LDAP Schema Overview

6 LDAPスキーマの概要

LDAPディレクトリ・スキーマの基本的な概念について理解し、Oracle Identity Managementのスキーマ要素のリストを確認します。

この項の内容は次のとおりです。

6.1 ディレクトリ・スキーマの概要

ディレクトリ・スキーマは、他のルールの中でも特に、ディレクトリが保持するオブジェクトのタイプと、各オブジェクト・タイプの必須属性およびオプション属性を規定します。

Lightweight Directory Access Protocol(LDAP)バージョン3は、ネットワークで検出される一般オブジェクト(国、地域、組織、人物、グループ、デバイスなど)に対して、X.500規格に基づいたスキーマを定義します。LDAPバージョン3では、スキーマはディレクトリから使用できます。つまり、スキーマはディレクトリのエントリとして、その情報はエントリの属性として表現されます。この項には次のトピックが含まれます:

6.1.1 オブジェクト・クラスについて

LDAPディレクトリの用語におけるオブジェクト・クラスとは、ディレクトリ・エントリまたはレコードで表されるオブジェクトのタイプを意味します。階層ツリー構造で、当該オブジェクトの下位オブジェクトが存在する可能性を示すオブジェクト・クラスtopのように、他のオブジェクトに対するオブジェクトの関係を定義するオブジェクト・クラスも存在します。

一部のLDAPオブジェクト・クラスは、結合してディレクトリ内で1件のエントリを構成できます。たとえば、ユーザーのエントリでは、top、person、organizationalPerson、inetOrgPersonおよびorclUserV2のオブジェクト・クラスを使用します。

必須属性と補足属性

オブジェクト・クラスの定義には、必須属性(MUST)および補足属性(MAY)のリストが含まれます。必須属性とは、オブジェクト・クラスを使用するエントリに存在する必要がある属性のことです。補足属性とは、オブジェクト・クラスを使用するエントリに存在してもかまわない属性のことです。

オブジェクト・クラスの型

X.500 1993仕様では、次の4つのカテゴリのいずれかに割り当てられるオブジェクト・クラスが必要です。

構造型: ディレクトリにインスタンスを保持できるオブジェクト・クラス。構造型クラスは、ディレクトリのオブジェクトまたはエントリを作成するために使用されます。
抽象型: 新しい構造型クラスを導出するためにのみ使用されるテンプレート・オブジェクト・クラス。抽象型クラスは、ディレクトリ内でインスタンス化できません。
補助型: 構造型クラスまたは抽象型クラスの定義の最後に追加できる属性のリスト。補助型クラスは、ディレクトリ内でインスタンス化できません。
88クラス: X.500 1988仕様では、オブジェクト・クラスをカテゴリに割り当てる必要はありませんでした。X.500 1993規格より前に定義されたクラスは、デフォルトで88クラスになります。新しい88クラスを定義しないでください。

オブジェクト・クラスの継承

継承は導出とも呼ばれますが、既存のオブジェクト・クラスから新規のオブジェクト・クラスを構築する機能です。新規のオブジェクトは、親オブジェクトのサブクラスとして定義されます。サブクラスは、親になる他のクラスから構造やコンテンツ・ルールなどを継承するクラスです。親オブジェクトは、新規オブジェクトのスーパークラスになります。スーパークラスは、その情報を1つ以上の他のクラスが継承しているクラスです。

6.1.2 属性の概要

ディレクトリ・データは、属性と値のペアとして表現されます。ディレクトリ内の情報は、記述的な属性と関連付けられています。

たとえば、cn(commonName)属性を使用してニックネームを格納します。William(Bill)Smithという名前の人物は、ディレクトリ内では次のように表現されます。

cn: Bill Smith

この項の内容は次のとおりです。

6.1.2.1 属性名に関する制限

属性名の長さは127文字までです。属性の管理の詳細は、『Oracle Internet Directoryの管理』の属性の理解に関する項を参照してください。

Oracle Internet Directoryでは、属性名で使用できる文字に制限はありません。ただし、Oracle Identity Managementの他のコンポーネントでは、特定の属性に使用できる文字が制限されています。

Oracle Delegated Administration ServicesおよびOracle Directory Integration Platformでは、空白および& ' % ? \ / + = ( ) * ^ , ; | ' ~の各文字をUserIDで使用することはできません。

Oracle Application Server Single Sign-Onでは、パスワードに& { } < > " ' ( )の各文字を使用することはできません。

6.1.2.2 属性構文

属性構文は、属性の基本的な構成単位です。各属性には、属性値のデータ書式を定義する構文が割り当てられています。たとえば、属性構文は、属性が格納するのは整数データか、文字列データかそれともバイナリ・データかを決定します。また、属性値に対して実行できる比較演算子のタイプを制御する一致規則を定義します。

Oracle Internet Directoryは、RFC 2252の指定に従って属性構文を認識するため、RFC 2252のドキュメントに記載されている属性構文を属性と関連付けることができます。Oracle Internet Directoryでは、次のタイプの属性構文が実行されます。

DN
OID (オブジェクト識別子)
電話番号

次の表では、Oracle Internet Directoryで最も一般的に使用される属性構文を説明します。

表6-1 Oracle Internet Directoryで一般的に使用される属性構文

構文とオブジェクトID	説明
ACI項目 1.3.6.1.4.1.1466.115.121.1.1	この属性の値は、アクセス制御識別子項目です。
バイナリ 1.3.6.1.4.1.1466.115.121.1.5	この属性の値は、バイナリです。
ブール 1.3.6.1.4.1.1466.115.121.1.7	この属性は、2つの値true(1)またはfalse(0)のいずれか一方のみを保持できます。
ディレクトリ文字列 1.3.6.1.4.1.1466.115.121.1.15	この属性の値は、大/小文字を区別しない文字列です。
DN 1.3.6.1.4.1.1466.115.121.1.12	この属性の値は、DN(識別名)です。
一般的な時刻 1.3.6.1.4.1.1466.115.121.1.24	この属性の値は、印刷可能文字列としてエンコードされます。タイムゾーンを指定する必要があります(GMTなど)。
IA5String 1.3.6.1.4.1.1466.115.121.1.26	International Reference Alphabet No.5の文字列。この属性の値は、大/小文字を区別します。
整数 1.3.6.1.4.1.1466.115.121.1.27	この属性の有効値は、数値です。
JPEG 1.3.6.1.4.1.1466.115.121.1.28	この属性の有効値は、JPEGファイルです。
名前 1.3.6.1.4.1.1466.115.121.1.34	この属性の有効値は、名前または任意のUIDです。
OID 1.3.6.1.4.1.1466.115.121.1.38	一意のオブジェクト識別子です。
印刷可能文字列 1.3.6.1.4.1.1466.115.121.1.44	拡張文字を許可しない文字列です。この属性の値は、大/小文字を区別しません。
電話番号 1.3.6.1.4.1.1466.115.121.1.50	この属性の値は、電話番号の形式をとります。

6.1.2.3 属性別名

リリース1 (11.1.1.0.0)では属性名に別名を作成できるようになりました。たとえば、属性snに対してわかりやすい別名surname(姓)を作成する、といったことができます。属性名に対して別名が作成されていると、ユーザーはLDAP操作で属性名のかわりに別名を指定できます。

属性のLDAPスキーマ定義で、属性に対して別名を定義します。ディレクトリ・スキーマの操作属性attributeTypesが強化され、属性名リストに別名を含めることができるようになりました。これまでのリリースでは、属性名リストの形式は、次のようなものでした。

attributeTypes=( ObjectIdentifier NAME 'AttributeName'  ... )

リリース1 (11.1.1.0.0)では、次のような指定も可能になります。

attributeTypes=( ObjectIdentifier NAME ( 'AttributeName' 'Alias1' 'Alias2' ...) ... )

これは、RFC 2251およびRFC 2252で指定されているように、LDAPプロトコルと一致します。属性名リストでは、最初の項目は属性の名前として認識され、リストの残りの項目は属性別名として認識されます。たとえば、属性snに別名surnameを指定するには、snのスキーマ定義について次の変更を行います。

attributeTypes=( 2.5.4.4 NAME 'sn' SUP name )

を次のように変更します。

attributeTypes=( 2.5.4.4 NAME ( 'sn' 'surname' ) SUP name )

6.1.2.4 属性値の一致規則

一致規則は、同じ属性構文に準拠している2つの属性値を照合するためのルールです。Oracle Internet Directoryがスキーマで認識する一致規則定義は、次のとおりです。

accessDirectiveMatch
IntegerMatch
bitStringMatch
numericStringMatch
caseExactMatch
objectIdentifierFirstComponentMatch
caseExactIA5Match
ObjectIdentifierMatch
caseIgnoreIA5Match
OctetStringMatch
caseIgnoreListMatch
presentationAddressMatch
caseIgnoreMatch
protocolInformationMatch
caseIgnoreOrderingMatch
telephoneNumberMatch
distinguishedNameMatch
uniqueMemberMatch
generalizedTimeMatch
generalizedTimeOrderingMatch
orclpkimatchingrule

前のリストの中で、Oracle Internet Directoryが属性値を比較するときに実際に適用する一致規則は、次のとおりです。

distinguishedNameMatch
caseExactMatch
caseIgnoreMatch
numericStringMatch
IntegerMatch
telephoneNumberMatch
orclpkimatchingrule

6.1.2.5 サイズ設定属性値

属性構文は、属性値に対して特定のサイズ制限を定義しません。しかし、属性を定義するときに属性値のサイズを指定できます。Oracle Internet Directoryの属性にはサイズ制限を定義できるものもありますが、属性の長さの特性は適用されません。

たとえば、次の構文は属性fooのサイズを64に制限しますが、このサイズ制限はOracle Internet Directoryでは適用されません。

(object_identifier_of_attribute NAME 'foo' EQUALITY caseIgnoreMatch SYNTAX 'object_identifier_of_syntax{64}' )

6.1.2.6 単一値と複数値の属性について

デフォルトでは、ほとんどの属性は複数値です。つまり、エントリは複数の値を持つ同じ属性を保持できます。単一値属性の場合、1つのエントリに指定できる属性のインスタンスは1つのみです。たとえば、属性orclObjectGUIDが保持できる値は1つのみです。

6.1.2.7 属性の使用方法

属性の使用方法は、属性をディレクトリ内でどのように使用するかを定義します。属性の使用方法タイプは、次のとおりです。

ユーザー・アプリケーション属性: 明示的に属性に定義されていない場合の、デフォルトの属性の使用方法
システム操作属性: ディレクトリ自体の操作を制御する属性

6.1.2.8 ユーザー変更不可属性について

「ユーザー変更不可」と指定されている属性は、ディレクトリ・サーバーによってのみ変更できます。これらの属性は、他のユーザーまたはプロセスによって変更することはできません。

6.1.3 LDAPコントロール

LDAPバージョン3のディレクトリのように、Oracle Internet Directoryでは、コントロールを使用して標準LDAP操作を拡張します。これらは、既存の操作に付随する追加情報で、操作の動きを変更します。

クライアント・アプリケーションから標準LDAPコマンドとともに制御が渡されると、命令された操作の動きがそれに応じて変更されます。次の各項では、Oracle Internet Directory 12cリリース2 (12.1.2.3.0)でサポートされているコントロールを示しています。

6.1.3.1 Oracle Internet Directoryでサポートされているリクエスト・コントロール

表6-2 Oracle Internet Directoryでサポートされるリクエスト・コントロール

オブジェクト識別子	名前	説明
2.16.840.1.113730.3.4.18	プロキシ認可	LDAPクライアント・アプリケーションは、その独自のアイデンティティでOracle Internet Directoryサーバーにバインドし、他のユーザーや複数のユーザーのかわりに操作を実行できます。このコントロールによって、特に複数のユーザーのかわりに実行されるプロキシ操作でパフォーマンスが向上します。LDAP操作では、各ユーザーのリバインドは不要です。たとえば、次の使用例について考えてみます。 `proxy-app`というクライアント・アプリケーションが、Oracle Internet Directoryサーバーにバインドします。 John Doeというユーザーが、`proxy-app`クライアント・アプリケーションにリクエストを送信します。クライアントは、プロキシ認可グループのメンバーである必要があります。クライアントは、Oracle Internet Directoryサーバーに`proxy-app`としてリクエストを渡すかわりに、サーバーに対してプロキシDN (John Doe)とともにプロキシ認可コントロールを渡します。サーバーは、John Doeの権限(ACL)を使用してJohn DoeのLDAPリクエストを実行します。サーバーは、John Doeがアクセスまたは実行できる権限を持っている情報にのみアクセスし、その操作のみを実行できます。プロキシ認可コントロールの考慮事項は、次のとおりです。コントロールにプロキシ`dn`が伴っていない場合、サーバーによって例外がスローされ、クライアントにエラーが返されます。重大性フラグがTRUEに設定されていない場合、リクエストはプロトコル・エラーとともに拒否されます。プロキシ・ユーザーがACLに従って操作を実行する権限を持っている場合、サーバーでリクエストが実行されますが、それ以外の場合、サーバーによって結果コード123が返されます。 Oracle Internet Directoryサーバーは、プロキシ認可リクエストを受け入れるかどうかを判断します。匿名ユーザーは、他のユーザーのアイデンティティを継承することはできません。サーバーが同じ操作で複数のプロキシ認可コントロールを受信すると、クライアント・アプリケーションにエラーが返され、操作の試行に失敗します。
1.3.6.1.4.1.42.2.27.8.5.1	パスワード・ポリシー	LDAPクライアントは、ユーザーの現在のパスワード・ポリシー状態についてOracle Internet Directoryサーバーからの情報をリクエストできます。パスワード・ポリシーが適用可能な場合、クライアントは、次の操作でこのコントロールを送信できます。 `ldapbind`、`ldapmodify`、`ldapadd`または`ldapcompare` `ldapsearch` `ldapunbind`や`ldapabandon`などの他の操作はサポートされません。また、このコントロールはレプリケーションのバインドには適用されません。パスワード・ポリシー・リクエスト・コントロールには`controlValue`はありませんが、レスポンス・コントロールには表6-3に示すような戻り値があります。パスワード・ポリシーは、通常、LDAP簡易認証メソッドまたはパスワード・ベースのSimple Authentication and Security Layer (SASL)認証の単一値属性`userPassword`に適用されます。詳細は、次の場所にある「Password Policy for LDAP Directories」を参照してください。 `http://tools.ietf.org/html/draft-behera-ldap-password-policy-09`
2.16.840.1.113730.3.4.3	永続検索	LDAPクライアントは、Oracle Internet Directoryサーバーに永続検索リクエストを送信できます。永続検索操作は、初期検索の結果がサーバーからクライアントに返された後も継続する拡張検索です。初期検索の終了後も、サーバーに対する接続は、クライアントが操作をバインド解除するか中止するまで維持されます。クライアントは、検索範囲内のエントリの変更を追跡し、エントリが変更されている場合、エントリ変更通知レスポンス・コントロールを受信できます。このコントロールの定義は次のとおりです。 PersistentSearch ::= SEQUENCE { controlType 2.16.840.1.113730.3.4.3 changeTypes INTEGER, changesOnly BOOLEAN, returnECs BOOLEAN } これらのフィールドの説明は、次を参照してください。 `http://tools.ietf.org/id/draft-ietf-ldapext-psearch-03.txt`
2.16.840.1.113894.1.8.39	計算属性値の一意性	複数の属性値のエントリベースの組合せで、計算属性値の一意性を許可します。通常、属性一意性は単一属性にのみ構成されます。属性値の組合せで一意性を必要とするアプリケーションでは、このコントロールを送信すると、Oracle Internet Directoryサーバーにより、`ldapadd`、`ldapmodify -add`、`ldapmodify -replace`などの操作における計算属性値の一意性がディレクトリ全体で確保されます。計算値を含むエントリがすでに存在する場合は、Oracle Internet Directoryサーバーによって、LDAPエラー・コード「LDAP_ALREADY_EXISTS = 0x44」が返されます。たとえば、マルチテナント環境では、ユーザーのUID属性は特定のテナントで一意である必要がありますが、ディレクトリ全体では必ずしも一意である必要はありません。アプリケーションでは、計算属性TenantID_UIDを持つLDAPエントリが作成されます。ここで、TenantIDはテナントの識別子、UIDは属性になります。LDAPエントリが作成されたアプリケーションでは、このコントロールが送信されます。計算属性値を含むエントリがすでに存在する場合は、Oracle Internet Directoryサーバーによって、LDAP_ALREADY_EXISTSエラー・コードが返されます。
2.16.840.1.113730.3.4.9	OID_SEARCH_VLV_REQ_CONTROL	指定のLDAP検索で、大規模な検索結果セットの連続したサブセットを返すことをクライアントがサーバーに求めることを許可します。このコントロールを使用すると、検索結果を一度に1ページずつ表示できるため、クライアントでのより迅速な検索結果の取得が可能になると同時に、一度に多数の検索結果の格納が必要になる事態を防げます。サーバーによって、OID_SEARCH_VLV_RES_CONTROL 2.16.840.1.113730.3.4.10が返されます。 OID_SEARCH_VLV_REQ_CONTROLは、SORTコントロール(ldapsearchの-T引数)との組合せでのみ使用できます。SORTコントロールを含めないと、リクエストによりLDAPエラー・コード53「VLVリクエスト制御を含む検索操作でSORTリクエスト制御が欠落しています。」が返されます。 SORTコントロールでは、サーバーで有効な任意のソート指定を含められます。SORTコントロールをOID_SEARCH_VLV_REQ_CONTROLと一緒に使用すると、サーバーはソートした検索結果の完全セットを返すかわりに、ターゲット・エントリを検索結果の参照ポイントとして使用して、コントロールで指定されているエントリの連続したサブセットを返します。詳細は、「LDAP Extensions for Scrolling View Browsing of Search Results」(`http://tools.ietf.org/html/draft-ietf-ldapext-ldapv3-vlv-09`)を参照してください。
1.2.840.113556.1.4.319	OID_SEARCH_PAGING_CONTROL	『Oracle Identity Managementアプリケーション開発者ガイド』のLDAPプロトコルの拡張に関する項を参照してください
1.2.840.113556.1.4.473	OID_SEARCH_SORTING_REQUEST_CONTROL	『Oracle Identity Managementアプリケーション開発者ガイド』のLDAPプロトコルの拡張に関する項を参照してください
2.16.840.1.113730.3.4.2	GSL_MANAGE_DSA_CONTROL	Oracle Internet Directoryの参照、動的グループおよび別名オブジェクトを管理するために使用します。詳細は、`http://www.ietf.org`のRFC 3296「Named Subordinate References in Lightweight Directory Access Protocol (LDAP) Directories」を参照してください。
2.16.840.1.113894.1.8.1	OID_RESET_PROXYCONTROL_IDENTITY	確立されたLDAP接続でアイデンティティのプロキシ・スイッチを実行するために使用されます。たとえば、アプリケーションAがディレクトリ・サーバーに接続していて、アプリケーションBにスイッチする場合を考えます。アプリケーションBの資格証明を提供することで、リバインドは簡単に実行できます。しかし、資格証明が使用できないときでも、アプリケーションによるアイデンティティの切り替えを可能にするプロキシのメカニズムを使用できる場合があります。このコントロールを使用すると、Oracle Internet DirectoryでアプリケーションAがアプリケーションBとしてプロキシする権限を持っている場合に、アプリケーションAがアプリケーションBにスイッチすることができます。
2.16.840.1.113894.1.8.2	OID_APPLYUSEPASSWORD_POLICY	アプリケーションにユーザーのベリファイアを送信する前に、Oracle Internet Directoryによるアカウント・ロックアウトの確認が必要なアプリケーションによって送信されます。Oracle Internet Directoryによりベリファイア検索リクエスト内にこのコントロールが検出され、ユーザー・アカウントがロックされている場合、Oracle Internet Directoryはアプリケーションにベリファイアを送信しません。適切なパスワード・ポリシー・エラーが送信されます。
2.16.840.1.113894.1.8.3	CONNECT_BY	『Oracle Identity Managementアプリケーション開発者ガイド』のLDAPプロトコルの拡張に関する項を参照してください
2.16.840.1.113894.1.8.4	OID_CLIENT_IP_ADDRESS	Oracle Internet DirectoryによってIPロックアウトが実行される場合に、クライアントがエンド・ユーザーIPアドレスを送信するために使用されます。
2.16.840.1.113894.1.8.5	GSL_REQDATTR_CONTROL	動的グループとともに使用されます。ディレクトリ・サーバーに、メンバーシップ・リストではなくメンバーの特定の属性を読み取るよう指示します。
2.16.840.1.113894.1.8.6	PasswordStatusRequestControl	このコントロールがLDAPバインド/比較操作リクエストの一部としてパッケージ化されている場合、このコントロールによってサーバーでパスワード・ポリシーのレスポンス・コントロールが生成されます。実際のレスポンス・コントロールは状況に応じて異なります。状況とは、差し迫ったパスワードの有効期限、残りの猶予期間ログインの数、パスワードの期限切れ、アカウントのロックなどです。
2.16.840.1.113894.1.8.14	OID_DYNAMIC_VERIFIER_REQUEST_CONTROL	サーバーによる動的パスワード・ベリファイアの作成が必要な場合にクライアントが送信するリクエスト・コントロール。サーバーは、リクエスト・コントロールのパラメータを使用してベリファイアを作成します。
2.16.840.1.113894.1.8.16	AccountStatusRequestControl	認証プロセスに関連付けられたLDAP検索操作とともにパッケージ化されている場合、Oracle Internet Directoryは、パスワード・ポリシーのレスポンス・コントロールを返し、アカウントのロックアウトやパスワードの有効期限などのアカウント状態に関連する情報をクライアント・アプリケーションに知らせます。
2.16.840.1.113894.1.8.23	GSL_CERTIFICATE_CONTROL	証明書検索コントロール。ユーザー証明書の検索方法を指定するためにクライアントが送信するリクエスト・コントロール。『Oracle Internet Directoryの管理』のユーザー証明書のディレクトリの検索に関する付録を参照してください。
2.16.840.1.113894.1.8.29	EffectivePolicyControl	このコントロールは、LDAPベース検索の一部としてパッケージ化されます(ベースDNは、テストされているユーザー・エントリのDNです)。この時点で、ディレクトリにエントリが存在している必要はありません。検索を実行しているエンティティがパスワード・ポリシー・エントリを表示するアクセス権を持つ場合、このコントロールを渡すと、適用されるパスワード・ポリシーが記述されたLDAPエントリが返されます。オプションのtestPasswordパラメータとして望ましいパスワードを指定すると、ディレクトリ・サーバーはレスポンス・コントロール2.16.840.1.113894.1.8.32を返します。
2.16.840.1.113894.1.8.36	DelSubtreeControl	このコントロールが削除操作とともに送信されると、指定されたDNの下位のサブツリー全体が削除されます。必要な権限を持つユーザーのすべてがこの操作を実行できます。
1.2.840.113556.1.4.805	DelSubtreeControl	このコントロールが削除操作とともに送信されると、指定されたDNの下位のサブツリー全体が削除されます。必要な権限を持つユーザーのすべてがこの操作を実行できます。
1.3.6.1.1.21.2	トランザクション指定コントロール	これは、トランザクションIDをコントロールの値とし、これを利用して操作とトランザクションの関連付けを指定するLDAPコントロールです。この重大性は`TRUE`です。

6.1.3.2 Oracle Internet Directoryでサポートされているレスポンス・コントロール

表6-3 Oracle Internet Directoryでサポートされるレスポンス・コントロール

オブジェクト識別子	名前	説明
1.3.6.1.4.1.42.2.27.8.5.1	パスワード・ポリシー	Oracle Internet Directoryサーバーがパスワード・ポリシー・リクエスト・コントロールに応答してLDAPクライアントに返すレスポンス・コントロール。レスポンス制御の値は次のようにエンコードされます: PasswordPolicyResponseValue ::= SEQUENCE { warning [0] CHOICE { timeBeforeExpiration [0] INTEGER (0 .. maxInt), graceAuthNsRemaining [1] INTEGER (0 .. maxInt) } OPTIONAL, error [1] ENUMERATED { passwordExpired (0), accountLocked (1), changeAfterReset (2), passwordModNotAllowed (3), mustSupplyOldPassword (4), insufficientPasswordQuality (5), passwordTooShort (6), passwordTooYoung (7), passwordInHistory (8) } OPTIONAL } サーバーは、パスワード・ポリシー・レスポンス・コントロールでエラーまたは警告のいずれかを送信します(両方ではありません)。エラー・コードの説明は、次を参照してください。 `http://tools.ietf.org/html/draft-behera-ldap-password-policy-09` コントロールの重大性は、レスポンスでは返されません。パスワード・ポリシーの違反がない場合、サーバーは、レスポンスを送信しません。
2.16.840.1.113730.3.4.7	エントリ変更通知	`returnECs`フィールドがTRUEに設定された永続検索コントロールに応答してOracle Internet DirectoryサーバーからLDAPクライアントに返されます。このコントロールは、永続検索の基準に一致する変更されたエントリごとに返され、特定の検索エントリで発生した変更を説明します。このコントロールの定義は次のとおりです。 EntryChangeNotification ::= SEQUENCE { controlType 2.16.840.1.113730.3.4.7 changeType ENUMERATED { add (1), delete (2), modify (4), modDN (8) }, previousDN LDAPDN OPTIONAL, -- modifyDN ops. only changeNumber INTEGER OPTIONAL -- if supported } これらのフィールドの説明は、次を参照してください。 `http://tools.ietf.org/id/draft-ietf-ldapext-psearch-03.txt`
2.16.840.1.113730.3.4.10	OID_SEARCH_VLV_RES_CONTROL	サーバーは、OID_SEARCH_VLV_REQ_CONTROL 2.16.840.1.113730.3.4.9に応答してこのコントロールを返します。
2.16.840.1.113894.1.8.7	OID_PASSWORD_EXPWARNING_CONTROL	パスワード・ポリシー・コントロール。pwdExpireWarning属性が有効化されていて、クライアントからリクエスト・コントロールが送信された場合にサーバーが送信するレスポンス・コントロール。レスポンス・コントロール値には、パスワードの有効期限を表す秒単位の時間が含まれます。
2.16.840.1.113894.1.8.8	OID_PASSWORD_GRACELOGIN_CONTROL	パスワード・ポリシー・コントロール。猶予期間ログインが構成されていて、クライアントからリクエスト・コントロールが送信された場合にサーバーが送信するレスポンス・コントロール。レスポンス・コントロール値には、猶予期間ログインの残数が含まれます。
2.16.840.1.113894.1.8.20	OID_PWDEXPIRED_CONTROL	パスワード・ポリシー・コントロール。パスワードが期限切れになり、猶予期間ログインの残数がなく、クライアントからリクエスト・コントロールが送信された場合に、サーバーが送信するレスポンス・コントロール。
2.16.840.1.113894.1.8.9	OID_PASSWORD_MUSTCHANGE_CONTROL	パスワード・ポリシー・コントロール。強制パスワードのリセットが有効化されていて、クライアントからリクエスト・コントロールが送信された場合にサーバーが送信するレスポンス・コントロール。クライアントは、ユーザーがこのコントロールを受信する際にパスワードの変更を強制する必要があります。
2.16.840.1.113894.1.8.15	OID_DYNAMIC_VERIFIER_RESPONSE_CONTROL	エラーが発生した場合にサーバーがクライアントに送信するレスポンス・コントロール。レスポンス・コントロールにはエラー・コードが含まれています。
2.16.840.1.113894.1.8.32	PasswordValidationControl	必要なパスワードがオプションのtestPasswordパラメータとして指定されると、サーバーはコントロール2.16.840.1.113894.1.8.29に応答してこのコントロールを返します。クライアント・アプリケーションはvalidationResultを解析して、サーバーがパスワードを受け入れられるかどうか(成功)、またはパスワードが拒否された理由を判断できます。userpasswordに対するLDAP変更操作が失敗したときに生成されるタイプと同じエラー・メッセージが値として返されます。
2.16.840.1.113894.1.8.37	OID_SEARCH_DYNGRP_STATIC_UMEM	このコントロールとともにフィルタ`(unique)member=value`付きの問合せを送信すると、サーバーによって、静的`(unique)members`のみを含むエントリを使用して検索結果が返されます。

6.2 Oracle Identity Managementのスキーマ要素の概要

Oracle Identity Managementスキーマ要素をカテゴリ別に示します。各カテゴリには、適用可能なLDAPオブジェクト・クラスおよび属性が示されていますが、それぞれその属性またはオブジェクト・クラスの詳細情報にリンクされています。

スキーマ要素は、次のカテゴリに分類されます。

6.2.1 システム操作のスキーマ要素

システム操作のスキーマ要素は、ディレクトリ・サーバーで使用されます。システム操作オブジェクト・クラスは、ディレクトリ・サーバーの操作に関係するエントリを作成するために、ディレクトリ・サーバーで使用されます。特定のシステム操作属性は、エントリのオブジェクト・クラスに定義されているかどうかに関係なく、ディレクトリ内のすべてのエントリに対して使用できます。

表6-4は、システム操作のスキーマ要素と操作属性を示しています。

表6-4 システム操作のスキーマ要素の属性

システム操作のスキーマ要素	操作属性
ディレクトリ・スキーマ	attributeTypes、contentRules、ldapSyntaxes、matchingRules、objectClasses オブジェクト・クラス: subschema
アクセス制御	orclACI、orclEntryLevelACI
変更ログ	createTimestamp、creatorsName、modifiersName、modifyTimestamp
パスワード・ポリシー	orclPwdAccountUnlock、orclPwdIPAccountLockedTime、orclPwdIPFailureTime、orclRevPwd、orclUnsyncRevPwd、pwdAccountLockedTime、pwdChangedTime、pwdExpirationWarned、pwdFailureTime、pwdGraceUseTime、pwdHistory、pwdReset

6.2.2 Oracle Internet Directory構成のスキーマ要素

Oracle Internet Directoryの様々な構成に関係するスキーマ要素について理解します。

この項の内容は次のとおりです。

6.2.2.1 Oracle Internet Directoryサーバー構成の属性

この項では、Oracle Internet Directoryサーバーの構成に関係する属性およびオブジェクト・クラスを示します。

属性

namingContexts、orclAnonymousBindsFlag、orclCatalogEntryDN、orclCompatibleVersion、orclCryptoScheme、orclDBType、orclDebugFlag、orclDebugForceFlush、orclDebugOp、orclDIPRepository、orclDirectoryVersion、orclDITRoot、orclEcacheEnabled、orclEcacheMaxEntries、orclEcacheMaxSize、orclEnableGroupCache、orclEventLevel、orclGUPassword、orclHostname、orclIndexedAttribute、orclIpAddress、orclLDAPConnTimeout、orclMatchDnEnabled、orclMaxCC、orclNonSSLPort、orclNormDN、orclNwrwTimeout、orclPKIMatchingRule、orclPrName、orclPrPassword、orclReplAgreements、orclReplicaID、orclSASLAuthenticationMode、orclSASLCipherChoice、orclSASLMechanism、orclsDumpFlag、orclServerMode、orclServerProcs、orclSizeLimit、orclSkewedAttribute、orclSkipRefInSQL、orclSSLAuthentication、orclSSLCipherSuite、orclSSLEnable、orclSSLPort、orclSSLVersion、orclSSLWalletURL、orclStatsDN、orclStatsFlag、orclStatsLevel、orclStatsOp、orclStatsPeriodicity、orclSUAccountLocked、orclSuffix、orclSULoginFailureCount、orclSUName、orclSUPassword、orclTimeLimit、orclTLimitMode、orclUpgradeInProgress

オブジェクト・クラス

orclDSAConfig、orclIndexOC、orclLDAPInstance、orclLDAPSubConfig、subentry、subregistry

6.2.2.2 Oracleコンテキスト構成の属性

この項では、Oracleコンテキストの構成に関係する属性およびオブジェクト・クラスを示します。

属性

orclCommonAutoRegEnabled、orclCommonContextMap、orclCommonDefaultUserCreateBase、orclCommonGroupCreateBase、orclCommonNamingAttribute、orclCommonNicknameAttribute、orclCommonSASLRealm、orclCommonUserSearchBase、orclDefaultSubscriber、orclProductVersion、orclSubscriberNickNameAttribute、orclSubscriberSearchBase、orclUserObjectClasses、orclVersion

オブジェクト・クラス

orclCommonAttributes、orclCommonAttributesV2、orclRootContext、orclSchemaVersion

6.2.2.3 Oracleネットワーク・サービス構成の属性

この項では、Oracleネットワーク・サービスの構成に関係する属性とオブジェクト・クラスを紹介します。

属性

オブジェクト・クラス

orclService、orclServiceInstance、orclServiceInstanceReference、orclServiceRecipient、orclServiceSuite、orclServiceSubscriptionDetail

6.2.2.4 ガベージ・コレクション構成の属性

この項では、ガベージ・コレクションの構成に関係する属性およびオブジェクト・クラスを示します。

属性

orclPurgeBase、orclPurgeDebug、orclPurgeEnable、orclPurgeFileLoc、orclPurgeFileName、orclPurgeFilter、orclPurgeInterval、orclPurgeNow、orclPurgePackage、orclPurgeStart、orclPurgeTargetAge、orclPurgeTranSize

オブジェクト・クラス

orclPurgeConfig、tombstone

6.2.2.5 属性一意性構成の属性

この項では、属性一意性の構成に関係する属性およびオブジェクト・クラスを示します。

属性

orclUniqueAttrName、orclUniqueEnable、orclUniqueObjectClass、orclUniqueScope、orclUniqueSubtree

オブジェクト・クラス

orclUniqueConfig

6.2.3 監査およびエラー・ロギングのスキーマ要素

監査ログおよびエラー・ログに関係する属性およびオブジェクト・クラスについて理解します。

属性

orclAuditAttribute、orclAuditMessage、orclDBConnCreationFailed、orclDNSUnavailable、orclEventTime、orclEventType、orclFDIncreaseError、orclMaxFDLimitReached、orclMaxProcessLimitReached、orclMemAllocError、orclNWCongested、orclNwUnavailable、orclOpResult、orclORA28error、orclORA3113error、orclORA3114error、orclSequence、orclThreadSpawnFailed、orclUserDN

オブジェクト・クラス

orclAuditOC、orclEventLog、orclEvents、orclSysResourceEvents

6.2.4 サーバー管理機能のスキーマ要素

Oracle Internet Directoryサーバー管理機能の統計のスキーマ要素について理解します。

属性

orclACLResultsLatency、orclActiveConn、orclActiveThreads、orclAttrACLEvalLatency、orclAuditMessage、orclBERgenLatency、orclDBLatency、orclDIMEonlyLatency、orclEcacheHitRatio、orclEcacheNumEntries、orclEcacheSize、orclEntryACLEvalLatency、orclEventTime、orclEventType、orclFilterACLEvalLatency、orclFrontLatency、orclGenObjLatency、orclGetNearACLLatency、orclHostname、orclIdleConn、orclIdleThreads、orclInitialServerMemSize、orclIpAddress、orclLDAPInstanceID、orclLDAPProcessID、orclOpAbandoned、orclOpCompleted、orclOpenConn、orclOpFailed、orclOpInitiated、orclOpLatency、orclOpPending、orclOpResult、orclOpSucceeded、orclOpTimedOut、orclQueueDepth、orclQueueLatency、orclReadWaitThreads、orclSequence、orclServerAvgMemGrowth、orclSMSpec、orclSQLexeFetchLatency、orclSQLGenReusedParsed、orclTcpConnToClose、orclTcpConnToShutDown、orclTotFreePhyMem、orclTraceDimesionLevel、orclTraceFileLocation、orclTraceFileSize、orclTraceLevel、orclTraceMode、orclUserDN、orclWriteWaitThreads

オブジェクト・クラス

orclGeneralStats、orclHealthStats、orclPerfStats、orclSecRefreshEvents、orclSM、orclTraceConfig、orclUserStats

6.2.5 Oracleディレクトリ・レプリケーションのスキーマ要素

ディレクトリ・レプリケーション用のスキーマ要素について理解します。

属性

オブジェクト・クラス

orclReplAgreementEntry、orclReplInstance、orclReplicaSubentry、orclReplNameCtxConfig、orclReplSubConfig

6.2.6 Oracle Directory Integration and Provisioningのスキーマ要素

Oracle Directory Integration and Provisioningのスキーマ要素について理解します。

この項の内容は次のとおりです。

6.2.6.1 プロビジョニング・アプリケーションの属性

この項では、Oracle Directory Integration and Provisioningのアプリケーションの属性およびオブジェクト・クラスを示します。

属性

orclApplicationType、orclInterval、orclODIPAgent、orclODIPApplicationName、orclODIPCommand、orclODIPDbConnectInfo、orclODIPEventSubscriptions、orclOwnerGUID、orclStatus、orclVersion

オブジェクト・クラス

orclODIPApplicationCommonConfig、orclODIPAppSubscription

6.2.6.2 プロビジョニング変更ログの属性

この項では、Oracle Directory Integration and Provisioningの変更ログの属性およびオブジェクト・クラスを示します。

属性

orclLastAppliedChangeNumber、orclSubscriberDisable、serverName、userPassword

オブジェクト・クラス

orclChangeSubscriber

6.2.6.3 プロビジョニング・イベントおよびオブジェクトの属性

この項では、Oracle Directory Integration and Provisioningのイベントおよびオブジェクトの属性およびオブジェクト・クラスを示します。

属性

orclODIPAttributeMappingRules、orclODIPEventFilter、orclODIPFilterAttrCriteria、orclODIPMustAttrCriteria、orclODIPObjectCriteria、orclODIPObjectEvents、orclODIPObjectName、orclODIPObjectSyncBase、orclODIPOperationMode、orclODIPOptAttrCriteria、orclODIPProvEventCriteria、orclODIPProvEventLDAPChangeType、orclODIPProvEventObjectType、orclODIPProvEventRule、orclODIPProvEventRuleDTD、orclStatus

オブジェクト・クラス

orclODIPEventContainer、orclODIPObject、orclODIPProvEventDefn、orclODIPProvEventTypeConfig

6.2.6.4 プロビジョニング・プラグインおよびインタフェースの属性

この項では、Oracle Directory Integration and Provisioningのプラグインおよびインタフェースの属性およびオブジェクト・クラスを示します。

属性

orclODIPPluginAddInfo、orclODIPPluginConfigInfo、orclODIPPluginEvents、orclODIPPluginExecData、orclODIPPluginExecName、orclODIPProfileProvSubscriptionMode、orclODIPProfileStatusUpdate、orclODIPProvInterfaceFilter、orclODIPProfileInterfaceType、orclODIPProvInterfaceProcessor、orclStatus

オブジェクト・クラス

orclODIPProvInterfaceDetails、orclODIPPlugin、orclODIPPluginContainer

6.2.6.5 プロビジョニング・サーバー構成の属性

この項では、Oracle Directory Integration and Provisioning Serverの構成に関係する属性およびオブジェクト・クラスを示します。

属性

cn、orclCompatibleVersion、orclHostname、orclODIPConfigDNs、orclODIPConfigRefreshFlag、orclODIPInstanceStatus、orclODIPProfileExecGroupID、orclODIPSearchCountLimit、orclODIPSearchTimeLimit、orclODIPServerCommitSize、orclODIPServerDebugLevel、orclODIPServerRefreshIntvl、orclODIPServerSSLMode、orclODIPServerWalletLoc、orclSSLEnable、orclVersion、seeAlso、userPassword

オブジェクト・クラス

orclODIPServerConfig、orclODISConfig、orclODIServer、orclODISInstance

6.2.6.6 プロビジョニング・プロファイルの属性

この項では、Oracle Directory Integration and Provisioningの同期プロファイルおよびプロビジョニング・プロファイルの属性およびオブジェクト・クラスを示します。

属性

cn、orclODIPAgentConfigInfo、orclODIPAgentControl、orclODIPAgentExeCommand、orclODIPAgentHostName、orclODIPAgentName、orclODIPAgentPassword、orclODIPAttributeMappingRules、orclODIPBootStrapStatus、orclODIPConDirAccessAccount、orclODIPConDirAccessPassword、orclODIPConDirLastAppliedChgNum、orclODIPConDirMatchingFilter、orclODIPConDirURL、orclODIPEncryptedAttrKey、orclODIPInterfaceType、orclODIPLastExecutionTime、orclODIPLastSuccessfulExecutionTime、orclODIPOIDMatchingFilter、orclODIPProfileDebugLevel、orclODIPProfileExecGroupID、orclODIPProfileInterfaceAdditionalInformation、orclODIPProfileInterfaceConnectInformation、orclODIPProfileInterfaceName、orclODIPProfileInterfaceType、orclODIPProfileInterfaceVersion、orclODIPProfileLastAppliedAppEventID、orclODIPProfileLastProcessingTime、orclODIPProfileLastSuccessfulProcessingTime、orclODIPProfileMaxErrors、orclODIPProfileMaxEventsPerInvocation、orclODIPProfileMaxEventsPerSchedule、orclODIPProfileMaxRetries、orclODIPProfileName、orclODIPProfileProcessingErrors、orclODIPProfileProcessingStatus、orclODIPProfileSchedule、orclODIPProvisioningAppGUID、orclODIPProvisioningAppName、orclODIPProvisioningEventMappingRules、orclODIPProvisioningEventPermittedOperations、orclODIPProvisioningEventSubscription、orclODIPProvisioningOrgGUID、orclODIPProvisioningOrgName、orclODIPSchedulingInterval、orclODIPSynchronizationErrors、orclODIPSynchronizationMode、orclODIPSynchronizationStatus、orclODIPSyncRetryCount、orclPasswordAttribute、orclStatus、orclVersion、userPassword

オブジェクト・クラス

orclODIPIntegrationProfile、orclODIProfile、orclODIPProvisioningIntegrationProfile、orclODIPProvisioningIntegrationProfileV2、orclODIPProvisioningIntegrationOutBoundProfile、orclODIPProvisioningIntegrationOutBoundProfileV2

6.2.6.7 プロビジョニング・スキーマの属性

この項では、Oracle Directory Integration and Provisioningのスキーマ情報の属性およびオブジェクト・クラスを示します。

属性

orclODIPApplicationsLocation、orclODIPInstancesLocation、orclODIPObjectDefnLocation、orclODIPProvProfileLocation、orclODIPRootLocation、orclODIPSchemaVersion、orclODIPServerConfigLocation、orclODIPSyncProfileLocation

オブジェクト・クラス

orclODIPSchemaDetails

6.2.6.8 プロビジョニングActive Directoryユーザーの属性

次の属性およびオブジェクト・クラスは、Oracle Directory Integration and Provisioningを使用してMicrosoft Active DirectoryからOracle Internet Directoryにインポートされるユーザーに使用します。

属性

orclObjectGUID、orclObjectSID、orclSAMAccountName、orclUserPrincipalName

オブジェクト・クラス

orclADGroup、orclADUser、orclNTUser

6.2.7 Oracle Delegated Administration Servicesのスキーマ要素

Oracle Delegated Administration Servicesの属性およびオブジェクト・クラスについて理解します。

属性

オブジェクト・クラス

orclDASAppContainer、orclDASAttrCategory、orclDASConfigAttr、orclDASConfigPublicGroup、orclDASLOVVal、orclDASOperationURL、orclDASSubscriberContainer

6.2.8 Oracle Application Server Certificate AuthorityおよびPKIのスキーマ要素

公開キーインフラストラクチャ(PKI)、証明書、Oracle Application Server Certificate Authorityに関係する属性およびオブジェクト・クラスについて理解します。

属性

orclCertExtensionAttribute、orclCertExtensionOID、orclCertificateHash、orclCertificateMatch、orclCertMappingAttribute、orclPKINextUpdate、orclPKIValMecAttr、x509issuer

オブジェクト・クラス

orclCertIdMapping、orclPKICRL、orclPKIValMecCl

6.2.9 アプリケーションのスキーマ要素

アプリケーションに関係する属性およびオブジェクト・クラスについて理解します。

属性

authPassword、description、labeledURI、orclAppFullName、orclApplicationCommonName、orclCategory、orclDBSchemaIdentifier、orclOwnerGUID、orclPasswordVerifier、orclResourceIdentifier、orclTrustedApplicationGroup、orclVersion、protocolInformation、seeAlso、userCertificate;binary、userPassword、userPKCS12

オブジェクト・クラス

orclApplicationEntity、orclAppSpecificUserInfo、orclAppUserEntry

6.2.10 リソースのスキーマ要素

リソースに関係する属性およびオブジェクト・クラスについて理解します。

属性

description、displayName、javaClassName、orclConnectionFormat、orclFlexAttribute1、orclFlexAttribute2、orclFlexAttribute3、orclOwnerGUID、orclPasswordAttribute、orclResourceName、orclResourceViewers、orclUserIDAttribute、orclUserModifiable

オブジェクト・クラス

orclResourceDescriptor、orclResourceType

6.2.11 プラグインのスキーマ要素

Oracle Internet Directory用のプラグインを構成するための属性およびオブジェクト・クラスについて理解します。

属性

オブジェクト・クラス

orclPluginConfig、orclPluginContainer、orclPluginUser

6.2.12 ディレクトリ・ユーザー・エージェントのスキーマ要素

ディレクトリ・ユーザー・エージェント(DUA)の構成に関係する属性およびオブジェクト・クラスについて理解します。

属性

attributeMap、authenticationMethod、bindTimeLimit、cn、credentialLevel、defaultSearchBase、defaultSearchScope、defaultServerList、followReferrals、objectClass、objectClassMap、preferredServerList、profileTTL、serviceAuthenticationMethod、serviceCredentialLevel、serviceSearchDescriptor

オブジェクト・クラス

duaConfigProfile

6.2.13 ユーザー、グループ、およびサブスクライバのスキーマ要素

ユーザー、グループおよびサブスクライバに使用する属性およびオブジェクト・クラスについて理解します。

この項の内容は次のとおりです。

6.2.13.1 グループの属性

Oracle Internet Directoryでは、RFC 2256に定義されている標準オブジェクト・クラスgroupOfNamesおよびgroupOfUniqueNamesを使用します。標準の属性およびオブジェクト・クラスの他に、グループには次の属性およびオブジェクト・クラスも使用します。

属性

displayName、mail、orclGlobalID、orclIsVisible

オブジェクト・クラス

orclGroup