15 ユーザーの管理
Oracle Identity Managerのユーザー管理機能には、ユーザー・アカウントの作成、更新、削除、有効化と無効化、パスワードの再設定、ロックおよびロック解除が含まれます。
Oracle Identity Self Serviceを使用して、次のユーザー管理タスクを実行できます。
15.1 ユーザーの検索
「ユーザー」ページを使用して、ユーザーの単純検索と拡張検索を実行します。
ユーザーを検索するには、次のいずれかを実行できます。
15.1.2 ユーザーの拡張検索の実行
拡張検索を実行するには:
-
Identity Self Serviceにログインします。
-
「管理」、「ユーザー」の順にクリックします。「ユーザー」ページが表示されます。
-
「拡張」リンクをクリックします。拡張ユーザー検索ページが表示されます。
-
次のオプションのいずれかを選択します。
-
すべて: このオプションを選択すると、検索はAND条件で実行されます。つまり、指定されたすべての検索基準を満たす場合のみ検索操作が成功します。
-
いずれか: このオプションを選択すると、検索はOR条件で実行されます。つまり、指定された選択基準のいずれかに一致する場合に検索操作が成功します。
-
-
「ユーザー・ログイン」などの検索可能なユーザー属性のフィールドで、値を指定します。属性値にはワイルドカード文字(*)を含めることができます。
一部の属性では、リストから属性値を選択します。たとえば、アカウントがロックされているユーザーをすべて検索するには、「アカウント・ステータス」リストから「ロック」を選択します。
-
指定した各属性値に対して、リストから検索演算子を選択します。
属性が文字列タイプの場合、次の検索演算子が利用可能です。
-
次で始まる
-
次で終わる
-
次と等しい
-
次と等しくない
-
次を含む
-
次を含まない
属性が日付タイプの場合、次の検索演算子が利用できます。
-
次と等しい
-
次より前
-
次より後
-
それ以前
-
それ以後
-
次の範囲内
検索演算子とワイルドカード文字を組み合せて、検索条件を指定できます。アスタリスク(*)文字をワイルドカード文字として使用します。たとえば、検索基準として「ユーザー・ログイン」属性の値に「Jo*」と指定して、検索演算子として「次と等しい」を選択できます。「Jo」で始まるログイン名を持つユーザーが表示されます。
-
-
検索可能なユーザー属性を「ユーザーの検索」ページに追加するには、「フィールドの追加」をクリックして、属性のリストから属性を選択します。
たとえば、米国という「国」属性を持つユーザーをすべて検索する場合、検索可能フィールドとして「国」属性を追加し、検索条件を指定できます。
ノート:
検索可能な属性を構成できます。検索に使用可能な属性は、「検索可能」プロパティが「はい」にマークされているユーザー・エンティティに対して定義した属性のサブセットである必要があります。
-
必要に応じて、「リセット」をクリックし、指定した検索条件および値をリセットします。通常、このステップを実行すると、指定した検索条件を削除し、新しい検索条件を指定します。
-
「検索」をクリックします。検索結果が表形式で表示されます。
-
検索結果で列を非表示にする場合は、次のステップを実行します。
-
ツールバーで「ビュー」をクリックし、「列」、「列の管理」を選択します。「列の管理」ダイアログ・ボックスが表示されます。
-
「表示される列」リストから、非表示にする列を選択します。
-
左矢印アイコンをクリックして、列を「非表示列」リストに追加します。
-
「OK」をクリックします。選択した列は検索結果に表示されません。現在非表示になっている列の数を示すステータス・メッセージが、検索表の下部に表示されます。
-
15.1.3 検索結果に対する操作
この項では、検索結果表で選択した行に対して実行できる操作について説明します。これは、単一選択操作と複数選択操作に区分できます。
検索結果表から1名のユーザーを選択して、次の単一選択操作を実行できます。
-
詳細の表示
-
変更
-
有効化(ユーザー・ステータスが「無効」の場合のみ)
-
無効化(ユーザー・ステータスが「有効」の場合のみ)
-
ロック(選択したユーザーのアカウントがロック解除されている場合のみ)
-
ロック解除(選択したユーザーのアカウントがロックされている場合のみ)
-
パスワードのリセット
-
削除
検索結果表から複数のユーザーを選択して、次の複数選択操作を実行できます:
-
変更
-
有効化(ユーザー・ステータスが「無効」の場合のみ)
-
無効化(ユーザー・ステータスが「有効」の場合のみ)
-
ロック(選択したユーザーのアカウントがロック解除されている場合のみ)
-
ロック解除(選択したユーザーのアカウントがロックされている場合のみ)
-
削除
15.2 ユーザーの作成
「ユーザーの作成」ページを使用して、Oracle Identity Managerに新規ユーザーを作成できます。このページは、Oracle Identity Managerの組織において、ユーザーの作成権限に関する認可ポリシーでユーザーを作成する権限が付与されている場合のみ開くことができます。
ユーザーを作成するには:
15.3 ユーザーの詳細の表示
ユーザーの表示操作では、「ユーザーの詳細」ページで詳細なユーザー・プロファイル情報を表示できます。このページは、認可ポリシーでユーザー詳細の表示権限によりユーザーのプロファイルを表示する権限が付与されている場合に開くことができます。
ユーザーの詳細を表示するには:
15.4 ユーザーの変更
ユーザー詳細から管理ユーザー変更タスクを実行できます。変更はユーザー詳細が表示されているページの複数のタブで個別に行うため、各タブで実行した変更は他のタブに影響を与えず、変更内容は個別に保存する必要があります。
ノート:
ユーザーの変更操作は、付与されている認可権限に基づいて、直接的な操作になるか、または承認を受けるリクエストを生成します。
15.4.2 ロールのリクエスト、削除および変更
新しいロールのリクエスト、ユーザーに関連付けられたロールの変更、ロールの削除またはロール付与期間の変更は「ロール」タブから実行できます。
「ユーザーの詳細」ページの「ロール」タブでは、次の操作を実行できます。
15.4.2.2 ロールの変更
ユーザーに割り当てられたロールを変更するには:
- 「ユーザーの詳細」ページで、「ロール」タブをクリックします。
- 変更するロールを選択します。
- 「アクション」メニューから「開く」を選択します。編集可能なロールの詳細が表示されます。
- 変更するフィールを編集します。各タブをクリックすると、ロール階層、ロール・メンバーシップ、アクセス・ポリシーおよび組織を変更できます。詳細は、「ロールの表示と管理」を参照してください。
- 「適用」をクリックします。
15.4.2.3 ユーザーからのロールの削除
ユーザーからロールを削除するには:
- 「ユーザーの詳細」ページで、「ロール」タブをクリックします。「ロール」タブに、このユーザーに割り当てられているロールのリストが表示されます。
- 削除するロールを選択します。
- 「アクション」メニューから、「削除」を選択します。または、ツールバーにある「削除」をクリックします。「ロールの削除」ページが表示されます。
- 「理由」を入力して、「送信」をクリックします。
15.4.3 権限のリクエストと削除
新しい権限のリクエスト、権限の削除または権限付与期間の変更は「権限」タブから実行できます。
「ユーザーの詳細」ページの「権限」タブでは、次の権限変更操作を実行できます。
15.4.3.2 ユーザーからの権限の削除
ユーザーから権限を削除するには:
- 「ユーザーの詳細」ページで、「権限」タブをクリックします。「権限」タブに、このユーザーに割り当てられている権限のリストが表示されます。
- 削除する権限を選択します。
- 「アクション」メニューから、「削除」を選択します。または、ツールバーにある「削除」をクリックします。「権限の削除」ページが表示されます。
- 「理由」を入力して、「送信」をクリックします。
15.4.4 アカウントのリクエスト、削除および変更
新しいアカウントのリクエスト、アカウントの削除、アカウントの変更、アカウントのプライマリ・アカウントとしてのマーク付け、アカウントの有効化や無効化または権限付与期間の変更は「アカウント」タブから実行できます。
「ユーザーの詳細」ページの「アカウント」タブでは、次のアカウント変更操作を実行できます。
15.4.4.1 アカウントのリクエストの理解
この項では、次の各トピックでアカウントのリクエストについて説明します。
15.4.4.1.1 アカウントのタイプ
アプリケーション・インスタンスをリクエストすることでアカウントをリクエストできます。次のタイプのアカウントをリクエストできます(アプリケーション・インスタンス)。
-
プライマリ・アカウント: プライマリ・アカウントは、ターゲット・アプリケーションのユーザーに対して作成される最初のアカウントです。つまり、リクエストされる最初のアプリケーション・インスタンスがプライマリ・アカウントです。Oracle Identity Managerは、1つのアプリケーション・インスタンスに対して複数のアカウントをサポートしています。作成される最初のアカウントはプライマリ・アカウントとしてタグが付けられ、ユーザーにとって唯一のプライマリ・アカウントになります。プライマリ・アカウントには、他のアカウント(プライマリ以外のアカウント)が関連付けられます。ユーザーが権限をリクエストすると、その権限がプライマリ・アカウントに追加されます。
-
プライマリ以外のアカウント: ユーザーがプライマリ・アカウントを所有しており、同じターゲット・アプリケーションの別のアカウントをリクエストすると、そのアカウントはプライマリ以外のアカウントになります。1人のユーザーは複数のプライマリ以外のアカウントを持つことができますが、プライマリ・アカウントは1つのみです。
関連項目:
アカウントのプライマリとしてのマークの詳細は、「アカウントのプライマリとしてのマーク」を参照してください
15.4.4.2 アカウントの変更
ユーザーのアカウントを変更するには:
- 「アカウント」タブで、変更するアカウントを選択します。
- 「アクション」メニューから、「変更」を選択します。編集可能なアカウントの詳細が表示されます。
- 変更するフィールを編集します。
- 「送信準備ができています」をクリックしてから、「送信」をクリックします。
15.4.4.3 アカウントの削除
ユーザーからアカウントを削除するには:
- 「アカウント」タブで、変更するアカウントを選択します。
- 「アクション」メニューから、「削除」を選択します。または、ツールバーにある「削除」をクリックします。「アカウントの削除」ページが表示されます。
- 「送信」をクリックします。
15.4.4.4 1つのアプリケーション・インスタンスの複数アカウント
Oracle Identity Managerでは、1つのアプリケーション・インスタンスで複数のアカウントをサポートしています。作成された最初のアカウントはプライマリ・アカウントとしてタグが付けられ、ユーザーに対して1つのみのプライマリ・アカウントが存在します。プライマリ・アカウントには、他のアカウント(プライマリ以外のアカウント)が関連付けられます。
権限のすべてのタイプが、リクエスト・カタログでのリクエストに使用可能です。権限に対するリクエストが承認されると、プライマリ以外のアカウントではなく、プライマリ・アカウントに関連付けられます。
ユーザーがアプリケーション・インスタンスにプロビジョニングされると、Oracle Identity Managerは、そのアプリケーション・インスタンスでユーザーにプロビジョニングされた最初のアカウントであるかを確認します。そうでれば、アカウントはプライマリとしてマークされます。既存のユーザー・アカウントがアプリケーション・インスタンスからリコンサイルされている場合、リコンサイルされた最初のアカウントがプライマリとしてマークされます。
ユーザーが所有できるプライマリ・アカウントは1つのみです。ただし、Oracle Identity Managerでは、1つのアプリケーション・インスタンスに対して複数のアカウントをサポートしています。プライマリとしてマークされたアカウントが実際のプライマリ・アカウントでない場合、そのアカウントのプライマリ・タグを手動で変更して、別のアカウントをプライマリとしてマークできます。これを行うことによって、ユーザーが権限をリクエストする場合に、その権限がプライマリ・アカウントに追加されることを確認できます。
15.4.4.6 アカウントの無効化
「有効」状態のアカウントを無効化できます。アカウントを無効化するには:
- 「アカウント」タブで、無効にするアカウントを選択します。
- 「アクション」メニューから、「無効化」を選択します。
- 「送信」をクリックします。アカウントが無効の場合。
15.4.4.7 アカウントの有効化
「無効」状態のアカウントを有効化できます。アカウントを有効化するには:
- 「アカウント」タブで、有効にする無効なアカウントを選択します。
- 「アクション」メニューから、「有効化」を選択します。
- 「送信」をクリックします。アカウントが有効化されます。
15.4.5 直属の部下の詳細の変更
直属の部下の詳細は「直属の部下」タブから変更できます。
直属の部下の詳細を変更する手順は、次のとおりです。
- 「ユーザーの詳細」ページで、「直属の部下」タブをクリックします。このタブには、開かれてるユーザーの直属の部下がリストされます。
- 変更するユーザーまたは直属の部下を選択します。
- 「アクション」メニューで「開く」をクリックします。または、ツールバーにある「開く」をクリックします。選択した直属の部下の「ユーザーの詳細」ページが表示されます。ツールバーとタブを使用して、直属の部下の詳細を変更します。
15.4.6 プロキシの管理
ユーザーは、別のユーザーをプロキシとして割り当てることができます。「プロキシ・ユーザー」タブを使用すると、選択したユーザーのプロキシ情報を表示および管理できます。
ノート:
- 「プロキシ・ユーザー」タブは、WeblogicおよびOIM内部ユーザー・ロールでは使用できません。
- 「プロキシ・ユーザー」タブは、システム・プロパティ
「プロキシを管理するための管理者機能」
がTRUEに設定されている場合にのみ有効になります。詳細は、「Oracle Identity Governanceのデフォルトのシステム・プロパティ」を参照してください - 「プロキシ・ユーザー」タブは、必要な管理ロール機能を持つユーザーに対してのみ表示されます。詳細は、「認可機能のリスト」を参照してください。
「プロキシ・ユーザー」タブを使用すると、プロキシ情報を表示および管理できます。Oracle Identity Manager内に現在設定されているプロキシがユーザーに表示され、ユーザーは以前設定したプロキシを表示することもできます。「過去のプロキシ」ビューは、過去に追加されたすべてのプロキシを表示します。読取り専用のため、変更はできません。
現在のプロキシ・ビューでは、開始日が将来の今後のプロキシを取り消すことができます。また、開始日が過去で、終了日が将来である進行中のプロキシは、終了日のみを編集できます。
「現行のプロキシ」セクションで、新しいプロキシを追加することもできます。新しいプロキシを追加する場合は、開始日、終了日およびプロキシ・ユーザーを指定する必要があります。
この項の内容は次のとおりです。
15.4.6.1 プロキシ・ユーザーの追加
プロキシ・ユーザーを追加するには:
ノート:
Oracle Identity Managerでは、既存のプロキシと開始日および終了日が重複している別のプロキシを追加することはできません。
Oracle Identity Managerにより、ユーザーは再帰的なプロキシ状態になるプロキシを追加できなくなります。
再帰的なプロキシ状態とは、ユーザーAがユーザーBのプロキシであり(11月17日から11月25日までの期間)、ユーザーBがユーザーCのプロキシである(11月18日から11月20日までの期間)とき、重複する期間中(たとえば11月19日から11月26日まで)ユーザーCはユーザーAのプロキシであるといった場合です。
プロキシの追加に関する電子メール通知が送信されます。プロキシの追加通知には次の特徴があります。
-
通知の日付値は、常にGMTタイムゾーンが指定されます。
-
プロキシ・ユーザーの作成間での開始日と終了日の値は、Oracle Identity Managerサーバーのタイムゾーンに基づきます。たとえば、開始日が"6/28/2013 00:00:00 PDT"と指定された場合、この値はGMTタイムゾーンの"06/28/2013 07:00:00 AM GMT"に変換されます。
-
通知の日付形式は常にLONG Date/Time形式が指定され、通知テンプレートでは変更できません。
15.7 ユーザーの削除
不要または未使用のユーザーを削除できます。
ユーザーを削除するには:
ノート:
ユーザーが削除されると、削除されたレコードは削除済のマークが付けられて引き続きデータベースに存在します。こうしたレコードは、どのような操作にも使用できません。15.8 ユーザー・アカウントのロック
「ユーザー」ページからユーザーのアカウントをロックできます。
ユーザーのアカウントをロックするには:
ノート:
ユーザー・ログイン名に特殊文字があるユーザーはロックできません。
ユーザー・ログイン名に特殊文字が含まれているユーザー・アカウントをロックしようとすると、次のエラーが表示されます。
An unknown exception occurred, please review server logs.The user with the key USER_KEY does not exist.
次の特殊文字は、ユーザー・ログイン名に使用できません。
[!@#$%^&*()_-+=[{]}\|;:'",<.>/?