8 Oracle Internet Directoryおよび資格証明管理

この章では、Oracle Internet Directoryを使用してユーザーを認証する方法について説明します。また、Oracle CM SDK Credential Manager Configuration Assistantを使用して資格証明マネージャを作成する方法についても説明します。項目は次のとおりです。

資格証明マネージャ

Oracle Content Management SDK（Oracle CM SDK）サービスでは、資格証明マネージャを使用してユーザー認証を行います。ユーザーの資格証明とは、そのユーザーを証明つまり認証することです。サービスに関連付けられた資格証明マネージャによって、資格証明を取得する場所と方法がサービスに示されます。

サービスには、ネイティブのOracle CM SDK資格証明マネージャ（IfsCredentialManager）を使用できます。これにより、資格証明情報がOracle CM SDKスキーマに格納されます。または、1つ以上のOracle Internet Directory資格証明マネージャ（OidCredentialManagers）をユーザー認証に使用することもできます。

Oracle CM SDKサービスはそれぞれ、使用する資格証明マネージャを指定した一連の構成プロパティを持ちます。1つのサービスで使用できるIfsCredentialManagerは1つのみですが、OidCredentialManagersは複数使用できます。Oracle CM SDK Credential Manager Configuration Assistantを使用すると、追加のOidCredentialManagersを構成できます。

注意
Oracle Internet Directoryを使用する場合は、Oracle Application ServerがInfrastructureサービスに使用しているInfrastructure層に属するOracle Internet Directoryインスタンスを使用することをお薦めします。

資格証明マネージャの初期構成

Oracle CM SDKの構成時に、ネイティブなOracle CM SDK資格証明マネージャまたはOracle Internet Directoryのどちらかを選択済です。Oracle CM SDK資格証明マネージャを選択した場合は、IfsCredentialManagerインスタンスが作成されています。Oracle Internet Directoryを選択し、必要なパラメータを指定した場合は、OidCredentialManagerインスタンスが作成されています。

初期構成時に作成されるOidCredentialManagerには、デフォルトで次のような特性があります。

クリアテキスト、SMBチャレンジ/レスポンス、HTTPダイジェストおよびトークン資格証明が認証に使用できます。
セキュリティを強化するために、クリアテキスト認証のみをサポートするプロトコル（AFP、CUP、FTPおよびIMAP）では、デフォルトのOracle Internet Directoryパスワードではなく、Oracle CM SDK固有のパスワードを使用する必要があります。その他のプロトコルでは、デフォルトのOracle Internet Directoryパスワードが使用されます。

その他の資格証明マネージャ管理ツール

Oracle Internet Directoryの主な管理ツールとしては、Oracle Directory Managerがあります。Oracle Directory Managerを使用すると、OIDのユーザーおよびグループの追加または削除や、ユーザーのOIDパスワードの変更が可能です。

Oracle Directory Managerの詳細は、『Oracle Internet Directory管理者ガイド』を参照してください。

Oracle CM SDK Credential Manager Configuration Assistantの使用方法

Oracle CM SDK Credential Manager Configuration Assistantを使用して、各種の資格証明マネージャを作成したり、資格証明マネージャの設定を削除または編集したりできます。各サービスが使用できるOracle CM SDK資格証明マネージャは1つのみですが、異なるInfrastructure層にそれぞれ属する複数のOID資格証明マネージャを使用できます。

特定のOracle Internet Directoryインスタンスを、Oracle CM SDKと組み合せて使用するためにOidCredentialManagerとして指定および構成するには、Oracle Internet Directoryが構成済かつ実行中であることが必要です。さらに、管理ユーザー名およびパスワードを把握している必要があります。

注意
Oracle Internet Directoryを資格証明管理のために使用する場合や、Oracle Internet DirectoryインスタンスがOracle Application Server Infrastructure層の一部である場合、Oracle Internet Directoryをネットワーク上の別のホストに移行するときは、Application Server Controlを使用してInfrastructureサービスを変更します。Oracle CM SDK Credential Manager Configuration Assistantは使用しないでください。次の2つの条件を満たしている場合は、Application Server Controlを使用してInfrastructureサービスを変更できます。

Oracle Internet DirectoryインスタンスがOracle Application Server Infrastructure層の一部である

すべてのOracle CM SDK中間層が同じInfrastructure層のInfrastructureサービスを使用する

詳細は、「認証管理の構成」を参照してください。

Oracle CM SDK Credential Manager Configuration Assistantは、次のディレクトリにあるifscmcaスクリプトをコマンドラインから実行して起動できます。

$ORACLE_HOME/ifs/cmsdk/bin

ifscmcaを実行するには、中間層ホスト上に他のすべてのOracleソフトウェアをインストールおよび構成したOSユーザーの名前（通常はoracle）でログインする必要があります。

資格証明マネージャの作成

資格証明マネージャを追加作成するには、Oracle CM SDK Credential Manager Configuration Assistantを使用します。Oracle CM SDKの初期の資格証明マネージャは、構成時に設定されています。

「ようこそ」画面で「次へ」をクリックします。「Oracle CM SDKへのログイン」画面が表示されます。

画像の説明
「Oracle CM SDKへのログイン」画面で、Oracle CM SDKの「データベース・ホスト名」、「リスナー・ポート番号」（通常はOracleデータベース・サーバーの1521）、「データベース・サービス名」、「スキーマ名」および「スキーマ・パスワード」を入力します。

ヒント
ifsctl status -nを実行すると、データベース・パラメータを取得できます。詳細は、表3-2「ifsctlコマンド」を参照してください。
「次へ」をクリックします。「既存の資格証明マネージャ」画面が表示されます。

画像の説明

この画面は、3つのサービス構成すべてにOracle CM SDK資格証明マネージャ（IfsCredentialManagers）がすでに存在していることを示しています。これは、実行時にSmallServiceConfiguration、MediumServiceConfigurationまたはLargeServiceConfigurationを使用してサービスを作成するたびに、選択されたサービス・タイプ用のIfsCredentialManagerが使用されることを意味します。
新しい資格証明マネージャを作成するには、「作成」を選択し、「次へ」をクリックして続行します。「新規資格証明マネージャの作成」画面が表示されます。

画像の説明
資格証明マネージャの作成対象となるサービス構成（SmallServiceConfigurationなど）を選択します。

「資格証明マネージャ・タイプ」リストで、OidCredentialManagerを定義する場合は「Oracle Internet Directory」を、IfsCredentialManagerを作成する場合は「Oracle CM SDK」を選択します。

注意
新たに追加したOracle Internet Directory資格証明マネージャを有効にするには、そのHTTPノードのOracle CM SDKドメインとOC4Jインスタンスを再起動する必要があります。Oracle CM SDKマネージャの新しい資格証明マネージャを使用して新規ユーザーを作成するには、その資格証明マネージャを「値ドメイン」の「CredentialManagers」にも追加/登録する必要があります。
詳細は、「構成後のApplication Server ControlおよびOracle CM SDKマネージャでの作業」を参照してください。

「資格証明マネージャ名」フィールドに、資格証明マネージャ名を入力します。この名前は、このエントリの適用先にするサービス構成に対して一意である必要がありますが、ドメイン内で一意である必要はありません。
「次へ」をクリックして続行します。1つ前の画面で「Oracle Internet Directory」を選択した場合は、「OiDログイン」画面が表示されるので、手順9に進みます。「Oracle CM SDK」を選択した場合は、「認証タイプ」画面が表示されるので、手順13に進みます。

画像の説明
「Oracle Internet Directoryログイン」画面で、資格証明管理に使用するOracle Internet Directoryインスタンスのログイン情報を入力します。次の情報を入力します。
- 「サーバー」: Oracle Internet Directoryを実行しているコンピュータの完全修飾ホスト名を入力します。
- 「ポート」: Oracle Internet Directoryサーバーがリスニングしているポート番号を入力します。
  - デフォルトのLDAPポート番号は389です。このポートは他のアプリケーションによって使用されることが多いため、UNIXシステムでは通常、Oracle Internet Directoryは3060を使用します。
  - デフォルトのLDAP SSLポート番号は636です。このポートは他のアプリケーションによって使用されることが多いため、UNIXシステムでは通常、Oracle Internet Directoryは3130を使用します。Oracle CM SDKをOracle Internet DirectoryのSSLポートに対して構成する場合は、「SSLの使用」を選択してください。
- 「スーパー・ユーザー」: Oracle Internet Directoryのスーパー・ユーザー名を入力します。
  
  Oracle Internet Directoryのデフォルトのスーパー・ユーザー名は、cn=orcladminです。
- 「スーパー・ユーザー・パスワード」: Oracle Internet Directoryのスーパー・ユーザーのパスワードを入力します。
- 「ルートOracleコンテキスト」: ルートOracleコンテキストを入力します。
  
  Oracle Internet DirectoryのデフォルトのルートOracleコンテキストは、cn=OracleContextに設定されています。通常、これを変更する必要はありません。Oracle Internet Directory管理者がルート・コンテキストを変更している場合は、その値を入力する必要があります。ルート・コンテキストの概念は、LDAPディレクトリ・サービスに固有のものです。
Oracle Internet Directoryの詳細は、『Oracle Internet Directory管理者ガイド』を参照してください。
「次へ」をクリックして続行します。「サポートする機能」画面が表示されます。

画像の説明
必要に応じて、「サポートする機能」画面のチェックボックスを選択します。
- Oracle Internet Directoryを、Oracle CM SDK以外のOracleデータベースやアプリケーションでも使用している場合は、どの機能も選択しないでください。この場合、ユーザーの管理にはOracle Internet Directory管理ツールを使用してください。
  
  Oracle CM SDKマネージャおよびAPIは、Oracle CM SDKの使用時に必要なOracle Internet Directoryで管理された情報のサブセットのみを取得するため、Oracle Internet Directoryユーザー管理ツールを使用することをお薦めします（Oracle CM SDK APIを使用して、Oracle CM SDKで既存のOracle Internet Directoryユーザーを使用可能にすることはできます）。
- Oracle Internet DirectoryをOracle CM SDK専用に使用し、Oracle Internet Directory管理ツールではなくOracle CM SDKマネージャ（の「ユーザー」タブ）を使用してユーザーを管理する場合は、すべてのチェックボックスを選択します。
「次へ」をクリックして続行します。「認証タイプ」画面が表示されます。

画像の説明
「認証タイプ」画面で、この資格証明マネージャがサポートする認証メカニズムの種類を選択します（デフォルト設定を使用すると、すべての認証タイプを使用可能にできます）。
「次へ」をクリックして続行します。「Oracle CM SDK固有のパスワード」画面が表示されます。

画像の説明
Oracle CM SDK固有のパスワードを関連付けるプロトコルを選択します。

一部のプロトコル・サーバーは、暗号化されていないパスワードをネットワークに送信します。したがって、これらのパスワードのいずれかが傍受されると、このユーザーのOracle Internet Directoryが制御するすべてのシステムへのアクセスが可能になります。セキュリティを強化するには、（デフォルトのOracle Internet Directoryパスワードではなく）Oracle CM SDK固有のパスワードを使用して、選択したプロトコル・サーバーのユーザーを認証します。

この画面でプロトコル・サーバーを選択した場合、これらのプロトコルにアクセスするすべてのユーザーにOracle CM SDK固有のパスワードを作成する必要があります。パスワードを作成しないと、プロトコル・サーバーはこれらのユーザーを認証できません。Oracle CM SDK固有のパスワードを作成する方法については、「Oracle CM SDK固有のパスワード」を参照してください。
「次へ」をクリックして続行します。「サブスクライバ」画面が表示されます。

画像の説明

資格証明マネージャがユーザーを認証するサブスクライバを選択します。

Oracle Internet Directoryは、アプリケーション・サービス・プロバイダ（ASP）またはホスティング対象のモデルをサポートし、これらによって複数の組織が同じディレクトリ・サービスを使用できるようになります。このような環境で業務を行っていない場合、自身の企業がこのページに表示される唯一のサブスクライバ名となります。これがデフォルトのサブスクライバです。

複数のサブスクライバ環境の場合、デフォルト以外のサブスクライバのユーザーは、Oracle CM SDKにログインする際に「user_name@subscriber_name」（jsmith@subscriber2など）と入力する必要があります。デフォルト・サブスクライバのユーザーは、通常のユーザー名のみでログインできます。

デフォルト・サブスクライバは、Oracle Internet Directoryで指定します。詳細は、『Oracle Internet Directory管理者ガイド』を参照してください。

注意
この画面で選択したサブスクライバは、サービス構成プロパティのIFS.SERVICE.CREDENTIALMANAGER.Oid.Subscribersにも表示されます。このプロパティは、Oracle CM SDK Credential Manager Configuration Assistantによって自動的に更新されます。サービス構成プロパティの詳細は、付録Bを参照してください。

「次へ」をクリックして続行します。「サマリー」画面に、指定した作成操作のリストが表示されます。
「構成」をクリックします。資格証明マネージャが、指定された仕様に基づいて作成されます。

構成後のApplication Server ControlおよびOracle CM SDKマネージャでの作業

Oracle CM SDK Credential Manager Configuration Assistant（ifscmca）を使用して新しい資格証明マネージャを作成したら、次の作業を行う必要があります。

新しい資格証明マネージャに基づいてサービスを初期化するため、HTTPノードを再起動します。Application Server Controlを使用するか、次のOPMNコマンドを使用します。
```
$ORACLE_HOME/opmn/bin/opmnctl restartproc process-type=OC4J_iFS_cmsdk
```
Oracle CM SDKドメインを再起動します。Application Server Controlを使用するか、$ORACLE_HOME/ifs/cmsdk/binから次のifsctlコマンドを実行します。
```
ifsctl stop [domain]
ifsctl start [domain]
```
値ドメインCredentialManagersに新しい資格証明マネージャを登録します。

適切な値ドメインに新しい資格証明マネージャを登録する手順は、次のとおりです。

Oracle CM SDKマネージャで、「拡張」タブをクリックします。
サイド・ナビゲーション・バーで、「値ドメイン」をクリックします。
値ドメイン「CredentialManagers」を検索し、その名前をクリックします。
「ステップ1/3」ページで「次へ」をクリックします。
「ステップ2/3」ページで「次へ」をクリックします。
「ステップ3/3」ページの「列挙値」フィールドに新しい資格証明マネージャの名前を入力し、「追加」をクリックします。
「終了」をクリックします。

資格証明マネージャ設定の変更

Oracle CM SDK Credential Manager Configuration Assistantを使用して、資格証明マネージャの設定を編集できます。このためには、Oracle CM SDK Credential Manager Configuration Assistantを起動し、「既存の資格証明マネージャ」画面で「変更」を選択します。資格証明マネージャのパラメータについては、「資格証明マネージャの作成」を参照してください。

資格証明マネージャの削除

Oracle CM SDK Credential Manager Configuration Assistantを使用して、資格証明マネージャを削除できます。このためには、Oracle CM SDK Credential Manager Configuration Assistantを起動し、「既存の資格証明マネージャ」画面で「削除」を選択します。資格証明マネージャのパラメータの詳細は、「資格証明マネージャの作成」を参照してください。

Oracle CM SDKからOracle Internet Directoryへのユーザーの移行

Oracle Internet Directoryのユーザー移行ツール（ifsmigrateusers2oid）を使用すると、既存のOracle CM SDKユーザーをOracle CM SDK資格証明マネージャからOID資格証明マネージャに移行できます。このツールはコマンド・プロンプトから起動され、パラメータとして入力のファイル名を指定します。すべてのユーザーを移行することも、特定のユーザーのみを移行することもできます。Oracle CM SDKユーザーをOID資格証明マネージャに移行する前に、Oracle Internet DirectoryがOracle CM SDKユーザーのパスワードをサポートしているかどうかを確認してください。

このツールは、Oracle CM SDKインスタンスのパラメータを格納したテキスト・ファイルとともに動作します。このテキスト・ファイルには、Oracle CM SDKスキーマ・パスワード、Oracle CM SDK管理者アカウントおよびパスワード、DBA権限を持つデータベース・アカウントが含まれます（他のパラメータについては表8-1を参照）。

$ORACLE_HOME/ifs/cmsdk/admin/config/ディレクトリに、このツールで使用できるサンプルのテキスト・ファイルSampleOidUserMigration.defが用意されています。このサンプル・ファイルのコピーを作成し、使用しているインスタンスにあわせて変更できます。このツールを使用すると、次の処理を行うことができます。

特定のOracle CM SDKサービスに関連付けられたIfsCredentialManager内のすべてのユーザーを移行する。
ファイルの末尾に記載された特定のユーザーのみを移行する。
IfsCredentialManager内のすべてのユーザーをリスト表示する。

これら3つのアクションのいずれかを、テキスト・ファイルの"Action = ..."という行に指定します。たとえば、ファイル内に"Action = LIST"と指定すると、SourceCredentialManager内のすべてのユーザーのリストが出力ファイルOidUserMigration.out内に生成されます。次に、このファイルの出力をパラメータ・ファイルに取り込み、MIGRATEアクションを指定することで、一部のユーザーのみを選択的に移行することができます。

ログ・メッセージの出力ファイルの名前についてなど、詳細はファイル内のコメントおよび使用上の注意を参照してください。以降では、概要のみを説明します。

注意
ifsmigrateusers2oidスクリプトを実行するには、その他すべてのOracleソフトウェアをその中間層ホストにインストールおよび構成したOSユーザー（通常はoracle）としてログインする必要があります。

次のディレクトリまでナビゲートします。
```
$ORACLE_HOME/ifs/cmsdk/admin/config/
```
テキスト・エディタでSampleOidUserMigration.defファイルを開きます。
このファイルを別の名前で保存します。次に例を示します。
```
moveallifsusers.def
```

新しく保存したファイルで、使用しているOracle CM SDKインスタンスにあわせてパラメータを変更します。行頭のセミコロン（;）は、その行がコメント行であることを表します。次の表の指示に従ってセミコロンのみを削除します。

表8-1 `SampleOidUserMigration.def`のパラメータ

パラメータ	デフォルト値	注記
`Username`	`システム`	コメント記号（;）を削除します。
`Password`	`manager9ifs`	コメント記号（;）を削除し、実際の`system`パスワードに値を変更します。
`Service`	`IfsDefault`	コメント記号（;）を削除します。
`SchemaPassword`	`ifssys`	コメント記号（;）を削除し、実際のOracle CM SDKスキーマのパスワードに値を変更します。
`DatabaseUserName`	`sys`	コメント記号（;）を削除し、必要に応じて、DBA権限のある他のデータベース・ユーザー・アカウントに値を変更します。
`DatabasePassword`	`change_on_install`	コメント記号（;）を削除し、実際のデータベース・ユーザーのパスワードに値を変更します。
`Action`	`MIGRATE`	`SourceCredentialManager`内のすべてのユーザーを`TargetCredentialManager`に移行する場合は、`MIGRATE_ALL`に変更します。`SourceCredentialManager`内のすべてのOracle CM SDKユーザーのリストを生成する場合は、`LIST`に変更します。
`OutputFile`	`OidUserMigration.out`	`LIST`アクションの場合は、`SourceCredentialManager`内のすべてのユーザーが記載されたテキスト・ファイルが作成されます。`MIGRATE`アクションおよび`MIGRATE_ALL`アクションの場合は、正常に移行できなかったユーザーとその理由が記載されたテキスト・ファイルが作成されます。
`SourceCredentialManager`	`Ifs`	Serviceに関連付けられた`IfsCredentialManager`。この値は変更しません。
`TargetCredentialManager`	`Oid`	構成時にOracle CM SDK Credential Manager Configuration Assistantで指定した`OidCredentialManager`の名前に変更します。これは、「新規資格証明マネージャの作成」画面の「資格証明マネージャ名」フィールドに入力した名前です。

このファイルの名前をパラメータとして指定して、$ORACLE_HOME/ifs/cmsdk/binからユーザー移行コマンド（ifsmigrateusers2oidスクリプト）を実行します。次に例を示します。
```
ifsmigrateusers2oid moveallifsusers.def
```
すべてのユーザーが正常に移行されているかどうかを、出力ファイル（OidUserMigration.out）で確認します（アクションがMIGRATE_ALLまたはMIGRATEの場合）。

注意
.defファイルにはパスワード情報が含まれているので、ユーザーの移行が終了したら必ずこのファイルを削除してください。