OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバー用のOracle Internet Directoryコネクタの構成

4 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバー用のOracle Internet Directoryコネクタの構成

アプリケーションの作成時に、Oracle Identity Governanceをターゲット・システムに接続し、コネクタ操作を実行するのにコネクタで使用される接続関連のパラメータを構成する必要があります。また、Oracle Identity Governanceのプロセス・フォーム・フィールドとターゲット・システムの属性間の属性マッピング、事前定義済の相関ルール、状況とレスポンス、リコンシリエーション・ジョブを表示および編集できます。

4.1 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバー用の基本構成パラメータ

ここでは、OUD、ODSEEまたはLDAPv3準拠ディレクトリ・サーバーへの接続にOracle Identity Governanceで必要となる接続関連のパラメータについて説明します。これらのパラメータは、ターゲット・アプリケーションと認可アプリケーションの両方に共通します。

表4-1 OUD、ODSEEまたはLDAPv3準拠ディレクトリ・サーバー用の基本構成パラメータ

パラメータ	必須?	説明
baseContexts	はい	ターゲット・システムでの操作のためのベース・コンテキストを入力します。サンプル値: `dc=example,dc=com` ノート: 複数レベルのベース・コンテキストでは、各ベース・コンテキストを二重引用符(")で囲み、カンマ(,)で区切る必要があります。たとえば: `"dc=example,dc=com","dc=mydc,dc=com"`
principal	はい	ターゲット・システムで操作を実行するためのバインドDNを入力します。サンプル値: `cn=Directory Manager` ノート: OpenLDAPをターゲット・システムとして使用している場合は、このパラメータの値を次の形式で設定します。 user DN,baseContexts サンプル値: `cn=admin,dc=example,dc=com` このサンプル値では、`cn=admin`はuser DN値、`dc=example,dc=com`はbaseContexts値です。
credentials	はい	バインドDNに関連付けられたバインド・パスワードを入力します。
host	はい	ターゲット・システムのホスト名またはIPアドレスを入力します。サンプル値: `myhost`または`192.0.2.10`
port	はい	ターゲット・システムに接続するためのポート番号を入力します。サンプル値: `1389`
Connector Server Name	いいえ	デフォルトでは、このフィールドは空白です。コネクタ・サーバーを使用している場合は、コネクタ・サーバーのITリソースの名前を入力します。
failover	いいえ	プライマリLDAPサーバーで障害が発生するか使用不可能になった場合に、コネクタを切り替えるLDAPバックアップ・サーバー(1つまたは複数)の完全なURLを入力します。 URLは、完全に修飾されたホスト名または次の形式のIPアドレスとして指定します。 ldap://host:port `ldap://172.20.55.191:389`は、1つのバックアップLDAPサーバーのIPアドレスの例です。複数のURLを指定する場合、各URLを二重引用符(")で囲み、カンマ(,)で区切る必要があります。たとえば: `"ldap://172.20.55.191:389","ldap://172.20.55.171:387"`
ssl	いいえ	このパラメータは、ターゲット・システムとの通信をSSLを使用して保護する必要があるかどうかを指定します。デフォルトでは、このフィールドは空白です。Oracle Identity Governanceとコネクタ・サーバーの間またはOracle Identity Governanceとターゲット・システムの間でSSLを構成する場合は、`true`と入力します。それ以外の場合は、`false`を入力します。「コネクタ・サーバーのためのITリソースの構成」の説明に従って、コネクタ・サーバーの`UseSSL` ITリソース・パラメータを`true`に設定します。 SSLを構成するには、『Oracle Fusion Middleware Oracle Identity Governanceのためのアプリケーションの開発とカスタマイズ』のOracle Identity Governance用にSSLを使用するJavaコネクタ・サーバーの構成に関する項を参照してください。

4.2 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバー用の拡張設定パラメータ

ここでは、リコンシリエーションおよびプロビジョニングの操作時にコネクタで使用される構成関連のパラメータについて説明します。これらのパラメータは、ターゲット・アプリケーションと認可アプリケーションのどちらを作成するかによって異なります。

4.2.1 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・アプリケーション用の拡張設定パラメータ

ここでは、ターゲット・アプリケーションに適用できる構成関連のパラメータについて説明します。デフォルトでは、OUDターゲット・システムの属性値が表示されます。ODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・システムのこれらの値は、表に指定されているとおりに更新できます。

表4-2 OUD、ODSEEまたはLDAPv3準拠ディレクトリ・サーバーのターゲット・アプリケーション用の拡張設定パラメータ

パラメータ	必須?	説明
disabledValue	いいえ	アカウントが無効になっているときに常に、enabledAttributeプロパティで定義される属性に使用する値を指定します。デフォルト値: `true`
blockSize	いいえ	単純な結果ページングとVLV索引検索のブロック・サイズ。デフォルト値: `100`
Bundle Version	いいえ	コネクタ・バンドル・クラスのバージョン。デフォルト値: `12.3.0`
Connector Name	いいえ	コネクタ・クラスの名前。デフォルト値: `org.identityconnectors.ldap.LdapConnector`
standardChangelog	いいえ	SyncOp操作時にコネクタによるchangelog属性へのアクセスで標準形式を使用するか特定のメカニズムを使用するかを示すフラグ。ノート: OUDをターゲット・システムとして使用している場合は、このパラメータの値を`false`に設定します。ODSEEまたはLDAPv3準拠ディレクトリ・サーバーの場合は、このパラメータの値を`true`に設定します。
enabledAttribute	いいえ	アカウントを有効化または無効化するために必要な属性の名前。デフォルト値: `ds-pwp-account-disabled` ノート: ODSEEまたはLDAPv3準拠ディレクトリ・サーバーをターゲット・システムとして使用している場合は、このパラメータの値を`nsaccountlock`に設定します。
synchronizeWithModifyTimestamps	いいえ	SyncOp操作時にコネクタがchangelog属性のかわりにmodify timestamps属性を使用する必要があるかどうかを指定します。デフォルト値: `false`
vlvSortAttribute	いいえ	VLV索引のソート・キーとして使用される属性。デフォルト値: `uid`
enabledValue	いいえ	アカウントが有効になっているときに常に、enabledAttributeプロパティで定義される属性に使用する値を指定します。デフォルト値: `false`
accountSynchronizationFilter	いいえ	SyncOp操作時に戻されるすべてエントリが一致する必要があるフィルタ。デフォルト値: `objectClass=*`
filterWithOrInsteadOfAnd	いいえ	ORフィルタとANDフィルタのどちらを使用してchangelogフィルタを設定するかを指定します。デフォルト値は`false`です。 ANDフィルタではなくORフィルタを使用して変更ログ・フィルタを設定する場合は、`true`を入力します。 ORフィルタの形式は次のとおりです。 `(\|(changeNumber=1) (changeNumber=2) . . . (changeNumber=xxx))` ANDフィルタの形式は次のとおりです。 `(&(changeNumber>=0) (changeNumber<=xxx))`
usePagedResultControl	いいえ	どちらも使用できる場合に、単純なページ検索をVLV索引検索よりも優先するかどうかを指定します。デフォルト値: `true`
objectClassesToSynchronize	いいえ	このエントリは、同期されるオブジェクト・クラスのリストを保持します。同期されたエントリが返されるためには、このリストのオブジェクト・クラスを少なくとも1つ含む必要があります。このオブジェクト・クラス・リストが空の場合、またはコード・キーがない場合、オブジェクト・クラスに対するフィルタ処理は行われません。デフォルト値: `"inetOrgPerson","groupOfNames","groupOfUniqueNames","organizationalUnit"` ノート: ODSEEまたはLDAPv3準拠ディレクトリ・サーバーをターゲット・システムとして使用している場合は、このパラメータの値を`"inetOrgPerson","groupOfNames","groupOfUniqueNames","nsRoleDefinition","organizationalUnit"`に設定します。
changeLogBlockSize	いいえ	SyncOp操作時にchangelogを読み取る際の、単純な結果ページングとVLV索引検索のブロック・サイズ。デフォルト値: `100`
maintainPosixGroupMembership	いいえ	名前が変更されたユーザー・エントリや削除されたユーザー・エントリのグループ・メンバーシップをコネクタが変更するかどうかを指定します。デフォルト値: `false`
groupMemberAttribute	いいえ	POSIX以外の静的グループのメンバーを格納するLDAP属性。デフォルト値: `uniqueMember`
accountObjectClasses	いいえ	USERオブジェクトで必要なオブジェクト・クラスのリスト。デフォルト値: `"top","person","organizationalPerson","inetOrgPerson"`
passwordAttribute	いいえ	事前定義済のPASSWORD属性が書き込まれる属性の名前。デフォルト値: `userPassword`
respectResourcePasswordPolicyChangeAfterReset	いいえ	デフォルトでは、この値は`true`に設定されています。「パスワードの有効期限切れ」コントロールと「パスワード・ポリシー」コントロールのチェックをバインドするときに、コネクタによって例外(PasswordExpiredExceptionなど)を適切にスローする場合は、値を変更しないでください。それ以外の場合は、`false`を入力します。
maintainLdapGroupMembership	いいえ	名前が変更されたユーザー・エントリや削除されたユーザー・エントリのグループ・メンバーシップをコネクタが変更するかどうかを指定します。デフォルト値: `true`
attributesToSynchronize	いいえ	SyncOpが実行されるたびに戻される属性のリスト。デフォルト値: `"cn","uid"`
readSchema	いいえ	スキーマをサーバーから読み取る必要があるかどうかを指定します。デフォルト値: `true`
uidAttribute	いいえ	事前定義済のUID属性をマッピングする必要があるLDAP属性。デフォルト値: `entryUUID` ノート: ODSEEをターゲット・システムとして使用している場合は、このパラメータの値を`nsuniqueid`に設定します。OpenLDAPサーバーの場合は、このパラメータの値を`entryUUID`に設定します。その他のLDAPv3準拠ディレクトリ・サーバーの場合は、使用しているディレクトリ・サーバーに基づいて値を設定します。
enabledWhenNoAttribute	いいえ	enabledAttributeに定義されたプロパティがエントリに存在しないときに、ステータスを有効にするか無効にするかを定義します。デフォルト値: `true`
accountSearchFilter	いいえ	どのアカウントも戻されるには一致する必要がある検索フィルタ。デフォルト値: `objectClass=*`
Bundle Name	いいえ	コネクタ・バンドル・パッケージの名前。デフォルト値: `org.identityconnectors.ldap`
changeNumberAttribute	いいえ	changelogに使用される属性名。デフォルト値: `changelogcookie` ノート: ODSEEまたはLDAPv3準拠ディレクトリ・サーバーをターゲット・システムとして使用している場合は、このパラメータの値を`changeNumber`に設定します。
removeLogEntryObjectClassFromFilter	いいえ	changelogフィルタがchangelogオブジェクト・クラスに対する条件を含むかどうかを指定します。デフォルト値: `true`
disabledRoleName	いいえ	アカウントが無効なときにエントリに存在する必要があり、enabledBaseOnRoleが`true`に設定されているロールの名前。サンプル値: `cn=nsmanageddisabledrole,dc=example,dc=com`
changelogBaseDn	いいえ	コネクタがchangelog属性の値を検索するbaseDN。デフォルト値: `cn=changelog`
accountUserNameAttribute	いいえ	USERオブジェクトの名前を含む属性。デフォルト値: `cn`
enabledBasedOnRole	いいえ	ユーザーの有効化または無効化を、enabledAttribute属性のかわりにロールで制御する必要があるかどうかを指定します。このエントリの値を`true`に設定すると、有効化や無効化に関連する他のすべてのフラグよりも優先されます。デフォルト値: `false`
changelogUidAttribute	いいえ	changelog内の変更エントリのuniqueIdを含む属性の名前。デフォルト値: `targetEntryUUID` ノート: ODSEEまたはLDAPv3準拠ディレクトリ・サーバーをターゲット・システムとして使用している場合は、このパラメータの値を`targetuniqueid`に設定します。
Any Incremental Recon Attribute Type	いいえ	すべてのトークンの形式がリコンシリエーション時に受け入れられることを指定します。デフォルト値: `true`
ldapGroupFilterBehavior	いいえ	LDAPグループ・フィルタの動作を指定します。デフォルト値: `accept`
ldapGroupMembershipAttribute	いいえ	LDAPグループ・メンバーシップ属性の値を指定します。デフォルト値: `ismemberof`
pwdMaxFailure	いいえ	バインドが連続して失敗できる回数を示します。この回数を超えると、ユーザー・アカウントがロックされます。値が0 (ゼロ)の場合、バインドの失敗によるアカウントのロックは行われず、パスワード・ロックアウト・ポリシーの値が無視されます。デフォルト値: `10`
Pool Max Idle	いいえ	プール内のアイドル状態のオブジェクトの最大数。デフォルト値: `10`
Pool Max Size	いいえ	プールで作成できる接続の最大数。デフォルト値: `10`
Pool Max Wait	いいえ	プールが空きオブジェクトを操作に使用できるようになるまで待機する必要のある最大時間(ミリ秒)。デフォルト値: `150000`
プールの最小削除アイドル時間	いいえ	コネクタがアイドル状態のオブジェクトを削除するまで待機する必要のある最小時間(ミリ秒)。デフォルト値: `120000`
Pool Min Idle	いいえ	プール内のアイドル状態のオブジェクトの最小数。デフォルト値: `1`

4.2.2 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーの認可アプリケーション用の拡張設定パラメータ

ここでは、認可アプリケーションに適用できる構成関連のパラメータについて説明します。デフォルトでは、OUDターゲット・システムの属性値が表示されます。ODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・システムのこれらの値は、表に指定されているとおりに更新できます。

表4-3 OUD、ODSEEまたはLDAPv3準拠ディレクトリ・サーバーの認可アプリケーション用の拡張設定パラメータ

パラメータ	必須?	説明
Bundle Name	いいえ	コネクタ・バンドル・パッケージの名前。デフォルト値: `org.identityconnectors.ldap`
Bundle Version	いいえ	コネクタ・バンドル・クラスのバージョン。デフォルト値: `12.3.0`
changeNumberAttribute	いいえ	changelogに使用される属性名。デフォルト値: `changelogcookie` ノート: ODSEEまたはLDAPv3準拠ディレクトリ・サーバーをターゲット・システムとして使用している場合は、このパラメータの値を`changeNumber`に設定します。
objectClassesToSynchronize	いいえ	同期されるオブジェクト・クラスのリスト。同期されたエントリが返されるためには、このリストのオブジェクト・クラスを少なくとも1つ含む必要があります。このオブジェクト・クラス・リストが空の場合、またはコード・キーがない場合、オブジェクト・クラスに対するフィルタ処理は行われません。デフォルト値: `"inetOrgPerson","groupOfNames","groupOfUniqueNames","organizationalUnit"` ノート: ODSEEまたはLDAPv3準拠ディレクトリ・サーバーをターゲット・システムとして使用している場合は、このパラメータの値を`"inetOrgPerson","groupOfNames","organizationalUnit"`に設定します。
changeLogBlockSize	いいえ	SyncOp操作時にchangelogを読み取る際の、単純な結果ページングとVLV索引検索のブロック・サイズ。デフォルト値: `100`
User Configuration Lookup	いいえ	ユーザー特有の構成プロパティを含む参照定義の名前この参照定義は、ユーザーのリコンシリエーションを実行するときに構成参照定義として使用されます。このエントリは変更しないでください。デフォルト値: `Lookup.LDAP.UM.Configuration.Trusted`
enabledAttribute	いいえ	アカウントを有効化または無効化するために必要な属性の名前。デフォルト値: `ds-pwp-account-disabled` ノート: ODSEEまたはLDAPv3準拠ディレクトリ・サーバーをターゲット・システムとして使用している場合は、このパラメータの値を`nsaccountlock`に設定します。
enabledWhenNoAttribute	いいえ	enabledAttributeに定義されたプロパティがエントリに存在しないときに、ステータスを有効にするか無効にするかを定義します。デフォルト値: `true`
disabledValue	いいえ	アカウントが無効になっているときに常に、enabledAttributeプロパティで定義される属性に使用する値を指定します。デフォルト値: `true`
enabledValue	いいえ	アカウントが有効になっているときに常に、enabledAttributeプロパティで定義される属性に使用する値を指定します。デフォルト値: `false`
usePagedResultControl	いいえ	どちらも使用できる場合に、単純なページ検索をVLV索引検索よりも優先するかどうかを指定します。デフォルト値: `true`
Any Incremental Recon Attribute Type	いいえ	すべてのトークンの形式がリコンシリエーション時に受け入れられることを指定します。デフォルト値: `true`
Connector Name	いいえ	コネクタ・クラスの名前。デフォルト値: `org.identityconnectors.ldap.LdapConnector`
uidAttribute	いいえ	Uidをマッピングする必要があるLDAP属性。デフォルト値: `entryUUID` ノート: ODSEEをターゲット・システムとして使用している場合は、このパラメータの値を`nsuniqueid`に設定します。OpenLDAPサーバーの場合は、このパラメータの値を`entryUUID`に設定します。その他のLDAPv3準拠ディレクトリ・サーバーの場合は、使用しているディレクトリ・サーバーに基づいて値を設定します。
pwdMaxFailure	いいえ	バインドが連続して失敗できる回数を示します。この回数を超えると、ユーザー・アカウントがロックされます。この属性が存在しない場合、または値が0 (ゼロ)の場合、バインドの失敗によるロックは行われず、パスワード・ロックアウト・ポリシーの値が無視されます。デフォルト値: `10`
Pool Max Idle	いいえ	プール内のアイドル状態のオブジェクトの最大数。デフォルト値: `10`
Pool Max Size	いいえ	プールで作成できる接続の最大数。デフォルト値: `10`
Pool Max Wait	いいえ	プールが空きオブジェクトを操作に使用できるようになるまで待機する必要のある最大時間(ミリ秒)。デフォルト値: `150000`
プールの最小削除アイドル時間	いいえ	コネクタがアイドル状態のオブジェクトを削除するまで待機する必要のある最小時間(ミリ秒)。デフォルト値: `120000`
Pool Min Idle	いいえ	プール内のアイドル状態のオブジェクトの最小数。デフォルト値: `1`

4.3 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバー用の属性マッピング

「スキーマ」ページの属性マッピングは、ターゲット・アプリケーションと認可アプリケーションのどちらを作成するかによって異なります。

4.3.1 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・アプリケーション用の属性マッピング

ターゲット・アプリケーションの「スキーマ」ページには、Oracle Identity Governanceの属性をターゲット・システムの属性にマップするデフォルトのスキーマ(コネクタに付属)が表示されます。コネクタは、リコンシリエーションおよびプロビジョニングの操作時にこれらのマッピングを使用します。

LDAPユーザー・アカウントの属性

表4-4に、Oracle Identity Governanceのプロセス・フォーム・フィールドとターゲット・システムの属性間のユーザー固有の属性マッピングを示します。また、この表には、特定の属性がプロビジョニングまたはリコンシリエーション時に使用されるかどうかと、リコンシリエーション時にレコードをフェッチするための照合キー・フィールドであるかどうかも示します。

必要な場合は、『Oracle Fusion Middleware Oracle Identity Governanceでのセルフ・サービス・タスクの実行』のターゲット・アプリケーションの作成に関する項の説明に従って新しい属性を追加したり既存の属性を削除することで、デフォルトの属性マッピングを編集できます。

表4-4 LDAPユーザー・アカウント用のデフォルトの属性マッピング

表示名	ターゲット属性	データ型	必須プロビジョニング・プロパティ?	プロビジョニング・フィールド?	リコンシリエーション・フィールド?	キー・フィールド?	大/小文字を区別しない?
ユーザーID	uid	文字列	はい	はい	はい	いいえ	適用外
役職	title	文字列	いいえ	はい	はい	いいえ	適用外
名	givenname	文字列	いいえ	はい	はい	いいえ	適用外
ミドル・ネーム	initials	文字列	いいえ	はい	はい	いいえ	適用外
姓	sn	文字列	はい	はい	はい	いいえ	適用外
共通名	cn	文字列	はい	はい	はい	いいえ	適用外
部門	departmentnumber	文字列	いいえ	はい	はい	いいえ	適用外
場所	l	文字列	いいえ	はい	はい	いいえ	適用外
電話	telephonenumber	文字列	いいえ	はい	はい	いいえ	適用外
電子メール	mail	文字列	いいえ	はい	はい	いいえ	適用外
通信言語	preferredlanguage	文字列	いいえ	はい	はい	いいえ	適用外
NsuniqueID	__UID__	文字列	いいえ	はい	はい	はい	適用外
コンテナDN	__parentDN__	文字列	はい	いいえ	はい	いいえ	適用外
ステータス	__ENABLE__	文字列	いいえ	いいえ	はい	いいえ	適用外
パスワード	__PASSWORD__	文字列	いいえ	はい	いいえ	いいえ	適用外
名前	__NAME__	文字列	いいえ	はい	いいえ	いいえ	適用外
ログイン無効	__ENABLED__	文字列	いいえ	はい	いいえ	いいえ	適用外

図4-1に、ターゲット・アプリケーションのデフォルトのLDAPユーザー・アカウント属性マッピングを示します。

図4-1 ターゲット・アプリケーションのLDAPユーザー・アカウント用のデフォルトの属性マッピング

「図4-1 ターゲット・アプリケーションのLDAPユーザー・アカウント用のデフォルトの属性マッピング」の説明

グループ権限の属性

表4-5に、Oracle Identity Governanceのプロセス・フォーム・フィールドとターゲット・システムの属性間のグループ権限の属性マッピングを示します。この表には、特定の属性がプロビジョニング時に必須かどうかを示します。また、特定の属性がリコンシリエーション時に使用されるかどうか、リコンシリエーション時にレコードをフェッチするための照合キー・フィールドであるかどうかも示します。

表4-5 グループ権限用のデフォルトの属性マッピング

表示名	ターゲット属性	データ型	必須プロビジョニング・プロパティ?	リコンシリエーション・フィールド	キー・フィールド?	大/小文字を区別しない?
グループ名	ldapGroups	文字列	いいえ	はい	はい	いいえ

図4-2に、デフォルトのグループ権限属性マッピングを示します。

図4-2 グループ権限用のデフォルトの属性マッピング

「図4-2 グループ権限用のデフォルトの属性マッピング」の説明

ロール権限の属性

表4-6に、Oracle Identity Governanceのプロセス・フォーム・フィールドとターゲット・システムの属性間のロール権限の属性マッピングを示します。この表には、特定の属性がプロビジョニング時に必須かどうかを示します。また、特定の属性がリコンシリエーション時に使用されるかどうか、リコンシリエーション時にレコードをフェッチするための照合キー・フィールドであるかどうかも示します。

ノート:

OUDおよびOpenLDAPターゲット・システムではロールがサポートされていません。したがって、ロール権限用のこれらの属性マッピングは、ロールがサポートされているODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・システムにのみ適用できます。

表4-6 ロール権限用のデフォルトの属性マッピング

表示名	ターゲット属性	データ型	必須プロビジョニング・プロパティ?	リコンシリエーション・フィールド	キー・フィールド?	大/小文字を区別しない?
ロール	nsroledn	文字列	いいえ	はい	はい	いいえ

図4-3に、デフォルトのロール子属性マッピングを示します。

図4-3 ロール権限用のデフォルトの属性マッピング

「図4-3 ロール権限用のデフォルトの属性マッピング」の説明

4.3.2 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーの認可アプリケーション用の属性マッピング

認可アプリケーションの「スキーマ」ページには、Oracle Identity Governanceの属性をターゲット・システムの列にマップするデフォルトのスキーマ(コネクタに付属)が表示されます。コネクタは、リコンシリエーション操作の際にこれらのマッピングを使用します。

表4-7に、Oracle Identity Governanceのリコンシリエーション・フィールドとターゲット・システムの列間のユーザー固有の属性マッピングを示します。また、特定の属性のデータ型と、リコンシリエーションの必須属性であるかどうかも示します。

必要な場合は、『Oracle Fusion Middleware Oracle Identity Governanceでのセルフ・サービス・タスクの実行』のターゲット・アプリケーションの作成に関する項の説明に従って「スキーマ」ページで新しい属性を追加したり既存の属性を削除することで、これらの属性マッピングを編集できます。

事前に設定されているデフォルトのスキーマを使用することも、次のステップに進む前にデフォルトのスキーマを更新および変更することもできます。

「組織名」、「ロール」「Xellerateタイプ」および「ステータス」アイデンティティ属性は、OIGユーザー・フォームの必須フィールドです。これらは、リコンシリエーション時に空白にしておくことはできません。これらのアイデンティティ属性のターゲット属性マッピングは、ターゲット・システムに対応する列がないため、デフォルトでは空です。したがって、リコンシリエーション時に使用できるデフォルト値(表4-7の「アイデンティティ表示名のデフォルト値」列に記載)がコネクタによって提示されます。たとえば、「組織名」属性のデフォルトのターゲット属性値は、「Xellerateユーザー」です。これは、ターゲット・システムのすべてのユーザー・アカウントがOracle Identity Governanceの「Xellerateユーザー」組織にリコンサイルされることを意味します。同様に、「Xellerateタイプ」属性のデフォルト属性値は「エンドユーザー」であり、これはリコンサイルされたユーザー・レコードはすべてエンド・ユーザーとマークされることを意味します。

表4-7 LDAP信頼できるユーザー・スキーマの属性

アイデンティティ表示名	ターゲット属性	データ型	必須リコンシリエーション・プロパティ?	リコンシリエーション・フィールド?	アイデンティティ表示名のデフォルト値
電子メール	mail	文字列	いいえ	はい	該当なし
ロール	該当なし	文字列	いいえ	はい	フルタイム
名	givenname	文字列	いいえ	はい	該当なし
姓	sn	文字列	いいえ	はい	該当なし
ミドル・ネーム	initials	文字列	いいえ	はい	該当なし
NsuniqueID	__UID__	文字列	いいえ	はい	該当なし
組織名	該当なし	文字列	いいえ	はい	Xellerateユーザー
ステータス	__ENABLE__	文字列	いいえ	はい	該当なし
ユーザー・ログイン	uid	文字列	いいえ	はい	該当なし
Xellerateタイプ	該当なし	文字列	いいえ	はい	エンドユーザー

図4-4に、認可アプリケーションのデフォルトのLDAP信頼できるユーザー・アカウント属性マッピングを示します。

図4-4 認可アプリケーションのLDAP信頼できるユーザー・アカウント用のデフォルトの属性マッピング

「図4-4 認可アプリケーションのLDAP信頼できるユーザー・アカウント用のデフォルトの属性マッピング」の説明

4.4 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバー用の相関ルール

ターゲット・アプリケーションと認可アプリケーションの事前定義済のルール、レスポンスおよび状況について学習します。コネクタは、リコンシリエーションの実行にこれらのルールおよびレスポンスを使用します。

4.4.1 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・アプリケーション用の相関ルール

ターゲット・アプリケーションを作成する際、コネクタは相関ルールを使用してOracle Identity Governanceでリソースを割り当てる必要があるアイデンティティを特定します。

事前定義済のアイデンティティ・ルール

デフォルトでは、コネクタにより、ターゲット・アプリケーションの作成時に単純相関ルールが提示されます。コネクタはこの相関ルールを使用して、Oracle Identity Governanceリポジトリとターゲット・システム・リポジトリのエントリを比較し、2つのリポジトリの相違を判断し、最新の変更内容をOracle Identity Governanceに適用します。

表4-8に、コネクタ用のデフォルトの単純相関ルールを示します。必要に応じて、デフォルトの相関ルールを編集することも、新しいルールを追加することもできます。また、複合相関ルールも作成できます。単純または複合相関ルールの追加または編集の詳細は、『Oracle Fusion Middleware Oracle Identity Governanceでのセルフ・サービス・タスクの実行』のターゲット・アプリケーションの作成に関する項を参照してください。

表4-8 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・アプリケーション用の事前定義済アイデンティティ相関ルール

ターゲット属性	要素演算子	アイデンティティ属性	大/小文字を区別する?
uid	Equals	User Login	いいえ
__UID__	Equals	NsuniqueID	いいえ

最初のアイデンティティ・ルールの意味は次のとおりです。

uidは、ユーザーの一意のログイン名です。
User Loginは、OIGユーザー・フォームのフィールドです。

2番目のアイデンティティ・ルールの意味は次のとおりです。

__UID__は、ユーザー・アカウントを一意に識別するターゲット・システムの属性です。
NsuniqueIDは、OIGユーザー・フォームのフィールドです。

図4-5に、OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバー用にターゲット・アプリケーションを作成しているときに、コネクタで使用される単純相関ルールを示します。

図4-5 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・アプリケーション用の単純相関ルール

「図4-5 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・アプリケーション用の単純相関ルール」の説明

事前定義済の状況およびレスポンス

コネクタにより、ターゲット・アプリケーションの作成時にデフォルトの一連の状況およびレスポンスが提示されます。これらの状況およびレスポンスは、Oracle Identity Governanceがリコンシリエーション・イベントの結果に基づいて実行する必要がある処理を指定します。

表4-9に、アプリケーション用のデフォルトの状況およびレスポンスを示します。必要に応じて、これらのデフォルトの状況およびレスポンスを編集することも、新しい状況およびレスポンスを追加することもできます。状況およびレスポンスの追加または編集の詳細は、『Oracle Fusion Middleware Oracle Identity Governanceでのセルフ・サービス・タスクの実行』のターゲット・アプリケーションの作成に関する項を参照してください。

表4-9 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・アプリケーション用の事前定義済の状況およびレスポンス

状況	レスポンス
一致が見つからなかった場合	最小ロードの管理者への割当て
1つのエンティティ一致が見つかった場合	リンクの確立
1つのプロセス一致が見つかった場合	リンクの確立

図4-6に、OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバー用にターゲット・アプリケーションを作成しているときに、コネクタによってデフォルトで提示される状況およびレスポンスを示します。

図4-6 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・アプリケーション用の事前定義済の状況およびレスポンス

「図4-6 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・アプリケーション用の事前定義済の状況およびレスポンス」の説明

4.4.2 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーの認可アプリケーション用の相関ルール

認可アプリケーションを作成する際、コネクタは相関ルールを使用してOracle Identity Governanceにリコンサイルする必要があるアイデンティティを特定します。

事前定義済のアイデンティティ相関ルール

デフォルトでは、コネクタにより、認可アプリケーションの作成時に単純相関ルールが提示されます。コネクタはこの相関ルールを使用して、Oracle Identity Governanceリポジトリとターゲット・システム・リポジトリのエントリを比較し、2つのリポジトリの相違を判断し、最新の変更内容をOracle Identity Governanceに適用します。

表4-10に、認可アプリケーション用のデフォルトの単純相関ルールを示します。必要に応じて、デフォルトの相関ルールを編集することも、新しいルールを追加することもできます。また、複合相関ルールも作成できます。単純または複合相関ルールの追加または編集の詳細は、『Oracle Fusion Middleware Oracle Identity Governanceでのセルフ・サービス・タスクの実行』のターゲット・アプリケーションの作成に関する項を参照してください。

表4-10 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバー用の認可アプリケーションのための事前定義済のアイデンティティ相関ルール

ターゲット属性	要素演算子	アイデンティティ属性	大/小文字を区別する?
uid	Equals	User Login	いいえ

このアイデンティティ・ルールの意味は次のとおりです。

uidは、ユーザーの一意のログイン名です。
User Loginは、OIGユーザー・フォームのフィールドです。

図4-7に、OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバー用に認可アプリケーションを作成しているときの単純相関ルールを示します。

図4-7 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーの認可アプリケーション用の単純相関ルール

「図4-7 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーの認可アプリケーション用の単純相関ルール」の説明

事前定義済の状況およびレスポンス

コネクタにより、認可アプリケーションの作成時にデフォルトの一連の状況およびレスポンスが提示されます。これらの状況およびレスポンスは、Oracle Identity Governanceがリコンシリエーション・イベントの結果に基づいて実行する必要がある処理を指定します。

表4-11に、デフォルトの状況およびレスポンスを示します。必要に応じて、これらのデフォルトの状況およびレスポンスを編集することも、新しい状況およびレスポンスを追加することもできます。状況およびレスポンスの追加または編集の詳細は、『Oracle Fusion Middleware Oracle Identity Governanceでのセルフ・サービス・タスクの実行』のターゲット・アプリケーションの作成に関する項を参照してください。

表4-11 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーの認可アプリケーション用の事前定義済の状況およびレスポンス

状況	レスポンス
一致が見つからなかった場合	ユーザーの作成
1つのエンティティ一致が見つかった場合	リンクの確立
1つのプロセス一致が見つかった場合	リンクの確立

図4-8に、OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバー用に認可アプリケーションを作成しているときに、コネクタによってデフォルトで提示される状況およびレスポンスを示します。

図4-8 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーの認可アプリケーション用の事前定義済の状況およびレスポンス

「図4-8 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーの認可アプリケーション用の事前定義済の状況およびレスポンス」の説明

4.5 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバー用のリコンシリエーション・ジョブ

OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・アプリケーションまたは認可アプリケーションを作成するとOracle Identity Governanceで自動的に作成されるリコンシリエーション・ジョブについて学習します。

4.5.1 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーのターゲット・アプリケーション用のリコンシリエーション・ジョブ

ここでは、アプリケーションを作成すると、Oracle Identity Governanceで自動的に作成されるリコンシリエーション・ジョブについて説明します。

これらの事前定義済ジョブを使用することも、要件を満たすようにこれらのジョブを編集することもできます。あるいは、カスタム・リコンシリエーション・ジョブを作成できます。これらの事前定義済ジョブの編集または新しいジョブの作成の詳細は、『Oracle Fusion Middleware Oracle Identity Governanceでのセルフ・サービス・タスクの実行』のリコンシリエーション・ジョブの更新に関する項を参照してください。

LDAP Connector User Search Reconciliationジョブ

LDAP Connector User Search Reconciliationジョブは完全リコンシリエーションを実行する場合に使用しますが、これにはターゲット・アプリケーションからOracle Identity Governanceへのすべてのユーザー・レコードのリコンシリエーションが含まれます。ターゲット・システムでmodifyTimestampがサポートされている場合は、このリコンシリエーション・ジョブを使用して増分リコンシリエーションを実行できます。

表4-12 LDAP Connector User Search Reconciliationジョブのパラメータ

パラメータ	説明
Application Name	ターゲット・システム用に作成されたアプリケーションの名前。この値は、ターゲット・アプリケーションの作成時に「アプリケーション名」フィールドに指定した値と同じです。この値は修正しないでください。
Filter	スケジュール済ジョブでリコンサイルする必要があるレコードをフィルタ処理する式を入力します。サンプル値: `equalTo('__UID__','SEPT12USER1')` 作成して使用できるフィルタ式の詳細は、『Oracle Fusion Middleware Oracle Identity Governanceのためのアプリケーションの開発とカスタマイズ』のICFフィルタの構文に関する項を参照してください。
Object Type	この属性は、リコンシリエーションの実行用のオブジェクト・タイプの名前を保持します。デフォルト値: `User` このデフォルト値は変更しないでください。
Incremental Recon Attribute	ユーザー・レコードが変更された時点のタイムスタンプを保持する、ターゲット・システム列の名前。デフォルト値: `modifyTimestamp` このデフォルト値は変更しないでください。
Scheduled Task Name	スケジュール済タスクの名前ノート: このコネクタに同梱されているスケジュール済タスクについては、この属性の値を変更しないでください。ただし、タスクのコピーを作成した場合は、そのスケジュール済タスクの一意の名前をこの属性の値として入力できます。
Latest Token	このパラメータは、Incremental Recon Attributeパラメータの値として指定されたターゲット・システム列の値を保持します。Latest Tokenパラメータは内部目的で使用されます。デフォルトでは、この属性は空です。この属性には値を入力しないでください。リコンシリエーション・エンジンにより、値はこの属性に自動的に入力されます。

LDAP Connector User Sync Reconciliationジョブ

ターゲット・システムでchangelogがサポートされている場合、LDAP Connector User Sync Reconciliationジョブを使用して増分リコンシリエーションを実行できます。増分リコンシリエーションでは、前回のリコンシリエーションの実行後に追加または変更されたレコードのみがOracle Identity Governanceにフェッチされます。

表4-13 LDAP Connector User Sync Reconciliationジョブのパラメータ

パラメータ	値
Application Name	ターゲット・システム用に作成されたアプリケーションの名前。この値は、ターゲット・アプリケーションの作成時に「アプリケーション名」フィールドに指定した値と同じです。この値は修正しないでください。
Object Type	リコンサイルするオブジェクトのタイプデフォルト値: `User`
Scheduled Task Name	スケジュール済タスクの名前ノート: このコネクタに同梱されているスケジュール済タスクについては、この属性の値を変更しないでください。ただし、タスクのコピーを作成した場合は、そのスケジュール済タスクの一意の名前をこの属性の値として入力できます。
Sync Token	前回のリコンシリエーション実行が開始したときのタイムスタンプノート: この属性に値を入力しないでください。リコンシリエーション・エンジンにより、この属性の値は自動的に入力されます。この属性が空白の値に設定されると、増分リコンシリエーション操作はすべてのレコードをフェッチします(完全リコンシリエーションが実行されます)。

LDAP Connector User Search Delete Reconciliationジョブ

LDAP Connector User Search Delete Reconciliationジョブは、ターゲット・アプリケーションから削除されたユーザー・アカウントに関するデータをリコンサイルする場合に使用します。

表4-14 LDAP Connector User Search Delete Reconciliationジョブのパラメータ

パラメータ説明

Application Name

ターゲット・システム用に作成されたアプリケーションの名前。この値は、ターゲット・アプリケーションの作成時に「アプリケーション名」フィールドに指定した値と同じです。

この値は修正しないでください。

Object Type

この属性は、リコンシリエーションの実行用のオブジェクト・タイプの名前を保持します。

デフォルト値: User

このデフォルト値は変更しないでください。

権限用のリコンシリエーション・ジョブ

次のジョブは、権限のリコンシリエーションに使用できます。

LDAP Connector Role Lookup Reconciliation
LDAP Connector Group Lookup Reconciliation
LDAP Connector OU Lookup Reconciliation

パラメータは、すべてのリコンシリエーション・ジョブで共通です。

表4-15 権限用のリコンシリエーション・ジョブのパラメータ

パラメータ	説明
Application Name	ターゲット・システム用に作成されたアプリケーションの名前。この値は、ターゲット・アプリケーションの作成時に「アプリケーション名」フィールドに指定した値と同じです。ノート: この値は変更しないでください。
Filter	リコンシリエーションの実行時にターゲット・システムからフェッチされるユーザー・レコードの検索フィルタを入力します。 LDAP Connector Group Lookup Reconciliationジョブのサンプル値は次のとおりです: `containsAllValues('ldapGroups','cn=grp1,ou=groups,dc=example,dc=com')`
Object Type	同期させる必要のある値を含むオブジェクトのタイプを入力します。デフォルト値は、使用しているリコンシリエーション・ジョブに応じて次のようになります。 LDAP Connector Role Lookup Reconciliationの場合: `Role` LDAP Connector Group Lookup Reconciliationの場合: `Group` LDAP Connector OU Lookup Reconciliationの場合: `OU` ノート: この属性の値は変更しないでください。
Lookup Name	このパラメータは、値のフェッチ元である必要のあるデータ・ソースに各参照定義をマップする参照定義の名前を保持します。デフォルト値は、使用しているリコンシリエーション・ジョブに応じて次のようになります。 LDAP Connector Role Lookup Reconciliationの場合: `Lookup.LDAP.Role` LDAP Connector Group Lookup Reconciliationの場合: `Lookup.LDAP.Group` LDAP Connector OU Lookup Reconciliationの場合: `Lookup.LDAP.Organization`
Decode Attribute	参照定義(Lookup Name属性の値として指定される)のデコード列に値を移入するために使用される、コネクタまたはターゲット・システムの属性の名前を入力します。デフォルト値は、使用しているリコンシリエーション・ジョブに応じて次のようになります。 LDAP Connector Role Lookup ReconciliationおよびLDAP Connector Group Lookup Reconciliationの場合: `cn` LDAP Connector OU Lookup Reconciliationの場合: `ou`
Code Key Attribute	参照定義のコード・キー列を移入するのに使用する、コネクタの名前またはターゲット・システム属性を入力します(「参照名」属性の値として指定)。デフォルト値: `dn` ノート: この属性の値は変更しないでください。

4.5.2 OUD、ODSEEおよびLDAPv3準拠ディレクトリ・サーバーの認可アプリケーション用のリコンシリエーション・ジョブ

ここでは、ターゲット・システム用に認可アプリケーションを作成すると、Oracle Identity Governanceで自動的に作成されるリコンシリエーション・ジョブについて説明します。

LDAP Connector Trusted User Reconciliationジョブ

LDAP Connector Trusted User Reconciliationジョブは完全リコンシリエーションを実行する場合に使用しますが、これには認可アプリケーションで直接作成または変更されたすべてのユーザー・レコードのOracle Identity Governanceへのリコンシリエーションが含まれます。コネクタは、対応するOIGユーザーの作成または更新にこのデータを使用します。ターゲット・システムでmodifyTimestampがサポートされている場合は、このリコンシリエーション・ジョブを使用して増分リコンシリエーションを実行できます。

表4-16 LDAP Connector Trusted User Reconciliationジョブのパラメータ

パラメータ	値
Application Name	ターゲット・システム用に作成されたアプリケーションの名前。この値は、ターゲット・アプリケーションの作成時に「アプリケーション名」フィールドに指定した値と同じです。この値は修正しないでください。
Filter	スケジュール済ジョブでリコンサイルする必要があるレコードをフィルタ処理する式を入力します。サンプル値: `equalTo('__UID__','SEPT12USER1')` 作成して使用できるフィルタ式の詳細は、『Oracle Fusion Middleware Oracle Identity Governanceのためのアプリケーションの開発とカスタマイズ』のICFフィルタの構文に関する項を参照してください。
Object Type	この属性は、リコンシリエーションの実行用のオブジェクト・タイプの名前を保持します。デフォルト値: `User` このデフォルト値は変更しないでください。
Incremental Recon Attribute	ユーザー・レコードが変更された時点のタイムスタンプを保持する、ターゲット・システム列の名前。デフォルト値: `modifyTimestamp` このデフォルト値は変更しないでください。
Scheduled Task Name	スケジュール済タスクの名前ノート: このコネクタに同梱されているスケジュール済タスクについては、この属性の値を変更しないでください。ただし、タスクのコピーを作成した場合は、そのスケジュール済タスクの一意の名前をこの属性の値として入力できます。
Latest Token	このパラメータは、Incremental Recon Attributeパラメータの値として指定されたターゲット・システム列の値を保持します。Latest Tokenパラメータは内部目的で使用されます。デフォルトでは、この属性は空です。この属性には値を入力しないでください。リコンシリエーション・エンジンにより、値はこの属性に自動的に入力されます。

LDAP Connector Trusted User Delete Reconciliationジョブ

LDAP Connector Trusted User Delete Reconciliationジョブは、認可アプリケーションから削除されたユーザー・アカウントに関するデータをリコンサイルする場合に使用します。

ノート:

このリコンシリエーション・ジョブを実行する前に、ターゲット・システムのすべてのユーザーにUser IDターゲット属性の一意の値が割り当てられていることを確認してください。そうしないと、予期しないエラーが発生する可能性があります。

表4-17 LDAP Connector Trusted User Delete Reconciliationジョブのパラメータ

パラメータ値

Application Name

この値は修正しないでください。

Object Type

リコンサイルするオブジェクトのタイプ。

デフォルト値: User