7 Oracle Directory Server Enterprise Editionの構成
Oracle Directory Integration Platform同期のバックエンド・ディレクトリとしてOracle Directory Server Enterprise Editionを構成できます。
トピック:
7.1 Oracle Directory Server Enterprise Editionをバックエンド・ディレクトリとして構成する前に
Oracle Directory Server Enterprise Editionをバックエンド・ディレクトリとして構成する前に、Oracle Directory Integration Platformをインストールする必要があります。
『Oracle Fusion Middleware Oracle Identity Managementのインストールと構成』の「Oracle Directory Integration Platformの構成」を参照してください。
7.2 Oracle Directory Integration Platform用のOracle Directory Server Enterprise Edition (非SSL)の構成
次のステップを順番に使用して、Oracle Directory Integration Platform用にOracle Directory Server Enterprise Edition (バックエンド・ディレクトリ)の非SSL通信を構成します。
7.2.1 Oracle Directory Server Enterprise Editionのインストールおよび構成
Oracle Directory Server Enterprise Editionがインストールおよび構成されていることを確認します。
Oracle Fusion Middleware Oracle Directory Server Enterprise Editionインストレーション・ガイドおよびOracle Fusion Middleware Oracle Directory Server Enterprise Edition管理者ガイドを参照してください。
ノート:
Oracle® Fusion Middleware Oracle Directory Server Enterprise Editionインストレーション・ガイドのコマンド行によるサーバー・インスタンスの作成に関する項の説明に従って、ディレクトリ・サーバー・インスタンスを作成する必要があります。
7.2.2 Oracle Directory Server Enterprise Editionプラグインのインストール
Oracle Directory Server Enterprise Editionプラグインをインストールして、Oracle Directory Server Enterprise Editionのパスワードを同期します。
「Oracle Directory Server Enterprise Edition用のパスワード同期の構成」の説明に従って、Oracle Directory Server Enterprise Editionのパスワードを同期できます。Oracle Directory Server Enterprise Editionプラグインをインストールするには、次のステップを実行します。
Oracle Directory Server Enterprise Editionプラグインの詳細は、Oracle Fusion Middleware Oracle Directory Server Enterprise Edition開発者ガイドを参照してください。
7.2.3 Oracle Directory Server Enterprise Edition接尾辞の作成
dsconf
コマンドを使用して、サーバーのディレクトリ情報ツリー(DIT)の接尾辞を作成します。
次の接尾辞を作成する必要があります。
-
cn=OracleContext
: この接尾辞は、Oracle Directory Integration Platform構成の詳細を格納するために使用されます。 -
同期データを格納するための接尾辞を作成します。
接尾辞を作成するには、コマンド行でdsconf
コマンドを実行します。
dsconf create-suffix -i -c -h host -p port -D "cn=Directory Manager" cn=OracleContext dsconf create-suffix -i -c -h host -p port -D "cn=Directory Manager" <data_suffix_name>
接尾辞の作成後、次の手順を実行する必要があります。
詳細は、Oracle Fusion Middleware Oracle Directory Server Enterprise Edition管理者ガイドの接尾辞の作成に関する項を参照してください。
7.2.4 Oracle Directory Server Enterprise Editionのレトロ変更ログの有効化
dsconf
コマンドを使用して、Oracle Directory Server Enterprise Editionのレトロ変更ログを有効化します。
ステップは次のとおりです。
ノート:
Oracle Directory Server Enterprise Editionのレトロ変更ログを有効化すると、ディレクトリ・サーバーのパフォーマンスに影響する可能性があります。
7.2.5 Oracle Directory Server Enterprise Editionと組み合せたOracle Directory Integration Platform用のOracle WebLogic Serverドメインの構成
既存または新規のWebLogic ServerドメインでOracle Directory Server Enterprise EditionとともにOracle Directory Integration Platformを構成する必要があります。
7.2.5.1 既存のWebLogicドメインでのOracle Directory Server Enterprise Editionと組み合せたOracle Directory Integration Platformの構成
次のステップを実行して、既存WebLogic管理ドメイン内でOracle Directory Server Enterprise Editionと組み合せてOracle Directory Integration Platformを構成します。
7.2.6 Oracle WebLogic ServerおよびOracle Directory Server Enterprise Editionインスタンスの起動
WebLogicドメインの構成が完了したら、サーバーを起動してドメインを管理できます。
Oracle WebLogic Serverドメインの構成後に次のタスクを実行します。
7.2.7 Oracle Directory Server Enterprise Edition用のOracle Directory Integration Platformの構成
Oracle WebLogic Serverドメインを構成したら、Oracle Directory Server Enterprise Edition用のOracle Directory Integration Platformを構成する必要があります。
-
Oracle Directory Integration PlatformのWL_HOMEおよびORACLE_HOME環境変数を設定します。
-
コマンド行で
dipConfigurator setup
(<ORACLE_HOME>/bin
)コマンドを実行して、次の引数を入力します。ノート:
保護されたLDAP (
isldapssl=true
)に対してdipConfigurator setup
を実行する場合、Oracle Directory Server Enterprise Edition SSL通信モード用のOracle Directory Integration Platformを構成する必要があります。「Oracle Directory Server Enterprise Edition SSL用のOracle Directory Integration Platformの構成」を参照してください。表7-1 Oracle Directory Server Enterprise EditionのdipConfiguratorプロパティ
プロパティ 説明 wlshost
Oracle Directory Integration PlatformがデプロイされているOracle WebLogic Serverのホスト名。
wlsport
Oracle Directory Integration PlatformがデプロイされているOracle WebLogic管理対象サーバーのリスニング・ポート番号。
wlsuser
Oracle WebLogic Serverのログイン・ユーザー名。
ldaphost
Oracle Directory Server Enterprise Editionのホスト名。
ldapport
Oracle Directory Server Enterprise Editionサーバーのポート番号。デフォルト値は、
636
です。isldapssl
true
またはfalse
を指定してSSLを有効化または無効化します。ldapuser
Oracle Directory Server Enterprise Editionに接続するためのバインドDN。
isclustered <BOOLEAN>
Oracle Directory Integration Platformインスタンスがクラスタ環境内にあるかどうかを指定します。
clustercheckininterval <INT>
あるインスタンスがクラスタの他のインスタンスでサーバー・ステータス(障害インスタンスの検出など)を確認する頻度(ミリ秒)を指定します。
例:
UNIX:
$ORACLE_HOME/bin/dipConfigurator setup -wlshost localhost -wlsport 7001 -wlsuser weblogic -ldaphost odseehost -ldapport 389 -ldapuser "cn=Directory Manager" -isldapssl false
Windows:
ORACLE_HOME\bin\dipConfigurator setup -wlshost localhost -wlsport 7001 -wlsuser weblogic -ldaphost odseehost -ldapport 389 -ldapuser "cn=Directory Manager" -isldapssl false
ノート:
「Oracle Directory Server Enterprise Edition用のパスワード同期の構成」の説明に従って、Oracle Directory Server Enterprise Editionのパスワードを同期できます。
7.2.8 Oracle Directory Server Enterprise Editionのアクセス制御命令(ACI)の追加
ldapmodifyコマンドを使用して、Oracle Directory Server Enterprise EditionのLDIFファイルにACIを追加します。
コマンド行でldapmodify
コマンドを実行します。
ldapmodify -h localhost -p 389 -D "cn=Directory Manager" -w secret12 <<EOF dn: dc=<suffix_name>,dc=com changetype: modify add: aci aci: (target="ldap:///dc=<suffix_name>,dc=com")(version 3.0; acl "Entry-level DIP permissions"; allow (all,proxy) groupdn="ldap:///cn=dipadmingrp,cn=DIPadmins,cn=Directory Integration Platform,cn=Products,cn=oraclecontext"; allow (all,proxy) groupdn="ldap:///cn=odipigroup,cn=DIPadmins,cn=Directory Integration Platform,cn=Products,cn=oraclecontext"; ) - add: aci aci: (targetattr="*")(version 3.0; acl "Attribute-level DIP permissions"; allow (all,proxy) groupdn="ldap:///cn=dipadmingrp,cn=DIPadmins,cn=Directory Integration Platform,cn=Products,cn=oraclecontext"; allow (all,proxy) groupdn="ldap:///cn=odipigroup,cn=DIPadmins,cn=Directory Integration Platform,cn=Products,cn=oraclecontext";) EOF
7.3 Oracle Directory Integration Platform用のOracle Directory Server Enterprise Edition (SSL)の構成
次のステップを順番に使用して、Oracle Directory Integration Platform用にOracle Directory Server Enterprise Edition (バックエンド・ディレクトリ)のSSL通信を構成します。
7.3.1 SSL用のOracle Directory Server Enterprise Editionの構成
ステップを使用して、Oracle Directory Integration Platform用にOracle Directory Server Enterprise Edition (バックエンド・ディレクトリ)のSSL通信を構成します。
-
「Oracle Directory Integration Platform用のOracle Directory Server Enterprise Edition (非SSL)の構成」の説明に従って、Oracle Directory Server Enterprise Editionを構成します。
-
Oracle Directory Server Enterprise EditionがSSLを介してのみ通信するように、非SSL通信を無効化できます。これを行うには、コマンド行で
dsconf
コマンドを実行します。UNIX:
$ dsconf set-server-prop -h host -P 1636 ldap-port:disabled
Windows:
dsconf set-server-prop -h host -P 1636 ldap-port:disabled
Oracle Directory Server Enterprise Editionインスタンスを再起動します。
dsadm restart instance-path
これで、セキュアでないポート
389
にバインドできなくなります。 -
次を実行してOracle Directory Integration Platform資格証明を作成します。
-
次のコマンドを実行して、WLSTプロンプトを開きます。
$ORACLE_HOME/oracle_common/common/bin/wlst.sh
(UNIX)またはORACLE_HOME\oracle_common\common\bin\wlst.cmd
(Windows) -
コマンド行で次のコマンドを実行します:
createCred(map="dip", key="jksKey", user="jksUser", password="password", desc="DIP SSL JKS")
例:
createCred -wlshost localhost -wlsport 7001 -wlsuser weblogic -csfmap dip -csfkey jksKey -csfuser "cn=odisrv,cn=Registered Instances,cn=Directory Integration Platform,cn=products,cn=oraclecontext" -csfpassword password
詳細は、「Oracle Directory Integration Platformの資格証明ストア・フレームワーク」を参照してください。
-
-
次のコマンドを実行してOracle Directory Server Enterprise Edition資格証明をOracle Directory Integration Platformにインポートします。
bin/dsadm show-cert -F der -o dsee-cert instance-path keytool -importcert -noprompt -trustcacerts -alias mycompany.com -file ~/dsee-cert -keystore ~/keystores/DIPKeyStore.jks -storepass <password> keytool -list -keystore ~/DIPKeyStore.jks -storepass <password>
7.3.2 Oracle Directory Server Enterprise Edition SSL用のOracle Directory Integration Platformの構成
Oracle Directory Server Enterprise Edition (バックエンド・ディレクトリ)のSSL通信を構成したら、Oracle Directory Integration Platformを構成する必要があります。
Oracle Directory Integration Platformを構成するには:
-
manageDIPServerConfig
ユーティリティ(ORACLE_HOME/bin
ディレクトリ)を実行してOracle Directory Server Enterprise Editionのホスト名とポート番号を更新します。manageDIPServerConfig set -h host -p port -D wlsuser -attribute {sslmode | refreshinterval | quartzthreadcount | quartzdbretryinterval | backendhostport | keystorelocation} [-ssl -keystorePath PATH_TO_KEYSTORE -keystoreType TYPE] [-value ATTRIBUTE_VALUE] [-help]
例:
manageDIPServerConfig set -h localhost -p 7005 -D weblogic -attribute backendhostport -val odseehost:1636
詳細は、「manageDIPServerConfigユーティリティ」を参照してください。
-
keytoolを使用してJavaキーストア(JKS)を作成し、前のステップでエクスポートした信頼できる証明書をJKSにインポートします。
keytool -importcert -trustcacerts -alias
Some_alias_name-file
Path_to_certificate_file-keystore
path_to_keystore例:
keytool -importcert -trustcacerts -alias ODSEE -file /home/Middleware/asinst_1/ODSEE/admin/odseecert.txt -keystore /home/Middleware/dip.jks
システムからキーストア・パスワードが要求されます。このキーストアの新しいパスワードを入力します。
ノート:
-
-keystore
オプションを使用し、キーストアが存在しない場合は、keytoolによってキーストアが作成されます。
接続ディレクトリとしてMicrosoft Active Directoryを使用している場合、次の手順を実行する必要があります。
-
「LDAP over SSL (LDAPS) Certificate」の説明に従って、Microsoft Active Directory証明書をエクスポートします。
-
次のコマンドを実行して、Microsoft Active Directory証明書をOracle Directory Integration Platformにインポートします。
keytool -importcert -noprompt -trustcacerts -alias mycompany.com -file ~/jpi-ad.cer -keystore ~/keystores/DIPKeyStore.jks -storepass <password>
-
次のコマンドを実行して証明書を検証します。
keytool -list -keystore ~/keystores/DIPKeyStore.jks -storepass <password>
-
Oracle Directory Integration Platformのキーストアの場所を更新します。
$ORACLE_HOME/bin/manageDIPServerConfig set -attribute keystorelocation -val ~/keystores/DIPKeyStore.jks -h host -p 7005 -D "weblogic"
-
次のコマンドを実行して、Microsoft Active Directory証明書をOracle Directory Server Enterprise Editionにインポートします。
dsee7/bin/dsadm add-cert -C instance-path
-
ディレクトリ・サーバー・インスタンスを再起動します。
dsadm restart instance-path
-
次のコマンドを実行して証明書を検証します。
/dsee7/bin/certutil -L -d $INSTANCE/alias/ -P slapd-/dsee7/bin/certutil -L -d $INSTANCE/alias/ -P slapd- -n certAD/dsee7/bin/certutil -L -d $INSTANCE/alias/ -P slapd- -n host
-
-
次のコマンドを実行して、Oracle Directory Integration PlatformのJavaキーストアの場所を更新します。
manageDIPServerConfig set -attr keystorelocation -val
full_path_to_keystore-h
weblogic_host-p
weblogic_managed_server_port-wlsuser
weblogic_userノート:
full_path_to_keystoreはOracle Directory Integration Platformがデプロイされているホストに基づいて、Javaキーストア(JKS)への絶対パスを表します。JKSへの絶対パスを指定する場合は、適切なパス・セパレータを使用します(UNIXおよびLinuxプラットフォームでは「/」、Windowsプラットフォームでは「\」)。
例:
manageDIPServerConfig set -attr keystorelocation -val /home/Middleware/dip.jks -h localhost -p 7005 -wlsuser weblogic
システムからWebLogicパスワードが要求されます。
-
Enterprise Managerにログインし、次のコマンドを実行してOracle Directory Integration Platform SSL構成を更新します。
manageDIPServerConfig set -h weblogic_host -p weblogic_managed_server_port -wlsuser weblogic_user -attribute sslmode [-value ATTRIBUTE_VALUE] [-help]
例:
manageDIPServerConfig set -h localhost -p 7005 -D weblogic -attribute sslmode -val 2
詳細は、「manageDIPServerConfigの引数」を参照してください。
-
Oracle WebLogic管理対象サーバーを再起動します。
Oracle Directory Integration Platformは、SSLサーバー認証モードでOracle Directory Server Enterprise Editionに接続するようになります。
7.4 Oracle Directory Integration Platformの検証
$ORACLE_HOME/bin/
ディレクトリにあるdipStatus
コマンドを使用して、Oracle Directory Integration Platformのインストールを検証します。
詳細は、「Oracle Directory Integration Platformの検証」を参照してください。
Oracle Directory Integration Platform用にOracle Directory Server Enterprise Edition (バックエンド・ディレクトリ)の非SSL通信を構成したら、「Oracle Directory Integration Platformを使用した同期」の説明に従って、接続ディレクトリを対象に同期できます。