16 プロビジョニング統合アプリケーションのデプロイ
この章では、Oracleプロビジョニング・サービスを使用してプロビジョニング統合アプリケーションをデプロイする方法について説明します。
トピック:
16.1 プロビジョニング統合アプリケーションのデプロイ
この項で説明するステップを実行して、Oracleプロビジョニング・サービスを使用してプロビジョニング統合アプリケーションをデプロイします。
ステップは次のとおりです。
16.2 manageProvProfilesコマンドについて
manageProvProfiles
コマンドを使用して、プロビジョニング・プロファイルを管理します。
プロビジョニング機能を使用すると、ディレクトリの変更(ユーザーまたはグループ情報の変更など)をアプリケーションに確実に通知できます。このような変更は、アプリケーションでプロセスやリソースに対するユーザー・アクセスを許可するかどうかに影響を及ぼすことがあります。
プロビジョニング対象のアプリケーションをインストールする場合、ORACLE_HOME/binディレクトリにあるmanageProvProfiles
コマンドを使用して、プロビジョニング統合プロファイルを作成する必要があります。詳細は、「manageProvProfilesコマンド」および「manageProvProfilesのタスクと使用例」を参照してください。
manageProvProfiles
を使用すると次のことが可能です。
-
新しいプロビジョニング・プロファイルの作成。新しいプロビジョニング・プロファイルを作成し、Oracle Directory Integration Platformが処理できるように、有効化状態に設定します。
-
既存のプロビジョニング・プロファイルの無効化。
-
無効化されたプロビジョニング・プロファイルの有効化。
-
既存のプロビジョニング・プロファイルの変更。
-
既存のプロビジョニング・プロファイルの削除。
-
指定されたプロビジョニング・プロファイルの現行ステータスの取得。
-
既存のプロビジョニング・プロファイル内にあるすべてのエラーのクリア。
manageProvProfiles
ユーティリティは、ツールのコール元から、プロビジョニング・プロファイル・エントリの場所とスキーマ詳細を保護します。コール元から見ると、アプリケーションとレルムの組合せにより、プロビジョニング・プロファイルが一意に特定されます。システムには、各アプリケーションのレルムごとに存在できるプロビジョニング・プロファイルは1つのみであるという制約があります。
プロファイルを一度作成したら、modify
操作を使用してそのモード(INBOUND、OUTBOUNDまたはBOTH)を変更することはできません。モードを変更するには、プロファイルを削除して再作成する必要があります。
Oracle Directory Integration Platform Serverにより、Oracle Unified DirectoryまたはOracle Internet Directoryでのプロビジョニング・プロファイル構成の変更(プロビジョニング・プロファイルの作成、変更、削除など)は自動的にモニターされます。このため、プロビジョニング・プロファイルを手動で有効または無効にする必要はありません。
ノート:
セキュリティを向上させるため、要求されないかぎり、manageProvProfiles
コマンドでパスワードを入力しないでください。
16.3 manageProvProfilesのタスクと使用例
manageProvProfiles
を使用して、プロビジョニング・プロファイルを作成、変更、削除または無効化します。
トピック:
16.3.1 プロビジョニング・プロファイルの作成
次の例では、バックエンド・ディレクトリで管理されているユーザーおよびグループ情報の更新をPortalで認識できるように、新規プロビジョニング・プロファイルを作成します。
Oracle Internet Directoryの例:
manageProvProfiles operation=create ldap_host=myhost.mycompany.com ldap_port=389 \ ldap_user_dn="cn=orcladmin" application_dn="orclApplicationCommonName=PORTAL,cn=Portal,cn=Products,cn=OracleContext" \ organization_dn="dc=us,dc=mycompany,dc=com" interface_name=PORTAL.WWSEC_OID_SYNC \ interface_type=PLSQL \ schedule=360 event_subscription="USER:dc=us,dc=mycompany,dc=com:DELETE" \ event_subscription="GROUP:dc=us,dc=mycompany,dc=com:DELETE" \ event_subscription="USER:dc=us,dc=mycompany,dc=com:MODIFY(orclDefaultProfileGroup,userpassword)" \ event_subscription="GROUP:dc=us,dc=mycompany,dc=com:MODIFY(uniqueMember)" \ profile_mode=OUTBOUND
Oracle Unified Directoryの例
manageProvProfiles operation=create ldap_host=myhost.mycompany.com ldap_port=389 \ ldap_user_dn="cn=directory manager" application_dn="orclApplicationCommonName=PORTAL,cn=Portal,cn=Products,cn=OracleContext" \ organization_dn="dc=us,dc=mycompany,dc=com" interface_name=PORTAL.WWSEC_OID_SYNC \ interface_type=PLSQL \ schedule=360 event_subscription="USER:dc=us,dc=mycompany,dc=com:DELETE" \ event_subscription="GROUP:dc=us,dc=mycompany,dc=com:DELETE" \ event_subscription="USER:dc=us,dc=mycompany,dc=com:MODIFY(orclDefaultProfileGroup,userpassword)" \ event_subscription="GROUP:dc=us,dc=mycompany,dc=com:MODIFY(uniqueMember)" \ profile_mode=OUTBOUND
16.3.2 プロビジョニング・プロファイルの変更
次の例では、Portalアプリケーションの既存のプロビジョニング・プロファイルを変更します。ユーザー・エントリの変更時にプロビジョニングされる属性のイベント・サブスクリプションを変更します。
例:
manageProvProfiles operation=modify ldap_host=myhost.mycompany.com ldap_port=389 \ ldap_user_dn="cn=orcladmin" application_dn="orclApplicationCommonName=PORTAL,cn=Portal,cn=Products,cn=OracleContext" \ organization_dn="dc=us,dc=mycompany,dc=com" \ subscription="USER:dc=us,dc=mycompany,dc=com:MODIFY(orclDefaultProfileGroup,userpassword,mail,cn,sn)"
16.3.3 プロビジョニング・プロファイルの削除
次の例は、ポータル・アプリケーションのプロビジョニング・プロファイルを無効化します。
例:
manageProvProfiles operation=delete ldap_host=myhost.mycompany.com ldap_port=389 \ ldap_user_dn="cn=orcladmin" application_dn="orclApplicationCommonName=PORTAL,cn=Portal,cn=Products,cn=OracleContext" \ organization_dn="dc=us,dc=mycompany,dc=com"
16.3.4 プロビジョニング・プロファイルの無効化
次の例は、ポータル・アプリケーションのプロビジョニング・プロファイルを無効化します。
例:
manageProvProfiles operation=disable ldap_host=myhost.mycompany.com ldap_port=389 \ ldap_user_dn="cn=orcladmin" application_dn="orclApplicationCommonName=PORTAL,cn=Portal,cn=Products,cn=OracleContext" \ organization_dn="dc=us,dc=mycompany,dc=com"
16.3.5 無効化されたプロビジョニング・プロファイルの再有効化
次の例は、ポータル・アプリケーションの無効化されたプロビジョニング・プロファイルを再有効化します。
例:
manageProvProfiles operation=enable ldap_host=myhost.mycompany.com ldap_port=389 \ ldap_user_dn="cn=orcladmin" application_dn="orclApplicationCommonName=PORTAL,cn=Portal,cn=Products,cn=OracleContext" \ organization_dn="dc=us,dc=mycompany,dc=com"
16.4 プロビジョニング用のアプリケーションの登録
アプリケーションをインストールし、manageProvProfiles
を使用してそのプロビジョニング・プロファイルを作成したら、この項で説明するステップを実行してプロビジョニングのためにアプリケーションを登録する必要があります。
次のステップを実行して、プロビジョニングのためにアプリケーションを登録します。
- 初回のプロビジョニング登録を実行してプロビジョニング統合プロファイルを作成します。Oracle Directory Integration Platform Serviceはプロビジョニング統合プロファイルを使用してプロビジョニング統合アプリケーションを識別します。
- Oracle Directory Integration Platform Serviceに対して、アプリケーション固有属性とデフォルト値を設定し、アプリケーションにユーザーをプロビジョニングする際に属性が必須であるかどうかを指定します。
- プロビジョニング統合アプリケーションで必要なプラグインを登録します。ビジネス・ポリシーを施行するためにアプリケーションが使用する、アプリケーション固有のプラグインを含めることができます。
ノート:
Oracle Directory Integration Platform Service では、複数インスタンス・アーキテクチャをサポートするアプリケーションのインスタンス・レベルでのプロビジョニングをサポートしていません。同一アプリケションのインスタンスを複数インストールした場合、Oracle Directory Integration Platform Service は各インスタンスを個別のプロビジョニング統合アプリケーションとして処理します。
ユーザー作成時、管理者はユーザー属性を特定のプロビジョニング統合アプリケーションに割り当てることができます。アプリケーションにプロビジョニングされるユーザーごとに、アプリケーション固有の属性がバックエンド・ディレクトリに格納されます。パフォーマンスを向上させるために、プロビジョニング統合アプリケーションは通常、バックエンド・ディレクトリからユーザー属性を取得するのではなく、ユーザー属性のローカル・コピーをキャッシュしています。データ・アクセスJavaプラグインを使用する同期的な方法、またはPL/SQLプラグインを使用する非同期的な方法のいずれかで、ユーザー作成、ユーザー削除および属性変更がアプリケーションに通知されます。
登録により、アプリケーションの一意のアイデンティティがバックエンド・ディレクトリに作成されます。Oracleアプリケーションは通常、repository.jarファイル(Oracleアプリケーション・サーバーによってデフォルトで$ORACLE_HOME/jlibディレクトリにインストールされる)にあるリポジトリAPIを使用して、プロビジョニングのために自身を登録します。リポジトリAPIは、バックエンド・ディレクトリにアプリケーション・エントリを作成する場合だけでなく、アプリケーションを権限グループに追加する場合にも使用できます。
登録APIを使用できないOracle以外のアプリケーション用に、LDAPコマンドおよびLDIFテンプレートを使用してバックエンド・ディレクトリにアプリケーションのアイデンティティを作成できます。cn=Products,cn=OracleContext
またはcn=Products, cn=OracleContext,
Realm DN
にアプリケーションのコンテナを作成します。アプリケーション・アイデンティティの作成先コンテナは、そのアプリケーションが単一のレルムまたは複数のレルムのどちらでユーザーに使用可能であるかによって異なります。ほとんどの場合、アプリケーションが特定のバックエンド・ディレクトリ・アイデンティティ管理レルムのアイデンティティ管理ポリシーによってバインドされないように、cn=Products, cn=OracleContext
コンテナにアプリケーション・アイデンティティを作成する必要があります。
同じアプリケーションの複数のインスタンスをインストールできます。プロビジョニング統合アプリケーションの新しいインスタンスをインストールすると、アプリケーション・アイデンティティ・コンテナに新しいインスタンス用の個別のエントリが作成されます。一部の構成設定はインスタンス固有ですが、それ以外の設定は同じアプリケーションの複数のインスタンス全体で共有されます。たとえば、Oracleファイルと類似しているアプリケーションを考えてみます。各インスタンスが他のインスタンスから独立している環境で、Oracleファイルの複数のインスタンスをデプロイできます。各インスタンスを個別のプロビジョニング統合アプリケーションとして定義します。アプリケーションの複数のインスタンスで、ユーザーをプロビジョニングすることもできます。
アプリケーションの最初のインスタンスをインストールする場合、次の例に示されているエントリをOracle Unified DirectoryまたはOracle Internet Directoryに作成する必要があります。この例では、cn=Products, cn=OracleContext
コンテナにアプリケーション・アイデンティティを作成し、アプリケーション名およびタイプはそれぞれFiles-App1
およびFILES
としています。
例16-1 Oracle Internet Directory
dn: cn=FILES,cn=Products,cn=OracleContext changetype: add objectclass: orclContainer dn: orclApplicationCommonName=Files-App1,cn=FILES,cn=Products,cn=OracleContext changetype: add objectclass: orclApplicationEntityorclappfullname: Files Application Instance 1 userpassword: password description: This is a test application instance. protocolInformation: protocol information orclVersion: 1.0 orclaci: access to entry by group="cn=odisgroup,cn=DIPAdmins,cn=Directory Integration Platform,cn=Products,cn=OracleContext" (browse,proxy) by group="cn=User Provisioning Admins,cn=Groups,cn=OracleContext" (browse,proxy) orclaci: access to attr=(*) by group="cn=odisgroup,cn=DIPAdmins,cn=Directory Integration Platform,cn=Products,cn=OracleContext" (search,read,write,compare) by group="cn=User Provisioning Admins,cn=Groups,cn=OracleContext" (search,read,write,compare)
例16-2 Oracle Unified Directory
dn: orclApplicationCommonName=Files-App1,cn=FILES,cn=Products,cn=OracleContext changetype: add objectclass: orclApplicationEntity orclappfullname: Files Application Instance 1 userpassword: password description: This is a test application instance. protocolInformation: protocol information aci:(target="ldap:///orclApplicationCommonName=Files-App1,cn=FILES,cn=Products,cn=OracleContext"">ldap:///orclApplicationCommonName=Files-App1,cn=FILES,cn=Products,cn=OracleContext"</a>)(version 3.0; acl "Access by the DIP admin Group"; allow (browse,proxy) groupdn="ldap:///cn=odisgroup,cn=DIPAdmins,cn=Directory">ldap:///cn=odisgroup,cn=DIPAdmins,cn=Directory</a> Integration Platform,cn=Products,cn=OracleContext";) aci: (target="ldap:///orclApplicationCommonName=Files-App1,cn=FILES,cn=Products,cn=OracleContext"">ldap:///orclApplicationCommonName=Files-App1,cn=FILES,cn=Products,cn=OracleContext"</a>)(version 3.0; acl "Access by the User Provisioning Admins group"; allow (browse,proxy) groupdn="ldap:///cn=User">ldap:///cn=User</a> Provisioning Admins,cn=Groups,cn=OracleContext";) aci: (targetattr="*") (version 3.0; acl "Access to attributes of the Application by DIP admin groups group"; allow (search,read,write,compare) groupdn="ldap:///cn=odisgroup,cn=DIPAdmins,cn=Directory">ldap:///cn=odisgroup,cn=DIPAdmins,cn=Directory</a> Integration Platform,cn=Products,cn=OracleContext";) aci: (targetattr="*") (version 3.0; acl "Access to attributes of the Application by DIP admin groups group"; allow (search,read,write,compare) groupdn="ldap:///cn=User">ldap:///cn=User</a> Provisioning Admins,cn=Groups,cn=OracleContext";)
アプリケーションの2番目のインスタンスをインストールする場合、次の例に示されているエントリをバックエンド・ディレクトリに作成する必要があります。この例でも、cn=Products, cn=OracleContext
コンテナにアプリケーション・アイデンティティを作成し、アプリケーション名はFiles-App2
としています。
例16-3 Oracle Internet Directory
dn: orclApplicationCommonName=Files-App2,cn=FILES,cn=Products,cn=OracleContext changetype: add objectclass: orclApplicationEntityorclappfullname: Files Application Instance 2 userpassword: password description: This is a test Appliction instance. protocolInformation: protocol information orclVersion: 1.0 orclaci: access to entry by group="cn=odisgroup,cn=DIPAdmins,cn=Directory Integration Platform,cn=Products,cn=OracleContext" (browse,proxy) by group="cn=User Provisioning Admins,cn=Groups,cn=OracleContext" (browse,proxy) orclaci: access to attr=(*) by group="cn=odisgroup,cn=DIPAdmins,cn=Directory Integration Platform,cn=Products,cn=OracleContext" (search,read,write,compare) by group="cn=User Provisioning Admins,cn=Groups,cn=OracleContext" (search,read,write,compare)
例16-4 Oracle Unified Directory
dn: orclApplicationCommonName=Files-App2,cn=FILES,cn=Products,cn=OracleContext changetype: add objectclass: orclApplicationEntity orclappfullname: Files Application Instance 2 userpassword: password description: This is a test application instance. protocolInformation: protocol information aci: (target="ldap:///orclApplicationCommonName=Files-App2,cn=FILES,cn=Products,cn=OracleContext"">ldap:///orclApplicationCommonName=Files-App2,cn=FILES,cn=Products,cn=OracleContext"</a>)(version 3.0; acl "Access by the DIP admin Group"; allow (browse,proxy) groupdn="ldap:///cn=odisgroup,cn=DIPAdmins,cn=Directory">ldap:///cn=odisgroup,cn=DIPAdmins,cn=Directory</a> Integration Platform,cn=Products,cn=OracleContext";) aci: (target="ldap:///orclApplicationCommonName=Files-App2,cn=FILES,cn=Products,cn=OracleContext"">ldap:///orclApplicationCommonName=Files-App2,cn=FILES,cn=Products,cn=OracleContext"</a>)(version 3.0; acl "Access by the User Provisioning Admins group"; allow (browse,proxy) groupdn="ldap:///cn=User">ldap:///cn=User</a> Provisioning Admins,cn=Groups,cn=OracleContext";) aci: (targetattr="*") (version 3.0; acl "Access to attributes of the Application by DIP admin groups group"; allow (search,read,write,compare) groupdn="ldap:///cn=odisgroup,cn=DIPAdmins,cn=Directory">ldap:///cn=odisgroup,cn=DIPAdmins,cn=Directory</a> Integration Platform,cn=Products,cn=OracleContext";) aci: (targetattr="*") (version 3.0; acl "Access to attributes of the Application by DIP admin groups group"; allow (search,read,write,compare) groupdn="ldap:///cn=User">ldap:///cn=User</a> Provisioning Admins,cn=Groups,cn=OracleContext";)
プロビジョニング統合アプリケーションをバックエンド・ディレクトリに正常に登録した後、そのアプリケーションを様々な権限グループに追加することが必要な場合があります。表16-1には、Oracle Unified DirectoryまたはOracle Internet Directoryの共通権限グループが記載されています。
表16-1 Oracle Internet Directoryの共通権限グループ
グループ | 説明 |
---|---|
|
ユーザー作成 |
|
ユーザー編集 |
|
ユーザー削除 |
|
グループ作成 |
|
グループ編集 |
|
グループ削除 |
次のLDIFファイルでは、すべてのレルムにおけるユーザー作成権限をFiles-App1アプリケーションに付与しています。
dn:cn=OracleCreateUser,cn=Groups,cn=OracleContext changetype: modify add: uniquemember uniquemember: orclApplicationCommonName=Files-App1,cn=FILES,cn=Products,cn=OracleContext
16.5 アプリケーションのプロビジョニング・プロパティの構成方法の理解
プロビジョニング統合アプリケーションを登録した後、そのプロパティを構成する必要があります。各アプリケーションのプロビジョニング・プロファイルは、自身のプロビジョニング構成プロパティを保持しています。
プロビジョニング統合アプリケーションは、プロパティを使用して次のタイプのメタデータを格納します。
-
アプリケーション・アイデンティティ情報
-
アイデンティティ・レルム情報
-
デフォルト・アプリケーション・プロビジョニング・ポリシー
-
アプリケーション属性プロパティとデフォルト値
-
アプリケーション・プロビジョニング・プラグイン
-
アプリケーション・イベント・インタフェース情報
-
アプリケーション・イベント伝播情報
Oracle Internet Directoryプロビジョニングでは、3つのバージョン(1.1、2.0および3.0)のプロビジョニング・プロファイルがサポートされ、Oracle Unified Directoryでは、2つのバージョン(2.0と3.0)のプロビジョニング・プロファイルがサポートされます。別のアプリケーションでは、別のバージョンのプロビジョニング・プロファイルをサポートします。たとえば、多くのOracleアプリケーションでは、バージョン2.0のみサポートしています。一方、Oracle Collaboration Suiteではバージョン3.0のプロビジョニング・プロファイルをサポートしています。プロビジョニング・プロファイルのバージョン間の主な違いは、次のとおりです。
-
バージョン1.1および2.0のプロビジョニング・プロファイルをサポートするアプリケーションのプロビジョニングは、
manageProvProfiles
ユーティリティを含めて単一ステップの処理です(詳細は、『Oracle Identity Managementユーザー・リファレンス』の「Oracle Directory Integration Platformツール」の章で説明しています)。一方、バージョン3.0のプロビジョニング・プロファイルをサポートするアプリケーションのプロビジョニングは、複数のステップです(詳細は、『Oracle Identity Managementアプリケーション開発者ガイド』の集中管理ユーザー・プロビジョニングJava APIリファレンスに関する章で説明しています)。 -
Oracle Directory Integration Platformプロビジョニングでは、バージョン3.0のプロビジョニング・プロファイルをサポートするアプリケーションのユーザー・プロビジョニング・ステータスのみが管理されます。
関連項目:
『Oracle Identity Managementアプリケーション開発者ガイド』の集中管理ユーザー・プロビジョニングJava APIリファレンスに関する章
16.6 manageProvProfilesコマンド
ORACLE_HOME/bin
ディレクトリにあるmanageProvProfiles
コマンドを使用して、プロビジョニング統合プロファイルを作成できます。
manageProvProfilesの構文
manageProvProfiles operation=[create|modify] ldap_host=backend_hostname ldap_port=port ldap_user_dn="bindDN" [profile_mode=INBOUND|OUTBOUND|BOTH] application_dn="DN" application_type=type [application_name=name] [application_display_name=display name] organization_dn=DN [application_isdasvisible=TRUE|FALSE] [manage_application_defaults=TRUE|FALSE] [enable_bootstrap=TRUE|FALSE] [user_data_location=DN] [default_provisioning_policy=PROVISIONING_REQUIRED|PROVISIONING_NOT_REQUIRED] interface_name=SCHEMA.PACKAGE [interface_type=PLSQL|JAVA] interface_version=1.1|2.0|3.0] schedule=number_seconds lastchangenumber=number max_prov_failure_limit=number max_events_per_schedule=number max_events_per_invocation=number event_mapping_rules="OBJECT_TYPE:FILTER:DOMAIN" event_permitted_operations="OBJECT:DOMAIN:OPERATION(attributes,...)" event_subscription="USER|GROUP:DOMAIN:OPERATION(attributes,...)" max_events_per_schedule=number max_retries=number profile_group=number profile_status=ENABLED | DISABLED profile_debug=debug_level manageProvProfiles {operation=enable|disable|delete|status|reset} application_dn=DN [organization_dn=DN] [ldap_host=backend_hostname] [ldap_port=port] [ldap_user_dn=bindDN] [profile_debug=debug_level]
manageProvProfilesの引数
operation=create | modify | enable | disable | delete | status | reset
必須。manageProvProfiles
を使用して実行する操作。一度に1つの操作のみ実行できます。操作は次のとおりです。
-
create - 新しいプロビジョニング・プロファイルを作成します。
-
modify - 既存のプロビジョニング・プロファイルの指定されたプロパティを変更します。
-
enable - プロビジョニング・プロファイルを有効化します。
-
disable - プロビジョニング・プロファイルを無効化します。
-
delete - プロビジョニング・プロファイルを削除します。
-
status - 指定されたプロビジョニング・プロファイルの現在のステータスを表示します。
-
reset - プロビジョニング・プロファイルのすべてのエラーをクリアします。
ldap_host=backend_hostname
オプション。Oracle Unified DirectoryまたはOracle Internet Directoryサーバーのホスト名。指定しない場合、ローカル・ホストの名前が使用されます。
ldap_port=port
オプション。バックエンド・ディレクトリのLDAPリスニング・ポート。Oracle Unified DirectoryまたはOracle Internet Directoryのデフォルト・ポートは、389
です。
必須。スーパーユーザーまたはプロビジョニング・サブスクリプション操作の実行に十分な権限を持つユーザーのDN。Oracle Unified Directoryのデフォルト値はcn=directory manager
で、Oracle Internet Directoryのデフォルト値はcn=orcladmin
です。
profile_mode=OUTBOUND | INBOUND | BOTH
create
操作でのみオプション。プロビジョニング・イベントの方向。デフォルトはOUTBOUNDです(データはOracle Unified DirectoryまたはOracle Internet Directoryからアプリケーションへとプロビジョニングされます)。
application_dn=DN
必須。プロビジョニング・サブスクリプションが属するアプリケーションの識別名。アプリケーションDNと組織DNの組合せにより、プロビジョニング・プロファイルが一意に識別されます。たとえば、ポータルのアプリケーションDNは次のように指定します。
"orclApplicationCommonName=PORTAL,cn=Portal,cn=Products,cn=OracleContext"
application_type=type
必須。プロビジョニングするアプリケーションのタイプ。
application_name=name
オプション。プロビジョニングするアプリケーションの名前。指定しない場合、application_dn
に割り当てた識別名がデフォルトになります。
application_display_name=name
オプション。プロビジョニングするアプリケーションの表示名。指定しない場合、application_name
に割り当てた値がデフォルトになります。
organization_dn=DN
オプション。指定しない場合、デフォルト・アイデンティティ管理レルムがデフォルトになります。プロビジョニング・サブスクリプションが属する組織の識別名です(dc=company,dc=com
など)。アプリケーションDNと組織DNの組合せにより、プロビジョニング・プロファイルが一意に識別されます。
application_isdasvisible=TRUE | FALSE
オプション。アプリケーションをOracle Internet Directoryにプロビジョニング統合アプリケーションとして表示するかどうかを決定します。デフォルト値はTRUE
です。
ノート:
この引数は、Oracle Delegated Administration Services 10gリリース(10.1.4.x)向けです。
manage_application_default=TRUE | FALSE
オプション。Oracle Internet Directoryでアプリケーションのデフォルト値を管理するかどうかを決定します。デフォルト値はTRUE
です。
ノート:
この引数は、Oracle Delegated Administration Services 10gリリース(10.1.4.x)向けです。
enable_bootstrap=TRUE | FALSE
オプション。アプリケーションのプロビジョニング統合プロファイルを作成する前にバックエンド・ディレクトリに存在していたユーザーのプロビジョニング・イベントをアプリケーションで受信するかどうかを示します。デフォルト値はFALSE
です。
user_data_location=DN
オプション。アプリケーション固有のユーザー情報を格納するコンテナのDNを指定します。
default_provisioning_policy=PROVISIONING_REQUIRED | PROVISIONING_NOT_REQUIRED
オプション。アプリケーションのデフォルト・プロビジョニング・ポリシーを指定します。デフォルト値はPROVISIONING_REQUIRED
です。
interface_name=SCHEMA.PACKAGE
create
またはmodify
操作の場合は必須。PLSQLパッケージのデータベース・スキーマ名。値の書式は(schema.package_name
)で、たとえば、ポータルのスキーマおよびPLSQLパッケージの情報は次のように指定します。
interface_name=PORTAL.WWSEC_OID_SYNC
interface_version=1.1 | 2.0 | 3.0
インタフェース・プロトコルのバージョン。許可されている値は、1.1
、2.0
または3.0
です。デフォルト値は、2.0
です。
Oracle Internet Directoryでは、バージョン1.1
、2.0
または3.0
がサポートされます。
Oracle Unified Directoryでは、バージョン2.0
および3.0
がサポートされます。
interface_type=PLSQL | JAVA
オプション。イベントの伝播先となるインタフェースのタイプ。デフォルトはPLSQL
です。
ノート:
JAVA
タイプでは、インタフェース・プロトコル・バージョン3.0
のみがサポートされます。
schedule=number_seconds
create
およびmodify
操作でのみオプション。このプロファイルの実行間隔を示す秒数。デフォルトは3600
であり、プロファイルは1時間ごとに実行されます。
lastchangenumber=number
OUTBOUND
イベントのcreate
およびmodify
操作でのみオプション。バックエンド・ディレクトリの最終変更番号であり、この番号より後の適切なすべてのイベントがアプリケーションにプロビジョニングされます。デフォルトは、最新の現行変更番号です。
ノート:
lastchangenumber
引数を更新するには、次のステップを実行する必要があります。
-
Oracle Enterprise Manager Fusion Middleware Controlを使用してOracle Directory Integration Platformを停止します。「Fusion Middleware Controlを使用したOracle Directory Integration Platformの停止」を参照してください。
-
manageProvProfiles
コマンドを使用して、プロビジョニング・プロファイルの最終変更番号を更新します。 -
Oracle Enterprise Manager Fusion Middleware Controlを使用してOracle Directory Integration Platformを起動します。「Fusion Middleware Controlを使用したOracle Directory Integration Platformの起動」を参照してください。
lastchangenumber
を設定しないでOracle Directory Integration Platformを再起動すると、lastchangenumber
がキャッシュの古い(より小さい)値で上書きされます。
max_prov_failure_limit=number
オプション。Oracleプロビジョニング・システムがユーザーのプロビジョニングを試行する回数を決定します。デフォルトは1
です。
max_events_per_schedule=number
create
およびmodify
操作でのみオプション。プロビジョニング・プロファイルの1回の実行の間に、Oracle Directory Integration Platform Serverがアプリケーションに送信するイベントの最大数。デフォルトは100
です。
max_events_per_invocation=number
create
およびmodify
操作でのみオプション。インタフェースの1回の起動でパッケージ化してターゲットに送信するイベントの最大数。
event_mapping_rules="OBJECT_TYPE:FILTER:DOMAIN"
INBOUND
イベントのcreate
およびmodify
操作でのみ必須。このルールは、アプリケーションから(オプションのフィルタ条件を使用して)受け取ったオブジェクト・タイプをバックエンド・ディレクトリのドメインにマップします。プロビジョニング・プロファイルには、複数のマッピング・ルールを定義できます。
次の例は、2つのマッピング・ルールを示しています。1番目のルールでは、地域属性がアメリカに等しい(l=AMERICA
)従業員オブジェクト(EMP
)が、ドメインl=AMER,cn=users,dc=company,dc=com
にマップされます。2番目のルールでは、フィルタ条件なしで、従業員オブジェクト(EMP
)がドメインcn=users,dc=company,dc=com
にマップされます。
event_mapping_rules="EMP:l=AMERICA:l=AMER,cn=users,dc=company,dc=com" event_mapping_rules="EMP::cn=users,dc=company,dc=com"
event_permitted_operations="OBJECT:DOMAIN:OPERATION(attributes,...)
INBOUND
イベントのcreate
およびmodify
操作でのみ必須。このプロパティを使用して、Oracle Directory Integration Platformサービスへの送信をアプリケーションに許可するイベントのタイプを定義します。1つのプロビジョニング・プロファイルに複数の許可操作を定義できます。
たとえば、ユーザー・オブジェクトが追加または削除されたときや特定の属性が変更されたときに、アプリケーションがイベントを送信するのを許可する場合、次の3つの操作が許可されていることになります。
event_permitted_operations="USER:dc=mycompany,dc=com:ADD(*)" event_permitted_operations="USER:dc=mycompany,dc=com:MODIFY(cn,sn,mail,password)" event_permitted_operations="USER:dc=mycompany,dc=com:DELETE(*)"
event_subscription="USER | GROUP:DOMAIN:OPERATION(attributes,...)"
OUTBOUND
イベントのcreate
およびmodify
操作でのみ必須。このプロパティを使用して、Oracle Directory Integration Platformサービスからアプリケーションに送信するイベントのタイプを定義します。1つのプロビジョニング・プロファイルに複数のイベント・サブスクリプションを定義できます。
たとえば、ユーザーまたはグループ・オブジェクトが追加または削除されたときに、常にディレクトリ統合サーバーからアプリケーションにイベントを送信する場合、次の4つのイベント・サブスクリプションがあることになります。
event_subscription="GROUP:dc=mycompany,dc=com:ADD(*)" event_subscription="GROUP:dc=mycompany,dc=com:DELETE(*)" event_subscription="USER:dc=mycompany,dc=com:ADD(*)" event_subscription="USER:dc=mycompany,dc=com:DELETE(*)"
max_retries=number
create
およびmodify
操作でのみオプション。失敗したイベントを再試行する回数。デフォルトは5
です。
profile_group=number
create
およびmodify
操作でのみ必須。プロファイルのグループ番号。デフォルトはDEFAULT
です。この引数は、異なるOracle Directory Integration Platform Serverインスタンスを使用して様々な選択グループを実行する場合に発生するスケーラビリティの問題に対処するために必要です。
profile_status=ENABLED | DISABLED
create操作でのみ必須。プロファイルの有効化または無効化を指定します。デフォルトはENABLED
です。
profile_debug=debug_level
必須。プロファイルのデバッグ・レベル。
ノート:
セキュリティ上の理由により、ldap_user_password
引数とinterface_connect_info
引数は、コマンド行では受け入れられなくなりました。