リリース9.1.0.1
B53779-01
 目次 |
 索引 |
| Oracle Identity Manager 管理およびユーザー・コンソール・ガイド リリース9.1.0.1 B53779-01 |
|
この章では、汎用テクノロジ・コネクタの作成および使用に関するベスト・プラクティスまたはガイドラインについて説明します。
ベスト・プラクティスは、適用するコンテキストに応じて次の各項で説明されています。
汎用テクノロジ・コネクタの名前を指定する場合は次のガイドラインを適用します。
名前にはASCII文字のみを使用するようにします。アンダースコア（_）文字は使用できますが、それ以外の非ASCII文字は名前に使用しないでください。
説明:
コネクタ作成プロセスの終了時に自動的に作成されるコネクタ・オブジェクトの大部分では、オブジェクト自体の名前の一部に汎用テクノロジ・コネクタの名前が使用されます。たとえば、汎用テクノロジ・コネクタの名前がWebConnである場合、そのスケジュール済タスクの名前はWebConn_GTCとなります。
Oracle Identity Managerデータベースでは、非ASCII文字の名前が指定されたオブジェクトを格納するプロビジョニングは実行されません。そのため、汎用テクノロジ・コネクタの名前を指定するときに非ASCII文字を入力すると、エラー・メッセージが表示されます。
ここでは、「ステップ2: パラメータ値の指定」ページで指定する入力に関する既知の問題について説明します。
共有ドライブ・リコンシリエーション・トランスポート・プロバイダを使用する場合、次の点に注意します。
説明:
共有ドライブ・リコンシリエーション・トランスポート・プロバイダを使用する場合、各リコンシリエーションの実行後にデータ・ファイルがステージング・ディレクトリからアーカイブ・ディレクトリに移動します。アーカイブ・ディレクトリに移動したファイルにタイムスタンプまたはマークは付きません。そのため、共有ドライブ・トランスポート・プロバイダの使用時には、次のガイドラインに注意してください。
最後のリコンシリエーションの実行終了時に、ステージング・ディレクトリからアーカイブ・ディレクトリに次の各ファイルが自動的に移動したとします。
usrdataParentData.csv usrdataRoleData.csv usrdataGroupMembershipData.txt
現行のリコンシリエーションの実行用に、ステージング・ディレクトリに次の各ファイルを配置します。
usrdataParentData.csv usrdataRoleData_04Feb07.csv usrdataGroupMembershipData_04Feb07.txt
これらのファイルは、現行のリコンシリエーションの実行終了時にアーカイブ・ディレクトリに移動します。その際、古いusrdataParentData.csvファイルが新しいファイルで上書きされます。
そのため、アーカイブ・ディレクトリ内のファイルがリコンシリエーションの実行終了時に上書きされないようにするには、ステージング・ディレクトリ内のファイルの名前がアーカイブ・ディレクトリ内のファイルの名前と同一にならないようにする必要があります。
「ステップ2: パラメータ値の指定」ページに戻っても、2回目にはメタデータの検出は行われません。そのため、必要に応じて「ステップ3: コネクタ構成の変更」ページに表示されるフィールドおよびフィールド・マッピングを手動で変更する必要があります。
説明:
「ステップ2: パラメータ値の指定」ページで指定した値を変更するとします。このページには、「ステップ4: コネクタ・フォーム名の検証」ページまたは「ステップ5: コネクタ情報の検証」ページから戻れます。ただし、プロバイダ・パラメータ値を変更した後に「続行」ボタンをクリックしても、2回目にはメタデータの検出は行われません。これは、「ステップ3: コネクタ構成の変更」ページで手動で行われた可能性のある変更の保護を目的とした機能です。
この機能が適用されるため、既存の汎用テクノロジ・コネクタを変更しても、メタデータの検出は行われません。
ここでは、次の領域に関するベスト・プラクティスについて説明します。
フィールドの追加時または編集時にフィールド名を指定する場合、次の検証が適用されることに注意してください。
UsrIDという名前のフィールドをGroupMembershipデータセットとRoleデータセットのそれぞれに指定できます。
パスワードの安全性を確保するため、パスワード情報は汎用テクノロジ・コネクタでリコンサイルしないでください。つまり、「ソース」データセットおよび「リコンシリエーション・ステージング」データセットには「パスワード」フィールドが含まれないようにします。また、「リコンシリエーション・ステージング」データセットのフィールドを「OIM - ユーザー」データセットの「パスワード」フィールドにマップしないでください。
パスワード型フィールドは、「暗号化」属性および「パスワード・フィールド」属性を（「暗号化」チェック・ボックスおよび「パスワード・フィールド」チェック・ボックスを選択して）設定するフィールドです。「OIM - アカウント」データセットに追加するフィールドにこれらの2つの属性を設定すると、パスワード型フィールドを作成できます。
パスワード型フィールドの内容を保護するため、これらのフィールドの追加時または編集時には次のガイドラインに注意してください。
「OIM - アカウント」データセットと「プロビジョニング・ステージング」データセットのパスワード・フィールド間には、1対1のマッピングのみ作成することをお薦めします。つまり、このパスワード・フィールドを、「プロビジョニング・ステージング」フィールドとの変換マッピングの入力フィールドとして使用しないようにしてください。「OIM - ユーザー」データセットの「パスワード」フィールドについても同様の予防措置をとる必要があります。
これについては、「一般的な既知の問題」にも記載されています。
「OIM」データセットのフィールドを使用する場合は次のベスト・プラクティスを適用します。
翻訳変換プロバイダを選択してマッピングを作成する場合、「参照コード名」リージョンに参照定義の名前を指定してください。データセット名およびフィールドを「参照コード名」リージョンに指定すると、実際のリコンシリエーションまたはプロビジョニングの操作時に変換に失敗します。
説明:
マッピングの作成時に翻訳変換プロバイダを選択すると、「ステップ2: マッピング」ページに、データセットからフィールドを選択してリテラルを指定するオプションが表示されます。翻訳変換プロバイダを使用しているため、「リテラル」オプションを選択して、変換用のコード・キーおよびデコードの値を含む参照定義の名前を入力する必要があります。「参照コード名」リージョンにデータセット名およびフィールドを選択しないでください。データセット名およびフィールドの選択を無効にする検証は行われませんが、実際のリコンシリエーションまたはプロビジョニングの操作時に変換操作に失敗します。
これについては、「「ステップ3: コネクタ構成の変更」ページ」にも記載されています。
「OIM」データセットのフィールドを使用する場合は次のベスト・プラクティスを適用します。
また、この他に選択できる「OIM - ユーザー」のフィールドにも、ユーザー・アカウントがリコンシリエーションを通じて作成された場合に入力が必要なものがあります。これらの各フィールドに対し、「リコンシリエーション・ステージング」データセットの対応するフィールドとのマッピングを作成する必要があります。リコンシリエーションの実行中は、これらのフィールドのソースとなるターゲット・システムのフィールドに、常に値が保持されているようにしてください。
プロビジョニングに選択できる「OIM - ユーザー」データセットまたは「OIM - アカウント」データセットのフィールドには、ターゲット・システムへの値の伝播が必要なものがあります。これらのフィールドは、特定した後に、「プロビジョニング・ステージング」データセットの対応するフィールドとのマッピングを作成してください。プロビジョニング操作中に、これらの各フィールドに値を入力する必要があります。
ただし、UDFの「パスワード・フィールド」属性および「暗号化」属性の設定にDesign Consoleを使用しないでください。Design Consoleを使用して「パスワード・フィールド」属性および「暗号化」属性がフィールドに設定された場合、UDFの内容は暗号化されません。
これについては、「一般的な既知の問題」にも記載されています。
サマリー
親レコードと子データ・レコードが作成され、ターゲット・システムおよびOracle Identity Managerの両方でリンクされる場合は、各リコンシリエーションの実行開始時に、親データと子データ両方のファイルがステージング・ディレクトリに格納されていることを確認してください。
説明
ターゲット・システムに、子データ・レコードの関連付けられた親データ・レコードがあるとします。これらのレコードをOracle Identity Managerでリコンサイルするには、レコードが含まれる親データ・ファイルおよび子データ・ファイルをステージング・ディレクトリに配置します。リコンシリエーションの実行中、子データ・レコードがその対応する親データ・レコードにリンクされます。その後、別のリコンシリエーションを実行する前に、ステージング・ディレクトリから子データ・ファイルを削除すると、このような形の子データ・レコードの削除に対してリコンシリエーション・イベントは作成されなくなります。特定の親データ・レコードの子データ・レコードを削除する場合、子データ・ファイルから子データ・レコードを削除してください。各リコンシリエーションの実行時には、子データ・ファイルがステージング・ディレクトリに配置されていることを確認してください。そのファイルに子データ・レコード（3行目以降）がない場合にも同様です。
カスタム・プロバイダを使用する場合は次のガイドラインを適用します。
カスタム・プロビジョニング・トランスポート・プロバイダのコードを開発する場合、「ユーザーの作成」操作の終了時にプロバイダが一意のフィールドの値を戻すことを確認してください。この機能は、プロビジョニング・トランスポート・プロバイダのsendDataメソッドによって実装されます。詳細は「プロビジョニング中のプロバイダの役割」を参照してください。
汎用テクノロジ・コネクタの作成時に自動的に作成されたコネクタ・オブジェクトを使用する場合は、次のガイドラインを適用します。
リコンシリエーションのみの汎用テクノロジ・コネクタ用に自動的に作成されたリソース・オブジェクトは、プロビジョニングに使用しようとしないでください。
説明:
汎用テクノロジ・コネクタの作成時に「リコンシリエーション」オプションのみを選択したとします。作成プロセスの終了時に、この汎用テクノロジ・コネクタ用に自動的に作成されるオブジェクトの1つとして、リソース・オブジェクトが作成されます。ただし、リコンシリエーションのみの汎用テクノロジ・コネクタには汎用アダプタが作成されないため、このリソース・オブジェクトはいずれのユーザーにもプロビジョニングできません。
汎用テクノロジ・コネクタのリソース・オブジェクトを、Oracle Identity Managerで定義されている組織にプロビジョニングしようとしないでください。
説明:
リソース・オブジェクトは、汎用テクノロジ・コネクタの作成中に自動的に作成されるコネクタ・オブジェクトの1つです。このリソース・オブジェクトは、OIMユーザーにのみプロビジョニングできます。Oracle Identity Managerで定義されている組織にはプロビジョニングしようとしないでください。
これについては、「コネクタ・オブジェクト」にも記載されています。
ITリソースについてはこのガイドラインは適用されません。ITリソースのパラメータは、Design Consoleを使用して変更できます。ただし、GenericConnectorカテゴリおよびGenericConnectorProvidersカテゴリのキャッシュを有効にしている場合は、ITリソースのパラメータを変更する前後のいずれかにキャッシュをパージする必要があります。詳細は、『Oracle Identity Managerベスト・プラクティス・ガイド』の「キャッシュの消去」を参照してください。
これについては、「コネクタ・オブジェクト」にも記載されています。
汎用テクノロジ・コネクタを変更する場合は次のベスト・プラクティスを適用します。
一度に複数の汎用テクノロジ・コネクタを変更しようとしないでください。同じOracle Identity Managerインストールの管理およびユーザー・コンソールで、別のセッションから作成する場合も同様です。
|
 Copyright © 2009 Oracle Corporation. All Rights Reserved. |
|