2 コネクタのデプロイ

コネクタをデプロイするには次の手順を実行します。

• 手順1: デプロイ要件の確認

• 手順2: ターゲット・システムの構成

• 手順3: コネクタ・ファイルおよび外部コードのコピー

• 手順4: Oracle Identity Managerサーバーの構成

• 手順5: コネクタのXMLファイルのインポート

• 手順6: リコンシリエーションの構成

• 手順7: アダプタのコンパイル

• 手順8: SSLの構成

Microsoft Active Directoryの複数のインストールに対応するようにコネクタを構成する場合は、次の手順を実行します。

• ターゲット・システムの複数のインストールに対するコネクタの構成

Microsoft Active Directoryのパスワード同期モジュールをインストールして使用する場合は、次の手順を実行します。

• コネクタおよびパスワード同期モジュールの構成

Oracle Identity Managerリリース9.0.1.3を使用している場合は、次の手順を実行します。

• Oracle Identity Managerリリース9.0.1.3のコネクタの構成

手順1: デプロイ要件の確認

次の表に、コネクタのデプロイ要件を示します。

	要件
Oracle Identity Manager	Oracle Identity Managerリリース8.5.3以上
ターゲット・システム	Microsoft Active Directoryサーバー（Microsoft Windows 2000または2003）
ターゲット・システムのホスト・プラットフォーム	ターゲット・システムのホスト・プラットフォームは次のいずれかです。 Microsoft Windows 2000 with Service Pack 4以上 Microsoft Windows 2003
その他のソフトウェア	証明書サービス
外部コード	JNDI LDAP Boosterパッケージ（ldapsdk-4.1.jar）
ターゲット・システムのユーザー・アカウント	Microsoft Windows 2000または2003 Server（ドメイン・コントローラ）の管理者 「ITリソースの定義」の項の手順を実行する際に、このユーザー・アカウントの資格証明を指定します。

手順2: ターゲット・システムの構成

親組織がターゲット・サーバーにインストールにされていることを確認してください。親組織は、対応するITリソースでRoot Contextパラメータの値として指定されます。このパラメータの詳細は、「ITリソースの定義」を参照してください。

手順3: コネクタ・ファイルおよび外部コードのコピー

コピーするコネクタのファイルと外部コードのファイル、およびコピーする必要があるディレクトリを次の表に示します。

注意: この表の最初の列に示すディレクトリ・パスは、インストール・メディアの次のディレクトリでのコネクタ・ファイルの場所に対応しています。 Directory Servers\Microsoft Active Directory\Microsoft Active Directory Base これらのファイルの詳細は、「コネクタを構成するファイルおよびディレクトリ」の項を参照してください。

	コピー先ディレクトリ
extディレクトリにあるファイル	OIM_home\xellerate\ThirdParty
lib\xliActiveDirectory.jar	OIM_home\xellerate\JavaTasks OIM_home\xellerate\ScheduleTask
lib\xliADRecon.jar	OIM_home\xellerate\JavaTasks OIM_home\xellerate\ScheduleTask
resourcesディレクトリのファイル	OIM_home\xellerate\connectorResources
scriptsディレクトリにあるファイル	OIM_home\xellerate\scripts install.bat（またはinstall.sh）ファイルをコピーした後で、テキスト・エディタを使用して開き、JDKディレクトリの実際の場所をファイルに指定します。
testディレクトリにあるディレクトリとファイル	OIM_home\xellerate\test
xmlディレクトリにあるファイル	OIM_home\xellerate\XLIntegrations\ActiveDirectory\xml

注意: Oracle Identity Managerをクラスタ環境にインストールするときは、インストール・ディレクトリの内容をクラスタの各ノードにコピーします。同じく、connectorResourcesディレクトリとJARファイルも、クラスタの各ノードの対応するディレクトリにコピーする必要があります。

手順4: Oracle Identity Managerサーバーの構成

Oracle Identity Managerサーバーの構成には、次の手順があります。

注意: クラスタ環境では、クラスタの各ノードでこの手順を実行する必要があります。

• 必要な入力ロケールへの変更

• サーバー・キャッシュからのコネクタ・リソース・バンドル関連コンテンツの消去

• ロギングの有効化

必要な入力ロケールへの変更

必要な入力ロケール（言語および国の設定）に変更するには、必要なフォントのインストールと必要な入力ロケールの設定を行います。

必要な入力ロケールを設定するには、次のようにします。

注意: 使用しているオペレーティング・システムによっては、この手順の実行方法が異なる場合があります。

1. 「コントロール パネル」を開きます。

2. 「地域のオプション」をダブルクリックします。

3. 「地域のオプション」ダイアログ・ボックスの「入力ロケール」タブで、使用する入力ロケールを追加してから、その入力ロケールに切り替えます。

サーバー・キャッシュからのコネクタ・リソース・バンドル関連コンテンツの消去

OIM_home\xellerate\connectorResourcesディレクトリ内に新しいリソース・バンドルを追加するたび、または既存のリソース・バンドルで変更を行うたびに、コネクタ・リソース・バンドルに関連するコンテンツをサーバー・キャッシュから消去する必要があります。

サーバー・キャッシュからのコネクタ・リソース・バンドルに関連するコンテンツを消去するには、次のようにします。

1. コマンド・ウィンドウで、OIM_home\xellerate\binディレクトリに移動します。

2. 次のいずれかのコマンドを入力します。

   
   

   注意: このステップを実行する前にステップ1を実行する必要があります。コマンドを次のように実行すると、例外がスローされます。 OIM_home\xellerate\bin\batch_file_name

   
   

   • Microsoft Windowsの場合:

     PurgeCache.bat ConnectorResourceBundle
     
     

   • UNIXの場合:

     PurgeCache.sh ConnectorResourceBundle
     
     

   このコマンドのConnectorResourceBundleは、サーバー・キャッシュから削除できるコンテンツ・カテゴリの1つです。その他のコンテンツ・カテゴリの詳細は、次のファイルを参照してください。

   OIM_home\xellerate\config\xlConfig.xml
   

注意: ステップ2の実行時にスローされる例外は無視できます。

ロギングの有効化

ロギングを有効化すると、Oracle Identity Managerはプロビジョニングおよびリコンシリエーション操作の過程で発生するイベントについての情報をログ・ファイルに自動的に格納します。ロギングを行うイベントのタイプを指定するには、ログ・レベルを次のいずれかに設定します。

• ALL

  このレベルでは、すべてのイベントのロギングが有効化されます。

• DEBUG

  このレベルでは、デバッグに役立つ詳細なイベントに関する情報のロギングが有効化されます。

• INFO

  このレベルでは、アプリケーションの進行状況を粗密に選択した情報メッセージのロギングが有効化されます。

• WARN

  このレベルでは、障害を引き起こす可能性のある状況に関する情報のロギングが有効化されます。

• ERROR

  このレベルでは、アプリケーションを続行できる場合があるエラー・イベントに関する情報のロギングが有効化されます。

• FATAL

  このレベルでは、アプリケーションの機能停止の原因となる可能性がある、非常に重大なエラー・イベントに関する情報のロギングが有効化されます。

• OFF

  このレベルでは、すべてのイベントのロギングが無効化されます。

ログ・レベルおよびログ・ファイル・パスを設定するファイルは、使用する次のアプリケーション・サーバーによって異なります。

• JBoss Application Serverの場合

  ロギングを有効にするには、次のようにします。

  1. 次の行をOIM_home\xellerate\config\log.propertiesファイルに追加します。

     log4j.logger.XELLERATE=log_level
     
     

  2. この行で、log_levelを、設定するログ・レベルに置換します。

     次に例を示します。

     log4j.logger.XELLERATE=INFO
     
     

  ロギングを有効にすると、ログ情報は次のファイルに書き込まれます。

  JBoss_home\server\default\log\server.log
  
  

• IBM WebSphereの場合

  ロギングを有効にするには、次のようにします。

  1. 次の行をOIM_home\xellerate\config\log.propertiesファイルに追加します。

     log4j.logger.XELLERATE=log_level
     
     

  2. この行で、log_levelを、設定するログ・レベルに置換します。

     次に例を示します。

     log4j.logger.XELLERATE=INFO
     
     

  ロギングを有効にすると、ログ情報は次のファイルに書き込まれます。

  WebSphere_home\AppServer\logs\server_name\startServer.log
  
  

• BEA WebLogicの場合

  ロギングを有効にするには、次のようにします。

  1. 次の行をOIM_home\xellerate\config\log.propertiesファイルに追加します。

     log4j.logger.XELLERATE=log_level
     
     

  2. この行で、log_levelを、設定するログ・レベルに置換します。

     次に例を示します。

     log4j.logger.XELLERATE=INFO
     
     

  ロギングを有効にすると、ログ情報は次のファイルに書き込まれます。

  WebLogic_home\user_projects\domains\domain_name\server_name\server_name.log
  
  

• OC4Jの場合

  ロギングを有効にするには、次のようにします。

  1. 次の行をOIM_home\xellerate\config\log.propertiesファイルに追加します。

     log4j.logger.XELLERATE=log_level
     
     

  2. この行で、log_levelを、設定するログ・レベルに置換します。

     次に例を示します。

     log4j.logger.XELLERATE=INFO
     
     

  ロギングを有効にすると、ログ情報は次のファイルに書き込まれます。

  OC4J_home\opmn\logs\default_group~home~default_group~1.log
  
  

手順5: コネクタのXMLファイルのインポート

コネクタのXMLファイルを次の順序でインポートしてください。

1. xliADOrganizationObject_DM.xml

2. xliADGroupObject_DM.xml

3. xliADUserObject_DM.xml

4. XliActiveDirectoryScheduleTask_DM.xml

注意: コネクタ・ファイルを指定した順序でインポートしないと、コネクタが機能しない場合があります。

コネクタのXMLファイルをOracle Identity Managerにインポートするには、次のようにします。

1. Oracle Identity Manager管理およびユーザー・コンソールを開きます。

2. 左のナビゲーション・バーの「デプロイメント管理」リンクをクリックします。

3. 「デプロイメント管理」の下の「インポート」リンクをクリックします。ファイルを検索するダイアログ・ボックスが表示されます。

4. xliADOrganizationObject_DM.xmlファイルを検索して開きます。このファイルはOIM_home\xellerate\XLIntegrations\ActiveDirectory\xmlディレクトリにあります。このXMLファイルの詳細は、「ファイル・プレビュー」ページに表示されます。

5. 「ファイルの追加」をクリックします。「置換」ページが表示されます。

6. 「次へ」をクリックします。「確認」ページが表示されます。

7. 「次へ」をクリックします。AD Server ITリソースの「ITリソース・インスタンス・データの提供」ページが表示されます。

8. AD Server ITリソースのパラメータの値を指定します。指定する値の詳細は、「ITリソースの定義」で、オペレーティング・システムがMicrosoft Windows 2000かMicrosoft Windows 2003かに応じて、該当する表を参照してください。

9. 「次へ」をクリックします。AD Server ITリソース・タイプの新しいインスタンスの「ITリソース・インスタンス・データの提供」ページが表示されます。

10. 「スキップ」をクリックして、他のITリソースを定義しないことを指定します。「確認」ページが表示されます。

    
    

    関連資料: その他のITリソースを定義する場合、手順は『Oracle Identity Manager Toolsリファレンス・ガイド』を参照してください。

    
    

11. 「選択内容の表示」をクリックします。

    XMLファイルの内容が「インポート」ページに表示されます。ノードの横に十字形のアイコンが表示されることがあります。各ノードを右クリックして「削除」を選択し、それらのノードを削除します。

12. 「インポート」をクリックします。コネクタのファイルがOracle Identity Managerにインポートされます。

13. 同じ手順を実行し、コネクタの残りのXMLファイルを指定の順序でインポートします。

    
    

    注意: どのXMLファイルをインポートする場合でも、定義する必要のあるITリソースは同じです。したがって、ITリソースの定義は、インポートする最初のXMLファイルで行うのみで十分です。

    
    

コネクタのXMLファイルをインポートしたら、「手順6: リコンシリエーションの構成」の項に進みます。

ITリソースの定義

この項では、次のオペレーティング・システムのITリソース・パラメータ値を示します。

• Microsoft Windows 2000

• Microsoft Windows 2003

Microsoft Windows 2000

次の表に、Microsoft Windows 2000の場合の、AD Server ITリソースのパラメータの値を示します。

	説明
Admin FQDN	管理者に対応する完全修飾ドメイン名。 書式: cn=ADMIN_LOGIN,cn=Users,dc=DOMAIN サンプル値: cn=administrator,cn=Users,dc=adomain
Admin Login	OU/ユーザーの作成に使用される管理者アカウントのユーザーID。
Admin Password	OU/ユーザーの作成に使用される管理者アカウントのパスワード。
Root Context	親またはルート組織の完全修飾ドメイン名。 たとえば、ルートの接尾辞などです。 書式: ou= ORGANIZATION_NAME,dc=DOMAIN サンプル値: ou=Adapters, dc=adomain
Server Address	Microsoft Active DirectoryがインストールされているターゲットMicrosoft Windows 2000コンピュータのホスト名またはIPアドレス。 サンプル値: w2khost
Last Modified Time Stamp	最後にADユーザー・リコンシリエーションの実行が完了した日付と時間。 リコンシリエーション・エンジンは、ADユーザー・リコンシリエーションの各実行時、この属性に自動的に値を埋め込みます。 デフォルト値: 0
Last Modified Time Stamp Group	最後にADグループ・リコンシリエーションの実行が完了した日付と時間。 リコンシリエーション・エンジンは、ADグループ・リコンシリエーションの各実行時、この属性に自動的に値を埋め込みます。 デフォルト値: 0
User SSL	Oracle Identity ManagerとMicrosoft Active Directoryとの間の通信を保護するために、SSLを使用するかどうかを指定します。 デフォルト値: false 関連項目: このパラメータをfalseに設定することによって生じる制限の詳細は第4章の既知の問題リストを参照してください。 注意: SSLを有効化してターゲット・システムとの通信を保護することをお薦めします。
SSL Port Number	Microsoft Active DirectoryサーバーでSSLが実行されているポート。 デフォルト値: 636
AtMap ADUser	Microsoft Active Directoryユーザーの属性マップ名。 デフォルト値: AtMap.AD
AtMap Group	Microsoft Active Directoryグループの属性マップ名。 デフォルト値: AtMap.ADGroup
Target Locale: Country	国コード デフォルト値: US 注意: 値は大文字で指定してください。
Target Locale: Language	言語コード デフォルト値: en 注意: 値は小文字で指定してください。
CustomizedReconQuery	リコンシリエーションのカスタマイズに使用するLDAP問合せを指定します。リコンシリエーション・エンジンはこのLDAP問合せを使用して、ターゲット・システムからフェッチする必要があるレコードをフィルタします。 サンプル値: memberOf=cn=AcmeAdmin,cn=Users,dc=GLOBAL,dc=com 注意: この値は、「ユーザー・リコンシリエーション・スケジュール済タスク」で定義するGroupObject属性とともに使用できます。
ADDisableAttr Lookup Definition	Microsoft Active Directoryで定義した必須でないユーザー属性を示した参照表の名前を指定します。この属性は、Use Disable Attrパラメータとともに使用します。 注意: Microsoft Active Directoryの必須でない属性はプロビジョニングの際にNULL値を受け入れます。Microsoft Active Directoryの必須でない属性を含む参照定義を手動で作成する必要があります。この参照定義に追加する属性ごとに、コード・キーおよびデコード・キーの両方の値をその属性の名前に設定してください。 参照定義の作成の詳細は、『Oracle Identity Managerデザイン・コンソール・ガイド』を参照してください。
Use Disable Attr	ユーザーがプロビジョニング操作で無効になった場合に、Microsoft Active Directoryで定義した必須でない属性をNULLに設定するかどうかを指定します。このパラメータの値はTrueまたはFalseです。デフォルト値は、Falseです。 注意: このパラメータは、ADDisableAttr Lookup Definitionパラメータの値を指定した場合にしか使用できません。
AD Sync installed (yes/no)	Microsoft Active Directoryのパスワード同期モジュールをインストールして使用する場合は、このパラメータの値にyesを指定します。それ以外の場合は、noを指定します。デフォルト値は、noです。
OIM User UDF	Oracle Identity Managerで作成するユーザー定義フィールドの名前を指定します。 AD Sync installed (yes/no)パラメータの値にyesを指定した場合にのみこのパラメータの値を指定してください。 注意: 指定するのは列名で、Oracle Identity Managerでカスタム属性を追加する際に入力するフィールド・ラベルではありません。たとえば、ラベルPWDCHANGEDINDICATIONを入力した場合に指定する列名はUSR_UDF_PWDCHANGEDINDICATIONです。Oracle Identity Managerは、列を作成するときに接頭辞USR_UDF_を追加します。
Custom Attribute Name	Microsoft Active Directoryで作成するカスタム属性の名前を指定します。 AD Sync installed (yes/no)パラメータの値にyesを指定した場合にのみこのパラメータの値を指定してください。

これらのITリソース・パラメータの値を指定したら、この手順のステップ9に進んで、コネクタのXMLファイルをインポートします。

Microsoft Windows 2003

次の表に、Microsoft Windows 2003の場合の、AD Server ITリソースのパラメータの値を示します。

	説明
Admin FQDN	管理者に対応する完全修飾ドメイン名。 書式: ADMIN_LOGIN@DOMAIN サンプル値: [e-mail]
Admin Login	OU/ユーザーの作成に使用される管理者アカウントのユーザーID。
Admin Password	OU/ユーザーの作成に使用される管理者アカウントのパスワード。
Root Context	通常、これは親またはルート組織の完全修飾ドメイン名です。 たとえば、ルートの接尾辞などです。 書式: ou= ORGANIZATION_NAME,dc=DOMAIN サンプル値: ou=Adapters,dc=adomain,dc=com
Server Address	Microsoft Active DirectoryがインストールされているターゲットMicrosoft Windows 2003コンピュータのホスト名またはIPアドレス。 サンプル値: w2003host
Last Modified Time Stamp	最後にADユーザー・リコンシリエーションの実行が完了した日付と時間。 リコンシリエーション・エンジンは、ADユーザー・リコンシリエーションの各実行時、この属性に自動的に値を埋め込みます。 デフォルト値: 0
Last Modified Time Stamp Group	最後にADグループ・リコンシリエーションの実行が完了した日付と時間。 リコンシリエーション・エンジンは、ADグループ・リコンシリエーションの各実行時、この属性に自動的に値を埋め込みます。 デフォルト値: 0
User SSL	Oracle Identity ManagerとMicrosoft Active Directoryとの間の通信を保護するために、SSLを使用するかどうかを指定します。 デフォルト値: false 関連項目: このパラメータをfalseに設定することによって生じる制限の詳細は第4章の既知の問題リストを参照してください。 注意: SSLを有効化してターゲット・システムとの通信を保護することをお薦めします。
SSL Port Number	Microsoft Active DirectoryサーバーでSSLが実行されているポート。 デフォルト値: 636
AtMap ADUser	Microsoft Active Directoryユーザーの属性マップ名。 デフォルト値: AtMap.AD
AtMap Group	Microsoft Active Directoryグループの属性マップ名。 デフォルト値: AtMap.ADGroup
Country	国コード デフォルト値: US 注意: 値は大文字で指定してください。
Language	言語コード デフォルト値: en 注意: 値は小文字で指定してください。
CustomizedReconQuery	リコンシリエーションのカスタマイズに使用するLDAP問合せを指定します。リコンシリエーション・エンジンはこのLDAP問合せを使用して、ターゲット・システムからフェッチする必要があるレコードをフィルタします。 サンプル値: memberOf=cn=AcmeAdmin,cn=Users,dc=GLOBAL,dc=com 注意: この値は、「ユーザー・リコンシリエーション・スケジュール済タスク」で定義するGroupObject属性とともに使用できます。
ADDisableAttr Lookup Definition	Microsoft Active Directoryで定義した必須でないユーザー属性を示した参照表の名前を指定します。この属性は、Use Disable Attrパラメータとともに使用します。 注意: Microsoft Active Directoryの必須でない属性はプロビジョニングの際にNULL値を受け入れます。Microsoft Active Directoryの必須でない属性を含む参照定義を手動で作成する必要があります。この参照定義に追加する属性ごとに、コード・キーおよびデコード・キーの両方の値をその属性の名前に設定してください。 参照定義の作成の詳細は、『Oracle Identity Managerデザイン・コンソール・ガイド』を参照してください。
Use Disable Attr	ユーザーがプロビジョニング操作で無効になった場合に、Microsoft Active Directoryで定義した必須でない属性をNULLに設定するかどうかを指定します。このパラメータの値はTrueまたはFalseです。 注意: このパラメータは、ADDisableAttr Lookup Definitionパラメータの値を指定した場合にしか使用できません。
AD Sync installed (yes/no)	Microsoft Active Directoryのパスワード同期モジュールをインストールして使用する場合は、このパラメータの値にyesを指定します。それ以外の場合は、noを指定します。デフォルト値は、noです。
OIM User UDF	Oracle Identity Managerで作成するユーザー定義フィールドの名前を指定します。 AD Sync installed (yes/no)パラメータの値にyesを指定した場合にのみこのパラメータの値を指定してください。 注意: 指定するのは列名で、Oracle Identity Managerでカスタム属性を追加する際に入力するフィールド・ラベルではありません。たとえば、ラベルPWDCHANGEDINDICATIONを入力した場合に指定する列名はUSR_UDF_PWDCHANGEDINDICATIONです。Oracle Identity Managerは、列を作成するときに接頭辞USR_UDF_を追加します。
Custom Attribute Name	Microsoft Active Directoryで作成するカスタム属性の名前を指定します。 AD Sync installed (yes/no)パラメータの値にyesを指定した場合にのみこのパラメータの値を指定してください。

これらのITリソース・パラメータの値を指定したら、この手順のステップ9に進んで、コネクタのXMLファイルをインポートします。

手順6: リコンシリエーションの構成

リコンシリエーションのスケジュール済タスクは、XliActiveDirectoryScheduleTask_DM.xmlファイルを「手順5: コネクタのXMLファイルのインポート」でインポートしたときに作成されます。

リコンシリエーションの構成のために実行する必要があるその他のタスクについて、次の項で説明します。

• リコンサイルされるフィールドの指定

• 信頼できるソース・リコンシリエーションの構成

• リコンシリエーションのスケジュール済タスクの作成

Oracle Identity Managerリリース9.0.1を使用している場合は、次の手順を実行してリコンシリエーションを有効にする必要があります。

• Oracle Identity Managerリリース9.0.1のリコンシリエーションの有効化

リコンサイルされるフィールドの指定

リコンサイルする必要のあるフィールドを選択できます。これには次の手順を実行します。

1. Oracle Identity Manager Design Consoleを開きます。

2. 「Xellerate Administration」フォルダを開きます。

3. 「Lookup Definition」をダブルクリックします。

4. Lookup.ADReconciliation.FieldMap参照定義を検索するために、この名前を「Code」フィールドに入力して、「Query」アイコンをクリックします。

5. Lookup.ADReconciliation.FieldMapフィールド・マップを開くには、「Lookup.ADReconciliation.FieldMap」をダブルクリックします。

6. 必要なフィールドをLookup.ADReconciliation.FieldMapフィールド・マップに追加します。

   次のフィールドがLookup.ADReconciliation.FieldMapフィールド・マップにデフォルトとして提供されます。

   • memberOf

   • instanceType

   • Organization

   • givenName

   • sAMAccountName

   • IT Resource

   • objectGUID

   • name

   • password

     
     

     注意: コネクタは、Oracle Identity Managerでパスワードのリコンシリエーションおよび格納はしません。コネクタのこの機能の詳細は、第4章「既知の問題」を参照してください。

     
     

   • sn

   • cn

   • whenChanged

   • distinguishedName

   • initials

   • displayName

   
   

   注意: whenChangedフィールドは必須フィールドです。フィールド・マップに必ず指定してください。

   
   

信頼できるソース・リコンシリエーションの構成

注意: この手順のこのステップは、信頼できるソース・リコンシリエーションを構成する場合にのみ実行します。信頼できるソース・リコンシリエーションに構成できるのは、1つのコネクタのみです。信頼できるソースが別に構成されている場合に、信頼できるソース・リコンシリエーションをこのコネクタで構成すると、両方のコネクタでリコンシリエーションが機能しなくなります。 リコンシリエーションの構成の概念の詳細は、『Oracle Identity Manager Connectorフレームワーク・ガイド』を参照してください。

Oracle Identity Manager Design Consoleを使用して、信頼できるソース・リコンシリエーションを次のように構成します。

1. 「Resource Objects」フォームで、リコンサイルするフィールドを次のように選択します。

   1. 「Resource Management」フォルダを開きます。

   2. 「Resource Objects」をダブルクリックします。

   3. Xellerate Userを「Name」フィールドに入力し、「Query」アイコンをクリックします。

   4. 表示されるリストの「Xellerate User」をダブルクリックします。

   5. 「Object Reconciliation」タブで、必要なリコンシリエーション・フィールドを追加します。「Xellerate User」フォームの必須フィールドへの入力を指定するために必要なすべてのリコンシリエーション・フィールドを追加してください。たとえば、「User Login」や「First Name」などのフィールドです。ただし、「Password」フィールドは必須フィールドですが、値を指定する必要はありません。

2. 「Process Definition」フォームで、リコンシリエーション・フィールド・マッピングを次のように作成します。

   1. 「Process Management」フォルダを開きます。

   2. 「Process Definition」をダブルクリックします。

   3. Xellerate Userを「Name」フィールドに入力し、「Query」アイコンをクリックします。

   4. 「Reconciliation Field Mappings」タブで、必要なリコンシリエーション・フィールド・マッピングを追加します。「User Defined Process」フォームのすべての必須フィールドをマッピングしてください。

3. 「Reconciliation Rules」フォームで、Xellerate Userオブジェクトのルールを次のように作成します。

   1. 「Development Tools」フォルダを開きます。

   2. 「Reconciliation Rules」フォームをダブルクリックします。

   3. Xellerate Userオブジェクトのルールと必要なルール要素を作成します。

      
      

      関連資料: 詳細は、『Oracle Identity Managerデザイン・コンソール・ガイド』を参照してください。

      
      

   4. 「Active」チェック・ボックスを選択して、ルールを有効にします。

リコンシリエーションのスケジュール済タスクの作成

リコンシリエーションのスケジュール済タスクを作成するには、次のようにします。

1. Oracle Identity Manager Design Consoleを開きます。

2. 「Xellerate Administration」フォルダを開きます。

3. 「Task Scheduler」を選択します。

4. 「Find」をクリックします。事前定義されたスケジュール済タスクの詳細が2つのタブに表示されます。

5. 最初のスケジュール済タスクについて、「Max Retries」フィールドに数値を入力します。この数はOracle Identity Managerがタスクを完了するために試行する回数です。この数を超えると、ERRORステータスがタスクに割り当てられます。

6. 「Disabled」チェック・ボックスと「Stop Execution」チェック・ボックスが選択されていないことを確認します。

7. 「Start」リージョンで「Start Time」フィールドをダブルクリックします。表示される日付時間エディタで、タスクを実行する日付と時間を選択します。

8. 「Interval」リージョンで、次のスケジュール・パラメータを設定します。

   • タスクを繰り返し実行するように設定するには、「Daily」、「Weekly」、「Recurring Intervals」、「Monthly」または「Yearly」のオプションを選択します。

     「Recurring Intervals」オプションを選択した場合は、タスクを繰り返して実行する間隔も指定する必要があります。

   • タスクを1回のみ実行するように設定するには、「Once」オプションを選択します。

9. スケジュール済タスクの属性の値を指定します。指定する値の詳細は、「スケジュール済タスク属性の値の指定」を参照してください。

   
   

   関連資料: タスク属性の追加および削除の詳細は、『Oracle Identity Managerデザイン・コンソール・ガイド』を参照してください。

   
   

10. 「Save」をクリックします。スケジュール済タスクが作成されます。INACTIVEステータスが「Status」フィールドに表示されますが、これは、タスクが現在実行されていないためです。タスクはステップ7で設定した日時に実行されます。

11. ステップ5〜10を繰り返してもう1つのスケジュール済タスクを作成します。

2つのスケジュール済タスクを定義したら、「Oracle Identity Managerリリース9.0.1のリコンシリエーションの有効化」に進みます。

スケジュール済タスク属性の値の指定

この項では、次のスケジュール済タスクに指定する属性値について説明します。

• 参照フィールド・リコンシリエーション・スケジュール済タスク

• ユーザー・リコンシリエーション・スケジュール済タスク

参照フィールド・リコンシリエーション・スケジュール済タスク

参照フィールド・リコンシリエーション・スケジュール済タスクの次の属性に値を指定する必要があります。

注意: 属性値はインポートしたコネクタのXMLファイルで事前定義されています。変更する属性にのみ値を指定してください。

	説明	デフォルト/サンプル値
Server	Microsoft Active DirectoryサーバーのITリソース・インスタンス名	AD Server
LookupCodeName	リコンサイルされたすべてのグループ名と対応するオブジェクトGUIDを含む参照コード	Lookup.ADReconliation.GroupLookup

スケジュール済タスク属性に値を指定したら、手順のステップ10に進んでスケジュール済タスクを作成します。

ユーザー・リコンシリエーション・スケジュール済タスク

ユーザー・リコンシリエーション・スケジュール済タスクの次の属性に値を指定する必要があります。

注意: 属性値はインポートしたコネクタのXMLファイルで事前定義されています。変更する属性にのみ値を指定してください。これらの属性の詳細は、付録Bを参照してください。

	説明	デフォルト/サンプル値
DeleteRecon	リコンシリエーションの削除を有効にするかどうかを指定します。 値はTrueまたはFalseです。この属性には値を指定する必要があります。	True
UseFieldMapping	FieldLookupCode属性のフィールド・マッピングを使用するかどうかを指定します。 この属性は、特定のフィールドのリコンシリエーションを有効にするために使用されます。値はTrueまたはFalseです。	True
FieldLookupCode	カスタム・リコンシリエーションで使用される参照定義の名前。 この属性は、UseFieldMapping属性がTrueに設定されている場合のみ有効です。	Lookup.ADReconliation.FieldMap
MaintainHierarchy	組織階層をMicrosoft Active Directoryで継続して使用するかどうかを指定します。 値はTrueまたはFalseです。この属性には値を指定する必要があります。	True
XellerateObject	信頼できるリコンシリエーションが実行されるOracle Identity ManagerのXellerate Userリソース・オブジェクト名。 信頼できるリコンシリエーションを実行する場合は、値をXellerate Userに変更してください。実行しない場合は、値をFalseに変更します。 この属性には値を指定する必要があります。	Xellerate User
Object	リコンシリエーションが実行されるOracle Identity ManagerのADユーザー・リソース・オブジェクト名。 ADユーザーのリコンシリエーションを実行する場合は、値をAD Userに変更してください。実行しない場合は、値をFalseに変更します。 この属性には値を指定する必要があります。	AD User
Server	Microsoft Active Directoryサーバーを意味するITリソース・インスタンス名。 この属性には値を指定する必要があります。	AD Server
TransformLookupCode	参照表に保存された変換クラス・マップの参照コード。 この属性は、UseTransformMapping属性がTrueに設定されている場合のみ有効です。	Lookup.ADReconliation.TransformationMap
UseTransformMapping	TransformLookupCode属性を使用してアクセスする変換マッピングを使用する必要があるかどうかを指定します。 値はTrueまたはFalseです。	True
XellerateOrg	リコンサイルされたユーザーが作成されるOracle Identity Manager組織。 この属性には値を指定する必要があります。	Xellerate Users
MultiValueAttributes	リコンサイルするMicrosoft Active Directoryのすべての多値属性のカンマ区切りリスト。 ADグループのリコンシリエーションでは、memberOfを入力します。 この属性には値を指定する必要があります。	memberOf
GroupObject	グループのリコンシリエーションが実行されるOracle Identity ManagerのADグループ・リソース・オブジェクト名。 ADグループのリコンシリエーションを実行する場合は、値をAD Groupに変更してください。実行しない場合は、値をFalseに変更します。 この属性には値を指定する必要があります。	AD Group

スケジュール済タスク属性に値を指定したら、手順のステップ10に進んでスケジュール済タスクを作成します。

Oracle Identity Managerリリース9.0.1のリコンシリエーションの有効化

Oracle Identity Managerリリース9.0.1を使用している場合は、次の手順を実行してリコンシリエーションを有効にする必要があります。

関連資料: 『Oracle Identity Managerデザイン・コンソール・ガイド』

1. 「Design Console」を開きます。

2. 「Process Management」フォルダを開きます。

3. ADユーザーの「Process Definition」フォームを開きます。

4. 「Reconciliation Field Mappings」タブをクリックします。

5. ITリソース・タイプの各フィールドで次の操作を行います。

   1. フィールドをダブルクリックして、そのフィールドの「Edit Reconciliation Field Mapping」ウィンドウを開きます。

   2. 「Key Field for Reconciliation Matching」の選択を解除します。

手順7: アダプタのコンパイル

コネクタのXMLファイルをインポートすると次のアダプタがOracle Identity Managerにインポートされます。

• Chk Process Parent Org

• AD Move OU

• AD Get USNChanged

• AD Get OU USNCR

• Update AD Group Details

• Get Group ObjectGUID Created

• AD Delete Group

• AD Create Group

• Prepopulate AD Group Display Name

• Prepopulate AD Group Name

• check process organization

• AD Set User Password

• AD Set User CN Standard

• AD Set Account Exp Date

• AD remove User From Group

• AD Pwd Never Expires

• AD Must Change PWD

• AD Move User New

• AD Move User

• AD Get ObjectGUID

• AD Enable User

• AD Disable User

• AD Delete User

• AD Create User

• AD Change Attribute

• AD Add User To Group

• AD Prepopulate User Last Name

• AD Prepopulate User Login

• AD Prepopulate User Full Name

• AD Prepopulate User Middle Name

• AD Prepopulate User First Name

これらのアダプタを使用してターゲット・システムでアカウントをプロビジョニングするには、前もってアダプタをコンパイルする必要があります。

「アダプタ・マネージャ」フォームを使用してアダプタをコンパイルするには、次のようにします。

1. 「アダプタ・マネージャ」フォームを開きます。

2. 現在のデータベースにインポートしたすべてのアダプタをコンパイルするには、「すべてをコンパイル」を選択します。

   （すべてではないが）複数のアダプタをコンパイルするには、コンパイルするアダプタを選択します。次に、「選択したものをコンパイル」を選択します。

   
   

   注意: 正常にコンパイルされなかったアダプタのみを再コンパイルするには、「以前の失敗分をコンパイル」をクリックします。そのようなアダプタはコンパイルのステータスがOKになっていません。

   
   

3. 「開始」をクリックします。選択したアダプタがOracle Identity Managerによってコンパイルされます。

4. Oracle Identity Managerがクラスタ環境にインストールされている場合は、OIM_home\xellerate\Adapterディレクトリから、コンパイル済のアダプタをクラスタの他の各ノードの同じディレクトリにコピーします。必要な場合には、その他のノードのアダプタ・ファイルを上書きします。

アダプタの詳細情報を表示するには、次のようにします。

1. 「アダプタ・マネージャ」フォームでアダプタをハイライト表示します。

2. アダプタの行ヘッダーをダブルクリックするか、アダプタを右クリックします。

3. 表示されるショートカット・メニューで「アダプタの起動」を選択します。アダプタの詳細が表示されます。

注意: 一度に1つのアダプタをコンパイルするには、「アダプタ・ファクトリ」フォームを使用します。「アダプタ・ファクトリ」フォームおよび「アダプタ・マネージャ」フォームの使用方法の詳細は、『Oracle Identity Manager Toolsリファレンス・ガイド』を参照してください。

手順8: SSLの構成

注意: これはデプロイのオプションの手順です。 この項では、Microsoft Active DirectoryでSSLを有効化する手順について説明します。

次のタスクを実行して、Oracle Identity ManagerとターゲットのMicrosoft Active Directoryサーバーとの間のSSL接続を構成します。

1. 証明書サービスのインストール

2. LDAPSの有効化

3. Microsoft Active Directory証明書を信頼できる証明書として設定

証明書サービスのインストール

コネクタを使用するには、ホスト・コンピュータで証明書サービスを実行する必要があります。証明書サービスをインストールするには、次のようにします。

1. オペレーティング・システムのインストール・メディアをCD-ROMドライブまたはDVDドライブにセットします。

2. 「スタート」、「設定」、「コントロール パネル」の順にクリックします。

3. 「プログラムの追加と削除」をダブルクリックします。

4. 「Windowsコンポーネントの追加と削除」をクリックします。

5. 「証明書サービス」を選択します。

6. 指示に従い、証明書サービスを開始します。

LDAPSの有効化

ターゲットのMicrosoft Active Directoryサーバーでは、LDAP over SSL（LDAPS）を有効にする必要があります。次の手順で証明書を作成して、LDAPSを有効にします。

注意: 次の手順を実行する場合、エンタープライズCAオプションを使用してください。

1. 「Active Directoryユーザーとコンピュータ」コンソールで、ドメイン・ノードを右クリックし、「プロパティ」を選択します。

2. 「グループ ポリシー」タブをクリックします。

3. 「既定のドメイン ポリシー」を選択します。

4. 「編集」をクリックします。

5. 「コンピュータの構成」、「Windowsの設定」、「セキュリティ設定」、「公開キーのポリシー」の順にクリックします。

6. 「自動証明書要求の設定」を右クリックし、「新規」を選択して、「自動証明書要求」を選択します。ウィザードが開始します。

7. ウィザード上で、「ドメイン コントローラ」テンプレートを適用してポリシーを追加します。

この手順が完了すると、証明書が作成され、LDAPがSSLを使用してポート636で有効になります。

Microsoft Active Directory証明書を信頼できる証明書として設定

Microsoft Active Directory証明書が発行されていない、または認証局（CA）から証明されていない場合は、信頼できる証明書として設定します。このためには、まず証明書をエクスポートしてから、Oracle Identity Managerサーバーのキーストアに信頼できる認証局（CA）の証明書としてインポートしてください。

Microsoft Active Directory証明書のエクスポート

Microsoft Active Directory証明書をエクスポートするには、次のようにします。

1. 「スタート」、「プログラム」、「管理ツール」、「証明機関」の順にクリックします。

2. 作成する認証局を右クリックし、「プロパティ」を選択します。

3. 「全般」タブで、「証明書の表示」をクリックします。

4. 「詳細」タブで、「ファイルにコピー」をクリックします。

5. ウィザード上で、BASE64エンコーディングを使用して証明書（.cer）ファイルを作成します。

Microsoft Active Directory証明書のインポート

Microsoft Active Directory証明書をOracle Identity Managerサーバーの証明書ストアにインポートするには、次のようにします。

注意: クラスタ環境では、クラスタのすべてのノードでこの手順を実行する必要があります。

1. 証明書をOracle Identity Managerサーバーにコピーします。

   IBM WebSphereを使用している場合は、次のファイルもコピーする必要があります。

   • 非クラスタ構成のIBM WebSphereの場合は、次のようにします。

     jsse.jarファイルをWS_home\java\jre\lib\extディレクトリにコピーします。

   • クラスタ構成のIBM WebSphereの場合は、次のようにします。

     jnet.jar、jsse.jarおよびjcert.jarファイルをWS_home\java\jre\lib\extディレクトリにコピーします。

   これらのJARファイルは次のSun Webサイトからダウンロードできます。

   http://java.sun.com/

2. 証明書ファイルのコピー先のディレクトリに移動し、次のようなコマンドを入力します。

   keytool -import -alias alias  -file cer_file  -keystore my_cacerts -storepass password
   
   

   コマンドの説明は次のとおりです。

   • aliasは証明書の別名です（たとえば、サーバー名です）。

   • cer_fileは証明書（.cer）ファイルのフルパスと名前です。

   • my_cacertsは証明書ストアのフルパスと名前です（デフォルトはcacertsです）。

     アプリケーション・サーバー別の証明書ストアのパスを、次の表に示します。

     	証明書ストアの場所
     JBoss Application Server	JBoss_home\jre\lib\security\cacerts
     BEA WebLogic	BEA_home\java\jre\lib\security\cacerts
     IBM WebSphere	非クラスタ構成のIBM WebSphereの場合は、ファイルを次の証明書ストアにインポートする必要があります。 WS_home\java\jre\lib\security\cacerts クラスタ構成のIBM WebSphereの場合は、クラスタの各ノードにある次の証明書ストアにファイルをインポートする必要があります。 WS_home\java\jre\lib\security\cacerts WS_home\etc\DummyServerTrustFile.jks
     Oracle Containers for J2EE (OC4J)	OC4J_home\jdk\jre\lib\security\cacerts

     
     

   • passwordはキーストア・パスワードです（デフォルトはchangeitです）。

   次に例を示します。

   keytool -import -alias thorADCert -file c:\thor\ActiveDir.cer -keystore C:\mydir\java\jre\lib\security\cacerts -storepass changeit
   
   

   
   

   注意: changeitは、Sun JVMに格納されるcacertsファイルのデフォルト・パスワードです。これは、使用するJVMによって異なります。

   
   

3. コマンド・プロンプト・ウィンドウで、この証明書を信頼するかどうか求められたら、YESと入力します。

4. 次のようなコマンドを入力し、証明書のインポートが成功しているかどうかを確認します。

   keytool -list -alias alias -keystore mycacerts -storepass password
   
   

   ステップ2の例では、次のコマンドを使用し、キーストアに証明書をインポートしたときに使用した証明書名（thorADCert）を検索して、証明書のインポートが成功しているかどうかを確認します。

   keytool -list -alias thorADCert -keystore C:\mydir\java\jre\lib\security\cacerts -storepass changeit
   
   
   

5. 証明書ファイルを新しい証明書ストアに登録する場合のみ、この手順を実行してください。

   次の行をjre\lib\security\java.securityファイルに追加します。

   security.provider.N=com.sun.net.ssl.internal.ssl.Provider
   
   

   この行のNはファイルで使用されていない任意の番号です。

6. アプリケーション・サーバーを再起動します。

   
   

   注意: ユーザー・パスワードは、128ビットのSSLを使用しないと設定できません。また、Microsoft Active DirectoryがインストールされたコンピュータでMicrosoft Windows 2000 Service Pack 2（またはそれ以上）またはMicrosoft Windows 2003が実行されている必要があります。

   
   

ターゲット・システムの複数のインストールに対するコネクタの構成

注意: この手順は、Microsoft Active Directoryの複数のインストールに対応するようにコネクタを構成する場合のみ実行します。この手順の各ステップ実行の詳細は、『Oracle Identity Managerデザイン・コンソール・ガイド』を参照してください。

ターゲット・システムの複数のインストールに対してコネクタを構成するには、次のようにします。

1. 各ターゲット・システム・インストールに対して1つのリソースを作成して構成します。

   「IT Resources」フォームは「Resource Management」フォルダにあります。ITリソースは、コネクタのXMLファイルをインポートすると作成されます。このITリソースは、同じリソース・タイプの、残りのITリソース作成用のテンプレートとして使用できます。

2. 各ターゲット・システム・インストールについてリコンシリエーションを構成します。手順は、「手順6: リコンシリエーションの構成」の項を参照してください。ITリソースの指定に使用される属性の変更と、ターゲット・システム・インストールを信頼できるソースとして設定するかどうかの指定のみが必要です。

   Microsoft Active Directoryの単独インストールと複数インストールのいずれも信頼できるソースとして指定できます。

3. 必要であれば、Xellerate Userリソース・オブジェクトに対してリコンサイルされるフィールドを変更します。

管理およびユーザー・コンソールを使用してプロビジョニングを実行するときは、ユーザーをプロビジョニングするMicrosoft Active Directoryインストールに対応するITリソースを指定できます。

コネクタおよびパスワード同期モジュールの構成

Microsoft Active Directoryのコネクタは、次の機能を実行します。

• Oracle Identity Managerで変更したユーザー・アカウント属性（パスワードを除く）を使用したMicrosoft Active Directoryの更新

• Microsoft Active Directoryで変更したユーザー・アカウント属性（パスワードを除く）を使用したOracle Identity Managerの更新

• Oracle Identity Managerで変更したパスワードを使用したMicrosoft Active Directoryの更新（LDAP over SSLが必要）

Microsoft Active Directoryのパスワード同期モジュールは、Microsoft Active Directoryで変更したパスワードを使用してOracle Identity Managerを更新します。

コネクタはOracle Identity Managerサーバーにデプロイされ、モジュールはMicrosoft Active Directoryサーバーにデプロイされます。これらが一緒にデプロイされると（LDAP over SSLとともに）、コネクタおよびパスワード同期モジュールにより、パスワードを含むすべてのユーザー属性の完全な双方向の同期が実現します。

関連資料: 『Oracle Identity Manager Password Synchronization Module for Microsoft Active Directoryインストレーションおよび構成ガイド』

この項の説明は、リリース9.0.3のコネクタおよびパスワード同期モジュールで確認された問題を解決することを目的としています。

• Microsoft Active Directoryでのカスタム属性の作成

• Oracle Identity Managerでのカスタム属性の作成

• ITリソース・パラメータの値の指定

• パスワード変更の際に発生するイベントの順序

Microsoft Active Directoryでのカスタム属性の作成

Microsoft Active Directoryでカスタム属性を作成して、Oracle Identity Managerで行われたパスワード変更をトラッキングするフラグとして機能するようにする必要があります。

次の項では、この手順について説明します。

• Microsoft Active Directoryスキーマ・スナップインのインストールの確認

• カスタム属性の作成

Microsoft Active Directoryスキーマ・スナップインのインストールの確認

カスタム属性を作成するにはMicrosoft Active Directoryスキーマ・スナップインが必要です。カスタム属性を作成する前に、このスナップインがインストールされているかどうか確認する必要があります。

スナップインのインストールを確認するには、次のようにします。

1. Microsoft Active Directoryサーバーで、「スタート」、「ファイル名を指定して実行」の順にクリックします。

2. 次のコマンドを入力して、「OK」をクリックします。

   mmc /a
   
   

Microsoft Active Directoryスキーマ・スナップインがすでにインストールされている場合は、このコマンドを実行する際にそのコンソールが表示されます。

コンソールが表示されない場合は、Microsoft Active Directoryスキーマ・スナップインを次のようにインストールする必要があります。

1. Microsoft Active Directoryサーバーに管理者としてログインします。

2. Windows 2000サーバーのコンパクト・ディスクをコンパクト・ディスク・ドライブに挿入し、「このCDを参照」をクリックします。

3. 「I386」フォルダ、「Adminpak」の順にダブルクリックして、Windows 2000管理ツールのセットアップ・ウィザードに表示される説明に従います。

4. Microsoft Active Directoryスキーマ・スナップインのコンソールを次のように開きます。

   1. 「スタート」、「ファイル名を指定して実行」の順にクリックします。

   2. 次のコマンドを入力して、「OK」をクリックします。

      mmc /a
      
      

5. 「コンソール」メニューで、「スナップインの追加と削除」、「追加」の順にクリックします。

6. 「Active Directoryスキーマ」をダブルクリックし、「閉じる」をクリックします。

7. スナップインを他に追加しない場合は、「OK」をクリックします。

8. 変更を保存するには、「保存」をクリックします。

カスタム属性の作成

Microsoft Active Directoryスキーマ・スナップインがインストールされたことを確認したら、次のようにMicrosoft Active Directoryでカスタム属性を追加します。

1. Active Directoryスキーマ・スナップインを次のように開きます。

   1. Microsoft Active Directoryサーバーで、「スタート」、「ファイル名を指定して実行」の順にクリックします。

   2. 次のコマンドを入力して、「OK」をクリックします。

      mmc /a
      
      

2. コンソール ツリーで「属性」、「属性の作成」の順にクリックします。

3. 属性タイプをIntegerに設定します。

4. コンソール ツリーで「クラス」を選択します。

5. 「ユーザー」を右クリックし、「プロパティ」を選択します。

6. 「属性」タブで、「追加」を選択して、ユーザー・クラスに属性を追加します。

Oracle Identity Managerでのカスタム属性の作成

Oracle Identity Managerでカスタム属性を作成して、Microsoft Active Directoryで行われたパスワード変更をトラッキングするフラグとして機能するようにする必要があります。

Oracle Identity Managerでカスタム属性（ユーザー定義フィールド）を作成するには、次のようにします。

関連資料: 『Oracle Identity Managerデザイン・コンソール・ガイド』

1. 「Design Console」を開きます。

2. 「Administration」フォルダを開きます。

3. 「User Defined Field Definition」を選択します。

4. 検索アイコンをクリックします。

5. 表示された結果から「USR」を選択し、「Add」をクリックします。

6. 「User Defined Fields」ダイアログ・ボックスで次の値を入力します。

   • Label: フィールドのラベルを入力します。例: PWDCHANGEDINDICATION

   • Field Size: 20

     作成するユーザー定義フィールドは、ADSYNC_TRUEまたはADSYNC_FALSEのいずれかを保持します。

   • DataType: 文字列

   • Column Name: フィールドの列名を入力します。

     「Label」フィールドで入力した値と同じ値を入力することをお薦めします。例: PWDCHANGEDINDICATION

     Oracle Identity Managerは、指定した列名に自動的にUSR_UDF_を追加します。たとえば、列名にPWDCHANGEDINDICATIONを指定すると、実際の列名はUSR_UDF_PWDCHANGEDINDICATIONに変更されます。

7. 「Save」をクリックします。

ITリソース・パラメータの値の指定

「ITリソースの定義」で説明されている手順を行う際に、次のパラメータの値を指定する必要があります。

• AD Sync installed (yes/no)

  Microsoft Active Directoryのパスワード同期モジュールをインストールして使用する場合は、このパラメータの値にyesを指定します。それ以外の場合は、noを指定します。デフォルト値は、noです。

• OIM User UDF

  Oracle Identity Managerで作成するユーザー定義フィールドの名前を指定します。

  AD Sync installed (yes/no)パラメータの値にyesを指定した場合にのみこのパラメータの値を指定してください。

  注意: 指定するのは列名で、Oracle Identity Managerでカスタム属性を追加する際に入力するフィールド・ラベルではありません。たとえば、ラベルPWDCHANGEDINDICATIONを入力した場合に指定する列名はUSR_UDF_PWDCHANGEDINDICATIONです。Oracle Identity Managerは、列を作成するときに接頭辞USR_UDF_を追加します。

• Custom Attribute Name

  Microsoft Active Directoryで作成するカスタム属性の名前を指定します。

  AD Sync installed (yes/no)パラメータの値にyesを指定した場合にのみこのパラメータの値を指定してください。

パスワード変更の際に発生するイベントの順序

この項では、パスワード変更の操作の際に行われるイベントの順序について説明します。

たとえば、John DoeがMicrosoft Active Directoryでパスワードを変更するとします。このイベントで発生するのは、次のような順序のイベントです。

1. パスワード同期モジュールがOracle Identity Managerでユーザーのパスワードを変更します。

2. パスワード同期モジュールがOracle Identity Managerのユーザー定義フィールド値をADSYNC_TRUEに変更します。

3. Oracle Identity Managerのユーザー定義フィールド値はADSYNC_TRUEのため、Password Updatedプロセス・タスクでMicrosoft Active Directoryのパスワードは変更されません。

4. パスワード同期モジュールがOracle Identity Managerのユーザー定義フィールド値をADSYNC_FALSEに戻します。

たとえば、Jane DoeがOracle Identity Managerでパスワードを変更するとします。このイベントで発生するのは、次のような順序のイベントです。

1. Password Updatedプロセス・タスクで、Microsoft Active Directoryのユーザーのパスワードが変更されます。

2. Password Updatedプロセス・タスクは、Microsoft Active Directoryのカスタム属性の値を1に変更します。

3. Microsoft Active Directoryのカスタム属性の値は1のため、パスワード同期モジュールは、Oracle Identity Managerのパスワードを変更しません。

4. Password Updatedプロセス・タスクは、Microsoft Active Directoryのカスタム属性の値を0に戻します。

パスワード同期モジュールのxlconfig.xmlファイルの構成

Microsoft Active Directoryコネクタをインストールした後で、コネクタのプロパティを反映するためにパスワード同期のxlconfig.xmlを変更する必要があります。

これは、パスワード同期モジュールに対するインストール手順の一部です。『Oracle Identity Manager Password Synchronization Module for Microsoft Active Directoryインストレーションおよび構成ガイド』では、コネクタ・インストール後のxlconfig.xmlファイルの構成について説明されています。

Oracle Identity Managerリリース9.0.1.3のコネクタの構成

注意: この手順は、Oracle Identity Managerリリース9.0.1.3を使用している場合にのみ必要です。

Oracle Identity Managerリリース9.0.1.3では、信頼されていない（ターゲット・リソース）リコンシリエーションの際に、無効または有効にされているユーザー・アカウントはOracle Identity Managerに正確にリコンサイルされません。このリリースのOracle Identity Managerを使用している場合は、次の手順を実行してこの問題を解決する必要があります。

1. Design Consoleにログインします。

2. 次のようにして、「AD User」リソース・オブジェクトに「userAccountControl」リコンシリエーション・フィールドを作成します。

   1. 「Resource Management」フォルダを開きます。

   2. 「Resource Objects」フォームを開きます。

   3. 「Search」ボタンをクリックします。

   4. 表示されるリソース・オブジェクトのリストから、「AD User」をダブルクリックします。

   5. 「Object Reconciliation」タブで、「Reconciliation Fields」タブを選択します。

   6. 「Reconciliation Fields」タブで、「ADD Field」をクリックして、次の値を入力します。

      • Field Name: userAccountControlを入力します。

      • Field Type: 「String」を選択します。

      • Required: このチェック・ボックスを選択します。

   7. 変更を保存します。

3. 次のようにして、「userAccountControl」リコンシリエーション・フィールドを「OIM_OBJECT_STATUS」フィールドにマップします。

   1. 「Process Management」フォルダを開きます。

   2. 「Process Definition」フォームを開きます。

   3. 「Search」ボタンをクリックします。

   4. 表示されるプロセス定義のリストから、「AD User」プロセス定義をダブルクリックします。

   5. 「Reconciliation Field Mappings」タブで、「userAccountControl」をダブルクリックして、次の値を入力します。

      • Field Name: 「userAccountControl」を選択します。

      • Field Type: 「String」を選択します。

      • Process Data Field: OIM_OBJECT_STATUSを入力します。

   6. 変更を保存します。