5 Oracle Unified Directoryの構成
Oracle Unified Directoryは、Oracle Directory Integration Platformの同期またはプロビジョニングのためにバックエンド・ディレクトリとして構成できます。
トピック:
5.1 Oracle Unified Directoryをバックエンド・ディレクトリとして構成する前に
Oracle Unified Directoryをバックエンド・ディレクトリとして構成する前に、Oracle Directory Integration Platformを構成する必要があります。
Oracle Directory Integration Platformの構成の詳細は、Oracle Internet Directoryのインストールと構成のOracle Directory Integration Platformの構成に関する項を参照してください。
5.2 Oracle Directory Integration Platform用のOracle Unified Directory (非SSL)の構成
次のステップを順番に使用して、Oracle Directory Integration Platform用にOracle Unified Directory (バックエンド・ディレクトリ)の非SSL通信を構成します。
5.2.1 Oracle Unified Directoryのインストール
Oracle Unified Directoryは、コロケート構成またはスタンドアロン構成としてインストールします。
Oracle Unified Directoryをインストールするには、『Oracle Fusion Middleware Oracle Unified Directoryのインストール』の「Oracle Unified Directoryソフトウェアのインストール」を参照してください。
OUD Oracleホームのディレクトリの場所には、ミドルウェア・ホームとしてOracle Directory Integration Platformのホーム・ディレクトリを指定することをお薦めします。
グラフィカル・ユーザー・インタフェース(GUI)またはコマンド行インタフェース(CLI)を使用してOracle Unified Directoryサーバー・インスタンスを設定する場合、次のいずれかのオプションを必ず選択してください。
-
DIPに対応: このサーバー・インスタンスをOracle Directory Integration Platform (DIP)のみで有効化する場合、このオプションを選択します。
-
EBS (E-Business Suite)、Database Net ServicesおよびDIPに対応: このサーバー・インスタンスをOracle E-Business Suite (EBS)、Oracle Database Net ServicesおよびOracle Directory Integration Platform (DIP)で有効化する場合、このオプションを選択します。
-
EUS (エンタープライズ・ユーザー・セキュリティ)、EBS、Database Net ServicesおよびDIPに対応: このサーバー・インスタンスをOracle Enterprise User Security (EUS)、Oracle E-Business Suite (EBS)、Oracle Database Net ServicesおよびOracle Directory Integration Platform (DIP)で有効化する場合、このオプションを選択します。
ノート:
Oracle Directory Integration Platformでは、前述のすべてのオプションが有効です。Oracle Unified Directoryを、EBS、EUSまたはDatabase Net Serviceには統合せずに、Oracle Directory Integration Platformに統合する場合は、DIPに対応オプションの使用をお薦めします。
5.2.2 Oracle Unified Directoryの構成
Oracle Directory Integration Platformのバックエンド・ディレクトリとして使用する前にOracle Unified Directoryを構成します。
『Oracle Fusion Middleware Oracle Unified Directoryの管理』の「Oracle Unified Directoryの概要」を参照してください。
5.2.3 Oracle Unified Directory接尾辞の作成
Oracle Unified Directoryのインストール時に接尾辞を作成していない場合、setup-oracle-context
コマンドを使用してそれらを作成する必要があります。
コマンド行でsetup-oracle-context
コマンドを実行して、cn=oraclecontext
およびcn=oracleschemaversion
接尾辞を作成します。
UNIX
$ setup-oracle-context -h localhost -p 4444 -D "cn=directory manager" -j pwd-file --no-prompt --trustAll
Windows
setup-oracle-context -h localhost -p 4444 -D "cn=directory manager" -j pwd-file --no-prompt --trustAll
5.2.4 外部変更ログの有効化
ディレクトリ・サーバーとレプリケーション・サーバーの両方を含むすべてのサーバー・インスタンスでは、外部変更ログ(ECL)がデフォルトで使用できます。
dsreplication
コマンドを使用して、ユーザー接尾辞およびcn=oraclecontext
のECLを有効にします。
ノート:
インストール中にレプリケーションを構成した場合、ECLが有効化されます。詳細は、『Oracle Unified Directoryのインストール』のインストール時のレプリケーションの設定に関する項を参照してください。ユーザー接尾辞のECLの有効化
ユーザー接尾辞のECL (例: dc=example,dc=com
)を有効化するには:
UNIX
$ dsreplication enable-changelog -h localhost -p 4444 -D "cn=directory manager" -j pwd-file -r 8989 -b "dc=example,dc=com" --trustAll --no-prompt
Windows
dsreplication enable-changelog -h localhost -p 4444 -D "cn=directory manager" -j pwd-file -r 8989 -b "dc=example,dc=com" --trustAll --no-prompt
cn=oraclecontext
のECLの有効化
cn=oraclecontext
のECLを有効化するには:
UNIX
$ dsreplication enable-changelog -h localhost -p 4444 -D "cn=directory manager" -j pwd-file -r 8989 -b cn=oraclecontext --trustAll --no-prompt
Windows
dsreplication enable-changelog -h localhost -p 4444 -D "cn=directory manager" -j pwd-file -r 8989 -b cn=oraclecontext --trustAll --no-prompt
外部変更ログを構成するには、スタンドアロン・サーバーでもレプリケーション・ポート(-r
)が必要ですが、これは外部変更ログがレプリケーション・メカニズムに依存しているためです。レプリケーション・ポートを指定する必要があるのは、そのサーバーで変更ログ(またはレプリケーション)があらかじめ構成されていない場合のみです。レプリケーション・ポートのデフォルト値は8989
です。
ユーザー接尾辞およびcn=oraclecontextのECLの有効化
ディレクトリ・サーバー・インスタンスでECLが構成されていることを確認するには、次の検索コマンドを実行してcn=changelog
ネーミング・コンテキストを見つけます。
$ ldapsearch -h localhost -p 1389 -D "cn=directory manager" -j pwd-file -s base -b "" "objectclass=*" namingContexts dn: namingContexts: cn=changelog namingcontexts: cn=OracleContext namingcontexts: cn=OracleSchemaVersion namingcontexts: dc=example,dc=com
5.2.5 Oracle Unified Directoryと組み合せたOracle Directory Integration Platform用のOracle WebLogic Serverドメインの構成
既存または新規のWebLogic ServerドメインでOracle Unified DirectoryとともにOracle Directory Integration Platformを構成する必要があります。
5.2.5.1 既存のWebLogicドメインでのOracle Unified Directoryと組み合せたOracle Directory Integration Platformの構成
次のステップを実行して、既存のWebLogic管理ドメイン内でOracle Unified Directoryと組み合せてOracle Directory Integration Platformを構成します。
5.2.7 Oracle Unified Directory用のOracle Directory Integration Platformの構成
Oracle WebLogic Serverドメインを構成したら、Oracle Unified Directory用のOracle Directory Integration Platformを構成する必要があります。
-
次のコマンドを実行して、Oracle Unified Directory管理サーバー・インスタンスの証明書をエクスポートします。
UNIX
$ keytool -export-cert -alias admin-cert -keystore config/admin-keystore -storepass:file config/admin-keystore.pin -file oud-server-admin-cert.cer
Windows
keytool -export-cert -alias admin-cert -keystore config\admin-keystore -storepass:file config\admin-keystore.pin -file oud-server-admin-cert.cer
-
keytoolを使用してJavaキーストア(JKS)を作成し、前のステップでエクスポートした信頼できる証明書をJKSにインポートします。
keytool -importcert -trustcacerts -alias
Some_alias_name-file
Path_to_certificate_file-keystore
path_to_keystore例:
keytool -importcert -trustcacerts -alias admin-cert -file /home/Middleware/asinst_1/OUD/admin/oud-server-admin-cert.cer -keystore /home/Middleware/dip.jks
システムからキーストア・パスワードが要求されます。このキーストアの新しいパスワードを入力します。
-
次のコマンドを実行して、Oracle Directory Integration PlatformのJavaキーストアの場所を更新します。
manageDIPServerConfig set -attribute keystorelocation -val
full_path_to_keystore-h
weblogic_host-p
weblogic_managed_server_port-D
weblogic_userノート:
full_path_to_keystoreはOracle Directory Integration Platformがデプロイされているホストに基づいて、Javaキーストア(JKS)への絶対パスを表します。JKSへの絶対パスを指定する場合は、適切なパス・セパレータを使用します(UNIXおよびLinuxプラットフォームでは「/」、Windowsプラットフォームでは「\」)。
例:
$ORACLE_HOME/bin/manageDIPServerConfig set -h localhost -p 7005 -D wlsuser -attribute keystorelocation -val /home/Middleware/dip.jks
システムからWebLogicパスワードが要求されます。
-
次のコマンドを実行してOracle Directory Integration Platform SSL構成を更新します。
UNIX
$ORACLE_HOME/bin/manageDIPServerConfig set -attribute sslmode -val 0 -h localhost -p 7005 -D "weblogic"
Windows
ORACLE_HOME\bin\manageDIPServerConfig set -attribute sslmode -val 0 -h localhost -p 7005 -D "weblogic"
詳細は、「manageDIPServerConfigの引数」を参照してください。
-
次のコマンドを実行してCSF資格証明を作成し、Javaキーストア・パスワードを更新します。
-
次のコマンドを実行して、WLSTプロンプトを開きます。
$ORACLE_HOME/oracle_common/common/bin/wlst.sh
(UNIX)またはORACLE_HOME\oracle_common\common\bin\wlst.cmd
(Windows) -
WebLogic管理サーバーに接続します。
connect('
Weblogic_User', '
Weblogic_password', 't3://
Weblogic_Host:Weblogic_AdminServer_Port')
-
資格証明を作成して、Javaキーストア・パスワードを更新します。
createCred(map="dip", key="jksKey", user="jksuser", password="
JKS_password")
-
-
Oracle Directory Integration Platformの
WL_HOME
およびORACLE_HOME
環境変数を設定します。 -
コマンド行で
dipConfigurator setup
(<ORACLE_HOME>/bin
)コマンドを実行して、次の引数を入力します。ノート:
保護されたLDAP (
isldapssl=true
)に対してdipConfigurator setup
を実行する場合、SSL通信モードを使用してOracle Unified Directory用のOracle Directory Integration Platformを構成する必要があります。「Oracle Unified Directory SSL用のOracle Directory Integration Platformの構成」を参照してください。表5-1 Oracle Unified DirectoryのdipConfiguratorプロパティ
プロパティ 説明 wlshost
Oracle Directory Integration PlatformがデプロイされているOracle WebLogic Serverのホスト名。デフォルトのホスト名は
localhost
です。wlsport
Oracle Directory Integration PlatformがデプロイされているOracle WebLogic管理サーバーのリスニング・ポート番号。デフォルトのポート番号は
7001
です。wlsuser
Oracle WebLogic Serverのログイン・ユーザー名。
ldaphost
Oracle Unified Directoryのホスト名。デフォルトのホスト名は
localhost
です。ldapport
Oracle Unified Directoryサーバーのポート番号。デフォルト値は、
636
です。isldapssl
true
またはfalse
を指定してSSLを有効化または無効化します。デフォルト値はtrue
。ldapuser
ディレクトリに接続するためのバインドDN。
ldapadminport
接続するOracle Unified Directoryの管理ポート番号。デフォルトのポート番号は
4444
です。isclustered <BOOLEAN>
Oracle Directory Integration Platformインスタンスがクラスタ環境内にあるかどうかを指定します。デフォルト値は
false
です。clustercheckininterval <INT>
あるインスタンスがクラスタの他のインスタンスでサーバー・ステータス(障害インスタンスの検出など)を確認する頻度(ミリ秒)を指定します。デフォルト値は
120000
ミリ秒です。例:
UNIX
$ORACLE_HOME/bin/dipConfigurator setup -wlshost localhost -wlsport 7001 -wlsuser weblogic -ldaphost oudhost -ldapport 1389 -ldapuser "cn=Directory Manager" -isldapssl false -ldapadminport 4444
Windows
ORACLE_HOME/bin/dipConfigurator setup -wlshost localhost -wlsport 7001 -wlsuser weblogic -ldaphost oudhost -ldapport 1389 -ldapuser "cn=Directory Manager" -isldapssl false -ldapadminport 4444
ノート:
<ORACLE_HOME>/ldap/log/
にあるdipConfig.log
ファイルを参照できます。
5.2.8 Oracle Unified Directoryのアクセス制御命令(ACI)の追加
ldapmodify
コマンドを使用して、Oracle Unified DirectoryのLDIFファイルにACIを追加します。
コマンド行でldapmodify
コマンドを実行します。
ldapmodify -h localhost -p 1389 -D "cn=Directory Manager" -w <password> <<EOF dn: dc=example,dc=com changetype: modify add: aci aci: (target="ldap:///dc=example,dc=com")(version 3.0; acl "Entry-level DIP permissions"; allow (all,proxy) groupdn="ldap:///cn=dipadmingrp,cn=DIPadmins,cn=Directory Integration Platform,cn=Products,cn=oraclecontext"; allow (all,proxy) groupdn="ldap:///cn=odipigroup,cn=DIPadmins,cn=Directory Integration Platform,cn=Products,cn=oraclecontext"; ) - add: aci aci: (targetattr="*")(version 3.0; acl "Attribute-level DIP permissions"; allow (all,proxy) groupdn="ldap:///cn=dipadmingrp,cn=DIPadmins,cn=Directory Integration Platform,cn=Products,cn=oraclecontext"; allow (all,proxy) groupdn="ldap:///cn=odipigroup,cn=DIPadmins,cn=Directory Integration Platform,cn=Products,cn=oraclecontext";) EOF
ノート:
これは例のため、dc=example,dc=com
ACIは独自のプロファイル構成に置き換える必要があります。
5.3 Oracle Directory Integration Platform用のOracle Unified Directory (SSL)の構成
次のステップを順番に使用して、Oracle Directory Integration Platform用にOracle Unified Directory (バックエンド・ディレクトリ)のSSL通信を構成します。
5.3.1 SSL用のOracle Unified Directoryの構成
Oracle Directory Integration Platform用にOracle Unified Directory (バックエンド・ディレクトリ)のSSL通信を構成するには、次のステップを実行します。
5.3.2 Oracle Unified Directory SSL用のOracle Directory Integration Platformの構成
Oracle Unified Directory (バックエンド・ディレクトリ)のSSL通信を構成したら、Oracle Directory Integration Platformを構成する必要があります。
次のステップを実行します。
-
「SSL用のOracle Unified Directoryの構成」でエクスポートした信頼できる証明書を、Oracle Directory Integration Platform JKS (ステップ2で作成したJavaキーストア)にインポートします。
keytool -importcert -trustcacerts -alias
Some_alias_name-file
Path_to_certificate_file-keystore
path_to_keystore例:
keytool -importcert -trustcacerts -alias OUD2 -file /home/Middleware/asinst_1/OUD/config/server-cert.txt -keystore /home/Middleware/dip.jks
システムからキーストア・パスワードが要求されます。このキーストアのパスワードを入力します(ステップ5で作成したJavaキーストアのパスワードを入力します)。
-
次のコマンドを実行してOracle Directory Integration Platform SSL構成を更新します。
UNIX
$ORACLE_HOME/bin/manageDIPServerConfig set -attribute sslmode -val 2 -h localhost -p 7005 -D "weblogic"
$ORACLE_HOME/bin/manageDIPServerConfig set -attribute backendhostport -val localhost:1636 -h localhost -p 7005 -D "weblogic"
Windows
ORACLE_HOME\bin\manageDIPServerConfig set -attribute sslmode -val 2 -h localhost -p 7005 -D "weblogic"
ORACLE_HOME\bin\manageDIPServerConfig set -attribute backendhostport -val localhost:1636 -h localhost -p 7005 -D "weblogic"
詳細は、「manageDIPServerConfigの引数」を参照してください。
Enterprise Managerにログインして、Oracle Directory Integration PlatformのSSL構成を更新することもできます。
「DIP」→「サーバー・プロパティ」を選択し、「SSLモード」を2、「ポート値」をOracle Unified DirectoryのSSLポートに設定します。
-
Oracle WebLogic管理対象サーバーを再起動します。
Oracle Directory Integration Platformは、SSLサーバー認証モードでOracle Unified Directoryに接続するようになります。
5.4 Oracle Directory Integration Platformの検証
$ORACLE_HOME/bin/
ディレクトリにあるdipStatus
コマンドを使用して、Oracle Directory Integration Platformのインストールを検証します。
ノート:
環境変数WL_HOMEおよびORACLE_HOMEを設定してから、dipStatus
およびdipConfigurator
コマンドを実行してください。
dipStatus
コマンドの構文を次に示します。
$ORACLE_HOME/bin/dipStatus -hlocalhost
-p7005
-D weblogic [-help]
-
-h | -host
は、Oracle Directory Integration PlatformがデプロイされるOracle WebLogic Serverを識別します。 -
-p | -port
には、Oracle Directory Integration Platform管理対象サーバーのリスニング・ポートを指定します。 -
-D | -wlsuser
は、Oracle WebLogic ServerログインIDを識別します。
ノート:
Oracle WebLogic Serverのログイン・パスワードを要求されます。パスワードをコマンド行引数として指定することはできません。
最良のセキュリティ・プラクティスは、コマンドからの要求への応答としてのみ、パスワードを入力することです。スクリプトからdipStatus
を実行する必要がある場合、Oracle WebLogic Serverパスワードを含むファイルから、入力をリダイレクトできます。ファイル権限を使用してファイルを保護し、不要になったら権限を削除します。
次のようにOracle Enterprise Manager Fusion Middleware Controlを使用して、Oracle Directory Integration Platformインストールも検証できます。
Oracle Directory Integration Platformをインストールして構成したら、「Oracle Directory Integration Platformスタート・ガイド」を参照してください。
Oracle Directory Integration Platform用にOracle Unified Directory (バックエンド・ディレクトリ)の非SSL通信を構成したら、「Oracle Directory Integration Platformを使用した同期」または「Oracle Directory Integration Platformによるプロビジョニング」の説明に従って、接続ディレクトリを対象に同期またはプロビジョニングできます。