加されました。12cのインストールでは、デフォルトのBIグループはLDAPディレクトリに追加されません。BIConsumers、BIContentAuthors、BIServiceAdministratorsなどのLDAPグループがアイデンティティ・ストアに存在することをアプリケーションが予測する場合、これらのグループを手動で追加するか、初期BI構成の完了後にこれらのグループがすでにプロビジョニングされている異なるアイデンティティ・ストアを使用するようにドメインを構成する必要があります。

WebブラウザにURLを入力してOracle WebLogic Server管理コンソールを起動します。デフォルトURLはhttp://hostname:port_number/consoleのような形式となります。ポート番号は、管理サーバーに使用されるポート番号と同じです。デフォルトのポート番号は9500です。Oracle WebLogic Server管理コンソール・オンライン・ヘルプを参照してください。

Oracle Business Intelligenceのインストール中に、ユーザー名およびパスワードが指定されました。これらの値がそれ以降に変更されている場合は、現在の管理ユーザー名とパスワードの組合せを使用してください。

デフォルトのWebLogic LDAPサーバーではなくOracle Internet Directoryなどの代替認証プロバイダを使用する場合は、代替認証プロバイダ管理アプリケーション(管理コンソールなど)を使用してユーザーとグループを管理する必要があります。

1. Oracle WebLogic Serverのログイン・ページを表示するには、そのURLをWebブラウザに入力します。

たとえば、http://hostname:9500/consoleです。

2. Oracle Business Intelligence管理ユーザーおよびパスワード資格証明を使用してログインします。

Oracle Fusion Middleware Controlの使用

Fusion Middleware Controlは、Webブラウザベースのグラフィカル・ユーザー・インタフェースであり、コンポーネントの集まりを管理できます。

このコンポーネントは、複数のOracle WebLogic Serverドメイン、1台の管理サーバー、1台以上の管理対象サーバー、複数のクラスタ、およびそのドメインでインストールおよび構成されて実行されている複数のFusion Middleware Controlコンポーネントで構成されます。Oracle Business Intelligenceの構成中にOracle WebLogic Serverドメインが作成され、そのドメインにOracle Business Intelligenceが構成されます。ドメインの名前はbi (エンタープライズ・インストール)で、Fusion Middleware Controlのナビゲーション・ペインの「WebLogicドメイン」フォルダにあります。

Oracle Fusion Middleware Controlを使用して、Oracle Business Intelligenceのセキュリティを次のように管理します。

- Oracle Business Intelligenceリソースへのアクセスを制御するアプリケーション・ロールおよびアプリケーション・ポリシーを管理します。

- Oracle Business Intelligenceに対する複数の認証プロバイダを構成します。

ポート番号は管理サーバーの番号で、デフォルトは9500です。

『Oracle Fusion Middlewareの管理』を参照してください。

システム全体にわたる管理者のユーザー名とパスワードは、インストール・プロセスの実行時に指定されており、これらを使用してOracle WebLogic Server管理コンソール、Fusion Middleware ControlおよびOracle Business Intelligenceにログインできます。

または、WebLogicのグローバルAdminロールが付与されている他のユーザー名およびパスワードを入力します。

- 「Fusion Middleware Controlを使用したアプリケーション・ロールおよびアプリケーション・ポリシーの管理」を参照してください。

- Secure Sockets Level (SSL)を構成します。次を参照してください。

- HTTPSポートの構成

- Fusion Middleware Controlの使用によるSMTPサーバーのSSLの構成

1. WebブラウザにFusion Middleware ControlのURLを入力します。

次の形式を使用します。

http://hostname.domain:port/em

次に例を示します。

http://host1.example.com:9500/em

2. システム管理者のユーザー名とパスワードを入力し、「ログイン」ボタンをクリックします。

3. メイン・ページから、ページの左上のターゲット・ナビゲーション・アイコンをクリックして、「Business Intelligence」フォルダを展開します。

4. biinstanceを選択して、Oracle Business Intelligence固有のページを表示します。

Oracle BI管理ツールの使用

Oracle BI管理ツールを使用して、メタデータ・リポジトリのオブジェクトに対してユーザーとアプリケーション・ロールの権限を構成します。

オンライン・モードで管理ツールにログインした場合は、WebLogic Serverのユーザーをすべて表示できます。オフライン・モードで管理ツールにログインした場合は、以前にメタデータ・リポジトリ権限をRPDに直接割り当てたユーザーの参照のみを表示できます。直接ユーザーではなくアプリケーション・ロールにメタデータ・リポジトリ権限を割り当てることをお薦めします。

1. 管理ツールにログインし、リポジトリをオンライン・モードで開きます。

2. (オプション)「管理」を選択し、「アイデンティティ」を選択します。

3. 「Identity Manager」ダイアログで、アプリケーション・ロールをダブルクリックします。

4. 「アプリケーション・ロール<Name>」ダイアログで、「権限」をクリックします。

5. 「オブジェクト権限」タブで、Oracle BIプレゼンテーション・カタログのオブジェクトおよびフォルダとの関連で、そのアプリケーション・ロールの「読取り」および「書込み」権限を表示または構成します。

6. 「プレゼンテーション」ペインでフォルダを開き、オブジェクトを右クリックして「プレゼンテーション表<Table name>」ダイアログを表示します。

7. 「権限」をクリックして「権限<Table name>」ダイアログを表示します。

プレゼンテーション・サービスの管理ページの使用

ユーザーの権限を構成するには、プレゼンテーション・サービスの管理ページを使用します。

ベスト・プラクティスとして、直接ユーザーではなくアプリケーション・ロールにプレゼンテーション・サービスの権限を割り当てる必要があります。

1. 管理者権限でOracle Business Intelligenceにログインします。

2. 「管理」リンクを選択して、「管理」ページを表示します。

3. 「権限の管理」リンクを選択します。

4. 特定の権限のリンクを選択して、「権限 <Privilege name>」ダイアログを表示します。

5. 「ユーザー/ロールの追加」アイコン(+)をクリックして、「アプリケーション・ロールおよびユーザーの追加」ダイアログを表示します。

「アプリケーション・ロールおよびユーザーの追加」ダイアログを使用して、この権限にアプリケーション・ロールを割り当てます。

Oracle Business Intelligenceでセキュリティを設定するためのプロセス

このプロセスを使用して、Oracle Business Intelligenceの新規インストールでセキュリティを設定します。

Oracle Business Intelligenceをインストールした後、サンプル・アプリケーションを使用してインストールおよび機能を評価できます。その後、実際のビジネス要件に応じて独自のユーザー、グループおよびアプリケーション・ロールの作成と開発を反復的に実行できます。

参照:

- Oracle Business Intelligenceでセキュリティを構成するツールの使用

- ユーザー、グループおよびアプリケーション・ロールの使用

注意:

デフォルトのSampleAppLite.rpdファイルを本番システムで使用する場合、管理ツールを使用して、インストールされた値からパスワードを変更する必要があります。『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のSampleApp.rpdデモ用のリポジトリに関する項を参照してください。

次のインストール後タスクを次の順序で完了することをお薦めします。

- ユーザーの認証に使用する認証プロバイダを次のように決定します。

- デフォルトの組込みWebLogic LDAPサーバーを使用します
ユーザーが1000人を超える環境では、WebLogic組込みLDAPサーバーを使用しないことをお薦めします。高可用性およびスケーラビリティを備えた本番環境が必要な場合は、Oracle Internet Directory (OID)などのディレクトリ・サーバー、またはサードパーティのディレクトリ・サーバーを使用する必要があります。

「システム要件と動作保証」を参照してください。

- Oracle Internet Directory (OID)などの代替認証プロバイダを使用します

- 組込みWebLogic LDAPサーバーを認証プロバイダとして使用する場合は、次を実行します。

- デプロイするユーザーを設定します。「組込みWebLogic LDAPサーバーにおける新規ユーザーの作成」を参照してください。

- グループを作成し、使用するこれらのグループを設定します。「組込みWebLogic LDAPサーバーにおける新規グループの作成」を参照してください。

- ユーザーを適切なグループに割り当てます。「組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て」を参照してください。

- ユーザーのグループをアプリケーション・ロールに割り当てます。「新規グループおよび新規アプリケーション・ロールへのユーザーの割当て」を参照してください。

- Oracle Internet Directory (OID)を認証プロバイダとして使用する場合は、次を実行します。

- OIDを認証プロバイダとして構成します。「代替認証プロバイダを構成するための大まかな手順」を参照してください。
必要に応じて、認証プロバイダ・ツール(OIDコンソールなど)を使用して、ユーザーおよびグループを作成します。

- デプロイするアプリケーション・ロールを設定します。「Fusion Middleware Controlの使用によるアプリケーション・ロールの作成と削除」を参照してください。
たとえば、BIConsumer、BIContentAuthorおよびBIServiceAdministratorを使用したり、固有のアプリケーション・ロールを作成します。

- 各グループを適切なアプリケーション・ロールに割り当てます。「アプリケーション・ロールへのグループの割当て」を参照してください。

- 管理ツールを使用して、Oracle BIリポジトリでユーザーおよびグループが持っている権限を更新します。「Oracle BI管理ツールの使用によるメタデータ・リポジトリ権限の管理」を参照してください。
たとえば、アプリケーション・ロールBISuperConsumerを有効にして、分析を作成できます。管理ツールを使用して、特定のサブジェクト・エリアに対するアクセス権を「読取り」から「読取り/書込み」に変更します。

- プレゼンテーション・サービスでユーザーおよびグループが持っている権限を変更するには、「アプリケーション・ロールの使用によるPresentation Servicesの権限の管理」を参照してください。
たとえば、アプリケーション・ロールBISuperConsumerがスコアカードを表示できないようにするには、プレゼンテーション・サービスの管理ページを使用して、BISuperConsumerの「スコアカード」権限と「スコアカードの表示」権限を「権限付与」から「拒否」に変更します。

- シングル・サインオンをデプロイする場合は、「SSO認証の有効化」を参照してください。

- Secure Sockets Layer (SSL)をデプロイするには、「Oracle Business IntelligenceのSSLの構成」を参照してください。Oracle Business Intelligenceは、SSLが無効の状態でインストールされます。

用語

このガイド全体を通じて使用される用語は次のとおりです。

アプリケーション・ポリシー

Oracle Business Intelligenceの権限はアプリケーション・ロールによって付与されます。デフォルトのセキュリティ構成では、各ロールには事前構成済の一連の権限が与えられています。アプリケーション・ポリシーは、Java EEおよびJAASポリシーのコレクションで、特定のアプリケーションに適用されます。アプリケーション・ポリシーは、各アプリケーション・ロールが付与する権限を定義するメカニズムです。権限の付与は、アプリケーション・ロールに対応するアプリケーション・ポリシーで管理されます。

アプリケーション・ロール

Oracle Business Intelligenceを使用しているときのユーザーの役割を表します。これは、ロールのメンバーに権限を付与するためにOracle Business Intelligenceが使用するコンテナでもあります。アプリケーション・ロールはポリシー・ストア・プロバイダで管理されます。

認証

ログイン中に提示される資格証明を確認することでIDを検証するプロセス。

認証プロバイダ

ユーザーおよびグループの情報にアクセスするために使用されるセキュリティ・プロバイダで、ユーザーの認証を行います。Oracle Business Intelligenceのデフォルト認証プロバイダは、Oracle WebLogic Server組込みディレクトリ・サーバーで、DefaultAuthenticatorという名前です。

認可

認証されたユーザーに割り当てられた権限に応じて、リソースへのアクセス権限を付与するプロセス。

カタログ・グループ

カタログ・グループはOracle Business Intelligenceリリース12.2.1.1以上ではサポートされていません。『Oracle Fusion Middleware Oracle Business Intelligence移行ガイド』を参照してください。

カタログの権限

これらの権限は、Oracle BIプレゼンテーション・カタログに格納されているオブジェクトへのアクセス権を付与します。権限はカタログに格納され、プレゼンテーション・サービスで管理されます。

カタログ権限

これらの権限は、Oracle BIプレゼンテーション・カタログの機能へのアクセス権を付与します。権限はカタログに格納され、Oracle BIプレゼンテーション・サービスで管理されます。これらの権限は付与されるか、または拒否されます。

資格証明ストア

Oracle Business Intelligence資格証明ストアは、ソフトウェア・コンポーネントによって使用されるシステム資格証明をセキュアに格納するために使用されるファイルです。このファイルは、インストール内のすべてのマシンに自動的にレプリケートされます。

資格証明ストア・プロバイダ

資格証明ストアは、Oracle Business Intelligenceコンポーネント間で内部的に使用される資格証明をセキュアに格納し、管理するために使用されます。たとえば、SSL証明書はここに格納されています。

暗号化

プレーンテキスト情報(データ)を、鍵を使用した場合にかぎり読取りが可能になる読取り不可能なテキストに変換することで、機密が保たれた通信を実現するプロセス。Secure Sockets Layer (SSL)を使用すると、インターネットを介したWebアプリケーション通信など、TCP/IPネットワーク上でセキュアな通信が可能になります。

偽装

偽装は、Oracle Business Intelligenceコンポーネントがユーザーのパスワードを使用することなく、ユーザーの代理としてセッションを確立するために使用する機能です。たとえば、偽装はOracle BIスケジューラがエージェントを実行するときに使用されます。

Oracle WebLogic Serverドメイン

管理サーバーとして知られているインスタンスを含むOracle WebLogicサーバー・リソースの論理的に関連したグループ。ドメイン・リソースはOracle WebLogic Server管理コンソールで構成され、管理されます。「Oracle WebLogic Server」を参照してください。

アイデンティティ・ストア

アイデンティティ・ストアには、ユーザー名、パスワードおよびグループ・メンバーシップの情報が含まれています。Oracle Business Intelligenceでは、アイデンティティ・ストアは通常ディレクトリ・サーバーであり、認証プロセス中に認証プロバイダがアクセスします。たとえば、ログイン時にユーザー名とパスワードの組合せを入力すると、認証プロバイダは、提供された資格証明を検証するためにアイデンティティ・ストアを検索します。Oracle Business Intelligenceは、代替アイデンティティ・ストアを使用するように再構成できます。「システム要件と動作保証」を参照してください。

権限セット

権限のセットを表します。

ポリシー・ストア・プロバイダ

ポリシー・ストアは、システムおよびアプリケーションに固有のポリシーのリポジトリです。ここには、インストールの一部としてすべて構成済の、Oracle Business Intelligenceのデフォルトのアプリケーション・ロール、権限、ユーザーとグループの間のマッピングの定義が格納されています。Oracle Business Intelligenceの権限は、アイデンティティ・ストアからアプリケーション・ロールにユーザーとグループを割り当てることで付与され、付与された権限はポリシー・ストア内に配置されます。

ポリシー・ストア

アプリケーション・ロール、アプリケーション・ポリシー、およびアプリケーション・ロールに割り当てられたメンバー(ユーザー、グループ、アプリケーション・ロールなど)の定義が含まれます。デフォルトのポリシー・ストアは、Oracle Business Intelligenceインストール内のすべてのマシンに自動的にレプリケートされるファイルです。ポリシー・ストアには、データベース・ベースまたはLDAPベースのものがあります。

Secure Sockets Layer(SSL)

セキュアな通信リンクを提供します。SSLでは、選択したオプションに応じて、暗号化、認証および拒否の組合せを提供できます。HTTPベースのリンクの場合、セキュアなプロトコルはHTTPSとして知られています。

セキュリティ・ポリシー

セキュリティ・ポリシーは、個々のユーザーまたは特定のアプリケーション・ロールに付与されている、Oracle Business Intelligenceリソースへのアクセス権をまとめたグループです。アクセス権を制御する場所は、要求されているリソースの管理をどのOracle Business Intelligenceコンポーネントが行っているかによって決まります。ユーザーのセキュリティ・ポリシーは権限付与の組合せであり、次の要素によって決定されます。

- Oracle BIプレゼンテーション・カタログ:
ユーザーがアクセスできるOracle BIプレゼンテーション・カタログ・オブジェクトおよびOracle BIプレゼンテーション・サービス機能がどれであるかを定義します。この機能へのアクセス権は、Oracle Business Intelligenceのユーザー・インタフェースで管理されます。これらの権限は、個々のユーザーに対して、またはアプリケーション・ロールに対応するメンバーシップによって付与されます。

- リポジトリ・ファイル:
リポジトリ・ファイル内に指定したメタデータへのアクセス権を定義します。この機能へのアクセス権は、Oracle BI管理ツールで管理されます。これらの権限は、個々のユーザーに対して、またはアプリケーション・ロールに対応するメンバーシップによって付与されます。

- ポリシー・ストア:
Oracle Business Intelligence、Oracle BI PublisherおよびOracle Real-Time Decisionsの機能のいずれにアクセスできるかを定義します。この機能へのアクセス権は、Oracle Enterprise Manager Fusion Middleware Controlで管理されます。これらの権限は、個々のユーザーに対して、またはアプリケーション・ロールに対応するメンバーシップによって付与されます。

セキュリティ・レルム

デプロイメント中にOracle WebLogic Serverドメインが作成され、Oracle Business Intelligenceがそのドメインにデプロイされます。Oracle WebLogic Serverドメインのセキュリティは、ドメインのセキュリティ・レルムで管理されます。セキュリティ・レルムは範囲指定メカニズムとして機能します。各セキュリティ・レルムは、構成済みのセキュリティ・プロバイダ、ユーザー、グループ、セキュリティ・ロール、およびセキュリティ・ポリシーで構成されます。ドメインでは1つのセキュリティ・レルムだけがアクティブになります。Oracle Business Intelligenceの認証は、インストール先のWebLogic Serverドメインのデフォルト・セキュリティ・レルム用に構成された認証プロバイダによって実行されます。Oracle WebLogic Server管理コンソールは、Oracle WebLogic Serverドメインを管理するための管理ツールです。

シングル・サインオン

ユーザーが認証を一度行えば、同じブラウザ・セッションの間は複数のソフトウェア・アプリケーションにアクセスできるようにする認証方法。

ユーザーとグループ

ユーザーとは、認証可能なエンティティです。ユーザーには、アプリケーション・ユーザーなどの人、クライアント・アプリケーションなどのソフトウェア・エンティティがあります。どのユーザーにも、アイデンティティ・ストア内で一意の識別子が付与されています。

グループは、何かしら共通するものを持つユーザーを集合にまとめたものです。グループは、システム管理者によって割り当てられた静的な識別子です。ユーザーをグループにまとめることで、効率的なセキュリティ管理を促進します。グループには、LDAPグループとカタログ・グループの2種類があります。カタログ・グループは、Oracle Business Intelligenceユーザー・インタフェースで権限を付与する場合に、プレゼンテーション・サービスの既存のユーザー・ベースをサポートするために使用されます。カタログ・グループの使用はお薦めしません。これは、アップグレードしたシステムでの下位互換性を目的としたものです。

2 デフォルト・セキュリティ構成を使用したセキュリティの管理

これらのトピックでは、サンプル・アプリケーションとともに組込みWebLogic LDAPサーバーを使用してOracle Business Intelligenceセキュリティをデプロイする方法について説明します。

サンプル・アプリケーションとともにデフォルトの組込みWebLogic LDAPサーバーをデプロイすることで、デフォルトのユーザー、グループおよびアプリケーション・ロールを使用できます。また、独自のユーザー、グループおよびアプリケーション・ロールを開発することもできます。

- ユーザー、グループおよびアプリケーション・ロールの使用

- ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例

- 組込みWebLogic LDAPサーバーにおけるユーザーおよびグループの管理

- Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理

- Oracle BI管理ツールの使用によるメタデータ・リポジトリ権限の管理

- アプリケーション・ロールの使用によるPresentation Servicesの権限の管理

- BI Publisherの使用によるデータ・ソース・アクセスの権限の管理

- デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性の有効化

- ユーザーの削除

- Oracle BIプレゼンテーション・カタログでのセキュリティ・タスクの管理のためのruncatの使用

組込みWebLogic LDAPサーバーからユーザー(暗号化されたパスワードを使用)、グループ、ロールおよびポリシーを移行できます。『Oracle WebLogic Serverセキュリティの管理』の組込みLDAPサーバーでの情報のエクスポートおよびインポートに関する項を参照してください。

ユーザー、グループおよびアプリケーション・ロールの使用

BIインストールで使用できるサンプル・アプリケーションとともにOracle Business Intelligenceを構成する場合、BI機能を使用してBIフォルダ、レポート、データ列および他のオブジェクトにアクセスできるようにユーザーおよびグループをプロビジョニングするために、多数のアプリケーション・ロールが用意されています。

たとえば、Oracle Business Intelligenceの新しいインストールの後、サンプル・アプリケーションを使用した初期サービス・インスタンスの移入を選択した場合、構成手順中にBIドメインを作成するために指定されたユーザーにはアプリケーション・ロールBIServiceAdministratorが割り当てられます。さらに、サンプル・アプリケーションではアプリケーション・ロールBIContentAuthorおよびBIConsumerを提供し、これらのアプリケーション・ロールは連携して機能するように事前構成されます。たとえば、BIServiceAdministratorアプリケーション・ロールのメンバーであるユーザーは、BIContentAuthorおよびBIConsumerアプリケーション・ロールを自動的に継承するため、これらのすべてのアプリケーション・ロールに関連付けられたすべての権限がプロビジョニングされます。このセキュリティ構成については、「デフォルト・セキュリティ構成の理解」を参照してください。

サンプル・アプリケーション・ロールには、サンプルのOracle BIプレゼンテーション・カタログ、BIリポジトリおよびポリシー・ストアを操作できるように、適切な権限があります。たとえば、アプリケーション・ロールBIContentAuthorは、ダッシュボード、レポート、アクションなどの作成に必要な権限を備えて事前構成されます。

次の画面に、サンプルおよび初期アプリケーション・インストールで事前構成されるアプリケーション・ロール、グループおよびユーザーを示します。

最初にBIドメインを構成する場合、BIインストールに組み込まれているBIアプリケーション・アーカイブ(BAR)・ファイルのいずれかに基づいて、サービス・インスタンスが作成されます。各BIアプリケーションには、管理アプリケーション・ロールとしてタグ付けされているアプリケーション・ロールが含まれます。この管理アプリケーション・ロールの名前は、BIアプリケーション・アーカイブの開発者または作成者によって決まります。BIインストールで使用できるサンプル、初期および空のアプリケーションの場合、この管理アプリケーション・ロールの名前はBIServiceAdministratorです。これらのアプリケーションの作成者は、このアプリケーション・ロールのメンバーがシステムを管理できるように、このアプリケーション・ロールに対する特定の権限セットおよび権限が割り当てられます。BIサービス・インスタンスが作成されると、BIシステム管理者はサービス・インスタンスの所有者(ユーザー)を指定します。BIアーカイブ・ファイルがサービス・インスタンスにインポートされる場合は常に、システムにより、管理アプリケーション・ロールがサービス・インスタンス所有者に割り当てられます。

注意:

11gアップグレード・バンドルを12cサービス・インスタンスにインポートする場合、システムにより、管理アプリケーション・ロールとしてアプリケーション・ロールBIAdministratorが自動的にタグ付けされます。

『Oracle Business Intelligenceのインストールと構成』および『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のimportServiceInstanceに関する項を参照してください。

サンプル・アプリケーション・ロールを使用して、セキュリティをデプロイできます。固有のグループおよびアプリケーション・ロールを作成して、ビジネス・ニーズを満たすことができます。次に例を示します。

- Fredという名前の従業員に、ダッシュボードおよびレポートの作成を可能にする場合、Fredという名前の新規ユーザーを作成し、FredをデフォルトのBIContentAuthorsグループに割り当てることができます。

- FredをSalesダッシュボード作成者として割り当てる場合は、リポジトリ内のSalesサブジェクト・エリアの表示およびSalesダッシュボードの編集の権限を持つSales_ Dashboard_ Authorという名前のアプリケーション・ロールを作成します。

- ユーザーFredがBIContentAuthorsおよびSales_Dashboard_Author職務を実行できるようにする場合は、BIContentAuthors権限およびSales_Dashboard_Author権限を持つBIManagerという新しいアプリケーション・ロールを作成します。

「デフォルト・セキュリティ構成の理解」を参照してください。

ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例

この例では、小さいセットのユーザー、グループおよびアプリケーション・ロールを使用して、セキュリティ・モデルの設定方法を示します。この例では、次を実装します。

- ビジネス・インテリジェンス・レポートを表示する必要がある、User1、User2およびUser3という名前の3ユーザー

- ビジネス・インテリジェンス・レポートを作成する必要がある、User4およびUser5という名前の2ユーザー

- Oracle Business Intelligenceを管理する、User6およびUser7という名前の2ユーザー。

次の図に、このセキュリティ・モデルの例を実装するためにデプロイするユーザー、グループおよびアプリケーション・ロールを示します。

この図には次のことが示されています。

- BIConsumersという名前のグループには、User1、User2およびUser3が含まれています。グループBIConsumersのユーザーには、BIConsumerという名前のアプリケーション・ロールが割り当てられています。これによりユーザーはレポートを表示できます。

- BIContentAuthorsという名前のグループには、User4およびUser5が含まれています。グループBIContentAuthorsのユーザーには、BIContentAuthorという名前のアプリケーション・ロールが割り当てられています。これによりユーザーはレポートを作成できます。

- BIServiceAdministratorsという名前のグループには、User6およびUser7が含まれています。グループBIServiceAdministratorsのユーザーには、BIServiceAdministratorという名前のアプリケーション・ロールが割り当てられています。これによりユーザーはリポジトリを管理できます。

関連項目:

- 組込みWebLogic LDAPサーバーにおける新規ユーザーの作成

- 組込みWebLogic LDAPサーバーにおける新規グループの作成

- 組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て

1. User1からUser 7という名前の7ユーザーを作成します。

2. グループBIConsumers、BIContentAuthorsおよびBIServiceAdministratorsを作成します。

3. デフォルトのグループに、次のようにユーザーを割り当てます。

a. BIConsumersという名前のグループに、User1、User2およびUser3を割り当てます。

b. BIContentAuthorsという名前のグループに、User4およびUser5を割り当てます。

c. BIServiceAdministratorsという名前のグループに、User6およびUser7を割り当てます

4. 次の手順に従って、グループをサンプル・アプリケーション・ロールに割り当てます。

a. BIConsumersグループをBIConsumerアプリケーション・ロールのメンバーにします。

b. BIContentAuthorsグループをBIContentAuthorアプリケーション・ロールのメンバーにします。

c. BIServiceAdministratorsグループをBIServiceAdministratorアプリケーション・ロールのメンバーにします。

組込みWebLogic LDAPサーバーにおけるユーザーおよびグループの管理

この項では、組込みWebLogic LDAPサーバーにおけるユーザーおよびグループの管理方法を説明します。次のトピックがあります:

- 新規グループおよび新規アプリケーション・ロールへのユーザーの割当て

- 組込みWebLogic LDAPサーバーにおける新規ユーザーの作成

- 組込みWebLogic LDAPサーバーにおける新規グループの作成

- 組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て

- ユーザーの削除

- 組込みWebLogic LDAPサーバーにおけるユーザー・パスワードの変更

新規グループおよび新規アプリケーション・ロールへのユーザーの割当て

ユーザーを作成して新しいグループおよび新しいアプリケーション・ロールに割り当てることで、セキュリティ・モデルを拡張できます。

たとえば、Jimという名前のユーザーを作成し、BIMarketingRoleという名前のアプリケーション・ロールに割り当てられるBIMarketingGroupグループにJimを割り当てることができます。

ユーザーをグループおよびアプリケーション・ロールに割り当てるプロセスは、次のとおりです。

1. WebLogic管理コンソールを起動します。

2. 新規ユーザーを作成

3. 新規グループの作成

4. ユーザーをグループに割り当てます。

5. アプリケーション・ロールを作成し、新しいグループに割り当てます。

6. Oracle BIリポジトリを編集し、新しいアプリケーション・ロールの権限を設定します。

7. Oracle BIプレゼンテーション・カタログを編集し、新しいユーザーおよびグループの権限を設定します。

組込みWebLogic LDAPサーバーにおける新規ユーザーの作成

通常、Oracle Business Intelligence環境では、ビジネス・ユーザーごとに別々のユーザーを作成します。たとえば、レポート・コンシューマを30ユーザー、レポート作成者を3ユーザー、および管理者を1ユーザー、デプロイするように計画できます。この場合、Oracle WebLogic Server管理コンソールを使用して、適切なグループに割り当てる34個のユーザーを作成します。

ログインできるすべてのユーザーには、組込み認証済アプリケーション・ロールによって付与された基本レベルの操作権限が与えられますサービス・インスタンスにインポートされるBIアプリケーションの作成者は、認証されたすべてのユーザーがBIアプリケーションの権限を付与されたアプリケーション・ロールのメンバーであるようにセキュリティ・ポリシーを設計している場合があります。「サンプル・アプリケーションを使用したセキュリティ構成」を参照してください

DefaultAuthenticatorは、デフォルト認証プロバイダの名前です。

1. Oracle WebLogic Server管理コンソールにログインします。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルム(myrealmなど)をクリックします。

3. 「ユーザーとグループ」タブ→「ユーザー」を選択します。「新規」をクリックします。

4. 「新規ユーザーの作成」の「名前」に、ユーザーの名前を入力します。

5. (オプション)「説明」で、ユーザーに関する追加情報を提供します。

6. 「プロバイダ」リストで、ユーザー情報が含まれるアイデンティティ・ストアに対応する認証プロバイダを選択します。

7. 「パスワード」に、ユーザーのパスワードを8文字以上の長さで入力します。

8. 「パスワードの確認」に、ユーザー・パスワードを再入力します。

9. 「OK」をクリックします。

組込みWebLogic LDAPサーバーにおける新規グループの作成

Oracle Business Intelligence環境では、ビジネス・ユーザーの機能タイプごとに別々のグループを作成できます。

標準的なデプロイメントには、BIConsumers、BIContentAuthorsおよびBIServiceAdministratorsという3つのグループが必要となる場合があります。これらの名前でグループを作成したり、Oracle Business Intelligenceとともに使用するようにグループを構成したり、独自のカスタム・グループを作成できます。

「ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例」を参照してください。

DefaultAuthenticatorは、デフォルト認証プロバイダです。

1. Oracle WebLogic Server管理コンソールを起動します。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、myrealmです。

3. 「ユーザーとグループ」タブをクリックし、「グループ」をクリックします。

4. 「新規」をクリックします。

5. 「新規グループの作成」の「名前」フィールドに、一意のグループ名を入力します。

6. (オプション)「説明」フィールドに、グループの構成に関する簡単なメモを入力します。

7. 「プロバイダ」リストで、グループ情報が含まれるアイデンティティ・ストアに対応する認証プロバイダを選択します。

8. 「OK」をクリックします

組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て

通常は、各ユーザーを適切なグループに割り当てます。たとえば、標準的なデプロイメントには、レポート・コンシューマをBIConsumersという名前のグループに割り当てるためのユーザーIDの作成が必要となる場合があります。この場合は、BIConsumersという名前のデフォルトのグループにユーザーを割り当てるか、作成したカスタム・グループにユーザーを割り当てることができます。

「ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例」および「Oracle WebLogic Server管理コンソールの使用」を参照してください。

1. Oracle WebLogic Server管理コンソールを起動します。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルム(myrealmなど)をクリックします。

3. 「ユーザーとグループ」タブ→「ユーザー」を選択します。

4. 「ユーザー」表で、グループに追加するユーザーを選択します。

5. 「グループ」タブを選択します。

6. 「使用可能」リストから1つまたは複数のグループを選択します。

7. 「保存」をクリックします。

ユーザーの削除

ユーザーが不要になった場合、新しく作成された同じユーザーが古いアクセスの権限を継承しないように、システムからユーザーIDを完全に削除する必要があります。認証およびアクセスの権限がユーザーIDに割り当てられるため、この状況が発生する可能性があります。

ユーザーを削除するには、ポリシー・ストア、Oracle BIプレゼンテーション・カタログ、メタデータ・リポジトリおよびアイデンティティ・ストアからユーザーを取り除きます。

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のユーザー・コマンドの削除に関する項を参照してください。

Oracle WebLogic Server LDAP以外のアイデンティティ・ストアを使用している場合、使用するアイデンティティ・ストアに適切な手順に従ってください。

ユーザーをアプリケーション・ロールに関連付けている場合、そのアプリケーション・ロールを更新して、そのユーザーに対するすべての参照を削除する必要があります。

1. ユーザーをポリシー・ストアから削除します。

2. deleteusersコマンドを使用して、Oracle BIプレゼンテーション・カタログおよびメタデータ・リポジトリのユーザーを削除します。

3. Oracle WebLogic Server管理コンソールにログインします。

4. 「セキュリティ・レルム」を選択し、ユーザーが含まれるレルム(myrealmなど)を選択します。

5. 「ユーザーとグループ」タブをクリックし、「ユーザー」をクリックします。

6. ユーザーを選択し、「削除」をクリックします。

7. 「ユーザーの削除」で、「はい」をクリックします。

8. 「OK」をクリックします。

組込みWebLogic LDAPサーバーにおけるユーザー・パスワードの変更

このオプションのタスクを実行して、ユーザーのデフォルト・パスワードを変更します。

システム・ユーザーのパスワードを変更する場合は、資格証明ストアでも変更する必要があります。

1. Oracle WebLogic Server管理コンソールで「セキュリティ・レルム」を選択し、構成するレルム(myrealmなど)をクリックします。

2. 「ユーザーとグループ」タブをクリックし、「ユーザー」を選択します。

3. 「ユーザー」表で、変更されたパスワードを受信するユーザーを選択します。

4. ユーザーの「設定」ページで、「パスワード」タブを選択します。

5. パスワードを「新規パスワード」フィールドと「パスワードの確認」フィールドに入力します。

6. 「保存」をクリックします。

Fusion Middleware Controlを使用したアプリケーション・ロールおよびアプリケーション・ポリシーの管理

アプリケーション・ロールおよびアプリケーション・ポリシーにより、ユーザーおよびグループに権限を付与します。

サービス・インスタンスを作成した後またはBIアプリケーション・アーカイブ(BAR)ファイルをサービス・インスタンスにインポートした後、アイデンティティ・ストアのユーザーおよびグループがサービス・インスタンスに定義されているアプリケーション・ロールに正しくマップされるように、サービス・インスタンスのセキュリティ・ポリシーを確認する必要があります。各BIアプリケーション・ファイルは、固有のセキュリティ・ポリシーを含むことができます。ベスト・プラクティスとして、BIアプリケーション・アーカイブ・ファイルをインポートした後、サービス・インスタンスのセキュリティ・ポリシーを確認します。

アプリケーションのBIメタデータを含むBIアプリケーション・アーカイブ・ファイルには、ユーザーへの権限のプロビジョニングに使用できる事前定義済のアプリケーション・ロールが含まれます。たとえば、サンプル・アプリケーションにはアプリケーション・ロールBIConsumer、BIContentAuthorおよびBIServiceAdministratorが含まれます。ユーザーに権限をプロビジョニングするには、アイデンティティ・ストア(通常はLDAPディレクトリ)のユーザーおよびグループを、定義されたアプリケーション・ロールにマップします。

重要:

Oracle Enterprise Manager Fusion Middleware Controlを使用して、権限付与に基づく操作を管理します。Oracle WebLogic Scripting Tool (WLST)コマンドを使用して、権限セット付与に基づく操作を実行する必要があります。grantEntitlementに関する項およびrevokeEntitlementに関する項を参照してください。『Oracle Fusion Middlewareインフラストラクチャ・セキュリティWLSTコマンド・リファレンス』ガイドのOPPSセキュリティ・ストアWLSTコマンドに関する項を参照してください。

より複雑またはきめ細かなセキュリティ・モデルを作成する場合は、独自のアプリケーション・ロールおよびアプリケーション・ポリシーを作成できます。たとえば、マーケティング部門のレポート作成者に、メタデータ・リポジトリおよびOracle BIプレゼンテーション・カタログのマーケティング領域への書込みアクセス権のみを付与するとします。BIContentMarketingという名前の新規アプリケーション・ロールを作成し、そのロールに適切な権限を提供できます。

関連項目:

- Fusion Middleware Controlの使用によるアプリケーション・ロールの作成と削除。
デフォルトの事前構成済アプリケーション・ポリシーに基づいてアプリケーション・ロールを作成したり、独自のアプリケーション・ポリシーを作成できます。「ユーザー、グループおよびアプリケーション・ロールの使用」を参照してください。

- Fusion Middleware Controlを使用したアプリケーション・ポリシーの作成

- Fusion Middleware Controlを使用したアプリケーション・ロールの変更

Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示

Fusion Middleware Controlで権限セット付与を割り当てられているアプリケーション・ポリシーおよびアプリケーション・ロールを表示できます。

Fusion Middleware Controlでは、権限付与および権限セット付与が表示されます。権限付与に基づく操作のみを実行できます。Fusion Middleware Controlを使用して権限付与をアプリケーション・ロールに追加した場合は、Fusion Middleware Controlを使用してそのアプリケーション・ロールを削除できます。

権限セット付与を管理するには、WLSTコマンドを使用する必要があります。『Fusion Middlewareインフラストラクチャ・セキュリティWLSTコマンド・リファレンス』のOPSSセキュリティ・ストアWLSTコマンドに関する項を参照してください。

1. Fusion Middleware Controlにログインします。

2. 「ターゲット・ナビゲーション」アイコンを選択して、ナビゲーション・ペインを開きます。

3. ナビゲーション・ペインから「Business Intelligence」フォルダを展開し、biinstanceを選択します。

4. 次のいずれかのオプションを選択します。

- biinstanceを右クリックし、「セキュリティ」を選択して、「アプリケーション・ポリシー」または「アプリケーション・ロール」を選択します。

- またはコンテンツ・ペインから、「Business Intelligenceインスタンス」をクリックしてメニューを表示し、「セキュリティ」→「アプリケーション・ポリシー」または「アプリケーション・ロール」を選択します。
Fusion Middleware Controlの他の「セキュリティ」メニュー・オプションは、これらのメニューからは使用できません。

5. 「アプリケーション・ポリシー」または「アプリケーション・ロール」を選択して、「アプリケーション・ポリシー」ページまたは「アプリケーション・ロール」ページを表示します。

Fusion Middleware Controlの使用によるアプリケーション・ロールの作成と削除

Fusion Middleware Controlを使用して、アプリケーション・ロールを作成、削除および管理します。

新しいOracle Business Intelligenceのデプロイメントでは、Oracle Business Intelligence環境でのビジネス・ユーザー・アクティビティのタイプごとにアプリケーション・ロールを作成します。たとえば、サンプル・アプリケーションまたは初期アプリケーションに基づくデプロイメントには、アプリケーション・ロールBIConsumer、BIContentAuthorおよびBIServiceAdministratorが含まれる場合があります。BIシステム管理者またはサービス管理者のように、アプリケーション・ロールまたはBARファイルで提供されているアプリケーション・ロールに割り当てられた権限セットを変更しないでください。

Oracle Business Intelligenceアプリケーション・ロールは、ユーザーに割り当てられているロールを表します。たとえば、セールス・アナリストのアプリケーション・ロールにより、会社のセールス・パイプラインに関するレポートを表示、編集および作成するためのユーザー・アクセスが許可されます。サービス・インスタンスの管理者は、アプリケーション・ロールを作成および変更できます。アプリケーション・ロールをディレクトリ・サーバー・グループから分離して区別しておくことで、認可要件に対応しやすくなります。企業のディレクトリ・サーバーで定義されているグループを変更することなく、実際の環境のビジネス・ロールと一致する新規アプリケーション・ロールを作成できます。認可要件を制御する場合は、ディレクトリ・サーバーの既存のユーザー・グループをアプリケーション・ロールに割り当てることができます。

新規アプリケーション・ロールを作成し、そのアプリケーション・ロールをOracle Business Intelligenceサービス・インスタンスに追加する前に、権限およびグループの継承がどのように動作するかを理解してください。ロールの階層を構築するときは、循環依存が生じないことが重要です。「グループおよびアプリケーション・ロールを使用したユーザーへの権限の付与」を参照してください。

『Oracle Platform Security Servicesによるアプリケーションの保護』のポリシー・ストアの管理に関する項を参照してください。

「メタデータ・リポジトリでのアプリケーション・ロールの管理 - 高度なセキュリティ構成トピック」を参照してください。

- アプリケーション・ロールの作成

- 既存のロールからのアプリケーション・ロールの作成

- アプリケーション・ロールへのグループの割当て

- アプリケーション・ロールの削除

アプリケーション・ロールの作成

これらの手順を使用して、Fusion Middleware Controlでアプリケーション・ロールを作成します。

アプリケーション・ロールにメンバーを追加することもできます。『Oracle Platform Security Servicesによるアプリケーションの保護』のアプリケーション・ロール名の文字に関する項を参照してください。

既存のロールをコピーして、アプリケーション・ロールを作成できます。「既存のロールからのアプリケーション・ロールの作成」を参照してください。

アプリケーション・ロールの有効メンバーには、ユーザー、グループおよび他のアプリケーション・ロールがあります。

アプリケーション・ロールのメンバーシップは、Fusion Middleware Controlの「アプリケーション・ロール」ページを使用して制御されます。

権限および権限セット付与の定義がアプリケーション・ポリシーで設定され、その後、アプリケーション・ポリシーがアプリケーション・ロールに付与されます。「Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成」を参照してください。権限および権限セット付与は、Fusion Middleware Controlの「アプリケーション・ポリシー」ページに表示されます。

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを選択します。

2. 「アプリケーション・ロール」で、「アプリケーション・ストライプ」フィールドの値がobiであることを確認し、「ロール名」の横にある検索アイコンをクリックします。

3. 「作成」をクリックします。

4. 「アプリケーション・ロール」の「ロール名」に、無効な特殊文字や空白を含まないアプリケーション・ロール名を入力します。

5. 「表示名」に、ユーザー・インタフェースに表示されるアプリケーション・ロール名を入力します。

6. (オプション)「説明」に、アプリケーション・ロールの使用に関する説明を入力します。

7. 「メンバー」セクションで、「追加」をクリックします。

8. 「プリンシパルの追加」で、「タイプ」リストから「アプリケーション・ロール」、「グループ」または「ユーザー」を選択します。

9. (オプション)「プリンシパル名」および「表示名」フィールドで、検索基準を入力し、「検索」をクリックします。

10. 「検索済プリンシパル」で、結果を選択し、「OK」をクリックします。

既存のロールからのアプリケーション・ロールの作成

既存のアプリケーション・ロールをコピーして、アプリケーション・ロールを作成できます。

コピーには元と同じメンバーが含まれ、元と同じアプリケーション・ポリシーの権限受領者となります。変更を加えて、新しいアプリケーション・ロールをカスタマイズできます。

『Oracle Platform Security Servicesによるアプリケーションの保護』のアプリケーション・ロール名の文字に関する項を参照してください。

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを表示します。

2. 「アプリケーション・ストライプ」リストからobiを選択します。

3. 「ロール名」の横にある検索アイコンをクリックします。

4. コピーするアプリケーション・ロールをリストから選択します。

5. 「類似作成」をクリックします。

6. 「一般」セクションの「ロール名」に、無効な文字や空白が使用されていないアプリケーション・ロール名を入力します。

7. (オプション)「表示名」に、アプリケーション・ロールの表示名を入力します

8. (オプション)「説明」に、アプリケーション・ロールの使用に関する説明を入力します。

9. 「メンバー」セクションで、「追加」をクリックします。

「メンバー」セクションに、元のロールに割り当てられている同じアプリケーション・ロール、グループまたはユーザーが表示されます。

10. 「プリンシパルの追加」で、「タイプ」リストから「アプリケーション・ロール」を選択します。

11. (オプション)「プリンシパル名」および「表示名」フィールドで、検索基準を入力し、「検索」をクリックします。

12. 「検索済プリンシパル」で、結果を選択し、「OK」をクリックします。

13. 必要に応じてメンバーを変更し、「OK」をクリックします。

アプリケーション・ロールへのグループの割当て

グループをアプリケーション・ロールに割り当て、そのグループ内のユーザーに適切なセキュリティ権限を提供します。たとえば、BIMarketingGroupという名前のマーケティング・レポート・コンシューマ用グループがBIConsumerMarketingという名前のアプリケーション・ロールを必要とするとします。この場合、BIMarketingGroupという名前のグループをBIConsumerMarketingという名前のアプリケーション・ロールに割り当てます。

「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

obiアプリケーション・ストライプが事前に選択され、アプリケーション・ポリシーが表示されるかどうかは、「アプリケーション・ロール」ページへの移動に使用される方法によって異なります。

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを表示します。

2. 必要に応じて、「アプリケーション・ストライプ」のリストからobiを選択して、「ロール名」の隣の検索アイコンをクリックします。

3. リスト内のアプリケーション・ロールを選択し、「編集」をクリックして、「アプリケーション・ロールの編集」ダイアログを表示します。

4. 「ロール名」で、使用するアプリケーション・ロールを選択します。

5. (オプション)「表示名」に、ユーザー・インタフェースに表示するアプリケーション・ロール名を入力します。

6. (オプション)「説明」に、アプリケーション・ロールの使用に関する簡単な説明を入力します。

7. 「メンバー」セクションで「追加」をクリックして、「ロール」リストに割り当てるグループを追加します。

たとえば、BIMarketingGroupという名前のマーケティング・レポート・コンシューマ用グループがBIConsumerMarketingという名前のアプリケーション・ロールを必要とする場合は、BIMarketingGroupという名前のグループを「ロール」リストに追加します。

8. 「OK」をクリックして、「アプリケーション・ロール」ページに戻ります。

アプリケーション・ロールの削除

アプリケーション・ロールを削除する場合は、最初にシステム管理者に連絡してからにしてください。

「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを表示します。

2. 削除するアプリケーション・ロールを選択します。

3. 「削除」をクリックし、「はい」をクリックして、アプリケーション・ロールの削除を確認します。

Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成

デフォルトのアプリケーション・ポリシーに基づいてアプリケーション・ポリシーを作成するか、独自のアプリケーション・ポリシーを作成できます。

Oracle Business Intelligence Enterprise Edition 12cでは、権限セットおよび権限を使用します。権限セットは、権限のコレクションで、資格とも呼ばれます。Oracle BI EE 12cで使用できるすべての権限が権限セットにグループ化されます。サンプルまたは初期アプリケーションがサービス・インスタンスにインポートされると、アプリケーション・ロールに割り当てられた権限セットが表示されます。Oracle BI EE 11gアップグレード・バンドルがサービス・インスタンスにインポートされると、Oracle BI EE 11gシステムからの権限が、移行されたアプリケーション・ロールに割り当てられた新しい権限セットが補足されて表示されます

Fusion Middleware Controlでは、権限セット付与の表示のみ許可します。アプリケーション・ロールに対する権限セット付与は変更できません。Fusion Middleware Controlでは、アプリケーション・ロールに対する権限付与を変更できます。Oracle BI EE 12cでは、アプリケーション・ロールに対する権限セット付与を更新する必要がある場合、WLSTコマンドラインを使用する必要があります。『Oracle Platform Security Servicesによるアプリケーションの保護』のWLSTを使用したポリシーの管理に関する項を参照してください。

既存のアプリケーション・ポリシーを使用して、アプリケーション・ポリシーを作成できます。

プリンシパルは、ポリシー権限受領者の名前を表します。

1. 「Fusion Middleware Control」にログインし、「アプリケーション・ポリシー」ページを表示します。

2. 「アプリケーション・ストライプ」リストからobiを選択して、「名前」の隣の検索アイコンをクリックします。

3. 表から既存のポリシーを選択します。

4. 「類似作成」をクリックし、「アプリケーション権限の類似作成」ページを表示します。

5. 「権限受領者」領域の「アプリケーション・ロールの追加」をクリックし、「アプリケーション・ロールの追加」ダイアログを表示して、アプリケーション・ロールをポリシーに追加します。

6. 「検索」領域に情報を入力し、「表示名」フィールドの隣の青の検索ボタンをクリックします。

7. 「検索済プリンシパル」リストから選択して、「OK」をクリックします。

選択されたアプリケーション・ロールが「アプリケーション権限の類似作成」ページに「権限受領者」として追加され、表示されます。

8. 「OK」をクリックして、「アプリケーション・ポリシー」ページに戻ります。

Fusion Middleware Controlを使用したアプリケーション・ロールの変更

次のように、対応するアプリケーション・ポリシーの権限セット付与を変更したり(アプリケーション・ロールがアプリケーション・ポリシーの権限受領者である場合)、アプリケーション・ロールのメンバーを変更したり、アプリケーション・ロールの名前変更または削除を行うことで、アプリケーション・ロールを変更できます。

- アプリケーション・ポリシーへのアプリケーション・ロールの追加

- アプリケーション・ロールのメンバーの追加または削除

- アプリケーション・ロール名の変更

『Oracle Platform Security Servicesによるアプリケーションの保護』のFusion Middleware Controlによるポリシーの管理に関する項を参照してください。

アプリケーション・ポリシーへのアプリケーション・ロールの追加

Fusion Middleware Controlを使用してアプリケーション・ロールをアプリケーション・ポリシーに追加することによってアプリケーション・ロールの権限付与を変更する場合は、この手順を使用します。

権限付与の変更の場合、Fusion Middleware Controlで次のタスクを実行できます。権限セット付与を変更するには、Oracle WebLogic Server管理コンソールを使用する必要があります。

1. Fusion Middleware Controlにログインします

2. 「ターゲット・ナビゲーション」をクリックします。

3. 「ターゲット・ナビゲーション」で、「Business Intelligence」を展開し、biinstanceを選択します。

4. biinstanceリストで、「セキュリティ」を選択してから「アプリケーション・ポリシー」を選択します。

5. 「アプリケーション・ポリシー」で、「アプリケーション・ストライプ」からobiを選択します。

6. プリンシパル・ロールの横にある矢印をクリックして、関連するアプリケーション・ロールを検索します。

7. 「プリンシパル」列で、アプリケーション・ロールを選択し、「編集」をクリックします。

8. 「権限受領者」で、「追加」をクリックします。

9. 「プリンシパルの追加」で、アプリケーション・ロールを検索します。

10. アプリケーション・ロールの追加後、「権限」で「追加」をクリックします。

11. 「権限の追加」で、アプリケーション・ロールを付与する権限を選択します。

アプリケーション・ロールのメンバーの追加または削除

Fusion Middleware Controlを使用して、アプリケーション・ロールのメンバーを追加または削除できます。

これらのタスクは、Oracle Business IntelligenceがインストールされているWebLogicドメイン(bifoundation_domainなど)で実行する必要があります。アプリケーション・ロールの有効なメンバーは、ユーザー、グループまたはその他のアプリケーション・ロールです。

個々のユーザーではなくグループをアプリケーション・ロールに割り当ててから、これらのグループにユーザーを割り当てることをお薦めします。

注意:

このアプリケーション・ロールに割り当てられた権限の変更によりシステムが使用できない状態のままの可能性があるため、管理アプリケーション・ロールにタグ付けされているアプリケーション・ロールの権限付与およびメンバーシップを変更する場合に注意してください。

「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを表示します。

2. まだ表示されていない場合、「アプリケーション・ストライプ」を選択し、リストからobiを選択して、「ロール名」の隣の検索アイコンをクリックします。

3. アプリケーション・ロール名の横のセルを選択し、「編集」をクリックして「アプリケーション・ロールの編集」ページを表示します。

4. メンバーを削除するには、メンバーの「名前」を選択し、「削除」ボタンをアクティブにして、「削除」をクリックします。

5. 「追加」をクリックしてメンバーを追加します。

a. 「タイプ」フィールド・リストから、「アプリケーション・ロール」、「グループ」または「ユーザー」を選択します。

b. (オプション)「プリンシパル名」および「表示名」フィールドに検索の詳細を入力します。

c. 「検索」をクリックします。

d. 「検索済プリンシパル」の結果から選択します。

e. 「OK」をクリックします。

6. 「アプリケーション・ロールの編集」ページで「OK」をクリックし、「アプリケーション・ロール」ページに戻ります。

『Oracle Platform Security Servicesによるアプリケーションの保護』のアプリケーション・ロールの管理に関する項を参照してください。

アプリケーション・ロール名の変更

既存のアプリケーション・ロールの名前は直接変更できません。更新できるのは表示名のみです。

アプリケーション・ロール名を変更するには、そのアプリケーション・ロールに使用されていたものと同じアプリケーション・ポリシーを使用して新しいアプリケーション・ロールを作成し、古いアプリケーション・ロールを削除する必要があります。新しいアプリケーション・ロールを作成する際に、新しい名前を指定します。Oracle BIプレゼンテーション・カタログとメタデータ・リポジトリの両方で、古いアプリケーション・ロールへの参照を、新しいアプリケーション・ロールへの参照に更新する必要もあります。

カタログおよびメタデータ・リポジトリのアプリケーション・ロールの名前を変更するには、『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のアプリケーション・ロールの名前変更コマンドに関する項の説明に従って、renameAppRolesコマンドを使用します。

Oracle BI管理ツールの使用によるメタデータ・リポジトリ権限の管理

Oracle BI管理ツールでIdentity Managerを使用して、アプリケーション・ロールの権限を管理し、サブジェクト・エリアや表などのオブジェクトに対するアクセス権限を設定します。

Oracle BI管理ツールを使用して、次のようにOracle BIリポジトリでセキュリティを構成します。

- アプリケーション・ロールのメタデータ・リポジトリ権限の設定

- メタデータ・リポジトリでのアプリケーション・ロールの管理 - 高度なセキュリティ構成トピック

アプリケーション・ロールのメタデータ・リポジトリ権限の設定

サービス・インスタンスのデータ・モデルには、列やサブジェクト・エリアなどのデータ・モデルの様々な部分にアクセスする権限を定義するためにセキュリティ・ポリシーが含まれます。

データ・モデルの作成者は管理ツールを使用して、アプリケーション・ロールのデータ・モデル権限の割当てを含むこのセキュリティ・ポリシーを維持します。

サービス・インスタンスを作成するか、BIアプリケーション・アーカイブ・ファイルをサービス・インスタンスにインポートする場合、データ・モデルのセキュリティ・ポリシーがBIアプリケーション・アーカイブ・ファイルからインポートされます。

『Oracle Business Intelligence Enterprise Edition XMLスキーマ・リファレンス』のアプリケーション・ロールに対するプレゼンテーション・サービスの権限の設定に関する項およびコマンドライン・ツールを使用した権限の設定に関する項を参照してください。

ベスト・プラクティスは、個々のユーザーの権限ではなく、アプリケーション・ロールの権限を変更することです。

「プレゼンテーション」ペイン内のあるオブジェクトの権限を表示するには、そのオブジェクトを右クリックし、「権限レポート」を選択して、ユーザーとアプリケーション・ロールのリスト、および選択したオブジェクトの権限を表示します。

1. Oracle BI管理ツールでリポジトリをオンライン・モードで開きます。

2. 「プレゼンテーション」パネルで、権限を設定するサブジェクト・エリアまたはサブフォルダに移動します。

3. サブジェクト・エリアまたはサブフォルダを右クリックし、「プロパティ」を選択してプロパティ・ダイアログを表示します。

4. 「権限」をクリックします。

5. 権限の<subject area name>のプロパティで、「すべてのユーザー/アプリケーション・ロールを表示」をクリックします(このチェック・ボックスが選択されていない場合)。

6. 権限の<subject area name>のダイアログで、「ユーザー/アプリケーション・ロール」権限を実際のセキュリティ・ポリシーに一致するように更新します。

たとえば、ユーザーがダッシュボードおよびレポートを作成できるようにするには、アプリケーション・ロールのリポジトリ権限を「読取り」から「読取り/書込み」に変更します。

メタデータ・リポジトリでのアプリケーション・ロールの管理 - 高度なセキュリティ構成トピック

アプリケーション・ロールの定義はポリシー・ストアで保持されます。また、変更は管理インタフェースを使用して行う必要があります。

リポジトリは、ポリシー・ストア・データのコピーを保持して、リポジトリ開発を促進します。Oracle BI管理ツールでは、リポジトリのコピーからアプリケーション・ロール・データが表示され、ポリシー・ストア・データはリアルタイムでは表示されません。オフライン・リポジトリの作業中にポリシー・ストアを変更すると、ポリシー・ストアがリポジトリと次に同期化するまで、管理ツールで使用できなくなります。ポリシー・ストアは、BIサーバーの再起動時には常にデータをリポジトリ・コピーと同期化します。データに不一致がある場合は、エラー・メッセージが表示されます。

オフライン・モードでのリポジトリの使用中に、使用可能なアプリケーション・ロールではその時点で必要なメンバーシップまたは権限付与を満たさないことに気付く場合があります。オフライン・リポジトリ開発を促進するために、アプリケーション・ロールのプレースホルダの定義を管理ツールで作成できます。ただし、これは管理ツールで表示される単なるプレースホルダであり、実際のアプリケーション・ロールではありません。管理ツールから実際のアプリケーション・ロールを作成することはできません。アプリケーション・ロールは、ポリシー・ストアの管理に使用可能な管理インタフェースを使用して、ポリシー・ストアでのみ作成できます。

アプリケーション・ロールは、リポジトリがオンラインに戻る前に、管理ツールを使用して作成されたアプリケーション・ロール・プレースホルダごとに、ポリシー・ストアで定義される必要があります。オフライン・モードの間に作成されたロール・プレースホルダ付きリポジトリの場合、有効なアプリケーション・ロールがポリシー・ストアに作成される前に、オンラインになります。その後、そのアプリケーション・ロール・プレースホルダは管理ツール・インタフェースで表示されなくなります。オフライン・リポジトリ開発でロール・プレースホルダを使用する際は、リポジトリをオンラインに戻す前に、ポリシー・ストアにおいて対応するアプリケーション・ロールを必ず作成します。

アプリケーション・ロールの使用によるPresentation Servicesの権限の管理

サービス・インスタンスのカタログには、プレゼンテーション・サービス権限のセキュリティ・ポリシーが含まれます。これらの権限は、フォルダや分析などのカタログ・オブジェクトの権限とともにアンサーへのアクセス、ダッシュボードへのアクセスなどの特定のプレゼンテーション・サービス機能にアクセスする権限を付与します。

サービス・インスタンスを作成するか、BIアプリケーション・アーカイブ・ファイルをサービス・インスタンスにインポートする場合、カタログのセキュリティ・ポリシー(プレゼンテーション・サービスの権限)がBIアプリケーション・アーカイブ・ファイルからインポートされます。サービス管理者は、カタログ・セキュリティ・ポリシーを変更できます。

アプリケーション・ロールを使用して権限を管理します。

グループがアプリケーション・ロールに割り当てられる場合、グループ・メンバーは、関連付けられたプレゼンテーション・サービスの権限を自動的に付与されます。これは、Oracle Business Intelligenceの権限に加えて付与されます。

ヒント:

ユーザーがメンバーとなっているアプリケーション・ロールのリストは、プレゼンテーション・サービスの「マイ・アカウント」ダイアログの「ロールおよびグループ」タブから使用できます。

Presentation Servicesの権限について

プレゼンテーション・サービスの権限はプレゼンテーション・サービス管理の「権限の管理」ページで管理され、分析やダッシュボードの作成などのプレゼンテーション・サービス機能へのアクセス権を付与または拒否します。プレゼンテーション・サービスの権限は他のOracle Business Intelligenceコンポーネントには影響しません。

プレゼンテーション・サービス権限が割り当てられているアプリケーション・ロールのメンバーは、それらの権限をユーザーに付与します。アプリケーション・ロールに割り当てられたプレゼンテーション・サービスの権限は、プレゼンテーション・サービス管理の「権限の管理」ページを使用して、権限付与を追加または削除することで変更できます。

プレゼンテーション・サービス権限は、明示的におよび継承によってユーザーに付与できます。ただし、明示的なプレゼンテーション・サービス権限の拒否は、グループまたはアプリケーション・ロール階層の結果として付与または継承されたユーザー・アクセス権限よりも優先されます。

- アプリケーション・ロールに対するPresentation Servicesの権限の設定

- BIプレゼンテーション・サービスでの資格証明の暗号化 - 高度なセキュリティ構成トピック

アプリケーション・ロールに対するPresentation Servicesの権限の設定

アプリケーション・ロールを作成する場合、そのアプリケーション・ロールでユーザーが様々な機能タスクを実行できるように、適切なPresentation Servicesの権限を設定する必要があります。

たとえば、BISalesAdministratorという名前のアプリケーション・ロールを保持したユーザーが、Oracle Business Intelligenceでアクションを作成できるようにします。この場合は、「起動アクションの作成」という名前の権限を付与します。

ポリシー・ストアの管理に使用する管理インタフェースを使用して、プレゼンテーション・サービスの権限を割り当てることはできません。新規アプリケーション・ロールを作成し、Oracle Business Intelligenceの権限を付与する場合、Oracle Business Intelligenceの権限に加えて、その新規ロールにプレゼンテーション・サービスの権限を設定する必要があります。

注意:

プレゼンテーション・サービスの権限を新規アプリケーション・ロールにプログラム的に割り当てることができます。『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のSecurityServiceサービスに関する項を参照してください

管理者権限がないユーザーとしてログインする場合、「管理」オプションは表示されません。

プレゼンテーション・サービスの権限を明示的に拒否することは、グループまたはアプリケーション・ロール階層の結果として付与または継承されたユーザー・アクセス権よりも優先されます。

既存のカタログ・グループは、アップグレード・プロセスの間に移行されます。既存のOracle BIプレゼンテーション・カタログ・セキュリティ構成をロールベースのOracle Fusion Middlewareセキュリティ・モデル・ベースに移行する場合は、各カタログ・グループを対応するアプリケーション・ロールと置き換える必要があります。既存のプレゼンテーション・サービス構成を複製するには、各カタログ・グループを、同じOracle BIプレゼンテーション・カタログ権限を付与する対応するアプリケーション・ロールと置き換えます。その後、プレゼンテーション・サービスから元のカタログ・グループを削除できます。

1. 管理者権限のあるユーザーとしてOracle BIプレゼンテーション・サービスにログインします。

2. プレゼンテーション・サービスのホーム・ページで「管理」を選択します。

3. 「セキュリティ」領域で、「権限の管理」をクリックします。

4. 管理する権限の横のアプリケーション・ロールをクリックします。
たとえば、BIConsumerという名前のアプリケーション・ロールに対して、Access to Scorecardという名前の権限を管理するには、Access to Scorecardの横の「BIConsumer」リンクをクリックします。

権限<privilege_name>のダイアログを使用して、アプリケーション・ロールを権限リストに追加し、アプリケーション・ロールに権限を付与したりアプリケーション・ロールから権限を取り消します。たとえば、選択した権限をアプリケーション・ロールに付与するには、アプリケーション・ロールを「権限」リストに追加する必要があります。

5. 次のようにアプリケーション・ロールを「権限」リストに追加します。

a. 「ユーザー/ロールの追加」をクリックします。

b. リストから「アプリケーション・ロール」を選択し、「検索」をクリックします。

c. 結果リストからアプリケーション・ロールを選択します。

d. シャトル・コントロールを使用して、アプリケーション・ロールを「選択済メンバー」リストに移動します。

e. 「OK」をクリックします。

6. 「権限」リストで「権限付与」または「拒否」を選択することで、アプリケーション・ロールの権限を設定します。

7. 変更を保存します。

BIプレゼンテーション・サービスでの資格証明の暗号化 - 高度なセキュリティ構成トピック

BIサーバーおよびプレゼンテーション・サービスのクライアントは、ログインおよびパスワード暗号化について業界標準のセキュリティをサポートしています。

エンド・ユーザーがWebブラウザにユーザー名およびパスワードを入力すると、BIサーバーはHypertext Transport Protocol Secure (HTTPS)規格を使用して、情報をセキュアなOracle BIプレゼンテーション・サービス・ポートに送信します。情報は、Oracle BIプレゼンテーション・サービスからトリプルDES (データ暗号化規格)を使用して、ODBCを介してBIサーバーに渡されます。これにより、高度なセキュリティ(168ビット)が実現し、認可されていないユーザーがデータにもOracle Business Intelligenceメタデータにもアクセスできないようになります。

データベース・レベルでは、Oracle Business Intelligence管理ユーザーがデータベース・セキュリティおよび認証を実装します。固有キーベースの暗号化によってセキュリティを提供し、未認可ユーザーがメタデータ・リポジトリにアクセスできないようにします。

BI Publisherの使用によるデータ・ソース・アクセスの権限の管理

BI Publisherの管理ページを使用して、BI Publisherに保持されているデータ・ソース・アクセスの権限を管理できます。

データ・ソース・アクセスの権限では、データ・ソースへのアプリケーション・ロールによるアクセスが制御されます。ユーザーが次のタスクを実行するには、そのユーザーに、特定のデータ・ソース・アクセスの権限が付与されたアプリケーション・ロールが割り当てられる必要があります。

- データ・ソースに対するデータ・モデルを作成する。

- データ・ソースに対するデータ・モデルを編集する。

- データ・ソースから構築されたデータ・モデルを使用して作成されたレポートを表示する。

『Oracle Business Intelligence Publisher管理者ガイド』のデータ・アクセスの付与に関する項を参照してください。

デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性の有効化

この手順を使用して、デフォルトのWebLogic LDAPアイデンティティ・ストアの使用時にクラスタ環境で高可用性を実現します。

クラスタ環境で、デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性を有効にするようにvirtualize属性を構成します。virtualize属性値をtrueに設定すると、Oracle BI EEプロセスは、デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアのローカル・コピーに対する検索を認証して実行できるローカルの管理対象サーバーを参照します。

プロパティ名virtualizeには小文字を使用します。プロパティ名OPTIMIZE_SEARCHには大文字を使用します。

1. Fusion Middleware Controlにログインします。

2. ナビゲーション・ペインから「WebLogicドメイン」フォルダを展開し、「bi」を選択します。

3. 「bi」を右クリックして「セキュリティ」、「セキュリティ・プロバイダ構成」の順に選択し、「セキュリティ・プロバイダ構成」ページを表示します。

4. 「セキュリティ・ストア・プロバイダ」および「アイデンティティ・ストア・プロバイダ」領域を展開し、「構成」をクリックして、「アイデンティティ・ストア構成」ページを表示します。

5. 「カスタム・プロパティ」領域で「追加」オプションを使用し、次のカスタム・プロパティを追加します。

- プロパティName=virtualize Value=true

- プロパティName=OPTIMIZE_SEARCH Value=true

6. 変更を保存する場合は、「OK」をクリックします。

7. 管理サーバー、管理対象サーバーおよびOracle BI EEコンポーネントを再起動します。

Oracle BIプレゼンテーション・カタログでのセキュリティ・タスクの管理のためのruncatの使用

Windows、Linux、IBM-AIX、Sun Solaris、HP-UXなど、Oracle Business Intelligenceでサポートされているプラットフォーム上でコマンドライン・ユーティリティを起動できます。

Linuxでコマンド・ライン・ユーティリティの使用方法のヘルプを表示するには、次のようなコマンドを入力します。

./runcat.sh -help

次の構文を使用して、カタログ・グループの権限をアプリケーション・ロールの権限へ変換します。

runcat.cmd/runcat.sh -cmd replaceAccountInPermissions -old <catalog_group_name> -oldType group -new <application_role_name> -newType role -offline <catalog_path>

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle BIプレゼンテーション・カタログのオープンに関する項を参照してください。

「アプリケーション・ロール名の変更」を参照してください。

Oracle BIプレゼンテーション・カタログ・アイテムのセットに対するユーザー権限のレポート

次の構文を使用して、Oracle BIプレゼンテーション・カタログのすべての権限および権限の持ち主をレポートします。次に例を示します。

runcat.cmd/runcat.sh -cmd report -online http://localhost:8080/analytics/saw.dll -credentials c:/oracle/catmancredentials.properties -outputFile c:/temp/report.txt -delimiter "\t" -folder "/system/privs" -mustHavePrivilege -type "Security ACL" -fields "Path:Accounts" "Must Have Privilege"

ヘルプには次のコマンドを使用します。

runcat.sh -cmd report -help

3 代替認証プロバイダの使用

この章では、デフォルトのOracle WebLogic Server LDAPディレクトリではなく代替ディレクトリ・サーバーを認証に使用するように、Oracle Business Intelligenceを構成する方法を説明します。

セキュリティ設定手順の詳細なリストは、「Oracle Business Intelligenceでセキュリティを設定するためのプロセス」を参照してください。

この章の構成は、次のとおりです。

- 概要

- 代替認証プロバイダを構成するための大まかな手順

- 代替認証プロバイダのグループおよびユーザーの設定

- 代替認証プロバイダを使用するためのOracle Business Intelligenceの構成

- BIシステム・ユーザーの資格証明のリセット

概要

代替認証プロバイダを使用する場合、通常はプロバイダ・ベンダーが提供する管理ツールを使用してユーザーおよびグループを設定します。これらのユーザーおよびグループをBIサービス・インスタンスで定義されたアプリケーション・ロールに割り当てることができます。

「Fusion Middleware Controlを使用したアプリケーション・ロールおよびアプリケーション・ポリシーの管理」を参照してください。

セキュリティ・モデルのその他の領域を管理するには、引き続き、他のOracle Business Intelligenceツール(Oracle BI管理ツール、Fusion Middleware Control、プレゼンテーション・サービスの管理ページなど)を使用します。

現在サポートされている、Oracle Business Intelligenceで使用できる認証プロバイダおよびディレクトリ・サーバーのリストを表示するには、「新しい認証プロバイダの作成」ページの「タイプ」リストで認証プロバイダを選択します。「システム要件と動作保証」を参照してください。

サポートされている認証プロバイダを1つ以上構成できます。「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」を参照してください。

デフォルトのWebLogic LDAPサーバー以外のディレクトリ・サーバーを使用している場合は、Oracle WebLogic Server管理コンソールに、他のディレクトリ・サーバーのユーザーおよびグループを表示できます。ただし、使用しているディレクトリ・サーバーのインタフェースでユーザーおよびグループを管理する必要があります。たとえば、Oracle Internet Directory (OID LDAP)を使用している場合、OIDコンソールを使用して、ユーザーおよびグループの作成と編集を行う必要があります。

代替認証プロバイダを構成するための大まかな手順

これらの手順は、代替認証プロバイダを構成するための汎用ガイドとして使用します。

「代替認証プロバイダのグループおよびユーザーの設定」、「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」および「アプリケーション・ロールのメンバーの追加または削除」を参照してください。

1. 外部アイデンティティ・ストアにOracle Business Intelligenceで使用するためのすべてのユーザーおよびグループ設定があることを確認します。

2. 必要な認証プロバイダを構成します。

3. myrealmの「ユーザーとグループ」タブに移動し、代替認証プロバイダのユーザーおよびグループが正しく表示されていることを確認します。ユーザーおよびグループが正しく表示されていたら、次のステップに進みます。正しく表示されていない場合は、構成を設定しなおし、再度表示を試みます。

4. Fusion Middleware Controlを使用して、アプリケーション・ロールを新しいアイデンティティ・ストアの対応するグループ(エンタープライズ・ロール)に割り当てます。

代替認証プロバイダのグループおよびユーザーの設定

代替認証プロバイダを使用する前に、適切なグループおよびユーザーを構成する必要があります。BIサービス・インスタンス内のアプリケーション・ロールに関連付けます。これらの手順に従って、代替認証プロバイダを設定します。

Oracle Business Intelligenceでは特定のユーザーまたはグループを必要としないため、本番環境の企業のアイデンティティ・ストア(Oracle Internet Directory (OID)など)は組織に関連するユーザーおよびグループが通常すでに含まれています。ただし、サンプル・アプリケーションLiteまたは初期アプリケーションに基づく簡単なシステムの設定方法の例は、「ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例」を参照してください。

1. たとえば、サンプル・アプリケーションを使用して、BIサービス・インスタンスのアプリケーション・ロールと類似した代替認証プロバイダのグループを作成します。

BIServiceAdministrators、BIContentAuthors、BIConsumers

2. 代替認証プロバイダで、作成したグループに対応するユーザーを作成します。次に例を示します。

BISERVICEADMIN、BICONTENTAUTHOR、BICONSUMER

3. 代替認証プロバイダで、ユーザーをそれぞれのグループに割り当てます。

たとえば、BISERVICEADMINユーザーをBIServiceAdministratorsグループに割り当てます。

4. 代替認証プロバイダで、BIContentAuthorsグループをBIConsumersグループの一部にします。

このグループ化により、BIContentAuthorsはBIConsumersの権限を継承できます。

代替認証プロバイダを使用するためのOracle Business Intelligenceの構成

これらのオプションに従って、デフォルトのOracle WebLogic Server LDAPディレクトリのかわりに1つ以上の認証プロバイダを使用するようにOracle Business Intelligenceを構成します。

この項では、次の項目について説明します。

- 認証プロバイダとしてのOracle Internet Directoryの再構成

- 認証プロバイダとしてのMicrosoft Active Directoryの再構成

- アイデンティティ・ストアでのユーザーおよびグループ名属性の構成

- 認証プロバイダとしてのLDAPの構成とデータベースへのグループの格納

- 認証プロバイダとしてのデータベースの構成

- Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成

- 複数の認証プロバイダの構成

- JAAS制御フラグ・オプションの設定

- 認証プロバイダとしての単一のLDAP認証プロバイダの構成

注意:

単一のLDAPアイデンティティ・ストアにユーザーおよびグループを格納することで十分です。ただし、拡張インストールの場合、複数のLDAPアイデンティティ・ストアまたはデータベース・アイデンティティ・ストアのユーザーが必要になる場合があります。アイデンティティ・ストアの仮想化を使用してこれらを有効化します。「Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成」を参照してください。

注意:
Oracle Unified DirectoryをLDAP代替認証プロバイダとして構成する場合は、『Oracle WebLogic Serverセキュリティの管理』の他のLDAPサーバーへのアクセスに関する項およびOracle Unified Directory認証プロバイダの構成に関する項を参照してください

認証プロバイダとしてのOracle Internet Directoryの再構成

これらの手順を使用して、Oracle Internet Directory (OID) LDAPを認証プロバイダとして最構成します。

注意:

ユーザー名属性またはグループ名属性がOracle Internet Directoryのcn以外の値に構成されている場合、Oracle WebLogic Server管理コンソールの対応する値を変更する必要があります。OracleInternetDirectoryAuthenticatorおよびActiveDirectoryAuthenticatorを含め、LDAPオーセンティケータのユーザー名およびグループ名の属性は、デフォルトでcnに設定されています。uidやmailなど、ユーザー名に代替属性を使用できます。

「プロバイダ固有」タブの値の詳細は、「Oracle Internet Directoryオーセンティケータ固有のリファレンス」を参照してください。

次を参照してください。

- アイデンティティ・ストアでのユーザーおよびグループ名属性の構成。

- JAAS制御フラグ・オプションの設定

- 『Oracle WebLogic Serverセキュリティの管理』のWebLogic Serverでの認証プロバイダの構成に関する項。

1. Oracle WebLogic Server管理コンソールにログインします。

2. 「チェンジ・センター」で「ロックして編集」 をクリックします。

3. 「ドメイン構造」で「セキュリティ・レルム」を選択し、myrealmをクリックします。

4. 「プロバイダ」タブをクリックしてから、「認証」タブをクリックします。

5. 「新規」をクリックします。

6. 「新規認証プロバイダの作成」の「名前」フィールドに、MyOIDDirectoryなどの認証プロバイダ名を入力します。

7. 「タイプ」リストから、「OracleInternetDirectoryAuthenticator」を選択します。

8. 「OK」をクリックし、変更を保存して、新しい認証プロバイダで更新された認証プロバイダ・リストを表示します。

9. 「認証プロバイダ」表の「名前」列で、MyOIDDirectoryをクリックします。

10. MyOIDDirectoryの「設定」で「構成」タブをクリックしてから、「共通」タブをクリックします。

11. 「制御フラグ」リストから「SUFFICIENT」を選択し、「保存」をクリックします。

12. 「プロバイダ固有」タブをクリックし、「接続プロパティ」で、「ホスト」、「ポート」、「プリンシパル」および「資格証明」に値を入力します。

13. 「プロバイダ固有」タブの「グループ」領域で、「グループ・ベースDN」(識別名)に値を指定します。

14. 「プロバイダ固有」タブの「ユーザー」領域で、次を指定します。

- ユーザー・ベースDN

- すべてのユーザーのフィルタ

- 名前指定によるユーザー・フィルタ

- 取得したユーザー名をプリンシパルとして使用する

- ユーザー名属性

15. 「保存」をクリックします。

次のタスクを完了する必要もあります。

- デフォルト・オーセンティケータ制御フラグの構成

- 認証プロバイダの並替え

前述のタスクを完了した後、チェンジ・センターで「変更のアクティブ化」をクリックし、Oracle WebLogic Serverを再起動します。

Oracle Internet Directoryオーセンティケータ固有のリファレンス

この表を参照して、Oracle Internet Directory (OID)オーセンティケータに必要な値を入力します。

この表を使用して、MyOIDDirectoryの「設定」の「プロバイダ設定」ページ内のフィールドの詳細を参照します。「認証プロバイダとしてのOracle Internet Directoryの再構成」を参照してください。

セクション名

フィールド名

説明

接続

ホスト

Oracle Internet Directoryサーバーのホスト名。

接続

ポート

Oracle Internet Directoryサーバーがリスニングしているポート番号。

接続

プリンシパル

Oracle Internet Directoryサーバーへの接続に使用されるOracle Internet Directoryユーザーの識別名(DN)。例: cn=OIDUser,cn=users,dc=us,dc=mycompany,dc=com。

接続

資格証明

「資格証明」として入力されたOracle Internet Directoryユーザーのパスワード。

グループ

グループ・ベースDN

グループを含むOracle Internet Directoryサーバー・ツリーのベース識別名(DN)。

ユーザー

ユーザー・ベースDN

ユーザーを含むOracle Internet Directoryサーバー・ツリーのベース識別名(DN)。

ユーザー

すべてのユーザーのフィルタ

LDAP検索フィルタ。詳細は、「詳細」をクリックします。

これはActive Directoryオーセンティケータのデフォルト値であるため、空白のままにします。

「すべてのユーザーのフィルタ」に追加するすべてのフィルタは、すべてのユーザー検索に追加されます。

ユーザー

名前指定によるユーザー・フィルタ

LDAP検索フィルタ。詳細は、「詳細」をクリックします。

ユーザー

ユーザー名属性

認証に使用する属性(cn、uid、mailなど)。たとえば、ユーザーの電子メール・アドレスを使用して認証を行うには、この値をmailに設定します。

指定する値は、認証プロバイダで使用しているユーザー名属性と一致している必要があります。

ユーザー

取得したユーザー名をプリンシパルとして使用する

LDAPサーバーから取得されるユーザー名が、サブジェクトのプリンシパルとして使用されるかどうかを指定します。

大文字小文字を統一できるので、このチェック・ボックスは選択することをお薦めします。たとえば、LDAPユーザー名がJSmithである場合、jsmith (小文字のみ)でログインした場合でも、プリンシパルはJSmith (大文字小文字混合)になります。これはつまり、グループを間接的に介すのではなく、ユーザーに直接付与されるアプリケーション・ロール・メンバーシップが認証時に一貫して適用されるということです。

認証プロバイダとしてのMicrosoft Active Directoryの再構成

この手順に従って、Microsoft Active Directoryを使用するよう、Oracle Business Intelligenceインストールを再構成します。

この項のデータ例では、内部ユーザー用にOracle Business IntelligenceのSSOを設定するXYZ Corporationという架空の企業を使用します。

この例では、次の情報が使用されます。

- Active Directoryドメイン
XYZ Corporationには、xyzcorp.comというActive Directoryドメインがあり、このドメインはすべての内部ユーザーを認証します。この企業ネットワークにログインすると、ログイン先はこのActive Directoryドメインになります。ドメイン・コントローラはaddc.xyzcorp.comで、これによってActive Directoryドメインが制御されます。

- Oracle BI EE WebLogicドメイン
XYZ Corporationでは、bieesvr1.xyz2.comというネットワーク・サーバー・ドメインに、bi (デフォルト名)というWebLogicドメインがインストールされています。

- システム管理者およびテスト・ユーザー
次のシステム管理者およびドメイン・ユーザーが構成のテストを行います。

- システム管理者ユーザー
Jo Smith (login=jsmith、hostname=xyz1.xyzcorp.com)

- ドメイン・ユーザー
Bob Jones (login=bjones hostname=xyz47.xyzcorp.com)

『Oracle WebLogic Serverセキュリティの管理』のWebLogic Serverでの認証プロバイダの構成に関する項を参照してください。

「JAAS制御フラグ・オプションの設定」および「ユーザー名属性の構成」を参照してください。

1. Oracle WebLogic Server管理コンソールにログインし、チェンジ・センターで「ロックして編集」をクリックします。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。

myrealmは、デフォルトのセキュリティ・レルムです。

3. 「プロバイダ」タブを表示し、「認証」サブタブを表示します。

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動します。

5. 「新しい認証プロバイダの作成」ページで、次のように値を入力します。

- 名前: 認証プロバイダの名前を入力します。例: ADAuthenticator。
タイプ: リストから、「ActiveDirectoryAuthenticator」を選択します。

- 「OK」をクリックし、変更を保存して、新しい認証プロバイダで更新された認証プロバイダ・リストを表示します。

6. 「名前」列でDefaultAuthenticatorをクリックし、「設定」ページを表示します。

7. 共通認証プロバイダ設定ページで、「制御フラグ」を「REQUIRED」から「SUFFICIENT」に変更し、「保存」をクリックします。

8. 認証プロバイダの表の「名前」列でADDirectoryをクリックし、「設定」ページを表示します。

9. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「SUFFICIENT」を選択して「保存」をクリックします。

10. 「プロバイダ固有」タブを表示し、Active Directory LDAP認証ストアへの接続に適用するオプションにアクセスします。

11. 「プロバイダ固有」タブを使用して、次の詳細を指定します。

セクション名

フィールド名

説明

接続

ホスト

Active Directoryサーバーaddc.xyzcorp.comの名前。

接続

ポート

Active Directoryサーバーがリスニングしているポート番号(389)。

接続

プリンシパル

LDAPユーザーの情報を取得する際、Active Directoryに接続するユーザーのLDAP DN。例: cn=jsmith、cn=users、dc=us、dc=xyzcorp、dc=com。

接続

資格証明/資格証明の確認

プリンシパルのパスワード(welcome1など)。

グループ

グループ・ベースDN

AD内でグループの検索に使用するLDAP問合せ。

このパスの下に定義されているグループのみをWebLogicに表示できます。

(CN=Builtin、DC=xyzcorp、DC=com)

ユーザー

ユーザー・ベースDN

AD内でユーザーの検索に使用するLDAP問合せ。CN=Users、DC=xyzcorp、DC=com

ユーザー

ユーザー名属性

AD内でユーザー名の指定に使用する属性。デフォルト値はcnです。

ユーザー名に別の属性を使用するようにActive Directoryが構成されていることがわかっている場合以外は、この値を変更しないでください。

ユーザー

すべてのユーザーのフィルタ

LDAP検索フィルタ。詳細は、「詳細」をクリックします。

ユーザー

名前指定によるユーザー・フィルタ

LDAP検索フィルタ。AD内でデフォルトで空白です。詳細は、「詳細」をクリックします。

ユーザー

ユーザー・オブジェクト・クラス

ユーザー名。

ユーザー

取得したユーザー名をプリンシパルとして使用する

LDAPサーバーから取得されるユーザー名が、サブジェクトのプリンシパルとして使用されるかどうかを指定します。詳細は、「詳細」をクリックします。

大文字小文字を統一できるので、このチェック・ボックスは選択することをお薦めします。たとえば、LDAPユーザー名がJSmithである場合、jsmith (小文字のみ)でログインした場合でも、プリンシパルはJSmith (大文字小文字混合)になります。これはつまり、グループを間接的に介すのではなく、ユーザーに直接付与されるアプリケーション・ロール・メンバーシップが認証時に一貫して適用されるということです。

12. (オプション)ユーザー名属性またはグループ名属性がMicrosoft Active Directoryのcn以外の値に構成されている場合、Oracle WebLogic Server管理コンソールの対応する値を変更する必要があります。

注意:

OracleInternetDirectoryAuthenticatorおよびActiveDirectoryAuthenticatorを含め、WebLogicで提供されているLDAPオーセンティケータは、cnをユーザー名およびグループ名の属性として使用するようにデフォルトで設定されています。uidやmailなど、ユーザー名に代替属性を使用できます。

13. 「保存」をクリックします。

14. 「myrealmの設定」ページで、「プロバイダ」タブをクリックし、「認証」タブをクリックします。

15. 「並替え」をクリックします。

16. 「認証プロバイダの並替え」ページでADDirectoryを選択し、矢印ボタンを使用してこれをリストの最初に移動して、「OK」をクリックします。

17. 「チェンジ・センター」で「変更のアクティブ化」をクリックします。

18. Oracle WebLogic Serverを再起動します。

アイデンティティ・ストアでのユーザーおよびグループ名属性の構成

OracleInternetDirectoryAuthenticatorおよびActiveDirectoryAuthenticatorを含め、WebLogicで提供されているLDAPオーセンティケータは、cnをユーザー名およびグループ名の属性として使用するようにデフォルトで設定されています。

uidやmailなど、ユーザー名に代替属性を使用することが必要な場合があります。異なるグループ名属性の使用が必要になることは、あまりありません。この項では、ユーザー名とグループ名を再構成する方法について説明します。

この項の内容は次のとおりです。

- ユーザー名属性の構成

- グループ名属性の構成

ユーザー名属性の構成

この項では、mailをユーザー名属性として使用するためなど、OracleInternetDirectoryAuthenticator (OID)を再構成する方法について説明します。

「ユーザー」セクションには、値mailを使用して構成されたユーザー名属性が表示されます。

代替認証プロバイダのUserNameAttributeは、通常、値cnの値に設定されています。UserNameAttributeがcnに設定されていない場合は、AllUsersFilterおよびUserFromNameFilterの設定が、表に示すとおりに正しく構成されていることを確認する必要があります。次の表に、値cnを使用したデフォルト設定、および属性AnOtherUserAttributeに新しい値を使用した、必要となる新しい設定を示します。

属性名

デフォルト設定

必要となる新しい設定

UserNameAttribute

cn

AnOtherUserAttribute

AllUsersFilter

(&(cn=*)(objectclass=person))

(&(AnOtherUserAttribute =*)(objectclass=person))

UserFromNameFilter

(&(cn=%u)(objectclass=person))

(&(AnOtherUserAttribute =%u)(objectclass=person))

「プロバイダ固有」タブで、AnOtherGroupAttribute設定を独自の値で置換し、変更します。「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」を参照してください。

グループ名属性の構成

cn以外のグループ名を使用するように、ActiveDirectoryAuthenticatorを構成できます。

Active Directoryサーバーのグループ名がデフォルト値cn以外の値に設定されている場合、グループ名を変更する必要があります。この値を変更する場合、AllGroupsFilterおよびGroupFromNameFilterの値をAnOtherGroupAttribute属性のように変更する必要もあります。

属性名

デフォルト設定

必要となる新しい設定

StaticGroupNameAttribute/DynamicGroupNameAttribute

cn

AnOtherGroupAttribute

AllGroupsFilter

(&(cn=*)(objectclass=person))

(&(AnOtherGroupAttribute =*)(objectclass=person))

GroupFromNameFilter

(&(cn=%u)(objectclass=person))

(&(AnOtherGroupAttribute =%u)(objectclass=person))

「プロバイダ固有」タブで、表内の値を使用してAnOtherGroupAttribute設定を独自の値で置換し、変更します。「プロバイダ固有」タブを表示するには、「認証プロバイダとしてのMicrosoft Active Directoryの再構成」を参照してください。

認証プロバイダとしてのLDAPの構成とデータベースへのグループの格納

この項の例では、Oracle Internet Directory (OID LDAP)およびサンプル・データベース・スキーマを使用します。ただし、OID LDAPをLDAPアイデンティティ・ストアとして使用したり、サンプルと同じデータベース・スキーマを使用したりする必要はありません。

Oracle Business Intelligenceでは、この方法の使用を可能にする、BISQLGroupProviderというWebLogic Server用の認証プロバイダが提供されます。この認証プロバイダでは、エンド・ユーザーの資格証明は認証されませんが、データベース表に保持された外部のグループ・メンバーシップを認証済ユーザーのIDに提供できます。

この項では、次の項目について説明します。

- 前提条件

- グループおよびグループ・メンバーのサンプル・スキーマの作成

- Oracle WebLogic Server管理コンソールの使用によるデータ・ソースおよびBISQLGroupProviderの構成

- 仮想アイデンティティ・ストアの構成

- アプリケーション・ロールへのデータベース・グループの追加による構成のテスト

- アダプタのエラーの修正

前提条件

この項の説明に従ってLDAP認証の構成を試みる前に、次の前提条件を満たす必要があります。

- Oracle Business Intelligence Enterprise Editionリリース12.2.1.0 (またはそれ以降)がインストールされ、実行されている必要があります。

- Oracle BI EE 12.2.1.0システムにすべての関連するパッチを適用する必要があります。

- 必要なグループを含む1つ以上の表が格納された適切なデータベース・スキーマ、およびそれらのグループをLDAPによって認証されるユーザーの名前にマップするマッピング表が実行され、かつ、Oracle BI EEが実行されているOracle WebLogic Serverからアクセスできる必要があります。

- ユーザーを格納するアイデンティティ・ストアとして使用するために、サポートされているLDAPサーバーが構成に含まれている必要があります。

- Oracle Business Intelligenceからアプリケーション・ロールのメンバーにコンテンツを配信する必要がある場合、次の制約が適用されます。

- ペアにできるのは、単一のLDAP認証プロバイダと単一のBISQLGroupProviderのみです。
複数のLDAP認証プロバイダを構成し、BISQLGroupProviderからグループ・メンバーシップを取得する必要がある場合、コンテンツをアプリケーション・ロールのすべてのメンバーに配信できません。この構成では、Oracle BIデリバーでユーザーおよびグループ・メンバーシップに基づいてアプリケーション・ロールのメンバーシップを解決できません。

- 複数のアイデンティティ・ストアで同じグループは定義できません。
LDAPおよびデータベース・グループ表の両方で同じ名前のグループを使用できません。これを行った場合、Oracle BIデリバーによって起動されるセキュリティ・コードでアプリケーション・ロールのメンバーシップを解決できなくなります。

グループおよびグループ・メンバーのサンプル・スキーマの作成

ここで説明するサンプル・スキーマは意図的に単純化されており、スキーマを使用するようOracle Business Intelligenceを構成する方法についてのみ説明します。

ACME_BI_GROUPSサンプル・スキーマには、2つの表とビューが含まれます。GROUPS表では、外部グループのリストが定義されています。GROUPMEMBERS表およびGROUPMEMBERS_VWビューでは、プライマリ・アイデンティティ・ストア内に存在するユーザーのグループ・メンバーシップが記述されます。

図に示すものと同じ表またはビューを定義することの利点は、BISQLGroupProviderの構成で、「BISQLGroupProvider SQLオーセンティケータの構成」の表に概説されたデフォルトのSQLを使用できることです。

LDAPストア内のユーザーを、データベース表のグループにログイン名でマップする必要があります。この図では、GROUPMEMBERS表のG_MEMBERの値が、LDAPオーセンティケータに指定されているように、ログインに使用されるLDAP属性の値(uid、cn、mailなど)と一致する必要があります。たとえば、ログイン属性がmailのときに、データベース・グループをuidでマップしないようにする必要があります。GROUPMEMBERS表とGROUPS表の間の外部結合を使用して、GROUPMEMBERS_VWビューを作成します。

Oracle WebLogic Server管理コンソールの使用によるデータ・ソースおよびBISQLGroupProviderの構成

Oracle WebLogic Server管理コンソールを使用して、データ・ソースとBISQLGroupProviderを次のように構成します。

- Oracle WebLogic Serverの使用によるプライマリ・アイデンティティ・ストアとしてのOracle Internet Directoryの構成

- BISQLGroupProviderのインストール

- Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成

- BISQLGroupProvider SQLオーセンティケータの構成

Oracle WebLogic Serverの使用によるプライマリ・アイデンティティ・ストアとしてのOracle Internet Directoryの構成

リンク先の手順を使用して、ユーザー移入をOID LDAPに対して認証するようにWebLogicを構成します。

「認証プロバイダとしてのOracle Internet Directoryの再構成」を参照してください。

注意:

このタスクの手順に従うときに、OID LDAPオーセンティケータの「プロバイダ固有」構成ページに表示される「ユーザー・ベースDN」および「ユーザー名属性」の値を、後で使用するためにメモしておいてください。「グループ情報を取得するためのデータベース・アダプタの構成」を参照してください。

BISQLGroupProviderのインストール

BISQLGroupProvider認証プロバイダを構成する前に、まず認証プロバイダが格納されたJARファイルbi-sql-group-provider.jarをインストールする必要があります。ファイルは次の場所にあります。

ORACLE_HOME/bi/plugins/security/bi-sql-group-provider.jar

ファイルを次の場所にコピーする必要があります。

ORACLE_HOME/wlserver/server/lib/mbeantypes

ファイルを指定された場所にコピーした後、管理サーバーを再起動して、使用可能な認証プロバイダのリストに新しいプロバイダが表示されるようにする必要があります。

注意:

インストールしてクラスタ環境を作成した場合、そのインストールでは、スケールが拡大された管理対象サーバーを再起動できません。これは、bi-sql-group-provider.jarファイルが使用できないためです。インストール中にこの状況が発生した場合は、JARファイルを正しい場所にコピーし、インストーラで「再試行」をクリックします。

Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成

これらの手順により、Oracle WebLogic Server管理コンソールを使用してデータ・ソースを構成できます。

1. Oracle WebLogic Server管理コンソールにログインし、チェンジ・センターで「ロックして編集」をクリックします。

2. 「サービス」をクリックして、「データ・ソース」をクリックします。

3. 「データ・ソースのサマリー」で「新規」をクリックし、「汎用データ・ソース」を選択します。

4. 「JDBCデータ・ソースのプロパティ」で、次のプロパティの値を入力または選択します。

- 名前: たとえば、BIDatabaseGroupDSと入力します。
config.xml構成ファイルおよびOracle WebLogic Server管理コンソール全体で、このデータ・ソースを参照するときに必ず使用される名前。

JNDI名: たとえば、jdbc/BIDatabaseGroupDSと入力します。

このJDBCデータ・ソースのバインド先へのJNDIパス。

データベースのタイプ: たとえば、「Oracle」を選択します。

接続先のデータベースのDBMS。

5. 「次」をクリックします。

6. 「データベース・ドライバ」リストからデータベース・ドライバを選択します。

注意:

Oracleデータベースを使用している場合は、Oracleのサービス接続用ドライバ(Thin)、リリース9.0.1以降を選択します。

7. 「次」をクリックします。

8. 「次」をクリックします。

9. 「 接続プロパティ 」ページで、次のプロパティの値を入力します。

- データベース名: たとえば、ora11gと入力します。
接続先のデータベースの名前。

ホスト名: たとえば、mymachine.example.comと入力します。

データベースのホストとなるサーバーのDNS名またはIPアドレス。

注意:

クラスタを使用する場合は、ローカル・ホストを使用しないでください。

Port: たとえば、1521と入力します。

データベース・サーバーが接続リクエストをリスニングするポート。

データベース・ユーザー名

通常は、「グループおよびグループ・メンバーのサンプル・スキーマの作成」で定義されている表のスキーマ所有者。

たとえば、MYUSERと入力します。

- パスワード/パスワードの確認
「データベース・ユーザー名」用のデータベース・パスワード。

たとえば、mypasswordと入力します。

10. 「次」をクリックします。

11. ページの内容が正しいことを確認して、「構成のテスト」をクリックします。

12. 「次」をクリックします。

13. 「ターゲットの選択」で、データ・ソースのデプロイメント・ターゲットとしてサーバーまたはクラスタを選択します。

管理サーバーおよび管理対象サーバーをターゲットとして選択する必要があります。次に例を示します。

- 「サーバー」ペイン:
「AdminServer」オプションを選択します。

- 「クラスタ」ペイン:
クラスタにデプロイするには、「bi_server1」チェック・ボックスを選択します。

14. 「終了」をクリックします。

15. 「チェンジ・センター」で「変更のアクティブ化」をクリックします。

注意:

この例で使用するデータベースの名前はBIDatabaseGroupDSです。

BISQLGroupProvider SQLオーセンティケータの構成

これらの手順に従って、例の表の構造を使用し、BIDatabaseGroupDSデータ・ソースに対してBISQLGroupProviderを作成します。

このタスクでは、「グループおよびグループ・メンバーのサンプル・スキーマの作成」で概説した例の表の構造を使用し、BIDatabaseGroupDSデータ・ソースに対してBISQLGroupProviderを作成する方法について説明します。構造が例と異なる場合は、使用するSQL文(表や列名)の変更が必要になる可能性があります。

注意:

データベースにはユーザーに関連付けられるグループが格納されるのみであるため、データベースに対する認証はありません。認証はLDAPに対して発生し、Oracle WebLogic Server管理コンソールでBISQLGroupProviderによってグループがアプリケーション・ロールに割り当てられたときに、データベースが公開されます。

『Oracle WebLogic Serverセキュリティの管理』のWebLogic Serverでの認証プロバイダの構成に関する項を参照してください。

1. Oracle WebLogic Server管理コンソールにWebLogic管理者としてログインし、チェンジ・センターで「ロックして編集」をクリックします。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「プロバイダ」タブを表示し、「認証」サブタブを表示します。

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動します。

5. 「新しい認証プロバイダの作成」ページで、次のように値を入力します。

- 名前: 認証プロバイダの名前を入力します。たとえば、MySQLGroupProviderと入力します。

- 「タイプ」リストからBISQLGroupProviderを選択します。

- 「OK」をクリックし、変更を保存して、新しい認証プロバイダで更新された認証プロバイダ・リストを表示します。

6. 認証プロバイダの表の「名前」列でMySQLGroupProviderをクリックし、「設定」ページを表示します。

7. 「プロバイダ固有」タブを表示して、データベース表に対して問合せおよび認証を行うために使用するSQL文を指定します。

8. 「データ・ソース名」を指定します。これはデータ・ソース名ではなく、JNDI名である必要があります。たとえば、jdbc/BIDatabaseGroupDSです。

9. 必要なすべてのSQL文を、使用する認証プロバイダに入力します。
SQLでは大/小文字が区別されます。

10. 「保存」をクリックします。

11. 次の手順に従って認証プロバイダを並べ替えます。

a. 「プロバイダ」タブを表示します。

b. 「並替え」をクリックし、「認証プロバイダの並替え」ページを表示します

c. 「BISQLGroupProvider」を選択し、矢印ボタンを使用してこれをリストの最初に移動します。

d. 「OK」をクリックして、変更を保存します。

12. 次の手順を実行し、BISQLGroupProviderの「制御フラグ」設定を構成します。

a. メインの「myrealmの設定」ページで、「プロバイダ」タブ→「認証」サブタブを表示し、「BISQLGroupProvider」を選択して、その構成ページを表示します。

b. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「OPTIONAL」を選択します。

c. 「保存」をクリックします。

13. チェンジ・センターで、変更のアクティブ化をクリックします。

14. 管理サーバーが再起動したらFusion Middleware Controlを使用して、Oracle Business Intelligenceコンポーネント、Oracle WebLogic Serverおよび管理対象サーバーを再起動します。

注意:

「ユーザーとグループ」タブをチェックして、データベースのユーザーとグループが表示されていることを確認します。

仮想アイデンティティ・ストアの構成

仮想アイデンティティ・ストアを次のように構成します。

- アイデンティティ・ストアの構成による仮想化の有効化

- LDAPに対するSSLの構成

- グループ情報を取得するためのデータベース・アダプタの構成

アイデンティティ・ストアの構成による仮想化の有効化

仮想化を有効化するようにアイデンティティ・ストアを構成し、これにより、アイデンティティ・ストア・サービスで複数のアイデンティティ・ストアを使用できるようにします。

様々な認証プロバイダ(アイデンティティ・ストア)全体に関するユーザー・プロファイル情報を分割できます。「Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成」を参照してください。

LDAPに対するSSLの構成

SSL(一方向SSLのみ)で通信するためにLDAP認証プロバイダを構成した場合、仮想化(libOVD)機能で使用される追加キーストアに、該当するLDAPサーバーのルート証明書を配置する必要があります。

「複数認証プロバイダ使用時のSSLの構成」を参照してください。

グループ情報を取得するためのデータベース・アダプタの構成

LDAPサーバーのように認識されるようにデータベース・アダプタを構成します。これにより、仮想アイデンティティ・ストア・プロバイダは、そのデータベース・アダプタを使用してグループ情報をデータベースから取得できます。

このタスクでは、データベース表をアイデンティティ・ストアとして使用してグループをマップする方法を指定する、アダプタ・テンプレートの要素を含むファイルを作成します。このファイルは、GROUPMEMBERS_VWビューから仮想LDAPストアへのマッピングを記述します。このビューでは外部結合を使用して、複数の表のフィールドをデータベース・アダプタで参照できるようにします。

1. bi_sql_groups_adapter_template.xmlという名前のファイルを作成します。

2. 自分の表と列の属性がLDAPサーバーの属性と一致するように、次の要素を変更します。

注意:

要素:

<param name="ReplaceAttribute" value="uniquemember={cn=%uniquemember%,cn=users,dc=oracle,dc=com}"/>

これはメイン認証プロバイダのユーザー属性およびルート・ユーザーDNと一致する必要があります。たとえば、デフォルトの認証プロバイダの場合は次のとおりです。

uid=%uniquemember%,ou=people,ou=myrealm,dc=bifoundation_domain

<?xml version = '1.0' encoding = 'UTF-8'?>
<adapters schvers="303" version="1" xmlns="http://www.octetstring.com/schemas/Adapters" xmlns:adapters="http://www.w3.org/2001/XMLSchema-instance">
<dataBase id="directoryType" version="0">
<root>%ROOT%</root>
<active>true</active>
<serverType>directoryType</serverType>
<routing>
<critical>true</critical>
<priority>50</priority>
<inclusionFilter/>
<exclusionFilter/>
<plugin/>
<retrieve/>
<store/>
<visible>Yes</visible>
<levels>-1</levels>
<bind>true</bind>
<bind-adapters/>
<views/>
<dnpattern/>
</routing>
<pluginChains xmlns="http://xmlns.oracle.com/iam/management/ovd/config/plugins">
<plugins>
<plugin>
<name>VirtualAttribute</name>
<class>oracle.ods.virtualization.engine.chain.plugins.virtualattr.VirtualAttributePlugin</class>
<initParams>
<param name="ReplaceAttribute" value="uniquemember={cn=%uniquemember%,cn=users,dc=oracle,dc=com}"/>
</initParams>
</plugin>
</plugins>
<default>
<plugin name="VirtualAttribute"/>
</default>
<add/>
<bind/>
<delete/>
<get/>
<modify/>
<rename/>
</pluginChains>
<driver>oracle.jdbc.driver.OracleDriver</driver>
<url>%URL%</url>
<user>%USER%</user>
<password>%PASSWORD%</password>
<ignoreObjectClassOnModify>false</ignoreObjectClassOnModify>
<includeInheritedObjectClasses>true</includeInheritedObjectClasses>
<maxConnections>10</maxConnections>
<mapping>
<joins/>

<objectClass name="groupofuniquenames" rdn="cn">
<attribute ldap="cn" table="GROUPMEMBERS_VW" field="G_NAME" type=""/>
<attribute ldap="groupnameattr" table="GROUPMEMBERS" field="G_NAME" type=""/>
<attribute ldap="description" table="GROUPMEMBERS_VW" field="G_NAME" type=""/>
<attribute ldap="uniquemember" table="GROUPMEMBERS_VW" field="G_MEMBER" type=""/>
<attribute ldap="orclguid" table="GROUPMEMBERS" field="G_NAME" type=""/>
</objectClass>
</mapping>
<useCaseInsensitiveSearch>true</useCaseInsensitiveSearch>
<connectionWaitTimeout>10</connectionWaitTimeout>
<oracleNetConnectTimeout>0</oracleNetConnectTimeout>
<validateConnection>false</validateConnection>
</dataBase>
</adapters>

3. 次の要素について、適切なセクションをカスタマイズします。

- ReplaceAttribute
グループで一意のメンバーを定義する方法を指定します。%uniquemember%は、ユーザーがグループのメンバーかどうかをルックアップする際の実行時に渡される値のプレースホルダです。

この要素について変更する唯一の点は、ユーザーのルートの指定です。概念的には、libovdadapterconfigスクリプトをステップ7で実行する際にユーザー移入のルートとして指定するものにデフォルトで一致する必要があります。

- groupofuniquenenames
グループ属性がデータベース・フィールドにどのようにマップされるかを指定します。

次の属性をマップする必要があります。

- cnは、グループの一意の名前にマップします。

- uniquememberは、データベース・スキーマのユーザー/グループ・マッピング表におけるユーザーの一意の名前にマップします。

次の属性のマップはオプションです。

- descriptionはオプションです。

その他の属性は構成できません。

4. アダプタ・ファイルを次のフォルダにコピーします。
ORACLE_HOME/oracle_common/modules/oracle.ovd/templates/

5. 次の場所でコマンド・プロンプトまたはターミナルを開きます。
ORACLE_HOME/oracle_common/bin

6. 次の環境変数のように設定されていることを確認します。

- ORACLE_HOME=oraclehome

- WL_HOME=ORACLE_HOME/wlserver/

- JAVA_HOME=ORACLE_HOME/jdk/jre

7. libovdadapterconfigスクリプトを実行し、テンプレート・ファイルからデータベース・アダプタを作成します。構文は次のとおりです。

libovdadapterconfig -adapterName <name of adapter> -adapterTemplate <name (NOT including path) of template file which defines adapater> -host localhost -port <Admin Server port> -userName <user id of account which has administrative privileges in the domain> -domainPath <path to the BI domain> -dataStore DB -root <nominal specification of a pseudo-LDAP query to treat as the "root" of this adapter - must match that specified in template for adapter 2 above> -contextName default -dataSourceJNDIName <JNDI name for DataSource which points at the database being mapped>

次に例を示します。

./libovdadapterconfig.sh -adapterName biSQLGroupAdapter -adapterTemplate bi_sql_groups_adapter_template.xml -host localhost -port 9500 -userName weblogic -domainPath /opt/oracle_bi/user_projects/domains/bifoundation_domain/ -dataStore DB -root cn=users,dc=oracle,dc=com -contextName default -dataSourceJNDIName jdbc/BIDatabaseGroupDS

注意:

dataSourceJNDINameには、単なるDS名ではなくJNDI名を使用します。

注意:

rootパラメータの値は、アダプタ・テンプレートの<param name>="replaceattribute"要素に指定されたroot dnと一致する必要があります。たとえば、デフォルト・オーセンティケータにユーザーが指定されている場合、rootをou=people、ou=myrealm、dc=bifoundation_domainに設定します。

スクリプトはエラーなしで終了する必要があります。

8. WebLogic管理サーバーおよび管理対象サーバーを再起動します。

注意:

WebLogicを起動ときの「警告: BISQLGroupsProvider: 接続プールを使用できません」は無視できます。

データベースに格納された資格証明を使用して、WebLogicおよびOracle Business Intelligenceにログインします。

アプリケーション・ロールへのデータベース・グループの追加による構成のテスト

アプリケーション・ロールにデータベース・グループを追加することによって、構成をテストできます。

1. Fusion Middleware Controlにログインし、ページの左側にあるナビゲーション・メニューでWebLogicドメインを開き、bifoundation_domainを開きます。

2. bifoundation_domainを右クリックして「セキュリティ」→「アプリケーション・ロール」を選択し、「アプリケーション・ロール構成」ページを表示します。

3. LDAPユーザーを含むデータベース・グループを、ユーザーに現在アクセス権が付与されていない、いずれかのアプリケーション・ロール(BIServiceAdministratorなど)に追加します。

4. アプリケーション・ロールに新しく追加されたグループのメンバーであるユーザーとして、Oracle Business Intelligenceにログインします。

ページの右上に、「<user id>としてログイン」というテキストが表示されます。

5. ユーザーIDをクリックしてドロップダウン・メニューを表示します。

6. メニューから「マイ・アカウント」 を選択します。

7. 「ロールおよびカタログ・グループ」タブを表示し、ユーザーに新しいアプリケーション・ロールが割り当てられていることを確認します。

アダプタのエラーの修正

既存のデータベース・アダプタは修正しないでください。アダプタの作成で使用するテンプレートやlibovdadapterコマンドでエラーが発生した場合は、アダプタを削除してから再作成する必要があります。

「アダプタの削除および再作成によるデータベース・アダプタ・エラーの修正」を参照してください。

認証プロバイダとしてのデータベースの構成

この項では、SQLAuthenticatorおよび仮想アイデンティティ・ストア・データベース・アダプタを使用することで、データベースを認証プロバイダとして使用するようにOracle Business Intelligenceを構成する方法について説明します。この項の内容は次のとおりです。

- 概要と前提条件

- ユーザーおよびグループのサンプル・スキーマの作成

- Oracle WebLogic Server管理コンソールの使用によるデータ・ソースとSQLオーセンティケータの構成

- 仮想アイデンティティ・ストアの構成

- SQL認証プロバイダのトラブルシューティング

- アダプタの削除および再作成によるデータベース・アダプタ・エラーの修正

概要と前提条件

ユーザー・ロールとプロファイル情報は、データベースをLDAPサーバーのように表示できるアダプタを使用してデータベースに格納できます。仮想アイデンティティ・ストア・プロバイダは、このデータベース・アダプタを介してユーザー・プロファイル情報をデータベースから取得できます。

このトピックでは、SQLAuthenticatorおよび仮想アイデンティティ・ストア・プロバイダ(データベース・アダプタを含む)を使用するようにOracle Business Intelligenceを構成する方法について説明します。両方とも適切なデータベース・スキーマに対して実行します。ここに示す例は説明のためのものであり、実際のデータベース・スキーマに、ここで説明するサンプルと同じ値を指定してはいけません。

この手順は、ユーザーをデータベース・スキーマに対して認証する必要がある場合に使用します。認証に優先されるアイデンティティ・ストアは、Oracle Internet Directory (OID LDAP)などのLDAPディレクトリ・サービスです。

ここで説明するデータベース認証のアプローチには、それぞれにユーザーおよびパスワードを格納する2つのデータベース列が必要です。データベース・ユーザー・アカウントには基づきません。

Oracle Business Intelligence Enterprise Editionリリース11.1.1.5、11.1.1.6および11.1.1.7 (またはそれ以降)がインストールされ、実行されている必要があります。ただし、リリース11.1.1.5および11.1.1.6の場合、Oracle Fusion Middlewareパッチ13826887も適用する必要があります。『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Business Intelligenceシステムのパッチ適用に関する項を参照してください。

ユーザーおよびグループのサンプル・スキーマの作成

以前のOracle BI EEインストールで使用していたスキーマを使用します。このサンプル・スキーマは、このスキーマを使用するようにシステムを構成する方法を示すことを目的としています。

注意:

認証に必要なユーザー、資格証明およびグループを含むデータベース・スキーマを使用する必要があり、このスキーマには、Oracle BI EEが実行されているWebLogic Serverからアクセスできます。

次の図に、表USERS、USER_VW、GROUPMEMBERS、GROUPSおよびGROUPMEMBERS_VWを示します。USER_VWはUSERS表のビューであり、GROUPMEMBERS_VWはGROUPMEMBERS表とGROUPS表を結合したビューです。

ユーザーまたはグループの情報が複数の表に存在する場合は、USER_VWを削除し、各種情報の表について1つのビューを作成する必要があります。

GROUPS表での外部結合とGROUPMEMBERS表での内部結合を使用してGROUPMEMBERS表とGROUPS表のビュー(GROUPMEMBERS_VWなど)を作成し、ユーザーが割り当てられていない場合でもFusion Middleware Controlでグループを確認できるようにします。図に示すビューをデータベース・アダプタに提示するには、「データベース・アダプタの構成」に示す構成に従うことが必要となる場合があります。

Oracle WebLogic Server管理コンソールの使用によるデータ・ソースとSQLオーセンティケータの構成

Oracle WebLogic Server管理コンソールを使用して、データ・ソースとSQLオーセンティケータを次のように構成します。

- Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成

- Oracle WebLogic Server管理コンソールの使用によるSQL認証プロバイダの構成

- SQLオーセンティケータのSELECT文のリファレンス

- デフォルト・オーセンティケータ制御フラグの構成

- 認証プロバイダの並替え

Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成

これらの手順を使用して、Oracle WebLogic Server管理コンソールを使用してデータ・ソースを構成します。

表のスキーマ所有者は、「ユーザーおよびグループのサンプル・スキーマの作成」で定義されています。

「Oracle WebLogic Server管理コンソールの使用」を参照してください。

1. Oracle WebLogic Server管理コンソールにログインし、チェンジ・センターに移動して、「ロックして編集」をクリックします。

2. 「サービス」をクリックして、「データ・ソース」をクリックします。

3. 「データ・ソースのサマリー」ページで「新規」をクリックし、「汎用データ・ソース」を選択します。

4. 「JDBCデータ・ソースのプロパティ」ページで、次のプロパティの値を入力または選択します。

- 名前: たとえば、UserGroupDSと入力します。

基礎となる構成ファイル(config.xml)および管理コンソール全体で、このデータ・ソースを参照するときに必ず使用される名前。

- JNDI名: たとえば、jdbc/User GroupDSと入力します。

このJDBCデータ・ソースのバインド先のJNDIパス。

- データベース・タイプ: たとえば、「Oracle」を選択します。

接続先のデータベースのDBMS。

5. 「次」をクリックします。

6. 「データベース・ドライバ」リストからデータベース・ドライバを選択します。

たとえば、Oracleのサービス接続用ドライバ(Thin)、リリース9.0.1以降を選択します。

7. 「次」をクリックします。

8. 「次」をクリックします。

9. 「 接続プロパティ 」ページで、次のプロパティの値を入力します。

- データベース名: たとえば、ora12cと入力します

接続先のデータベースの名前。

- ホスト名: たとえば、mymachine.example.comと入力します。

データベースのホストとなるサーバーのDNS名またはIPアドレス。

- Port: たとえば、1521と入力します。

データベース・サーバーが接続リクエストをリスニングするポート。

- データベース・ユーザー名

- パスワード/パスワードの確認

「データベース・ユーザー名」用のデータベース・パスワード。

10. 「次」をクリックします。

11. ページの内容が正しいことを確認して、「構成のテスト」をクリックします。

12. 「次」をクリックします。

13. 「ターゲットの選択」ページで、データ・ソースのデプロイ先となるサーバーまたはクラスタを選択します。

管理サーバーおよび管理対象サーバーをターゲットとして選択する必要があります。次に例を示します。

- 「サーバー」ペイン:

「AdminServer」チェック・ボックスを選択します。

- 「クラスタ」ペイン:

「bi_server1」オプションを選択します。

14. 「終了」をクリックします。

15. 「チェンジ・センター」で「変更のアクティブ化」をクリックします。

16. システムを再起動します。

Oracle WebLogic Server管理コンソールの使用によるSQL認証プロバイダの構成

適切な権限を付与されたユーザーは、WebLogicデータベース・オーセンティケータを使用してOracle WebLogic Server管理コンソールにログインできます。

SQLオーセンティケータを作成する場合は、読取り専用SQLオーセンティケータを選択します。読取り専用認証プロバイダ・タイプでは、データベースに書き戻されることはありません。

「プロバイダ固有」タブにSQL文を入力する際にパスワード列がプレーンテキストである場合(「SQL - ユーザー・パスワードの取得」列に対して返された問合せの結果がハッシュ化または暗号化されていない場合)、「プレーンテキスト・パスワードの有効化」オプションを選択します。

「プレーンテキスト・パスワードの有効化」オプションが選択されていない場合、SQLAuthenticatorでは、SHA-1 (デフォルトの暗号化アルゴリズム)を使用してパスワードがハッシュされていると想定されます。サポートされる暗号化アルゴリズムの詳細は、ベースSQLAuthenticator Mbean PasswordAlgorithm属性に関するドキュメントを参照してください。

プロバイダ固有のSQL文の定義の詳細は、「SQLオーセンティケータのSELECT文のリファレンス」を参照してください。
このタスクの完了後、デフォルト・オーセンティケータ制御フラグを構成し、認証プロバイダを並べ替えて、サーバーを再起動する必要があります。

1. Oracle WebLogic Server管理コンソールにログインします。

2. 「チェンジ・センター」で「ロックして編集」をクリックします。

3. 「ドメイン構造」で「セキュリティ・レルム」を選択し、myrealmをクリックします。

4. 「myrealmの設定」で、「プロバイダ」タブをクリックし、「認証」タブをクリックします。

5. 「認証プロバイダ」で「新規」をクリックします。

6. 「新規認証プロバイダの作成」の「名前」に、UserGroupDBAuthenticatorなどの認証プロバイダの名前を入力します。

7. 「タイプ」リストから、ReadOnlySQLAuthenticatorを選択して「OK」をクリックします。

8. 「認証プロバイダ」表から、作成したプロバイダを選択します。

9. <your new authentication provider name>の「設定」で、「プロバイダ固有」タブをクリックします。

10. (オプション)「プロバイダ固有」タブで、パスワード列がプレーンテキストである場合は、「プレーンテキスト・パスワードの有効化」を選択します。

11. 「データ・ソース名」フィールドに、この認証プロバイダを使用する既存のデータ・ソースの名前(UserGroupsDSなど)を入力します。
データ・ソース名は、Oracle WebLogic Server管理コンソールで定義されている既存のデータ・ソースと一致する必要があります。

12. 「プロバイダ固有」タブで、データベース表に対してユーザー・アクセスの認証および問合せを行うために使用するSQL文を指定します。

13. オーセンティケータに必要なすべてのSQL文を入力した後、「保存」をクリックします。

複数の認証プロバイダを使用する場合は、認証プロバイダ制御フラグを構成する必要があります。「デフォルト・オーセンティケータ制御フラグの構成」を参照してください。

SQLオーセンティケータのSELECT文のリファレンス

SQL認証プロバイダを実装する際のSQL文の作成に使用可能なオプションについて学習します。

SQLオーセンティケータを作成する場合は、「プロバイダ固有」タブで、データベース表に対する問合せおよび認証に使用するSQL文を指定します。「Oracle WebLogic Server管理コンソールの使用によるSQL認証プロバイダの構成」を参照してください。

次の表に、「ユーザーおよびグループのサンプル・スキーマの作成」で概説したサンプル・スキーマのSQL文を示します。

異なる表構造を使用する場合は、自分のスキーマの表または列の名前に合うように、これらのSQL文を変更することが必要になる場合があります。ユーザー名やグループ名をハードコードするかわりに、疑問符(?)をランタイム問合せのプレースホルダとして使用する必要があります。

問合せ

SQL

注意

SQL - ユーザー・パスワードの取得

SELECT U_PASSWORD FROM USERS WHERE U_NAME = ?

このSQL文は、ユーザーのパスワードをルックアップします。このSQL文にはユーザー名のパラメータが1つ必要であり、このSQL文は、パスワードを含む最大1つのレコードを格納したresultSetを返す必要があります。

SQL - ユーザーが存在

SELECT U_NAME FROM USERS WHERE U_NAME = ?

このSQL文は、ユーザーをルックアップします。このSQL文にはユーザー名のパラメータが1つ必要であり、このSQL文は、ユーザーを含む最大1つのレコードを格納したresultSetを返す必要があります。

SQL - ユーザーのリスト

SELECT U_NAME FROM USERS WHERE U_NAME LIKE ?

このSQL文は、特定のワイルドカード検索に一致するユーザーを取得します。このSQL文にはユーザー名のパラメータが1つ必要であり、このSQL文は、一致したユーザー名を格納したresultSetを返します。

SQL - グループのリスト

SELECT G_NAME FROM GROUPS WHERE G_NAME LIKE ?

このSQL文は、ワイルドカードに一致するグループ名を取得します。このSQL文にはグループ名のパラメータが1つ必要であり、このSQL文は、一致したグループを格納したresultSetを返します。

SQL - グループが存在

SELECT G_NAME FROM GROUPS WHERE G_NAME = ?

このSQL文は、グループをルックアップします。このSQL文にはグループ名のパラメータが1つ必要であり、このSQL文は、グループを含む最大1つのレコードを格納したresultSetを返す必要があります。

SQL - メンバーかどうか

SELECT G_MEMBER FROM GROUPMEMBERS WHERE G_NAME=? AND G_MEMBER LIKE ?

このSQL文は、グループのメンバーをルックアップします。このSQL文には2つのパラメータ(グループ名とメンバーまたはグループ名)が必要です。このSQL文は、resultSetを返す必要があります。

SQL - メンバー・グループのリスト

SELECT G_NAME FROM GROUPMEMBERS WHERE G_MEMBER = ?

このSQL文は、ユーザーまたはグループのグループ・メンバーシップをルックアップします。このSQL文にはユーザー名またはグループ名のパラメータが1つ必要であり、このSQL文は、基準に一致したグループの名前を格納したresultSetを返します。

SQL - ユーザーの説明の取得

SELECT U_DESCRIPTION FROM USERS WHERE U_NAME = ?

このSQL文は、特定のユーザーの説明を取得します。このSQL文は、「サポートされている説明」が有効になっている場合にのみ有効です。このSQL文にはユーザー名のパラメータが1つ必要であり、このSQL文は、ユーザーの説明を含む最大1つのレコードを格納したresultSetを返す必要があります。

SQL - グループの説明の取得

SELECT G_DESCRIPTION FROM GROUPS WHERE G_NAME = ?

このSQL文は、グループの説明を取得します。このSQL文は、「サポートされている説明」が有効になっている場合にのみ有効です。このSQL文にはグループ名のパラメータが1つ必要であり、このSQL文は、グループの説明を含む最大1つのレコードを格納したresultSetを返す必要があります。

デフォルト・オーセンティケータ制御フラグの構成

各プロバイダのJAAS制御フラグを使用して、ログイン・シーケンスでの認証プロバイダの扱いを制御します。

複数の認証プロバイダを使用している場合は、このタスクを完了する必要があります。

1. myrealmの「設定」ページから「プロバイダ」タブをクリックし、「認証」タブをクリックします。

2. 「認証プロバイダ」表から、DefaultAuthenticatorを選択します。

3. DefaultAuthenticatorの「設定」で、「構成」ページの「共通」タブを表示し、「制御フラグ」リストから「SUFFICIENT」を選択します。

4. 「保存」をクリックします。

SQLオーセンティケータの定義プロセスにおける次のタスクを完了するには、「認証プロバイダの並替え」を参照してください。

認証プロバイダの並替え

新しいオーセンティケータを追加した後、「認証プロバイダ」表を並べ替えることができます。

1. myrealmの「設定」ページから「プロバイダ」タブをクリックし、「認証」タブをクリックします。

2. 「認証プロバイダ」表で「並替え」をクリックします。

3. 「認証プロバイダの並替え」で、「使用可能」からデフォルトとして使用するプロバイダを選択し、上矢印をクリックしてから、「OK」をクリックします。

4. 「チェンジ・センター」で「変更のアクティブ化」をクリックします。

管理サーバーを再起動した後、Fusion Middleware Controlを使用してOracle Business Intelligenceコンポーネント、Oracle WebLogic Serverおよび管理対象サーバーを再起動します。

仮想アイデンティティ・ストアの構成

仮想アイデンティティ・ストアを次のように構成します。

- アイデンティティ・ストアの構成による仮想化の有効化

- データベース・アダプタの構成

データベース・アダプタの構成

これらの手順に従って、データベースがLDAPサーバーのように認識されるようにデータベース・アダプタを構成します。これにより、仮想アイデンティティ・ストア・プロバイダでは、このデータベース・アダプタを使用してユーザー・プロファイル情報をデータベースから取得できます。

このタスクは、データベース表をアイデンティティ・ストアとして使用する方法を指定する、アダプタ・テンプレートを編集して適用する方法を示しています。ここに示す例は、「認証プロバイダとしてのデータベースの構成」全体を通じて使用されるサンプル・スキーマ用です。

adapter_template_usergroup1.xmlファイルをカスタマイズする場合、仮想LDAPスキーマで使用されるクラスおよび属性をデータベース内の列と照合して、要素をマップします。この仮想スキーマはWebLogicの組込みLDAPの仮想スキーマと同じであり、表に示す任意の属性にデータベース列をマップできます。

次に、スキーマ・ファイルの例を示します。

<?xml version = '1.0' encoding = 'UTF-8'?>
<adapters schvers="303" version="1" xmlns="http://www.octetstring.com/schemas/Adapters" xmlns:adapters="http://www.w3.org/2001/XMLSchema-instance">
<dataBase id="directoryType" version="0">
<root>%ROOT%</root>
<active>true</active>
<serverType>directoryType</serverType>
<routing>
<critical>true</critical>
<priority>50</priority>
<inclusionFilter/>
<exclusionFilter/>
<plugin/>
<retrieve/>
<store/>
<visible>Yes</visible>
<levels>-1</levels>
<bind>true</bind>
<bind-adapters/>
<views/>
<dnpattern/>
</routing>
<pluginChains xmlns="http://xmlns.oracle.com/iam/management/ovd/config/plugins">
<plugins>
<plugin>
<name>DBGUID</name>
<class>oracle.ods.virtualization.engine.chain.plugins.dbguid.DBGuidPlugin</class>
<initParams>

<param name="guidAtribute" value="orclguid"/>
</initParams>
</plugin>
</plugins>
<default>
<plugin name="DBGUID"/>
</default>
<add/>
<bind/>
<delete/>
<get/>
<modify/>
<rename/>
</pluginChains>
<driver>oracle.jdbc.driver.OracleDriver</driver>
<url>%URL%</url>
<user>%USER%</user>
<password>%PASSWORD%</password>
<ignoreObjectClassOnModify>false</ignoreObjectClassOnModify>
<includeInheritedObjectClasses>true</includeInheritedObjectClasses>
<maxConnections>10</maxConnections>
<mapping>
<joins/>
<objectClass name="person" rdn="cn">
<attribute ldap="cn" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="uid" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="usernameattr" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="loginid" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="description" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="orclguid" table="USER_VW" field="GUID" type=""/>
</objectClass>
</mapping>
<useCaseInsensitiveSearch>true</useCaseInsensitiveSearch>
<connectionWaitTimeout>10</connectionWaitTimeout>
<oracleNetConnectTimeout>0</oracleNetConnectTimeout>
<validateConnection>false</validateConnection>
</dataBase>
</adapters>

<objectClass>要素:

- name="person"およびrdn="cn"の値は、LDAP personオブジェクト・クラスのマッピングを宣言します。

- cn属性は相対識別名(RDN)として使用されます。

- 子要素は、データベース内の表および列へのLDAP属性マッピングを宣言します。次に例を示します。
<attribute ldap="uid" table="USER_VW" field="USER_ID" type=""/>の行では、USER_VW表のUSER_IDフィールドを、標準のLDAP属性であるuid (ユーザーごとに一意のユーザーID)にマップします。

- USER_VWビューには、adapter_template_usergroup1.xmlのGUID列にマップされるorclguid属性と一致するGUID列が含まれている必要があります。次に例を示します。
USER_VWビューを次のように作成または置換できます。

SELECT U_NAME, MAIL_ADDRESS, U_PASSWORD, U_DESCRIPTION, RPAD(U_NAME, 16, '0') AS GUID FROM USERS;

属性

例

description

John Doe

cn

john.doe

uid

john.doe

sn

Doe

userpassword

welcome1

displayName

John Doe

employeeNumber

12345

employeeType

Regular

givenName

John

homePhone

650-555-1212

mail

john.doe@example.com

title

Manager

manager

uid=mary.jones,ou=people,ou=myrealm,dc=wc_domain

preferredLanguage

en

departmentNumber

tools

facsimiletelephonenumber

650-555-1200

mobile

650-500-1200

pager

650-400-1200

telephoneNumber

650-506-1212

postaladdress

200 Oracle Parkway

l

Redwood Shores

homepostaladdress

123 Main St., Anytown 12345

個人のマッピングと同じ方法を使用して、グループをマップします。グループをマップする場合、<objectClass name="groupofuniquenames" ...>要素で、グループに一意のメンバーを定義します。%uniquemember%値は、ユーザーがグループのメンバーかどうかを判断するためにルックアップする際の実行時に渡される値のプレースホルダです。この要素について変更する唯一の点は、ユーザーのルートの指定です。%uniquemember%値は、libovdadapterconfigスクリプトを実行する際のユーザー移入のルートと一致します。

groupofuniquenamesオブジェクト・クラスは、ユーザー同様、グループ属性をデータベース・フィールドにマップする方法を指定します。この属性は、Weblogicの組込みLDAPのデフォルトに対応します。次の属性をマップする必要があります。

- cnは、グループの一意の名前にマップします。

- uniquememberは、データベース・スキーマのユーザー/グループ・マッピング表におけるユーザーの一意の名前にマップします。

- orclguidは、データベース・スキーマで使用可能な場合には一意のIDにマップします。

description属性のマップはオプションです。

1. 仮想LDAPストアにユーザー表をマップする、adapter_template_usergroup1.xmlという名前のファイルを作成します。

2. <mapping>要素で、<objectclass>要素を次の例のような属性を指定して追加します。

<mapping>
<joins/>
<objectClass name="person" rdn="cn">
<attribute ldap="cn" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="uid" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="usernameattr" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="loginid" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="description" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="orclguid" table="USER_VW" field="GUID" type=""/>
</objectClass>
</mapping>

3. 仮想LDAPストアにグループ表をマップする、adapter_template_usergroup2.xmlという名前のファイルを作成します。

4. <objectClass name="groupofuniquenames">要素で、次の例に示すように仮想LDAPストアにグループ表をマップします。

<mapping>
<joins/>
<objectClass name="groupofuniquenames" rdn="cn">
<attribute ldap="cn" table="GROUPMEMBERS_VW" field="G_NAME" type=""/>
<attribute ldap="description" table="GROUPMEMBERS_VW" field="G_NAME" type=""/>
<attribute ldap="uniquemember" table="GROUPMEMBERS_VW" field="G_MEMBER" type=""/>
<attribute ldap="orclguid" table="GROUPMEMBERS_VW" field="G_MEMBER" type=""/>
</objectClass>
</mapping>

5. 2つのアダプタ・ファイルを次のフォルダにコピーします。

ORACLE_HOME/oracle_common/modules/oracle.ovd/templates/

6. 次の場所内から、コマンド・プロンプトまたはターミナルを開きます。

ORACLE_HOME/oracle_common/bin

7. 次の環境変数が設定されていることを確認します。

- ORACLE_HOME=ORACLE_HOME/oraclehome

- WL_HOME=ORACLE_HOME/wlserver

- JAVA_HOME=ORACLE_HOME/jdk/jre

8. libovdadapterconfigスクリプトを実行し、次の構文を使用して、テンプレート・ファイルから2つのアダプタをそれぞれ作成します。

libovdadapterconfig -adapterName <name of adapter> -adapterTemplate <name (NOT including path) of template file which defines adapter> -host localhost -port <Admin Server port> -userName <user id of account which has administrative privileges in the domain> -domainPath <path to the BI domain> -dataStore DB -root <nominal specification of a pseudo-LDAP query to treat as the "root" of this adapter - must match that specified in template for adapter 2 above> -contextName default -dataSourceJNDIName <JNDI name for DataSource which points at the database being mapped>

次に例を示します。

./libovdadapterconfig.sh -adapterName userGroupAdapter1 -adapterTemplate adapter_template_usergroup1.xml -host localhost -port 9500 -userName weblogic -domainPath /opt/oracle_bi/user_projects/domains/bifoundation_domain/ -dataStore DB -root cn=users,dc=oracle,dc=com -contextName default -dataSourceJNDIName jdbc/UserGroupDS

./libovdadapterconfig.sh -adapterName userGroupAdapter2 -adapterTemplate adapter_template_usergroup2.xml -host localhost -port 9500 -userName weblogic -domainPath /opt/oracle_bi/user_projects/domains/bifoundation_domain/ -dataStore DB -root cn=users,dc=oracle,dc=com -contextName default -dataSourceJNDIName jdbc/UserGroupDS

9. WebLogic管理サーバーおよび管理対象サーバーを再起動します。

10. データベースに格納された資格証明を使用して、WebLogicおよびOracle WebLogic Serverにサインインします。

SQL認証プロバイダのトラブルシューティング

この項では、SQLオーセンティケータのトラブルシューティング情報について、次のトピックで説明します。

- Oracle WebLogic Server管理コンソールの使用によるグローバルAdminロールへのユーザーの追加

- SQLAuthenticatorに対する正しくないデータ・ソース名の指定

- 正しくないSQL問合せ

Oracle WebLogic Server管理コンソールの使用によるグローバルAdminロールへのユーザーの追加

データベース・ユーザーを使用してOracle Business Intelligenceにログインできない場合は、この診断テストを使用できます。

データベース・ユーザーを使用してOracle Business Intelligenceにログインできない場合に役立つ診断テストとして、そのユーザーがWebLogicにログインできるかどうかを確認することがあります。WebLogicコンテナ認証を利用する他のアプリケーションがWebLogic Server上にない場合は、ユーザーを(一時的に) WebLogicのグローバルAdminロールに追加し、そのユーザーがOracle WebLogic Server管理コンソールにログインできるかどうかを確認することで、SQLAuthenticatorが正しく動作していることをテストします。

ユーザーがコンソールにログインできるがOracle Business Intelligenceにログインできない場合、SQLAuthenticatorは正しく動作していますが、アイデンティティ・ストア・サービスに問題がある可能性があります。「Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成」でvirtualize=trueとOPTIMIZE_SEARCH=trueプロパティが指定してあることを確認し、「データベース・アダプタの構成」でDBAdapterテンプレートが正しいことを確認します。

1. Oracle WebLogic Server管理コンソールにログインし、チェンジ・センターで「ロックして編集」をクリックします。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。

デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「ロールとポリシー」タブを表示し、「レルム・ロール」タブを表示します。

4. ロールのリストでプラス記号をクリックして「グローバル・ロール」→「ロール」を展開し、Adminロールの「ロール条件の表示」リンクをクリックします。

5. 指定されている条件が、直接、またはグループ内のメンバーシップによって、ユーザーに一致することを確認します。

たとえば、使用可能な条件はUser=myadminaccountやGroup=Administratorsです。

6. 変更したら、「保存」をクリックします。

変更はただちに適用されます。

7. これで、問題のユーザーがOracle WebLogic Server管理コンソール(http://<bi server address>:<AdminServer Port>/console)にログインできるかどうかを確認できます(例: http://example.com:9500/console)。

SQLAuthenticatorに対する正しくないデータ・ソース名の指定

SQLAuthenticatorのデータ・ソース・フィールドに正しくない名前を指定した場合、エラーが管理サーバーおよび管理対象サーバーのログ・ファイルに記録されます。

次に、ログ・ファイルに書き込まれるエラーの例を示します。

Caused by: javax.security.auth.login.FailedLoginException: [Security:090761]Authentication failed for user jsmith java.sql.SQLException: [Security:090788]"Problem with DataSource/ConnectionPool configuration, verify DataSource name wrongdsname is correct and Pool configurations are correct"
at weblogic.security.providers.authentication.shared.DBMSAtnLoginModuleI
mpl.login(DBMSAtnLoginModuleImpl.java:318)

「Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成」で示した例のとおり、データ・ソース名を使用します。

正しくないSQL問合せ

SQLAuthenticatorを構成するときに指定するSQL問合せの構文が正しいこと、および正しい表を参照していることを確認します。

たとえば、パスワード問合せに正しくない表名が指定されると、次のエラーがAdministration Server.logファイルに記録されます。

####<Jul 7, 2011 4:03:27 PM BST> <Error> <Security> <gbr20020> <AdminServer> <[ACTIVE] ExecuteThread: '8' for queue: 'weblogic.kernel.Default (self-tuning)'> <<WLS Kernel>> <> <de7dd0dc53f3d0ed:e0ce69e:131007c1afe:-8000-00000000000007fa> <1310051007798> <BEA-000000> <[Security:090759]A SQLException occurred while retrieving password information
java.sql.SQLSyntaxErrorException: ORA-00942: table or view does not exist
at oracle.jdbc.driver.T4CTTIoer.processError(T4CTTIoer.java:457)
at oracle.jdbc.driver.T4CTTIoer.processError(T4CTTIoer.java:405)
at oracle.jdbc.driver.T4C8Oall.processError(T4C8Oall.java:889)
at oracle.jdbc.driver.T4CTTIfun.receive(T4CTTIfun.java:476)

アダプタの削除および再作成によるデータベース・アダプタ・エラーの修正

この手順を使用して、置換アダプタを作成します。

既存のデータベース・アダプタは修正しないでください。libovdadapterコマンドまたはテンプレートでエラーが発生した場合は、アダプタを削除してから再作成する必要があります。

1. WLSTスクリプトを実行して、Oracle WebLogic Serverコンソールにログインします。

ORACLE_HOME/oracle_common/common/bin/wlst.sh (UNIX)

ORACLE_HOME\oracle_common\common\bin\wlst.cmd (Windows)

2. 次の構文を使用して管理サーバーに接続します。

connect ('<WLS admin user name>','<WLS admin password>','t3://<admin server host>:<admin server port>')

次に例を示します。

connect('weblogic','weblogic','t3://myserverexample:9500')

3. 次の構文を使用して、適切に構成されていないアダプタを削除します。

deleteAdapter(adapterName='<AdapterName>')

次に例を示します。

deleteAdapter(adapterName='userGroupAdapter2')

4. exit()コマンドを使用してWLSTコンソールを終了します。

「データベース・アダプタの構成」で概説されている手順に従って、正しい設定でアダプタを再作成します。

Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成

これらの手順を使用して、Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化を構成します。

SSLでLDAPと通信している場合(一方向SSLのみ)は、「複数認証プロバイダ使用時のSSLの構成」を参照してください。

「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」の説明に従って、サポートされている認証プロバイダを構成します。

1. Fusion Middleware Controlにログインします。

2. ナビゲーション・ペインから「WebLogicドメイン」フォルダを展開し、「bi」を選択します。

3. 「bi」を右クリックして「セキュリティ」、「セキュリティ・プロバイダ構成」の順に選択し、「セキュリティ・プロバイダ構成」ページを表示します。

4. 「セキュリティ・ストア・プロバイダ」および「アイデンティティ・ストア・プロバイダ」を展開し、「構成」をクリックして、「アイデンティティ・ストア構成」ページを表示します。

5. 「カスタム・プロパティ」領域で「追加」オプションを使用し、次のカスタム・プロパティを追加します。

- プロパティ名=virtualize
値=true

- プロパティ名=OPTIMIZE_SEARCH
値=true

注意:

プロパティ名virtualizeには小文字を使用し、OPTIMIZE_SEARCHには大文字を使用します。

注意:

複数の認証プロバイダを使用している場合は、「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」に移動して、「制御フラグ」設定を次にように構成します。

- 各ユーザーが1つの認証プロバイダのみを使用する場合
すべての認証プロバイダで「制御フラグ」の値を「SUFFICIENT」に設定します。

- ユーザーが複数の認証プロバイダを使用する場合
すべての認証プロバイダで「制御フラグ」の値を「OPTIONAL」に設定します。

たとえば、ユーザーのグループのメンバーシップが複数の認証プロバイダ間で共有される場合です。

6. 変更を保存する場合は、「OK」をクリックします。

7. 管理サーバーおよび管理対象サーバーを再起動します。

複数の認証プロバイダの構成

この項では、1つの認証プロバイダが失敗した場合に、他の認証プロバイダを使用するユーザーはOracle Business Intelligenceにログインできるように認証プロバイダを構成する方法について説明します。

複数の認証プロバイダを使用するようにOracle Business Intelligenceを構成している場合で、1つの認証プロバイダが使用できなくなれば、他の認証プロバイダを使用するユーザーもOracle Business Intelligenceにログインできなくなります。

「Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成」を参照してください。

1つの認証プロバイダが使用不可になったためにログインできない場合、次のエラー・メッセージが表示されます。

Unable to Sign In
An error occurred during authentication.
Try again later or contact your system administrator

1つのオーセンティケータ(構成されている複数のオーセンティケータのうちの1つ)が使用不可であり、これがクリティカルなオーセンティケータでない場合、次の手順により、ユーザーは他のオーセンティケータからOracle Business Intelligenceにログインできるようになります。

1. 次の場所にあるadapters.os_xmlファイルを開いて編集します

ORACLE_HOME\user_projects\domains\bi\config\fmwconfig\ovd\default

2. ファイルから次の要素を見つけます。

<critical>true</critical>

クリティカルでない各オーセンティケータについて、<critical>要素の値を次のようにfalseに変更します。

<critical>false</critical>

3. ファイルを保存して閉じます。

4. WebLogic管理サーバーと管理対象サーバーを再起動します。

JAAS制御フラグ・オプションの設定

複数の認証プロバイダを構成する際、各プロバイダのJAAS制御フラグを使用して、ログイン・シーケンスでの認証プロバイダの扱いを制御します。JAAS制御フラグはOracle WebLogic Server管理コンソールで設定できます。

Oracle WebLogic Server管理コンソール・オンライン・ヘルプのJAAS制御フラグの設定に関する項を参照してください。Oracle WebLogic Scripting ToolやJava Management Extensions (JMX) APIを使用しても、認証プロバイダに対してJAAS制御フラグを設定できます。

オーセンティケータの制御フラグの属性を設定すると、認証プロバイダの実行順序が決まります。制御フラグ属性に使用可能な値は次のとおりです。

- REQUIRED - このLoginModuleは成功する必要があります。失敗した場合でも、認証は、構成された認証プロバイダのLoginModulesリストの下位方向へ進みます。この設定がデフォルトです。

- REQUISITE - このLoginModuleは成功する必要があります。他の認証プロバイダが構成されていて、このLoginModuleが成功した場合、認証はLoginModulesリストを下位方向へ進みます。それ以外の場合は、制御がアプリケーションに戻ります。

- SUFFICIENT - このLoginModuleは成功する必要はありません。成功した場合、制御はアプリケーションに戻ります。失敗した場合、他の認証プロバイダが構成されていれば、認証はLoginModuleリストを下位方向に進みます。

- OPTIONAL - このLoginModuleは成功でも失敗でもかまいません。ただし、JAAS制御フラグがOPTIONALに設定されたセキュリティ・レルムですべての認証プロバイダが構成されている場合は、ユーザーは構成されたいずれかのプロバイダの認証テストに合格する必要があります。

既存のセキュリティ・レルムにさらに認証プロバイダを追加する場合、「制御フラグ」はデフォルトで「OPTIONAL」に設定されます。必要に応じて、各認証プロバイダが認証シーケンス内で適切に機能するように、「制御フラグ」の設定と認証プロバイダの順序を変更してください。

認証プロバイダとしての単一のLDAP認証プロバイダの構成

このトピックでは、デフォルトのWebLogic Server LDAPオーセンティケータを無効にして、単一のLDAP認証プロバイダを使用するようOracle Business Intelligenceを再構成する方法を説明します。

Oracle Business Intelligenceをインストールすると、システムは自動的に、デフォルト・オーセンティケータとしてWebLogic Server LDAPを使用するように構成されます。インストール・プロセスでは、WebLogic Server LDAPで必要なユーザーおよびグループが自動的に生成されます。独自のLDAPディレクトリ(Oracle Internet Directoryなど)があり、それをデフォルト・オーセンティケータとして使用する場合は、WebLogic Serverのデフォルト・オーセンティケータを無効にする必要があります。単一ソースの認証プロバイダを使用することで、ユーザー名およびパスワードが複数の認証ソースから取得されることを防ぎます。複数の認証ソースから取得すると、複数の攻撃点が生じたり、認可されていないユーザーが侵入する可能性があります。

この項の内容は次のとおりです。

- 唯一のオーセンティケータとしてのOracle Internet Directory LDAP認証の構成

- トラブルシューティング

唯一のオーセンティケータとしてのOracle Internet Directory LDAP認証の構成

Oracle Internet Directory (OID LDAP)を構成するために例を使用します。これらの例を少し変更して、他のLDAP認証プロバイダに適用できます。

- タスク1 - バックアップおよびリカバリの有効化

- タスク2 - WebLogic Serverおよび代替認証プロバイダを使用するためのシステムの構成

- タスク3 - OID LDAPでの必須ユーザーの特定または作成

- タスク4 - WebLogicコンソールでのOID LDAPグループとグローバル・ロールとの関連付け

- タスク5 - OID LDAPでのユーザーからグループへのメンバーシップの設定

- タスク6 - デフォルトの認証プロバイダの削除

- タスク7 - BIサービスの再起動

- タスク8 - WebLogic Serverロールの削除

- タスク9 - 代替認証メソッドの停止

タスク1 - バックアップおよびリカバリの有効化

WebLogic Server LDAPのデフォルトの認証メソッドを無効にするプロセスを開始する前に、まずシステムをバックアップすることを強くお薦めします。バックアップしないと、構成時に間違えた場合に、システムからロックアウトされたり、システムを再起動できなくなることがあります。

再構成フェーズでバックアップおよびリカバリを有効にするには、ORACLE_HOME\user_projects\domains\bi\configディレクトリにあるconfig.xmlファイルのコピーを作成します。

変更を行う際は、このファイルのコピーを保持しておきます。

タスク2 - WebLogic Serverおよび代替認証プロバイダを使用するためのシステムの構成

デフォルトのWebLogic Server認証プロバイダを削除し、代替LDAPソース(OID LDAPなど)を使用するには、WebLogic Serverと代替メソッドの両方を使用するようにシステムを構成する必要があります。

「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」を参照してください。WebLogic Server LDAPユーザー(デフォルト・オーセンティケータ)と新しい代替LDAPユーザーがともにOracle Business Intelligenceにアクセスできるように構成されている状態から開始します。

WebLogic Server LDAPユーザーとしてもOID LDAPユーザーとしてもログオンできるようにシステムを構成したら、次の各タスクの説明のとおり、WebLogic Serverのデフォルト認証プロバイダを削除する手順に進みます。

タスク3 - OID LDAPでの必須ユーザーの特定または作成

表に示す必須ユーザーが、WebLogic Server LDAPからOID LDAPに移行されていることを確認する必要があります。

標準のWebLogic Serverユーザー

OID LDAPで新たに必要とされるユーザー

LCMManager,User

OID_LCMManagerUser (任意の既存OID LDAPユーザーを使用できます)。

例: weblogic

OID_Weblogic (任意の既存OID LDAPユーザーを使用できます)。

OracleSystemUser

OracleSystemUser (このユーザーは、OWSMの固定要件として、OID LDAPにおいてこの名前で存在する必要があります)。

インストール時に次の3つのユーザーが作成されます。

- weblogicまたはインストール時やアップグレード時に指定される項目。このため、異なる場合があります。
この管理者ユーザーはインストール時に作成されます(weblogicと呼ばれることもありますが、任意の名前でかまいません)。OID LDAPで同等のユーザーを特定または作成する必要がありますが、このユーザーはAdministratorsというグループの一部である必要がある任意の名前でかまいません。

- OracleSystemUser
このユーザーは、Oracle Web Services Manager (OWSM)で特にグローバル・ロール・マッピングのために必要です。このユーザーは、正確にこの名前を使用して、OID LDAPで作成する必要があります。

タスク4 - WebLogicコンソールでのOID LDAPグループとグローバル・ロールとの関連付け

OID LDAPグループにマップして、グローバル・ロールを構成します。

グローバル・ロール

現在のWebLogic Serverグループ

新たに必要とされるOID LDAPグループ

Admin

Administrators

OID_Administrators

AdminChannelUsers

AdminChannelUsers

OID_AdminChannelUsers

AppTester

AppTesters

OID_AppTesters

CrossDomainConnector

CrossDomainConnectors

OID_CrossDomainConnectors

Deployer

Deployers

OID_Deployers

Monitor

Monitors

OID_Monitors

Operator

Operators

OID_Operators

OracleSystemRole

OracleSystemGroup

OracleSystemGroup (固定要件)

デフォルトのWebLogic Serverオーセンティケータを無効にする前に、(Oracle WebLogic Server管理コンソールに表示されている)表のグローバル・ロールと、置換OID LDAPグループを関連付ける必要があります。

デフォルトのセキュリティ・レルムはmyrealmという名前です。

AnonymousおよびOracle Systemロールには、新しい条件を追加しないでください。どちらも変更されないままになることがあります。

1. Oracle WebLogic Server管理コンソールにログインします。

2. 「チェンジ・センター」で「ロックして編集」をクリックします。

3. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。

4. 「レルム・ロール」をクリックします。

5. 「グローバル・ロール」をクリックし、「ロール」を開きます。

6. 各ロールに対し、新しい条件を追加します。

7. 「ロール条件の表示」をクリックします。

8. 述部ステップからグループを選択します。

9. 新しく関連付けたOID LDAPグループを入力します。たとえば、OID_AdministratorsロールにAdminロールを割り当てます。

10. 変更を保存します。

デフォルトのWebLogic Server認証を無効にした後、古いWebLogic Serverグループを削除できます。「タスク8 - WebLogic Serverロールの削除」を参照してください

タスク5 - OID LDAPでのユーザーからグループへのメンバーシップの設定

OID LDAPで新しいユーザーおよびグループを作成し、WebLogic Server LDAPで自動的に作成されたユーザーおよびグループをレプリケートしたため、次に、これらのユーザーおよびグループが、OID LDAPにおいても、表に示すとおり正しいグループ・メンバーシップを持っていることを確認する必要があります。

新しいOID LDAPユーザー

メンバーとなる新しいOID LDAPグループ

OID_Weblogic

OID_Administrators

OID_BIServiceAdministrators

OracleSystemUser

正確にこの名前のユーザーがOID LDAPに存在する必要があります。

OracleSystemGroup

正確にこの名前のグループがOID LDAPに存在する必要があります

注意:
表に示すユーザーとグループのメンバーシップを実現するには、OID LDAPサーバーを更新できる適切なアクセス権を持つか、別の担当者がかわりにグループのメンバーシップを更新できる必要があります。

タスク6 - デフォルトの認証プロバイダの削除

これでデフォルトの認証プロバイダを削除する準備が整いました。

このタスクを実行する前に、LDAPソースにマップするLDAPオーセンティケータを作成しておく必要があります。「タスク2 - WebLogic Serverおよび代替認証プロバイダを使用するためのシステムの構成」を参照してください。

「JAAS制御フラグ・オプションの設定」を参照してください。

1. Oracle WebLogic Server管理コンソールで、「制御フラグ」を「SUFFICIENT」から「REQUIRED」に変更します。

2. 変更を保存します。

3. 他のオーセンティケータを削除し、OID LDAPオーセンティケータが単一ソースとなるようにします。

タスク7 - BIサービスの再起動

これでBIサービスを再起動する準備が整いました。インストール時に作成したOracle WebLogic Server管理者ユーザーは削除され、すべてのユーザーが単一OIDソースに存在するため、新しいOID管理者ユーザー(OID_Weblogicなど)を使用する必要があります。OID管理者ユーザーには、WebLogicを起動するために十分な権限が必要です(グローバルAdminロールによって付与されます)。

注意:
オンラインで管理ツールにログインする際は、リポジトリ・パスワードとともにOID LDAPユーザーとパスワード(OID_Weblogicなど)を指定する必要があります。

タスク8 - WebLogic Serverロールの削除

すべて正常に機能している場合、このタスクを完了させます。

この手順を使用して削除するWebLogic Serverロールの例は、次のとおりです。

- Admin

- AdminChannelUsers

- AppTester

- CrossDomainConnector

- Deployer

- Monitor

- Operator

「タスク4 - WebLogicコンソールでのOID LDAPグループとグローバル・ロールとの関連付け」を参照してください。

この手順を実行する前に、config.xmlファイルをバックアップします。「タスク1 - バックアップおよびリカバリの有効化」を参照してください。

1. グローバル・ロールを編集します。

2. 自動的に作成されたすべてのWebLogic ServerロールをOR句から削除します。

3. 変更を保存します。

タスク9 - 代替認証メソッドの停止

USER変数を削除する必要があり、メタデータ・リポジトリで初期化ブロックを更新することが必要な場合があります。

Oracle Business Intelligenceでは、様々な形式の認証方法を一度に適用できます。望ましい機能にも思えますが、セキュリティ上のリスクも伴います。単一ソースの認証を実装するには、初期化ブロックを使用する認証方法をメタデータ・リポジトリから削除する必要があります。

Oracle BI管理ツールを使用して、初期化ブロックを介したアクセスを停止します。正常に認証するにはユーザー名が必要です。初期化ブロックでは、USERシステム・セッション変数を使用してユーザー名を移入します。

1. メタデータ・リポジトリからUSERシステム変数を削除します。

2. メタデータ・リポジトリの初期化ブロックで「認証のために必要」チェック・ボックスが選択されていないことを確認します。

3. PROXYおよびPROXYLEVELシステム・セッション変数を設定するメタデータ・リポジトリの初期化ブロックが、ユーザーにセキュリティの無視を許可していないことを確認します。

PROXYおよびPROXYLEVELシステム変数を使用すると、一度接続されたユーザーが他のユーザーのセキュリティ・プロファイルでそのユーザーに偽装できます。このメソッドは、偽装されたユーザー・アカウントの方が低い権限を持っている場合は受け入れられますが、このアカウントの方が高い権限を持っている場合はセキュリティの問題となる可能性があります。

初期化ブロックを無効にする場合、依存する初期化ブロックもすべて無効になります。

これで、初期化ブロック認証を使用して試みられるアクセスは成功しなくなります。ただし、すべての初期化ブロックをチェックする必要があります。

トラブルシューティング

単一ソースとしてOracle Internet Directory LDAP認証を構成すると、次のエラーが発生する場合があります。

<クリティカル> <WebLogicServer> <BEA-000386> <サーバー・サブシステムに障害が発生しました。

Reason: weblogic.security.SecurityInitializationException: User <oidweblogic> is not permitted to boot the server. The server policy may have changed in such a way that the user is no longer able to boot the server. Reboot the server with the administrative user account or contact the system administrator to update the server policy definitions.

ソリューション

新しいWebLogic OID LDAP管理者(oidweblogic)としてシステムを再起動した場合に、ロックアウトされ、メッセージが表示された場合は、oidweblogicユーザーに十分な権限がなかったことが原因です。oidweblogicユーザーにはグローバルAdminロールが必要です。これにより、OID LDAP Administratorグループに所属することが可能になります。この問題を解決するには、BIServiceAdministratorsグループ(またはOID LDAPの同等グループ)をグローバルAdminロールに追加します。

注意:
以前の作業構成をリストアするには、最新の更新されたバージョンのconfig.xmlファイルを、構成を変更する前に作成しておいたバックアップ・バージョンに置き換える必要があります。「タスク1 - バックアップおよびリカバリの有効化」を参照してください。
バックアップ・バージョンのconfig.xmlファイルのリストアを完了するには、OID LDAPユーザーではなく、元のWebLogic管理者ユーザーとしてOracle Business Intelligenceを再起動します。

BIシステム・ユーザーの資格証明のリセット

これらの手順に従って、BIシステム・ユーザーの資格証明をリセットします。

11gではBISystemUserというユーザーが組込みWebLogic LDAPで作成されましたが、12cではこのユーザーは存在せず、単一の資格証明で置き換えられています。この資格証明は、BIドメイン作成時にセキュアに生成されたランダム値が入力され、資格証明ストアに格納されます。この資格証明のユーザー名またはパスワードをリセットする必要がある場合は常に、次の手順を実行します。

1. Fusion Middleware Controlのターゲット・ナビゲーション・ペインからファームを開き、「WebLogicドメイン」を開いて「bi」を選択します。

2. 「WebLogicドメイン」メニューで、「セキュリティ」,→「資格証明」を選択します

3. oracle.bi.system資格証明マップを展開し、system.userを選択して「編集」をクリックします。

4. 「キーの編集」ダイアログで、アイデンティティ・ストア内のユーザーの資格証明に一致しない値を使用して、ユーザー名またはパスワードを更新します。

注意:
system.userを実際のユーザーに設定することはできません。これは、様々なBusiness Intelligenceコンポーネント間での内部認証に使用されます。実際のシステム・ユーザーが使用していない、一意のランダムなユーザー名とパスワードを指定する必要があります。

5. 「OK」をクリックします。

6. システムを再起動します。

4 SSO認証の有効化

これらのトピックでは、Oracle Business Intelligenceのシングル・サインオン(SSO)認証を構成するためのガイドラインを示します。

この章のトピックは、次のとおりです:

- Oracle Business IntelligenceのSSOの構成タスク

- SSO認証およびOracle Business Intelligenceについて

- SSO実装に関する考慮事項

- Oracle Access Manager環境でのSSOの構成

- カスタムSSO環境の構成

- Smart Viewを使用したシングル・サインオンの構成

- Oracle Business IntelligenceにおけるSSO認証の使用の有効化

- オンライン・カタログ・マネージャの接続の有効化

注意:
Oracle Fusion MiddlewareでのエンタープライズレベルのSSO認証プロバイダとして、Oracle Access Managerを使用することをお薦めします。Oracle Access ManagerをSSO認証プロバイダとして想定できます。

Oracle Business IntelligenceのSSOの構成タスク

この表は、SSO認証の構成タスクを示し、追加情報を取得するためのリンクを提供しています。

タスク

説明

詳細情報

Oracle Access ManagerをSSO認証プロバイダとして構成します。

Oracle Business IntelligenceのURLのエントリ・ポイントを保護するようにOracle Access Managerを構成します。

Oracle Access Manager環境でのSSOの構成

『Oracle Platform Security Servicesによるアプリケーションの保護』のOracle Fusion Middlewareのシングル・サインオンの構成に関する項

HTTPプロキシを構成します。

プレゼンテーション・サービスからSSOプロバイダへリクエストを転送するようにWebプロキシを構成します。

『Oracle Platform Security Servicesによるアプリケーションの保護』のOracle Fusion Middlewareのシングル・サインオンの構成に関する項

Oracle WebLogic Server用に新しいオーセンティケータを構成します。

Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインを、新しいアイデンティティ・ストアを使用するように構成します。

Oracle WebLogic ServerのOIDオーセンティケータの構成

代替認証プロバイダを使用するためのOracle Business Intelligenceの構成

Oracle WebLogic Server管理コンソール・オンライン・ヘルプ

Oracle WebLogic Serverの新しいIDアサーション・プロバイダを構成します。

Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインを、アサーション・プロバイダとしてSSOプロバイダを使用するように構成します。

Oracle WebLogic Serverの新しいIDアサーション・プロバイダとしてのOracle Access Managerの構成

代替認証プロバイダを使用するためのOracle Business Intelligenceの構成

Oracle WebLogic Server管理コンソール・オンライン・ヘルプ

カスタムSSOソリューションを構成します。

Oracle Business Intelligence URLエントリ・ポイントを保護するように別のカスタムSSOソリューションを構成します。

カスタムSSO環境の構成

Oracle Business IntelligenceがSSO認証を受け入れられるようにします。

Oracle Business Intelligenceと連携して機能するように構成されたSSOプロバイダを有効化します。

Oracle Business IntelligenceにおけるSSO認証の使用の有効化

注意:

Oracle Business IntelligenceのSSOのインストレーション・シナリオの例については、『Oracle Business Intelligenceエンタープライズ・デプロイメント・ガイド』を参照してください。

SSO認証およびOracle Business Intelligenceについて

シングル・サインオン(SSO)ソリューションを統合することで、ユーザーはログオン(サインオン)して認証を受けるのを一度で済ませることができます。その後、認証されたユーザーには、そのユーザーに付与された権限に応じて、システム・コンポーネントまたはリソースへのアクセス権が与えられます。

Oracle Business Intelligenceは、Oracle Fusion MiddlewareおよびOracle WebLogic Serverとともに使用するように構成されたSSOソリューションで認証された受信HTTPリクエストを信頼するように構成できます。『Oracle Platform Security Servicesによるアプリケーションの保護』のOracle Fusion Middlewareのシングル・サインオンの構成に関する項を参照してください。

SSO認証を使用するように構成されたOracle Business Intelligenceの場合は、Oracle Fusion Middlewareで使用するように構成されたSSOソリューションからの認証されたユーザーを受け入れます。SSOが有効化されていない場合は、Oracle Business Intelligenceは、各ユーザーに対して認証資格証明を要求します。Oracle Business IntelligenceがSSOを使用するように構成されている場合、ユーザーはまずSSOソリューションの認証用のログイン・ページにリダイレクトされます。SSOソリューションによってユーザーが認証されると、ユーザー名がプレゼンテーション・サービスに転送され、そこでこの名前が抽出されます。次に、偽装機能(偽装されているユーザーの代理の役目を果す資格証明を使用したOracle BIプレゼンテーション・サーバーとBIサーバーとの間の接続文字列)を使用して、BIサーバーとのセッションが確立されます。

SSOを使用して正常にログインした後も、ユーザーは、有効なユーザー名とパスワードの組合せを使用して管理ツールにログインするためのoracle.bi.server.manageRepositories権限を持っている必要があります。インストール後、デフォルトのBIAdministrationアプリケーション・ロールのメンバーとなることで、oracle.bi.server.manageRepositories権限が付与されます。

SSO認証と連携するようにOracle Business Intelligenceを構成するには、少なくとも次を実行する必要があります。

- SSO認証を受け付けるようにOracle Fusion MiddlewareとOracle WebLogic Serverを構成します。本番環境では、Oracle Access Managerをお薦めします。

- 受信メッセージを信頼するようにOracle BIプレゼンテーション・サービスを構成します。

- SSO構成でのアイデンティティの伝播に必要なHTTPヘッダー情報(ユーザー・アイデンティティとSSOのCookie)を指定して構成します。

IDアサーション・プロバイダのしくみ

この項では、Oracle Access Managerの認証プロバイダがOracle WebLogic Serverと連携し、シングル・サインオンのためのIDアサーション・プロバイダを使用して、次の機能を提供するしくみについて説明します。

- シングル・サインオン用のIDアサーション・プロバイダ
この機能は、Oracle Access Managerの認証サービスを使用し、適切なトークンを通じて、認証済のOracle Access Managerユーザーを検証し、WebLogicで認証されたセッションを作成します。また、Webゲートとポータルの間のシングル・サインオンも提供します。Webゲートは、Webリソース(HTTP)リクエストをインターセプトし、それを認証および認可のためにアクセス・サーバーに転送するプラグインです。

- オーセンティケータ
この機能は、Oracle Access Managerの認証サービスを使用して、Oracle WebLogic Serverにデプロイされているアプリケーションにアクセスするユーザーを認証します。ユーザーはその資格証明、たとえばユーザー名やパスワードに基づいて認証されます。

Oracle Access Managerの認証プロバイダをシングル・サインオン用のIDアサーション・プロバイダとして構成すると、Webリソースが保護されます。境界認証は、Web層のWebゲートと、保護されているWebLogicリソースにアクセスしようとしているユーザーのアイデンティティをアサートする適切なトークンによって実行されます。

すべてのアクセス・リクエストは、リバース・プロキシWebサーバーにルーティングされます。これらのリクエストは次にWebゲートでインターセプトされます。Oracle Access Manager内で構成されている認証スキームに基づいて、ユーザーに対して資格証明の提示が要求されます(フォームベースのログインをお薦めします)。

正常に認証されると、Webゲートがトークンを生成し、WebサーバーがリクエストをOracle WebLogic Serverに転送します。次に、Oracle WebLogic Serverによって、シングル・サインオンの検証のためにOracle Access ManagerのIDアサーション・プロバイダが起動されます。Oracle Access Managerは各種ヘッダー・トークンを渡すことができ、最も簡単なものはOracle Access Managerに認証されているユーザーIDが含まれているOAM_REMOTE_USERというHTTPヘッダーです。WebLogic Security Serviceがシングル・サインオンのためにOracle Access ManagerのIDアサーション・プロバイダを起動し、IDアサーション・プロバイダが受信リクエストからトークンを取得し、サブジェクトにWLSUserImplプリンシパルを移入します。シングル・サインオンのためのIDアサーション・プロバイダが、ユーザーがメンバーであるグループに対応したWLSGroupImplプリンシパルを追加します。次に、Oracle Access ManagerがCookieを検証します。

次の図に、Oracle Fusion Middlewareを使用したSSOのIDアサーション・プロバイダとしてOracle Access Managerの認証プロバイダが構成されている場合の、コンポーネントの配置と情報フローを示します。

Oracle Business IntelligenceとSSO認証の連携のしくみ

SSO認可が実装されると、プレゼンテーション・サービスは受信したWebリクエストがSSOで認証されたユーザーからのものであるかのように動作します。プレゼンテーション・サービスは次に、偽装機能を使用してBIサーバーへの接続を作成し、ユーザーの代理としてBIサーバーへの接続を確立します。ユーザーのパーソナライゼーションと、データレベル・セキュリティなどのアクセス制御は、この環境で保持されます。

SSO実装に関する考慮事項

Oracle Business Intelligenceを使用してSSOソリューションを実装するときには、次の点を検討する必要があります。

HTTPサーバーまたはサーブレット・コンテナから信頼できる情報を受け入れるとき、プレゼンテーション・サービスと直接通信を行うマシンを保護する必要があります。instanceconfig.xmlファイルで、Listener\FirewallノードのHTTP Serverまたはサーブレット・コンテナのIPアドレスのリストを指定します。Firewallノードには、すべてのOracle BIスケジューラ・インスタンス、Oracleプレゼンテーション・サービス・インスタンス、およびOracle Business Intelligence JavaHostインスタンスのIPアドレスが含まれている必要があります。

これらのコンポーネントのいずれかがOracle BIプレゼンテーション・サービスと同じ場所にある場合は、Firewallノードに127.0.0.1アドレスを追加する必要があります。HTTP Serverまたはサーブレット・コンテナのIPアドレスのリストを設定しても、エンド・ユーザーのブラウザのIPアドレスは制御されません。相互認証SSLを使用する場合は、Listener\TrustedPeersノードに、すべての信頼できるホストの識別名(DN)を指定する必要があります。

Oracle Access Manager環境でのSSOの構成

Oracle Access Manager環境でのSSOの構成方法に関する概要、およびこれらの追加リファレンスを確認してください。

Oracle Fusion Middleware環境を構成した後、Oracle Business Intelligenceを構成するために次を行う必要があります。

- Oracle Business IntelligenceのURLエントリ・ポイントを保護するようにSSOプロバイダを構成します。

- プレゼンテーション・サービスからSSOプロバイダへリクエストを転送するようにWebサーバーを構成します。

- Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインのメイン認証ソースとして新しいアイデンティティ・ストアを構成します。「Oracle WebLogic ServerのOIDオーセンティケータの構成」を参照してください。

- Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインを、Oracle Access ManagerのIDアサーション・プロバイダを使用するように構成します。「Oracle WebLogic Serverの新しいIDアサーション・プロバイダとしてのOracle Access Managerの構成」を参照してください。

- SSO環境の構成が完了したら、Oracle Business IntelligenceのSSO認証を有効化します。「Fusion Middleware Controlの使用によるSSO認証の有効化」を参照してください。

『Oracle Platform Security Servicesによるアプリケーションの保護』のOracle Fusion Middlewareのシングル・サインオンの構成に関する項を参照してください。

『Oracle Business Intelligence Publisher管理者ガイド』のOracle Access Manager (OAM)シングル・サインオンを使用するためのBI Publisherの構成に関する項を参照してください。

Oracle WebLogic ServerのOIDオーセンティケータの構成

Oracle Business Intelligenceのインストール後、Oracle WebLogic Serverの組込みLDAPサーバーがデフォルトの認証ソース(アイデンティティ・ストア)になります。

Oracle Internet Directory (OID)などの新しいアイデンティティ・ストアをメイン認証ソースとして使用するには、Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインを構成する必要があります。

『Oracle WebLogic Serverセキュリティの管理』および「Oracle WebLogic Server管理コンソールの使用」を参照してください。

「JAAS制御フラグ・オプションの設定」を参照してください。

「プロバイダ固有」タブを完了するためのフィールド詳細は、「認証プロバイダ固有のリファレンス」を参照してください。

1. 認証プロバイダの表で、新たに追加した認証プロバイダをクリックします。

2. 「設定」に移動して、「構成」→「共通」タブを選択します。

- 「制御フラグ」リストで「SUFFICIENT」を選択します。

- 「保存」をクリックします。

3. 「プロバイダ固有」タブをクリックし、使用する環境に適切な値を使用して、次の設定を指定します。

4. 「保存」をクリックします。

5. 次の手順を実行して、IDアサーション・プロバイダと併用できるようにデフォルトの認証プロバイダを設定します。

a. メインの「myrealmの設定」ページで、「プロバイダ」タブ→「認証」タブを表示し、DefaultAuthenticatorを選択して、その構成ページを表示します。

b. 「構成」→「共通」タブを表示し、「制御フラグ」リストから「SUFFICIENT」を選択します。

c. 「保存」をクリックします。

6. 次の手順に従ってプロバイダを並べ替えます。

a. 「プロバイダ」タブを表示します。

b. 「並替え」をクリックし、「認証プロバイダの並替え」ページを表示します

c. プロバイダ名を選択してから矢印ボタンを使用して、次の順序でプロバイダのリストを並べます。

- OIDオーセンティケータ(SUFFICIENT)

- OAMアイデンティティ・アサータ(REQUIRED)

- デフォルト・オーセンティケータ(SUFFICIENT)

d. 「OK」をクリックして、変更を保存します。

7. チェンジ・センターで、変更のアクティブ化をクリックします。

8. Oracle WebLogic Serverを再起動します。

1. Oracle WebLogic Server管理コンソールにログインします。

2. 「チェンジ・センター」で「ロックして編集」をクリックします。

3. 「ドメイン構造」で「セキュリティ・レルム」を選択し、myrealmをクリックします。

4. 「myrealmの設定」で、「プロバイダ」タブをクリックし、「認証」タブをクリックします。

5. 「認証プロバイダ」で「新規」をクリックします。

6. 「新規認証プロバイダの作成」で、認証プロバイダの「名前」(OID Providerなど)を入力します。

7. 「タイプ」リストから、OracleInternetDirectoryAuthenticatorを選択し、「OK」をクリックします。

8. 「認証プロバイダ」表から、作成したプロバイダを選択します。

9. 「共通」タブをクリックし、「制御フラグ」リストから「十分」を選択して、「保存」をクリックします。

「認証プロバイダの並替え」を使用して、OIDオーセンティケータをOracle WebLogic Serverが使用するプライマリ認証にします。次のようにオーセンティケータの順番を変更します。

- OIDオーセンティケータ(SUFFICIENT)

- OAMアイデンティティ・アサータ(REQUIRED)

- デフォルト・オーセンティケータ(SUFFICIENT)

認証プロバイダのソース・リファレンス

この表は、認証プロバイダを追加するためのリファレンスを示しています。

セクション名

フィールド名

説明

接続

ホスト

LDAPホスト名。たとえば、<localhost>です。

接続

ポート

LDAPホストのリスニング・ポート番号。たとえば、6050です。

接続

プリンシパル

LDAPサーバーに接続するユーザーの識別名(DN)。例, cn=orcladmin

接続

資格証明

プリンシパルとして入力されたLDAP管理ユーザーのパスワード。

ユーザー

ユーザー・ベースDN

ユーザーを含むLDAPサーバー・ツリーのベース識別名(DN)。たとえば、Oracle Access Managerと同じ値を使用します。

ユーザー

すべてのユーザーのフィルタ

LDAP検索フィルタ。たとえば、(&(uid=*) (objectclass=person))などです。アスタリスク(*)は、すべてのユーザーをフィルタします。詳細は、「詳細」をクリックします。

ユーザー

名前指定によるユーザー・フィルタ

LDAP検索フィルタ。詳細は、「詳細」をクリックします。

ユーザー

ユーザー名属性

認証に使用する属性(cn、uid、mailなど)。ディレクトリ・サーバーのユーザー名のデフォルトの属性として設定します。たとえば、uidです。

次のタスク、「ユーザー名属性の構成」の説明のとおり、ここで指定する値は、認証プロバイダで使用しているユーザー名属性と一致する必要があります。

グループ

グループ・ベースDN

グループ(ユーザー・ベースDNと同じ)を含むLDAPサーバー・ツリーのベース識別名(DN)。

一般

GUID属性

LDAPでオブジェクトGUIDの定義に使用する属性。

orclguid

このデフォルト値を変更しないでください。ほとんどの場合、このデフォルト値で十分です。

Oracle WebLogic Serverの新しいIDアサーション・プロバイダとしてのOracle Access Managerの構成

Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインは、Oracle Access Managerのアサーション・プロバイダを使用するように構成されている必要があります。

「Oracle Business IntelligenceにおけるSSO認証の使用の有効化」を参照してください。

1. Oracle WebLogic Server管理コンソールにログインします。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルム(myrealmなど)をクリックします。

3. 「プロバイダ」を選択します。

4. 「新規」をクリックします。各フィールドに次の情報を入力します。

- 名前: 「OAM Provider」または任意の名前。

- タイプ: OAMIdentityAsserter。

5. 「OK」をクリックします。

6. 「保存」をクリックします。

7. 「プロバイダ」タブで、次の手順に従ってプロバイダを並べ替えます。

a. 「並替え」をクリックします

b. 「認証プロバイダの並替え」ページでプロバイダ名を選択し、プロバイダのリストを次のように並べ替えます。

- OIDオーセンティケータ(SUFFICIENT)

- OAMアイデンティティ・アサータ(REQUIRED)

- デフォルト・オーセンティケータ(SUFFICIENT)

c. 「OK」をクリックして、変更を保存します。

8. チェンジ・センターで、変更のアクティブ化をクリックします。

9. Oracle WebLogic Serverを再起動します。
Oracle WebLogic Serverに再度ログインして、LDAPサーバーに格納されているユーザーおよびグループがコンソールに表示されていることを確認することによって、Oracle Internet Directoryが新しいアイデンティティ・ストア(デフォルト・オーセンティケータ)であることを確認できます。

10. SSO認証を有効化します。
.

カスタムSSO環境の構成

この項には、カスタムSSO環境の設定に関する情報へのリファレンスが含まれています。

カスタムSSO環境に参加するようにOracle Business Intelligenceを構成する方法(たとえば、SiteMinderを使用してSSOを設定するなど)の詳細は、次のMy Oracle Supportの記事1287479.1を参照してください。

https://support.oracle.com

Smart Viewを使用したシングル・サインオンの構成

このトピックでは、Smart Viewを使用したシングル・サインオン(SSO)の構成に必要な手順について説明します。これは、Microsoft Active Directoryおよびネイティブ認証を使用してSSOが有効になっているOracle Business Intelligence Enterprise Editionサーバーと統合されているSmart Viewクライアントに適用されます。

次の手順を使用すると、Smart ViewユーザーはSmart ViewをWindows PCで起動し、ログイン・ユーザー名およびパスワードの入力を求められずにOracle Business Intelligenceの分析に接続できます。SSOログイン情報は、Microsoft Active DirectoryからOracle Business Intelligence、Smart Viewへと順にシームレスに渡されます。

開始する前に、Windows Server Active DirectoryをLDAP認証ソースとして使用し、SSO環境でWindowsネイティブ認証を使用するようにOracle Business Intelligenceを構成しておく必要があります。このプロセスの詳細は、My Oracle Supportの記事1274953.1の一部として入手可能なホワイト・ペーパーOracle Business Intelligence Enterprise EditionでのActive DirectoryとWindowsネイティブ認証を使用した認証およびSSOの構成を参照してください。

1. Microsoft Active Directoryのユーザー名およびパスワードを使用してOracle Business Intelligenceにサインインし、接続できることを確認します。

2. Smart Viewを実行しているWindowsマシンにSmart Viewクライアントをインストールします。Smart Viewの最新のバージョンはOracle Technology Network (OTN)からダウンロードできます。

3. Oracle Business Intelligenceサーバーで、既存のjbips.earファイルのバックアップ・コピーを作成します。

4. jarコマンドを使用して、jbips.earファイルを一時ディレクトリに解凍します。

jar –xvf jbips.ear

5. web.xmlファイルで、ドキュメントの<welcome-file-list>セクションの前に次を追加します。

<security-constraint>
<web-resource-collection>
<web-resource-name>JBIPS</web-resource-name>
<url-pattern>/*</url-pattern>
</web-resource-collection>
<auth-constraint>
<role-name>SSORole</role-name>
</auth-constraint>
</security-constraint>
<login-config>
<auth-method>CLIENT-CERT</auth-method>
</login-config>
<security-role>
<role-name>SSORole</role-name>
</security-role>

6. weblogic.xmlファイルを変更して次を追加します。

<context-root>jbips</context-root>
<security-role-assignment>
<role-name>SSORole</role-name>
<principal-name>BIUsers</principal-name>
<principal-name>BIAdmins</principal-name>
<principal-name>Domain Users</principal-name>
<principal-name>Users</principal-name>
</security-role-assignment>
</weblogic-web-app>

7. MANIFEST.MFファイルを変更してバージョンを追加します。

Weblogic-Application-Version: 12.2.1

8. jarコマンドを使用してjbips.earファイルを再作成します。

jar –cfm jbips.ear /META-INF/MANIFEST.MF

9. WebLogic Serverコンソールにサインインして、既存のjbips.earファイルを削除します。

10. WebLogic Serverコンソールを使用して、新しく作成したjbips.earファイルをデプロイします。デプロイ時に、バージョンを入力しないでください。バージョン番号は、MANIFEST.MFファイルに加えた変更によって取得されます。

11. サーバーを再起動し、Smart Viewを再テストしてSSOが想定どおりに機能していることを確認します。

Oracle Business IntelligenceにおけるSSO認証の使用の有効化

SSOソリューションを使用するようにOracle Business Intelligenceを構成した後、Oracle Business IntelligenceのSSO認証を有効化する必要があります。

SSOを有効化した後、デフォルトのOracle Business Intelligenceログイン・ページを使用できません。

- WLSTコマンドを使用したSSO認証の有効化および無効化

- Fusion Middleware Controlの使用によるSSO認証の有効化

WLSTコマンドを使用したSSO認証の有効化および無効化

WLSTコマンドを使用して、Oracle Business IntelligenceのSSO認証を有効化または無効化します。

Oracle Business Intelligence 12.2.1.3.0では、軽量SSOがデフォルトで有効になっています。初期化ブロックのセッション変数などのレガシー認証方法を使用している場合は、disableBISingleSignOnコマンドを使用して、軽量SSOを無効にする必要があります。

- ファイル・システムおよびWebLogic管理者権限が必要です。

- SSO認証の有効化または無効化はオフライン・アクティビティとして実行する必要があります。

- 検証はURLフォーマットに制限されます。接続およびWebLogic構成は検証されません。

- ログオフ用のURLを変更する場合は、無効にしてから新しいURLを再有効化する必要があります。

- ログオンURLは必要ありません。

前提条件:

- WebLogicセキュリティ・プロバイダの構成は、『Oracle WebLogic Serverセキュリティの管理』のWebLogicセキュリティ・プロバイダの構成に関する項を参照してください。

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のWebLogic Scripting Tool (WLST)の使用に関する項を参照してください。

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Business Intelligenceコンポーネント・プロセスの起動に関する項を参照してください。

次の表を使用して、各コマンドの適切な引数を習得します。

コマンド

引数

戻り値

説明

enableBISingleSignOn

DOMAIN_HOME, <logoff-url>

なし

SSOを有効化して、ログオフURLを構成します。

disableBISingleSignOn

DOMAIN_HOME

なし

SSOを無効化します。

1. BIシステムを停止します。

たとえば、UNIXでは./stop.shを使用します

2. WLSTコマンドラインを使用して表からSSO管理コマンドを入力します。

たとえば、UNIXでは、ディレクトリを次のように変更します。

<Install_Directory>/oracle_common/common/bin

3. ./wlst.shコマンドを使用してWLSTを起動します。

4. (オプション)コマンドhelp('BILifecycle')を実行して、enableBISingleSignOnコマンドとdisableBISingleSignOnコマンドおよびそれらの引数に関するヘルプを表示します。

5. 各コマンドの適切な引数を使用して、enableBISingleSignOnまたはdisableBISingleSignOnを実行します。

例: enableBISingleSignOn('C:/.../user_projects/domains/bi','/bi-security-login/logout?redirect=/va')またはdisableBISingleSignOn('C:/oracle/Middleware/Oracle_Home/user_projects/domains/bi')

Oracle Business IntelligenceのSSO構成が更新されます。

6. Oracle Business Intelligenceコンポーネント・プロセスを再起動して、変更を適用します。

たとえば、UNIXでは./start.shを使用します。

Fusion Middleware Controlの使用によるSSO認証の有効化

Fusion Middleware Controlの「セキュリティ」タブを使用して、Oracle Business IntelligenceのSSO認証を有効化する方法。

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Fusion Middleware Controlの使用に関する項およびOracle Business Intelligenceコンポーネントの起動と停止に関する項を参照してください。

1. Fusion Middleware Controlにログインします。

2. 「セキュリティ」ページに移動して、「シングル・サインオン」タブを表示します。

「このページのヘルプ」ヘルプ・メニュー・オプションをクリックして、要素のページレベル・ヘルプにアクセスします。

3. 「ロックして編集」をクリックします。

4. 「SSOの有効化」を選択します。

選択すると、このチェック・ボックスはSSOをOracle Business Intelligenceの認証手段として有効化します。SSOの適切な形式は、選択されたSSOプロバイダに対して行われた構成設定によって決まります。

5. 必要に応じて、構成済SSOプロバイダのログオフURLを入力します。

(SSOプロバイダによって指定される)ログオフURLは、システムがユーザーをログアウトさせるのではないため、SSOプロバイダが保護するドメインおよびポートの外部にある必要があります。

6. 「適用」,をクリックしてから、「変更のアクティブ化」をクリックします。

7. Fusion Middleware Controlを使用してOracle Business Intelligenceコンポーネントを再起動します。

オンライン・カタログ・マネージャの接続の有効化

SSOの使用時に分析が保護されている場合、オンライン・カタログ・マネージャが新しいURLを指すことができるようにする方法。

Oracle Business IntelligenceのHTTP WebサーバーがSSOで有効になっている場合は、オンライン・カタログ・マネージャがOracle BIプレゼンテーション・サービスへの接続に失敗する可能性があります。「Fusion Middleware Controlの使用によるSSO認証の有効化」でSSOを有効にすると、Oracle Business IntelligenceのURL http://hostname:port_number/analyticsが保護され、そのかわりにオンライン・カタログ・マネージャの参照先をURL http://hostname:port_number/analytics-wsに変更することが必要になります。このURLは、保護しないまま維持する必要があります。Oracle BI Publisher、Oracle BI Add-in for Microsoft Officeおよびオンライン・カタログ・マネージャによって使用されたときにSOAPアクセスのみを受け入れるように構成されます。

SSOが有効な場合にオンライン・カタログ・マネージャにログインするには、analytics-ws/saw.dllをポイントするようにURLの接尾辞を変更する必要があります。

5 Oracle Business IntelligenceのSSLの構成

この章では、Secure Socket Layer (SSL)を介して通信するようにOracle Business Intelligenceコンポーネントを構成する方法について説明します。

「Oracle Business Intelligenceでセキュリティを設定するためのプロセス」を参照してください。

Oracle Business IntelligenceのSSL Everywhere機能を使用すると、コンポーネント間のセキュアな通信が可能になります。デプロイメント全体でセキュアなHTTP通信が行われるように、Oracle Business Intelligenceコンポーネント間およびOracle WebLogic Server間のSSL通信を構成できます。この項では、データベースやWebサーバーといった外部サービスとのセキュアな通信の構成については説明しません。『Oracle Fusion Middlewareの管理』のOracle Fusion MiddlewareのSSL構成に関する項を参照してください。

この章の構成は、次のとおりです。

- SSLとは

- エンドツーエンドSSLの有効化

- Oracle BI EE内部SSLの有効化

- 内部SSLの無効化

- クライアント用の信頼およびアイデンティティのエクスポート

- クライアント用のSSLの構成

- 証明書の有効期限の確認

- 証明書の置換え

- リスナー・アドレスの変更後の証明書の更新

- 新しいサーバーの追加

- 構成テンプレート構成済システムのSSLの有効化

- SSL暗号スイートの手動構成

- 外部システムへのSSL接続の構成

- Oracle BI EE内部SSL使用のために予約されたWebLogicアーティファクト

SSLとは

SSLは、ネットワーク全体のアプリケーション間でセキュアな通信を有効にするための暗号プロトコルです。

SSL通信を有効にすることで、メッセージの暗号化、データ整合性、認証など、いくつもの機能による利益を享受できます。メッセージを暗号化することで、認可されたユーザーだけがこれにアクセスできるという機密保護を徹底できます。データ整合性は、メッセージが改ざんされることなく、元の状態のままで受信されることを保証します。認証は、メッセージの送信者が実際にその人物であることを保証します。

SSLを使用する場合は、セッションのネゴシエーション用に、サーバーが公開鍵と秘密鍵を保有している必要があります。公開鍵は、認証局によって署名されたサーバー証明書によって使用可能になります。証明書には、サーバーを識別する情報も含まれます。秘密鍵はサーバーによって保護されます。

『Oracle Fusion Middlewareの管理』のSSLのしくみに関する項を参照してください。

Oracle Business IntelligenceでのSSLの使用

デフォルトでは、Oracle Business IntelligenceコンポーネントはTCP/IPを使用して相互通信します。Oracle Business Intelligenceコンポーネント間でSSLを構成すると、セキュアなネットワーク通信が可能になります。

Oracle Business Intelligenceコンポーネントは、一度に1つのプロトコルを介してのみ通信できます。あるコンポーネント間で単純なTCP/IP通信を行いながら、別のコンポーネント間でSSLを使用することはできません。SSLを介したセキュアな通信を可能にするには、次のコンポーネントを構成する必要があります。

- Oracle BIサーバー

- Oracle BIプレゼンテーション・サービス

- Oracle BI JavaHost

- Oracle BIスケジューラ

- Oracle BIジョブ・マネージャ

- Oracle BIクラスタ・コントローラ

- Oracle BIサーバーのクライアント(Oracle BI ODBCクライアントなど)

SSLは、Oracle Business Intelligenceインストール全体で、中心となる1つの場所から構成されます。独自の証明書が作成され、すべてのOracle Business Intelligenceコンポーネント(Essbaseを除く)がSSLを使用するように構成されます。SSLによって、次のデフォルトのセキュリティ・レベルが構成されます。

- SSL暗号化が有効化されています。

- SSL相互認証は有効化されません。SSL相互認証が有効にされないため、クライアントが各自のSSL秘密鍵を所有する必要はありません。

- デフォルトの暗号スイートを使用します。「SSL暗号スイートの手動構成」を参照してください。

- スケールアウトの際、一元管理されたSSL構成は、追加されたすべての新規コンポーネントに自動的に伝搬されます。

より高度なセキュリティが必要な場合は、SSLによる一元的な構成を、手動構成によって強化または置換できる場合もあります。これは、相当複雑な処理となります。SSLを手動で構成する方法の詳細は、Oracleサポートにお問合せください。

Oracle Business Intelligenceでの証明書と鍵の作成

SSLを使用したセキュアな通信には、認証局(CA)による署名のある証明書が必要です。内部での通信には、SSL Everywhere機能により、プライベートな認証局および証明書が作成されます。ユーザーのWebブラウザはプライベートな認証局を認識しないため、内部証明書は外部に向けたWebサーバーでは使用できません。したがって、Webサーバーには、外部で認知された認証局によって署名されたWebサーバー証明書を用意する必要があります。

SSLが有効化されているシステムのスケール・アウト

内部SSLが有効なシステムをスケール・アップするには、『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の新しいコンピュータの追加に関する項を参照してください。この場合、必要なssl.sh bindchannelcertsコールが行われます。

エンドツーエンドSSLの有効化

エンドツーエンドSSLを実現するには、内部BIEE SSLおよびWebLogic SSLを構成する必要があります。WebLogic SSL構成では複数の手動の手順が必要である一方で、内部SSL構成は高度に自動化されています。2つは完全に独立しているため、どちらからでも実行できます。WebLogic構成では、手動の手順が必要です(最初に実行することをお薦めします)。

注意:

この項には、EssbaseのSSLの構成が含まれていません。

次の手順を実行します。構成の手順が強調されています。

- 標準の非SSL Oracle BI EEシステムの構成

- WebLogic SSLの構成

標準の非SSL Oracle BI EEシステムの構成

この項では、標準の非SSL Oracle Business Intelligenceシステムを構成する方法について説明します。

- Oracle BI EEをインストールします。

- システムが動作していることを確認します。
次を使用するためにHTTPを介してログインできることを確認します。

- Analytics
- http://<Host>:<ManagedServerPort>/analytics

- Fusion Middleware Control
- http://<Host>:< AdminPort>/em

- WebLogic管理コンソール
- http://<Host>:<AdminPort>/console

WebLogic SSLの構成

これらの手順では、提供されているデモ証明書を使用してWebLogicを構成します。これらはセキュアではありません。

本番環境ではこれらのタスクを使用しないでください。デモ証明書を使用すると、実際の証明書を使用した場合の環境の構成方法が理解しやすくなります。

実際の認証局によって署名されたセキュアな証明書を使用して構成するには、WebLogicドキュメントを参照してください。認証局は、署名されたサーバー証明書を返し、対応するルートCA証明書を提供する必要があります。タスクの手順でdemoCAと示されている場所については、実際のCA証明書でdemoCAを置き換えます。

この項では、次の項目について説明します。

- 管理サーバーのみの起動

- HTTPSポートの構成

- LDAPを使用するための内部WebLogic Server LDAPの構成

- 内部WebLogic Server LDAPのトラスト・ストアの構成

- HTTPの無効化

- 再起動

- t3sを使用するためのOWSMの構成

- システムの再起動

管理サーバーのみの起動

すべてを起動するのではなく管理サーバーのみを起動するとすべて停止する必要がなくなりますが、管理接続プロパティがすべての停止スクリプトと混同する変化の状態になります。

1. 次を使用してすべてを停止します。

<DomainHome>/bitools/bin/stop.sh

2. 次を使用して管理サーバーのみを起動します。

<DomainHome>/bitools/bin/start.sh -i Adminserver

HTTPSポートの構成

これらの手順に従って、HTTPSポートを構成します。

1. WebLogic管理コンソールにログインします。

2. 「ロックして編集」をクリックします。

3. 「環境」、「サーバー」の順に選択します。

4. メインの「構成」タブの各サーバーで、「SSLリスニング・ポートの有効化」を選択します。

5. 「保存」をクリックします。

6. 「変更のアクティブ化」をクリックします。

7. WebLogicのデモ証明書を使用している場合は、URL https://<host>:<AdminServerSSLPort>に移動し、単一のブラウザ証明書例外を設定します。

URL https://<host>:<AdminServerSSLPort>はベースURLで、パスにEnterprise ManagerもWebLogic管理コンソールもありません。最初にベースURLにアクセスすることで、単一のブラウザ証明書例外を設定できます。Enterprise ManagerまたはWebLogic管理コンソールのパスに直接移動する場合は、複数の証明書例外を設定する必要があります。

8. ベースURLに移動して、証明書例外を有効化します。

これは、WebLogicコンソールとFusion Middleware Controlで個別に実行するのではなく、1回のみ実行する必要があります。

SSL接続が行われると、ベースURLは404エラーを表示します。このエラーは無視できます。

9. 次のようなURLを使用して、セキュアなWebLogicコンソールのURLをテストします。

https://<Host>:<AdminServerSSLPort>/console

10. 次のようなURLを使用して、セキュアなFusion Middleware ControlのURLをテストします。

https://<Host>:<AdminServerSSLPort>/em

HTTPを使用してFusion Middleware Controlにログインしながら、HTTPS URLをテストします。

HTTPSを無効化しないでください。

11. WebLogic管理コンソールで「ロックして編集」をクリックし、セキュア・レプリケーションの有効化を開始します。

12. 「環境」→「クラスタ」→「bi_cluster」の順に選択します。

13. 「構成」を選択し、「レプリケーション」タブを選択します。

14. 「セキュア・レプリケーションの有効化」を選択します。
「セキュア・レプリケーションの有効化」を選択しなかった場合、管理対象サーバーは起動に失敗し、起動スクリプトの実行を阻止する管理モードのままになります。

15. 「保存」をクリックします。

16. 「変更のアクティブ化」をクリックします。

LDAPを使用するための内部WebLogic Server LDAPの構成

外部アイデンティティ・ストアをすでに構成してある場合は、この手順の実行をスキップできます。WebLogic Server LDAPを使用する場合はこのタスクを実行します。virtualizeプロパティはtrueに設定しません。

セキュアな接続を使用するように外部アイデンティティ・ストアを構成できます。外部アイデンティティ・ストアを使用するには、内部LDAP IDストアのURLを変更する必要があります。

1. 次のようなURLを使用して、Fusion Middleware Controlにログインします。

https://<Host>/<SecureAdminPort>/em

2. 「WebLogicドメイン」→「セキュリティ」→「セキュリティ・プロバイダ構成」の順にクリックします。

3. 「アイデンティティ・ストア・プロバイダ」セグメントを展開します。

4. 「構成」をクリックし、プラス記号(+)をクリックして新しいプロパティを追加します。

5. 次の書式を使用して、bi_server1アドレスではなくadministration serverアドレスにldap.urlプロパティを追加します。

ldaps://<host>:<adminServer HTTPS port>。たとえば、ldaps://myexample_machine.com:9501。

6. プロパティ・エディタで「OK」をクリックします。

7. 「アイデンティティ・ストア・プロバイダ」ページで、「OK」をクリックします。

8. <DomainHome>/config/fmwconfig/jps-config.xmlにあるjps-config.xmlファイルを開きます。

9. このファイルで、<property name="ldap.url" value="ldaps://<Host>:<AdminServerSecurePort>"/>という行を探し、構成の変更を確認します。

内部WebLogic Server LDAPのトラスト・ストアの構成

信頼キーストアを指定する必要があります。

『Oracle Platform Security Servicesによるアプリケーションの保護』の複数LDAPでの一方向SSLのシナリオに関する項を参照してください

注意:

この項は、明示的に管理サーバーを指し示すため、WebLogic Server LDAPを使用し、さらにvirtualize=trueを設定している場合にのみ適用されます。

1. ターミナル・ウィンドウで、ORACLE_HOMEおよびWL_HOME環境変数を設定します。
たとえばLinuxでは、次のように指定します。

setenv ORACLE_HOME <OracleHome>

setenv WL_HOME <OracleHome>/wlserver/

2. パスおよびJAVA_HOMEがJDK 8インストールを示していることを確認します。
setenv JAVA_HOME <path_to_your_jdk8>

setenv PATH $JAVA_HOME/bin

3. 次を実行してJavaバージョンを確認します。
java -version

4. 次を実行します(改行なし)。
<OracleHome>/oracle_common/bin/libovdconfig.sh

-host <Host>

-port <AdminServerNonSSLPort>

-userName <AdminUserName>

-domainPath <DomainHome>

-createKeystore

入力を求められた場合は、<AdminUserName>の既存のパスワードを入力します。

OVDキーストアのパスワードの入力を求められた場合は、新しいパスワードを選択します。

次に例を示します。

oracle_common/bin/libovdconfig.sh -host myhost -port 9500 -userName weblogic -domainPath /OracleHome/user_projects/domains/bi -createKeystore

Enter AdminServer password:
Enter OVD Keystore password:
OVD config files already exist for context: default
CSF credential creation successful
Permission grant already available for context: default
OVD MBeans already configured for context: default
Successfully created OVD keystore.

管理サーバーの非SSLポートが無効になっている場合、-port <AdminServerNonSSL>コマンドは機能しません。SSLを有効化してLDAPを構成する場合は、管理サーバーの非SSLポートを一時的に再有効化する必要があります。

5. 次を実行して、結果のキーストアが存在することを確認し、初期コンテンツを表示します。
keytool -list -keystore <DomainHome>/config/fmwconfig/ovd/default/keystores/adapters.jks

6. 上のキーストアにインポートするため、適切な形式でデモ証明書をエクスポートする必要があります。
Fusion Middleware Control:

WebLogicデモ証明書を使用する場合、Fusion Middleware Controlを使用してシステム・キーストアから必要なルートCAを取得できます。

a. 「WebLogicドメイン」、「セキュリティ」、「キーストア」の順に選択します。

b. 「システム」を展開します。

c. 「信頼」を選択します。

d. 「管理」をクリックします。

e. 「olddemoca」ではなく「democa」を選択します。

f. 「エクスポート」をクリックします。

g. 「証明書のエクスポート」を選択します。

h. ファイル名を選択します。
たとえば、demotrust.pemです

WebLogicデモ証明書を使用しない場合、セキュアなサーバー証明書に署名したCAのルートCAを取得する必要があります。

7. 作成したキーストアにインポートします。

keytool -importcert -keystore <DomainHome>/config/fmwconfig/ovd/default/keystores/adapters.jks -alias localldap -file <DemoTrustFile>

8. 入力を求められた場合、前に選択したキーストアのパスワードを入力し、証明書が信頼されていることを確認します。

9. キーストアの-listコマンドを繰り返すと、次のようにlocalldapに新しいエントリが表示されます。

localldap, Jul 8, 2015, trustedCertEntry,

証明書のフィンガープリント(SHA1):

CA:61:71:5B:64:6B:02:63:C6:FB:83:B1:71:F0:99:D3:54:6A:F7:C8

HTTPの無効化

HTTPSを使用するようにシステムを保護した後、環境を完全に保護するには、HTTPを無効にする必要もあります。

1. WebLogic管理コンソールにログインします。

2. 「ロックして編集」をクリックします。

3. 「環境」、「サーバー」の順に選択します。
各サーバーで次の手順に従います。

a. 「構成」タブが表示されます

b. 「リスニング・ポート有効」をクリアします。

c. 「保存」をクリックします。

4. 「変更のアクティブ化」をクリックします。

再起動

ここで、Oracle Business Intelligenceを再起動する必要があります。

Oracle Web Service Manager (OWSM)で引き続き無効化したHTTPポートが使用されているため、Analyticsを介してログインすることはできません。

HTTPSのみ使用します。

HTTPにより、「接続できないエラー」のようなエラーが即時に表示されます。プロトコルやポートを混同しないでください。誤ったプロトコルを使用して実行中のポートに接続しようとすると、ブラウザがハングする可能性があります。

1. <DomainHome>/bitools/bin/start.shスクリプトにあるstart.shスクリプトを使用して、WebLogic管理コンソールから管理サーバーを停止します。

2. HTTPおよびHTTPS WebLogicコンソールURLにログインしてHTTPが無効であることを確認します。

t3sを使用するためのOWSMの構成

Oracle Web Services Manager (OWSM)構成を変更して、HTTPSポートを使用する必要があります。

ローカルのOWSMを使用する場合、HTTP(s) OWSMリンクは使用されません。

1. Fusion Middleware Control 12cにログインします。

https://<Host>/<SecureAdminPort>/em

2. 「WebLogicドメイン」、「クロス・コンポーネント・ワイヤリング」、「コンポーネント」の順に選択します。

3. 「コンポーネント・タイプ」→「OWSMエージェント」を選択します。

4. ステータスが「同期外れ」になっているowsm-pm-connection-t3の行を選択して、「バインド」をクリックします。

5. 「はい」を選択します。

6. 次のようにバリデータを介してポリシーにアクセスして確認します。

https://<host>:<ManagedServerSSLPort>/wsm-pm/validator

システムの再起動

すべてのサーバーを停止および再起動してから、HTTPSを使用したAnalyticsログインをテストする必要があります。

1. <DomainHome>/bitools/bin/stop.shスクリプトを使用して、すべてのサーバーを停止します。

2. <DomainHome>/bitools/bin/start.shスクリプトを使用して、すべてを開始します。

3. 次のようなURLを使用して、Analyticsにログインできることを確認します。

https://<Host>:<SecureManagedServerPort>/analytics

WebLogic層では、外部向けのポートとすべてのWebLogicインフラストラクチャに対してのみHTTPSを使用します。内部BIチャネルおよびBIシステム・コンポーネントでは、HTTPを使用します。

Oracle BI EE内部SSLの有効化

これらの手順に従って、内部通信リンクのSSLを有効化します。

マスター・ホストからコマンドを実行する必要があります。Oracle Business IntelligenceがBI構成アシスタントで構成され、WebLogic管理対象サーバーが作成され、スケール・アウトが完了している必要があります。構成アシスタントを使用してセキュリティを構成している場合は、この手順のみを使用します。

SSLに構成テンプレートを使用している場合は、「構成テンプレート構成済システムのSSLの有効化」を参照してください。

次の高度なオプションを構成できます。

- クライアント証明書のサーバー・チェックを有効化します。

- 使用する暗号スイートを指定します。
「SSL暗号スイートの手動構成」を参照してください。

事後状態:

1. 次のコマンドを使用して、システムを停止します。

ORACLE_HOME/user_projects/domains/bi/bitools/bin/stop.sh

2. 次のコマンドを実行して、WebLogic内部チャネルおよび内部コンポーネントのSSLを有効化します。

ORACLE_HOME/user_projects/domains/bi/bitools/bin/ssl.sh internalssl true

3. (オプション)次のファイルを編集して、高度なオプションを構成します。

ORACLE_HOME/user_projects/domains/bi/config/fmwconfig/biconfig/core/ssl/bi-ssl.xml

4. 次のコマンドを使用して、ドメインおよびBIコンポーネントのプロセスを再起動します。

ORACLE_HOME/user_projects/domains/bi/bitools/bin/start.sh

5. 次を使用して、WebLogic証明書および対応する信頼が正しく構成されていることを確認します。

ORACLE_HOME/user_projects/domains/bi/bitools/bin/ssl.shレポート

6. 次にある環境変数を使用して、Oracle BI EEにログインできることを確認します。

https://<host>:<SecureManagedServerPort>/analytics

注意:
エンドツーエンドSSLを有効化する前にHTTPSリスナーが各サーバーで有効であることを確認するには、このログインを実行する必要があります。内部コンポーネント間の通信は暗号化されますが、ssl.shレポート・コマンドを使用するかサーバー・トラフィックを確認してのみ検証可能です。

事後状態

- WebLogicサーバー:

- HTTPSリスナーが内部チャネルで有効化されます。

- 外部ポート構成が変更されていません。外部ポートのSSLも有効化する方法の詳細は、「エンドツーエンドSSLの有効化」を参照してください。
リスナー・アドレスごとに個別の内部アイデンティティ(キー/証明書のペア)があります。証明書は、標準のHTTPSと互換性があるリスニング・アドレスに一致する共通名を持ちます。証明書は、内部認証局により署名されます。

- Essbase Studio以外のシステム・コンポーネント:

- HTTPSリスナーが内部チャネルで有効化されます。

- 外部ポート構成が変更されていません。

- リスナー・アドレスごとに個別の内部アイデンティティ(キーまたは証明書のペア)があります。証明書は、標準のHTTPSと互換性があるリスニング・アドレスに一致する共通名を持ちます。証明書は、内部認証局により署名されます。

- Essbase Studio:

- 変更はありません。既存の接続を続行します。

内部SSLの無効化

このタスクを使用して、内部通信リンクのOracle BI EE SSLを無効化します。

マスター・ホストからコマンドを実行する必要があります。このオプションを使用するには、構成アシスタントを使用してOracle Business Intelligenceを構成し、WebLogic管理対象サーバーを作成して、スケール・アウトを完了しておきます。

1. 次を使用してシステムを停止します。

<DomainHome>/bitools/bin/stop.sh

2. 次のコマンドを実行して、WebLogic内部チャネルおよび内部コンポーネントのSSLを無効化します。

<DomainHome>/bitools/bin/ssl.sh internalssl false

3. 次を使用してドメインを再起動します。

<DomainHome>/bitools/bin/start.sh

事後状態:

- WebLogicサーバー:

- 内部チャネルで無効化されているHTTPSリスナーがあります。

- 外部ポート構成が変更されていません。

- Essbase Studio以外のシステム・コンポーネント:

- 非SSLでのみリスニングします。SSL接続は受け入れられません。

- Essbase Studio:

- 変更はありません。既存の接続を続行します。

クライアント用の信頼およびアイデンティティのエクスポート

管理ツールやジョブ・マネージャなどのOracle BI EEクライアントでSSL対応サーバーに接続できるようにするために必要な鍵および証明書を指定できます。

前提:

- マスター・ホストからコマンドを実行します。

- オンラインおよびオフラインでこの操作を完了できます。

前提条件

- 構成アシスタントを使用するか、./ssl.sh再生成コマンドを実行して、証明書が作成されています。

- WebLogicでSSLが有効化されています。
「WebLogic SSLの構成」を参照してください。

- このタスクは、停止中または実行中のシステムで実行できます。

次のコマンドを使用して、クライアントのアイデンティティおよび信頼をmydirにエクスポートします。

./ssl.sh exportclientcerts mydir

証明書およびzipファイルが生成されます。

事後状態:

- Mydirにclientcerts.zipファイルが格納されます。

- Mydirには、解凍されたzipファイルのコンテンツも直接使用のために格納されます。

- clientcert.pem

- clientkey.pem

- identity.jks

- internaltrust.jks

- internaltrust/internalca.pem

- internaltrust/<hashed form of above>

- ジョブ・マネージャなどのJavaクライアントは、アイデンティティを定義するidentity.jksおよび信頼用のinternaltrust.jksで設定されたセキュア・オプション「サーバー証明書の確認」により、正常に接続できます。

- 管理ツールなどのOpenSSLクライアントは、アイデンティティを定義するclientcert.pemとclientkey.pemおよび信頼ファイルであるinternalca.pemで設定されたセキュア・オプション「ピアの検証」により、正常に接続できます。

クライアント用のSSLの構成

これらのトピックを使用して、クライアント用のSSLを構成します。

BIEE証明書を使用するように、BIEEコンポーネントにアクセスするクライアントを構成する必要があります。次のコマンドを実行して証明書をエクスポートする必要があります。

<DomainHome>/bitools/bin/ssl.sh exportclientcerts <exportDir>

この項では、クライアント用のSSLを構成する方法について説明します。項目は次のとおりです。

- クライアント証明書のエクスポート

- BIスケジューラのSSLが有効化されている場合のSASchInvokeの使用

- Oracle BI Job Managerの構成

- Oracle BIプレゼンテーション・サービスへのオンライン・カタログ・マネージャの接続

- SSL経由で通信するためのOracle BI管理ツールの構成

- リモート・クライアント・アクセス用のODBC DSNの構成

- SSL経由で通信するためのOracle BI Publisherの構成

- 複数認証プロバイダ使用時のSSLの構成

クライアント証明書のエクスポート

これらの手順を使用して、クライアント証明書のエクスポート時に使用するパスフレーズを作成します。

パスフレーズを使用して、エクスポート証明書を保護します。各クライアントを構成する場合に使用するこのパスフレーズを忘れないようにしてください。

コマンドは、Javaクライアントが使用するJavaキーストアおよび非Javaクライアントが使用する個々の証明書ファイルをエクスポートします。証明書をリモート・マシンにより簡単に移動するため、エクスポートによってすべてのファイルが単一のzipファイルにパッケージ化されます。

1. 次のコマンドを実行します。

<DomainHome>/bitools/bin/ssl.sh exportclientcerts <exportDir>

2. プロンプトで新しいパスワードを入力します。

BIスケジューラのSSLが有効化されている場合のSASchInvokeの使用

BIスケジューラでSSL通信が有効化されている場合は、SASchInvokeコマンドライン・ユーティリティを使用してBIスケジューラを起動できます。

SASchInvokeツールはコマンドラインのジョブ起動ツールで、これを使用して既存のOracle BIスケジューラ・ジョブを実行できます。Oracle BIスケジューラの詳細は、Oracle BIスケジューラの概要に関する項を参照してください。

1. ./ssl.sh exportclientcertsコマンドを実行する際に使用したパスフレーズが単一の行に含まれる新しいテキスト・ファイルを作成します。

このファイルに保護するための正しく制限されたファイル権限があることを確認します。通常、所有者によってのみ読取り可能です。「クライアント証明書のエクスポート」を参照してください。

2. SASchInvokeツールを探します。

- Windows: <Domain_Home>/bitools/bin/saschinvoke.cmd

- UNIX: <Domain_Home>/bitools/bin/saschinvoke.sh

3. SASchInvokeコマンドを実行するには、次の構文を使用します。

SASchInvoke -u <Admin Name>  (-j <job id> | -i <iBot path>)
([-m <machine name>[:<port>]] | -p <primaryCCS>[:<port>] -s <secondaryCCS>[:<port>])
([(-r <replace parameter filename> | -a <append parameter filename>)]  | [-x <re-run instance id>])
[-l [-c <SSL certificate filename> -k <SSL certificate private key filename>] [ -w <SSL passphrase>  | -q <passphrase file>  | -y ]
[-h <SSL cipher list>]
[-v [-e <SSL verification depth>] -d <CA certificate directory> | -f <CA certificate file> [-t <SSL trusted peer DNs>] ] ]

where:
-a  File containing additional parameters.
-c  File containing SSL certificate. SSL certificate filename = clientcert.pem
-d  Certificate authority directory.
-e  SSL certificate verification depth.
-f  Certificate authority file.
-h  SSL cipher list
-i  Agent path
-j  Job id
-k  SSL certificate private key filename. SSL certificate private key filename = clientkey.pem
-l  Use SSL
-m  Machine name:port of scheduler.  Provides direct access to scheduler.
-p  Primary cluster controller name:port.  Provides access to clustered scheduler.
-q  Location of the passphrase file created in step 1 containing the SSL passphrase protecting SSL private key (see -k).
-r  File containing replacement parameters.
-s  Secondary cluster controller name:port.  Provides access to clustered scheduler.
-t  Distinguished names of trusted peers.
-u  Username
-v  Verify peer
-w  SSL passphrase protecting SSL private key (see -k).
-x  Rerun instance id.
-y  Interactively prompt for SSL passphrase protecting SSL private key (see -k).

4. このコマンドでは、管理者パスワードの入力を求められます。入力すると、SASchInvokeツールによって、BIスケジューラが、指定されたジョブを実行するようになります。

Oracle BI Job Managerの構成

SSLが有効化されているBIスケジューラに適切に接続するには、SSLを使用して通信を行うようにOracle BIジョブ・マネージャを構成する必要があります。

Oracle BIジョブ・マネージャはJavaベースのコンポーネントであり、これによって使用される鍵および証明書は、Javaキーストア・データベースに格納しておく必要があります。「クライアント証明書のエクスポート」を参照してください。

1. 「ファイル」メニューからOracle BIジョブ・マネージャを選択し、「スケジューラ接続を開く」を選択します。

2. 「Secure Socket Layer」セクションで、「SSL」チェック・ボックスを選択します。

3. サーバー設定のクライアント証明書の検証がfalse (一方向SSL)である場合、「キー・ストア」および「キー・ストア・パスワード」は空白のままにできます。これがデフォルトの設定です。

4. サーバー設定のクライアント証明書の検証がtrue (双方向SSL)である場合、「キー・ストア」および「キー・ストア・パスワード」を次のように設定する必要があります。

- キー・ストア=<exportclientcerts_directory>\identity.jks

- キー・ストア・パスワード =パスフレーズ。

5. セキュアなリンクを指定するには、サーバー証明書の検証を選択する必要があります。検証がなくても接続は有効ですが、サーバーを偽装する中間者攻撃を検出できません。

a. 「サーバー証明書の確認」チェック・ボックスを選択します。この項目を選択する場合は、トラスト・ストア・ファイルを指定する必要があります。このトラスト・ストアには、スケジューラ・サーバーの証明書を検証するCAが含まれます。

b. 「トラスト・ストア」テキスト・ボックスで、次にトラスト・ストアを設定します。
<exportclientcerts_directory>\internaltrust.jks

c. 「トラスト・ストア・パスワード」を「パスフレーズ」に設定します。

Oracle BIプレゼンテーション・サービスへのオンライン・カタログ・マネージャの接続

オンライン・カタログ・マネージャからOracle BIプレゼンテーション・サービスに接続するには、SSLサーバー証明書またはCA証明書のインポートが必要な場合があります。

Oracle Business IntelligenceのHTTP WebサーバーがSSLで有効になっている場合は、オンライン・カタログ・マネージャがOracle BIプレゼンテーション・サービスへの接続に失敗する可能性があります。Webサーバーから、システム変数JAVA_HOMEで指定されたJVMのJavaキーストアに、SSLサーバー証明書またはCA証明書をインポートする必要があります。

Javaトラスト・ストアのデフォルトのパスワードはchangeitです。

1. ORACLE_HOME/JAVA_HOME/jre/lib/securityにある、cacertsという名前のJavaのデフォルト・トラスト・ストアに移動します。

2. Javaのデフォルト・トラスト・ストアと同じ場所に、Webサーバーからエクスポートした証明書をコピーします。

3. 次のコマンドを実行して、デフォルト・トラスト・ストアに証明書をインポートします。

keytool -importcert -trustcacerts -alias bicert -file $WebServerCertFilename -keystore cacerts -storetype JKS

Webサーバー証明書ファイル$WebserverCertFilenameが、Javaのデフォルト・トラスト・ストアにbicertという別名でインポートされます。

たとえば、Oracle WebLogic Serverのデフォルトのデモ証明書を使用する場合は、証明書へのフルパスであるORACLE_HOME/wlserver/server/lib/CertGenCA.derを使用します。

4. セキュアなHTTPS URLを使用して、カタログ・マネージャを再起動します。

SSL経由で通信するためのOracle BI管理ツールの構成

SSLを使用するように構成されているOracle BIサーバーに適切に接続するには、Oracle BI管理ツールもSSL経由で通信するように構成する必要があります。

BIサーバーのデータ・ソースのデータ・ソース名(DSN)が必要です。

1. プレゼンテーション・サービスの管理ページに管理ユーザーとしてログインし、使用されているBIサーバーのデータ・ソースのDSNを確認します。

2. Oracle BIサーバーの「データ・ソース」フィールドを探します。

DSNがcoreapplication_OH<DSNnumber>という形式でリストされます。

3. 管理ツールで、「ファイル」→「開く」→「オンライン」の順に選択します。

4. リストからDSNを選択します。

5. リポジトリのユーザー名およびパスワードを入力します。

これで、管理ツールがSSLを使用してBIサーバーに接続されます。

リモート・クライアント・アクセス用のODBC DSNの構成

BIサーバーでリモート・クライアント・アクセスを有効化するためのODBC DSNを作成できます。

ODBC DSNのSSL通信を有効にするには、『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligenceと他のクライアントとの統合に関する項を参照してください。

SSL経由で通信するためのOracle BI Publisherの構成

SSLを使用してインターネット経由で安全に通信できるようにOracle BI Publisherを構成できます。

『Oracle Business Intelligence Publisher管理者ガイド』のSecure Socket Layer (SSL)通信用のBI Publisherの構成に関する項を参照してください。

SSL構成後、BI Publisherの動作が正常でなくなったら、HTTPSプロトコルとSSLポートを再構成することが必要になる場合があります。『Oracle Business Intelligence Publisher管理者ガイド』のOracle BIプレゼンテーション・サービスとの統合の構成に関する項を参照してください。

証明書の有効期限の確認

このタスクは、証明書が期限切れまたはまもなく期限切れになる場合に警告を示します。

実行中または停止中のシステムで、マスター・ホストからコマンドを実行する必要があります。

- 次のコマンドを実行して、証明書の有効期限を確認します。

<DomainHome>/bitools/bin/ssl.shの有効期限

事後状態:

- 認証局およびサーバー証明書の詳細な有効期限情報がリストされます。

- ssl.shコマンドは次のステータスを返します。

- 13 – 証明書の有効期限が切れている場合。

- 14 – 30日未満に証明書の有効期限が切れる場合。

- 0 – 証明書に30日を超える有効期限が残っている場合。

証明書の置換え

証明書の置換えにより、すべての証明書を新しい証明書に置き換えることができます。

次の場合に行う可能性があります。

- 既存の証明書の有効期限が切れているか、間もなく期限切れになる場合。
サーバー証明書とCA (信頼)証明書の両方で有効期限が定義されています。有効期限が切れると、それらの証明書を使用している接続が無効になります。

- 組織に構成アシスタントで指定されたデフォルトと異なる証明書の有効期限が必要なポリシーがあります。

- 既存の証明書およびキーのセキュリティが損われている場合。

前提:

- マスター・ホストからコマンドを実行します。

- これはオフライン操作です。

1. 内部BIEEまたはクライアント証明書を置き換えます。

再生成コマンドを使用する場合、既存のクライアント証明書を無効にするため、それらを再エクスポートする必要があります。

./ssl.sh regenerate
./ssl.sh exportclientcerts mydir

2. 次を使用してドメインを再起動します。

./start.sh

3. 次を使用してWebLogic証明書および対応する信頼が正しく構成されていることを確認します。

./ssl.sh report

事後状態

ドメインはSSLで実行され、新しい証明書を使用します。サーバーは古い信頼を使用してWebLogicインスタンスに接続されません。

ssl.sh expiryコマンドを実行して、新しい有効期限の新しい証明書をリストできます。

リスナー・アドレスの変更後の証明書の更新

デフォルト(空白)を置き換えるためのWebLogicコンソールの明示的なリスナー・アドレスの設定などのリスナー・アドレスの変更後に証明書を更新できます。

ssl.shスキャン・コマンドは、正しくない証明書の共通名のためにエラーを表示します。リスニング・アドレスと一致しない証明書のサーバーへの接続が拒否されます。

前提:

- マスター・ホストからコマンドを実行します。

- これはオフライン操作です。

1. 次を実行して証明書を更新します。

./ssl.sh rebindchannelcerts

2. 次を使用してドメインを再起動します。

./start.sh

3. 次を使用してWebLogic証明書および対応する信頼が正しく構成されていることを確認します。

./ssl.sh report

事後状態

ドメインはSSLで実行され、新しい証明書を使用します。新しい証明書は、既存の証明書と同じ有効期限があります。証明書が既存の内部認証局によって署名されるため、以前にエクスポートしたクライアントが引き続き有効です。

ssl.sh expiryコマンドを実行して、新しい有効期限の新しい証明書をリストできます。

新しいサーバーの追加

これらの手順に従って、新しいサーバーで同じ内部SSL構成を実現します。

前提:

- マスター・ホストからコマンドを実行します。

- これはオフライン操作です。

- 既存のサーバーをクローニングするか最初から作成して、1つ以上の新しいサーバーが作成されています。

1. 新規サーバーごとに、次を実行します。

./ssl.sh channel <new_bi_server> <port>

2. 次のコマンドは複数回実行できます。

./ssl.sh internalssl true

internalsslコマンドのエラー・メッセージに示されているようにチャネル・コマンドを実行します。

3. 次を使用してドメインを再起動します。

./start.sh

4. 次を使用してWebLogic証明書および対応する信頼が正しく構成されていることを確認します。

./ssl.sh report

事後状態

ドメインがSSLで実行され、すべてのWebLogic管理対象サーバーが内部SSLを使用します。サーバーがクローニングされた場合、クローニングされた内部チャネル・ポートがチャネル・コマンドで指定されたポートで置き換えられます。サーバーを最初から作成した場合、SSLを使用するために内部チャネルが作成および構成されます。

構成テンプレート構成済システムのSSLの有効化

このタスクは、WLSTを使用して構成されたシステムのBI構成アシスタントに示されているか、またはWebLogic構成アシスタントの構成テンプレートを直接適用した同じSSL内部チャネル構成を提供します。

前提:

- マスター・ホストからコマンドを実行します。

- これはオフライン操作です。

1. 次のコマンドを実行します。

<domain_home>/bitools/bin/ssl.sh regenerate <days>
<domain_home>/bitools/bin/ssl.sh targetapps bi_cluster

2. 新しいサーバーごとに次を実行します。

./ssl.sh channel <new_bi_server> <port>

3. 次のいずれかを行います:

- 次のコマンドを実行します。
./ssl.sh internalssl true

- ./ssl.sh internalssl trueを繰り返し実行して、internalsslコマンドのエラー・メッセージに示されているように<<other commands>>を実行します

4. ./start.shを使用してドメインを再起動します。

5. 次を使用してWebLogic証明書および対応する信頼が正しく構成されていることを確認します。

./ssl.sh report

事後状態

ドメインがSSLで実行され、すべてのWebLogic管理対象サーバーで内部SSLが使用されます。

Business Intelligenceの内部SSLを使用しない場合のSSLの有効化

SSLを内部で使用しないで外部ポートでSSLをサポートするには、内部チャネルを作成して内部通信を分離する必要があります。このタスクの手順を使用して、HTTPを使用するように構成された内部チャネルを作成します。

Oracle Business Intelligenceには、WebLogic管理対象サーバー内で実行しているJavaコンポーネントとの通信が必要なシステム・コンポーネントがあります。たとえば、ログイン時にOracle BIサーバーはBIセキュリティ・サービスをコールします。デフォルト構成テンプレートで構成されたシステムでは、通信リンクで外部WebLogicポートが使用されます。外部ポート用にHTTPSを使用するように、Oracle WebLogic Serverを構成できます。

外部ポートにHTTPSを使用するようにWebLogicを構成している場合、内部コンポーネントは必要な信頼設定なしでHTTPSポートに接続しようとします。この問題を回避するには、プライベート・チャネルを構成する必要があります。これらのプライベート・チャネルは外部WebLogicポートとは無関係であり、専用のポートおよび専用のプロトコル構成を使用します。

前提:

- マスター・ホストからコマンドを実行します。

- このタスクをオフライン操作として実行します。

- 次のいずれかを行います:

- オプションA: 次のコマンドを実行します。

<domain_home>/bitools/bin/ssl.sh regenerate <days>

証明書を再生成して、後続のチャネル・コマンドが機能するようにします。証明書は、後で方針を変更して内部SSLを有効にしないかぎり、使用されません。

<domain_home>/bitools/bin/ssl.sh targetapps bi_cluster

新規サーバーごとに、未使用のポートを使用して次を実行します。

./ssl.sh channel <new_bi_server> <port>

./ssl.sh internalssl false

- オプション: 問題の解決を促すinternalsslエラー・チェックを使用して、次のコマンドを繰り返し実行します。
./ssl.sh internalssl false

internalsslコマンドのエラー・メッセージに示されているように他のコマンドを実行します。

SSL暗号スイートの手動構成

デフォルトのSSL構成では、デフォルトの暗号スイートによるネゴシエーションを使用します。組織におけるセキュリティ標準ではデフォルト構成の使用が許容されない場合は、別の暗号スイートを使用するようにシステムを構成できます。SSLステータス・レポートから出力にデフォルトの選択を表示できます。

この高度なオプションには、構成ファイルの編集が含まれます。このファイル・タイプに対する構文上の規則を確認するように注意してください。

手動構成したSSL環境は、デフォルトのSSL構成と共存できます。

詳細は、『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Business Intelligenceシステム・コンポーネントの起動および停止に関する項を参照してください。

1. SSLを構成します。

2. 目的のJava暗号スイートを選択します。

3. 暗号スイートに一致するOpen SSLの暗号スイート名を作成します。

たとえば、SSL_RSA_WITH_RC4_128_SHAというJava暗号スイート名は、Open SSLではRSA+RC4+SHAにマップされます。

4. 次のbi-ssl.xmlファイルを編集します。

<DOMAIN_HOME>/config/fmwconfig/core/ssl/bi-ssl.xml

たとえば、次の子要素をJavaHost/Listener/SSL要素に追加します。

<EnabledCipherSuites>SSL_RSA_WITH_RC4_128_SHA</EnabledCipherSuites>

5. 次を使用して、Oracle Business Intelligenceコンポーネントを再起動します。

./start.sh

外部システムへのSSL接続の構成

外部システムへのSSL接続の構成に関するトピックは、これらのリンクを使用して参照できます。

- Fusion Middleware Controlの使用によるSMTPサーバーのSSLの構成

- 複数認証プロバイダ使用時のSSLの構成

Fusion Middleware Controlの使用によるSMTPサーバーのSSLの構成

このタスクを行うには、SMTPサーバー証明書を取得する必要があります。

1. Fusion Middleware Controlにログインします。

2. 「Business Intelligence概要」ページに移動します。

3. 「デプロイメント」ページの「メール」タブを表示します。

ページの「ヘルプ」ボタンをクリックして、要素に関するページレベルのヘルプを表示します。

4. 「構成をロックして編集」をクリックして、構成をロックします。

5. 「Secure Socket Layer (SSL)」の各フィールドを、次のように処理します。

- 接続セキュリティ: オプションを1つ選択します。他のフィールドは後でアクティブになる場合があります。

- CA証明書ソースの指定: 「ディレクトリ」または「ファイル」を選択します。

- CA証明書ディレクトリ: CA証明書を含むディレクトリを指定します。

- CA証明書ファイル: CA証明書のファイル名を指定します。

- SSL証明書検証の深さ: 証明書に適用する検証レベルを指定します。

- SSL暗号リスト: SMTPサーバーがサポートする暗号スイート名に一致する暗号のリストを指定します(たとえば、RSA+RC4+SHA)。

6. 「適用」,をクリックしてから、「変更のアクティブ化」をクリックします。

複数認証プロバイダ使用時のSSLの構成

複数の認証プロバイダを構成している場合に、SSL(一方向SSLのみ)で通信するLDAP認証プロバイダを追加構成するには、仮想化(libOVD)機能で使用される追加キーストアに、該当するLDAPサーバーのルート証明書を配置する必要があります。

次の手順で、環境変数ORACLE_HOME、WL_HOMEおよびJAVA_HOMEの値を設定します。

UNIXの場合の例:

- set ORACLE_HOME= orahome

- set WL_HOME=orahome/wlserver

- set JAVA_HOME=orahome/oracle_common/jdk

createKeystoreコマンドによってOVDキーストア・パスワードが作成されます。OVDキーストア・パスワードの値を入力する必要があります。

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のコンポーネントの起動および停止に関する項を参照してください。

このタスクを完了する前に、virtualizeというカスタム・プロパティを構成し、プロパティの値をtrueに設定する必要があります。「Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成」を参照してください。

1. -createKeystoreオプションを使用して、libovdconfig.sh (UNIXの場合)またはlibovdconfig.bat (Windowsの場合)を実行し、キーストアを設定します。

2. UNIXでシェル・プロンプトを開き、<OracleHome>/oracle_common/binディレクトリに移動します。

3. 次のようなコマンドを入力します。

./libovdconfig.sh -host <hostname> -port <Admin_Server_Port> -userName <BI Admin User> -domainPath <OracleHome>/user_projects/domains/bi -createKeystore

4. プロンプトで、Oracle Business Intelligence管理者のユーザー名とパスワードを入力します。

5. キーストア・ファイルを保護するためのOVDキーストア・パスワードにパスワードを入力します。

6. LDAPディレクトリからルート証明書をエクスポートします。

7. 次のkeytoolコマンドを使用して、ルート証明書をlibOVDキーストアにインポートします。

<OracleHome>/jdk/jre/bin/keytool -import -keystore <OracleHome>/user_projects/domains/bi/config/fmwconfig/ovd/default/adapters.jks -storepass <KeyStore password> -alias <alias of your choice> -file <Certificate filename>

8. WebLogic ServerプロセスとOracle Business Intelligenceプロセスを再起動します。

2つの新しい資格証明が資格証明ストアに表示され、adapters.jksという名前の新しいキーストア・ファイルが<OracleHome>/user_projects/domains/bi/config/fmwconfig/ovd/defaultに表示されます。

Oracle BI EE内部SSL使用のために予約されたWebLogicアーティファクト

次のWebLogicアーティファクトがOracle BI EE内部使用のために予約されています。

- 仮想ホスト:
bi_internal_virtualhost1

- チャネル(管理対象サーバーごと):
bi_internal_channel1

A レガシー・セキュリティ管理オプション

この付録は、アップグレードされたシステムとの下位互換性を維持するために含まれているレガシー・セキュリティ管理オプションについて説明するものであり、ベスト・プラクティスではありません。

- 軽量SSOおよびレガシー認証オプション

- レガシー認証オプション

- 代替認可オプション

注意:

どのユーザーに対しても、認証と認可の両方をOracle Fusion Middlewareのセキュリティ・モデルまたはレガシー・メカニズムを使用して実行する必要があります。2つを混合させることはできません。そのため、Oracle Fusion Middlewareセキュリティを使用して認証を実行し、その後で初期化ブロックを使用して認可を行うことはできません。

軽量SSOおよびレガシー認証オプション

セッション変数などのレガシー認証オプションを初期化ブロックで使用して、ユーザーIDおよびグループを取得する場合は、軽量SSOを無効にする必要があります。レガシー認証では、Oracle WebLogicを介してSSOを使用できません。

NQUserおよびNQPassword問合せパラメータを使用してSSOにログインしている場合は、前のログイン・ページに戻る必要がある場合があります。NQUserおよびNQPasswordログイン・パラメータは、Oracle BIプレゼンテーション・サービスのGo URLのオプション・パラメータとして使用されていました。NQUserおよびNQPasswordログイン・パラメータを引き続き使用する必要がある場合は、軽量SSOを無効にする必要があります。

軽量SSOは、Oracle BI EEリリース12.2.1.3.0にデフォルトで実装されています。ユーザーが従来のOracle BI EEとVisual Analyzerの間、または従来のホーム・ページと新しいホーム・ページの間を移動するときに、ログインを求めるプロンプトは表示されません。

NQUserおよびNQPasswordログイン・パラメータを引き続き使用するには、WLST disableSingleSignOnコマンドを使用して軽量SSOを無効にします。『Oracle Business Intelligence Enterprise Editionセキュリティ・ガイド』の「WLSTコマンドを使用したSSO認証の有効化および無効化」を参照してください。軽量SSOが無効になると、ユーザーはOracle BIセキュリティ・ログインにリダイレクトされます。

他のSSOオプションを現在の環境に実装できます。

レガシー認証オプション

下位互換性のため、Oracle Business Intelligenceの複数のレガシー認証オプションが引き続きサポートされます。

システムをアップグレードするためのベスト・プラクティスは、デフォルトのセキュリティ・モデルによって提供されるアイデンティティ・ストアおよび認証プロバイダを使用して、認証の実装を開始することです。組み込まれたディレクトリ・サーバーはインストールまたはアップグレード時にデフォルトのアイデンティティ・ストアおよび認証プロバイダとして構成され、すぐに使用できるようになります。

「Oracle Business Intelligenceのセキュリティの紹介」および「デフォルト・セキュリティ構成の理解」を参照してください。

認証とは、ログイン中に提供されたユーザー名およびパスワードによって、システムへのログインに必要な資格証明をユーザーが持っていることを保証するために確認するプロセスのことです。BIサーバーは、受け取った接続リクエストをそれぞれ認証します。このリリースでは、下位互換性を維持するためにBIサーバーによって次のレガシー認証方法がサポートされています。

- 外部LDAPベースのディレクトリ・サーバー

- 外部初期化ブロック認証

- 表ベース。

この項では、次の項目について説明します。

- 初期化ブロックの使用によるLDAP認証の設定

- 外部表認証の設定

- Oracle BIデリバーおよび外部初期化ブロックの認証について

- 認証の順序

- カスタム・オーセンティケータ・プラグインを使用する認証

- セッション変数の管理

- サーバー・セッションの管理

初期化ブロックの使用によるLDAP認証の設定

ユーザー資格証明を認証のために外部LDAPサーバーへ渡すようにOracle BIサーバーを設定できます。

レガシーのLDAP認証方法では、Oracle BI管理ツールで変数マネージャを使用して定義するOracle Business Intelligenceセッション変数を使用します。『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリの変数の使用に関する項を参照してください。

1. 次のようにLDAPサーバーを作成します。

a. 管理ツールで「管理」を選択してから「アイデンティティ」を選択し、Identity Managerを起動します。

b. Identity Managerの左ペインで「ディレクトリ・サーバー」を選択します。

c. Identity Managerの右ペインで右クリックし、新規LDAPサーバーを選択します。「LDAPサーバー」ダイアログが表示されます。

d. フィールドに値を入力してLDAPサーバーを作成します。

2. LDAP初期化ブロックを作成し、LDAPサーバーに関連付けます。

3. USERという名前のシステム変数を定義し、USER変数をLDAP属性に割り当てます(uid、sAMAccountName、cnなど)。
ユーザーがログオンしてセッションを開始するときに、セッション変数に値が入力されます。システム・セッション変数と呼ばれる特定のセッション変数には特別な用途があります。システム・セッション変数USERは認証とともに使用されます。

4. 該当する場合は、リポジトリ・ファイルからユーザーを削除します。

5. USERシステム変数をLDAP初期化ブロックに関連付けます。

注意:

鍵ファイル名とパスワードを設定し、管理ツールでLDAPパラメータの設定のテストが正常に完了し、その後、鍵ファイル名とパスワードを再び変更した場合、セキュアLDAPを使用するには、テストの前に管理ツールを再起動する必要があります。

LDAPサーバーの設定

認証方法としてActive Directoryサービス・インタフェース(ADSI)を使用するOracle Business Intelligenceのインスタンスについては、Active Directoryインスタンスを設定するときに、次のオプションを使用します。

- ログオン先ですべてのコンピュータを選択します。または一部のコンピュータを一覧表示する場合は、ログオン・ワークステーションとしてActive Directoryサーバーを含めます。

- 「ユーザーは次回ログオン時にパスワードの変更が必要」が選択されていないことを確認します。

管理ツールでは、LDAPサーバー・セクションでBIND DNに使用されるCNユーザーには、ldap_bindとldap_searchの両方の認可が必要です。

注意:

BIサーバーは、LDAP認証にクリアテキストのパスワードを使用します。LDAPサーバーがこれを許可するように設定されていることを確認してください。

1. オフライン・モードまたはオンライン・モードで、リポジトリを管理ツールで開きます。

2. Identity Managerで「アクション」を選択してから「新規作成」を選択し、「LDAPサーバー」を選択します。

3. 「LDAPサーバー」ダイアログの「一般」タブで、必要なフィールドに値を入力します。次に示すオプションと説明のリストに、LDAPサーバーを設定するのに役立つ情報が記載されています。

- 名前。この接続を識別するための名前(My LDAPなど)。

- ホスト名。LDAPサーバーの名前。

- ポート番号。デフォルトのLDAPポートは3060です。

- LDAPバージョン。LDAP 2またはLDAP 3(バージョン)。デフォルトはLDAP 3です。

- ベースDN。ベース識別名(DN)によって、認証検索の始点が識別されます。たとえば、ディレクトリのo=Oracle.comサブツリーの下にあるエントリをすべて検索する場合、o=Oracle.comがベースDNです。

- 「バインドDN」と「バインド・パスワード」。LDAPサーバーにバインドするために必要なオプションのDNおよびそれに関連付けられたユーザー・パスワード。
これらの2つのエントリが空白の場合、匿名バインドが想定されます。セキュリティ上の理由から、すべてのLDAPサーバーで匿名バインドが許可されるわけではありません。

これらのフィールドは、LDAP V3ではオプションですが、LDAP V2では匿名バインドはサポートされていないため、LDAP V2では必須です。

「ADSI」オプションを選択すると、これらのフィールドが必須になります。これらのフィールドを空白にしておくと、パスワードを空白にしておくかどうかを確認する警告メッセージが表示されます。「はい」をクリックすると、匿名バインドが使用されます。

- 接続テスト。LDAPサーバーへの接続をテストしてパラメータを検証するには、このボタンを使用します。

4. 「詳細設定」タブをクリックし、必要な情報を入力します。BIサーバーは、認証キャッシュをメモリーに維持することで、多数のユーザーを認証するためにLDAPを使用する場合にパフォーマンスを向上します。認証キャッシュを無効にすると、数百件のセッションを認証するときにパフォーマンスが低下する可能性があります。

次に示すフィールドと説明のリストに、LDAPサーバーを設定するのに役立つ追加情報が記載されています。

- 接続タイムアウト。BIサーバーがユーザー認証のためにLDAPサーバーに接続しようとしたときに、指定した間隔が経過した後に接続がタイムアウトします。

- ドメイン識別子(オプション)。一般的に、識別子は、LDAPオブジェクトが担当するドメインを一意に識別する1語です。複数のLDAPオブジェクトを使用するときには、これは特に役に立ちます。異なる2人のユーザーが同じユーザーIDを持っていて、それぞれが異なるLDAPサーバーにいる場合、それらを区別するためにドメイン識別子を指定できます。ユーザーは、次のフォーマットを使用して、BIサーバーにログインします。
domain_id/user_name

ユーザーがドメイン識別子を使用せずにユーザー名を入力すると、利用できるすべてのLDAPサーバーに照らし合せて順に認証されます。同じ名前を持つユーザーが複数ある場合、1つのユーザーだけを認証できます。

- ADSI。(Active Directoryサービス・インタフェース)ディレクトリ・サーバーの一種。「ADSI」オプションを選択するときは、「バインドDN」および「バインド・パスワード」は必須です。

- SSL。SSLを有効にするには、このオプションを選択します。

- 「ユーザー名属性タイプ」。このパラメータは、ユーザーを一意に識別します。多くの場合、これはRDNで使用される属性です(相対識別名)。一般的に、デフォルト値を受け入れます。ほとんどのLDAPサーバーでは、ユーザーIDを使用します。ADSIでは、sAMAccountNameを使用します。

LDAP認証でのUSERセッション変数の定義

初期化ブロックを使用してLDAP認証を設定するには、USERというシステム・セッション変数を定義して、LDAPサーバーに関連付けられているLDAP初期化ブロックにそれを関連付けます。

ユーザーがBIサーバーにログインすると、ユーザー名とパスワードが認証のためにLDAPサーバーに渡されます。ユーザーの認証に成功したら、LDAPサーバーによって返される情報からユーザーの他のセッション変数も入力できます。

注意:

レガシー方式を使用する外部LDAPサーバーと、Oracle Platform Security Servicesに基づいたLDAPベースのアイデンティティ・ストアの両方にユーザーが存在する場合は、アイデンティティ・ストアのユーザー定義が優先されます。Oracle Platform Security Servicesに対して認証が失敗すると、レガシーLDAP方式のみ試行されます。

この項の情報は、LDAP初期化ブロックが定義されているものと想定しています。

LDAPベースのアイデンティティ・ストアに定義されていないユーザーについては、定義されたシステム変数USERの存在によって外部認証が実行されることが決定されます。USERをLDAP初期化ブロックに関連付けることで、ユーザーがLDAPによって認証されることが決定されます。認証の他の形式を提供するには、外部データベースに関連付けられている初期化ブロックにUSER変数を関連付けます。

1. オフライン・モードまたはオンライン・モードで、リポジトリを管理ツールで開きます。

2. 管理ツールのメニューで「管理」を選択してから「変数」を選択します。

3. 左ペインで「セッション」および「初期化ブロック」を選択します。

4. 右ペインで右クリックし、「新規初期化ブロック」を選択します。

5. 「セッション変数 - 初期化」ダイアログ・ボックスの「名前」フィールドにAuthenticationと入力します。

6. 「データ・ソースの編集」をクリックします。

7. 「データ・ソース・タイプ」リストから「LDAPサーバー」を選択します。

8. リストを参照して適切なLDAPサーバーを選択します。

9. 「OK」をクリックします。

10. 「データ・ターゲットの編集」をクリックします。

11. 「新規」をクリックします。

12. 「名前」フィールドにUSERと入力します。

13. 「OK」をクリックします。

14. USERセッション変数の特別目的についての警告が表示されたら、「はい」をクリックします。

15. ユーザーIDを保持するLDAP属性を「マップ済変数」フィールドに入力します。

16. 「OK」をクリックします。

17. 「認証のために必要」チェック・ボックスを選択します。

18. 「OK」をクリックします。

ロギング・レベルの設定

LDAPサーバーによって認証されるユーザーのロギング・レベルを設定するには、システム変数LOGLEVELを使用します。

外部表認証の設定

外部データベース表にユーザーとパスワードのリストを維持し、この表を認証目的に使用することができます。

外部データベース表は、ユーザー名とパスワードを含み、Oracle BIプレゼンテーション・サービスのユーザーに使用するグループ・メンバーシップや表示名など、他の情報を含めることができます。また、表には、データを問い合せるときに各ユーザーのために使用する特定のデータベース・カタログまたはスキーマの名前を含めることもできます。

注意:

ユーザーが複数のグループに属している場合、セミコロンで区切ってグループ名を同じ列に含める必要があります。これは、グループまたはロールに対して行単位の変数を使用しない場合のみ適用されます。

外部表の認証は、管理ツールで変数マネージャを使用して定義するセッション変数を使用します。『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリの変数の使用に関する項を参照してください。

ユーザーがログオンしてセッションを開始するときに、セッション変数に値が入力されます。システム変数と呼ばれる特定のセッション変数には、特別の用途があります。変数USERは、外部表の認証とともに使用されるシステム変数です。

外部表の認証を設定するには、USERというシステム変数を定義して、外部データベース表に関連付けられている初期化ブロックに関連付けます。ユーザーがログインすると、ユーザーIDとパスワードは、認証のためにこのデータベース表に問い合せるSQLを使用して認証されます。初期化ブロックは、データベースに接続するために物理レイヤーでデータベース接続を使用します。物理レイヤーの接続には、ログイン情報が含まれています。ユーザーの認証に成功したら、このSQL問合せの結果からユーザーの他のセッション変数を入力できます。

定義されたシステム変数USERの存在によって、外部認証が実行されることが決定されます。外部データベース表の初期化ブロックにUSERを関連付けることによって、この表の情報を使用してユーザーが認証されることが決定されます。認証の他の形式を提供するには、LDAPサーバーまたはXMLソースに関連付けられている初期化ブロックに、USERシステム変数を関連付けます。「初期化ブロックの使用によるLDAP認証の設定」を参照してください。

1. 外部表に関する情報を物理レイヤーにインポートします。

2. 管理ツールで「管理」を選択してから「変数」を選択し、変数マネージャを起動します。

3. 左ペインで「初期化ブロック」を選択します。

4. 右ペインで右クリックし、「新規初期化ブロック」を選択します。

5. 「初期化ブロック」ダイアログ・ボックスでは、初期化ブロックの名前を入力します。

6. 「データ・ソース接続」リストで「データベース」を選択します。

7. 「参照」をクリックして、このブロックが使用する接続プールの名前を検索します。

8. 「初期化文字列」領域で、認証時に発行されるSQL文を入力します。

SQL文の列のデータベースによって返される値は、変数に割り当てられます。変数の順序および列の順序によって、どの列がどの変数に割り当てられるかが決定されます。次の例に示すSQLについて検討します。

SELECT username, grp_name, SalesRep, 2 FROM securitylogons WHERE username = ':USER' and pwd = ':PASSWORD'

このSQLには、WHERE句に2つの絞込み条件が含まれています。

- :USER(コロンに注意)は、ログオン時にユーザーが入力した名前と同じです。

- :PASSWORD(コロンに注意)は、ユーザーが入力したパスワードと同じです。

ユーザー名とパスワードが、指定された表で見つかった値に一致する場合のみ、問合せによってデータが返されます。

BIサーバー外でSQL文をテストし、:USERおよび:PASSWORDに有効な値を代入して、データの行が返されることを確認する必要があります。

9. この問合せによってデータが返されると、ユーザーは認証されて、セッション変数にデータが入力されます。この問合せは4つの列を返すため、4つのセッション変数が入力されます。「変数」タブの「新規」クリックして、これらの変数(USER、GROUP、DISPLAYNAMEおよびLOGLEVEL)を作成します。

変数が目的の順序になっていない場合は、並べ替える変数をクリックし、「上へ」ボタンと「下へ」ボタンを使用して移動します。

10. 「OK」をクリックして初期化ブロックを保存します。

Oracle BIデリバーおよび外部初期化ブロックの認証について

Oracle BIスケジューラ・サーバーは、パスワードにアクセスしたりパスワードを格納しないで、ユーザーのためにOracle BIデリバー・ジョブを実行します。

Oracle BIスケジューラは、偽装と呼ばれるプロセスを使用して、1つのユーザー名とパスワードを使用し、このユーザー名とパスワードには、他のユーザーの代理で操作できるOracle Business Intelligenceの管理権限が付与されています。Oracle BIスケジューラは、Oracle Business Intelligenceの管理者名とパスワードを使用してOracle BIプレゼンテーション・サービスにログオンすることによって、エージェントを起動します。

デリバーの場合は、1つの接続プールですべてのデータベース認証を実行する必要があります。接続プールはUSERシステム・セッション変数の初期化ブロックでのみ選択できます。この初期化ブロックは、通常、認証初期化ブロックと呼ばれます。偽装を使用するときは、この認証初期化ブロックはスキップされます。他のすべての初期化ブロックは、データベース認証を使用しない接続プールを使用する必要があります。

重要:

認証初期化ブロックは、:USERと:PASSWORDが物理データベースに渡される接続プールを使用できる唯一の初期化ブロックです。

他の初期化ブロックについては、SQL文に:USERと:PASSWORDを使用できます。ただし、Oracle BIスケジューラ・サーバーにはユーザー・パスワードが格納されないため、次の例に示すように、WHERE句を構築する必要があります。

SELECT username, groupname, dbname, schemaname FROM users
WHERE username=':USER'
NQS_PASSWORD_CLAUSE(and pwd=':PASSWORD')NQS_PASSWORD_CLAUSE

偽装を使用する場合、括弧内の情報はすべて実行時にSQL文から抽出されます。

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIデリバーに関する項の例を参照してください。

認証の順序

BIサーバーは、初期化ブロックに定義されている依存関係ルールで指定された希望する順序で、初期化ブロックを使用してセッション変数に値を移入します。

サーバーは、セッション変数USERを見つけると、USER変数が関連付けられている初期化ブロックの構成に基づいて、LDAPサーバーまたは外部データベース表に対する認証を実行します。

Oracle WebLogic Server管理コンソールで構成されたアイデンティティ・ストアに対する認証が最初に発生し、それが失敗すると、初期化ブロック認証が使用されます。

カスタム・オーセンティケータ・プラグインを使用する認証

初期化ブロックを使用して、カスタマイズされた認証モジュールを作成できます。

オーセンティケータは、顧客または開発者が記述したダイナミック・リンク・ライブラリ(DLL)、またはUNIXの共有オブジェクトであり、Oracle BIオーセンティケータのAPI仕様に準拠しています。このオーセンティケータをBIサーバーで使用して、実行時に認証およびその他のタスクを実行できます。認証モジュールは、キャッシュ・レイヤーを持つBIサーバー・モジュールであり、実行時にオーセンティケータを使用し、関連するタスクを実行します。

Oracle Technology Network (OTN)からダウンロードできるOracle BI EEサンプル・アプリケーションにサンプルのカスタム・オーセンティケータ・コードがあります。

認証オブジェクト(オーセンティケータ・プラグイン)を作成し、認証モジュールの一連のパラメータ(設定ファイル・パス、キャッシュ・エントリの数、キャッシュの有効期限など)を指定した後、認証オブジェクトを初期化ブロックに関連付ける必要があります。必須のUSER変数および他の変数を初期化ブロックに関連付けることができます。

ユーザーがログインし、認証に成功すると、初期化ブロックでの指定に従って変数のリストに値が移入されます。

カスタム・オーセンティケータは、カスタムCオーセンティケータ・プラグインを示すリポジトリのオブジェクトです。このオブジェクトは認証initブロックとともに使用され、BIサーバー・コンポーネントがカスタム・オーセンティケータに対してユーザーを認証できるようにします。認証で推奨される方式はOracle WebLogic Serverの組込みLDAPサーバーを使用する方式です。カスタム・オーセンティケータを引き続き使用できます。

1. 管理ツールで「管理」を選択してから「アイデンティティ」を選択します。ナビゲーション・ツリーで「カスタム認証システム」を選択します。次のオプションから選択します。

- 右ペインで右クリックし、新しいカスタム・オーセンティケータを選択して、新しいカスタム・オーセンティケータを作成します。

- 名前をダブルクリックして、カスタム・オーセンティケータを編集します。

2. 「カスタム認証システム」ダイアログで、必要なフィールドに値を入力します。

- 認証システム・プラグイン: このカスタム認証システムのプラグインDLLのパスと名前。

- 構成パラメータ: 構成のために明示的に公開されたこのカスタム認証システムのパラメータ。

- 暗号化パラメータ: パスワードなど、暗号化されたこのカスタム認証システムのパラメータ。

- キャッシュ永続時間: ログオンしたユーザーの認証キャッシュ・エントリが、このカスタム認証システムに対してリフレッシュされる間隔。

- キャッシュ・エントリ数: Oracle BIサーバーの起動時に事前割当てされる、このカスタム・オーセンティケータの認証キャッシュの最大エントリ数。ユーザー数がこの限度を超えると、LRUアルゴリズムを使用してキャッシュ・エントリの入替えが行われます。この値に0を指定すると認証キャッシュは無効になります。

3. 「OK」をクリックします。

セッション変数の管理

システム・セッション変数は、初期化ブロックから値を取得し、LDAPサーバーやデータベース表など、外部ソースに対してOracle Business Intelligenceユーザーを認証するために使用されます。

アクティブなBIサーバーのセッションはすべて、セッション変数を生成し、初期化します。各セッション変数インスタンスは、異なる値へと初期化できます。『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリの変数の使用に関する項を参照してください。

サーバー・セッションの管理

管理ツール・セッション・マネージャは、アクティビティを監視するためにオンライン・モードで使用されます。

セッション・マネージャには、セッションにログインしているすべてのユーザー、各ユーザーのすべての現在の問合せリクエスト、および変数および選択されたセッションに対するそれらの値が示されます。さらに、管理ユーザーは任意のユーザーを切断し、セッション・マネージャを使って任意の問合せリクエストを終了できます。

セッション・マネージャのデータがどれくらい頻繁にリフレッシュされるかは、システム上のアクティビティの数によって変わります。任意の時点で表示をリフレッシュするには、「リフレッシュ」をクリックします。

セッション・マネージャの使用

セッション・マネージャには、上部ペインと下部ペインがあります。

- 上部ペインである「セッション」ペインには、BIサーバーに現在ログインしているユーザーが表示されます。更新速度を制御するには、「更新速度」リストから「標準」、「高」、または「低」を選択します。表示がリフレッシュされないようにするには、「一時停止」を選択します。

- 下部ペインには、2つのタブがあります。

- 「リクエスト」タブには、「セッション」ペインで選択したユーザーのアクティブな問合せリクエストが表示されます。

- 「変数」タブには、変数、および選択したセッションに対するそれらの値が表示されます。列ヘッダーをクリックすると、データをソートできます。

次の表に、「セッション・マネージャ」ダイアログの列を示します。

列名

説明

クライアント・タイプ

サーバーに接続されているクライアントのタイプ。

最終アクティブ時間

セッションの最後のアクティビティのタイムスタンプ。

ログオン時間

セッションがBIサーバーに最初に接続した時刻を示すタイムスタンプ。

リポジトリ

セッションが接続されているリポジトリの論理名。

セッションID

セッションが開始されたときに、BIサーバーが各セッションを割り当てる一意の内部識別子。

ユーザー

接続されているユーザーの名前。

列名

説明

最終アクティブ時間

問合せに対する最後のアクティビティのタイムスタンプ。

リクエストID

問合せが開始されたときに、BIサーバーが各問合せを割り当てる一意の内部識別子。

セッションID

セッションが開始されたときに、BIサーバーが各セッションを割り当てる一意の内部識別子。

開始時間

個々の問合せリクエストの時間。

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリの変数の使用に関する項を参照してください。

1. 管理ツールで、オンライン・モードでリポジトリを開き、「管理」を選択してから「セッション」を選択します。

2. セッションを選択し、「変数」タブをクリックします。

3. ビューをリフレッシュするには、「リフレッシュ」をクリックします。

4. セッション・マネージャを閉じるには、「閉じる」をクリックします。

セッションからユーザーを切断するには、次の手順を実行します。

1. 管理ツールで、オンライン・モードでリポジトリを開き、「管理」を選択してから「セッション」を選択します。

2. セッション・マネージャの上部ペインでユーザーを選択します。

3. 「切断」をクリックします。
ユーザー・セッションは、セッションが管理ユーザーによって終了されたことを示すメッセージを受け取ります。現在実行されている問合せはただちに終了され、基礎となるデータベースへの未処理の問合せも取り消されます。

4. セッション・マネージャを閉じるには、「閉じる」をクリックします。

アクティブな問合せを終了するには、次の手順を実行します。

1. 管理ツールで、オンライン・モードでリポジトリを開き、「管理」を選択してから「セッション」を選択します。

2. セッション・マネージャの上部ペインで、問合せを開始したユーザー・セッションを選択します。

ユーザーを強調表示すると、そのユーザーのアクティブな問合せリクエストが下部ペインに表示されます。

3. 終了するリクエストを選択します。

4. 「リクエストの強制終了」をクリックして選択したリクエストを終了します。

ユーザーは、問合せが管理ユーザーによって終了されたことを示すメッセージを受け取ります。問合せはただちに終了し、基礎となるデータベースへの未処理の問合せは取り消されます。

他のリクエストを終了するには、このプロセスを繰り返します。

5. セッション・マネージャを閉じるには、「閉じる」をクリックします。

代替認可オプション

このリリースでは、下位互換性を維持するために、認証が初期化ブロックで行われる場合に初期化ブロックを使用してユーザーにアプリケーション・ロールのメンバーシップを設定する機能がサポートされています。

注意:

認証がOracle Platform Security Servicesで行われる場合、初期化ブロックを使用してアプリケーション・ロールのメンバーシップを設定することはできません。

この項では、次の項目について説明します。

- プレゼンテーション・サービスのセキュリティに影響する変更

- 初期化ブロックの使用による認可の設定

プレゼンテーション・サービスのセキュリティに影響する変更

以前のリリースからアップグレードした場合のベスト・プラクティスは、ポリシー・ストアに維持されているアプリケーション・ロールを使用して、カタログの権限およびカタログ・オブジェクトの管理を開始することです。

Oracle Business Intelligenceは、Oracle Fusion Middlewareセキュリティ・モデルを使用し、そのリソースはロールベースのシステムによって保護されます。これがユーザーのアップグレードにおいて重要であるのは、次のセキュリティ・モデルの変更がOracle BIプレゼンテーション・カタログの権限に影響するためです。

- 現在、認可はファイングレインJAAS権限に基づいています。ユーザーは、対応するアプリケーション・ロールのメンバーシップによって権限が付与されます。

- ユーザーとグループはアイデンティティ・ストアに維持され、BIサーバーには維持されなくなります。

- 権限はOracle BIプレゼンテーション・カタログに格納され続け、ポリシー・ストアの管理に使用する管理インタフェースからはアクセスできません。

- Everyoneカタログ・グループは利用できなくなり、AuthenticatedUserアプリケーション・ロールに置き換えられました。カタログ・グループEveryoneのメンバーは、アップグレード後に自動的にAuthenticatedUserロールのメンバーになります。

初期化ブロックの使用による認可の設定

これらの手順を使用して、初期化ブロックを使用してユーザーにアプリケーション・ロールのメンバーシップを設定します。

- ROLESまたはGROUPセッション変数を設定する初期化ブロックは、WebLogicセキュリティ・レルムで構成されたオーセンティケータによる認証にユーザーが失敗した場合のみ機能します。かわりに、ユーザーは、初期化ブロックを介して認証します。

- ROLESまたはGROUPの値を設定するように初期化ブロックを設定して、BIサーバーが両方の変数の値を同じにできるようにする必要があります。

- 初期化ブロックを使用してROLESまたはGROUPセッション変数を設定する場合は、Fusion Middleware Controlを使用して構成した1つ以上のアプリケーション・ロール(BIConsumerなど)に名前で一致するように、その変数の値を設定します。認証時、これらのアプリケーション・ロールと、そのロールに関連付けられている権限がユーザーに割り当てられます。

- 「Fusion Middleware Controlを使用したアプリケーション・ロールおよびアプリケーション・ポリシーの管理」を参照してください。

- 初期化ブロックを使用してROLESまたはGROUPセッション変数を設定する場合、前述のロジックを使用して、グループをアプリケーション・ロールに割り当てる処理が実行されます。この場合、グループをポリシー・ストアのアプリケーション・ロールに割り当てる処理は使用されません。

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリの変数の使用に関する項を参照してください。

1. オフライン・モードまたはオンライン・モードで、リポジトリを管理ツールで開きます。

2. 管理ツールのメニューで「管理」を選択してから「変数」を選択します。

3. 「セッション」 - 「初期化ブロック」を選択します。

4. 右ペインで右クリックし、「新規初期化ブロック」を選択します。

5. 「セッション変数」 - 「初期化」の「名前」フィールドに、Authorizationと入力します。

6. 「データ・ソースの編集」をクリックします。

7. 「データ・ソース・タイプ」リストから「データベース」を選択します。

8. 行単位の初期化が使用されない場合は、グループのリストまたは単一グループを返すSQL文を入力します。

9. 「参照」をクリックして、接続プールを選択します。

10. 「選択」をクリックします。

11. 「OK」をクリックします。

12. 「OK」をクリックします。

13. 「データ・ターゲットの編集」をクリックします。

14. 「新規」をクリックします。

15. 「名前」フィールドにROLESと入力します。

16. 「OK」をクリックします。

17. ROLESセッション変数の特別目的についての警告が表示されたら、「はい」をクリックします。

18. 「OK」をクリックします。

19. 「認証のために必要」チェック・ボックスの選択を解除します。

20. 「OK」をクリックします。

B デフォルト・セキュリティ構成の理解

システム・リソースへのアクセスを制御することは、ユーザーにログイン時に認証を求め(認証)、許可されたリソースだけにユーザーを制限することによって達成されます(認可)。セキュリティ・プロバイダを構成して、ユーザー・アイデンティティ、資格証明および権限付与を管理します。

この付録の内容は次のとおりです。

- Oracle Business Intelligenceのセキュリティについて

- セキュリティ・フレームワークについて

- 主なセキュリティ要素

- サンプル・アプリケーションを使用したセキュリティ構成

- グループおよびアプリケーション・ロールを使用したユーザーへの権限の付与

- インストール後の共通セキュリティ・タスク

注意:

この項のタスクを使用して、ポリシー・ストア・プロバイダ内の、Oracle Business Intelligenceプレゼンテーション・サービス権限などの権限を管理します。カタログの権限は、Oracle BIプレゼンテーション・カタログに保持されるため、別に処理されます。「プレゼンテーション・サービス権限の管理」を参照してください。

Oracle Business Intelligenceのセキュリティについて

Oracle Business Intelligenceのセキュリティは、システム・アクセス・セキュリティとデータ・アクセス・セキュリティの2つの領域に分けることができます

- システム・アクセス・セキュリティは、Oracle Business Intelligenceを構成するコンポーネントおよび機能へのアクセスを制御します。
システム・アクセス・セキュリティには、システムへのアクセスを認可されたユーザーに制限する方法、権限付与に基づいてソフトウェア・リソースを制御する方法、コンポーネント間で安全に通信する方法などのトピックが含まれます。

- データ・アクセス・セキュリティは、Oracle Business Intelligenceによって使用されるビジネス・ソース・データおよびメタデータへのアクセスを制御します。
データ・アクセス・セキュリティの詳細は、『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

セキュリティ・フレームワークについて

Oracle Fusion Middlewareセキュリティ・モデルは、Javaセキュリティ・モデルを組み込んだ、Oracle Fusion Middlewareプラットフォームに基づいています。

Javaモデルは、ロールベースの宣言モデルで、コンテナ管理のセキュリティを採用しているため、リソースは、ユーザーに割り当てられているロールによって保護されます。ただし、Oracle Fusion Middlewareセキュリティ・モデルを使用する際に、Javaベースのアーキテクチャに関する高度な知識は不要です。このセキュリティ・モデルに基づいているため、Oracle Business Intelligenceは、企業全体で均一なセキュリティとアイデンティティ管理を提供できます。

Oracle Business Intelligenceは、インストール時にOracle WebLogic Serverドメインにインストールされますが、これは、単位として管理される論理的に関連付けられたリソースのグループです。インストール時にbiという名前のOracle WebLogic Serverドメインが作成され、このドメインにOracle Business Intelligenceがインストールされます。この名前は、実行するインストール・タイプによって変わる可能性があります。各ドメインのOracle WebLogic Serverの1つのインスタンスは、管理サーバーとして構成されます。管理サーバーは、Oracle WebLogic Serverドメインを管理するための一元的な場所を提供します。管理サーバーは、管理コンソールをホストします。これは、管理サーバーへのネットワーク・アクセス権を持つ、サポートされているWebブラウザからアクセスできるWebアプリケーションです。Oracle Business Intelligenceでは、インストール先のOracle WebLogic Serverドメインに構成されているアクティブなセキュリティ・レルムを使用します。「Oracle WebLogic Server」を参照してください。

『Oracle Platform Security Servicesによるアプリケーションの保護』のOracle Platform Security Servicesの概要に関する項を参照してください。Oracle WebLogic Serverドメインおよびセキュリティ・レルムの詳細は、『Oracle WebLogic Serverセキュリティの理解』および『Oracle WebLogic Serverセキュリティの管理』を参照してください。

Oracle Platform Security Services

Oracle Platform Security Services (OPSS)は、Oracle Fusion Middlewareセキュリティ・フレームワークが構築されている基礎となるプラットフォームです。

Oracle Platform Security Servicesは標準ベースで、ロールベースのアクセス制御(RBAC)、Java Enterprise Edition (Java EE)およびOracle Application Server Java Authentication and Authorization Service (JAAS) Providerに準拠しています。Oracle Platform Security Servicesを使用すると、共有セキュリティ・フレームワークで、企業全体で均一なセキュリティとアイデンティティ管理を提供できます。

『Oracle Platform Security Servicesによるアプリケーションの保護』のOracle Platform Security Servicesの概要に関する項を参照してください。

Oracle WebLogic Server

Oracle WebLogic Server管理ドメインは、論理的に関連付けられたJavaコンポーネントのグループです。

ドメインには、管理サーバーと呼ばれる特別なWebLogic Serverインスタンスが含まれます。これは、ドメイン内のすべてのリソースを構成、管理する中心ポイントです。通常、ドメインは、管理対象サーバーという追加のWebLogic Serverインスタンスを含めるように構成します。Webアプリケーション、EJB、Webサービスおよびその他のリソースなどのJavaコンポーネントは管理対象サーバーにデプロイし、管理サーバーは構成と管理を行う目的でのみ使用します。

Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlは、管理サーバーで動作します。Oracle WebLogic Server管理コンソールは、Webベースの管理コンソールで、管理サーバー管理対象サーバーなど、Oracle WebLogic Serverドメインでのリソースの管理に使用します。Fusion Middleware Controlは、Oracle Business Intelligenceを構成するコンポーネントを含む、Oracle Fusion Middlewareの管理に使用されるWebベースの管理コンソールです。『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Business Intelligenceコンポーネントに関する項を参照してください。

Oracle Business Intelligence認証は、Oracle WebLogic Server認証プロバイダによって処理されます。認証プロバイダは、次の機能を実行します。

- ユーザーとシステム・プロセスのアイデンティティを確立します。

- アイデンティティ情報を送信します

Oracle Business Intelligenceは、インストール時に、ユーザーとグループのデフォルト認証プロバイダおよびリポジトリの両方としてOracle WebLogic Serverに組込みのディレクトリ・サーバーを使用するように構成されます。必要に応じて代替認証プロバイダを使用し、Oracle WebLogic Server管理コンソールで管理できます。「システム要件と動作保証」を参照してください。

主なセキュリティ要素

Oracle Fusion Middlewareセキュリティ・プラットフォームは、次の主な要素に応じて、企業全体で均一なセキュリティとアイデンティティ管理を提供します。

『Oracle Platform Security Servicesによるアプリケーションの保護』のOracle Platform Security Servicesの概要に関する項を参照してください。

Oracle Business Intelligenceでは、次のようなセキュリティ・プラットフォーム要素を使用します。

アプリケーション・ポリシー

「用語」を参照してください。

アプリケーション・ストライプでは、ポリシー・ストア内のポリシーのサブセットが定義されます。Oracle Business Intelligenceアプリケーション・ストライプの名前はobiです。

アプリケーション・ロール

たとえば、セールス・アナリストというアプリケーション・ロールを持っていると、会社のセールス・パイプラインに関連するレポートを表示、編集および作成するアクセス権をユーザーに付与できます。また、アプリケーション・ロールはコンテナでもあり、コンテナのメンバーに対して権限およびアクセス権を付与するために使用されます。メンバーがアプリケーション・ロールに割り当てられていると、そのアプリケーション・ロールがコンテナとなって、コンテナのメンバーにアクセス権を伝達するために使用されます。次に例を示します。

- Oracle Business Intelligence権限
これらの権限付与は、アプリケーション・ポリシーで定義されます。アプリケーション・ロールがポリシーに割り当てられると、その権限は、ポリシーとロールの関係を通じてアプリケーション・ロールに関連付けられます。ユーザーのグループがそのアプリケーション・ロールに割り当てられている場合は、対応する権限が順にすべてのメンバーに等しく付与されます。複数のユーザーやグループが同じアプリケーション・ロールのメンバーになることがあります。

- データ・アクセス権
アプリケーション・ロールは、リポジトリ・ファイル内のデータを表示および変更するアクセス権を制御するために使用できます。データ・フィルタは、ビジネス・モデルおよびマッピング・レイヤーとプレゼンテーション・レイヤーのオブジェクト・レベル権限を制御するために、アプリケーション・ロールに適用できます。『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

- プレゼンテーション・サービスのオブジェクトレベルのアクセス
アプリケーション・ロールは、Oracle BIプレゼンテーション・サービス内のレポートやその他のオブジェクトへのアクセス権を付与するために使用できます。「アプリケーション・ロールの使用によるPresentation Servicesの権限の管理」を参照してください。

認証プロバイダ

「認証について」を参照してください。

サンプル・アプリケーションを使用したセキュリティ構成

開発またはテスト環境で操作する場合、デフォルトのディレクトリ・サーバーおよびサンプル・アプリケーションの使用時に用意されるセキュリティ構成を使用すると便利です。ビジネスに固有のユーザー定義および資格証明を追加し、既存のアプリケーション・ロールおよび権限の付与をカスタマイズして要件を満たします。

認証、ポリシーおよび資格証明プロバイダが完全に構成され、ビジネスに固有のデータが移入されると、認証および認可時にOracle Business Intelligenceコンポーネントが必要とするすべてのユーザー、ポリシーおよび資格証明情報が提供されます。

組込みディレクトリ・サーバーおよびサンプル・アプリケーションを含むOracle BI EEセキュリティには、システムおよびデータ・リソースへの安全で制御されたアクセスを確実にするために統合されたセキュリティ・プロバイダが3つあります。次の手順に従って、インストール中にこれらのセキュリティ・プロバイダが構成されます。

- 「デフォルト認証プロバイダ」を参照してください。
認証プロバイダはDefaultAuthenticatorで、Oracle WebLogic Serverの組込みディレクトリ・サーバー(アイデンティティ・ストア)に対して認証します。デフォルトのアイデンティティ・ストアは、Oracle WebLogic Server管理コンソールを使用して管理されます。

- ポリシー・ストア・プロバイダ
ポリシー・ストア・プロバイダは、初期BI構成中に指定されたデータベースです。これには、アプリケーション・ロール定義とそれに対応するOracle Business Intelligence権限付与、およびグループとアプリケーション・ロールの間のマッピング定義が含まれています。アプリケーション・ロールにグループを割り当てると、対応する権限がグループのメンバーに伝達されます。デフォルトのポリシー・ストア・プロバイダはFusion Middleware Controlを使用して管理されます。

- 資格証明ストア・プロバイダ
資格証明ストア・プロバイダは、初期BI構成中に指定されたデータベースです。これには、提供またはシステム生成されたパスワードおよび他のセキュリティ関連の資格証明が含まれています。デフォルトの資格証明ストアはFusion Middleware Controlを使用して管理されます。

表に、セキュリティ・プロバイダおよびインストール後の初期状態の要約を示します。

セキュリティ・プロバイダ・タイプ

目的

デフォルト・プロバイダ

オプション

認証プロバイダ

認証の制御に使用。

- DefaultAuthenticatior。Oracle WebLogic Serverの組込みディレクトリ・サーバー(アイデンティティ・ストア)に格納されているユーザーおよびグループに対して認証します。

- Oracle WebLogic Serverの組込みディレクトリ・サーバーは、Oracle WebLogic Server管理コンソールで管理されます。

Oracle Business Intelligenceは、別の認証プロバイダおよびディレクトリ・サーバーを使用するように再構成できます。「システム要件と動作保証」を参照してください。

ポリシー・ストア・プロバイダ

- 認可の制御に使用。

- アプリケーション・ロール、アプリケーション・ポリシー、およびアプリケーション・ロールに割り当てられたメンバーの定義を含みます。

- データベース・スキーマに格納されます。

- Fusion Middleware Controlで管理されます。

Oracle Business Intelligenceは、Oracle Internet Directoryを使用するように構成できます。

資格証明ストア・プロバイダ

システム・パスワードおよび他のセキュリティ関連の資格証明を保持する信頼できるストア。ここで保存されたデータは、外部システムへの接続、リポジトリのオープン、またはSSLに使用されます。

- データベースに格納されます。

- Fusion Middleware Controlで管理されます。

Oracle Business Intelligenceは、Oracle Internet Directoryを使用するように構成できます。

図は、Oracle Business Intelligenceと認証プロバイダおよびポリシー・ストア・プロバイダの間の関係を示しています。

デフォルト認証プロバイダ

認証プロバイダは、ユーザーとグループの情報にアクセスし、ユーザーの認証を行います。

アイデンティティ・ストアには、Oracle Business Intelligenceのユーザー名、パスワードおよびグループ・メンバーシップ情報が含まれています。デフォルト・セキュリティ構成ではDefaultAuthenticatorという名前の認証プロバイダを使用して、Oracle WebLogic Serverの組込みディレクトリ・サーバーに対して認証します

ユーザーがユーザー名とパスワードを組み合せてシステムにログインすると、Oracle WebLogic Serverは、提供された組合せに基づいてアイデンティティを検証します。このプロセス中に、Javaプリンシパルが、認証を受けているユーザーまたはグループに割り当てられます。プリンシパルは1つ以上のユーザーまたはグループから構成でき、サブジェクトに格納されます。サブジェクトは、ID情報をグループ化し保持するために使用するJAAS要素です。

認証に成功すると、各プリンシパルは署名され、サブジェクトに格納されます。プログラム・コールがサブジェクトに格納されているプリンシパルにアクセスすると、デフォルトの認証プロバイダは、署名後にプリンシパルが変更されていないこと、およびプリンシパルがコールを発しているプログラムに返されることを検証します。たとえば、Oracle WebLogic Serverのデフォルト・オーセンティケータでは、ユーザーのプリンシパル(WLSUserPrincipal)とユーザーがメンバーとして属しているグループのプリンシパル(WLSGroupsPrincipals)が、サブジェクトに含まれています。インストールのデフォルト以外の認証プロバイダが構成されている場合は、ID情報の格納方法が異なる場合があるため、そのプロバイダのドキュメントを確認してください。

グループおよびメンバー

グループは、論理的に整理されたユーザーの集合です。同様のシステム・リソースへのアクセス・ニーズを持つグループのユーザーを作ることで、セキュリティ管理が容易になります。グループを管理することは、多数のユーザーを個々に管理するより効率的です。グループは次に、権利を付与するためにアプリケーション・ロールに割り当てられます。Oracleは、メンテナンスを容易に行うために、ユーザーをグループへとまとめることをお薦めします。

デフォルトのグループがBIのインストール中に作成されます。

デフォルトのユーザーとパスワード

BIデプロイメントを構成すると、WebLogicドメインが作成され、構成手順の一部として指定した単一のユーザーが移入されます。

- このユーザー名は構成を実行する人が入力し、任意の名前を指定できます。

- インストール時に入力されたパスワードは、アイデンティティ・ストア・プロバイダの管理インタフェースを使用して後で変更できます。

- BIサービス・インスタンスの構成中に、WebLogicドメイン管理者が自動的にサービス・インスタンスの所有者になり、BIServiceAdministratorやBIAdministratorなどの管理権限を付与するアプリケーション・ロールのメンバーになります。

ポリシー・ストア・プロバイダ

ポリシー・ストア・プロバイダには、Oracle Business Intelligenceアプリケーション固有のポリシー、アプリケーション・ロール、権限付与およびメンバーシップのマッピングが含まれています。

ポリシー・ストアは、データベース・ベースまたはLDAPベースにできます。Oracle Business Intelligenceのデフォルト・インストールでは、データベース・ベースのポリシー・ストアが提供されます。

カタログの権限は、ポリシー・ストア・プロバイダには保持されません。

すべてのOracle Business Intelligence権限および権限セットが提供されます。権限および権限セットを追加で作成することはできません。サンプル・アプリケーションに基づいてサービス・インスタンスを構成した場合、Oracle Business Intelligenceの共通のユーザー・タイプ(管理者、作成者およびコンシューマ)のアクセス要件に従ってこれらの権限セットが割り当てられるように、サンプル・アプリケーション・ポリシーおよびアプリケーション・ロールが事前構成されます。

サービス・インスタンスに11gアップグレード・バンドルをインポートした場合、11gの権限付与が、11gで使用できなかった新しい権限セットとともに使用されます。Fusion Middleware Controlを使用して権限付与を変更できます。

注意:

Fusion Middleware Controlでは権限セット付与の表示のみ可能です。権限セット付与を変更するにはWLSTコマンドを使用する必要があります。

グループおよびアプリケーション・ロールを使用したユーザーへの権限の付与

デフォルトのOracle Business Intelligenceセキュリティ構成では、関連する権限をグループ化した、事前構成済の権限セットが提供されます。

サンプル・アプリケーションまたは初期アプリケーションをサービス・インスタンスにインポートすると、事前構成済の権限セットが、サンプル・アプリケーションおよび初期アプリケーションに含まれるアプリケーション・ロールに付与されます。サービス・インスタンスに空のBARファイルをインポートする場合、WLSTコマンドを使用して、作成するアプリケーション・ロールに権限セットを割り当てる必要があります。アプリケーション・ロールはグループをメンバーとして持ち、権限はグループのメンバーシップを介してユーザーに継承されます。グループをアプリケーション・ロールに割り当てることで、ロールの権限がグループのすべてのメンバーに伝達されます。

権限は、次の関係を構築することで、Oracle Business Intelligenceアプリケーション・ロールを介して付与されます。

- グループによって、同様のシステム・アクセス要件を持つユーザーの組が定義されます。ユーザーは、必要なアクセスのレベルに従って1つ以上のグループにメンバーとして追加されます。

- アプリケーション・ロールは、Oracle Business Intelligenceを使用するときにユーザーが一般的に実行するロールを定義します。サンプル・アプリケーションのセキュリティ・ポリシーは次のロールを提供します: 管理者(BIServiceAdministrator)、作成者(BIContentAuthor)およびコンシューマ(BIConsumer)。

- グループは、各グループが必要とするアクセスのタイプに一致する1つ以上のアプリケーション・ロールに割り当てられます。

- アプリケーション・ポリシーは、各ロール・タイプに対応した一連のアクセス権を付与するOracle Business Intelligence権限を定義します。

- アプリケーション・ロールは、管理者、作成者、コンシューマなどのロール・タイプに必要な権限セットを付与するアプリケーション・ポリシーに割り当てられます。構成後は、アプリケーション・ロールはアプリケーション・ポリシーの権限受領者になります。

- グループ・メンバーシップは、グループ階層の性質によって継承できます。継承したグループに割り当てられているアプリケーション・ロールも継承され、それらの権限も同様に伝達されます。

ユーザー権限は、システムによって次のように決定されます。

1. ユーザーがログイン時にWebブラウザに資格証明を入力します。ユーザー資格証明は、アイデンティティ・ストアに含まれているデータに照らし合せて認証プロバイダによって認証されます。

2. 認証に成功したら、Javaサブジェクトとプリンシパルの組合せが発行され、ユーザー名とユーザーのグループが入力されます。

3. ユーザーのグループのリストがアプリケーション・ロールに照合されます。ユーザーのグループのそれぞれに割り当てられるアプリケーション・ロールのリストが作成されます。

4. 付与されるユーザー権限は、ユーザーがどのアプリケーション・ロールのメンバーであるかを把握することによって決定されます。グループのリストは、ユーザーがどのロールを持っているかを判断するためだけに生成され、他の目的には使用されません。

たとえば、Oracle BI管理ツールからオンライン・モードでリポジトリ・ファイルを開くには、関連する権限(oracle.bi.repositoryリソース・タイプのリソース・スコープを*とすることと、管理のアクション)が必要となります。サンプル・アプリケーションおよび初期アプリケーションのセキュリティ・ポリシーでは、権限はBIServiceAdministratorアプリケーション・ロールのメンバーシップによって付与されます。BIServiceAdministratorアプリケーション・ポリシーには、実際の権限付与定義が含まれます。BIServiceAdministratorアプリケーション・ポリシーには、関連する権限を含む権限セット付与が含まれます。Oracle Business Intelligenceインストールでは、(LDAP)グループは自動作成されません。環境内のユーザーにこの権限セットを伝達するには、適切なグループ(WebLogic LDAPまたはOracle Business Intelligenceを構成したアイデンティティ・ストア(ある場合)のBIAdministratorsグループなど)を作成し、そのユーザーをBIServiceAdministratorsグループに追加して、EM FMWコントロールまたはWLSTを使用してBIServiceAdministratorsグループをBIServiceAdministratorアプリケーション・ロールにマップします。オンライン・モードでリポジトリを管理する必要のあるすべてのユーザーは、各ユーザーに必要な権限を個々に付与するのではなく、このグループ(BIServiceAdministratorsなど)に追加する必要があります。ユーザーにリポジトリの管理権限が必要なくなれば、ユーザーをBIServiceAdministratorsグループから削除します。BIServiceAdministratorsグループから削除されたユーザーには、ロールのメンバーシップによって付与されたBIServiceAdministratorアプリケーション・ロールまたはリポジトリの管理権限がなくなります。

また、ユーザーは、グループ・メンバーシップおよびアプリケーション・ロールを継承することでも権限を取得できます。この処理を実行する方法の例については、「権限の継承とロールの階層」を参照してください。

権限の継承とロールの階層

Oracle Business Intelligenceでは、アプリケーション・ロールのメンバーにグループおよび他のアプリケーション・ロールを含めることができます。結果的に、明示的に付与することに加えて、権限を継承できる階層的なアプリケーション・ロール構造となります。

アプリケーション・ロールのメンバーであるグループは、アプリケーション・ロールの権限と、そのアプリケーション・ロールから派生したすべてのアプリケーション・ロールの権限が付与されます。アプリケーション・ロール階層の構成時には、循環依存が発生しないようにすることが重要です。

図は、アプリケーション・ロール間の関係と、どのように権限がメンバーに付与されるかを示しています。

図では、Oracle Business Intelligenceの複数のデフォルト・グループおよびアプリケーション・ロールを使用して、ロールの階層から権限が付与されています。サンプル・アプリケーションおよび初期アプリケーションでは、デフォルトのBIServiceAdministratorロールはBIContentAuthorロールのメンバーであり、BIContentAuthorロールはBIConsumerのメンバーです。結果として、BIServiceAdministratorアプリケーション・ロールのメンバーは、BIServiceAdministratorロール、BIContentAuthorロールおよびBIConsumerロールの権限をすべて付与されます。このため、アプリケーション・ロールにマップされた特定のグループのメンバーであるユーザーには、明示的な権限と任意の追加的な継承される権限の両方が付与されます。

注意:

グループおよびグループ階層では、アプリケーション・リソースへのアクセス権は提供されません。権限は、アプリケーション・ポリシーで定義されている権限セット付与によって伝達されます。ユーザー、グループまたはアプリケーション・ロールは、アプリケーション・ポリシーの権限受領者になります。アプリケーション・ポリシーの権限受領者によって権限が伝達されますが、これは、ユーザーなどの直接的な対応付けによって、またはグループやアプリケーション・ロールなどの権限受領者のメンバーになることによって、実行されます。

インストール後の共通セキュリティ・タスク

Oracle Business Intelligenceソフトウェアのインストールに成功した後に実行する共通のセキュリティ・タスクは、目的によって異なります。

Oracle Business Intelligenceをインストールする一般的な理由は次のとおりです。

- 製品の評価

- 製品の実装
通常、実装では、次の1つ以上の環境で製品を使用する製品ライフサイクルを経験します。

- 開発

- テスト

- 本番

Oracle Business Intelligenceを評価するための共通のセキュリティ・タスク

この表は、Oracle Business Intelligenceを評価するために実行する共通のセキュリティ・タスクを示し、追加情報へのリンクを提供しています。

タスク

説明

参照先

Oracle Fusion Middlewareのセキュリティ・モデルおよびOracle Business Intelligenceのデフォルトのセキュリティ構成を理解します。

インストールに成功した後、Oracle Fusion Middlewareのセキュリティ・モデルおよびOracle Business Intelligenceのデフォルトのセキュリティ構成の主な要素について理解します。

Oracle Business Intelligenceのセキュリティの紹介

サンプル・アプリケーションを使用したセキュリティ構成

Oracle Platform Security Servicesによるアプリケーションの保護

デフォルトのアイデンティティ・ストアにユーザーとグループを追加します。

Oracle WebLogic Server管理コンソールを使用して、組込みディレクトリ・サーバーに新しいユーザーおよびグループ定義を作成します。

組込みWebLogic LDAPサーバーにおける新規ユーザーの作成

Oracle WebLogic Server管理コンソール・オンライン・ヘルプ

新しいメンバーをアプリケーション・ロールに追加します。

BIConsumerなどのアプリケーション・ロールにメンバーとして新規のユーザーまたはグループを追加します。

Fusion Middleware Controlを使用したアプリケーション・ロールの変更

Oracle Platform Security Servicesによるアプリケーションの保護

既存のアプリケーション・ロールに基づいて新しいアプリケーション・ロールを作成します。

既存のアプリケーション・ロールに基づいて、コピーを行いそのコピーに名前を付けることによって新しいアプリケーション・ロールを作成します。

Fusion Middleware Controlの使用によるアプリケーション・ロールの作成と削除

Oracle Platform Security Servicesによるアプリケーションの保護

Oracle Business Intelligenceを実装するための共通のセキュリティ・タスク

この表は、Oracle Business Intelligenceを実装する際に実行する共通のセキュリティ・タスクを示し、追加情報へのリンクを提供しています。次のタスクは、「Oracle Business Intelligenceを評価するための共通のセキュリティ・タスク」に記載されているタスクに追加して実行します。

タスク

説明

参照先

認証プロバイダおよびアイデンティティ・ストアとしてエンタープライズ・ディレクトリ・サーバーを使用することへの遷移。

認証プロバイダおよびアイデンティティ・ストアになるようにエンタープライズ・ディレクトリ・サーバーを構成します。

代替認証プロバイダを使用するためのOracle Business Intelligenceの構成

レガシー・セキュリティ管理オプション

新しいアプリケーション・ロールを作成します。

新しいアプリケーション・ロールを作成し、ロールをアプリケーション・ポリシーの権限受領者にします。

Fusion Middleware Controlの使用によるアプリケーション・ロールの作成と削除

新しく作成したアプリケーション・ロールにグループを割り当てます。

グループ・メンバーに権限付与を伝達するために、新しく作成したアプリケーション・ロールにグループを割り当てます。

Fusion Middleware Controlを使用したアプリケーション・ロールの変更

SSLを使用するかどうかを決定します。

SSL通信を使用するかどうかを決定し、実装するための計画を考えます。

Oracle Business IntelligenceのSSLの構成

デプロイメントにおいてSSOプロバイダを使用するかどうかを決定します。

SSO認証を使用するかどうか決定し、実装する計画を考えます。

SSO認証の有効化

C Oracle Business Intelligenceにおけるセキュリティのトラブルシューティング

この付録では、Oracle Business Intelligenceのセキュリティの使用および構成時に発生する可能性のある一般的な問題と、それらの解決方法について説明します。

この付録の内容は次のとおりです。

- ユーザーのログイン認証が失敗する問題の解決

- アイデンティティ・ストアとの非一貫性の解決

- ポリシー・ストアとの非一貫性の解決

- SSL通信問題の解決

- カスタムSSO環境の問題の解決

- SSOを使用したRSSフィードの認証の解決

ユーザーのログイン認証が失敗する問題の解決

この項は、Oracle Business Intelligence Enterprise Edition 11gの使用時に発生する、ユーザーのログイン認証の失敗に関する最も一般的な問題の解決に役立ちます。考えられるすべてのシナリオを包括的に示すことを目的としているわけではありません。

この付録の内容は次のとおりです。

- 認証の概念
この項では、Oracle Business Intelligence Enterprise Editionにおける認証の基本的な概念について説明します。この項を使用する前提として、このガイド全体を通じて使用される概念について理解する必要があります。

- ユーザーのログイン認証が失敗する原因の特定
この項では、認証が失敗した原因を特定するためのチェックリストとして使用できる、原因と結果の図を提供します。

- ユーザーのログイン認証が失敗する問題の解決
この項では、ログイン認証が失敗する理由とその解決策を示します。

認証の概念

この項では、ログインに関する問題の解決に役立つ、認証の概念について説明します。

この項では、次の項目について説明します。

- インストール時のデフォルトの認証

- Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlの使用によるOracle Business Intelligenceの構成

- WebLogicドメインおよびログの場所

- WebLogic Server管理者ユーザー・アカウント

- Oracle Business Intelligenceのログインの概要

インストール時のデフォルトの認証

インストール直後、Oracle Business Intelligenceは、DefaultAuthenticatorを経由してWebLogic組込みLDAPサーバーに対してユーザーを認証するように構成されます。

インストール時に入力された資格証明を使用可能なWebLogic Server管理者ユーザー・アカウントなど、デフォルトのユーザー・アカウントが設定されています。

Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlの使用によるOracle Business Intelligenceの構成

Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlを使用して、Oracle Business Intelligenceを構成します。

「Oracle Business Intelligenceでセキュリティを構成するツールの使用」を参照してください。

Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlにログインする際は、インストール・プロセスで管理者ユーザーに指定したユーザー名とパスワードを使用する必要があります。ただし、そのアカウントを変更または削除した場合や、適切なアクセス権を持つ別のアカウントを構成した場合は除きます。「WebLogic Server管理者ユーザー・アカウント」を参照してください。

WebLogicドメインおよびログの場所

ユーザーのログイン認証に関する問題を診断および解決するには、WebLogicドメインおよびログ・ファイルの場所を知っておく必要があります。

これらのパスは、デフォルトのインストール場所を示しています。異なるインストール場所を指定した場合は、適宜パスを変更する必要があります。

- Oracle Business IntelligenceがインストールされるWebLogicドメイン
ORACLE_HOME/user_projects/domains/bi/

- WebLogic管理サーバーのログ ORACLE_HOME/user_projects/domains/bi/servers/AdminServer/logs/

- WebLogic管理対象サーバーのログ: ORACLE_HOME/user_projects/domains/bi/servers/bi_server1/logs/

- BIサーバーのログ: ORACLE_HOME/user_projects/domains/bi/servers/obis1/logs/

WebLogic Server管理者ユーザー・アカウント

WebLogic Server管理者ユーザー・アカウントを使用すると、WebLogic Serverを起動できます。また、Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlを使用してWebLogic Serverを管理することもできます。

WebLogic Server管理者アカウントの追加を可能にするには、WebLogic Server管理者アカウントに、Adminと呼ばれるWebLogic Serverグローバル・ロールが付与されている必要があります。WebLogic Server Adminロールは、Oracle Business Intelligenceアプリケーション・ロールではありません。

Oracle WebLogic Server管理コンソールを使用して、グローバルAdminロールに対してユーザーを追加または削除するには、次の手順を実行します。

「Oracle WebLogic Server管理コンソールの使用」を参照してください。

1. Oracle WebLogic Server管理コンソールにWebLogic Server管理者としてログインし、チェンジ・センターで「ロックして編集」をクリックします。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。

デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 最上部に並んだタブから「ロールとポリシー」を選択します。

4. ロールのリストでプラス記号をクリックして「グローバル・ロール」→「ロール」を展開し、Adminグローバル・ロールの「ロール条件の表示」リンクをクリックします。

5. 指定されている条件が、直接、または所属するグループに基づいて、ユーザーに一致することを確認します。

たとえば、User=myadminaccountやGroup=Administratorsなどの条件を使用できます。

6. 変更したら、「保存」をクリックします。

7. 「チェンジ・センター」で「変更のアクティブ化」をクリックします。

Oracle Business Intelligenceのログインの概要

ユーザーがシングル・サインオンを使用せずにOracle Business Intelligenceにログインするときに、認証およびユーザー・プロファイルの参照が行われます。

シングル・サインオン(SSO)環境では、Oracle Business Intelligenceシステムの外部で認証が実行され、かわりにアイデンティティがアサートされますが、ユーザー・プロファイルの参照は引き続き発生します。

認証とアイデンティティ・アサーションは、それぞれ認証プロバイダおよびアサーション・プロバイダによって実行され、Oracle WebLogic Server管理コンソールを使用して構成されます。電子メール、表示名、説明、言語などの様々な属性を取得するため、ユーザー・プロファイルがアイデンティティ・ストア内で参照されます。Oracle Business Intelligenceへの正常なログインには、最初に構成された認証プロバイダにユーザー移入が含まれていることが必要です。「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」を参照してください。

ログイン・プロセスでは、まずユーザーがログイン画面で資格証明を入力し、その資格証明がプレゼンテーション・サービス、BIサーバーの順に送信されます。BIサーバーでは、BI Security Web Service (WebLogic管理対象サーバーにデプロイされ、Webサービス・セキュリティのポリシーによって保護されます)を呼び出すことによって、ユーザー資格証明の認証が試行されます。この呼び出しでは、BIサーバーがOracle Web Services Managerに対してBIサーバーを認証することが要求されます。認証後、BIサーバーをBI Security Serviceで受信できるようになります。

ユーザーのログイン認証が失敗する原因の特定

この項は、Oracle Business Intelligenceへのログイン時に認証が失敗する原因を特定するのに役立ちます。

次の図は原因と結果の図です。これらを使用して、ユーザーのログイン認証が失敗する考えられる原因を特定できます。ユーザーのログイン識別が失敗する考えられる原因を特定したら、「ユーザーのログイン認証が失敗する問題の解決」を参照してください。

次の図に、ユーザーのログインが失敗する原因を示します(パート1)

前述の図の説明は、次のとおりです。

- オーセンティケータが正しく構成されていない。

- Oracle Business Intelligenceで認定されている正しいオーセンティケータがアイデンティティ・ストア用に構成されていることを確認します。

- ユーザーがOracle WebLogic Server管理コンソールに表示されていることを確認します。

- グループがOracle WebLogic Server管理コンソールに表示されていることを確認します。

- 適切な権限を持つユーザーがOracle WebLogic Server管理コンソールにログインできることを確認します。

- 認証プロバイダの順序および制御フラグが正しいことを確認します。

- オーセンティケータが正しく構成されていない(二次的な問題)。

- 構成の変更後にWebLogic Serverが再起動されていることを確認します。

- WebLogic Serverが起動しない場合は、WebLogic Server管理者ユーザーが正しくLDAPに移行していることを確認します。

- 指定した属性がLDAPストアにあるものと一致することを確認します。

- 名前指定によるフィルタの問合せが正しいことを確認します。

- ユーザーおよびグループ・ベースDNの設定が正しいことを確認します。

- LDAP接続に使用するアカウントが十分な権限を持っていることを確認します。

- 1人のユーザーのみが影響を受ける。

- 正しい資格証明が使用されていることを確認します。

- ユーザー・アカウントがロックされていない、または失効していないことを確認します。

- 通信障害が発生する。

- アイデンティティ・ストアが使用可能であることを確認します。

- すべてのBIシステム・プロセスが実行中であることを確認します。

- すべてのJEEアプリケーションが実行中であることを確認します。

次の図に、ユーザーのログインが失敗する原因を示します(パート2)

最初の図を使用してログインが失敗する原因を特定できなかった場合は、前述の図が、別の原因の特定に役立ちます。ただし、前述の図を使用した後も、引き続きログインが失敗する原因を特定できない場合は、次の場所からOracleサポートに連絡してください。

https://support.oracle.com

前述の図の説明は、次のとおりです。

- アイデンティティ・ストア・プロバイダ(OPSS)が正しく構成されていない。

- SQL認証プロバイダを使用している場合、アダプタが正しく構成されていることを確認します。

- ユーザー名に指定された属性が、WebLogicオーセンティケータのデフォルト値以外の値に設定されている場合、OPSSの構成が一致することを確認します。

- Oracle Business Intelligenceリリース11.1.1.5 (またはそれ以降)で、次の内容を確認します。

- 仮想化がtrueに設定されている。

- 制御フラグがOracle Business Intelligenceリリース11.1.1.3と同様に設定されている(次の箇条書きを参照)。

- Oracle Business Intelligenceリリース11.1.1.3で、BIシステム・ユーザーのユーザー移入を参照する認証プロバイダが、プロバイダのリストの先頭にある制御フラグであることを確認します。

- 構成の変更後にWebLogic Serverが再起動されることを確認します。

- Oracle Business Intelligenceリリース11.1.1.5 (またはそれ以降)で、仮想化がtrueに設定され、かつ、アイデンティティ・ストアでSSLが要求される場合は、仮想化が正しく構成されている必要があります。「複数認証プロバイダ使用時のSSLの構成」を参照してください。

- Oracle Web Services Managerでエラーが発生する。

- データベースが、インストール時に作成されたMDS-OWSMスキーマに接続されることを確認します。

- OWSMでOWSMリソースへのアクセスに使用される、OracleSystemUserアカウントが動作していることを確認します。

ユーザーのログイン認証が失敗する問題の解決

この項では、ユーザーのログイン認証の失敗について、およびその問題の解決方法を説明します。この項の内容は次のとおりです。

- Oracle Business Intelligenceに1人のユーザーがログインできない

- オーセンティケータが正しく構成されていないことが原因でOracle Business Intelligenceにユーザーがログインできない

- Oracle Web Services Managerが動作していないときにOracle Business Intelligenceにユーザーがログインできない

- Oracle Business Intelligenceにユーザーがログインできない - 外部アイデンティティ・ストアが正しく構成されているかどうか

- ユーザーが任意のパスワードまたはパスワードなしでログインできる

- デフォルト・オーセンティケータを削除した後にWebLogic Serverを起動できない

Oracle Business Intelligenceに1人のユーザーがログインできない

この項では、次の項目について説明します。

- ユーザー・エラーの結果としてログインが失敗したかどうか

- アカウントがロックされているかどうか

ユーザー・エラーの結果としてログインが失敗したかどうか

最初に確認することは、ユーザーがOracle Business Intelligenceにログインできない原因が、単純なエラーであるかどうかです。たとえば、ユーザーが正しくないパスワードを入力したことなどが考えられます。

他のユーザーはOracle Business Intelligenceにログインできるが、1人のユーザーがログインできない場合は、ユーザーの資格証明を確認します。「アカウントがロックされているかどうか」を参照してください。

アカウントがロックされているかどうか

多くのLDAP認証プロバイダでは、ログインの試行回数が指定されたしきい値を超えた場合、ユーザー・アカウントがロックされます。たとえば、ログインの試行が3回失敗したら、自動攻撃を受けないようアカウントがロックされる場合があります。

選択したアイデンティティ・ストアのドキュメントを参照し、ユーザー・アカウントのロックを解除する方法を確認します。たとえば、WebLogic Server組込みLDAPの使用時にロックされたユーザー・アカウントのロックを解除するには、『Oracle WebLogic Server Administration Consoleオンライン・ヘルプ』のユーザー・アカウントのロック解除に関する項を参照してください。

オーセンティケータが正しく構成されていないことが原因でOracle Business Intelligenceにユーザーがログインできない

認証が失敗する最も一般的な原因は、WebLogic Serverで認証プロバイダが正しく構成されていないことです。内容は次のとおりです。

注意:

「代替認証プロバイダの使用」に記載されている手順および概念を読み、それらを理解している必要があります。

- アイデンティティ・ストア/LDAPサーバーに正しいオーセンティケータを指定したかどうか

- LDAPサーバーのオーセンティケータが正しく構成されているかどうか

- オーセンティケータの制御フラグが正しく設定され順序付けられているかどうか

アイデンティティ・ストア/LDAPサーバーに正しいオーセンティケータを指定したかどうか

WebLogic Serverでは、組込みLDAP認証プロバイダに加えて、様々なサーバー固有の認証プロバイダが使用されます。

ただし、組込みLDAP認証プロバイダは、汎用的なLDAPサーバーではない一部LDAPサーバー製品に対しては問合せできない場合があります。たとえば、汎用LDAPサーバーは、Active Directory (AD)がLDAPを完全に実装していることが明らかで、正常にADをLDAPサーバーとして多くのLDAP問合せツールに提供している場合でも、ADと連携して動作しません。システムが使用するLDAPサーバーに基づいた適切な認証プロバイダを構成してください。

LDAPサーバーのオーセンティケータが正しく構成されているかどうか

プライマリ・アイデンティティ・ストアとして使用するLDAPサーバーの構成設定が正しく構成されていない場合は、ユーザーを正しく認証できません。いくつかの一般的なチェック項目は、次のとおりです。

- LDAP接続に使用するアカウント。
LDAP認証プロバイダに固有の構成で、LDAPサーバーへの接続に使用されるプリンシパルのDNを指定する必要があります。このアカウントが存在し、ユーザーまたはグループ・ベースDNに指定されたツリーからユーザーまたはグループ移入を取得する問合せを実行するのに十分な権限を持っている必要があります。制限付きのLDAP環境では、通常のユーザー・アカウントに付与される権限よりも上位の昇格した権限が必要になる場合があります。

- ユーザーおよびグループ・ベースDNが正しいことを確認します。
グループおよびユーザーは、どちらもユーザーまたはグループ・ベースDNによって指定されたツリー内で検索されます。指定されたツリーに、実際にユーザーまたはグループ移入が含まれていることを確認してください。

- 名前指定によるフィルタの問合せが正しいことを確認します。
グループおよびユーザーはベースDNに指定されたツリー内で検索します。これには、「名前指定によるユーザー・フィルタ」および「名前指定によるグループ・フィルタ」に指定された問合せが使用されます。%uは、特定ユーザーの問合せ時(認証時も含まれます)に渡されるユーザーIDのプレースホルダとして使用され、%gは、特定グループの問合せ時に渡されるグループ名のプレースホルダとして使用されます。問合せがディレクトリにとって構文的および論理的に正しいことを確認します。また、認証プロバイダの構成で指定した資格証明を使用して、それらの問合せをLDAPブラウザから実行できる(および予想どおりの結果が得られる)ことをテストします。

- 指定した属性がLDAPストアにあるものと一致することを確認します。
ユーザーおよびグループの属性やオブジェクト・クラスが、認証プロバイダの構成で指定されていることを確認します。必ずしも、認証プロバイダの事前構成済のデフォルト値を使用しなければならないわけではありません。たとえば、ユーザー名の属性に指定された値が存在すること、およびその値がサイト上のLDAPサーバーのユーザー名に使用されていることを確認する必要があります。

- WebLogic Server管理者ユーザーはLDAPに移行され、WebLogic Serverを起動できません。
WebLogic Server管理者ユーザーを組込みLDAPサーバーから別のLDAPサーバーに移行し、組込みLDAPサーバーからDefaultAuthenticatorも削除する場合、管理者ユーザーを認証する際、LDAPに依存するほかなくなります。LDAP認証プロバイダの構成が不適切だった場合、WebLogic Serverは起動しません。

- ユーザーがOracle WebLogic Server管理コンソールにログインできるか確認します。
WebLogic Serverの起動時に使用していた資格証明でOracle WebLogic Server管理コンソールにログインできる場合、次の方法で、他のLDAPユーザーがOracle WebLogic Server管理コンソールにログインできるか確認できます。

WebLogic ServerグローバルAdminロールをLDAPユーザーに付与し、そのユーザーがOracle WebLogic Server管理コンソールにURL (http://<biserver>:9501/console)を使用してログインできた場合、LDAPオーセンティケータは正しく構成されています。

注意:

このシナリオをテストするためにWebLogic ServerグローバルAdminロールを一時的にユーザーに付与した場合、その資格のないユーザーについては、テスト終了後、このロールを削除する必要があります。

LDAPユーザーがOracle Business Intelligenceにログインできない場合:

- ユーザーが格納されたアイデンティティ・ストアが、アイデンティティ・ストアとしてOPSSに公開されていることを確認します。オーセンティケータの順序および制御フラグに関する項(「オーセンティケータの制御フラグが正しく設定され順序付けられているかどうか」)を参照してください。

オーセンティケータの制御フラグが正しく設定され順序付けられているかどうか

プライマリ・アイデンティティ・ストアをオーセンティケータのリスト内の先頭項目として設定します。仮想化がtrueに設定されている場合、この制約はOracle Business Intelligenceリリース11.1.1.5 (またはそれ以降)には適用されません。

Oracle Business Intelligenceでは、Oracle Platform Security Services (OPSS)のユーザー・ロールApplication Programming Interface (API)が使用されます。このAPIでは、ユーザー、プロファイル情報、ロールをルックアップするときなど、オーセンティケータのリストの先頭にあるアイデンティティ・ストアのみが参照されます。認証が成功すると、ユーザーはOracle WebLogic Server管理コンソールにログインできますが、ユーザーが格納されているアイデンティティ・ストアがリストの先頭でないため、Oracle Business Intelligenceにログインすることはできません。

複数のオーセンティケータが構成されている場合、制御フラグをSUFFICIENTに設定すると、認証が成功するまで各オーセンティケータを試行できます。認証が成功すると、それ以降の認証プロバイダに対しては認証が試行されません。すべての認証プロバイダで、提供された資格証明を認証できなかった場合、認証プロセス全体が失敗します。

注意:

インストール時に、DefaultAuthenticatorはREQUIREDに設定されます。別のオーセンティケータを構成し、DefaultAuthenticatorを保持する場合は、DefaultAuthenticatorをSUFFICIENTまたはOPTIONALに設定します。SUFFICIENTが推奨設定です。

Oracle Web Services Managerが動作していないときにOracle Business Intelligenceにユーザーがログインできない

Oracle Web Services Manager (OWSM)によってBI Security Serviceが保護されるため、OWSMが動作していない場合、どのプログラムもBI Security Serviceを呼び出すことができず、この問題が解決されるまで認証は成功しません。

OWSMが失敗する一般的な原因は、次のとおりです。

- データベースに関する問題 - OWSMでポリシーを取得できない
インストール時に作成されたMDS-OWSMスキーマへの接続に関する問題です。

- OracleSystemUserに関する問題 - OWSMでポリシーを取得できない
OWSMでOWSMリソースへのアクセスに使用されるOracleSystemUserアカウントに関する問題です。

データベースに関する問題 - OWSMでポリシーを取得できない

Oracle Web Services Manager (OWSM)では、ポリシー定義を含むOWSMのメタデータが、MDSスキーマのOWSMサブセクションに格納されます。このメタデータへのアクセスには、インストール時に作成される、mds-owsmという接続プールが使用されます。スキーマへのアクセスに関する問題が発生した場合(たとえば、データベースが使用できない、正しくない資格証明がある、データベース・アカウントがロックされているなど)、Oracle Business Intelligenceの認証は失敗します。

管理対象サーバーの診断ログに、次のようなエラー・メッセージが記録されます。

[2011-06-28T14:59:27.903+01:00] [bi_server1] [ERROR] [] [oracle.wsm.policymanager.bean.util.PolicySetBuilder] [tid: RTD_Worker_2] [userId: <anonymous>] [ecid: de7dd0dc53f3d0ed:11d7f503:130d6771345:-8000-0000000000000003,0] [APP: OracleRTD#11.1.1] The policy referenced by URI "oracle/wss_username_token_client_policy" could not be retrieved as connection to Policy Manager cannot be established at "t3://biserver:9500,biserver:9704" due to invalid configuration or inactive state.

データ・ソースの接続プールを確立または作成できないことに関する複数のエラーが管理サーバーのログに記録される場合があります。

この問題を解決するには、次の内容を確認する必要があります。

- mds-owsmデータ・ソースに指定したデータベース・スキーマが使用できるかどうか。

- 正しい資格証明を指定したかどうか。

- それらの資格証明を使用して標準のデータベース・ツール(SQL Plus、Jdeveloper DBツールなど)でスキーマにアクセスできるかどうか。

- mds-owsmデータ・ソースが正しく構成されているかどうか。

これらの手順を使用して、MDS-OWSMデータ・ソースをテストします。

1. Oracle WebLogic Server管理コンソールにログインします。

2. 左ペインで「サービス」をクリックし、「データ・ソース」をクリックします。

3. 「構成」ページを表示し、「mds-owsm」をクリックします。

4. 「監視」タブを選択し、「テスト」ページを表示します。

5. サーバーを選択し、「データ・ソースのテスト」をクリックします。

これらの手順を使用して、MDS-OWSMデータ・ソースを構成します。

1. Oracle WebLogic Server管理コンソールにログインし、チェンジ・センターで「ロックして編集」をクリックします。

2. 左ペインで「サービス」 をクリックし、「データ・ソース」をクリックします。

3. 「構成」ページを表示し、「mds-owsm」をクリックします。

4. 「構成」タブを選択し、「接続プール」ページを表示します。

5. 適切な変更を構成します。

6. 「保存」 をクリックして変更を保存します。

7. 「チェンジ・センター」で「変更のアクティブ化」をクリックします。

8. WebLogic ServerおよびOracle Business Intelligenceコンポーネントを再起動します。

OracleSystemUserに関する問題 - OWSMでポリシーを取得できない

Oracle Web Services Manager (OWSM)では、デフォルトでポリシーの取得にOracleSystemUserアカウントが使用されます。このアカウントが見つからず認証できない場合や、このアカウントに正しいWebLogicグローバル・ロールが割り当てられていない場合、処理は失敗します。

管理対象サーバーの診断ログに、次のようなログ・メッセージが記録されます。

[2011-06-28T14:59:27.903+01:00] [bi_server1] [ERROR] [] [oracle.wsm.policymanager.bean.util.PolicySetBuilder] [tid: RTD_Worker_2] [userId: <anonymous>] [ecid: de7dd0dc53f3d0ed:11d7f503:130d6771345:-8000-0000000000000003,0] [APP: OracleRTD#11.1.1] The policy referenced by URI "oracle/wss_username_token_client_policy" could not be retrieved as connection to Policy Manager cannot be established at "t3://biserver:9500,biserver:9704" due to invalid configuration or inactive state.[[

OWSMがOracleSystemRole WebLogic Serverグローバル・ロールに含まれていないことが問題である場合、このエントリの後に、次のログ・エントリが記録されます。

java.rmi.AccessException: [EJB:010160]Security Violation: User: 'OracleSystemUser' has insufficient permission to access EJB: type=<ejb>, application=wsm-pm, module=wsm-pmserver-wls.jar, ejb=DocumentManager, method=retrieveDocuments, methodInterface=Remote, signature={java.lang.String,java.util.Map}.

OracleSystemUserがアイデンティティ・ストアにあるOracleSystemGroupグループのメンバーであること、およびグループにOracleSystemRole WebLogic Serverグローバル・ロールが割り当てられていることを確認する必要があります。「唯一のオーセンティケータとしてのOracle Internet Directory LDAP認証の構成」を参照してください。

OracleSystemUserアカウントを認証できないか、このアカウントが存在しない場合(たとえば、LDAPアイデンティティ・ストアに移行し、新しいOracleSystemUserアカウントを新しいアイデンティティ・ストアに作成することなくDefaultAuthenticatorを削除したため)、次のようなログ・エントリが記録されます。

Caused by: javax.security.auth.login.FailedLoginException: [Security:090304]Authentication Failed: User OracleSystemUser javax.security.auth.login.FailedLoginException: [Security:090302]Authentication Failed: User OracleSystemUser denied

: weblogic.security.providers.authentication.LDAPAtnLoginModuleImpl.login(LDAPAtnLoginModuleImpl.java:261)

このエラー・メッセージは、次のようないくつかの異なる問題の結果として発生します。

- DefaultAuthenticatorを削除し、そのかわりに使用している新しいアイデンティティ・ストアにOracleSystemUserというアカウントを作成していません。

- 新しいアイデンティティ・ストアのオーセンティケータを正しく構成していないことが原因で、OracleSystemUserアカウントが見つかりません。

- LDAPサーバーでOracleSystemUserアカウントがなんらかの原因でロックされているか無効になっています。

考えられるそれぞれの問題についてシステムを確認し、必要に応じてシステムを再構成および再起動した後、再試行します。

Oracle Business Intelligenceにユーザーがログインできない - 外部アイデンティティ・ストアが正しく構成されているかどうか

外部アイデンティティ・ストアをプライマリ・ユーザー移入として構成した場合は、プロバイダ構成の次の内容を確認します。

- プライマリ・ユーザー移入を参照する認証プロバイダは、プロバイダの中で最初に設定する必要があります(リリース11.1.1.5またはそれ以降を使用している、および仮想化がtrueに設定されている場合は除きます)。

- DefaultAuthenticatorが有効になっている場合は、DefaultAuthenticatorと、プライマリ・ユーザー移入を参照する認証プロバイダの両方がSUFFICIENTに設定されていることを確認します。

- username属性をデフォルト以外の値に設定した場合は、「アイデンティティ・ストアでのユーザーおよびグループ名属性の構成」の手順に従う必要があります。たとえば、OID認証プロバイダでは、UserName属性の値がcnであることを想定してデフォルト設定されますが、実際には多くの組織で、かわりに属性uidが使用されます。この場合、手順に従い、Fusion Middleware Controlのアイデンティティ・ストア構成で、username.attrおよびuser.login.attrをuidに設定します。

ユーザーが任意のパスワードまたはパスワードなしでログインできる

Oracle Business Intelligenceリリース10gでは、メタデータ・リポジトリを通じて認証が管理され、外部データベース表に対して認証する必要があるユーザーは、初期化ブロックの設定を使用し、その操作を実行できます。

この機能は引き続きOracle Business Intelligence 11gおよび12cでも提供され、残念ながら、発行された問合せによってユーザーのパスワードが確認されないよう、これらのブロックを構成できます。

たとえば、次の問合せ

SELECT USER_ID FROM USERS WHERE USER_ID = ':USER'

ユーザーIDのみが確認され、パスワードが正しいかどうかは確認されません。そのように初期化ブロックが構成されているシナリオでは、ユーザーは任意のパスワードを使用して、またはパスワードなしでログインできます。

このシナリオによって、一貫性がないように見えるなんらかの動作が発生することもあります。たとえば、ユーザーAおよびBがプライマリ・アイデンティティ・ストア(Oracle Internet Directory)内に存在するが、この項で説明した初期化ブロックによって参照されるデータベース内にも、ユーザーBが存在する場合が考えられます。ユーザーAおよびBが正しくないパスワードを使用してログインしようとすると、これらの両方がOIDに対する認証に失敗します。ただし、BIサーバーでは、各ユーザーの初期化ブロックの実行が試行されます。ユーザーAは失敗しますが、ユーザーBのログインは成功します。この理由は、ユーザーBのユーザー名がUSERS表のUSER_ID列にあり、初期化ブロックの問合せが、ユーザーのパスワードを確認しないにもかかわらず成功するためです。このようなシナリオは回避する必要があるため、このように動作する認証初期化ブロックを見つけた場合は、そのブロックを削除または変更する必要があります。

デフォルト・オーセンティケータを削除した後にWebLogic Serverを起動できない

WebLogic Serverを起動するには、WebLogic Serverの(Oracle Business Intelligenceではなく)グローバルAdminロールに関連付けられた管理者ユーザーの資格証明を使用する必要があります。

Oracle Business Intelligenceのインストール時、インストーラによって管理者ユーザー名とパスワードの入力が求められます。これらのユーザー名とパスワードは、組込みLDAPで作成され、DefaultAuthenticatorを通じてアクセスされます。組込みLDAPではなく外部LDAPアイデンティティ・ストアを使用するよう変更する必要がある場合は、外部ストアに新しいWebLogic Server管理ユーザーを作成し、そのユーザーにWebLogic ServerのグローバルAdminロールが割り当てられていることを確認してから、DefaultAuthenticatorを削除します。

ただし、これらの手順を実行した後で、WebLogic Serverの起動に使用するユーザーが格納されたアイデンティティ・ストアの認証プロバイダを正しく構成していない場合は、サーバーを起動できません。これを回避するには、DefaultAuthenticatorを削除する前に存在していた構成設定に戻します。

WebLogic BIドメインのデフォルトのドメイン・ホームは、インストール時に別の場所を指定しないかぎり、次の場所にあります。

ORACLE_HOME/user_projects/domains/bi/

このディレクトリには、すべての認証プロバイダなど、ドメイン全体の構成ファイルを含む構成ディレクトリが格納されます。構成設定を更新すると、メイン構成ファイルconfig.xmlのバックアップが作成されます。バックアップ・ファイルの名前は、backup_config.xmlから始まり、その後のリビジョンごとに番号が付けられます(backup_config7.xmlなど)。

問題が発生した場合に備えて、現在のconfig.xmlおよび最新のbackup_config XMLファイルをコピーしてください。構成をリストアするには、現在のconfig.xmlファイルを最新のbackup_config xmlファイルに置き換え、WebLogic ServerおよびすべてのOracle Business Intelligenceコンポーネントを再起動します。WebLogic Serverの再起動時に、DefaultAuthenticatorはリストアされます。

アイデンティティ・ストアとの非一貫性の解決

リポジトリ、Oracle BIプレゼンテーション・カタログ、アイデンティティ・ストアの間には非一貫性の問題が数多く生じることがあります。

次の各項では、これらが発生することのある通常の過程とその非一貫性の解決方法について説明します。

- アイデンティティ・ストアからユーザーが削除される

- アイデンティティ・ストアでユーザーの名前が変更される

- ユーザー名に関連付けられているグループがアイデンティティ・ストアに存在しない

アイデンティティ・ストアからユーザーが削除される

この情報を使用して、問題を特定および解決します。

動作

アイデンティティ・ストアからユーザーが削除されると、そのユーザーはOracle Business Intelligenceにログインできなくなります。ただし、削除されたユーザーへの参照は、管理者がそれらを削除するまでリポジトリ内に残ります。

原因

削除されたユーザーへの参照は引き続きリポジトリ内に残りますが、そのユーザーはOracle Business Intelligenceにログインできません。この動作により、ユーザーが不注意で削除され、アイデンティティ・ストアに再度作成された場合に、ユーザーのアクセス制御ルールを再入力する必要はありません。

処置

管理者は、オンライン・モードでOracle BI管理ツールの整合性チェッカを実行して、非一貫性を特定できます。

アイデンティティ・ストアでユーザーの名前が変更される

この情報を使用して、問題を特定および解決します。

動作

アイデンティティ・ストアでユーザーの名前が変更され、その後、そのユーザーが新しい名前でリポジトリにログインできません。

原因

これは、元の名前によるユーザーへの参照がリポジトリ内に残っている場合に発生することがあります。

処置

管理者は、BIサーバーを再起動するか、またはOracle BI管理ツールの整合性チェッカを実行してリポジトリを更新し、新しい名前によるユーザーへの参照を反映する必要があります。これが解決されると、Oracle BIプレゼンテーション・サービスは、このユーザーの次回ログイン時に新しいユーザー名を参照するようにOracle BIプレゼンテーション・カタログを更新します。

ユーザー名に関連付けられているグループがアイデンティティ・ストアに存在しない

この情報を使用して、問題を特定および解決します。

動作

ユーザー名に関連付けられているグループがアイデンティティ・ストアに存在しない場合、nqserver.logに次のエラーが記録されている可能性があります。

[2012-10-04T12:00:00.000+00:00] [OracleBIServerComponent] [ERROR:1] [] [][ecid: <ecidID>] [tid: d10] SecurityService::assertUserWithLanguage[OBI-SEC-00018] Identity found <GUID> but could not be asserted.

bi_server1-diagnostic.logまたは簡易インストールの場合にはadminserver-diagnostic.logで、実行コンテキストID (ECID)を探します。次のような警告が含まれている可能性があります。

[2012-10-04T12:00:00.314+02:00] [bi_server1] [WARNING] []
[oracle.jps.authentication] [tid: [ACTIVE].ExecuteThread: '2' for queue:
'weblogic.kernel.Default (self-tuning)'] [userId: OBISystemUser] [ecid:
<ecidID>] [WEBSERVICE_PORT.name: SecurityServicePort] [APP:
bimiddleware#11.1.1] [J2EE_MODULE.name: bimiddleware/security]

[WEBSERVICE.name: SecurityService] [J2EE_APP.name: bimiddleware_11.1.1]
javax.security.auth.login.FailedLoginException:

[Security:090305]Authentication Failed Getting Groups for User <UserID>
weblogic.management.utils.NotFoundException: [Security:090255]User or Group
<Groupname[[oracle.security.jps.internal.api.jaas.AssertionException:
javax.security.auth.login.FailedLoginException:
[Security:090305]Authentication Failed Getting Groups for User <UserID>
weblogic.management.utils.NotFoundException: [Security:090255]User or Group
<Groupname>
at
oracle.bi.security.subject.SubjectAsserter.assertUser(SubjectAsserter.java:85)
at
oracle.bi.security.service.URServiceBean.assertUserWithLanguage(URServiceBean.java:97)
at
oracle.bi.security.service.SecurityServiceBean.getGrantedRolesForUser(SecurityServiceBean.java:270)
at
oracle.bi.security.service.SecurityWebService$1GetGrantedRolesForUserAction.run(SecurityWebService.java:391)
at
oracle.bi.security.service.SecurityWebService$1GetGrantedRolesForUserAction.run(SecurityWebService.java:381)
at java.security.AccessController.doPrivileged(Native Method)
at
oracle.bi.security.service.SecurityWebService.getGrantedRolesForUser(SecurityWebService.java:397)
...
Caused by: javax.security.auth.login.FailedLoginException:
[Security:090305]Authentication Failed Getting Groups for User <UserID>
weblogic.management.utils.NotFoundException: [Security:090255]User or Group
<Groupname>

原因

ユーザー名に関連付けられているグループがアイデンティティ・ストアに存在しない場合に、この問題が発生する可能性があります。

処置

このユーザーに割り当てられているLDAPグループが存在し、かつ、このグループが、LDAPにアクセスするためにWebLogicが使用するプリンシパルによって読取り可能であることを確認してください。

ポリシー・ストアとの非一貫性の解決

Oracle BIプレゼンテーション・カタログとポリシー・ストアの間には、非一貫性の問題が数多く生じることがあります。

次の各項では、これらが発生することのある通常の過程とその非一貫性の解決方法について説明します。

- ポリシー・ストアからアプリケーション・ロールが削除される

- ポリシー・ストアでアプリケーション・ロールの名前が変更される

ポリシー・ストアからアプリケーション・ロールが削除される

この情報を使用して、問題を特定および解決します。

動作

オフライン・モードで操作しているとき、ポリシー・ストアからアプリケーション・ロールが削除された後、そのロール名は引き続きOracle BI管理ツールに表示されます。ただし、ロール名はプレゼンテーション・サービスに表示されなくなり、ユーザーには、削除されたロールに関連付けられた権限が付与されません。

原因

削除されたロール名への参照がリポジトリ内に残っていると、オフライン・モードで操作したときにロール名が管理ツールに表示されます。

処置

管理者は、オンライン・モードでOracle BI管理ツールの整合性チェッカを実行し、削除されたアプリケーション・ロール名に対するリポジトリ内の参照を削除します。

ポリシー・ストアでアプリケーション・ロールの名前が変更される

この情報を使用して、問題を特定および解決します。

動作

ポリシー・ストアでアプリケーション・ロールの名前が変更された後、オフライン・モードの管理ツールには新しい名前が表示されません。ただし、新しい名前は、プレゼンテーション・サービスと管理ツールのリストにただちに表示されます。ユーザーには、引き続き、ロールによって付与されている権限が表示されます。

原因

元のロール名への参照がリポジトリ内に残っていると、オフライン・モードで操作したときにロール名が管理ツールに表示されます。

処置

管理者はBIサーバーを再起動するか、管理ツールの整合性チェッカを実行し、リポジトリを更新して新しいロール名を反映します。

SSL通信問題の解決

この情報を使用して、問題を特定および解決します。

動作

通信エラー。プロセス(クライアント)が別のプロセス(サーバー)と通信できません。

処置

SSL通信問題が存在すると、通常はクライアントが通信エラーを表示します。エラーにはクライアントが拒否されたことのみが示され、それ以外の情報は示されません。サーバーのログ・ファイルで、対応する障害エラー・メッセージを調べてください。このログ・ファイルには通常、問題の詳細が記述されています。

動作

BIDomain MBean (oracle.biee.admin:type=BIDomain, group=Service)を使用してコミット操作を実行した後、次のエラー・メッセージが表示されます。

SEVERE: Element Type: DOMAIN, Element Id: null, Operation Result: VALIDATION_FAILED, Detail Message: SSL must be enabled on AdminServer before enabling on BI system; not set on server: AdminServer

処置

このメッセージは、Oracle WebLogic Server管理対象サーバーで、前提条件ステップであるSSLの有効化が行われていないことを示しています。「HTTPの無効化」を参照してください。

カスタムSSO環境の問題の解決

カスタムSSO環境を設定する際に問題が発生する場合があります。たとえば、Windowsネイティブ認証とActive DirectoryでSSOを設定する場合やSiteMinderでSSOを設定する場合などがあります。

次のMy Oracle Supportの記事ID 1287479.1および記事ID 1274953.1を参照してください。

https://support.oracle.com

SSOを使用したRSSフィードの認証の解決

Oracle BI EEのRSSフィードを読み取ろうとすると、SSOを使用したRSSリーダーの認証にトラブルが発生する場合があります。これは、Oracle SSOがそのRSSリーダーのリクエストをインターセプトする方法が原因です。この場合、Oracleはフィード・リーダー・アプリケーションを制御できません。

ただし、SSOがサポート可能なシナリオが2つあります。

- FirefoxのWizz RSSのようなブラウザベースのRSSリーダーを使用し、Firefoxを使用して、フィードにアクセスする前にSSOにログインします。

- Internet Explorerを使用するRSSリーダーでWindowsの統合認証を使用します。
FirefoxはWindows認証をサポートできるため、この場合でも使用可能です。

環境のデプロイメント戦略を検証する必要があります。

D ダッシュボードと分析のセキュリティの管理

この付録では、ダッシュボードと分析に対して、ユーザーが次のアクセス権のみを持つようなセキュリティの管理方法について説明します。

- Oracle BIプレゼンテーション・カタログ内で自分に該当するオブジェクトへのアクセス。

- 自分に該当する機能とタスクへのアクセス

- 自分に該当する保存済カスタマイズへのアクセス

この付録の内容は次のとおりです。

- Oracle BIプレゼンテーション・サービスのユーザーのセキュリティ管理

- Oracle BIプレゼンテーション・サービスの管理ページの使用

- Oracle BIプレゼンテーション・サービスのユーザーの権限およびパーミッションの判別

- ユーザーへの共有ダッシュボードの提供

- ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御

- 他のユーザーの代理実行の有効化

Oracle BIプレゼンテーション・サービスのユーザーのセキュリティ管理

システム管理者は、適切な操作の実行を許可されている認可されたユーザーにのみアクセスを付与することにより、管理機能を含むすべての機能を確実に保護するようにビジネス・インテリジェンス・システムを構成する必要があります。また、中間層の通信をすべて保護するようにシステムを構成する必要があります。

この概要の項の内容は次のとおりです。

- Oracle BIプレゼンテーション・サービスのセキュリティ設定

- Oracle BIプレゼンテーション・サービスのセキュリティの目標とは

- ユーザーへの権限の割当て方法

Oracle BIプレゼンテーション・サービスのセキュリティ設定

プレゼンテーション・サービスのユーザーに影響するセキュリティの設定は、次のOracle Business Intelligenceコンポーネントで実行します。

- Oracle BI管理ツールを使用して、次のタスクを実行します。

- ビジネス・モデル、表、列およびサブジェクト・エリアに対する権限の設定

- ユーザーごとのデータベース・アクセスの指定

- ユーザーがアクセス可能なデータを制限するためのフィルタの指定

- 認証オプションの設定。

- Oracle BIプレゼンテーション・サービス管理を使用して、ビューの編集、エージェントやプロンプトの作成などの機能にアクセスするための権限をユーザーに設定できます。

- Oracle BIプレゼンテーション・サービスを使用して、Oracle BIプレゼンテーション・カタログのオブジェクトに対する権限を割り当てることができます。
以前のリリースでは、プレゼンテーション・サービスの管理ページでオブジェクトに対する権限を割り当てることができました。このリリースでは、カタログ・マネージャ、またはプレゼンテーション・サービスの「カタログ」ページで権限を設定します。プレゼンテーション・サービスでの権限の割当て方法の詳細は、『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』を参照してください。

- カタログ・マネージャを使用して、Oracle BIプレゼンテーション・カタログのオブジェクトに対する権限を設定できます。『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・カタログの構成および管理に関する項を参照してください。

注意:

セキュリティ管理者は、Oracle BIアンサー内のサブジェクト・エリアのセキュリティ権限を編集しないようにレポート・ユーザーに通知する必要があります。セキュリティ管理者は、データのセキュリティを向上させる必要があります。

Oracle BIプレゼンテーション・サービスのセキュリティの目標とは

このトピックでは、Oracle BIプレゼンテーション・サービスでのセキュリティのガイドラインについて説明します。

プレゼンテーション・サービスでセキュリティを保持する場合は、次の点を保証する必要があります。

- プレゼンテーション・サービスにサインインしてアクセスできるのは、適切なユーザーのみです。BIサーバーを通じて、ユーザーにサインイン権限を割り当てて認証する必要があります。
認証は、ユーザー名とパスワードを使用して、ログオンしている人物を識別するプロセスです。その後、認証されたユーザーには、システム(この場合はプレゼンテーション・サービス)にアクセスするための適切な認可が与えられます。プレゼンテーション・サービスには専用の認証システムはなく、BIサーバーから継承した認証システムに依存しています。

プレゼンテーション・サービスにサインインしているすべてのユーザーに、AuthenticatedUserロールと、Fusion Middleware Controlで割り当てられたロールが付与されます。

認証の詳細は、「認証について」を参照してください。

- ユーザーは、自分に該当するオブジェクトにのみアクセスできます。『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』で説明されているとおり、アクセス制御は権限の形式で適用します。

- ユーザーは、自分に該当する機能にアクセスできます。ユーザー権限は権限の形式で適用します。権限の例には、システム全体の列書式の編集や「エージェントの作成」があります。
ユーザーは特定の権限を付与されるか、または拒否されます。これらの対応付けは、「プレゼンテーション・サービス権限の管理」で説明されているとおり、権限割当て表で作成されます。

Oracle Business Intelligenceは、Webサーバーでシングル・サインオン機能を使用するように構成できます。プレゼンテーション・サービスは、エンド・ユーザーに関する情報を取得するときにこの機能を使用できます。「SSO認証の有効化」を参照してください。

ユーザーへの権限の割当て方法

プレゼンテーション・サービスで権限を割り当てる場合は、次のいずれかの方法で割り当てることができます。

- アプリケーション・ロールに - これが、推奨される権限の割当て方法です。アプリケーション・ロールによって、ユーザーとその割当ての保守が簡単になります。アプリケーション・ロールでは、システムのアイデンティティ・ストアにそのロールを持つユーザーまたはグループに付与されるパーミッションのセットが定義されます。アプリケーション・ロールは、特定の条件に応じて割り当てられます。このため、アプリケーション・ロールは、認証が発生した時点の条件に基づいて動的に付与されます。
「アプリケーション・ロールについて」を参照してください。

- 個々のユーザーに - パーミッションと権限を特定のユーザーに付与できますが、そのような割当ての保守は難しいため、この方法は推奨されません。

Oracle BIプレゼンテーション・サービスの管理ページの使用

Oracle BIプレゼンテーション・サービスの管理ページを使用して、次の各項で説明されるタスクを実行できます。

- 管理ページの理解

- プレゼンテーション・サービス権限の管理

- プレゼンテーション・サービスでのセッションの管理

管理ページの理解

Oracle BIプレゼンテーション・サービスのメインの管理ページにはリンクが含まれていて、そこから、プレゼンテーション・サービスでユーザーに関連付けられた機能など、様々な機能を実行するための他の管理ページを表示できます。

右上隅の「ヘルプ」ボタンをクリックすると、これらのすべてのページに関する情報を取得できます。

注意:

複数のユーザーが管理ページへのアクセス権を持っている場合は、他のユーザーの変更を上書きしてしまう可能性があるため注意してください。ユーザーAとユーザーBの両方がプレゼンテーション・サービス管理の「権限の管理」ページにアクセスして変更しているとします。ユーザーBが権限を編集している間にユーザーAが同じ権限の更新を保存した場合、ユーザーBの変更内容は、ユーザーAが保存した変更内容によって上書きされてしまいます。

プレゼンテーション・サービス権限の管理

この項では、プレゼンテーション・サービスの権限について説明します。内容は次のとおりです。

- プレゼンテーション・サービスの権限とは

- プレゼンテーション・サービスのデフォルトの権限割当て

プレゼンテーション・サービスの権限とは

プレゼンテーション・サービスの権限は、プレゼンテーション・サービスの機能にアクセスするためにユーザーが保持する権利を制御します。権限は、権限割当て表を使用して、特定のアプリケーション・ロール、個々のユーザーおよびカタログ・グループに対して付与または拒否されます。

パーミッションと同様に、権限は、明示的に設定されるか、またはロールやグループ・メンバーシップを通じて継承されます。権限の明示的な拒否は、付与され継承されたいかなる権限より優先されます。たとえば、列計算式を編集する権限へのアクセスを明示的に拒否されたユーザーが、その権限を継承しているアプリケーション・ロールのメンバーである場合、そのユーザーは列計算式を編集できません。

最も一般的に権限が付与されるロールは、BIContentAuthorまたはBIConsumerです。これにより、ユーザーはプレゼンテーション・サービスの共通の機能にアクセスできます。

「アプリケーション・ロールに対するPresentation Servicesの権限の設定」を参照してください。

プレゼンテーション・サービスのデフォルトの権限割当て

デフォルトで付与されているアプリケーション・ロールの権限割当てを管理できます。

これらの権限は、Oracle Business Intelligenceインフラストラクチャに適用されます。組織がビルトイン・アプリケーションを使用している場合は、いくつかの権限が事前に構成されている場合があります。詳細は、特定のアプリケーションのドキュメントを参照してください。

KPI、KPIウォッチリストおよびKPI貢献ホイールを構築する際、またはOracle Scorecard and Strategy Management内では、特定のタスクを実行するには、一定の組合せの権限が必要になります。「KPI、KPIウォッチリストおよびスコアカード作成の権限の特定」を参照してください。

注意:

Oracle BI EE接続にSmartViewからログインするには、少なくとも次のOracle BIプレゼンテーション・サービス権限が必要です。

- SOAPにアクセス

- CatalogServiceサービスへのアクセス

- SecurityServiceサービスへのアクセス

- Oracle BI for Microsoft Officeへのアクセス

「共有カタログ」フォルダを開くアクセス権も必要です。

コンポーネント

権限

説明

デフォルトでこの権限が付与されているロール

詳細の参考資料または参照リンク

アクセス

ダッシュボードへのアクセス

ユーザーにダッシュボードの表示を許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードの概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

アクセス

アンサーへのアクセス

ユーザーに分析エディタへのアクセスを許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析の概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のビューでデータを表示および処理するための構成に関する項

アクセス

BIコンポーザへのアクセス

ユーザーにBIコンポーザ・ウィザードへのアクセスを許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のBIコンポーザの概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション設定の手動変更に関する項

アクセス

デリバーへのアクセス

ユーザーにエージェントの作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のエージェントへのアクセス制御の概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のエージェントの構成および管理に関する項

アクセス

ブリーフィング・ブックへのアクセス

ユーザーにブリーフィング・ブックの表示とダウンロードを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の新規または既存のブリーフィング・ブックへのコンテンツの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のPDFバージョンのブリーフィング・ブックの目次の変更に関する項

アクセス

モバイルへのアクセス

ユーザーにOracle Business Intelligence Mobileアプリケーションからプレゼンテーション・サービスへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

Oracle Business Intelligence Mobileユーザーズ・ガイドのOracle BI Mobileのスタート・ガイドに関する項

アクセス

管理へのアクセス

ユーザーにプレゼンテーション・サービスの管理ページへのアクセスを許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のアプリケーション・ロールおよびユーザーの構成に関する項

アクセス

セグメントへのアクセス

ユーザーにOracleのSiebel Marketingへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

Oracle Marketing Segmentationガイド

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のマーケティング・コンテンツ・サーバーへの接続の構成に関する項

アクセス

セグメント・ツリーへのアクセス

ユーザーにOracleのSiebel Marketing内のセグメント・ツリーへのアクセスを許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

Oracle Marketing Segmentationガイド

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のマーケティング・コンテンツ・サーバーへの接続の構成に関する項

アクセス

リスト・フォーマットへのアクセス

ユーザーにOracleのSiebel Marketing内のリスト・フォーマットへのアクセスを許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

Oracle Marketing Segmentationガイド

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のマーケティング・コンテンツ・サーバーへの接続の構成に関する項

アクセス

メタデータ・ディクショナリへのアクセス

ユーザーに、サブジェクト・エリア、フォルダ、列およびレベルのメタデータ・ディクショナリ情報へのアクセスを許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のメタデータ・ディクショナリ情報へのアクセスの提供に関する項

アクセス

Oracle BI for Microsoft Officeへのアクセス

「BIデスクトップ・ツールのダウンロード」リンクを「Oracle BI for MS Office」オプションとともに表示します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のMicrosoft Officeとの統合に関する項

「「Oracle BI for Microsoft Officeへのアクセス」権限」

アクセス

Oracle BIクライアント・インストーラへのアクセス

ユーザーにOracle BIクライアント・ツールのインストーラのダウンロードを許可します。このインストーラにより、Business Intelligence管理ツールとOracle Business Intelligenceジョブ・マネージャがインストールされます。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のBIデスクトップ・ツールのダウンロードに関する項

『Oracle Business Intelligenceのインストールと構成』のOracle Businessクライアント・ツールのインストールおよび削除に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Business Intelligenceを管理するシステム管理ツールに関する項

アクセス

カタログ・プレビュー・ペインUI

ユーザーに、各カタログ・オブジェクトの外観のプレビューを表示する、カタログ・プレビュー・ペインへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでのビューの外観のプレビューに関する項

アクセス

エクスポートへのアクセス

「エクスポート」リンクなど、すべてのエクスポート機能へのアクセスを許可します。

さらに、Excelへのダッシュボードのエクスポート機能へのアクセス、つまり、「ダッシュボード全体のエクスポート」オプションおよび「現在のページのエクスポート」オプションへのアクセスを許可する場合は、「ダッシュボード全体をExcelにエクスポート」権限と「1つのダッシュボード・ページをExcelにエクスポート」権限をそれぞれ設定することも必要になります。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の結果のエクスポートおよびコピーに関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のMicrosoft Officeとの統合に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のエクスポートの手動構成に関する項

アクセス

KPI Builderへのアクセス

ユーザーにKPIの作成を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のKPIの作成方法に関する項

「KPI、KPIウォッチリストおよびスコアカード作成の権限の特定」のKPIの表を参照してください

アクセス

スコアカードへのアクセス

ユーザーに、Oracle BIスコアカードへのアクセスと、KPIウォッチリストへのアクセスも許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアボードの作成方法に関する項

「KPI、KPIウォッチリストおよびスコアカード作成の権限の特定」のスコアボードの表を参照してください

アクション

ナビゲート・アクションの作成

ユーザーがアクション機能を使用できるかどうかを決定し、どのユーザー・タイプがアクションを作成できるかを指定する権限を設定します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の関連するコンテンツに移動するアクションに関する項

「Oracle BI Enterprise Editionアクションへのアクセス」

アクション

起動アクションの作成

ユーザーがアクション機能を使用できるかどうかを決定し、どのユーザー・タイプがアクションを作成できるかを指定する権限を設定します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の外部システムで操作、関数またはプロセスを起動するアクションに関する項

「Oracle BI Enterprise Editionアクションへのアクセス」

アクション

埋込みHTMLが含まれるアクションの保存

ユーザーにWebサービス・アクション結果のカスタマイズにHTMLコードを埋め込むことを許可します。

BIサービス管理者

この権限を有効にするには、instanceconfig.xmlでEnableSavingContentWithHTML要素をTrueに設定します。「EnableSavingContentWithHTML」および「プレゼンテーション・サービスに対する拡張構成の変更」を参照してください。

アクション

HTMLマークアップを含むコンテンツの保存

ユーザーにコンテンツにHTMLコードを埋め込むことを許可します。

BIサービス管理者

この権限を有効にするには、instanceconfig.xmlでEnableSavingContentWithHTML要素をTrueに設定します。「EnableSavingContentWithHTML」および「プレゼンテーション・サービスに対する拡張構成の変更」を参照してください。

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のアクションを作成できるユーザーに関する項

「Oracle BI Enterprise Editionアクションへのアクセス」

管理: カタログ

権限の変更

ユーザーにカタログ・オブジェクトの権限の変更を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

管理: カタログ

メンテナンス・モードへの切替え

「メンテナンス・モードへの切替え」リンクをプレゼンテーション・サービスの管理ページに表示します。これによって、ユーザーはメンテナンス・モードのオンとオフとを切り替えることができます。メンテナンス・モードではカタログは読取り専用になるため、いずれのユーザーも書込みできません。

BIサービス管理者

該当なし

管理: 一般

ログ構成の変更

この権限では、UIを使用してログ・レベルを変更できます。

BIサービス管理者

該当なし

管理: 一般

セッションの管理

プレゼンテーション・サービスの管理ページに「セッションの管理」リンクを表示します。このリンクは、ユーザーがセッションを管理できる「セッションの管理」ページを表示します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の2つのカタログ・モードの理解に関する項

管理: 一般

ダッシュボードの作成

ユーザーに、プロパティの編集を含め、ダッシュボードの作成と編集を許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードの作成と使用に関する項

管理: 一般

セッションIDの参照

ユーザーに「セッションの管理」ページでのセッションIDの参照を許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle BIプレゼンテーション・サービスのロギング・レベルの設定に関する項

管理: 一般

SQLの直接発行

プレゼンテーション・サービスの管理ページに「SQLの発行」リンクを表示します。このリンクは、ユーザーがSQL文を入力する「SQLの発行」ページを表示します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Edition論理SQLリファレンス・ガイド』のSQLの発行を使用したOracle BIサーバーのテストに関する項

管理: 一般

システム情報の表示

プレゼンテーション・サービスの管理ページの最上部に、システムに関する情報を表示することをユーザーに許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の診断およびパフォーマンス・モニタリングに関する項

管理: 一般

パフォーマンスのモニター

ユーザーにパフォーマンスのモニターを許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の診断およびパフォーマンス・モニタリングに関する項

管理: 一般

エージェント・セッションの管理

プレゼンテーション・サービスの管理ページに「エージェント・セッションの管理」リンクを表示します。このリンクは、ユーザーがエージェント・セッションを管理できる「エージェント・セッションの管理」ページを表示します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のアクティブなエージェント・セッションのモニタリングに関する項およびエージェントの構成と管理に関する項

管理: 一般

デバイス・タイプの管理

プレゼンテーション・サービスの管理ページに「デバイス・タイプの管理」リンクを表示します。このリンクは、ユーザーがエージェントのデバイス・タイプを管理できる「デバイス・タイプの管理」ページを表示します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のエージェントのデバイス・タイプの管理に関する項

管理: 一般

マップ・データの管理

プレゼンテーション・サービスの管理ページに「マップ・データの管理」リンクを表示します。このリンクは、ユーザーがマップ・ビューのレイヤー、背景マップおよびイメージを編集する「マップ・データの管理」ページを表示します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のマップの管理に関する項

管理: 一般

権限エラーの参照

ユーザーに権限エラー・メッセージの参照を許可します。ユーザーは、データベース接続に関する詳細なエラー・メッセージ、またはより低レベルのコンポーネントで障害が生じた場合はその他の詳細を参照できます。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle BIの問題の診断と解決に関する項

管理: 一般

エラーで発行されたSQLの参照

ユーザーに、エラー・メッセージでプレゼンテーション・サービスによって返されたSQL文の参照を許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle BIの問題の診断と解決に関する項

管理: 一般

グローバル変数の管理

ユーザーにグローバル変数の追加、更新および削除を許可します。グローバル変数は、分析の作成プロセスで作成されます。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のグローバル変数の概要に関する項

管理: 一般

マーケティング・ジョブの管理

プレゼンテーション・サービスの管理ページに「マーケティング・ジョブの管理」リンクを表示します。このリンクは、ユーザーがマーケティング・ジョブを管理できる「マーケティング・ジョブの管理」ページを表示します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

Oracle Marketing Segmentationガイド

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のマーケティング・コンテンツ・サーバーへの接続の構成に関する項

管理: 一般

マーケティング・デフォルトの管理

プレゼンテーション・サービスの管理ページに「マーケティング・デフォルトの管理」リンクを表示します。このリンクは、ユーザーがOracleのSiebel Marketingアプリケーションのデフォルトを管理できる「マーケティング・デフォルトの管理」ページを表示します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

Oracle Marketing Segmentationガイド

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のマーケティング・コンテンツ・サーバーへの接続の構成に関する項

管理: セキュリティ

カタログ・アカウントの管理

プレゼンテーション・サービスの管理ページに「カタログ・グループの管理」リンクを表示します。このリンクは、ユーザーがカタログ・グループを編集する「カタログ・グループの管理」ページを表示します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

管理: セキュリティ

権限の管理

プレゼンテーション・サービスの管理ページに「権限の管理」リンクを表示します。このリンクは、この表で説明されている権限をユーザーが管理する「権限の管理」ページを表示します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの所有権の割当てに関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

管理: セキュリティ

カタログ・オブジェクトの所有権の設定

ユーザーに、作成しなかったため所有権を持っていないカタログ項目の所有権を保持することを許可します。「プロパティ」ページで、個々のオブジェクトには「この項目の所有権を設定」リンクを表示し、フォルダには「この項目の所有権を設定」リンクを表示します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

管理: セキュリティ

ユーザー移入 - ユーザーをリスト可能

ユーザーに、権限の割当てなどのタスクの実行対象にできるユーザーのリストの参照を許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle WebLogic Server管理コンソールに関する項

管理: セキュリティ

ユーザー移入 - グループをリスト可能

ユーザーに、権限の割当てなどのタスクの実行対象にできるグループのリストの参照を許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle WebLogic Server管理コンソールに関する項

管理: セキュリティ

ユーザー移入 - アプリケーション・ロールをリスト可能

ユーザーに、権限の割当てなどのタスクの実行対象にできるアプリケーション・ロールのリストの参照を許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle WebLogic Server管理コンソールに関する項

管理: セキュリティ

「権限」ダイアログへのアクセス

カタログ・オブジェクに対する権限を設定できる「権限」ダイアログへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle WebLogic Server管理コンソールに関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

ブリーフィング・ブック

ブリーフィング・ブックに追加またはブリーフィング・ブックを編集

ダッシュボードのページや分析の「ブリーフィング・ブックに追加」リンクとブリーフィング・ブック内の「編集」リンクの参照を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のブリーフィング・ブックの使用に関する項

ブリーフィング・ブック

スナップショット・ブリーフィング・ブックに追加

スナップショットとしてブリーフィング・ブックへのコンテンツの追加を許可します。つまり、「ブリーフィング・ブックのコンテンツの保存」ダイアログおよび「ページのプロパティ」ダイアログで「コンテンツ・タイプ」の「スナップショット」オプションが使用可能になります。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の新規または既存のブリーフィング・ブックへのコンテンツの追加に関する項

ブリーフィング・ブック

ブリーフィング・ブックのダウンロード

ユーザーにブリーフィング・ブックのダウンロードを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のブリーフィング・ブックのダウンロードに関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のPDFバージョンのブリーフィング・ブックの目次の変更に関する項

カタログ

個人用ストレージ

ユーザーに、専用のMy Foldersフォルダへの書込みアクセス権を許可し、そこにコンテンツを作成できるようにします。この権限を持っていないユーザーは、電子メール・アラートは受信できますが、ダッシュボード・アラートは受信できません。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEオブジェクトを格納および管理する場所に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のテナントに対するカタログ・オブジェクトの保護に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

メタデータの再ロード

ユーザーに、「サブジェクト・エリア」ペインの「リフレッシュ」メニューでの「サーバー・メタデータの再ロード」リンクのクリックを許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のオンラインとオフラインのリポジトリ・モードの使用に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

非表示の項目の参照

ユーザーに、カタログ・フォルダ内の非表示項目の参照を許可します。ユーザーは、「カタログ」ページの「非表示項目の表示」ボックスも選択できます。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のプレゼンテーション・オブジェクトの表示モードの制御に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

フォルダの作成

ユーザーに、カタログ内でのフォルダの作成を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

カタログのアーカイブ

ユーザーにカタログ内のフォルダとオブジェクトのアーカイブを許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

カタログのアンアーカイブ

ユーザーに、以前にアーカイブされたカタログ・オブジェクトのアンアーカイブを許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

ファイルのアップロード

ユーザーに、既存のカタログへのファイルのアップロードを許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle Business Intelligence Add-in for Microsoft Officeを使用したMicrosoft Officeとの統合に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

グローバル検索の実行

ユーザーに基本カタログ検索を使用したカタログの検索を許可します。これは、デフォルトでOracle BI Enterprise Editionインストールに含まれています。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの検索方法に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Secure Enterprise Searchを使用した検索の構成に関する項

カタログ

拡張検索の実行

ユーザーに全文検索を使用したカタログの検索を許可します。全文検索を使用するには、管理者は、Oracle BI Enterprise EditionをOracle Secure Enterprise Searchと統合する必要があります。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの検索方法に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Secure Enterprise Searchを使用した検索の構成に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Secure Endeca Serverを使用した検索の構成に関する項

条件

条件の作成

ユーザーに、名前付きの条件の作成または編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の名前付きの条件の概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

ダッシュボード

カスタマイズの保存

ユーザーに、最もよく使用する項目や好みの項目を使用した現在の状態でダッシュボード・ページを保存し、後で表示することを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボード・ページの保存済カスタマイズの概要に関する項

ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御

ダッシュボード

デフォルト・カスタマイズの割当て

ユーザーに、最もよく使用する項目や好みの項目を使用した現在の状態でダッシュボード・ページを保存し、後で表示することを許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボード・ページの保存済カスタマイズの概要に関する項

ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御

ダッシュボード

ブックマーク・リンクの作成

ダッシュボード・ページで「ページ・オプション」メニューの「ブックマーク・リンクの作成」オプションを表示することにより、ブックマーク・リンクの作成を許可します。ただし、ブックマーク・リンクの作成機能が有効になっている場合のみです。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボード・ページへのリンクの作成の概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のダッシュボード・ページへのリンクを作成する機能の有効化に関する項

ダッシュボード

プロンプト・リンクの作成

ダッシュボード・ページで「ページ・オプション」メニューの「プロンプト・リンクの作成」オプションを表示することにより、プロンプト・リンクの作成を許可します。ただし、プロンプト・リンクの作成機能が有効になっている場合のみです。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボード・ページへのリンクの作成の概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のダッシュボード・ページへのリンクを作成する機能の有効化に関する項

ダッシュボード

ダッシュボード全体をExcelにエクスポート

ダッシュボード・ページで「ページ・オプション」メニューの「ダッシュボード全体のエクスポート」オプションを表示することにより、ダッシュボード全体のExcelへのダウンロードを許可します。

「エクスポートのアクセス権」権限も設定する必要があります。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の結果のエクスポートおよびコピーに関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のダッシュボード・ページをOracle BI Publisherにエクスポートする機能の有効化に関する項

ダッシュボード

1つのダッシュボード・ページをExcelにエクスポート

ダッシュボード・ページで「ページ・オプション」メニューの「現在のページのエクスポート」オプションを表示することにより、1つのダッシュボード・ページのExcelへのダウンロードを許可します。

「エクスポートのアクセス権」権限も設定する必要があります。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の結果のエクスポートおよびコピーに関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のダッシュボード・ページをOracle BI Publisherにエクスポートする機能の有効化に関する項

書式設定

システム全体の列書式の保存

ユーザーに、列の書式の指定時にシステム全体のデフォルトを保存することを許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の書式設定のデフォルトの保存に関する項

ホームおよびヘッダー

ホーム・ページにアクセス

ユーザーにグローバル・ヘッダーからホーム・ページへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEホーム・ページの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のホーム・ページに関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

カタログUIにアクセス

ユーザーにグローバル・ヘッダーからカタログへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

カタログ検索UIにアクセス

ユーザーにグローバル・ヘッダーから検索フィールドへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの検索方法に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

単純検索フィールド

ユーザーにグローバル・ヘッダーの「検索 」フィールドへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの検索方法に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

拡張検索リンク

ユーザーにグローバル・ヘッダーの「詳細」リンクへのアクセスをに許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの検索方法に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

メニューを開く

ユーザーにグローバル・ヘッダーから「開く」メニューへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

新規メニュー

ユーザーにグローバル・ヘッダーから「新規」メニューへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

ヘルプ・メニュー

ユーザーにグローバル・ヘッダーから「ヘルプ」メニューへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

ダッシュボード・メニュー

ユーザーにグローバル・ヘッダーから「ダッシュボード」メニューへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードのオープンと使用に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスに対する拡張構成の変更に関する項

ホームおよびヘッダー

お気に入りメニュー

ユーザーにグローバル・ヘッダーから「お気に入り」メニューへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のお気に入りの概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスに対する拡張構成の変更に関する項

ホームおよびヘッダー

マイ・アカウント・リンク

ユーザーに、グローバル・ヘッダーで「次としてサインイン」名をクリックした際に「マイ・アカウント」リンクにアクセスする権限を許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

カスタム・リンク

ユーザーに、管理者がグローバル・ヘッダーに追加したカスタム・リンクへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

マイ・アカウント

マイ・アカウントへのアクセス

ユーザーに「マイ・アカウント」ダイアログへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の他のユーザーの代理実行の概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

マイ・アカウント

プリファレンスの変更

ユーザーに、「マイ・アカウント」ダイアログの「プリファレンス」タブへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のプリファレンスの設定に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

マイ・アカウント

配信オプションの変更

ユーザーに、「マイ・アカウント」ダイアログの「配信オプション」タブへのアクセスを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のデバイスと配信プロファイルの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のプリファレンスの設定に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

アンサー

ビューの作成

ユーザーにビューの作成を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のビューの概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のビューでデータを表示および処理するための構成に関する項

アンサー

プロンプトの作成

ユーザーにプロンプトの作成を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードと分析でのプロンプトに関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプロンプトの構成に関する項

アンサー

「詳細」タブにアクセス

ユーザーに、分析エディタの「詳細設定」タブへのアクセスを許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析エディタの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析用の論理SQL文の検証に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の論理SQLリファレンスに関する項

アンサー

列式の編集

ユーザーに列式の編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析エディタの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析用の論理SQL文の検証に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の論理SQLリファレンスに関する項

アンサー

HTMLマークアップを含むコンテンツの保存

分析およびダッシュボードでのHTMLマークアップを許可し、さらにユーザーに、Oracle Scorecard and Strategy Managementでのミッション・ステートメントとビジョン・ステートメントの保存を許可します。

BIサービス管理者

「HTMLマークアップを含むコンテンツの保存」権限では、instanceconfig.xmlでEnableSavingContentWithHTML要素をTrueに設定する必要があります。

「EnableSavingContentWithHTML」および「プレゼンテーション・サービスに対する拡張構成の変更」を参照してください。

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のHTMLマークアップの使用に関する項

「「HTMLマークアップを含むコンテンツの保存」権限」

アンサー

XMLと論理SQLの入力

ユーザーに「高度なSQL」タブの使用を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析エディタの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析用の論理SQL文の検証に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の論理SQLリファレンスに関する項

アンサー

直接データベース分析の編集

ユーザーに、バックエンド・データ・ソースに直接送信されるリクエストの作成と編集を許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の直接データベース・リクエストの使用に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の直接リクエストの権限の設定に関する項

アンサー

単純SQLからの分析の作成

ユーザーに「サブジェクト・エリアの選択」リストでの「単純SQLからの分析の作成」オプションの選択を許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析用の論理SQL文の検証に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の論理SQLリファレンスに関する項

アンサー

拡張フィルタの作成と操作の設定

ユーザーに次のコンポーネントへのアクセスを許可します。

分析エディタの「基準」タブでの「論理和、論理積、および論理差の演算に基づいた結果を結合します。」ボタン。このオプションにより、ユーザーはUnionやIntersectなどの集合演算を使用して1つ以上のサブジェクト・エリアからの列を結合できます。

「新規フィルタ」ダイアログの「別の分析の結果に基づく」オプション。このオプションにより、ユーザーは保存済分析をフィルタとして使用できます。

「新規フィルタ」ダイアログの「このフィルタをSQLに変換する」オプション。このオプションにより、ユーザーは分析の列フィルタに対してSQL文を作成および編集できます。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の集合演算を使用した列の結合に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の保存済分析のフィルタとしての使用に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析の列フィルタに対するSQL文の作成および編集に関する項

アンサー

フィルタの保存

ユーザーにフィルタの保存を許可します。

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のインラインまたは名前付きでのフィルタの保存に関する項

アンサー

列の保存

ユーザーに、別の分析で再度使用するために、カタログへの列の保存を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のカタログへの列の保存に関する項

アンサー

EVALUATE_PREDICATE関数の追加

ユーザーに、EVALUATE_PREDICATE関数のインライン・フィルタへの追加を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のEVALUATE_PREDICATE関数の使用に関する項

アンサー

直接データベース分析の実行

ユーザーに、バックエンド・データ・ソースへのリクエストの直接発行を許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の直接データベース・リクエストの使用に関する項

アンサー

イメージのアップロード

この権限では、どの場所でイメージを選択しても、UIを使用してカスタム・イメージをアップロードできます。

BIコンテンツ作成者

該当なし

デリバー

エージェントの作成

ユーザーにエージェントの作成を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のエージェントの作成に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のエージェントの構成および管理に関する項

デリバー

エージェントの登録を公開

ユーザーに、エージェントの登録の公開を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のエージェントへのアクセス制御の概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のエージェントの構成および管理に関する項

デリバー

特定のユーザーまたは動的に決定されるユーザーにエージェントを配信

ユーザーに、エージェントの他のユーザーへの配信を許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のエージェントへのアクセス制御の概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のエージェントの構成および管理に関する項

デリバー

エージェントの結合

ユーザーにエージェントの結合を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のエージェントへのアクセス制御の概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のエージェントの構成および管理に関する項

デリバー

エージェントの現在の登録の変更

ユーザーに、ユーザーの登録解除を含め、エージェントの現在の登録の変更を許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のエージェントへのアクセス制御の概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のエージェントの構成および管理に関する項

代理

代理として実行

ユーザーに、他のユーザーのプロキシ・ユーザーとして実行することを許可します。

拒否: BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の他のユーザーの代理実行に関する項

他のユーザーの代理実行の有効化

RSSフィード

RSSフィードへのアクセス

ユーザーに、アラートとフォルダのコンテンツを伴うRSSフィードへの登録と受信を許可します。

プレゼンテーション・サービスがHTTPSプロトコルを使用している場合は、使用するRSSリーダーもHTTPSプロトコルをサポートしている必要があります。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のアラートに対するRSSフィードへの登録に関する項

スコアカード

スコアカードの作成/編集

ユーザーにスコアカードの作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアボードの作成方法に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアボードの権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecard and Strategy Managementのためのリポジトリの構成に関する項

KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

スコアカード

スコアカードの表示

ユーザーにスコアカードの表示を許可します。ユーザーは、KPIウォッチリスト・エディタにアクセスして、KPIウォッチリストの表示または編集のいずれかを行う場合、この権限か、「スコアカード - スコアカードの作成/編集」権限を必要とします。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアボードの作成方法に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアボードの権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecard and Strategy Managementのためのリポジトリの構成に関する項

KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

スコアカード

目標の作成/編集

ユーザーに目標の作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の目標の作成に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアボードの権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecard and Strategy Managementのためのリポジトリの構成に関する項

KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

スコアカード

イニシアチブの作成/編集

ユーザーにイニシアティブの作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のイニシアチブの作成に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアボードの権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecard and Strategy Managementのためのリポジトリの構成に関する項

KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

スコアカード

ビューの作成

ユーザーに、企業戦略を提示および分析するスコアカード・オブジェクト(ビジョン記述書およびミッション記述書、戦略マップ、原因/結果マップなど)の作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカード・オブジェクトの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアボードの権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecard and Strategy Managementのためのリポジトリの構成に関する項

KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

スコアカード

原因と結果関連の作成/編集

ユーザーに、原因と結果関連の作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の原因と結果マップの概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアボードの権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecard and Strategy Managementのためのリポジトリの構成に関する項

KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

スコアカード

パースペクティブの作成/編集

ユーザーにパースペクティブの作成と編集を許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のカスタム・パースペクティブの作成に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアボードの権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecard and Strategy Managementのためのリポジトリの構成に関する項

KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

スコアカード

注釈の追加

ユーザーに、KPIとスコアカード・コンポーネントへのコメントの追加を許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のコメントとステータスのオーバーライドのためのリポジトリの構成に関する項

KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

スコアカード

ステータスのオーバーライド

ユーザーに、KPIとスコアカード・コンポーネントのステータスのオーバーライドを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のコメントとステータスのオーバーライドのためのリポジトリの構成に関する項

KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

スコアカード

KPIの作成/編集

ユーザーに、KPIおよびKPIウォッチリストの作成および編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のキー・パフォーマンス・インジケータ(KPI)の概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のウォッチリストの理解に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアボードの権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecard and Strategy Managementのためのリポジトリの構成に関する項

KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

スコアカード

KPIのデータベースへのライトバック

ユーザーに、KPIの実際の値やターゲット設定値のリポジトリへの入力および送信を許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のターゲット設定の概要に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアボードの権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecard and Strategy Managementのためのリポジトリの構成に関する項

KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析とダッシュボードでのライトバック用の構成に関する項

スコアカード

ダッシュボードへのスコアカード・ビューの追加

ユーザーに、スコアカード・ビュー(戦略ツリーなど)およびKPIウォッチリストのダッシュボードへの追加を許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードへのスコアカード・オブジェクトの追加に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアボードの権限の概要に関する項

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecard and Strategy Managementのためのリポジトリの構成に関する項

KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

リスト・フォーマット

リスト・フォーマットの作成

ユーザーに、OracleのSiebel Marketingでのリスト・フォーマットの作成を許可します。

BIコンテンツ作成者

Oracle Marketing Segmentationガイド

リスト・フォーマット

ヘッダーとフッターの作成

ユーザーに、OracleのSiebel Marketingでのリスト・フォーマットのヘッダーとフッターの作成を許可します。

BIコンテンツ作成者

Oracle Marketing Segmentationガイド

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のヘッダーやフッターを含むダッシュボード・ページのデフォルトの指定に関する項

リスト・フォーマット

「アクセス・オプション」タブ

ユーザーに、OracleのSiebel Marketingでのリスト・フォーマットの「オプション」タブへのアクセスを許可します。

BIコンテンツ作成者

Oracle Marketing Segmentationガイド

リスト・フォーマット

リスト・フォーマット列の追加/削除

ユーザーに、OracleのSiebel Marketingでのリスト・フォーマットの列の追加と削除を許可します。

BIサービス管理者

Oracle Marketing Segmentationガイド

セグメンテーション

セグメントの作成

ユーザーに、OracleのSiebel Marketingでのセグメントの作成を許可します。

BIコンテンツ作成者

Oracle Marketing Segmentationガイド

セグメンテーション

セグメント・ツリーの作成

ユーザーに、OracleのSiebel Marketingでのセグメント・ツリーの作成を許可します。

BIコンテンツ作成者

Oracle Marketing Segmentationガイド

セグメンテーション

保存された結果セットの作成/パージ

ユーザーに、OracleのSiebel Marketingでの保存済結果セットの作成とパージを許可します。

BIサービス管理者

Oracle Marketing Segmentationガイド

セグメンテーション

セグメントの「高度なオプション」タブへのアクセス

ユーザーに、OracleのSiebel Marketingのセグメントの「高度なオプション」タブへのアクセスを許可します。

BIサービス管理者

Oracle Marketing Segmentationガイド

セグメンテーション

セグメント・ツリーの「高度なオプション」タブへのアクセス

ユーザーに、OracleのSiebel Marketingのセグメント・ツリーの「高度なオプション」タブへのアクセスを許可します。

BIサービス管理者

Oracle Marketing Segmentationガイド

セグメンテーション

セグメント・デザイナ内のターゲット・レベルの変更

ユーザーに、OracleのSiebel Marketingのセグメント・デザイナ内のターゲット・レベルの変更を許可します。

BIサービス管理者

Oracle Marketing Segmentationガイド

モバイル

ローカル・コンテンツの有効化

Oracle Business Intelligence Mobileのユーザーに、BIコンテンツのローカル・コピーをモバイル機器に保存することを許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Fusion Middleware Oracle Business Intelligence Mobile for Apple iOSユーザーズ・ガイド』のOracle BI Mobileのスタート・ガイドに関する項

モバイル

検索の有効化

Oracle Business Intelligence Mobileのユーザーにカタログの検索を許可します。

BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BIプレゼンテーション・カタログのオブジェクトの管理に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの検索方法に関する項

『Oracle Fusion Middleware Oracle Business Intelligence Mobile for Apple iOSユーザーズ・ガイド』の検索の実行に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Secure Enterprise Searchを使用した検索の構成に関する項

SOAP

SOAPにアクセス

ユーザーに、各種Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のAccessControlToken構造に関する項

SOAP

システム・ユーザーとして偽装

ユーザーに、Webサービスを使用するシステム・ユーザーの偽装を許可します。

BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のimpersonate()メソッドに関する項

SOAP

MetadataServiceサービスへのアクセス

ユーザーに、MetadataService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のMetadataServiceサービスに関する項

SOAP

ReportEditingServiceサービスへのアクセス

ユーザーに、ReportEditingService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のReportEditingServiceサービスに関する項

SOAP

ConditionEvaluationServiceサービスへのアクセス

ユーザーに、ConditionEvaluationService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のConditionServiceサービスに関する項

SOAP

CatalogIndexingServiceサービスへのアクセス

全文検索に使用する目的でOracle BIプレゼンテーション・カタログを索引付けするためにCatalogIndexingService Webサービスへアクセスすることをユーザーに許可します。

BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の全文検索を構成するための一般的な手順に関する項

SOAP

DashboardServiceサービスへのアクセス

ユーザーに、DashboardService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

ダッシュボードと分析のセキュリティの管理

SOAP

SecurityServiceサービスへのアクセス

ユーザーに、SecurityService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のSecurityServiceサービスに関する項

SOAP

SchedulerServiceサービスへのアクセス

ユーザーに、SchedulerService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のSchedulerServiceサービスに関する項

SOAP

テナント情報へのアクセス

内部使用のみ。

BIシステム

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のマルチテナント・セクション・パラメータに関する項

SOAP

ScorecardMetadataServiceサービスへのアクセス

ユーザーに、ScorecardMetadataService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のScorecardMetadataServiceサービスに関する項

SOAP

ScorecardAssessmentServiceサービスへのアクセス

ユーザーに、ScorecardAssessmentService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のScorecardAssessmentServiceサービスに関する項

SOAP

HtmlViewServiceサービスへのアクセス

ユーザーに、HtmlViewService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のHtmlViewServiceサービスに関する項

SOAP

CatalogServiceサービスへのアクセス

ユーザーに、CatalogService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

Oracle Fusion Middleware Oracle Identity Manager Java APIリファレンス

SOAP

iBotServiceサービスへのアクセス

ユーザーに、iBotService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のiBotServiceサービスに関する項

SOAP

XmlGenerationServiceサービスへのアクセス

ユーザーに、XmlGenerationService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のXMLQueryExecutionOptions構造体に関する項

SOAP

JobManagementServiceサービスへのアクセス

ユーザーに、JobManagementService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のJobManagementServiceサービスに関する項

SOAP

KPIAssessmentServiceサービスへのアクセス

ユーザーに、KPIAssessmentService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のKPIAssessmentServiceサービスに関する項

SOAP

UserPersonalizationServiceサービスへのアクセス

Oracle BIのユーザー・パーソナライズWebサービスは、ユーザー固有のお気に入りや最近の項目を管理するための様々なAPIを実装するApplication Program Interface (API)です。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligence Webサービスの紹介に関する項

サブジェクト・エリア (名前別)

Oracle Business Intelligence内でのアクセス

ユーザーに、Oracle Business Intelligenceエディタ内の指定のサブジェクト・エリアへのアクセスを許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「サブジェクト領域」ペインからのメタデータ情報の表示に関する項

『Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のプレゼンテーション・レイヤー・オブジェクトに対する権限の設定に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のメタデータ・ディクショナリ情報へのアクセスの提供に関する項

ビュー

アナライザ・ビューの追加と編集

ユーザーにアナライザ・ビューへのアクセスを許可します。

BIサービス管理者

ビュー

キャンバス・ビューの追加/編集

ユーザーに、キャンバス・ビューの作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の使用可能なビューのタイプに関する項。

ビュー

列セレクタビューの追加と編集

ユーザーに列セレクタ・ビューの作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

複合レイアウトビューの追加と編集

ユーザーに複合レイアウト・ビューの作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

グラフ・ビューの追加と編集

ユーザーにグラフ・ビューの作成と編集を許可します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

ファンネル・ビューの追加と編集

ユーザーにファンネル・グラフ・ビューの作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

ゲージ・ビューの追加と編集

ユーザーにゲージ・ビューの作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

マイクロ・チャートビューの追加と編集

ユーザーにマイクロ・チャートの作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

フィルタ・ビューの追加と編集

ユーザーにフィルタ・ビューの作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

ダッシュボード・プロンプトビューの追加と編集

ユーザーにダッシュボード・プロンプト・ビューの作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

パフォーマンス・タイルビューの追加と編集

ユーザーに、パフォーマンス・タイル・ビューの作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

ヒート・マトリックス・ビューの追加/編集

ユーザーにヒート・マトリックス・ビューの作成と編集を許可します。

BIコンテンツ作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のヒート・マトリックス・ビューの編集に関する項。

ビュー

静的テキストビューの追加と編集

ユーザーに静的テキスト・ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

凡例ビューの追加と編集

ユーザーに凡例ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

マップ・ビューの追加と編集

ユーザーにマップ・ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

ナレーティブ・ビューの追加と編集

ユーザーにナレーティブ・ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

結果なしビューの追加と編集

ユーザーに結果なしビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

ピボット表ビューの追加と編集

ユーザーにピボット表ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の表およびピボット表のデータに対する構成オプションを設定するためのFusion Middleware Controlの使用に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

汎用プラグイン・ビュー・ビューの追加/編集

ユーザーに、汎用プラグイン・ビューのビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

ビュー

レポート・プロンプト・ビューの追加/編集

ユーザーにプロンプト・ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

セグメントの作成ビューの追加と編集

ユーザーにセグメント・ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

選択ステップビューの追加と編集

ユーザーに選択ステップ・ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

論理SQLビューの追加と編集

ユーザーに論理SQLビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の使用可能な論理SQLビューのタイプに関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

表ビューの追加と編集

ユーザーに表ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の表およびピボット表のデータに対する構成オプションを設定するためのFusion Middleware Controlの使用に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

ターゲット・リストを作成ビューの追加と編集

ユーザーにターゲット・リスト・ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

ティッカ・ビューの追加と編集

ユーザーにティッカ・ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

タイトル・ビューの追加と編集

ユーザーにタイトル・ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

トレリス・ビューの追加と編集

ユーザーに、トレリス・ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

ビュー

ビュー・セレクタビューの追加と編集

ユーザーにビュー・セレクタ・ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ビュー

ツリーマップ・ビューの追加と編集

ユーザーに、ツリーマップ・ビューの作成と編集を許可します。

BI作成者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでの表示用のビューの追加に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードの構成と管理に関する項

ライトバック

データベースへのライトバック

データ・ソースにデータを書き込む権限を付与します。

拒否: BIコンシューマ

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の値の変更とライトバックの実行に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のライトバックの処理エラーの概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析とダッシュボードでのライトバック用の構成に関する項

ライトバック

ライトバックの管理

ライトバック・リクエストを管理する権限を付与します。

BIサービス管理者

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の値の変更とライトバックの実行に関する項

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のライトバックの処理エラーの概要に関する項

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析とダッシュボードでのライトバック用の構成に関する項

Oracle BI Enterprise Editionアクションへのアクセス

「アクション」権限を設定する必要があります。この権限は、ユーザーがアクション機能を使用できるかどうかを決定し、どのユーザー・タイプがアクションを作成できるかを指定します。

次のリストで、これらの権限を説明します。

- ナビゲート・アクションの作成
「ナビゲート・アクションの作成」権限は、ユーザーがナビゲート・アクション・タイプを作成できるかどうかを示します。この権限が拒否されたユーザーには、ナビゲート・アクションの作成を許可するインタフェース・コンポーネントがありません。「ナビゲート・アクションの作成」権限を持たないユーザーは、分析およびダッシュボードに保存済アクションを追加したり、アクションを含む分析またはダッシュボードからアクションを実行できます。

- 起動アクションの作成
「起動アクションの作成」権限は、ユーザーが起動アクション・タイプを作成できるかどうかを示します。「アクションの起動」オプションには、「Webサービスの起動」および「HTTPリクエストの起動」が含まれます。ただし、この権限が拒否されたユーザーは、保存済アクションを分析およびダッシュボードに追加することはできます。さらに、この権限が拒否されたユーザーは、アクションを含む分析またはダッシュボードからアクションを実行することができます。

- 埋込みHTMLが含まれるアクションの保存
「埋込みHTMLが含まれるアクションの保存」権限は、ユーザーが、カスタマイズされたWebサービス・アクション結果にHTMLコードを埋め込むことができるかどうかを示します。「埋込みHTMLが含まれるアクションの保存」権限を割り当てる際には、ユーザーにHTMLコードの実行を許可して、この権限を持つユーザーがセキュリティ上の問題を引き起こす可能性があるため、十分に注意する必要があります。

「Oracle BI for Microsoft Officeへのアクセス」権限

ユーザーに「Oracle BI for Microsoft Officeへのアクセス」権限が付与されている場合、これらのユーザーは、Oracle BI EEからMicrosoft Officeと相互作用できます。

ユーザーに「Oracle BI for Microsoft Officeへのアクセス」権限が付与されている場合、このユーザーは、Oracle BI EEのホーム・ページの「はじめに」領域からデスクトップ・ツールをダウンロードできます。

- Oracle BI for MS Office: Oracle BI Add-in for Microsoft Officeのインストール・ファイルをダウンロードします。

「Oracle BI for Microsoft Officeへのアクセス」権限は、分析の「コピー」リンクの表示には影響しません。このリンクは、常にそこで使用可能です。

Oracle BI for Microsoft Office用にダウンロードするインストール・ファイルの場所は、デフォルトで、instanceconfig.xmlファイルのBIforOfficeURL要素に指定されています。『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEとMicrosoft Officeの統合に関する項および「コピー」オプションに関する項を参照してください。

「HTMLマークアップを含むコンテンツの保存」権限

デフォルトでは、プレゼンテーション・サービスはクロスサイト・スクリプティング(XSS)から保護されています。

XSSから保護するために、プレゼンテーション・サービスのフィールドへの入力をエスケープし、それをプレーンテキストとして表示します。たとえば、保護不可能なユーザーがHTMLフィールドを使用して、ページからデータを盗むスクリプトを入力する場合があります。

デフォルトでは、エンド・ユーザーは、HTMLとしてフラグ付けされたコンテンツを保存できません。「HTMLマークアップを含むコンテンツの保存」権限を持つ管理者のみが、HTMLコードを含むコンテンツを保存できます。「HTMLマークアップを含むコンテンツの保存」権限を持つユーザーは、fmap接頭辞の付いたイメージを保存できます。この権限が割り当てられていないユーザーが、fmap接頭辞の付いたイメージを保存しようとすると、エラー・メッセージが表示されます。「EnableSavingContentWithHTML」を参照してください。

また、この権限を持つユーザーは、Oracle Scorecard and Strategy Managementにミッション・ステートメントとビジョン・ステートメントを保存できます。

EnableSavingContentWithHTML

EnableSavingContentWithHTML要素を「HTMLマークアップを含むコンテンツの保存」権限と「埋込みHTMLが含まれるアクションの保存」権限とともに使用して、分析の編集時に、プロパティ・ダイアログで「HTMLマークアップを含みます」オプションを使用できるかどうかを決定します。

12.2.1.3.0より前のリリースのOracle Business Intelligenceでは、様々なプロパティ・ダイアログにアクティブな「HTMLマークアップを含みます」オプションが含まれていました。Oracle Business Intelligence 12.2.1.3.0では、セキュリティの脆弱性にさらされるのを軽減するために、「HTMLマークアップを含みます」機能はデフォルトで無効になっています。

BIサービス管理者は、EnableSavingContentWithHTML要素を使用して、すべてのHTML編集を有効にし、関連する権限をユーザーに付与できます。「HTMLマークアップを含みます」オプションを有効にするには、instanceconfig.xmlファイルでEnableSavingContentWithHTML要素をtrueに設定し、「権限の管理」ページで「HTMLマークアップを含むコンテンツの保存」権限と「埋込みHTMLが含まれるアクションの保存」権限をユーザーに付与します。「プレゼンテーション・サービスのデフォルトの権限割当て」および「プレゼンテーション・サービスに対する拡張構成の変更」を参照してください。

instanceconfig.xmlファイルの場所は、構成ファイルを参照してください。

KPI、KPIウォッチリストおよびスコアカード作成の権限の特定

KPIおよびKPIウォッチリストを構築する際、またはOracle Scorecard and Strategy Management内では(スコアカードの表示、作成、所有者への問合せなど)、特定のタスクを実行するには、通常、一定の組合せの権限が必要になります。次の表には、KPI、KPIウォッチリストおよびOracle Scorecard and Strategy Managementに関する次の情報がそれぞれ示されています。

- アクション・リンク、KPIチャートなどのタスク・オブジェクト

- ダッシュボードからの所有者への連絡や、スコアカード・エディタでのリンクの使用などのタスク

- タスクを実行するために必要な権限(「デリバー - エージェントの作成」や「アクセス - ダッシュボードへのアクセス」など)。特定のタスクを実行するには、これらの各権限が必要になります。

これらのタスクを実行するために必要な権限は、できるだけセットとしてグループ化し、セット名と(各権限名ではなく)、その他必要な権限があれば、それを加えています。セット名と、各セットに含まれる権限は次のとおりです。

『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「スコアカードのドキュメント」、「戦略」ペインおよび「イニシアチブ」ペインに関する項を参照してください。

- Edit_scorecard_set1

含まれる権限:

- アクセス - スコアカードへのアクセス

- スコアカード - スコアカードの作成/編集

- View_or_edit_scorecard_set2

含まれる権限:

- アクセス - スコアカードへのアクセス

- スコアカード - スコアカードの作成/編集またはスコアカード - スコアカードの表示

- View_KPI_watchlist_on_dashboard_set3

含まれる権限:

- アクセス - ダッシュボードへのアクセス

- アクセス - スコアカードへのアクセス

- Edit_KPI_with_KPI_Builder_set4

含まれる権限:

- アクセス - KPI Builderへのアクセス

- スコアカード - KPIの作成/編集

- サブジェクト・エリア - <サブジェクト・エリア名>

- Edit_KPI_watchlist_with_standalone_KPI_watchlist_editor_set5

含まれる権限:

- 「View_or_edit_scorecard_set2」を参照

- アクセス - KPI Builderへのアクセス

- スコアカード - KPIの作成/編集

- View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6

含まれる権限:

- アクセス - スコアカードへのアクセス

- スコアカード - スコアカードの作成/編集またはスコアカード - スコアカードの表示

次の表に、KPIタスクに必要な権限セットを示します。

タスク・オブジェクト

タスク

タスクを実行するために必要な権限

アクション・リンク

KPIエディタ^1・タブを使用した、スコアカード・エディタ内でのKPIの作成、編集、削除

- アクション - ナビゲート・アクションの作成

- 「Edit_scorecard_set1」を参照

- 「Edit_KPI_with_KPI_Builder_set4」を参照

アクション・リンク

KPIエディタ内部からの作成、編集、削除

- アクション - ナビゲート・アクションの作成

- 「Edit_KPI_with_KPI_Builder_set4」を参照

エージェント

スコアカード・エディタ内でのKPIのエージェントの作成

- アクセス - デリバーへのアクセス

- デリバー - エージェントの作成

- 「Edit_scorecard_set1」を参照

ビジネス所有者

KPIエディタ・タブを使用したスコアカード・エディタ内での変更

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- 「Edit_KPI_with_KPI_Builder_set4」を参照

ビジネス所有者

KPIエディタ内での変更

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- Edit_KPI_with_KPI_Builder_set4

KPI

KPIエディタ・タブを使用した、スコアカード・エディタ内での作成または編集

- 「Edit_scorecard_set1」を参照

- 「Edit_KPI_with_KPI_Builder_set4」を参照

KPIを作成する先のフォルダに対する読取り/書込み権限と、全祖先ディレクトリへの少なくとも読取り権限は持っている必要があります。

KPI

KPIエディタ内部からの作成、編集、表示

KPIエディタには読取り専用モードはありません。

- 「Edit_KPI_with_KPI_Builder_set4」を参照

KPIを作成する先のフォルダに対する読取り/書込み権限と、全祖先ディレクトリへの少なくとも読取り権限は持っている必要があります。

KPI

開いて、Oracle BI EEのホーム・ページ、お気に入りリストまたはカタログ・ブラウザからアンサー分析を表示

必要なアクセス、スコアカードまたはサブジェクト・エリアの特定の権限は必要ありません。

KPIディメンション・ターゲット値(ターゲット設定)

ダッシュボード上のKPIウォッチリスト内での編集

- スコアカード - KPIのデータベースへのライトバック

- 「View_KPI_watchlist_on_dashboard_set3」を参照

KPIディメンション・ターゲット値(ターゲット設定)

ダッシュボード上のスコアカード・ビュー^2内での編集

- アクセス - ダッシュボードへのアクセス

- スコアカード - KPIのデータベースへのライトバック

- 「View_or_edit_scorecard_set2」を参照

関連ドキュメント

KPIエディタ内部からの関連ドキュメントの追加、編集、削除

- 「Edit_KPI_with_KPI_Builder_set4」を参照

関連ドキュメント

KPIエディタ・タブを使用した、スコアカード・エディタ内での関連ドキュメントの追加、編集、削除

- 「Edit_scorecard_set1」を参照

- 「Edit_KPI_with_KPI_Builder_set4」を参照

次の表に、KPIウォッチリスト・タスクに必要な権限セットを示します。

タスク・オブジェクト

タスク

タスクを実行するために必要な権限

<デバイス>(たとえば、電子メール、ページャ、デジタル電話など)

ダッシュボード上のKPIウォッチリストからの所有者への連絡

- アクセス - デリバーへのアクセス

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- デリバー - エージェントの作成

- 「View_KPI_watchlist_on_dashboard_set3」を参照

<デバイス>

スタンドアロンKPIウォッチリスト・エディタ^3内部からの所有者への連絡

- アクセス - デリバーへのアクセス

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- デリバー - エージェントの作成

- 「View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6」を参照

アクション・リンク

ダッシュボード上のKPIウォッチリストからの起動

- 「View_KPI_watchlist_on_dashboard_set3」を参照

ブラウザでポップアップを有効にしている必要があります。

アクション・リンク

スタンドアロンKPIウォッチリスト・エディタ内部からの起動

- 「View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6」を参照

分析リンク

ダッシュボード上のKPIウォッチリスト・ビューからの分析リンクの使用

- アクセス - アクセスへのアクセス

- 「View_KPI_watchlist_on_dashboard_set3」を参照

ブラウザでポップアップを有効にしている必要があります。

分析リンク

スタンドアロンKPIウォッチリスト・エディタ内部からの分析リンクの使用

- アクセス - アクセスへのアクセス

- 「View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6」を参照

ブラウザでポップアップを有効にしている必要があります。

注釈

ダッシュボード上のKPIウォッチリストからの追加

- スコアカード - 注釈の追加

- 「View_KPI_watchlist_on_dashboard_set3」を参照

注釈

スタンドアロンKPIウォッチリスト・エディタ内部からの追加

- スコアカード - 注釈の追加

- 「View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6」を参照

注釈

ダッシュボード上のKPIウォッチリストからの表示

- 「View_KPI_watchlist_on_dashboard_set3」を参照

注釈

スタンドアロンKPIウォッチリスト・エディタ内部からの表示

- 「View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6」を参照

ビジネス所有者

スタンドアロンKPIウォッチリスト・エディタ内部からのKPIウォッチリストのビジネス所有者の変更

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- 「Edit_KPI_watchlist_with_standalone_KPI_watchlist_editor_set5」を参照

ビジネス所有者

スタンドアロンKPIウォッチリスト・エディタ内部からのKPIウォッチリスト内のビジネス所有者の表示

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- 「View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6」を参照

KPIチャート

ダッシュボード上のKPIウォッチリストからのKPIチャートの表示

- アクセス - アクセスへのアクセス

- 「View_KPI_watchlist_on_dashboard_set3」を参照

KPIチャート

スタンドアロンKPIウォッチリスト・エディタ内部からのKPIチャートの 表示

- アクセス - アクセスへのアクセス

- 「View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6」を参照

KPIディメンション・ターゲット値(ターゲット設定)

スコアカード・エディタ内でのKPIウォッチリストのKPIディメンション・ターゲット値の編集

- スコアカード - KPIのデータベースへのライトバック

- 「View_or_edit_scorecard_set2」を参照

KPIディメンション・ターゲット値(ターゲット設定)

スタンドアロンKPIウォッチリスト・エディタ内部からのKPIウォッチリストのKPIディメンション・ターゲット値の編集

- スコアカード - KPIのデータベースへのライトバック

- 「View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6」を参照

KPIウォッチリスト

ダッシュボードへの追加

- アクセス - ダッシュボードへのアクセス

- スコアカード - ダッシュボードへのスコアカード・ビューの追加

- 「View_or_edit_scorecard_set2」を参照

KPIウォッチリスト

スコアカード・エディタ内での作成または編集

- スコアカード - ビューの作成

- 「View_or_edit_scorecard_set2」を参照

KPIウォッチリスト

スタンドアロンKPIウォッチリスト・エディタ内部からの作成または編集

- 「View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6」を参照

KPIウォッチリストを作成する先のフォルダに対する読取り/書込み権限と、全祖先ディレクトリへの少なくとも読取り権限は持っている必要があります。

KPIウォッチリスト

スタンドアロンKPIウォッチリスト・エディタ内部からの読取り専用表示

- 「View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6」を参照

KPIウォッチリスト

ダッシュボードでの表示

- 「View_KPI_watchlist_on_dashboard_set3」を参照

関連ドキュメント

スタンドアロンKPIウォッチリスト・エディタ内部からの関連ドキュメント・リンクの使用

- 「View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6」を参照

関連ドキュメント

スタンドアロンKPIウォッチリスト・エディタ内部からの関連ドキュメントの追加、編集、削除

- 「Edit_KPI_watchlist_with_standalone_KPI_watchlist_editor_set5」を参照

- アクション - ナビゲート・アクションの作成

次の表に、スコアカードおよびスコアカード・オブジェクトのタスクに必要な権限セットを示します。

タスク・オブジェクト

タスク

タスクを実行するために必要な権限

<デバイス> (たとえば、電子メール、ページャ、デジタル電話など)

ダッシュボード上のスコアカード・ビュー内の所有者への連絡

- アクセス - ダッシュボードへのアクセス

- アクセス - デリバーへのアクセス

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- デリバー - エージェントの作成

- 「View_or_edit_scorecard_set2」を参照

<デバイス>

スコアカード・エディタ内の所有者への連絡

- アクセス - デリバーへのアクセス

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- デリバー - エージェントの作成

- 「View_or_edit_scorecard_set2」を参照

アクション・リンク

ダッシュボード上のスコアカード・ビュー内での起動

- アクセス - ダッシュボードへのアクセス

- 「View_or_edit_scorecard_set2」を参照

ブラウザでポップアップを有効にしている必要があります。

アクション・リンク

スコアカード・エディタ内での起動

- 「View_or_edit_scorecard_set2」を参照

「戦略」ペインまたは「イニシアティブ」ペイン内のオブジェクトのアクション・リンク

スコアカード・エディタ内での作成、編集、削除

- アクション - ナビゲート・アクションの作成

- 「View_or_edit_scorecard_set2」を参照

すべてのスコアカード・ノード^4、ビュー、ドキュメント(KPIエディタは除外)

スコアカード・エディタ内での読取り専用表示

- 「View_or_edit_scorecard_set2」を参照

分析リンク

ダッシュボード上のスコアカード・ビューでの分析リンクの使用

- アクセス - アクセスへのアクセス

- アクセス - ダッシュボードへのアクセス

- 「View_or_edit_scorecard_set2」を参照

ブラウザでポップアップを有効にしている必要があります。

分析リンク

スコアカード・エディタでの分析リンクの使用

- アクセス - アクセスへのアクセス

- 「View_or_edit_scorecard_set2」を参照

ブラウザでポップアップを有効にしている必要があります。

注釈

ダッシュボード上のスコアカード・ビュー内での追加

- アクセス - ダッシュボードへのアクセス

- スコアカード - 注釈の追加

- 「View_or_edit_scorecard_set2」を参照

注釈

スコアカード・エディタ内のスコアカード・ビューでの追加

- スコアカード - 注釈の追加

- 「View_or_edit_scorecard_set2」を参照

注釈

ダッシュボード上のスコアカード・ビューでの表示

- アクセス - ダッシュボードへのアクセス

- 「View_or_edit_scorecard_set2」を参照

注釈

スコアカード・エディタ内での表示

- 「View_or_edit_scorecard_set2」を参照

ビジネス所有者

スコアカード・エディタ内での変更

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- 「Edit_scorecard_set1」を参照

ビジネス所有者

スコアカード・エディタ内での表示

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- 「View_or_edit_scorecard_set2」を参照

因果関係

スコアカード・エディタ内での作成、編集、削除

- スコアカード - 原因と結果関連の作成/編集

- 「Edit_scorecard_set1」を参照

スコアカード・ノードのディメンション・ステータス・オーバーライド

ダッシュボード上のスコアカード・ビューからのKPIディメンション・ステータスのオーバーライド(またはオーバーライドのキャンセル)

- アクセス - ダッシュボードへのアクセス

- スコアカード - ステータスのオーバーライド

- 「View_or_edit_scorecard_set2」を参照

KPIエディタで設定されているステータスをオーバーライドするには、KPIのビジネス所有者である必要もあります。

スコアカード・ノードのディメンション・ステータス・オーバーライド

スコアカード・エディタ内でのKPIディメンション・ステータスのオーバーライド(またはオーバーライドのキャンセル)

- スコアカード - ステータスのオーバーライド

- 「View_or_edit_scorecard_set2」を参照

KPIエディタで設定されているステータスをオーバーライドするには、KPIのビジネス所有者である必要もあります。

スコアカード・ノードのディメンション・ステータス・オーバーライド

ダッシュボード上のスコアカード・ビューでのKPIディメンション・ステータスの表示

- アクセス - ダッシュボードへのアクセス

- 「View_or_edit_scorecard_set2」を参照

スコアカード・ノードのディメンション・ステータス・オーバーライド

スコアカード・エディタ内のスコアカード・ビューでのKPIディメンション・ステータスの表示

- 「View_or_edit_scorecard_set2」を参照

フィルタ

スコアカード・エディタ内でのスコアカード・スマート・ウォッチリストのフィルタへのユーザーの追加

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- 「Edit_scorecard_set1」を参照

フィルタ

ダッシュボード上のスコアカード・スマート・ウォッチリストでのユーザーのフィルタ処理

- アクセス - ダッシュボードへのアクセス

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- 「View_or_edit_scorecard_set2」を参照

フィルタ

スコアカード・エディタ内のスコアカード・スマート・ウォッチリストでのユーザーのフィルタ処理

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- 「View_or_edit_scorecard_set2」を参照

イニシアチブ・ノード^5

「イニシアチブ」タブまたはKPI詳細タブを使用したスコアカード・エディタ内での作成、編集、削除

- スコアカード - イニシアティブの作成/編集

- 「Edit_scorecard_set1」を参照

KPIチャート

ダッシュボード上のスコアカード・ビューでの表示

- アクセス - アクセスへのアクセス

- アクセス - ダッシュボードへのアクセス

- 「View_or_edit_scorecard_set2」を参照

KPIチャート

スコアカード・エディタ内での表示

- アクセス - アクセスへのアクセス

- 「View_or_edit_scorecard_set2」を参照

ミッション・ステートメントまたはビジョン・ステートメント

スコアカード・エディタ内での作成または編集

- アクセス - アクセスへのアクセス

- アンサー - HTMLマークアップを含むコンテンツの保存

- スコアカード - ビューの作成

- 「Edit_scorecard_set1」を参照

「権限」ダイアログ

スコアカード・エディタ内での変更

- 管理: カタログ - 権限の変更

- 「Edit_scorecard_set1」を参照

- セキュリティ: 「権限」ダイアログへのアクセス

パースペクティブ

スコアカード・エディタ内での作成、編集、削除

- スコアカード - パースペクティブの作成/編集

- 「Edit_scorecard_set1」を参照

関連ドキュメント

スコアカード・エディタ内のスコアカード・ノードまたはスコアカード・ビューに対する追加、編集、削除

- 「Edit_scorecard_set1」を参照

- アクション - ナビゲート・アクションの作成

- スコアカード - <オブジェクト>の作成/編集(<オブジェクト>は、目標、イニシアチブ、KPIなどの特定のオブジェクト・タイプ)

関連ドキュメント

スコアカード・エディタでの関連ドキュメント・リンクの使用

- 「View_or_edit_scorecard_set2」を参照

スコアカード

作成

- 「Edit_scorecard_set1」を参照

スコアカード・フォルダに対する読取り/書込み権限と、全祖先ディレクトリへの少なくとも読取り権限は持っている必要があります。

スコアカード

スコアカード・エディタを使用した編集

- 「Edit_scorecard_set1」を参照

スコアカード・フォルダに対する読取り/書込み権限と、全祖先ディレクトリへの少なくとも読取り権限は持っている必要があります。

スコアカード・ビュー

ダッシュボードへの追加

- アクセス - ダッシュボードへのアクセス

- スコアカード - ダッシュボードへのスコアカード・ビューの追加

- 「View_or_edit_scorecard_set2」を参照

スコアカード・ビュー(ミッション・ステートメント、ビジョン・ステートメントおよびKPIウォッチリストは除外)

スコアカード・エディタ内での作成、編集、削除

- スコアカード - ビューの作成

- 「Edit_scorecard_set1」を参照

スコアカード・ビュー

ダッシュボードでの表示

- アクセス - ダッシュボードへのアクセス

- 「View_or_edit_scorecard_set2」を参照

「設定」ダイアログ

設定の変更または表示

- 「Edit_scorecard_set1」を参照

戦略ノード^6

「目標」タブまたはKPI詳細タブを使用したスコアカード・エディタ内での作成、編集、削除

- スコアカード - 目標の作成/編集

- 「Edit_scorecard_set1」を参照

1. KPIエディタはKPI Builderとも呼ばれます。

2. スコアカード・ビュー(スコアカードのドキュメントとも呼ばれます)は、次の条件を満たすOracle BI EEカタログ・オブジェクトです。

- スコアカード・エディタの「スコアカードのドキュメント」ペインを表示する。

- それが作成された特定のスコアカードに関連付けられているか、ここでのみ編集できる。

- スコアカードの戦略およびイニシアティブ情報を表示する。

- 次のビュー・タイプで構成されている。

- 原因と結果マップ

- カスタム・ビュー

- ミッション・ステートメント

- スマート・ウォッチリスト

- 戦略マップ

- 戦略ツリー

- 戦略貢献ホイール

- ビジョン・ステートメント

3. スタンドアロンKPIウォッチリスト・エディタは、スコアカード・エディタ外部で使用されるKPIウォッチリスト・エディタです。つまり、スコアカード・エディタ・タブに組み込まれていません。

4. スコアカード・ノードは、スコアカードの戦略ペイン・ツリーまたはイニシアティブ・ペイン・ツリーに属する目標またはイニシアティブか、これらのペイン内のイニシアティブまたは目標に属するKPIです。

5. イニシアティブ・ノードは、「イニシアティブ」ペイン内のイニシアティブまたはKPIです。

6. 戦略ノードは、「戦略」ペイン内の目標またはKPIです。

プレゼンテーション・サービスでのセッションの管理

プレゼンテーション・サービス管理の「セッション管理」ページを使用して、アクティブ・ユーザーと実行中の分析に関する情報の表示、リクエストの取消し、キャッシュの消去を実行できます。

1. プレゼンテーション・サービスのホーム・ページで「管理」を選択します。

2. 「セッション管理」リンクをクリックします。
「セッション管理」画面が表示され、次の表が示されます。

- セッション表。ログインしているユーザーに対して作成されているセッションに関する情報を示します。

- カーソル・キャッシュ表。分析のステータスを表示します。

実行中のリクエストをすべて取り消すには:

1. 「実行中のリクエストの取消し」をクリックします。

2. 「終了」をクリックします。

次のように、実行中のいずれかの分析を取り消します。

- カーソル・キャッシュ表で分析を識別し、「アクション」列で「取消」リンクをクリックします。
ユーザーは、分析が管理者によって取り消されたことを示すメッセージを受け取ります。

これらの手順を使用して、Webキャッシュを消去します。

1. カーソル・キャッシュ表で分析を識別し、「すべてのカーソルを閉じる」をクリックします。

2. 「終了」をクリックします。

次の説明に従って、分析に関連付けられているキャッシュ・エントリを消去します。

- カーソル・キャッシュ表で分析を識別し、「アクション」列で「閉じる」リンクをクリックします。

次の説明に従って、分析に関する情報の問合せファイルを表示します。

- カーソル・キャッシュ表で、分析を識別し、「ログの表示」リンクをクリックします。

注意:

このログ・ファイルにデータを保存する場合は、問合せログをオンにする必要があります。

Oracle BIプレゼンテーション・サービスのユーザーの権限およびパーミッションの判別

Oracle BIプレゼンテーション・サービスの権限およびOracle BIプレゼンテーション・サービス・カタログ項目のパーミッションでは、アクセス・コントロール・リスト(ACL)を使用して、プレゼンテーション・サービスの機能にアクセスする権限をどのユーザーが保持し、プレゼンテーション・サービス・カタログ項目に対して特定のユーザーがどのパーミッションを保持できるかを制御します。権限は、Oracle BIプレゼンテーション・サービスの「管理」ページを使用して設定します。パーミッションは、「分析」ユーザー・インタフェースまたはカタログ・マネージャ・ユーザー・インタフェースを使用してプレゼンテーション・サービス・カタログのオブジェクトに設定します。

プレゼンテーション・サービスの機能にアクセスしようとすると、適切な権限がチェックされます。たとえば、Oracle Business Intelligenceのページを表示するには、「アンサーへのアクセス」権限が必要です。また、プレゼンテーション・サービス・カタログ項目に対してアクションを実行しようとすると、その項目のパーミッションがチェックされます。たとえば、Oracle Business Intelligenceの項目を表示するには、読取りアクセス権を持っているかどうか確認するために項目のパーミッションがチェックされます。

ACLに追加できるレコードには次の3タイプがあります。

- 個々のユーザーのレコード
個々のユーザーのレコードを管理するのは、特にユーザーが数千人いたりカタログ項目が数十万ある場合、難しいことです。

- 10gカタログ・グループのレコード
カタログ・グループは、単に下位互換性のために存在し、お薦めしません。それらを使用するかわりに、アプリケーション・ロールを使用するように変更してください。

- 11gアプリケーション・ロールのレコード
これらは、ACLを管理する方法としてお薦めします。

Oracle Business Intelligenceでは、3タイプのレコードを順にチェックしてユーザー・アクセスを判別します。ユーザーの有効な権限またはパーミッションを推定するには、ACLレコードを使用してユーザーの明示的レコードを探し(ある場合)、ユーザーが直接的または間接的にメンバーであるカタログ・グループのレコードを探し、明示的または暗黙的にユーザーに付与されているアプリケーション・ロールのレコードを探します。

この項では、次の項目について説明します。

- ユーザーの権限またはパーミッションの判別ルール

- アプリケーション・ロールによるユーザーの権限の判別例

- アプリケーション・ロールによるユーザーのパーミッションの判別例

- 削除されたカタログ・グループによるユーザーの権限の判別例

- 削除されたカタログ・グループによるユーザーのパーミッションの判別例

ユーザーの権限またはパーミッションの判別ルール

次のタスクでは、ユーザーの有効な権限およびパーミッションを判別するために実行される順次チェックについて説明します。

注意:

ステップ1はステップ2に、ステップ2はステップ3に、ステップ3はステップ4に、ステップ4はステップ5にそれぞれ優先します。

注意:

個々のステップでは、「拒否」の権限アクセス制御(ACL)レコードは常に、他の権限付与に優先します。個々のステップでは、「アクセス権なし」のパーミッションACLレコードは常に、他のアクセス権付与に優先します。

権限「拒否」は、パーミッション「アクセス権なし」と同じです。拒否という用語は、権限とパーミッションの両方について同じ意味で使用されます。

タスク1 - 該当ユーザーの明示的レコードの有無チェック

次のシーケンスは、ユーザー・レコードについて実行されるチェックを示しています。

1. 該当ユーザーの明示的レコードが存在する場合は、そのアクセス権を返します。これで完了です。

2. 該当ユーザーの明示的レコードが存在しない場合は、タスク2 - 該当ユーザーのカタログ・グループに対するレコードの有無チェックに移動します。

タスク2 - 該当ユーザーのカタログ・グループに対するレコードの有無チェック

次のシーケンスは、ユーザーのカタログ・グループについて実行されるチェックを示しています。

1. 該当ユーザーが直接的、明示的に属するすべてのカタログ・グループのセットを取得します。

このセットには、該当ユーザーが暗黙的に属するカタログ・グループは含まれません。

このセットには次のものが含まれます。

- プレゼンテーション・サービスの管理ページを使用して割り当てられたカタログ・グループ。

- WEBGROUPS BIセッション変数を使用して割り当てられたカタログ・グループ

- メンバーとしてのアプリケーション・ロールを持つ、つまり該当ユーザーにそのアプリケーション・ロールが明示的または暗黙的に付与されているカタログ・グループ。

注意:

この機能は当初、すべてのカタログ・グループのアプリケーション・ロールへの即時変換を強制するのではなく、10gカタログ・グループの11gアプリケーション・ロールへの移行を支援するために提供されました。

2. 次のようにして、カタログ・グループの現行セットのいずれかと一致するACLレコードがないかチェックします。

- アクセスを拒否するレコードが存在する場合、アクセス拒否を返します。これで完了です。

- それ以外で、アクセス権を付与するレコードが存在する場合、そのアクセス権付与すべての論理和を返します。たとえば、あるカタログ・グループが読取りアクセス権を持っていて、別のカタログ・グループが書込みアクセス権を持っていた場合、ユーザーは読取りアクセス権および書込みアクセス権を持っています。これで完了です。

- それ以外の場合、カタログ・グループの現行セットと一致するレコードはありません。

3. カタログ・グループの現行セットの全カタログ・グループの親セットを取得します。つまり、カタログ・グループの現行セット自体が明示的にメンバーであるカタログ・グループをすべて取得します。この親セットが新たに、カタログ・グループの現行セットとなります。

4. 親セットが空の場合、ステップ2に移動します。

- このようにして、明示的カタログ・グループが暗黙的カタログ・グループに優先(オーバーライド)します。

- 同様に、暗黙的親カタログ・グループが暗黙的祖父母カタログ・グループに優先し、暗黙的祖父母カタログ・グループが暗黙的曽祖父母カタログ・グループに優先するといったようになります。

注意:

カタログ・グループのパーミッションの継承ロジックは、アプリケーション・ロールのパーミッションの継承ロジックとは異なります。

5. それ以外の場合、該当ユーザーのカタログ・グループにはレコードがありませんでした。タスク3 - 該当ユーザーのアプリケーション・ロールに対するレコードの有無チェックに移動します。

タスク3 - 該当ユーザーのアプリケーション・ロールに対するレコードの有無チェック

次のシーケンスは、ユーザーのアプリケーション・ロールについて実行されるチェックを示しています。

1. 直接的、明示的アプリケーション・ロールと間接的、暗黙的アプリケーション・ロールの両方を含め、該当ユーザーのアプリケーション・ロールをすべて取得します。

たとえば、ユーザーにBI作成者アプリケーション・ロールが明示的に付与されている場合、ユーザーはBIコンシューマ・アプリケーション・ロールも暗黙的に持っています。

2. アプリケーション・ロール・セットのいずれかと一致するACLレコードがないかチェックします。

- いずれかのレコードがアクセスを拒否する場合、アクセス拒否を返します。これで完了です。

- それ以外で、いずれかのレコードがアクセス権を付与する場合、そのアクセス権付与すべての論理和を返します。したがって、あるアプリケーション・ロールが読取りアクセス権を持っていて、別のアプリケーション・ロールが書込みアクセス権を持っていた場合、ユーザーは読取りアクセス権と書込みアクセス権を持っています。これで完了です。

- それ以外の場合、該当ユーザーのアプリケーション・ロールにはレコードがありません。

3. それ以外の場合、該当ユーザーのアプリケーション・ロールにはレコードがありませでした。タスク4 - デフォルト動作への戻しに移動します。

タスク4 - デフォルト動作への戻し

次のシーケンスは、「認証済ユーザー」という特別なアプリケーション・ロールについて実行されるチェックを示しています。

注意:

「認証済ユーザー」アプリケーション・ロールは、厳密には該当ユーザーがこのアプリケーション・ロールを持っていても、タスク3 - 該当ユーザーのアプリケーション・ロールに対するレコードの有無チェックのユーザーのアプリケーション・ロールのリストに意図的に除外されています。

1. 「認証済ユーザー」アプリケーション・ロールのレコードが存在する場合、そのレコードのアクセス権を返します。これで完了です。

2. それ以外の場合、この特別なアプリケーション・ロールにはレコードがありません。タスク5 - 一致レコード一切なしに移動します。

タスク5 - 一致レコード一切なし

アクセス拒否を返します。これで完了です。

アプリケーション・ロールによるユーザーの権限の判別例

図に、アプリケーション・ロールによる権限の判別方法の例を示します。

図の一番上にUser1のラベルが付いた四角形があり、User1にアプリケーション・ロール「エグゼクティブ」と「BI作成者」が明示的に付与されていることを示しています。User1の四角形の下には、四角形がさらに2つ接続されていて、左側が「エグゼクティブ」ロール、右側が「BI作成者」ロールを表しています。

- 「エグゼクティブ」ロールの四角形は、「エグゼクティブ」が「管理へのアクセス」権限を付与されていて、アプリケーション・ロール「財務」および「販売」が「エグゼクティブ」に付与されていることを示しています。

- 「BI作成者」ロールの四角形は、「BI作成者」が「カタログ」権限を付与され、「エージェント」権限を拒否されていて、アプリケーション・ロール「BIコンシューマ」が「BI作成者」に付与されていることを示しています。

「エグゼクティブ」ロールの四角形の下には、四角形がさらに2つ接続されていて、左側が「財務」ロール、右側が「販売」ロールを表しています。

- 「財務」ロールの四角形は、「財務」ロールが「スコアカード」権限を付与されていることを示しています。

- 「販売」ロールの四角形は、「販売」が「管理へのアクセス」権限を拒否され、「アンサーへのアクセス」権限を付与されていることを示しています。

最後に、「BI作成者」ロールの四角形の下に1つの四角形が接続されていて、この四角形が「BIコンシューマ」ロールを表しています。

- 「BIコンシューマ」ロールの四角形は、「BIコンシューマ」が「カタログ」権限を付与され、「エージェント」権限を付与されていることを示しています。

この例では、次のようになります。

- User1は明示的に「エグゼクティブ」ロールを持っているため、暗黙的に「財務」ロールと「販売」ロールも持っています。

- また、User1は明示的に「BI作成者」ロールを持っているため、暗黙的に「BIコンシューマ」ロールも持っています。

- したがって、User1のアプリケーション・ロールの扁平リストは、エグゼクティブ、BI作成者、財務、販売およびBIコンシューマとなります。

- 「エグゼクティブ」ロールの有効な権限は、拒否された「管理」権限、付与された「スコアカード」権限および付与された「アンサー」権限です。「販売」の拒否された「管理」権限は、常に拒否が優先されるため、「エグゼクティブ」の付与された権限に優先します。

- 「BI作成者」ロールの有効な権限は、付与された「カタログ」権限および拒否された「エージェント」権限です。「BI作成者」の拒否された「エージェント」権限は、常に拒否が優先されるため、「BIコンシューマ」の付与された権限に優先します。

User1に付与された権限は、全体で次のようになります。

- 拒否された「管理」権限(「販売」に対してこの権限が明確に拒否されているため)。

- 付与された「スコアカード」権限。

- 付与された「アンサー」権限。

- 付与された「カタログ」権限。

- 拒否された「エージェント」権限(「BI作成者」に対してこの権限が明確に拒否されているため)。

アプリケーション・ロールによるユーザーのパーミッションの判別例

図に、アプリケーション・ロールによるパーミッションの判別方法の例を示します。

図の一番上にUser1のラベルが付いた四角形があり、User1にアプリケーション・ロール「エグゼクティブ」と「BI作成者」が明示的に付与されていることを示しています。User1の四角形の下には、四角形がさらに2つ接続されていて、左側が「エグゼクティブ」ロール、右側が「BI作成者」ロールを表しています。

- 「エグゼクティブ」ロールの四角形は、「エグゼクティブ」にDashboardAに対してアクセス権がなく、アプリケーション・ロール「財務」および「販売」が「エグゼクティブ」に付与されていることを示しています。

- 「BI作成者」ロールの四角形は、「BI作成者」ロールがDashboardDに対して開くアクセス権を持ち、DashboardEに対してアクセス権がなく、「BIコンシューマ」ロールが「BI作成者」に付与されていることを示しています。

「エグゼクティブ」ロールの四角形の下には、四角形がさらに2つ接続されていて、左側が「財務」ロール、右側が「販売」ロールを表しています。

- 「財務」ロールの四角形は、「財務」ロールがDashboardBに対して開くアクセス権を持っていることを示しています。

- 「販売」ロールの四角形は、「販売」ロールがDashboardAに対してアクセス権がなく、DashboardCに対してフル・コントロールを持っていることを示しています。

最後に、「BI作成者」ロールの四角形の下に1つの四角形が接続されていて、この四角形が「BIコンシューマ」ロールを表しています。

- 「BIコンシューマ」ロールの四角形は、「BIコンシューマ」ロールがDashboardDに対して変更アクセス権を、DashboardEに対して開くアクセス権を持っていることを示しています。

この例では、次のようになります。

- User1は明示的に「エグゼクティブ」ロールを持っているため、暗黙的に「財務」ロールと「販売」ロールも持っています。

- また、User1は明示的に「BI作成者」ロールを持っているため、暗黙的に「BIコンシューマ」ロールも持っています。

- したがって、User1のアプリケーション・ロールの扁平リストは、エグゼクティブ、BI作成者、財務、販売およびBIコンシューマとなります。

- 「エグゼクティブ」ロールの有効なパーミッションは、DashboardAに対するアクセス権なし、DashboardBに対する開くアクセス権、DashboardCに対するフル・コントロールです。「販売」ロールのDashboardAに対するアクセス権なしは、常に拒否が優先されるため、「エグゼクティブ」ロールの開くアクセス権に優先します。

- 「BI作成者」ロールの有効なパーミッションは、DashboardDに対する開くアクセス権および変更アクセス権、DashboardEに対するアクセス権なしです。「BI作成者」ロールのDashboardEに対するアクセス権なしは、常に拒否が優先されるため、「BIコンシューマ」ロールの開くアクセス権に優先します。

User1に付与された権限は、全体で次のようになります。

- DashboardAに対するアクセス権なし(「販売」ロールに対してアクセス権が明確に拒否されているため)。

- DashboardBに対する開くアクセス権。

- DashboardCに対するフル・コントロール。

- DashboardDに対する開くアクセス権と変更アクセス権(「BI作成者」ロールと「BIコンシューマ」ロールのアクセス権の論理和)。

- DashboardEに対するアクセス権なし(「BI作成者」ロールに対してアクセス権が明確に拒否されているため)。

削除されたカタログ・グループによるユーザーの権限の判別例

図に、カタログ・グループによる権限の判別方法の例を示します。

図の一番上にUser1のラベルが付いた四角形があり、User1がマネージャ・グループおよびカナダ・グループというカタログ・グループの明示的メンバーであることを示しています。User1の四角形の下には、四角形がさらに2つ接続されていて、左側がマネージャ・グループ、右側がカナダ・グループを表しています。

- マネージャ・グループの四角形は、マネージャ・グループが「管理へのアクセス」権限を付与されていて、マネージャ・グループ自体がマーケティング・グループと販売グループの両方のメンバーであることを示しています。

- カナダ・グループの四角形は、カナダ・グループが「カタログ」権限を付与され、「エージェント」権限を拒否されていて、カナダ・グループ自体がアメリカ・グループのメンバーであることを示しています。

マネージャ・グループの四角形の下には、四角形がさらに2つ接続されていて、左側がマーケティング・グループ、右側が販売グループを表しています。

- マーケティング・グループの四角形は、マーケティング・グループが「スコアカード」権限を付与されていることを示しています。

- 販売グループの四角形は、販売グループが「管理へのアクセス」権限を拒否され、「アンサーへのアクセス」権限を付与されていることを示しています。

最後に、カナダ・グループの四角形の下に1つの四角形が接続されていて、この四角形がアメリカ・グループを表しています。

- アメリカ・グループの四角形は、アメリカ・グループが「カタログ」権限を付与され、「エージェント」権限を付与されていることを示しています。

この例では、次のようになります。

- User1は明示的にマネージャ・グループに属しているため、暗黙的にマーケティング・グループと販売グループにも属しています。

- また、User1は明示的にカナダ・グループに属しているため、暗黙的にアメリカ・グループにも属しています。

- したがって、User1のカタログ・グループの初期リストは、マネージャ・グループとカナダ・グループとなります。必要な場合、User1のカタログ・グループの親リストは、マーケティング・グループ、販売グループおよびアメリカ・グループとなります。カタログ・グループの祖父母リストは、カタログ・グループ階層の深さが2レベルのみであるため、空です。

- マネージャ・グループの有効な権限は、付与された「管理」権限、付与された「スコアカード」権限、および付与された「アンサー」権限です。マネージャ・グループの「管理」に対する明示的レコードは、常に近い方の祖先カタログ・グループが遠い方の祖先カタログ・グループに優先するため、販売グループの暗黙的レコードに優先します。

- カナダ・グループの有効な権限は、付与された「カタログ」権限と、拒否された「エージェント」権限です。カナダ・グループの「カタログ」と「エージェント」の両方に対する明示的レコードは、常に近い方の祖先カタログ・グループが遠い方の祖先カタログ・グループに優先するため、アメリカ・グループの暗黙的レコードに優先します。

User1に付与された権限は、全体で次のようになります。

- 付与された「管理へのアクセス」権限(マネージャ・グループが販売グループに優先するため)。

- 付与された「スコアカード」権限。

- 付与された「アンサー」権限。

- 付与された「カタログ」権限(カナダ・グループがアメリカ・グループに優先するため)。

- 拒否された「エージェント」権限(カナダ・グループがアメリカ・グループに優先するため)。

削除されたカタログ・グループによるユーザーのパーミッションの判別例

次の図に、削除されたカタログ・グループによるパーミッションの判別方法の例を示します。

図の一番上にUser1のラベルが付いた四角形があり、User1がマネージャ・グループおよびカナダ・グループというカタログ・グループの明示的メンバーであることを示しています。User1の四角形の下には、四角形がさらに2つ接続されていて、左側がマネージャ・グループ、右側がカナダ・グループを表しています。

- マネージャ・グループの四角形は、マネージャ・グループがDashboardAに対して開くアクセス権を持っていて、マネージャ・グループ自体がマーケティング・グループと販売グループの両方のメンバーであることを示しています。

- カナダ・グループの四角形は、カナダ・グループがDashboardDに対して開くアクセス権を持ち、DashboardEに対してアクセス権がなく、カナダ・グループ自体がアメリカ・グループのメンバーであることを示しています。

マネージャ・グループの四角形の下には、四角形がさらに2つ接続されていて、左側がマーケティング・グループ、右側が販売グループを表しています。

- マーケティング・グループの四角形は、マーケティング・グループがDashboardBに対して開くアクセス権を持っていることを示しています。

- 販売グループの四角形は、販売グループがDashboardCに対してフル・コントロールを持ち、DashboardAに対してアクセス権がないことを示しています。

最後に、カナダ・グループの四角形の下に1つの四角形が接続されていて、この四角形がアメリカ・グループを表しています。

- アメリカ・グループの四角形は、アメリカ・グループがDashboardDに対して変更アクセス権を、DashboardEに対して開くアクセス権を持っていることを示しています。

この例では、次のようになります。

- User1は明示的にマネージャ・グループに属しているため、暗黙的にマーケティング・グループと販売グループにも属しています。

- また、User1は明示的にカナダ・グループに属しているため、暗黙的にアメリカ・グループにも属しています。

- したがって、User1のカタログ・グループの初期リストは、マネージャ・グループとカナダ・グループとなります。必要な場合、User1のカタログ・グループの親リストは、マーケティング・グループ、販売グループおよびアメリカ・グループとなります。カタログ・グループの祖父母リストは、カタログ・グループ階層の深さが2レベルのみであるため、空です。

- マネージャ・グループの有効なパーミッションは、DashboardAに対する開くアクセス権、DashboardBに対する開くアクセス権、DashboardCに対するフル・コントロールです。マネージャ・グループのDashboardAに対する明示的レコードは、常に近い方の祖先カタログ・グループが遠い方の祖先カタログ・グループに優先するため、販売グループの暗黙的レコードに優先します。

- カナダ・グループの有効なパーミッションは、DashboardDに対する開くアクセス権、DashboardEに対するアクセス権なしです。カナダ・グループのDashboardDとDashboardEの両方に対する明示的レコードは、常に近い方の祖先カタログ・グループが遠い方の祖先カタログ・グループに優先するため、アメリカ・グループの暗黙的レコードに優先します。

User1に付与された権限は、全体で次のようになります。

- DashboardAに対する開くアクセス権(マネージャ・グループが販売グループに優先するため)。

- DashboardBに対する開くアクセス権。

- DashboardCに対するフル・コントロール。

- DashboardDに対する開くアクセス権(カナダ・グループがアメリカ・グループに優先するため)。

- DashboardEに対するアクセス権なし(カナダ・グループがアメリカ・グループに優先するため)。

ユーザーへの共有ダッシュボードの提供

この項では、ユーザーへの共有ダッシュボードの提供について説明します。内容は次のとおりです。

- 共有ダッシュボードのカタログ構造について

- 共有ダッシュボードの作成

- ダッシュボードのテスト

- ユーザー・コミュニティへのダッシュボードのリリース

共有ダッシュボードのカタログ構造について

共有ダッシュボードの「マイ・フォルダ」および「共有フォルダ」のカタログ構造について学習します。

Oracle BIプレゼンテーション・カタログには、次の2つのメイン・フォルダがあります。

- 「マイ・フォルダ」には、個々のユーザーの個人用ストレージが含まれます。計算された項目やグループなどのオブジェクトを保存する「サブジェクト・エリアのコンテンツ」フォルダが含まれます。

- 「共有フォルダ」には、ユーザー間で共有されるオブジェクトやフォルダが含まれます。ユーザー間で共有されるダッシュボードは、/「共有フォルダ」フォルダの下にある共通サブフォルダの下の「ダッシュボード」サブフォルダに保存されます

注意:

Oracle BIプレゼンテーション・カタログの分析に対する権限がユーザーに付与されていても、ユーザーが権限を持たないサブジェクト・エリアをこの分析が参照している場合、BIサーバーではこのユーザーは分析を実行できません。

共有ダッシュボードの作成

Oracle BIプレゼンテーション・カタログをセットアップし、権限を設定した後、他のユーザーが使用できるように、共有ダッシュボードとコンテンツを作成できます。

共有ダッシュボードを作成するメリットの1つは、共有ダッシュボード内で作成するページが再利用できる点です。ユーザーは、共有ダッシュボードのページや自分で作成した新しいページを使用して専用のダッシュボードを作成できます。『Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の説明に従って、ページとコンテンツを追加できます。

複数のユーザーにデフォルトの共有ダッシュボードの変更を許可する予定の場合は、これらのユーザーをアプリケーション・ロールに入れることを検討してください。たとえば、Salesというアプリケーション・ロールとSalesHomeというデフォルトのダッシュボードを作成するとします。Salesアプリケーション・ロールを割り当てたユーザー40人のうち、SalesHomeダッシュボードのコンテンツの作成/変更権限が必要なユーザーは3人です。最初のSalesアプリケーション・ロールと同じ権限を持つSalesAdminアプリケーション・ロールを作成します。SalesHomeダッシュボードとコンテンツの変更が許可されたユーザー3人を、この新しいSalesAdminアプリケーション・ロールに追加し、Oracle BIプレゼンテーション・カタログで、該当する権限をこのロールに付与します。これにより、この3人のユーザーは、SalesHomeダッシュボードのコンテンツの作成と変更が許可されます。ダッシュボードのコンテンツの変更権限がユーザーに不要になった場合は、そのユーザーのロール割当てをSalesに変更できます。既存のSalesロール・ユーザーにダッシュボードのコンテンツの作成権限が必要になった場合は、そのユーザーのロール割当てをSalesAdminに変更できます。

『Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のダッシュボードの管理に関する項を参照してください。

ダッシュボードのテスト

ユーザー・コミュニティにダッシュボードとコンテンツをリリースする前に、いくつかのテストを実行します。

1. 適切な権限を持つユーザーが目的のコンテンツに正しくアクセスして表示していることを確認します。

2. 適切な権限を持たないユーザーがダッシュボードにアクセスできないことを確認します。

3. スタイルとスキンが予想どおりに表示され、その他のビジュアル要素も予想どおりであることを確認します。

4. 検出された問題をすべて修正して再度テストします。満足のいく結果が得られるまでこのプロセスを繰り返します。

ユーザー・コミュニティへのダッシュボードのリリース

テスト完了後の作業。

ダッシュボードが使用可能であることをユーザー・コミュニティに通知し、関連するネットワーク・アドレスを確実に提供します。

ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御

この項では、保存済カスタマイズの概要と、保存済カスタマイズの管理に関する情報について説明します。次の項目が含まれます。

- ダッシュボードの保存済カスタマイズの概要

- 保存済カスタマイズの管理

- 保存済カスタマイズを作成するための権限の設定

- 保存済カスタマイズを管理するための使用シナリオ例

ダッシュボードの保存済カスタマイズの概要

保存済カスタマイズを使用すると、最もよく使用するアイテムや好みのアイテム(フィルタ、プロンプト、列のソート、分析でのドリル、セクションの展開と縮小など)を使用した現在の状態でダッシュボード・ページを保存し、表示できます。

カスタマイズを保存することで、ユーザーは、ダッシュボード・ページにアクセスするたびにこれらを手動で選択する必要がなくなります。

適切な権限とダッシュボードのアクセス権を持つユーザーとグループは、次のアクティビティを行えます。

- 個人で使用するため、あるいは他のユーザーが使用するために、様々な選択の組合せを保存済カスタマイズとして保存します。

- 個人で使用するため、あるいは他のユーザーが使用するために、保存済カスタマイズをダッシュボード・ページのデフォルト・カスタマイズに指定します。

- 保存済カスタマイズを切り替えます。

この動作は次の方法で制限できます。

- ユーザーは、割り当てられた保存済カスタマイズのみを表示できます。

- ユーザーは、個人で使用する目的でのみカスタマイズを保存できます。

- ユーザーは、個人使用および他のユーザーによる使用を目的としてカスタマイズを保存できます。

保存済カスタマイズの管理

このトピックでは、保存済カスタマイズの管理に必要な権限について説明します。

Oracle BIプレゼンテーション・サービス管理では、ダッシュボード・エリアの次の権限と、主要なダッシュボード要素の権限設定によって、ユーザーまたはグループがカスタマイズを保存または割当てできるかどうかが制御されます。

- カスタマイズの保存

- デフォルト・カスタマイズの割当て

必要なアクセス・レベルに応じて、ユーザーまたはグループにいずれかの権限を割り当てるか、一方の権限または両方の権限を割り当てることができます。たとえば、どちらの権限も持たないユーザーは、デフォルト・カスタマイズとして割り当てられている保存済カスタマイズのみを表示できます。

ユーザーが、共有および個人用の保存済カスタマイズでOracle BIプレゼンテーション・カタログを管理するには、権限が必要です。

保存済カスタマイズを作成するための権限の設定

このトピックでは、保存済カスタマイズを作成するためにユーザーに付与可能なユーザー・ロールと特定の権限設定について説明します。

ユーザー・ロール

権限の設定

ITユーザーなどのパワー・ユーザーは、次のタスクを実行します。

- 基礎となるダッシュボードを作成および編集する

- ダッシュボード・ビュー・プリファレンスをカスタマイズとして保存する

- デフォルト・カスタマイズとしてカスタマイズを他のユーザーに割り当てる

カタログの「共有」セクションで、次のフォルダにフル・コントロール・パーミッションが必要です。

- dashboard_name

- _selection

- _defaults

追加の権限を割り当てる必要はありません。

マネージャなどの技術ユーザーは、次のタスクを実行します。

- 個人使用を目的とするカスタマイズとしてカスタマイズを保存する

- 他のユーザーによる使用を目的にカスタマイズを保存する

ユーザーは、基礎となるダッシュボードを作成または編集したり、デフォルト・カスタマイズとしてビュー・カスタマイズを他のユーザーに割り当てることはできません。

カタログの「共有」セクションで、次のフォルダに「表示」権限が必要です。

- dashboard_name

カタログの「共有」セクションで、次のフォルダに「変更」権限が必要です。

- _selections

- _defaults

追加の権限を割り当てる必要はありません。

個人使用のみを目的にカスタマイズを保存する通常のユーザー。

Oracle BIプレゼンテーション・サービス管理で、次の権限が設定されている必要があります。

- カスタマイズの保存

ダッシュボード・ページで、次のオプションが設定されている必要があります。

- 「個人のカスタマイズの保存の許可」

カタログで、追加の権限を割り当てる必要はありません。

割り当てられたデフォルト・カスタマイズのみの表示を必要とするカジュアル・ユーザー

カタログの「共有」セクションで、ユーザーには、次のフォルダへの「表示」権限が必要です。

- dashboard_name

- _selections

- _defaults

カタログで、追加の権限を割り当てる必要はありません。

保存済カスタマイズを管理するための使用シナリオ例

設定された権限と付与された権限に応じて、保存済カスタマイズを作成、割当て、使用するためのユーザー権限およびグループ権限の様々な組合せを実現できます。

たとえば、パワー・ユーザーのグループは、本番環境ではダッシュボードを変更できませんが、保存済カスタマイズを作成し、それらをデフォルト・カスタマイズとして他のユーザーに割り当てることは許可されているものとします。このグループには次の権限設定が必要です。

- ダッシュボードへの開くアクセス権。「カタログ」ページを使用します。

- Oracle BIプレゼンテーション・カタログのダッシュボード・フォルダ内のサブフォルダ_selectionsおよび_defaultsへの変更アクセス権。ダッシュボード・ビルダーの「ダッシュボードのプロパティ」ダイアログを使用して割り当てます。ダイアログのリストでページを選択した後、「共有のカスタマイズを保存できるユーザーの指定」および「デフォルト・カスタマイズを割り当てることができるユーザーの指定」をクリックします。

ユーザーによる他のユーザーの代理の有効化

この項では、他のユーザーの代理実行の有効化について説明します。内容は次のとおりです。

- 他のユーザーの代理実行を有効化する理由

- プロキシ・レベルとは

- 他のユーザーの代理実行を有効化するプロセス

他のユーザーの代理実行を有効化する理由

Oracle BIプレゼンテーション・サービスでは、あるユーザーが別のユーザーの代理で実行できます。

ユーザー(プロキシ・ユーザーと呼ばれる)がターゲット・ユーザーの代理で実行する場合、プロキシ・ユーザーは、ターゲット・ユーザー(別のユーザー)が権限を持つカタログ内のオブジェクトにアクセスできます。

別のユーザーの代理実行を有効化すると、管理者が自分の業務の一部を直属の部下に委任する場合や、ITサポート・スタッフが別のユーザーのオブジェクトの問題をトラブルシューティングする場合などに役立ちます。

プロキシ・レベルとは

ユーザーをプロキシ・ユーザーとして有効にした場合は、認可レベル(プロキシ・レベルと呼ばれる)も割り当てます。プロキシ・レベルは、ターゲット・ユーザーのカタログ・オブジェクトにアクセスするときに、プロキシ・ユーザーに付与されるパーミッションと権限を決定します。

次のリストは、プロキシ・レベルを説明しています。

- 制限付き
ユーザーには、ターゲット・ユーザーがアクセス可能なオブジェクトに対する読取り専用パーミッションが付与されます。権限は、ターゲット・ユーザーのアカウントではなく、プロキシ・ユーザーのアカウントによって決まります。

たとえば、プロキシ・ユーザーにはアンサーへのアクセス権限が割り当てられておらず、ターゲット・ユーザーには割り当てられているとします。プロキシ・ユーザーがターゲット・ユーザーとして実行するときに、ターゲット・ユーザーはアンサーにアクセスできません。

- フル
ユーザーは、ターゲット・ユーザーのアカウントからパーミッションと権限を継承します。

たとえば、プロキシ・ユーザーにはアンサーへのアクセス権限が割り当てられておらず、ターゲット・ユーザーには割り当てられているとします。プロキシ・ユーザーがターゲット・ユーザーとして実行するときに、ターゲット・ユーザーはアンサーにアクセスできます。

ユーザーがプロキシ・ユーザーとして動作できるようにし、そのユーザーに代理として実行権限が設定されている場合は、プレゼンテーション・サービスのグローバル・ヘッダーに「別ユーザーとして実行」オプションを表示し、代理実行するターゲット・ユーザーを選択できます。

プロキシ・ユーザーがターゲット・ユーザーとして操作を実行するには、事前に、ターゲット・ユーザーが少なくとも1回はプレゼンテーション・サービスにサインインしてダッシュボードにアクセスしている必要があります。

注意:

別のユーザーがプロキシ・ユーザーとしてあなたを偽装できる場合は、あなたの代理として実行できるパーミッションを持ったユーザーを参照できます。これらのユーザーを表示するには、Oracle Business Intelligenceにログインして、「マイ・アカウント」ダイアログ・ボックスに移動し、「ユーザーに委任」タブを表示します。このタブに、代理で接続可能なユーザーと、代理で接続したときに保持するパーミッション(「制限付き」または「フル」)が表示されます。

他のユーザーの代理実行を有効化するプロセス

他のユーザーの代理実行を可能にするには、次のタスクを実行します。

- プロキシ・ユーザーとターゲット・ユーザーの関連付けの定義

- プロキシ機能のセッション変数の作成

- プロキシ機能の構成ファイルの設定の変更

- プロキシ機能のカスタム・メッセージ・テンプレートの作成

プロキシ・ユーザーとターゲット・ユーザーの関連付けの定義

プロキシ・ユーザーとターゲット・ユーザーの関連付けをデータベース内で定義します。そのためには、プロキシ・ユーザー/ターゲット・ユーザーの関連付けごとに、次の項目を指定します。

- プロキシ・ユーザーのID

- ターゲット・ユーザーのID

- プロキシ・レベル(フルと制限付きのどちらか)

たとえば、次のようなProxiesという表をデータベース内に作成するとします。

proxyId

targetId

proxyLevel

Ronald

Eduardo

フル

Timothy

Tracy

制限付き

Pavel

Natalie

フル

William

Sonal

制限付き

Maria

Imran

制限付き

プロキシ・ユーザーとターゲット・ユーザーの関連付けを定義した後、そのスキーマをBIサーバーの物理レイヤーにインポートする必要があります。

プロキシ機能のセッション変数の作成

プロキシ・ユーザーを認証するには、関連付けられた初期化ブロックとともに、2つのセッション変数を作成する必要があります。どちらの変数の場合も、データベース・スキーマを使用して、サンプルのSQL文を変更します。

- PROXY
PROXY変数を使用して、プロキシ・ユーザーの名前を格納します。

初期化ブロックProxyBlockを使用し、次のようなコードを含めます。

select targetId from Proxies where UPPER(targetid) = UPPER('VALUEOF(NQ_SESSION.RUNAS)') and UPPER(proxyid) = UPPER(':USER')

- PROXYLEVEL
PROXYLEVEL変数を使用して、プロキシ・レベルを制限付きまたはフルとして格納します。PROXYLEVEL変数を作成しない場合は、制限付きレベルが想定されます。

ProxyLevelという初期化ブロックを使用し、次のようなコードを含めます。

select proxyLevel from Proxies where UPPER(targetid) = UPPER('VALUEOF(NQ_SESSION.RUNAS)') and UPPER(proxyid) = UPPER(':USER')

プロキシ機能の構成ファイルの設定の変更

instanceconfig.xmlファイルの様々な要素を使用して、プロキシ機能を構成します。

「プロキシ機能のカスタム・メッセージ・テンプレートの作成」を参照してください

1. 編集のためにinstanceconfig.xmlファイルを開きます。

2. 構成ファイルで、次の要素を追加するセクションを見つけます。

- TemplateMessageName要素およびMaxValues要素の親要素としてのLogonParam。

- TemplateMessageName。プロキシ・ユーザーとターゲット・ユーザーの表示に関連するタスクを実行するSQL文を含む、Custom Messagesフォルダ内のカスタム・メッセージ・テンプレートの名前を指定します。デフォルト名はLogonParamSQLTemplateです。
TemplateMessageName要素で指定する名前は、カスタム・メッセージ・ファイル内のWebMessage要素で指定する名前と一致している必要があります。

- MaxValues。「別ユーザーとして実行」ダイアログの「ユーザー」フィールドにリストする、ターゲット・ユーザーの最大数を指定します。
プロキシ・ユーザーのターゲット・ユーザー数がMaxValuesを上回ると、プロキシ・ユーザーがターゲット・ユーザーのIDを入力するための編集ボックスが表示されます。デフォルト値は200です。

3. 次の例に示すように、要素とその子要素を含めます。

<LogonParam>
<TemplateMessageName>LogonParamSQLTemplate</TemplateMessageName>
<MaxValues>100</MaxValues>
</LogonParam>

4. 変更内容を保存し、ファイルを閉じます。

5. Oracle Business Intelligenceを再起動します。

プロキシ機能のカスタム・メッセージ・テンプレートの作成

次のタスクを実行するSQL文を含む、プロキシ機能のカスタム・メッセージ・テンプレートを作成する必要があります。

- プロキシ・ユーザーが代理実行できるターゲット・ユーザーのリストを取得します。このリストは、「別ユーザーとして実行」ダイアログ・ボックスの「ユーザー」フィールドに表示されます。

- プロキシ・ユーザーが、ターゲット・ユーザーとして実行できるかどうかを確認します。

- ターゲット・ユーザーとして実行可能なプロキシ・ユーザーのリストを取得します。このリストは、ターゲット・ユーザーの「マイ・アカウント」画面に表示されます。

カスタム・メッセージ・テンプレートで、次のXML要素のこの情報を取得するためのSQL文を入力します。

要素

説明

getValues

ターゲット・ユーザーおよび対応するプロキシ・レベルのリストを返すSQL文を指定します。

SQL文は次の1つまたは2つの列を返す必要があります。

- 1列目はターゲット・ユーザーのIDを返します。

- (オプション)2列目は、ターゲット・ユーザーの名前を返します。

verifyValue

現在のユーザーが、指定されたターゲット・ユーザーとして実行できるかどうかを確認するSQL文を指定します。

このSQL文は、ターゲット・ユーザーが有効な場合は1つ以上の行を返し、ターゲット・ユーザーが無効な場合は空の表を返す必要があります。

getDelegateUsers

現在のユーザーとして実行できるプロキシ・ユーザーおよび対応するプロキシ・レベルのリストを取得するためのSQL文を指定します。

SQL文は次の1つまたは2つの列を返す必要があります。

- 1列目はプロキシ・ユーザーの名前を返します。

- (オプション)2列目は、対応するプロキシ・レベルを返します。

カスタム・メッセージ・テンプレートは、次のファイルのいずれかに作成できます。

- ディレクトリ内のオリジナルのカスタム・メッセージ・ファイル

- ディレクトリ内の別のXMLファイル

WebMessage要素で指定する名前は、instanceconfig.xmlファイル内のTemplateMessageName要素で指定する名前と一致している必要があります。「プロキシ機能の構成ファイルの設定の変更」を参照してください。

1. オリジナルのカスタム・メッセージ・ファイルにカスタム・メッセージ・テンプレートを作成するには:

a. 別のディレクトリに、オリジナルのカスタム・メッセージ・ファイルのバックアップを作成します。

b. 別のディレクトリに開発用コピーを作成して、テキスト・エディタまたはXMLエディタで開きます。

2. 個別のXMLファイルにカスタム・メッセージ・テンプレートを作成するには、BI_DOMAIN/bidata/components/OBIPS/custommessagesディレクトリにファイルを作成して開きます。
WebLogic Serverでアプリケーションとしてフォルダ(custommessages)を構成し、Oracle BIプレゼンテーション・サービスに認識させる必要があります。

3. WebMessage要素の開始タグと終了タグを追加してカスタム・メッセージ・テンプレートを開始します。次に例を示します。

<WebMessage name="LogonParamSQLTemplate">
</WebMessage>

4. </WebMessage>タグに続けて、次のようにします。

a. <XML>タグと</XML>タグを追加します。

b. <XML>タグと</XML>タグの間に、<logonParam name="RUNAS">タグと</logonParam>タグを追加します。

c. <logonParam name="RUNAS">要素と</logonParam>要素の間に、次の各要素とそれぞれに対応するSQL文を一緒に追加します。

- <getValues>と</getValues>

- <verifyValue>と</verifyValue>

- <getDelegateUsers>と</getDelegateUsers>

次のエントリは例です。

<?xml version="1.0" encoding="utf-8" ?>
<WebMessageTables xmlns:sawm="com.example.analytics.web.messageSystem">
<WebMessageTable system="SecurityTemplates" table="Messages">
<WebMessage name="LogonParamSQLTemplate">
<XML>
<logonParam name="RUNAS">
<getValues>EXECUTE PHYSICAL CONNECTION POOL "01 - Sample App Data  (ORCL)"."Sample Relational Connection" select targetId from SAMP_USERS_PROXIES where proxyId='@{USERID}'</getValues>
<verifyValue>EXECUTE PHYSICAL CONNECTION POOL "01 - Sample App Data (ORCL)"."Sample Relational Connection" select targetId from SAMP_USERS_PROXIES where proxyId='@{USERID}' and targetId='@{VALUE}'</verifyValue>
<getDelegateUsers>EXECUTE PHYSICAL CONNECTION POOL "01 - Sample App Data (ORCL)"."Sample Relational Connection" select proxyId, proxyLevel from SAMP_USERS_PROXIES where targetId='@{USERID}'</getDelegateUsers>
</logonParam>
</XML>
</WebMessage>
</WebMessageTable>
</WebMessageTables>

例のSQL文はデータベースのスキーマに従って変更する必要があります。例では、データベースと接続プールはどちらもProxyという名前で、proxyIdはPROXYER、targetIdはTARGETです。

5. オリジナル・ファイルの開発用コピーでカスタム・メッセージ・テンプレートを作成した場合は、カスタム・メッセージ・ディレクトリ内のオリジナル・ファイルを、新たに編集したファイルで置き換えます。

6. 新しいファイルをテストします。

7. (オプション)オリジナル・ファイルの開発用コピーでカスタム・メッセージ・テンプレートを作成した場合は、バックアップ・コピーと開発用コピーを削除します。

8. サーバーを再起動するか、BIサーバーの管理画面で「ファイルとメタデータの再ロード」リンクをクリックして、カスタム・メッセージ・テンプレートをロードします。

Oracleの法律上の注意点

コピーライト

Copyright © 1994-2018, Oracle and/or its affiliates. All rights reserved.

ライセンス制約の保証と結果的に生じる損害の免責

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

保証免責

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクルまでご連絡ください。

制限付権利について

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

危険な用途への使用について

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、Oracle Corporationおよびその関連会社は一切の責任を負いかねます。

商標と登録商標について

OracleおよびJavaはオラクルおよびその関連会社の登録商標です。その他の社名、商品名等は各社の商標または登録商標である場合があります。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

第三者のコンテンツ、製品、サービスに対する免責事項

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。適用されるお客様とOracle Corporationとの間の契約に別段の定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。適用されるお客様とOracle Corporationとの間の契約に定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

Pre-General Availability (一般提供前)版のドキュメントについて

このドキュメントがPre-General Availability (一般提供前)版の場合:

このドキュメントはPre-General Availability (一般提供前)版であり、デモおよび暫定使用のみを目的としたものです。このソフトウェアを使用するハードウェアに限定するものではありません。Oracle Corporationおよびその関連会社は、このドキュメントに関して一切の責任を負わず、いかなる保証もいたしません。また、このドキュメントを使用したことによって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

非公開のPre-General Availability (一般提供前)版のドキュメントについて

このドキュメントが非公開のPre-General Availability (一般提供前)版の場合:

このドキュメントに含まれる情報は、情報の共有のみを目的としたものであって、顧客諮問委員会(Customer Advisory Board)のメンバーとしてのお客様の立場でのみ、またはお客様のPre-General Availability Trial Agreement (Pre-GAトライアル契約)のみに従って検討されるべきものとします。マテリアル、コード、または機能の提供をお約束するものではなく、購入決定を行う際の判断材料とすべきではありません。このドキュメントに記載されている特徴または機能の開発、リリースおよび時期については、オラクルの裁量により決定されます。

このドキュメントには、ソフトウェアまたは印刷物などの形式を問わず、オラクルが独占的な権利を有する財産的情報が含まれています。この機密資料へのアクセスと使用は、お客様とオラクルとの間で締結され、お客様が遵守に同意した、Oracle Master Agreement、Oracle License and Oracle Services Agreement (オラクル・ライセンスおよびサービスに関する契約書)、Oracle Partner Network Agreement、Oracle Distribution Agreementまたはその他のライセンス契約の条件に従うものとします。このドキュメントとその内容の開示、コピー、複製および配布には、オラクルによる事前の承諾を必要とします。このドキュメントはライセンス契約の一部となるものではなく、オラクルおよびその子会社や関連会社との契約を構成するものではありません。

ドキュメントのアクセシビリティ

オラクルのアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWebサイト(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc)を参照してください。

Oracle Supportへのアクセス

サポートをご契約のお客様には、My Oracle Supportを通して電子支援サービスを提供しています。詳細情報は(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info)か、聴覚に障害のあるお客様は(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs)を参照してください。