1. Azure Active Directoryアプリケーションの構成
  2. コネクタの使用

5 コネクタの使用

自分の要件を満たすようにアプリケーションを構成したら、コネクタを使用してリコンシリエーションおよびプロビジョニング操作を実行できます。

5.1 リコンシリエーションの構成

コネクタを構成して、リコンシリエーションのタイプおよびそのスケジュールを指定できます。

この項では、リコンシリエーションの構成に関する次の項目について説明します。

5.1.1 完全リコンシリエーションおよび増分リコンシリエーションの実行

完全リコンシリエーションでは、既存のすべてのユーザー・レコードをターゲット・システムからOracle Identity Governanceへリコンサイルします。アプリケーションを作成した後はまず、完全リコンシリエーションを実行する必要があります。

完全リコンシリエーションを実行するには、Latest TokenとFilter Suffixの各パラメータに現在割り当てられている値を削除し、「リコンシリエーション・ジョブ」の項にリストされているリコンシリエーション・ジョブの1つを実行します。

Azure ADコネクタでは、増分リコンシリエーションのオプションはデフォルトでは有効になっていません。コネクタでは、ターゲット・システムにオブジェクトの作成または変更のタイムスタンプが格納される属性が含まれている場合にのみ、増分リコンシリエーションをサポートします。

増分リコンシリエーションの構成

増分リコンシリエーションを実行する必要がある場合は、次のように増分リコンシリエーションを構成します。

ノート:

Azure ADコネクタでは、増分リコンシリエーションのオプションはデフォルトでは有効になっていません。コネクタでは、ターゲット・システムにオブジェクトの作成または変更のタイムスタンプが格納される属性が含まれている場合にのみ、増分リコンシリエーションをサポートします。

たとえば、lastDirSyncTimeがAzureADユーザー・リコンシリエーション・スケジュール済ジョブに対して指定したサンプルのIncremental Recon Attributeであるとします。完全リコンシリエーションを初めて実行した後、コネクタによって、Latest Tokenパラメータにタイムスタンプが移入されます。その後、リコンシリエーションを実行すると、Latest Tokenタイムスタンプよりも後に作成または更新されたユーザー・レコードのみがコネクタによってフェッチされます。

  1. 増分リコンシリエーション・ジョブを実行する前に、まず、信頼できるリコンシリエーション/ターゲット・ユーザー・リコンシリエーション・ジョブを実行し、Incremental Recon Attributeの値をlastDirSyncTimeとして構成します。

    ノート:

    lastDirSyncTimeはサンプル属性です。この属性名は実際の本番インスタンスとは異なる場合があります。

  2. リコンシリエーション・ジョブが正常に実行された後、Latest Token属性が更新されます。

    サンプルの最新トークン値: <String>2020-05-06T17:27:34Z</String>

  3. Identity Self Serviceアプリケーションを開きます。

  4. 「管理」をクリックします。

  5. 「アプリケーション」をクリックします。

  6. 作成したアプリケーションを検索して開きます。

  7. 「拡張設定」オプションを展開し、relURIsの値を要件に応じて変更します。

    • ユーザーとグループの両方に対して増分リコンシリエーションをサポートするには、ステップ8を実行します。

    • ユーザーに対してのみ増分リコンシリエーションをサポートするには、ステップ9を実行します。

  8. ユーザー・リコンシリエーション・ジョブとグループ・リコンシリエーション・ジョブを使用するには、relURIsを次のように変更します。

    • 認可アプリケーションの場合、relURIsを次のように変更します: "__ACCOUNT__.CREATEOP=/$(api_version)$/users?","__ACCOUNT__.UPDATEOP=/$(api_version)$/users/$(__UID__)$","__ACCOUNT__.SEARCHOP=/$(api_version)$/users?$filter=$(Incremental Recon Attribute)$+ge+$(Latest Token)$&$select=assignedLicenses,displayName,userType,givenName,userPrincipalName,id,$(Incremental Recon Attribute)$,city,usageLocation,accountEnabled,mailNickname,country&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$","__ACCOUNT__=/$(api_version)$/users/$(__UID__)$?$select=displayName,givenName,userPrincipalName,id,preferredLanguage,usageLocation,accountEnabled,surname,country","__ACCOUNT__.manager.SEARCHOP=/$(api_version)$/users/$(__UID__)$/manager","__ACCOUNT__.manager=/$(api_version)$/users/$(__UID__)$/manager/$ref"

    • ターゲット・アプリケーションの場合、relURIsを次のように変更します: "__ACCOUNT__.CREATEOP=/$(api_version)$/users?","__ACCOUNT__.UPDATEOP=/$(api_version)$/users/$(__UID__)$","__ACCOUNT__.SEARCHOP=/$(api_version)$/users?$filter=$(Incremental Recon Attribute)$+ge+$(Latest Token)$&$select=assignedLicenses,displayName,userType,givenName,userPrincipalName,id,$(Incremental Recon Attribute)$,city,usageLocation,accountEnabled,mailNickname,country&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$","__ACCOUNT__=/$(api_version)$/users/$(__UID__)$?$select=assignedLicenses,displayName,givenName,userPrincipalName,id,createdDateTime,city,usageLocation,accountEnabled,mailNickname,country","__ACCOUNT__.manager.SEARCHOP=/$(api_version)$/users/$(__UID__)$/manager","__ACCOUNT__.manager=/$(api_version)$/users/$(__UID__)$/manager/$ref","__ACCOUNT__.__GROUP__.SEARCHOP=/$(api_version)$/users/$(__UID__)$/memberOf?&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$","__ACCOUNT__.__GROUP__.DELETEOP=/$(api_version)$/groups/$(__GROUP__.id)$/members/$(__UID__)$/$ref","__ACCOUNT__.__GROUP__=/$(api_version)$/groups/$(__GROUP__.id)$/members/$ref","__GROUP__.CREATEOP=/$(api_version)$/groups","__GROUP__.UPDATEOP=/$(api_version)$/groups/$(__UID__)$","__GROUP__.SEARCHOP=/$(api_version)$/groups?&$filter=securityEnabled+eq+true+and+(Incremental Recon Attribute)$+ge+$(Latest Token)$&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$","__OFFICEGROUP__.SEARCHOP=/$(api_version)$/groups?&$filter=securityEnabled+eq+false+and+(Incremental Recon Attribute)$+ge+$(Latest Token)$&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$","__GROUP__=/$(api_version)$/groups/$(__UID__)$","__GROUP__.member=/$(api_version)$/groups/$(__UID__)$/members/$ref?","__ROLE__.SEARCHOP=/$(api_version)$/directoryRoles?/$(Filter Suffix)$","__ACCOUNT__.__ROLE__=/$(api_version)$/directoryRoles/$(__ROLE__.id)$/members/$ref","__ACCOUNT__.__ROLE__.DELETEOP=/$(api_version)$/directoryRoles/$(__ROLE__.id)$/members/$(__UID__)$/$ref","__ROLE__.member=/$(api_version)$/directoryRoles/$(__UID__)$/members/$ref","__ACCOUNT__.__ROLE__.SEARCHOP=/$(api_version)$/users/$(__UID__)$/memberOf?&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$","assignedLicenses.SEARCHOP=/$(api_version)$/subscribedSkus?/$(Filter Suffix)$","__ACCOUNT__.assignedLicenses.ADDATTRIBUTE=/$(api_version)$/users/$(__UID__)$/assignLicense","__ACCOUNT__.assignedLicenses.REMOVEATTRIBUTE=/$(api_version)$/users/$(__UID__)$/assignLicense","__ACCOUNT__.__OFFICEGROUP__=/$(api_version)$/groups/$(__OFFICEGROUP__.id)$/members/$ref","__ACCOUNT__.__OFFICEGROUP__.DELETEOP=/$(api_version)$/groups/$(__OFFICEGROUP__.id)$/members/$(__UID__)$/$ref","__ACCOUNT__.__OFFICEGROUP__.SEARCHOP=/$(api_version)$/users/$(__UID__)$/memberOf?&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$"
  9. ユーザー・リコンシリエーション・ジョブのみを使用するには、relURIsを次のように変更します。

    • 認可アプリケーションの場合、relURIsを次のように変更します: :"__ACCOUNT__.CREATEOP=/$(api_version)$/users?","__ACCOUNT__.UPDATEOP=/$(api_version)$/users/$(__UID__)$","__ACCOUNT__.SEARCHOP=/$(api_version)$/users?$filter=$(Incremental Recon Attribute)$+ge+$(Latest Token)$&$select=assignedLicenses,displayName,userType,givenName,userPrincipalName,id,$(Incremental Recon Attribute)$,city,usageLocation,accountEnabled,mailNickname,country&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$","__ACCOUNT__=/$(api_version)$/users/$(__UID__)$?$select=displayName,givenName,userPrincipalName,id,preferredLanguage,usage

    • ターゲット・アプリケーションの場合、relURIsを次のように変更します: "__ACCOUNT__.CREATEOP=/$(api_version)$/users?","__ACCOUNT__.UPDATEOP=/$(api_version)$/users/$(__UID__)$","__ACCOUNT__.SEARCHOP=/$(api_version)$/users?$filter=$(Incremental Recon Attribute)$+ge+$(Latest Token)$&$select=assignedLicenses,displayName,userType,givenName,userPrincipalName,id,city,$(Incremental Recon Attribute)$,usageLocation,accountEnabled,mailNickname,country&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$","__ACCOUNT__=/$(api_version)$/users/$(__UID__)$?$select=assignedLicenses,displayName,givenName,userPrincipalName,id,city,createdDateTime,usageLocation,accountEnabled,mailNickname,country","__ACCOUNT__.manager.SEARCHOP=/$(api_version)$/users/$(__UID__)$/manager","__ACCOUNT__.manager=/$(api_version)$/users/$(__UID__)$/manager/$ref","__ACCOUNT__.__GROUP__.SEARCHOP=/$(api_version)$/users/$(__UID__)$/memberOf?&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$","__ACCOUNT__.__GROUP__.DELETEOP=/$(api_version)$/groups/$(__GROUP__.id)$/members/$(__UID__)$/$ref","__ACCOUNT__.__GROUP__=/$(api_version)$/groups/$(__GROUP__.id)$/members/$ref","__GROUP__.CREATEOP=/$(api_version)$/groups","__GROUP__.UPDATEOP=/$(api_version)$/groups/$(__UID__)$","__GROUP__.SEARCHOP=/$(api_version)$/groups?&$filter=securityEnabled+eq+true&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$","__OFFICEGROUP__.SEARCHOP=/$(api_version)$/groups?&$filter=securityEnabled+eq+false&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$","__GROUP__=/$(api_version)$/groups/$(__UID__)$","__GROUP__.member=/$(api_version)$/groups/$(__UID__)$/members/$ref?","__ROLE__.SEARCHOP=/$(api_version)$/directoryRoles?/$(Filter Suffix)$","__ACCOUNT__.__ROLE__=/$(api_version)$/directoryRoles/$(__ROLE__.id)$/members/$ref","__ACCOUNT__.__ROLE__.DELETEOP=/$(api_version)$/directoryRoles/$(__ROLE__.id)$/members/$(__UID__)$/$ref","__ROLE__.member=/$(api_version)$/directoryRoles/$(__UID__)$/members/$ref","__ACCOUNT__.__ROLE__.SEARCHOP=/$(api_version)$/users/$(__UID__)$/memberOf?&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$","assignedLicenses.SEARCHOP=/$(api_version)$/subscribedSkus?/$(Filter Suffix)$","__ACCOUNT__.assignedLicenses.ADDATTRIBUTE=/$(api_version)$/users/$(__UID__)$/assignLicense","__ACCOUNT__.assignedLicenses.REMOVEATTRIBUTE=/$(api_version)$/users/$(__UID__)$/assignLicense","__ACCOUNT__.__OFFICEGROUP__=/$(api_version)$/groups/$(__OFFICEGROUP__.id)$/members/$ref","__ACCOUNT__.__OFFICEGROUP__.DELETEOP=/$(api_version)$/groups/$(__OFFICEGROUP__.id)$/members/$(__UID__)$/$ref","__ACCOUNT__.__OFFICEGROUP__.SEARCHOP=/$(api_version)$/users/$(__UID__)$/memberOf?&$top=$(PAGE_SIZE)$&$skiptoken=$(PAGE_TOKEN)$" Location,accountEnabled,surname,country","__ACCOUNT__.manager.SEARCHOP=/$(api_version)$/users/$(__UID__)$/manager","__ACCOUNT__.manager=/$(api_version)$/users/$(__UID__)$/manager/$ref"

  10. 増分リコンシリエーションを実行するためのユーザー・リコンシリエーション・スケジュール済ジョブを実行します。タイムスタンプ(Latest Token属性に移入されている)よりも後に作成または変更されたレコードのみが、コネクタによってフェッチされます。

5.1.2 制限付きリコンシリエーションの実行

制限付きつまりフィルタ済リコンシリエーションは、設定されたフィルタ基準に基づいてリコンサイルすることによりレコードの数を制限するプロセスです。

デフォルトでは、前回のリコンシリエーションの実行後に追加または変更されたすべてのターゲット・システム・レコードが、現在のリコンシリエーションの実行中にリコンサイルされます。リコンサイルする必要のある追加または変更されたターゲット・システム・レコードのサブセットを指定して、このプロセスをカスタマイズできます。これは、リコンシリエーション・モジュールのフィルタを作成して行います。

リコンシリエーション・モジュールのフィルタを作成して、制限付きリコンシリエーションを実行できます。APIバージョン1.6で有効なFilter Suffixの値の例を次に示します。

Filter Suffix値: &$filter=startswith(displayName,'john.doe')

このコネクタのFilter Suffix属性(スケジュール済タスクの属性)により、ターゲット・システムの任意の属性を使用してターゲット・システム・レコードをフィルタ処理できます。ユーザー・リコンシリエーション・スケジュール済ジョブの構成中に、Filter Suffix属性に値を指定します。

ノート:

Filter Suffix属性の値は、使用するAzure AD APIでサポートされる形式で指定します。

例:

  • 増分リコンシリエーションを構成し、かつ、バージョン1.6のAPIを使用している場合は、Filter Suffix属性の値を次の形式で設定します。

    APIバージョン1.6用のサンプルのFilter Suffix: %20and%20startswith(displayName,'user1')

  • 増分リコンシリエーションを構成しておらず、かつ、バージョン1.6のAPIを使用している場合は、Filter Suffix属性の値を次の形式で設定します。

    APIバージョン1.6用のサンプルのFilter Suffix: &$filter=startswith(displayName,'user1')

5.2 リコンシリエーション・ジョブの構成

ターゲット・システムで定期的に新しい情報をチェックしてOracle Identity Governanceにそのデータを複製するリコンシリエーションを実行するリコンシリエーション・ジョブを構成します。

この手順は、ユーザーと権限のためのリコンシリエーション・ジョブを構成する場合に適用できます。

リコンシリエーション・ジョブを構成するには、次のようにします。
  1. アイデンティティ・システム管理にログインします。
  2. 左ペインの「システム管理」で、「スケジューラ」をクリックします
  3. 次のようにして、スケジュール済ジョブを検索して開きます。
    1. 「検索」フィールドに、検索基準としてスケジュール済ジョブの名前を入力します。「拡張検索」をクリックして検索基準を指定することもできます。
    2. 左ペインの検索結果表で、「ジョブ名」列のスケジュール済ジョブをクリックします。
  4. 「ジョブの詳細」タブで、スケジュール済タスクのパラメータを変更できます。
    • 再試行: このフィールドには整数値を入力します。この数値は、ジョブに「停止済」ステータスを割り当てるまでに、スケジューラがジョブの開始を試行する回数を表します。
    • スケジュール・タイプ: ジョブを実行する頻度に応じて、適切なスケジュール・タイプを選択します。『Oracle Fusion Middleware Oracle Identity Governanceの管理』のジョブの作成に関する項を参照してください。

    ジョブ詳細を変更する他に、ジョブを有効化または無効化できます。

  5. 「ジョブの詳細」タブの「パラメータ」領域で、スケジュール済タスクの属性の値を指定します。

    ノート:

    すべての属性に値(デフォルトまたはデフォルト以外)を割り当てる必要があります。属性値を1つでも空白のままにした場合、リコンシリエーションは実行されません。

  6. 「適用」をクリックして変更を保存します。

    ノート:

    Identity System Administrationのスケジューラのステータス・ページを使用して、スケジューラを起動、停止または再初期化できます。

5.3 プロビジョニングの構成

Azure ADコネクタのプロビジョニング操作を構成できます。

この項では、次のトピックについて説明します。

5.3.1 プロビジョニング操作の実行に関するガイドライン

ここでは、プロビジョニング操作を実行する際に適用する必要があるガイドラインについて説明します。

  • ユーザーの作成プロビジョニング操作の場合、「ユーザー・プリンシパル名」フィールドの値をドメイン名とともに指定する必要があります。たとえばjdoe@example.comのように指定し、これは必須フィールドです。このほかにも、「表示名」、「パスワード」、メール・ニックネームおよび使用場所が必須フィールドです。

  • グループのプロビジョニング操作では、「表示名」およびメール・ニックネーム・フィールドの値を入力する必要があります。メール・ニックネーム・フィールドの値にスペースを含めることはできません。

5.3.2 プロビジョニング操作の実行

「ユーザーの作成」ページを使用して、Identity Self Serviceに新規ユーザーを作成します。アカウントのプロビジョニングやリクエストは「ユーザーの詳細」ページの「アカウント」タブで実行します。

Oracle Identity Governanceでプロビジョニング操作を実行するには、次のようにします。

  1. Identity Self Serviceにログインします。
  2. 次のようにユーザーを作成します。
    1. Identity Self Serviceで、「管理」をクリックします。「ホーム」タブには、異なる「管理」オプションが表示されます。「ユーザー」をクリックします。「ユーザーの管理」ページが表示されます。
    2. 「アクション」メニューから「作成」を選択します。または、ツールバーにある「作成」をクリックします。「ユーザーの作成」ページが表示され、ユーザー・プロファイル属性の入力フィールドが表示されます。
    3. 「ユーザーの作成」ページに、ユーザーの詳細を入力します。
  3. 「アカウント」タブで、「アカウントのリクエスト」をクリックします
  4. 「カタログ」ページで、以前に構成したコネクタのアプリケーション・インスタンスを検索してカートに追加した後、「チェックアウト」をクリックします。
  5. アプリケーション・フォームの各フィールドの値を指定し、「送信準備ができています」をクリックします
  6. 「送信」をクリックします。

関連項目:

「ユーザーの作成」ページ内のフィールドの詳細は、『Oracle Fusion Middleware Oracle Identity Governanceでのセルフ・サービス・タスクの実行』のユーザーの作成に関する項を参照してください

5.4 グループ管理に使用されるコネクタ・オブジェクト

グループ管理操作(作成や削除など)を実行するためにコネクタによって使用されるオブジェクトについて学習します。

5.4.1 グループの管理のための参照定義

コネクタを使用してアプリケーションを作成すると、グループの参照定義がOracle Identity Governanceで自動的に作成されます。

5.4.1.1 Lookup.AzureAD.GM.Configuration

Lookup.AzureAD.GM.Configuration参照定義には、グループ・オブジェクト・タイプに固有の構成エントリが含まれています。この参照定義は、ターゲット・システムがターゲット・リソースとして構成されているときに、グループ管理操作で使用されます。

表5-1 Lookup.AzureAD.GM.Configuration参照定義のエントリ

コード・キー デコード 説明

プロビジョニング属性マップ

Lookup.AzureAD.GM.ProvAttrMap

このエントリは、Oracle Identity Governanceとターゲット・システムの間の属性マッピングを保存する参照定義の名前を保持します。この参照定義は、プロビジョニング操作の際に使用されます。

リコンシリエーション属性マップ

Lookup.AzureAD.GM.ReconAttrMap

このエントリは、Oracle Identity Governanceとターゲット・システムの間の属性マッピングを保存する参照定義の名前を保持します。この参照定義は、リコンシリエーションの際に使用されます。
5.4.1.2 Lookup.AzureAD.GM.ProvAttrMap

Lookup.AzureAD.GM.ProvAttrMap参照定義には、プロセス・フォーム・フィールド(コード・キー値)とターゲット・システム属性(デコード)間のマッピングが含まれています。この参照定義は事前に構成されており、グループ・プロビジョニング操作の際に使用されます。

表5-2 Lookup.AzureAD.GM.ProvAttrMap参照定義のエントリ

Oracle Identity Governanceのグループ・フィールド AzureADフィールド

ObjectId

__UID__

説明

説明

メール有効

mailEnabled

メールのニックネーム

mailNickname

表示名

__NAME__

セキュリティ有効

securityEnabled
5.4.1.3 Lookup.AzureAD.GM.ReconAttrMap

Lookup.AzureAD.GM.ReconAttrMap参照定義には、リソース・オブジェクト・フィールド(コード・キー値)とターゲット・システム属性(デコード)間のマッピングが含まれています。この参照定義は事前に構成されており、ターゲット・リソースのグループ・リコンシリエーションの実行時に使用されます。

表5-3 Lookup.AzureAD.GM.ReconAttrMap参照定義のエントリ

Oracle Identity Governanceのグループ・フィールド AzureADフィールド

ObjectId

__UID__

説明

説明

メール有効

mailEnabled=”${mailEnabled}”

メールのニックネーム

mailNickname

表示名

__NAME__

セキュリティ有効

securityEnabled="${securityEnabled}"

OIM Org Name

OIM組織名

ノート: これはコネクタ属性です。この属性の値は、Oracle Identity Governanceのグループの組織を指定するために、コネクタによって内部的に使用されます。

5.4.2 グループ管理のためのリコンシリエーション・ルールとアクション・ルール

リコンシリエーション・エンジンがリコンシリエーション・ルールを使用して、ターゲット・システムで新たに検出されたアカウントにOracle Identity Governanceが割り当てる必要があるアイデンティティを判別します。リコンシリエーション・アクション・ルールでは、コネクタが定義されたリコンシリエーション・ルールに基づいて実行する必要があるアクションが定義されます。

5.4.2.1 グループのリコンシリエーション・ルール

グループのプロセス一致ルールを次に示します。

ルール名: AzureAD Groups Recon Rule

ルール要素: Organization Name Equals OIM Org Name

このルール要素の意味は次のとおりです。

  • Organization Nameは、OIMユーザー・フォームの「組織名」フィールドです。

  • OIM Org Nameは、Oracle Identity Governanceのグループの組織名です。OIM Org Nameは、AzureADグループ・リコンシリエーション・スケジュール済ジョブの「組織名」属性で指定された値です。

5.4.2.2 グループのリコンシリエーション・アクション・ルール

表5-4に、グループのリコンシリエーションのアクション・ルールを示します。

表5-4 グループ・リコンシリエーションのアクション・ルール

ルール条件 アクション

一致が見つからなかった場合

 なし

1つのエンティティ一致が見つかった場合

リンクの確立

1つのプロセス一致が見つかった場合

リンクの確立
5.4.2.3 リコンシリエーション・ルールの表示

コネクタを使用してアプリケーション作成した後、次のステップを実行して、リコンシリエーション・ルールを表示できます。

  1. Oracle Identity Governance Design Consoleにログインします。
  2. 「開発ツール」を開きます。
  3. 「リコンシリエーション・ルール」をダブルクリックします。
  4. AzureAD Groups Recon Ruleルールを検索します。

    図5-1にグループのリコンシリエーション・ルールを示します。

    図5-1 グループのリコンシリエーション・ルール

    これは、Azure ADコネクタのグループ・リコンシリエーション・ルールのスクリーンショットです。
5.4.2.4 リコンシリエーション・アクション・ルールの表示

コネクタを使用してアプリケーション作成した後、次のステップを実行して、グループのリコンシリエーション・アクション・ルールを表示できます。

  1. Design Consoleにログインします。
  2. 「Resource Management」を展開し、「Resource Objects」をダブルクリックします。
  3. AzureADグループ・リソース・オブジェクトを検索し、開きます。
  4. 「Object Reconciliation」タブ、「Reconciliation Action Rules」タブの順にクリックします。「Reconciliation Action Rules」タブに、コネクタに定義されているアクション・ルールが表示されます。図5-2に、グループのリコンシリエーション・アクション・ルールを示します。

    図5-2 グループのリコンシリエーション・アクション・ルール

    これは、グループのリコンシリエーション・アクション・ルールのスクリーンショットです。

5.4.3 グループ管理のためのリコンシリエーション・スケジュール済ジョブ

アプリケーションを作成すると、リコンシリエーションのスケジュール済ジョブがOracle Identity Governanceで自動的に作成されます。これらのスケジュール済ジョブを、その属性の値を指定して必要に合うように構成する必要があります。

Azure ADグループ・リコンシリエーションの属性に値を指定する必要があります。表5-5に、AzureADグループ・リコンシリエーション・ジョブの属性の説明を示します。

表5-5 AzureADグループ・リコンシリエーション・ジョブの属性

属性 説明

Filter Suffix

リコンシリエーションの実行時にターゲット・システムからフェッチされるユーザー・レコードの検索フィルタを入力します。この属性の詳細は、「制限付きリコンシリエーションの実行」を参照してください。

Object Type

この属性は、リコンシリエーションの実行用のオブジェクト・タイプの名前を保持します。

デフォルト値: Group

ノート: デフォルト値は変更しないでください。

Incremental Recon Attribute

トークン・レコードが変更されたタイムスタンプを保持する属性。

OIM組織名

リコンサイルするグループを作成または更新するOracle Identity Governance組織の名前を指定します。

ITリソース名

ユーザー・レコードのリコンサイル元のターゲット・システム・インストールに対するITリソースの名前を入力します。

デフォルト値: AzureAD

リソース・オブジェクト名

この属性は、リコンシリエーションに使用されるリソース・オブジェクトの名前を保持します。

デフォルト値: AzureAD Group

ノート: デフォルト値は変更しないでください。

Scheduled Task Name

リコンシリエーションに使用されるスケジュール済タスクの名前。

デフォルト値: Azure Group Recon

この属性の値は変更しないでください。

5.5 コネクタのアンインストール

Azure ADコネクタのアンインストールでは、そのリソース・オブジェクトに関連付けられているすべてのアカウント関連データを削除します。

なんらかの理由でコネクタをアンインストールする必要がある場合は、コネクタのアンインストール・ユーティリティを実行します。このユーティリティを実行する前に、ConnectorUninstall.propertiesファイルのObjectTypeとObjectValuesの各プロパティの値を設定したことを確認してください。たとえば、リソース・オブジェクト、スケジュール済タスクおよびコネクタに関連付けられたスケジュール済ジョブを削除する場合は、ObjectTypeプロパティの値としてResourceObject、ScheduleTask、ScheduleJobを入力し、ObjectValuesプロパティの値として、コネクタに対応するオブジェクト値のセミコロンで区切られたリストを入力します。

例: AzureAD User; AzureAD Group

ノート:

ConnectorNameとReleaseの各プロパティの値と同時にObjectTypeとObjectValueの各プロパティの値を設定すると、ObjectValuesにリストされたオブジェクトの削除はユーティリティによって実行され、コネクタ情報はスキップされます。

詳細は、『Oracle Fusion Middleware Oracle Identity Governanceの管理』のコネクタのアンインストールに関する項を参照してください。