4 Oracle Directory Integration Platformの操作
この章では、Oracle Directory Integration Platformについて説明し、その構成方法と管理方法を示します。
トピック:
-
Fusion Middleware Controlを使用したOracle Directory Integration Platformの管理
-
manageDIPServerConfigを使用したOracle Directory Integration Platformの管理
関連項目:
Oracle Directory Integration Platformにより実行される機能については、「Oracle Directory Integration Platformについて」を参照してください
ノート:
パスワードを同期するため、Oracle Directory Integration Platformをバックエンド・ディレクトリや任意の接続ディレクトリに接続する場合、SSL通信を使用することをお薦めします。
4.1 Oracle Directory Integration Platformについての操作情報の理解
Oracle Directory Integration Platformの構造上および操作上の情報を確認します。
トピック:
4.1.1 ディレクトリ統合プロファイルとは
Oracle Directory Integration Platformでは、ディレクトリ同期プロファイルとディレクトリ・プロビジョニング・プロファイルという2種類のプロファイルを作成できます。
ディレクトリ同期プロファイルは、Oracleバックエンド・ディレクトリと接続ディレクトリとの間で同期が実行される方法を記述します。ディレクトリ同期プロファイルは、インポート・プロファイルとエクスポート・プロファイルの2種類を作成できます。インポート・プロファイルは、接続ディレクトリからOracleバックエンド・ディレクトリに変更をインポートするのに対し、エクスポート・プロファイルは、Oracleバックエンド・ディレクトリから接続ディレクトリに変更をエクスポートします。ディレクトリ・プロビジョニング・プロファイルは、Oracle Directory Integration Platformからディレクトリ対応アプリケーションに送信されるプロビジョニング関連の通知の性質を記述します。プロビジョニング・プロファイルも、アプリケーションのデータソースに発生した変更についてOracleバックエンド・ディレクトリに通知するように構成されていることがあります。複数のプロファイルを同時に使用できます。
プロファイルの各タイプは特殊な種類のディレクトリ統合プロファイルで、Oracle Directory Integration Platformと外部システムとの通信方法と通信内容を記述するOracleバックエンド・ディレクトリ内のエントリです。
4.1.2 Oracleバックエンド・ディレクトリ・マルチマスター・レプリケーション環境でのOracle Directory Integration Platformイベント伝播の理解
Oracleバックエンド・ディレクトリ・マルチマスター環境では、1つのOracleバックエンド・ディレクトリ・ノード上でのディレクトリ同期プロファイルへの変更を、すべてのセカンダリ・ノードにレプリケートまたはコピーする必要があります。これにより、プライマリ・ノード上で問題が発生した場合、ディレクトリ同期プロファイルをセカンダリ・ノードで実行できます。
Oracle Universal DirectoryまたはOracle Directory Server Enterprise Editionマルチマスター環境では、DIPメタデータを含む接尾辞がレプリケーション用に選択されると、プロファイルが自動的にレプリケートされます。
一方、Oracle Internet Directoryマルチマスター・レプリケーション環境では、あるOracle Internet Directoryノードでのディレクトリ同期プロファイルへの変更は、他のOracle Internet Directoryノードに自動的にはレプリケートされません。このため、プライマリ・ノードのプロファイルをすべてのセカンダリ・ノードにコピーする必要があります。手順は次の項を参照してください。
ノート:
ディレクトリ同期プロファイルのorcllastapplicedchangenumber属性に割り当てられた値は、プロファイルがあるOracle Internet Directoryノードのローカルな値です。つまり、ディレクトリ同期プロファイルをあるOracle Internet Directoryノードから別のノードにコピーしても、同期またはイベント伝播の正しい状態は維持されません。
4.1.2.1 Oracleバックエンド・ディレクトリ・マルチマスター・レプリケーション環境でのディレクトリの同期
プライマリ・ノードのプロファイルをセカンダリ・ノードにコピーする場合は、lastchangenumber属性をターゲット・ノードの値で次のように更新してください。このステップは、プロファイルの設定後に一度行う必要があります。
Oracleバックエンド・ディレクトリがOracle Internet Directoryである場合、この更新は必須です。Oracleバックエンド・ディレクトリがOracle Unified DirectoryまたはOracle Directory Server Enterprise Editionのいずれかである場合、レプリケーションを使用するかわりに、DIPメタデータを含む接尾辞をプライマリ・ノードからセカンダリ・ノードにコピーする場合にのみ、このステップが必要です。
- 同期プロファイルを無効化します。
ldapsearchコマンドを使用して、ターゲット・ノードでlastchangenumber属性の値を取得します。ldapsearchを使用して、プロファイル・エントリのLDIFダンプを取得します。ldapaddを使用して、他のOracleバックエンド・ディレクトリ・インスタンスにプロファイルを追加します。- manageSyncProfilesコマンドの
updatechgnum操作を使用して、ターゲット・ノードにコピーしたエクスポート・プロファイルのlastchangenumber属性を、ステップ2で取得した値で更新します。 - 同期プロファイルを有効化します。
4.1.2.2 Oracle Unified DirectoryまたはOracle Internet Directoryマルチマスター・レプリケーション環境でのディレクトリ・プロビジョニングについて
デフォルトのOracle Unified DirectoryまたはOracle Internet Directoryマルチマスター・レプリケーション環境では、Oracle Directory Integration Platformは、プライマリのOracle Unified DirectoryまたはOracle Internet Directoryと同じ場所にインストールされます。プライマリ・ノードに障害が発生した場合、そのノードにあるすべてのプロファイルに対するイベント伝播は停止します。イベントはキューに入れられ、プライマリ・ノードの停止中にも失われませんが、どのアプリケーションにも伝播されません。プライマリ・ノードが停止したときにも、イベントが引き続き伝播されることを保証するには、Oracle Unified DirectoryまたはOracle Internet Directoryマルチマスター環境で、バージョン1.0およびバージョン2.0のディレクトリ・プロビジョニング・プロファイルを他のセカンダリ・ノードにコピーする必要があります。バージョン3.0のディレクトリ・プロビジョニング・プロファイルは、自動的にレプリケートされます。
ノート:
プロビジョニング・プロファイルは、アプリケーションがインストールされた直後、Oracle Internet Directoryでユーザー変更が行われる前にしか、プライマリ・ノードからセカンダリ・ノードに対してコピーされません。
ディレクトリ・プロビジョニング・プロファイルをプライマリ・ノードからセカンダリ・ノードにコピーするには、manageSyncProfilesコマンドのupdate操作を使用します。
ノート:
manageSyncProfilesコマンドの詳細は、『Oracle Fusion Middleware Oracle Identity Managementリファレンス』の「Oracle Directory Integration Platformツール」を参照してください。
4.2 Oracle Directory Integration Platformのステータスおよび登録情報の表示
dipStatusユーティリティとldapsearchユーティリティを使用して、Oracle Directory Integration Platformのステータスおよび登録情報を表示できます。
トピック:
4.2.1 dipStatusユーティリティを使用したOracle Directory Integration Platformのステータスの表示
dipStatusユーティリティを実行すると、Oracle Directory Integration Platformのステータスが表示されます。
詳細は、「dipStatusユーティリティ」を参照してください。
4.2.2 ldapsearchユーティリティを使用したOracle Directory Integration Platformの登録情報の表示
Oracle Directory Integration Platformコンポーネントの登録情報を表示するには、ldapsearchユーティリティを実行して、そのエントリでベース検索を実行します。
例:
ldapsearch -h backend_host -p backend_port -D cn=orcladmin -q -s base -b
"cn=odisrv,cn=Registered Instances,cn=Directory Integration
Platform,cn=Products,cn=OracleContext" objectclass=*
ノート:
パスワードを要求されます。
この例の検索では、次の情報が返されます。
Dn: cn=odisrv,cn=Registered Instances,cn=Directory Integration
Platform,cn=Products,cn=OracleContext
userpassword: {SHA}+vk5wSvnVoXCBCRyBWJnH0S33zc=
orclaci: access to entry by self (add,delete,browse,proxy); access to attr=(*) by
self (search,read,write,compare)
orclversion: 3.0
cn: odisrv
objectclass: orclodiserver; top;
authpassword;oid: {SASL/MD5}2NOnGTWkSP9c1w7R/o9Djw==
{SASL/MD5-DN}ezUTC3k7rSL41ZxdxhlXxw==;{SASL/MD5-U}kEQcl+/AZEXVukeA5YPnog==
4.3 Fusion Middleware Controlを使用したOracle Directory Integration Platformの管理
Oracle Enterprise Manager Fusion Middleware Controlを使用して、Oracle Directory Integration Platformを管理できます。
トピック:
-
Fusion Middleware Controlを使用したOracle Directory Integration Platformのランタイム情報の表示
-
Fusion Middleware Controlを使用したOracle Directory Integration Platformの起動
-
Fusion Middleware Controlを使用したOracle Directory Integration Platformの停止
-
Fusion Middleware Controlを使用したOracle Directory Integration Platformのロギングの管理
-
Fusion Middleware Controlを使用したOracle Directory Integration Platformの監査
4.3.1 Fusion Middleware Controlを使用したOracle Directory Integration Platformのランタイム情報の表示
Oracle Enterprise Manager Fusion Middleware Controlを使用して、Oracle Directory Integration Platformコンポーネントのランタイム情報を表示できます。
そのためには、次のステップを実行します。
ヒント:
Oracle Enterprise Manager Fusion Middleware ControlでOracle Directory Integration Platformの他のページに移動した後にOracle Directory Integration Platformのホームページに戻るには、「DIPサーバー」メニューで「ホーム」をクリックします。
4.3.2 Fusion Middleware Controlを使用したOracle Directory Integration Platformの起動
Oracle Enterprise Manager Fusion Middleware Controlを使用して、Oracle Directory Integration Platformを起動できます。
次の手順を実行します。
4.3.3 Fusion Middleware Controlを使用したOracle Directory Integration Platformの停止
Oracle Enterprise Manager Fusion Middleware Controlを使用して、Oracle Directory Integration Platformを停止できます。
そのためには、次のステップを実行します。
4.3.4 Oracle Directory Integration Platform Server構成の管理
Oracle Enterprise Manager Fusion Middleware Controlを使用して、Oracle Directory Integration Platform Serverのリフレッシュ間隔およびOracleバックエンド・ディレクトリへの接続設定を構成できます
このようにするには、次の手順を実行します。
4.3.5 Fusion Middleware Controlを使用したOracle Directory Integration Platformのロギングの管理
Oracle Enterprise Manager Fusion Middleware Controlでは、Oracle Fusion Middlewareコンポーネント全体のログ・ファイルの一覧表示、検索および構成を行えます。
Oracle Enterprise Manager Fusion Middleware Controlからログ・ファイルを表示することも、ログ・ファイルをダウンロードし、別のツールを使用して表示することも可能です。WLSTコマンド行ツールを使用してログ・ファイルを一覧表示および検索することも可能です。
ノート:
Oracle Enterprise Manager Fusion Middleware Controlを使用したロギングの詳細は、『Oracle Fusion Middleware Oracle Fusion Middlewareの管理』の「ログ・ファイルと診断データの管理」を参照してください。
4.3.6 Fusion Middleware Controlを使用したOracle Directory Integration Platformの監査
Oracle Directory Integration Platformは、コンプライアンス、モニタリングおよび分析のためにOracle Platform Security ServicesのOracle Fusion Middleware監査フレームワークを使用します。Oracle Enterprise Manager Fusion Middleware Controlを使用すると、Oracle Directory Integration Platformの監査データやイベント設定の表示、検索および管理が可能です。
『Oracle Fusion Middleware Oracle Platform Security Servicesによるアプリケーションの保護』の「Oracle Fusion Middleware監査フレームワークの概要」を参照してください。
4.4 WLSTを使用したOracle Directory Integration Platformの起動と停止
WebLogic Scripting Tool(WLST)を使用してコマンド行からOracle Directory Integration Platformを起動または停止するには、WebLogic Admin Serverに接続して、startApplication("DIP")コマンドまたはstopApplication("DIP")コマンドを実行します。
関連項目:
-
WLSTコマンド行ツールの詳細は、『Oracle Fusion Middleware Oracle WebLogic Scripting Tool』を参照してください。
-
WLSTコマンド・ツールの構文の詳細は、『Oracle Fusion Middleware WebLogic Scripting Toolコマンド・リファレンス』を参照してください。
4.5 manageDIPServerConfigを使用したOracle Directory Integration Platformの管理
DIPサーバーの構成管理ユーティリティ(manageDIPServerConfig)では、Oracle Directory Integration Platform Serverの構成を管理できます。
詳細は、「manageDIPServerConfigユーティリティ」を参照してください。
ノート:
-
最良のセキュリティ・プラクティスは、コマンドからの要求への応答としてのみ、パスワードを入力することです。
-
Oracle Directory Integration Platformコマンドのいずれかを実行するには、あらかじめ
WLS_HOME環境変数とORACLE_HOME環境変数を設定しておく必要があります -
Oracle Directory Integration PlatformがデプロイされているOracle WebLogic管理対象サーバーは、SSLモードでこのコマンドを実行するようにSSLに対して構成されている必要があります。詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』の「SSLの構成」を参照してください。
4.8 SSLモードのOracle Internet Directoryの構成について
詳細は、「Oracle Directory Integration Platform用のOracle Internet Directory (SSL)の構成」を参照してください。
ノート:
ここでは、単一コンポーネントのSSL構成について説明します。複数のコンポーネントにSSLを構成する場合は、Oracle SSL自動化ツールを使用すると、ドメイン固有のCAを使用して複数のコンポーネントにSSLを構成できます。
Oracle SSL自動化ツールの詳細は、『Oracle Fusion Middleware Oracle Fusion Middlewareの管理』の「Oracle Fusion MiddlewareでのSSLの構成」を参照してください。
4.9 バックエンド・ディレクトリと接続ディレクトリのSSL証明書の管理
Oracle Directory Integration Platformは、SSLを使用してOracleバックエンド・ディレクトリおよび接続ディレクトリと接続できます。Oracleバックエンド・ディレクトリへの接続に認証なしのSSLを使用する場合、証明書は不要です。ただし、サーバー認証のあるSSLを使用してOracleバックエンド・ディレクトリに接続する場合は、LDAPサーバーに接続するためのトラスト・ポイント証明書が必要です。Oracle Directory Integration Platformは、証明書がJavaキーストア(JKS)にあるものと想定します。
manageDIPServerConfigコマンドにkeystorelocation引数を付けて使用することで、キーストアの場所を管理でき、WLST資格証明ストア・コマンドにmap="dip"引数およびkey="jksKey"引数を付けて使用することで、キーストアのパスワードを管理できます。
関連項目:
-
manageDIPServerConfigコマンドの詳細は、「manageDIPServerConfigを使用したOracle Directory Integration Platformの管理」を参照してください。 -
WLSTを使用したキーストアの管理の詳細は、『Oracle Fusion Middleware管理者ガイド』を参照してください。
期限が切れた証明書の検出と削除
$JAVA_HOME/binディレクトリのkeytoolユーティリティを使用して、Oracle Directory Integration Platformの期限が切れた証明書を検出して削除できます。
キーストア内の信頼できる証明書の有効期日をリストするには、次のようにkeytoolユーティリティを実行します。
$JAVA_HOME/bin/keytool -list -v -keystore PATH_TO_KEYSTORE
信頼できる証明書をキーストアから削除するには、次のようにkeytoolユーティリティを実行します。
$JAVA_HOME/bin/keytool -delete -alias mycert -keystore PATH_TO_KEYSTORE
ノート:
これらのコマンドの実行時、キーストアのパスワードが要求されます。
証明書の期限切れの詳細は、『Oracle Fusion Middleware管理者ガイド』の第7章「キーストア、ウォレットおよび証明書の管理」を参照してください。
4.10 高可用性シナリオでのOracle Directory Integration Platformについて
詳細は、『Oracle Fusion Middleware高可用性ガイド』のOracle Directory Integration Platformの高可用性に関する項を参照してください。
4.11 レプリケート環境でのOracle Directory Integration Platformの管理方法の理解
プロビジョニングおよび同期化では、レプリケート・ディレクトリはマスター・ディレクトリと異なります。
元のディレクトリで作成されたプロファイルを新しいディレクトリで再作成し、すべての構成を元のディレクトリと同様に実行する必要があります。
4.12 dipStatusユーティリティ
ORACLE_HOME/binディレクトリにあるdipStatusユーティリティを使用すると、Oracle Directory Integration Platformのステータスと、登録済かどうかを確認できます。
ノート:
-
最良のセキュリティ・プラクティスは、コマンドからの要求への応答としてのみ、パスワードを入力することです。
-
Oracle Directory Integration Platformコマンドのいずれかを実行するには、あらかじめ
WLS_HOME環境変数とORACLE_HOME環境変数を設定しておく必要があります。 -
Oracle Directory Integration PlatformがデプロイされているOracle WebLogic管理対象サーバーは、SSLモードでこのコマンドを実行するようにSSLに対して構成されている必要があります。詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』の「SSLの構成」を参照してください。
dipStatusの構文
dipStatus -h HOST -p PORT -D wlsuser [-ssl -keystorePath PATH_TO_KEYSTORE -keystoreType TYPE] [-help]
dipStatusの引数
次の表では、dipStatusユーティリティの引数について説明します。
表4-1 dipStatusユーティリティの引数
| 引数 | 説明 |
|---|---|
|
-h | -host |
Oracle Directory Integration PlatformがデプロイされているOracle WebLogic Server。 |
|
-p | -port |
Oracle Directory Integration PlatformがデプロイされているOracle WebLogic管理対象サーバーのリスニング・ポート。 |
|
-D | -wlsuser |
Oracle WebLogic ServerのログインID。 ノート: Oracle WebLogic Serverのログイン・パスワードを要求されます。パスワードをコマンド行引数として指定することはできません。最良のセキュリティ・プラクティスは、コマンドからの要求への応答としてのみ、パスワードを入力することです。スクリプトから |
|
-ssl |
SSLモードでコマンドを実行します。 ノート: Oracle Directory Integration PlatformがデプロイされているOracle WebLogic管理対象サーバーは、SSLモードでこのコマンドを実行するようにSSLに対して構成されている必要があります。詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』の「SSLの構成」を参照してください。 |
|
-keystorePath |
キーストアへのフルパス。 |
|
-keystoreType |
|
|
-help |
コマンドの使用方法のヘルプを提供します。 |
dipStatusの例
次に、dipStatusユーティリティ・コマンドの例を示します。
dipStatus -h myhost.mycompany.com -p 7005 -D login_ID
dipStatus -help
4.13 manageDIPServerConfigユーティリティ
manageDIPServerConfigユーティリティを使用して、Oracle Directory Integration Platform Serverの構成を管理します。このユーティリティは、ORACLE_HOME/binディレクトリにあります。
manageDIPServerConfigの構文
manageDIPServerConfig {get | set} -h HOST -p PORT -D wlsuser -attribute {sslmode |
refreshinterval | quartzthreadcount | quartzdbretryinterval | backendhostport |
keystorelocation} [-ssl -keystorePath PATH_TO_KEYSTORE -keystoreType TYPE]
[-value ATTRIBUTE_VALUE] [-help]manageDIPServerConfigの引数
次の表では、manageDIPServerConfigユーティリティの引数について説明します。
表4-2 dipStatusユーティリティの引数
| 引数 | 説明 |
|---|---|
|
get | set |
実行する操作。
|
|
-h | -host |
Oracle Directory Integration PlatformがデプロイされているOracle WebLogic Server。 |
|
-p | -port |
Oracle Directory Integration PlatformがデプロイされているOracle WebLogic管理対象サーバーのリスニング・ポート。 |
|
-D | -wlsuser |
Oracle WebLogic ServerのログインID。 ノート: Oracle WebLogic Serverのログイン・パスワードを要求されます。パスワードをコマンド行引数として指定することはできません。最良のセキュリティ・プラクティスは、コマンドからの要求への応答としてのみ、パスワードを入力することです。スクリプトから |
|
-attr | -attribute |
|
|
-ssl |
SSLモードでコマンドを実行します。 ノート: Oracle Directory Integration PlatformがデプロイされているOracle WebLogic管理対象サーバーは、SSLモードでこのコマンドを実行するようにSSLに対して構成されている必要があります。詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』の「SSLの構成」を参照してください。 |
|
-keystorePath |
キーストアへのフルパス。 |
|
-keystoreType |
|
|
-val | -value |
属性に対して設定される値。このパラメータはset操作に必要です。 |
|
-help |
コマンドの使用方法のヘルプを提供します。 |
manageDIPServerConfigのタスクおよび例
manageDIPServerConfig get -h myhost.mycompany.com -p 7005 -D login_ID \
-attr sslmode
manageDIPServerConfig set -h myhost.mycompany.com -p 7005 -D login_ID \
-attr sslmode -val 2
manageDIPServerConfig set -h myhost.mycompany.com -p 7005 -D login_ID \ -attr backendhostport -value backend_host: backend_SSL_port