ヘッダーをスキップ
Oracle Identity Manager CA-Top Secret Advanced Connectorガイド
リリース9.0.4
E05494-01
  目次
目次
索引
索引

戻る
戻る
 
次へ
次へ
 

3 ターゲットのCA-Top Secretシステムのコネクタのデプロイ

CA-Top Secret Advanced ConnectorのProvisioning AgentおよびReconciliation Agentコンポーネントは、メインフレームにデプロイされます。

この章では、次に示す項で、Provisioning AgentおよびReconciliation Agentのインストールおよび構成について説明します。

手順1: デプロイ要件の確認

次の表には、Provisioning AgentおよびReconciliation Agentをインストールするための、ハードウェア、ソフトウェアおよび認可の前提条件を示します。

項目 要件
オペレーティング・システム 任意のバージョンのIBM z/OS

すべての現行パッチが用意されていることを確認

メッセージ・トランスポート・レイヤー AES暗号化を使用したTCP/IPネットワーク

MQ Seriesバージョン5以上

Top Secret IDリポジトリ CA-Top Secret MVSリリース5.0、genlevel 9702以上

z/OSの現行パッチ・レベル

Provisioning AgentおよびReconciliation Agentのターゲット・システムのユーザー・アカウント SystemAdministrators権限付きのAPF認可ユーザー・アカウント

Provisioning AgentおよびReconciliation Agentはメインフレームにインストールされます。どちらにも初期タスクのインストールが必要です。また、これらのエージェントは、メインフレーム・システムのユーザー・アカウントで機能します。このユーザー・アカウントは、Provisioning AgentおよびReconciliation Agentのデプロイ時にメインフレームの管理者が作成する必要があります。


注意:

Provisioning AgentおよびReconciliation Agentのどちらのユーザー・アカウントも、管理APF認可ライブラリに配置する必要があります。これらのユーザー・アカウントには、少なくともメインフレームのSystemAdministratorsグループの権限が必要です。これらの権限には読取り、書込み、実行および変更権限が含まれ、メインフレームの通常の管理者の権限を超えます。

環境の設定

CA-Top Secret Advanced Connectorをデプロイするために、メインフレームで次に示す要件が満たされていることを確認します。

  • 各エージェントは、メモリー・サブプールを使用して最大負荷条件を管理します。これらのサブプールでは、操作用にメインフレームのメモリーが1.5〜2.0 MB必要です。これは、Provisioning AgentおよびReconciliation Agentのインストール時に構成されます。

  • プログラム自体に加え、プログラムの実行元のユーザー・アカウントにも、ホスト・プラットフォームのサブプールにアクセスするための認可が必要です。通常、メインフレームの管理者が構成します。

  • メッセージ・トランスポート・レイヤーにMQ Seriesを使用している場合、MQ管理者は、コネクタに付属の自動化されたスクリプトからのMQキューの作成を認可されている必要があります。

    Oracle Identity Managerには、送信キュー、受信キューおよびReconciliation Agent用の通信キューの3つが必要です。これらのキューはMQ管理者により作成され、通常はシステムで使用されているネーミング規則に基づいて名前が付けられます。これらの名前は、Provisioning AgentおよびReconciliation Agentの起動のジョブ制御言語(JCL)プログラムに自動的に挿入されます。

  • メッセージ・トランスポート・レイヤーにTCP/IPを使用している場合、管理者には、セキュリティ認可を指定するだけでなく、メインフレームにポートを作成するための認可も必要です。

  • Reconciliation Agentは、メインフレームのオペレーティング・システム外で、ユーザーのexitテクノロジを使用して動作します。つまり、オペレーティング・システムとは異なるLPARで稼働します。

    通常、メインフレーム製品には、特定のパスワード書式の保持用などにカスタムのexitがインストールされています。Oracle Identity Managerのexitは、既存のexitが通常に機能できるよう、最後に呼び出されるexitとして開発されています。論理パーティション(LPAR)内のexitを変更した後には、LPARの初期プログラム・ロード(IPL)が必要な場合があります。

手順2: コネクタ・エージェントのインストール

z/OS上にCA-Top Secret Advanced Connectorのコンポーネントをインストールする初期ステップは、次のとおりです。

  1. それぞれにRECFM=FBLRECL=80BLKSIZE=3120およびDSORG=PSと指定して、JCL.XMITおよびLINKLIB.XMITをz/OSサーバーに転送するかFTPにアップロードします。

  2. TSO環境のz/OSサーバーにログインします。

  3. CNTLデータセットを開き、ISPFコマンドラインから次のコマンドを発行します。

    SO RECEIVE INDA('IDF.CNTL.XMIT')
    
    
  4. LINKLIBデータセットを開くには、ISPFコマンドラインで次のコマンドを入力します。

    TSO RECEIVE INDA('IDF.LINKLIB.XMIT')
    
    
  5. リストア・パラメータを入力するよう要求された場合には、次のように入力します。

    DA('IDF.LINKLIB')
    
    
  6. インストールを完了するには、Reconciliation AgentのIDF.CNTLメンバー#INSTVOY、およびProvisioning Agentのメンバー#INSTPIOの手順に従います。


注意:

CA Top Secret環境には、exitが1つしかないことを理解しておいてください。 Often a production deployment will have its own custom changes already written into the exit.Advanced Connectorで提供されるexitは、外部プログラムへのコールが3つ追加されているという点で、CA Top Secretで提供されるexitとは異なります。通常のカスタムの本番デプロイをAdvanced Connectorで提供されたexitとマージするのに必要なコーディング技術および操作は簡単ではありません。

手順3: Reconciliation Agentのexitのインストール

exitはLPAR内に存在するため、IPLのインストールを完了する必要があります。LDAP Gatewayでイベントをすべて取得するためには、認証リポジトリを共有する各LPARに、Reconciliation Agentおよびexitがインストールされている必要があります。

Reconciliation Agentのexitをインストールするには、次のようにします。

  1. exitがオフになっていることを確認します。

    TSS MODIFY(EXIT(OFF))
    
    

    または、オペレータ・コンソールから次のようにします。

    /F TSS,EXIT(OFF)
    
    
  2. exitがlinklistパスにあることを確認します。たとえば、CA-Top SecretのlinklistはOIMTSS.PARMLIB(PROGCT)です。CAI.TSS80.CAILIBの定義に、TSSINSTX exitが含まれます。通常のデプロイは異なる可能性があります。

    提供されているLINKLIB PDS用に、exit TSSINSTXをlinklistパスにあるライブラリにコピーする必要があります。

  3. LLAをリフレッシュします。

    /F LLA,REFRESH
    
    
  4. exitのステータスをチェックします(出力でexitを検索)。

    TSS MODIFY(STATUS)
    
    

    または、オペレータ・コンソールから次のようにします。

    /F TSS,STATUS
    
    
  5. exitをオンにします。

    TSS MODIFY(EXIT(ON))
    
    

    または、オペレータ・コンソールから次のようにします。

    /F TSS,EXIT(ON)
    
    
  6. exitは使用可能になっています。


注意:

CA-Top Secret環境には、exitが1つしかないことを理解しておいてください。通常、本番デプロイではexitに書込み済の独自のカスタム変更が行われます。Advanced Connectorで提供されるexitは、外部プログラムへのコールが3つ追加されているという点で、CA-Top Secretで提供されるexitとは異なります。

通常のカスタムの本番デプロイをAdvanced Connectorで提供されたexitとマージするのに必要なコーディング技術および操作は簡単ではありません。


手順4: メッセージ・トランスポート・レイヤーの構成

この項では、次に示す、TCP/IPおよびMQ Seriesの両方に対するメッセージ・トランスポート・レイヤーの構成タスクを説明します。

TCP/IPの構成

この項では、z/OSシステムのCA-Top Secret Advanced Connector用にTCP/IPをメッセージ・トランスポート・レイヤーとして構成する方法を説明します。TCP/IPの使用規則はこのマニュアルの対象範囲外ですが、起動および通信順序に影響があります。メッセージのプーリング、およびメインフレームやLDAP Gatewayサーバーの両方の負荷を大幅に減らすことができる、ステートフル接続の確立を目的とします。

  1. Oracle Identity Manager LDAP Gatewayを起動します。指定されたIPアドレスおよびポート番号を使用して、メインフレームに接続できるよう事前に構成されています。

  2. Provisioning Agent初期タスクを開始します。このタスクも、指定されたIPアドレスおよびポート番号のLDAP Gatewayに対してTCP/IP接続を確立するよう事前に設定されています。

    Reconciliation Agentにも同様の手順を適用します。LDAP Gatewayを起動し、Reconciliation Agent初期タスクを開始します。

TCP/IPをメッセージ・トランスポート・レイヤーとして使用するには、次のIPアドレスが必要です。

  • z/OSが使用するIPアドレス

  • ルーター用のIPアドレス

  • ドメイン・ネーム・サーバー用のIPアドレス

TCP/IPをメッセージ・トランスポート・レイヤーとして使用する場合、データ構造のセキュリティ認可の指定だけでなく、メインフレームへのポートの作成のためにメインフレーム管理者のサポートが必要な場合もあります。

Provisioning AgentおよびReconciliation Agent JCLを編集するには、次のようにします。

  1. インストール認証のジョブ・カードを挿入します。

  2. PARM=('TCPN=TCPIP'の値を実行中のTCP/IP初期タスクの名前に変更します。

  3. IPアドレスを、LPAR(Provisioning Agentを起動するz/OSシステム)のアドレスに変更します。

  4. ポート番号を、LPAR(Provisioning Agentを起動するz/OSシステム)に割り当てられたポートに変更します。

  5. インストールにバッチ適用が必要な場合には、適切なVSAMGETU文を挿入します。次のコードに、CA-Top Secret ACIDのバッチ・ロードを示します。

    //USR98S01 JOB (,xxxxxxxx,,'PROVISIONING AGENT UPLOAD PROCESS FOR ACIDS'),
    //       'UPLOAD CATS TO XELLTE',
    //       REGION=2M,CLASS=6,MSGCLASS=Q,
    //       USER=XXXXXXXX,TIME=1440,
    //       NOTIFY=&SYSUID,TYPRUN=HOLD
    //*
    /*ROUTE PRINT CLE
    //*
    //PIONEERX EXEC PGM=PIONEERX,REGION=0M,TIME=1440,
    //       PARM=('TCPN=TCPIP',
    //       'IPAD=IP Address of Top Secret System',
    //       'PORT=6500',
    //       'DEBUG=Y')
    //STEPLIB DD DISP=SHR,DSN=PPRD.IDF.LINKLIB
    //     DD DISP=SHR,DSN=SYS2.TCPACCES.V60.LINK
    //     DD DISP=SHR,DSN=TCPIP.SEZATCP
    //SYSOUT  DD SYSOUT=*
    //SYSPRINT DD SYSOUT=*
    //SYSDBOUT DD SYSOUT=*
    //SYSABOUT DD SYSOUT=*
    //ABENDAID DD SYSOUT=*
    //SYSUDUMP DD SYSOUT=*
    //VSAMGETU DD DISP=SHR,DSN=LXT99S.FEEDFILE.SORTED
    //*
    
    

    Pioneerが初期タスクの場合には、コンソールからS Pioneerを実行してPioneerを起動します。Pioneerがバッチ・タスクの場合には、Pioneer JCLを発行します。

    Reconciliation Agentの場合、ジョブ制御は実行カードの例外と同じです。次に例を示します。

     //VOYAGERX EXEC PGM=VOYAGERX,
    //  PARM=('TCPN=TCPIP',
    //     'IPAD=IP Address of Top Secret System',
    //     'PORT=5791',
    //     'DEBUG=Y')
    
    

    Reconciliation AgentおよびProvisioning Agentのどちらの場合も、次に示すDEBUGパラメータ・フィールドの等価を使用できます。

    • デバッグ内容を出力しない場合はN

    • デバッグ内容を出力する場合はY

    • デバッグ内容を出力するがMQには書き込まない場合はZ


    注意:

    メンバーの編集を試行した際に、「データセットは使用中です」というメッセージが表示された場合には、[F1]キーを使用して、編集対象のメンバーを使用しているユーザーを参照します。[F1]キーは2回押す必要があります。編集対象のファイルを使用しているジョブ名は、2回目に実際に表示されます。その後、z/OSコンソールに移動して、PまたはCコマンドを使用して削除します。

    Reconciliation Agent(Voyager)を操作する際には、次のガイドラインを適用してください。

    • Reconciliation Agentを起動する前に、サブプール(RUNSTART.JCL)を起動する必要があります。サブプールは、メッセージ作成のためのメモリー内記憶域として使用されます。

    • TCP/IPを使用しているため、Oracle Identity Manager LDAP Gatewayを最初に起動する必要があります。Reconciliation Agentを最初に起動すると、RETCODE=-01およびERRORNO=61のエラーがスローされます。これはコード・エラーではありません。

MQ Seriesの使用

この項では、MQ SeriesのProvisioning AgentおよびReconciliation Agentのインストールを説明します。

MQ SeriesのProvisioning Agentインストール

Provisioning Agentでは、MQインストールの次のメンバーが使用されます。

  • PIOCOPY: Provisioning Agent初期タスクをインストール・プロシージャ・ライブラリにコピーします。

  • PIODEF: Provisioning AgentのMQ定義を定義します。

  • PIOMQ: Provisioning AgentのMQ定義入力。

  • PIONEER: Provisioning Agent初期タスクのジョブ制御。

Provisioning Agentをインストールするには、次のようにします。

  1. メンバーPIONEERを編集します。

    1. QMGR PARMフィールドのQMGRをキュー・マネージャの名前に変更します。キュー・マネージャは、システムのMQキュー・マネージャに指定された実際のタスク名です。

    2. 必要な場合には、Debug=N(デフォルト)をYに設定してデバッグ・オプションを有効化します。


      注意:

      これにより、大量の出力が生成されます。テスト目的でのみ実行してください。

    3. IDF.LINKLIBをOracle Identity Manager Authorized Load Module Libraryに指定した名前に変更します。

  2. メンバーPIOCOPYを編集して発行します。

    1. インストール認証のジョブ・カードを挿入します。

    2. IDF.CNTLをOracle Identity Manager Control Libraryに指定した名前に変更します。「手順2: コネクタ・エージェントのインストール」を参照してください。

    3. SYS1.PROCLIBを、使用するJES PROCLIBの名前に変更します。

    4. Reconciliation Agent初期タスクを、初期タスクとして開始するよう変更します。

    5. PIOCOPYを発行します。選択したJES PROCLIBにメンバーVOYAGERが存在することを確認します。

  3. メンバーPIOMQを編集します。

    1. すべてのQMGRをキュー・マネージャの名前に変更します。キュー・マネージャは、インストールのMQキュー・マネージャに指定された実際のタスク名です。

    2. すべてのSTGCLASSを、2つのProvisioning Agentキューの記憶域クラスの名前に変更します。


      注意:

      パフォーマンス上の理由から、インストールで2つのProvisioning Agentキューを異なる記憶域クラスに定義する必要がある場合があります。Reconciliation Agentも使用している場合には、Reconciliation Agentキューに別の記憶域クラスを使用する場合もあります。

  4. メンバーPIODEFを編集して発行します。

    1. ジョブ・カードを挿入します。

    2. PARMのQMGRをキュー・マネージャの名前に変更します。

    3. MQMHLQを、MQシステム・データセットの上位レベルの修飾子に変更します。

    4. IDF.CNTLをOracle Identity Manager Control Libraryに指定した名前に変更します。

Provisioning Agentを起動できます。


注意:

Provisioning AgentはMQ Seriesに依存しているため、Provisioning Agentを開始する前にキュー・マネージャがアクティブであることを確認する必要があります。

Provisioning Agentが初期タスクの場合には、コンソールからS PIONEERを発行してProvisioning Agentを起動します。Provisioning Agentがバッチ・タスクの場合には、PIONEER JCLを発行します。


MQ SeriesのReconciliation Agentインストール

Control LibraryのReconciliation Agentインストールのメンバーは次のとおりです。

  • VOYAGER: Reconciliation Agent初期タスクのジョブ制御。

  • VOYCOPY: Reconciliation Agent初期タスクをプロシージャ・ライブラリにコピーします。

  • VOYDEF: Reconciliation AgentのMQ定義を定義します。

  • VOYINIT: Reconciliation Agentインストールの初期タスク。

  • VOYKILL: Reconciliation Agentのサブプール削除初期タスク。

  • VOYMQ: Reconciliation AgentのMQ定義入力。

  • VOYSTOP: Reconciliation Agentの停止初期タスク。

Reconciliation Agentをインストールするには、次のようにします。

  1. メンバーVOYAGERを編集します。

    1. QMGR parmフィールドのQMGRをキュー・マネージャの名前に変更します。キュー・マネージャは、インストールのMQキュー・マネージャに指定された実際のタスク名です。

    2. 必要な場合には、Debug=NYに変更してデバッグ・オプションを有効化します。


      注意:

      これにより、大量の出力が生成されます。テスト目的でのみ実行してください。

    3. IDF.LINKLIBをOracle Identity Manager Authorized Load Module Libraryに指定した名前に変更します。

  2. メンバーVOYINITVOYKILLおよびVOYSTOPを編集します。

    IDF.LINKLIBをOracle Identity Manager Authorized Load Module Libraryに指定した名前に変更します。

  3. メンバーVOYCOPYを編集して発行します。

    1. インストール認証のジョブ・カードを挿入します。

    2. IDF.CNTLをOracle Identity Manager Control Libraryに指定した名前に変更します。

    3. SYS1.PROCLIBを、Reconciliation Agentを初期タスクとして起動するJES PROCLIBの名前に変更します。

    4. 選択したJES PROCLIBにメンバーVOYAGERVOYINITVOYKILLおよびVOYSTOPが存在することを確認します。

  4. MQ Seriesのインストールでは、メンバーVOYMQを編集します。

    1. すべてのQMGRをキュー・マネージャの名前に変更します。キュー・マネージャは、インストールのMQキュー・マネージャに指定された実際のタスク名です。

    2. すべての+STGCLASS+を、Reconciliation Agentキューの記憶域クラスの名前に変更します。


      注意:

      Reconciliation Agentを、Provisioning Agentキューで使用しているのとは異なる記憶域クラスに割り当てることが必要な場合もあります。

  5. メンバーVOYDEFを編集して発行します。

    1. ジョブ・カードを挿入します。

    2. パラメータのQMGRをキュー・マネージャの名前に変更します。キュー・マネージャは、インストールのMQキュー・マネージャに指定された実際のタスク名です。

    3. +MQMHLQ+を、MQシステム・データセットの上位レベルの修飾子に変更します。

    4. IDF.CNTLをOracle Identity Manager Control Libraryに指定した名前に変更します。

    5. 3つのオブジェクトがエラーなしで定義されていることを確認します。


      注意:

      セキュリティ環境によっては、VOYAGERVOYINITVOYKILLおよびVOYSTOPを初期タスクとして定義し、データセットおよびMQリソースへのアクセス権を付与する必要がある場合もあります。

Reconciliation Agentを起動できます。

その他の注意事項

  • Reconciliation AgentはMQに依存しています。そのため、Reconciliation Agentを起動する前にキュー・マネージャがアクティブであることを確認してください。

  • コンソールからS VOYINITを発行してVOYINITタスクを開始し、サブプールを作成します(VOYKILLが実行されている場合を除き、これを実行する必要があるのは一度のみです)。

  • VOYINITが終了したら、コンソールからS VOYAGERを発行してReconciliation Agentを起動します。

  • サブプールをそのままの状態で維持しながらVOYAGERを一時停止するには、コンソールからS VOYSTOPを発行してVOYSTOPを開始します。Reconciliation Agentを一時停止してサブプールを破棄するには、コンソールからS VOYKILLを発行してVOYKILLを開始します。VOYKILLを使用すると、サブプールに保存されているメッセージがすべて失われます。


注意:

exitテクノロジを使用してReconciliation Agentにより検出されたイベントは、メッセージに変換されてLDAP Gatewayに渡されます。

メッセージ・トランスポート・レイヤーとしてMQ Seriesを使用している場合、これらのメッセージは、配信するためにMQシステム内で内部的に保護されます。

TCP/IPメッセージ・トランスポート・レイヤーを使用している場合、メッセージはGatewayに安全に送信されます。Gatewayが停止している場合には、メッセージはGatewayが再開されるまで保持されますが、メインフレームのAES暗号化ファイルにも保護されます。Gatewayが再開されると、メッセージが送信されます。

サブプールが管理者により停止されると、Provisioning Agentが停止され、送信されていないメッセージがすべて破棄されます。ただし、セキュアなAES暗号化ファイル内のメッセージには影響はなく、リカバリできます。


APF認可の構成

APFは、IBM許可プログラム機能を意味します。プログラムにAPF認可ステータスを付与することは、スーパーユーザー・ステータスを付与することに似ています。このプロセスにより、通常のシステム管理者への問合せの許可や、操作を妨げられることのないプログラムの実行が可能になります。メインフレーム・システムで実行されるプログラムと実行元のユーザー・アカウントの両方が、APFで認可されている必要があります。たとえば、Provisioning Agentプログラムのユーザー・アカウントもAPFで認可されている必要があります。


注意:

通常APF認可は、メインフレームの管理者が行います。そのようなタスクの実行に必要な認可がない場合には、これらのタスクを実行できるユーザーの協力を得られるよう手配する必要があります。

初期タスクの作成および操作

Provisioning AgentおよびReconciliation Agentの設定と実行には、2つの異なるJCLがあります。初期タスク定義のベースには、これら2つのJCLファイルを使用できます。

RUNPIONX.txtのパラメータは次のとおりです。

  • TCPN: TCPプロセスの名前

  • IPAD: Provisioning Agentが稼働しているマシンのIPアドレス

  • PORT: Provisioning Agentの着信接続ポート

  • DEBUG: 追加の出力を表示するためのデバッグ・スイッチ

RUNVOYAX.txtのパラメータは次のとおりです。

  • TCPN: TCPプロセスの名前

  • IPAD: Reconciliation Agentの接続先のマシンのIPアドレス

  • PORT: Reconciliation Agentの発信接続ポート

  • DEBUG: 追加の出力を表示するためのデバッグ・スイッチ

各プログラムのソース・コードは、次のとおりです。

RUNPIONx:

//ADCDMPPT JOB SYSTEMS,MSGLEVEL=(1,1),MSGCLASS=X,CLASS=A,PRTY=8,
//  NOTIFY=&SYSUID,REGION=4096K
//PIONEERX EXEC PGM=PIONEERX,REGION=0M,TIME=1440,
//  PARM=('TCPN=TCPIP',
//     'IPAD=IP Address of Top Secret System',
//     'PORT=5790',
//     'DEBUG=Y')
//STEPLIB DD DISP=SHR,DSN=IDF.LINKLIB
//     DD DISP=SHR,DSN=TCPIP.SEZATCP
//SYSPRINT DD SYSOUT=X
//SYSUDUMP DD SYSOUT=X
//


RUNVOYAx:

//ADCDMRVX JOB SYSTEMS,MSGLEVEL=(1,1),MSGCLASS=X,CLASS=A,PRTY=8,
//  NOTIFY=&SYSUID,REGION=4096K
//VOYAGERX EXEC PGM=VOYAGERX,REGION=0M,TIME=1440,
//  PARM=('TCPN=TCPIP',
//     'IPAD=IP Address of Top Secret System',
//     'PORT=5190',
//     'DEBUG=Y')
//STEPLIB DD DISP=SHR,DSN=IDF.LINKLIB
//     DD DISP=SHR,DSN=TCPIP.SEZATCP
//SYSPRINT DD SYSOUT=X
//SYSUDUMP DD SYSOUT=X
//