UNIXコネクタを使用したアプリケーションの作成

2 UNIXコネクタを使用したアプリケーションの作成

コネクタを使用したアプリケーションのオンボードとそのための前提条件について学習します。

2.1 コネクタを使用したアプリケーション作成のプロセス・フロー

Oracle Identity Governanceリリース12.2.1.3.0以降では、Identity Self Serviceのアプリケーション・オンボード機能を使用してコネクタのデプロイメントが処理されます。

図2-1は、コネクタのインストール・パッケージを使用してOracle Identity Governanceでアプリケーションを作成するステップの概要を示すフローチャートです。

図2-1 コネクタを使用してアプリケーションを作成するプロセスの全体的なフロー

「図2-1 コネクタを使用してアプリケーションを作成するプロセスの全体的なフロー」の説明

2.2 コネクタを使用したアプリケーション作成の前提条件

アプリケーションの作成前に完了する必要があるタスクについて学習します。

2.2.1 コネクタのインストール・パッケージのダウンロード

コネクタのインストール・パッケージは、Oracle Technology Network (OTN)のWebサイトから取得できます。

コネクタのインストール・パッケージをダウンロードするには:

OTNのWebサイト(http://www.oracle.com/technetwork/middleware/id-mgmt/downloads/connectors-101674.html)に移動します。
「OTNライセンス契約」をクリックしてライセンス契約を読みます。
「Accept License Agreement」オプションを選択します。
インストール・パッケージをダウンロードする前に、ライセンス契約に同意する必要があります。
Oracle Identity Governanceをホストしているコンピュータにインストール・パッケージをダウンロードして、任意のディレクトリに保存します。
インストール・パッケージの内容を、Oracle Identity Governanceをホストしているコンピュータ上の任意のディレクトリに抽出します。これにより、CONNECTOR_NAME-RELEASE_NUMBERというディレクトリが作成されます。たとえば、GenericUnix-12.2.1.3.0などです
CONNECTOR_NAME-RELEASE_NUMBERディレクトリをOIM_HOME/server/ConnectorDefaultDirectoryディレクトリにコピーします。

2.2.2 ターゲット・システムの構成

ターゲット・システムと要件に応じて、これらの手順を実行して、環境の構成、OpenSSHのインストール、コネクタ操作を実行するために必要な最小限の権限を持つターゲット・システムのユーザー・アカウントの作成、RBACユーザー・アカウントの作成および公開キーとSSH公開キー認証の構成を行います。

2.2.2.1 Solaris、LinuxおよびAIXの構成

Solaris、LinuxおよびAIX環境を構成するには、次のステップを実行します。

UNIXサーバーで/etc/passwdおよび/etc/shadowファイルが使用可能であることを確認します。
ターゲット・システムにディレクトリを作成し、そこにコネクタは/etc/passwd and /etc/shadowファイルのミラー・ファイルを作成できます。

このディレクトリは、Mirror Files Locationパラメータで指定されます。ターゲット・アプリケーションのデフォルト値は/etc/connector_mirror_filesで、認可アプリケーションのデフォルト値は/etc/connector_mirror_files_trustedです。ディレクトリ・パスがデフォルト値とは異なる場合、パラメータ値を更新する必要があります。ログイン・ユーザー(sudoまたはrootユーザー)には、このディレクトリに対する読取りおよび書込み権限が必要です。

2.2.2.2 HP-UXの構成

HP-UX環境では、次のステップを実行します。

HP-UXの信頼できるモードに切り替える場合は、次のようにします。

ノート:

ターゲット・システムを信頼できるシステムに変換している場合、信頼できるシステムへの変換後に、ターゲットにshadowファイルが存在しないことを確認してください。存在する場合は、pwunconvコマンドを使用するとshadowファイルを削除できます。
1. rootとしてログインし、次のコマンドを実行します。
```
/usr/bin/sam
```
```
/usr/sbin/sam
```
2. 「Auditing and Security」、「System Security Policies」の順に選択します。信頼できるモードに切り替えるかどうか確認するメッセージが表示されます。
3. 「はい」をクリックします。次のメッセージが表示されます。
```
System changed successfully to trusted system
```
ターゲット・サーバーで/etc/passwdおよび/etc/shadowディレクトリが使用可能であることを確認します。
ターゲット・システムにディレクトリを作成し、そこにコネクタは/etc/passwd and /etc/shadowファイルのミラー・ファイルを作成できます。

このディレクトリは、Mirror Files Locationパラメータで指定されます。ターゲット・アプリケーションのデフォルト値は/etc/connector_mirror_filesで、認可アプリケーションのデフォルト値は/etc/connector_mirror_files_trustedです。ディレクトリ・パスがデフォルト値とは異なる場合、パラメータ値を更新する必要があります。ログイン・ユーザー(sudoまたはrootユーザー)はこのディレクトリに読取りおよび書込み権限が必要です。

2.2.2.3 OpenSSHのインストール

次の手順を実行して、ターゲット・システムにOpenSSHをインストールします。

2.2.2.3.1 Solaris 9へのOpenSSHのインストール

Solaris 9にOpenSSHをインストールするには、次のステップを実行します。

SolarisサーバーにSSHがインストールされていない場合には、適切なOpenSSHをインストールします。
sshdという名前で、グループIDが27のグループを作成します。このグループにsshadminという名前のユーザーを追加します。
rootログインを有効化するには、次のようにして/etc/ssh/sshd_configファイルのPermitRootLoginの値を変更します。
```
PermitRootLogin yes
```
ノート:

この変更は、ローカル・セキュリティ・ポリシーに違反しない場合にのみ実行してください。公開キー認証が有効な場合は、PermitRootLoginの値をwithout-passwordに変更できます。

rootアカウントではなく、sudo権限のあるユーザー・アカウントを使用できる場合は、このステップを行う必要はありません。

2.2.2.3.2 Solaris 10以降のバージョンへのOpenSSHのインストール

デフォルトで、Solaris 10以降のバージョンにはOpenSSHがインストールされています。インストールされていない場合には、オペレーティング・システムのインストールCDからOpenSSHサーバーをインストールします。SSHを有効化するには、/etc/ssh/ssh_configファイルに次の変更を行います。

Host *の行からコメント文字を削除します。
rootログインを有効化するには、次のようにして/etc/ssh/sshd_configファイルのPermitRootLoginの値を変更します。
```
PermitRootLogin yes
```
ノート:

この変更は、ローカル・セキュリティ・ポリシーに違反しない場合にのみ実行してください。公開キー認証が有効な場合は、PermitRootLoginの値をwithout-passwordに変更できます。

rootアカウントではなく、sudo権限のあるユーザー・アカウントを使用できる場合は、このステップを行う必要はありません。

2.2.2.3.3 HP-UXへのOpenSSHのインストール

SSHがUNIXサーバーにインストールされていない場合、適切なOpenSSHをインストール・メディアからインストールします。

2.2.2.3.4 LinuxへのOpenSSHのインストール

デフォルトで、Red Hat LinuxにはOpenSSHがインストールされています。インストールされていない場合には、オペレーティング・システムのインストールCDからOpenSSHサーバーをインストールします。

2.2.2.3.5 AIXへのOpenSSHのインストール

SSHがAIXサーバーにインストールされていない場合、インストール・メディアから次のことを行います。

OpenSSLをインストールします。
PRNGをインストールします。
OpenSSHをインストールします。
rootログインを有効化するには、次のようにして/etc/ssh/sshd_configファイルのPermitRootLoginの値を変更します。
```
PermitRootLogin yes
```
ノート:

この変更は、ローカル・セキュリティ・ポリシーに違反しない場合にのみ実行してください。公開キー認証が有効な場合は、PermitRootLoginの値をwithout-passwordに変更できます。

rootアカウントではなく、sudo権限のあるユーザー・アカウントを使用できる場合は、このステップを行う必要はありません。

2.2.2.4 コネクタ操作用のターゲット・システムSUDOユーザー・アカウントの作成

Oracle Identity Governanceでは、リコンシリエーションおよびプロビジョニングの操作を実行するためにターゲット・システム・アカウントを使用します。サポートされているすべてのターゲット・システムにおいて、このアカウントはrootユーザーまたはsudoユーザーのいずれかである必要があります。

2.2.2.5 Solarisでのコネクタ操作用のRBACユーザー・アカウントの作成

Solarisでは、sudoユーザーを作成するか、またはロールベースのアクセス制御(RBAC)機能を適用して、アカウントを作成し、コネクタ操作に必要な最小限の権限をそのアカウントに割り当てることができます。

ノート:

RBACロールに必要な式パラメータを使用して、RBACユーザーを使用するかどうかを指定します。「拡張設定パラメータ」を参照してください。

RBACユーザー・アカウントを作成するには、次のようにします。

次のコマンドを実行して、ユーザーのロールを作成します。
```
roleadd -d /export/home/ROLE_NAME -m ROLE_NAME
```
このコマンドのROLE_NAMEは、ロールに割り当てる名前(たとえば、OIMRoleなど)に置き換えます。
次のコマンドを実行して、パスワードをロールに割り当てます。
```
passwd ROLE_NAME
```
プロンプトで、ロールのパスワードを入力します。

関連項目:

プロビジョニングおよびリコンシリエーションに使用されるコマンドの実行に必要な権限の詳細は、「プロビジョニングとリコンシリエーションの実行に必要な権限」を参照してください
次のようにして、ユーザーのプロファイルを作成します。
1. テキスト・エディタで/etc/security/prof_attrファイルを開き、ファイルに次の行を挿入します。
```
PROFILE_NAME:::Oracle Identity Manager Profile:
```
  この行のPROFILE_NAMEは、プロファイルに割り当てる名前(たとえば、OIMProfなど)に置き換えます。
2. 保存してファイルを閉じます。
/etc/security/exec_attrファイルに実行属性エントリを追加します。各エントリは、実行するタスクと、タスクの実行時にロールが想定するuidを定義しています。

テキスト・エディタで/etc/security/exec_attrファイルを開き、次の行を挿入します。

ノート:

このファイルには7つのフィールドがあります。区切り文字としてコロン(:)が使用されます。

Solaris 10では、値suserをsolarisに置き換えることができます。

一部のエントリには、euidが含まれています。これらのeuidのインスタンスは、uidに置き換えることができます。
```
PROFILE_NAME:suser:cmd:::/usr/sbin/usermod:uid=0
PROFILE_NAME:suser:cmd:::/usr/sbin/useradd:uid=0
PROFILE_NAME:suser:cmd:::/usr/sbin/userdel:uid=0
PROFILE_NAME:suser:cmd:::/usr/bin/passwd:uid=0
PROFILE_NAME:suser:cmd:::/usr/bin/cat:euid=0
PROFILE_NAME:suser:cmd:::/usr/bin/diff:euid=0
PROFILE_NAME:suser:cmd:::/usr/bin/sort:euid=0
PROFILE_NAME:suser:cmd:::/usr/bin/rm:uid=0
PROFILE_NAME:suser:cmd:::/usr/bin/grep:euid=0
PROFILE_NAME:suser:cmd:::/usr/bin/egrep:euid=0
PROFILE_NAME:suser:cmd:::/bin/echo:euid=0
PROFILE_NAME:suser:cmd:::/bin/sed:euid=0
```
他のコマンドを使用するように事前構成済Solarisスクリプトをカスタマイズした場合、他のコマンドに対する同様のエントリを追加できます。
次のコマンドを実行して、プロファイルをロールに関連付けます。
```
rolemod -P PROFILE_NAME ROLE_NAME
```
次のコマンドを実行して、ユーザーを作成します。
```
useradd -d /export/home/USER_NAME -m USER_NAME
```
次のコマンドを実行して、パスワードをユーザーに割り当てます。
```
passwd USER_NAME
```
次のコマンドを実行して、ユーザーにロールを付与します。
```
usermod -R ROLE_NAME USER_NAME
```
変更した内容を確認するには、テキスト・エディタで/etc/user_attrファイルを開き、ファイル内に次のエントリが存在していることを確認します。
```
ROLE_NAME::::type=role;profiles=PROFILE_NAME
USER_NAME::::type=normal;roles=ROLE_NAME
```

2.2.2.6 公開キー認証の構成

公開キー認証を構成するには、次のようにします。

ノート:

公開キー認証を使用する場合、Solarisターゲット・システムのRBACユーザーは使用できません。
この項には、rootユーザー用に公開キー認証を構成する手順が含まれています。SUDOユーザー用に構成することもできます。

util/privateKeyGen.shファイルをインストール・メディアのディレクトリからターゲット・システム・サーバーの任意のディレクトリへコピーします。
このスクリプト・ファイルをテキスト・エディタで開き、作業ディレクトリのパスをこのファイルに指定されているデフォルト以外の値に指定します。
必要な場合には、次のコマンドを入力します。
SolarisまたはLinuxの場合:
```
dos2unix privateKeyGen.sh privateKeyGen.sh
```
HP-UXの場合:
```
dos2ux privateKeyGen.sh
```
UNIXサーバーでprivateKeyGen.shスクリプトを実行します。
要求される場合には、安全なパスフレーズを指定します。パスフレーズは空白のままにしないでください。空白にすると、コネクタ操作が影響を受けます。

これらのコマンドが実行されると、$HOME/.sshディレクトリに次のファイルが作成されます。
- id_rsa: これは公開キー・ファイルです。
- authorized_keys: このファイルには、ログインに使用できる公開キーがリストされています。
キーが正常に生成されたら、公開キー認証用のsshd_configファイルを編集し、テスト・ログインします。
ログインを正常にテストしたら、id_rsaファイルを次のディレクトリにコピーします。
```
OIM_HOME/server/ConnectorDefaultDirectory/SSH/config
```
Oracle Identity Governanceにより読取りおよびアクセス可能なディレクトリにファイルをコピーすることもできます。キーに対する権限は変更しないでください。コピーのために権限を変更したら、その後で戻す必要があります。

ノート:

このリリースのコネクタは、RSAキーに対してのみテストおよび認証され、DSAに対しては行われていません。また、このコネクタがテストおよび認証されるのは単一のキー構成に対してのみで、複数のキーに対しては行われません。

2.2.2.7 SSH公開キー認証の構成

ターゲット・システムと要件に応じて、次の一部の手順を実行して、SSH公開キー認証を構成します。

2.2.2.7.1 SolarisでのSSH公開キー認証の構成

SolarisでSSH公開キー認証を構成するには、次のステップを実行します。

/etc/ssh/sshd_configファイルに次のパラメータを設定します。
```
PubKeyAuthorization yes
PasswordAuthentication no
PermitRootLogin yes
```
ノート:

ローカル・セキュリティ・ポリシーに違反しない場合のみ、PermitRootLoginの値をyesに変更してください。公開キー認証が有効な場合は、PermitRootLoginの値をwithout-passwordに変更できます。

rootアカウントではなく、sudo権限のあるユーザー・アカウントを使用できる場合は、このステップを行う必要はありません。
SSHサーバーを再起動するには、次のコマンドを入力します。
- /etc/init.d/sshd stop
- /etc/init.d/sshd start
ログインをテストするには:
```
ssh -i /.ssh/id_rsa -l root server_IP_address
```
このコマンドにより、接続の設定前にパスキーを要求されます。

ノート:
必要に応じて、rootアカウントではなく、sudo権限のあるユーザー・アカウントを使用できます。
接頭辞file://が付いているid_rsaファイルの完全なパスを含むようにprivateKey[LOADFROMURL]拡張設定パラメータを設定します。
たとえば、次のようになります。
```
file:///OIM_HOME/server/ConnectorDefaultDirectory/SSH/config/id_rsa
```

2.2.2.7.2 HP-UXでのSSH公開キー認証の構成

HP-UXでSSH公開キー認証を構成するには、次のステップを実行します。

/etc/ssh/sshd_configファイルの次の行を非コメント化します。
```
PermitRootLogin yes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
```
ノート:

ローカル・セキュリティ・ポリシーに違反しない場合のみ、PermitRootLoginの値をyesに変更してください。公開キー認証が有効な場合は、PermitRootLoginの値をwithout-passwordに変更できます。

rootアカウントではなく、sudo権限のあるユーザー・アカウントを使用できる場合は、このステップを行う必要はありません。
SSHサーバーを再起動するには、次のコマンドを入力します。
```
/opt/ssh/sbin/sshd
```
ログインをテストするには、次のコマンドを入力します。
```
ssh -i /.ssh/id_rsa -l root server_IP_address
```
必要な場合には、パスキーを入力してサーバーに接続します。

ノート:
必要に応じて、rootアカウントではなく、sudo権限のあるユーザー・アカウントを使用できます。
接頭辞file://が付いているid_rsaファイルの完全なパスを含むようにprivateKey[LOADFROMURL]拡張設定パラメータを設定します。
たとえば、次のようになります。
```
file:///OIM_HOME/server/ConnectorDefaultDirectory/SSH/config/id_rsa
```

2.2.2.7.3 LinuxでのSSH公開キー認証の構成

LinuxでSSH公開キー認証を構成するには、次のステップを実行します。

次のコマンドを入力してUNIXサーバーを再起動します。
```
/etc/init.d/sshd stop
/etc/init.d/sshd start
```
/.ssh/id_rsaファイルを次のディレクトリにコピーします。
```
OIM_HOME/server/ConnectorDefaultDirectory/SSH/config
```
SSHプロトコルを使用してターゲット・システムに接続できるかどうかを確認するには、パスワードを使用せずにコマンド・プロンプトから直接、次のコマンドを入力します。
ノート:

UNIXでOIMアプリケーション・サーバーを実行するのに使用するアカウントには、id_rsaファイルの所有権が必要です。
```
ssh -i OIM_HOME/server/ConnectorDefaultDirectory/SSH/config/id_rsa -l root host_ip_address
```
接頭辞file://が付いているid_rsaファイルの完全なパスを含むようにprivateKey[LOADFROMURL]拡張設定パラメータを設定します。
たとえば、次のようになります。
```
file:///OIM_HOME/server/ConnectorDefaultDirectory/SSH/config/id_rsa
```

2.2.2.7.4 AIXでのSSH公開キー認証の構成

AIXでSSH公開キー認証を構成するには、次のステップを実行します。

/etc/ssh/sshd_configファイルを使用して次のパラメータを設定します。
```
export PATH=$PATH: /usr/sbin
Installation path: /etc/ssh/
sshd -- /usr/sbin/
```
/etc/ssh/sshd_configファイルを開いて、次の行を非コメント化します。
```
AuthorizedKeysFile .ssh/authorized_keys
PermitRootLogin yes
PubkeyAuthentication yes
```
ノート:

ローカル・セキュリティ・ポリシーに違反しない場合のみ、PermitRootLoginの値をyesに変更してください。公開キー認証が有効な場合は、PermitRootLoginの値をwithout-passwordに変更できます。

rootアカウントではなく、sudo権限のあるユーザー・アカウントを使用できる場合は、このステップを行う必要はありません。
SSHサーバーを再起動するには、次のコマンドを入力します。

/usr/sbin/sshd
ログインをテストするには、次のコマンドを入力します。
```
ssh -i /.ssh/id_rsa -l root server_IP_address
```
必要な場合には、パスキーを入力してサーバーに接続します。

ノート:
必要に応じて、rootアカウントではなく、sudo権限のあるユーザー・アカウントを使用できます。
接頭辞file://が付いているid_rsaファイルの完全なパスを含むようにprivateKey[LOADFROMURL]拡張設定パラメータを設定します。
たとえば、次のようになります。
```
file:///OIM_HOME/server/ConnectorDefaultDirectory/SSH/config/id_rsa
```

2.3 コネクタを使用したアプリケーションの作成

ターゲット・アプリケーションまたは認可アプリケーションを作成して、コネクタ・パッケージからOracle Identity Governanceにアプリケーションをオンボードできます。これを行うには、Identity Self Serviceにログインして、「管理」タブで「アプリケーション」ボックスを選択する必要があります。

次に、コネクタを使用してアプリケーションを作成する手順の概要を示します。

ノート:

この手順の各ステップの詳細は、『Oracle Fusion Middleware Oracle Identity Governanceでのセルフ・サービス・タスクの実行』のアプリケーションの作成に関する項を参照してください。

Identity Self Serviceでアプリケーションを作成します。高度なステップは次のとおりです。
1. システム管理アカウントまたはApplicationInstanceAdministrator管理ロールを持つアカウントを使用して、Identity Self Serviceにログインします。
2. アプリケーションの作成時に「コネクタ・パッケージ」オプションが選択されている状態にします。
3. 接続関連情報が含まれるように、基本構成パラメータを更新します。
4. 必要に応じて、拡張設定パラメータを更新して、コネクタ操作に関連する構成エントリを更新します。
5. デフォルトのユーザー・アカウントの属性マッピングを確認します。必要に応じて、新しい属性を追加したり、既存の属性を編集または削除できます。
6. アプリケーションのプロビジョニング、リコンシリエーション、組織およびカタログの設定を確認し、必要に応じてカスタマイズします。たとえば、必要に応じてアプリケーションのデフォルトの相関ルールをカスタマイズできます。
7. アプリケーションの詳細を確認し、「終了」をクリックしてアプリケーションの詳細を発行します。
  Oracle Identity Governanceでアプリケーションが作成されます。
8. デフォルトのリクエスト・フォームを作成するかどうかの確認を求められたら、「はい」または「いいえ」をクリックします。
  「はい」をクリックすると、デフォルトのフォームが自動的に作成されて、新しく作成されたアプリケーションにアタッチされます。デフォルトのフォームは、アプリケーションと同じ名前で作成されます。デフォルト・フォームは、後から変更することはできません。そのため、これをカスタマイズする場合は、「いいえ」をクリックして、手動で新しいフォームを作成してアプリケーションにアタッチします。
新しく作成されたアプリケーションで、リコンシリエーション操作およびプロビジョニング操作を確認します。