コネクタをデプロイするには次の手順を実行します。
次の表に、コネクタのデプロイ要件を示します。
項目 | 要件 |
---|---|
Oracle Identity Manager | Oracle Identity Managerリリース8.5.3以上。 |
ターゲット・システム | IBM Lotus Notes and Domino Server 6.5 -7.0.2。 |
外部コード |
NCSO.jar Notes.jarこれらのファイルの詳細は、「手順3: コネクタ・ファイルおよび外部コード・ファイルのコピー」を参照してください。 |
ターゲット・システムのユーザー・アカウント | Domino Serverの管理者。
この管理者アカウントに完全な管理アクセスが割り当てられていることを確認する必要があります。つまり、この管理者は「Full Access Administrator」リストに含まれている必要があります。 「ITリソースの定義」の項の手順を実行する際に、このユーザー・アカウントの資格証明を指定します。 このユーザー・アカウントに特定の権限が割り当てられていない場合は、Oracle Identity Managerがターゲット・システムとデータを交換しようとすると、次のエラー・メッセージが表示されます。
|
ターゲット・システムの構成には次の手順があります。
IBM Lotus Notes and Dominoでユーザー・アカウントを無効にすると、ユーザーは自動的に「Deny Access」グループのメンバーになります。ユーザー・アカウントを再有効化すると、ユーザーは「Deny Access」グループから削除されます。Oracle Identity Managerを介してユーザー・アカウントを無効にする際は、同じプロセスが行われます。Disable Userを機能させるには、ターゲット・システムに「Deny Access」グループが1つ以上ある必要があります。
IBM Lotus Notes and Dominoインストールに「Deny Access」グループがない場合、次のようにして1つ作成する必要があります。
Lotus Notesクライアントに管理者としてログインします。
「People & Groups」タブで、左のペインにある「Groups」フォルダをクリックします。
「Add Group」をクリックします。
「New Group」タブで、次の値を指定します。
Group name: noaccess
などのグループ名を指定します。
Group type: 「Multi-purpose」を選択します。
「Save & Close」をクリックします。
「Configuration」タブで、左のペインにある「All Server Documents」をクリックします。
右側のペインで、使用しているサーバーの行をダブルクリックします。
「Security」タブを開きます。
「Server Access」セクションで、「Not Access Server」をダブルクリックします。
「Select Names」ダイアログ・ボックスで、「Add」ボタンを使用し、ステップ4で作成したグループを追加して、「OK」をクリックします。
「Save & Close」をクリックします。
作成した「Deny Access」グループは、ステップ6〜9を実行して表示できます。
「ITリソースの定義」で説明されている手順を実行する際に、DenyAccessGroupName
ITリソース・パラメータの値としてステップ4で作成した「Deny Access」グループの名前(noaccess
など)を指定します。
注意: ターゲット・システムで暗号化された電子メールをサポートしない場合は、この項をスキップしてください。 |
IBM Lotus Notes and Dominoでユーザー・アカウントを作成すると、ユーザー・アカウント用にIDファイルが自動的に生成されます。このIDファイルはユーザーの暗号化キーを保持し、暗号化された電子メールを送信または受信する際に自動的に使用されます。
Oracle Identity Managerで管理者がユーザーのパスワードを変更した場合は、新しいIDファイルが作成されます。この新しいIDファイルを使用して、既存の送信済または受信済の暗号化された電子メールを開くことはできません。これ以降は、既存の暗号化された電子メールにアクセスできなくなります。
この状況を回避するためには、次のようにする必要があります。
パスワードが更新された場合に既存のIDファイルを変更するIBM Lotus Notes and Dominoのエージェントを構成します。この項では、この手順の実行について説明します。
isAgentInstalled
ITリソース・パラメータの値をYes
に設定し、エージェントがIBM Lotus Notes and Dominoで構成されたことを示します。このパラメータは、「ITリソースの定義」で説明されています。
IBM Lotus Notes and Dominoでエージェントを構成するには、次のようにします。
Domino Adminクライアントにログインします。
「File」メニューから、「Database」、「Open」の順に選択します。
「Open Database」ダイアログ・ボックスの「Server」リストから、Dominoサーバーの名前を選択します。
「FileName」フィールドで、names.nsf
と入力し、「Open」をクリックします。
「View」メニューから、「Agents」を選択します。
「New Agent」をクリックします。
「Agent」ダイアログ・ボックスの最初のタブ(バルブのアイコンで表示)で、次の値を入力します。
Name: changePassword
と入力します。
Comment: Change password of the ID file
と入力します。
Target: 「All documents in database」を選択します。
「Agent」ダイアログ・ボックスの2番目のタブ(鍵のアイコンで表示)で、「Set runtime security level」リストから「Allow restricted operations」を選択します。
ダイアログ・ボックスを閉じます。
「changePassword-Agent」タブで、2番目のリストから「LotusScript」を選択します。
「Objects」ペインのメニューから、[Options]メソッドを選択します。
インストール・メディア・ディレクトリにある次のファイルを開きます。
script/lotusagent.txt
lotusagent.txt
ファイルのLotusScriptコードを、Lotus Notesクライアント・ウィンドウの右側のペインにコピーします。
「Save」をクリックします。
ITリソース定義でLotus Notes管理者アカウントの資格証明を指定します。IBM Lotus Notes and Dominoのエージェントを構成した後で、このLotus Notes管理者アカウントがIDファイルの更新に必要な権限を持っていることを次のようにして確認する必要があります。
Domino Adminクライアントにログインします。
「File」メニューから、「Database」、「Access Control」の順に選択します。
「Access Control List」ダイアログ・ボックスで、「Access」リストの「Manager」、「Delete documents」チェック・ボックスの順に選択します。
「OK」をクリックします。
ユーザー・プロセス・フォームで次のフィールドが追加されました。
IDファイル名
リリース9.0.3.1より前のコネクタでは、Oracle Identity Managerを介してユーザー・アカウントを作成する際に、IDファイル名が次の形式に従って作成されます。
FirstNameLastName.id
たとえば、ユーザーJohn Doeのアカウントを作成する場合、IDファイル名は次のようになります。
JohnDoe.id
リリース9.0.3.1以降は、ユーザー・アカウントの作成中にIDファイル名フィールドを使用してIDファイルの名前を指定できるようになりました。
旧パスワード
「旧パスワード」フィールドに、ユーザーの最新のパスワードが暗号化された形式で格納されます。このフィールドの値は、Create PasswordおよびUpdate Passwordプロビジョニング時に自動的に変更されます。
注意: ターゲット・システムでパスワードが変更されたユーザー・アカウントについては、リコンシリエーション後にOracle Identity Managerのこのフィールドに新しいパスワードを手動で入力する必要があります。 |
コピーするコネクタのファイルと、コピーする必要があるディレクトリを次の表に示します。
注意: この表の最初の列に示すディレクトリ・パスは、インストール・メディアの次のディレクトリでのコネクタ・ファイルの場所に対応しています。Collaboration and Messaging Applications/IBM Lotus Notes Domino これらのファイルの詳細は、「コネクタを構成するファイルおよびディレクトリ」を参照してください。 |
コネクタ・ファイルをコピーしたら、次のファイルをjava_installation
/jre/lib/ext
ディレクトリにコピーします。
NCSO.jar
(lotus_home
/lotus/Domino/Data/domino/java
ディレクトリ)
Notes.jar
(lotus_home
/lotus/Domino
ディレクトリ)
ここで、java_installation
はOracle Identity Manager用に使用されるJDKディレクトリで、lotus_home
はIBM Lotus Notes and Dominoがインストールされているディレクトリです。
Oracle Identity Managerサーバーの構成には、次の手順があります。
注意: クラスタ環境では、クラスタの各ノードでこの手順を実行する必要があります。 |
必要な入力ロケール(言語および国の設定)に変更するには、必要なフォントのインストールと必要な入力ロケールの設定を行います。
必要な入力ロケールに変更するため、システム管理者の支援が必要となる場合があります。
「手順3: コネクタ・ファイルおよび外部コード・ファイルのコピー」の項で説明されている手順を実行する際には、インストール・メディアのresources
ディレクトリにあるファイルを、OIM_home
/xellerate/connectorResources
ディレクトリにコピーします。connectorResources
ディレクトリ内に新しいリソース・バンドルを追加したり、既存のリソース・バンドルに変更を加えた場合は、コネクタ・リソース・バンドルに関連するコンテンツをその都度サーバー・キャッシュから消去する必要があります。
コネクタ・リソース・バンドルに関連するコンテンツをサーバー・キャッシュから消去するには、次のようにします。
コマンド・ウィンドウで、OIM_home
/xellerate/bin
ディレクトリに移動します。
注意: ステップ1を実行してからステップ2を実行してください。ステップ2で次のようにコマンドを実行すると、例外がスローされます。OIM_home\xellerate\bin\batch_file_name |
次のいずれかのコマンドを入力します。
Microsoft Windowsの場合:
PurgeCache.bat ConnectorResourceBundle
UNIXの場合:
PurgeCache.sh ConnectorResourceBundle
注意: ステップ2の実行時にスローされる例外は無視できます。 |
このコマンドのConnectorResourceBundle
は、サーバー・キャッシュから削除できるコンテンツ・カテゴリの1つです。その他のコンテンツ・カテゴリの詳細は、次のファイルを参照してください。
OIM_home/xellerate/config/xlConfig.xml
ロギングを有効化すると、Oracle Identity Managerはプロビジョニングおよびリコンシリエーション操作の過程で発生するイベントについての情報をログ・ファイルに自動的に格納します。ロギングを行うイベントのタイプを指定するには、ログ・レベルを次のいずれかに設定します。
ALL
このレベルでは、すべてのイベントのロギングが有効化されます。
DEBUG
このレベルでは、デバッグに役立つ詳細なイベントに関する情報のロギングが有効化されます。
INFO
このレベルでは、アプリケーションの進行状況を大まかに示す情報メッセージのロギングが有効化されます。
WARN
このレベルでは、障害を引き起こす可能性のある状況に関する情報のロギングが有効化されます。
ERROR
このレベルでは、アプリケーションを続行できる場合があるエラー・イベントに関する情報のロギングが有効化されます。
FATAL
このレベルでは、アプリケーションの機能停止の原因となる可能性がある、非常に重大なエラー・イベントに関する情報のロギングが有効化されます。
OFF
このレベルでは、すべてのイベントのロギングが無効化されます。
ログ・レベルを設定するファイルは、使用するアプリケーション・サーバーによって異なります。
BEA WebLogic
ロギングを有効にするには、次のようにします。
OIM_home
/xellerate/config/log.properties
ファイルに次の行を追加します。
log4j.logger.Adapter.LotusNotes=log_level
この行で、log_level
を、設定するログ・レベルに置換します。
次に例を示します。
log4j.logger.Adapter.LotusNotes=INFO
ロギングを有効化すると、ログ情報が次のファイルに書き込まれます。
WebLogic_home/user_projects/domains/domain_name/server_name/server_name.log
IBM WebSphere
ロギングを有効にするには、次のようにします。
OIM_home
/xellerate/config/log.properties
ファイルに次の行を追加します。
log4j.logger.Adapter.LotusNotes=log_level
この行で、log_level
を、設定するログ・レベルに置換します。
次に例を示します。
log4j.logger.Adapter.LotusNotes=INFO
ロギングを有効化すると、ログ情報が次のファイルに書き込まれます。
WebSphere_home/AppServer/logs/server_name/startServer.log
JBoss Application Server
ロギングを有効にするには、次のようにします。
JBoss_home
/server/default/conf/log4j.xml
ファイルで、次の行を検索します。
<category name="Adapter.LotusNotes">
<priority value="log_level"/>
</category>
XMLコードの2行目で、log_level
を、設定するログ・レベルに置換します。次に例を示します。
<category name="Adapter.LotusNotes"> <priority value="INFO"/> </category>
ロギングを有効化すると、ログ情報が次のファイルに書き込まれます。
JBoss_home/server/default/log/server.log
OC4J
ロギングを有効にするには、次のようにします。
OIM_home
/xellerate/config/log.properties
ファイルに次の行を追加します。
log4j.logger.Adapter.LotusNotes=log_level
この行で、log_level
を、設定するログ・レベルに置換します。
次に例を示します。
log4j.logger.Adapter.LotusNotes=INFO
ロギングを有効化すると、ログ情報が次のファイルに書き込まれます。
OC4J_home/opmn/logs/default_group~home~default_group~1.log
コネクタのXMLファイルをOracle Identity Managerにインポートするには、次のようにします。
左のナビゲーション・バーの「デプロイメント管理」リンクをクリックします。
「デプロイメント管理」の下の「インポート」リンクをクリックします。 A dialog box for opening files is displayed.
OIM_home
/xlclient
ディレクトリにあるxlLotusNotesConnector.xml
ファイルを検索して開きます。このXMLファイルの詳細は、「ファイル・プレビュー」ページに表示されます。
「ファイルの追加」をクリックします。「置換」ページが表示されます。
「次へ」をクリックします。「確認」ページが表示されます。
「次へ」をクリックします。LotusNotes
ITリソースの「ITリソース・インスタンス・データの提供」ページが表示されます。
LotusNotes
ITリソースのパラメータの値を指定します。指定する値の詳細は、「ITリソースの定義」の表を参照してください。
「次へ」をクリックします。Lotus Notes
ITリソース・タイプの新しいインスタンスの「ITリソース・インスタンス・データの提供」ページが表示されます。
「スキップ」をクリックして、他のITリソースを定義しないことを指定します。「確認」ページが表示されます。
関連資料: その他のITリソースを定義する場合、手順は『Oracle Identity Manager Toolsリファレンス・ガイド』を参照してください。 |
「選択内容の表示」をクリックします。
XMLファイルの内容が「インポート」ページに表示されます。ノードの横に十字形のアイコンが表示されることがあります。これらのノードは、冗長なOracle Identity Managerエンティティを示しています。コネクタのXMLファイルをインポートする前に、各ノードを右クリックして「削除」を選択し、これらのエンティティを削除する必要があります。
「インポート」をクリックします。コネクタのXMLファイルがOracle Identity Managerにインポートされます。
コネクタのXMLファイルをインポートしたら、「手順6: SSLの構成」に進みます。
LotusNotes
ITリソース・パラメータには、次の表に示す値を指定してください。
パラメータ | 説明 |
---|---|
AddBook |
IDファイルの作成時に、Dominoディレクトリのサーバー・エントリを更新するかどうかを指定します。
値は Dominoディレクトリは、ユーザーの個人ドキュメント、接続ドキュメント、サーバー・ドキュメントおよび相互認証ファイルが含まれるデータベースです。このディレクトリは、パブリック・アドレス帳または |
Admin |
IBM Lotus Notes and Dominoのサーバー管理者のユーザーID。
この管理者は、IBM Lotus Notes and Dominoの「Full Access Administrator」リストに含まれている必要があります。 |
AdminPwd |
管理者のパスワード。 |
certifierOU |
ユーザー・アカウントの作成時に使用する認証者のOUを指定します。
ターゲット・システムで認証者を使用する場合は、認証者のOU値を指定する必要があります。ターゲット・システムに認証者がない場合は、このパラメータ・フィールドを空のままにします。 ターゲット・システムに複数の認証者がある場合は、認証者ごとに 関連項目: このパラメータの詳細は、「certifierOU ITリソース・パラメータ」を参照してください。 サンプル値: |
CertPath |
認証者IDファイルの作成時に使用される認証者IDの完全なファイルの指定。
サンプル値: |
CertPwd |
認証者IDファイルのパスワード。 |
CreateMailIDFile |
IBM Lotus Notes and DominoのRegister New User機能を呼び出す際に、メール・データベースがIDファイルを使用して作成されるかどうかを指定します。
値は |
Host |
IBM Lotus Notes and Dominoサーバーのホスト名またはIPアドレス。 |
Port |
IBM Lotus Notes and DominoサーバーがリスニングするTCP/IPポート。
デフォルト値は63148です。 |
IDFilePath |
IDファイルを保存するパス。 |
IDType |
作成されるIDファイルのタイプ。
値は デフォルトは |
MailDBPath |
メール・ファイルのパス。 |
MailOwnerAccess |
所有者に対するメール・データベースのACL設定。
値は次のいずれかです。
デフォルト値は |
MailQuotaLimit |
ユーザーの電子メール・データベースの最大サイズ(MB単位)。
デフォルト値は |
MailQuotaWarning |
ユーザーのメール・データベースにより、サイズ制限を超えたという警告が発行されるサイズ(MB単位)。
デフォルト値は |
MailServer |
ユーザーのメール・ファイルが含まれるサーバーの正規名。 |
MailSystem |
ユーザーのメール・システム。
値は次のいずれかです。
デフォルト値は |
MailTemplateName |
メール・ファイルの設計用のテンプレート名。 |
PasswordLength |
パスワードに使用可能な最小文字数。
値は任意の数値です。デフォルトの最小長は5文字です。 |
RegLog |
IDの作成時に使用するログ・ファイルの名前。 |
RegServer |
IDの作成時およびその他の登録機能の実行時に使用するサーバーの名前。 |
StoreAddBook |
サーバーのDominoディレクトリにIDファイルを保存するかどうかを示します。
値は |
SyncInternetPassword |
IBM Lotus Notes and Dominoへのローカルのクライアント・ベースのアクセスとWebベースのアクセスの両方に、同じパスワードを使用できるかどうかを指定します。
値は |
IsSecure |
SSL機能を有効化するかどうかを指定します。
値は 注意: SSLを有効化して、ターゲット・システムとの通信を保護することをお薦めします。 |
DenyAccessGroupName |
アカウントが無効化されたユーザーのグループ名。
注意: IBM Lotus Notes and Dominoインストールに「Deny Access」グループがない場合、「Deny Accessグループの作成」の手順に従って1つ作成する必要があります。 |
triggerAdminP |
AdminPの起動機能を有効化するかどうかを指定します。
値は |
isAgentInstalled |
ターゲット・システムで暗号化された電子メールのサポートを有効にする場合は、このパラメータの値としてYes を指定します。それ以外の場合は、No を指定します。
関連項目: このパラメータの詳細は、「IDファイル変更の有効化」を参照してください。 |
TrustedTimeStamp |
このパラメータは信頼できるソースのリコンシリエーションに使用されます。
このパラメータは最初のリコンシリエーションの実行時に開始され、リコンシリエーションの実行終了時のタイムスタンプ値を格納します。 デフォルト値は |
NonTrustedTimeStamp |
このパラメータは信頼できないソースのリコンシリエーションに使用されます。
このパラメータは最初のリコンシリエーションの実行時に開始され、リコンシリエーションの実行終了時のタイムスタンプ値を格納します。 デフォルト値は |
Max Retries |
接続が失敗した場合にLotus Notesコネクタがターゲット・サーバーへの接続を再試行する回数。
デフォルト値は |
Delay |
接続が失敗した場合に、コネクタがターゲット・システムへの接続を再試行するまでの遅延時間(ミリ秒)。
デフォルト値は |
これらのITリソース・パラメータの値を指定したら、この手順のステップ9に進んで、コネクタのXMLファイルをインポートします。
certifierOU ITリソース・パラメータ
リリース9.0.3.1より前のコネクタでは、Oracle Identity Managerを介してターゲット・システムでユーザー・アカウントを作成する際に、次の問題が認識されます。
Lotus Notesにユーザー・アカウントを直接作成するときに、次の値を指定するとします。
FirstName: John
LastName: Doe
ユーザー・アカウントが作成されたとき、次のような識別名(DN)がユーザーに割り当てられます。
CN=John Doe/OU=testcertou/O=test/C=US
このサンプルのDNでは、testcertou
が作成されたユーザー・アカウントの認証者のOUです。
Oracle Identity Managerを介してLotus Notesにユーザー・アカウントを作成するときに、次の値を指定するとします。
FirstName: Jane
LastName: Doe
Oracle Identity Managerを介してユーザー・アカウントを作成する際に、プロセス・フォームでユーザー・アカウントのOUを指定できます。プロセス・フォームでユーザーのOUとしてtestuserou
を指定するとします。その際、次のような識別名(DN)がユーザーに割り当てられます。
CN=Jane Doe/OU=testuserou/OU=testcertou/O=test/C=US
このDNは、2つのOU属性を含むため無効です。このユーザーを検索および更新しようとすると、「ユーザーが見つかりません」エラーが発生します。
この問題の解決策として、リリース9.0.3.1以降はLotus Notes ITリソース・タイプにcertifierOU
パラメータが追加されました。このパラメータを使用して、ターゲット・システムで認証者のOUを指定します。
注意: ターゲット・システムに複数の認証者がある場合は、認証者ごとにLotus Notes ITリソース・タイプのITリソースを1つずつ作成する必要があります。ITリソースの作成の詳細は、『Oracle Identity Managerデザイン・コンソール・ガイド』を参照してください。 |
certifierOU
パラメータの値を指定すると、新しいユーザー・アカウントのDN作成時に、プロセス・フォームで指定したユーザーのOU値は無視されます。certifierOU
パラメータの値を指定しない場合、プロセス・フォームで指定したユーザーのOU値はDNで使用されます。この機能により、DNにOU値が1つしか含まれないことが確実になります。
注意: certifierOU ITリソース・パラメータの値を指定する場合、DNの認証者のOU値がcertifierOU パラメータ値と一致しないユーザー・レコードはリコンサイルされません。これは、ユーザーDNがターゲット・システムとOracle Identity Managerのレコードを一致させるために使用され、認証者のOU値の相違がDN値の不一致の原因となるためです。次の例でこの場合について説明します。
Lotus Notesのユーザー・アカウントが次のDNを持つとします。
このOracle Identity Managerインストールに作成されたいずれのITリソースにも |
注意: これはデプロイのオプションの手順です。この手順の詳細は、次のWebサイトを参照してください。
|
Oracle Identity ManagerおよびIBM Lotus Notes and Dominoサーバー間にSSL接続を設定するには、次のようにします。
SSL通信用のIBM Lotus Notes and Dominoサーバーで、DIIOPおよびHTTPタスクが実行されていることを確認してください。
IBM Lotus Notes and Dominoサーバーで、Server Certificate Admin(certsrv.nsf
)データベースを使用するキー・リングを作成します。2つのキー・リング・ファイルkeyfile.kyr
およびkeyfile.sth
を、サーバーのデータ・ディレクトリに移動します。
DIIOPタスクを再度開始して、IBM Lotus Notes and Dominoデータ・ディレクトリにTrustedCerts.class
という名前のファイルを生成します。次にデータ・ディレクトリのパスを示します。
lotus_home/Lotus/Domino/Data
このとき、lotus_home
はIBM Lotus Notes and Dominoがインストールされているディレクトリです。
TrustedCerts.class
ファイルをTrustedCerts.jar
ファイルにパッケージ化します。
TrustedCerts.jar
ファイルを、Oracle Identity Managerサーバーのjava_installation
\jre\lib\ext
ディレクトリに移動します。