| Oracle Identity Manager UNIX SSH Connectorガイド リリース9.0.4 E05517-01 |
|
 戻る |
 次へ |
コネクタをデプロイしたら、要件に合せて構成する必要があります。この章では、次のコネクタ構成手順を説明します。
|
注意: これらの項では、コネクタの構成に関する概念および手順の両方を説明します。概念情報を確認してから手順を実行することをお薦めします。 |
このガイドで前述したように、リコンシリエーションとは、ターゲット・システム上でのユーザー・アカウントの作成および変更を、Oracle Identity Managerで複製することです。この項では、リコンシリエーションの構成に関する次の項目について説明します。
デフォルトでは、前回のリコンシリエーションの実行後に追加または変更されたすべてのターゲット・システム・レコードが、現在のリコンシリエーションの実行中にリコンサイルされます。リコンサイルする必要のある追加または変更されたターゲット・システム・レコードのサブセットを指定して、このプロセスをカスタマイズできます。これは、リコンシリエーション・モジュールのフィルタを作成して行います。
フィルタを作成するには、スケジュール済タスク属性UserNameFilterに値を指定します。この値は、問合せのSELECT条件で、リコンサイルするレコードを取得するために使用されます。たとえば、この属性にJDoeという値を指定した場合は、JDoeというユーザー名を持つすべてのターゲット・システム・ユーザー・レコードがリコンサイルされます。
コネクタをデプロイする際、この属性に値を指定するには「スケジュール済タスク属性の値の指定」に記載されている説明に従ってください。
リコンシリエーションの実行中に、ターゲット・システム・レコードのすべての変更内容がOracle Identity Managerにリコンサイルされます。リコンサイルされるレコード数によっては、このプロセスに長い時間がかかる場合があります。また、リコンシリエーション中に接続が中断すると、プロセスの完了にはさらに時間がかかります。
これらの問題を避けるため、バッチ・リコンシリエーションを構成できます。
バッチ・リコンシリエーションを構成するには、次のユーザー・リコンシリエーションのスケジュール済タスクの属性に値を指定する必要があります。
BatchSize: この属性を使用して、各バッチに含めるレコード数を指定します。デフォルト値は1000です。
NumberOfBatches: この属性を使用して、リコンサイルするバッチの総数を指定します。デフォルト値は、Allです。
All以外の値を指定した場合、新規追加または修正されたユーザー・レコードの一部は、その回のリコンシリエーション中にはリコンサイルされない可能性があります。次の例でこれについて説明します。
スケジュール済タスクの構成時に次の値を指定したとします。
BatchSize: 20
NumberOfBatches: 10
前回のリコンシリエーション実行後に、314件のユーザー・レコードが作成または修正されたとします。これら314レコードのうち、200レコードが今回のリコンシリエーション実行中にリコンサイルされます。残りの114レコードは、次回のリコンシリエーション実行中にリコンサイルされます。
BatchSizeおよびNumberOfBatches属性に値を指定する際には、「スケジュール済タスク属性の値の指定」に記載されている説明に従ってください。
システム・プロパティを構成するには、次のようにします。
コネクタの構成中に、ターゲット・システムを、信頼できるソースまたはターゲット・リソースとして指定できます。ターゲット・システムを信頼できるソースとして指定すると、新規作成されたユーザー・アカウントと変更されたユーザー・アカウントの両方が、Oracle Identity Managerでリコンサイルされます。ターゲット・システムをターゲット・リソースとして指定すると、変更されたユーザー・アカウントのみがOracle Identity Managerでリコンサイルされます。
|
注意: ターゲット・システムをリコンシリエーションの信頼できるソースとして指定しない場合は、この項を省略してかまいません。 |
デプロイメント・マネージャを使用して、信頼できるソースのリコンシリエーション用のXMLファイル（XellSSHUser.xml）をインポートします。この項では、XMLファイルのインポート手順を説明します。
|
注意: 信頼できるソースとして指定できるのは、1つのターゲット・システムのみです。別の信頼できるソースを構成している状態でXellSSHUser.xmlファイルをインポートした場合、2つのコネクタのリコンシリエーションはいずれも機能しなくなります。 |
スケジュール済タスクSSH UserTrusted Reconciliation taskの属性に値を指定します。この手順はこのガイドで後述します。
信頼できるソースのリコンシリエーションを構成するには、次のようにします。
左のナビゲーション・バーの「デプロイメント管理」リンクをクリックします。
「デプロイメント管理」の下の「インポート」リンクをクリックします。ファイルを開くダイアログ・ボックスが表示されます。
XellSSHUser.xmlファイルを検索して開きます。このファイルはOIM_home/xellerate/XLIntegrations/SSH/xmlディレクトリにあります。このXMLファイルの詳細は、「ファイル・プレビュー」ページに表示されます。
「ファイルの追加」をクリックします。「置換」ページが表示されます。
「次へ」をクリックします。「確認」ページが表示されます。
「インポート」をクリックします。
表示されるメッセージで、「インポート」をクリックしてXMLファイルのインポートを確認します。次に、「OK」をクリックします。
リコンシリエーションのスケジュール済タスクを作成するには、次のようにします。
「Xellerate Administration」フォルダを開きます。
「Task Scheduler」を選択します。
「Find」をクリックします。事前定義されたスケジュール済タスクの詳細が表示されます。
「Max Retries」フィールドに数値を入力します。この数はOracle Identity Managerがタスクを完了するために試行する回数です。この数を超えると、ERRORステータスがタスクに割り当てられます。
「Disabled」チェック・ボックスと「Stop Execution」チェック・ボックスが選択されていないことを確認します。
「Start」リージョンで「Start Time」フィールドをダブルクリックします。表示される日付時間エディタで、タスクを実行する日付と時間を選択します。
「Interval」リージョンで、次のスケジュール・パラメータを設定します。
タスクを繰り返し実行するように設定するには、「Daily」、「Weekly」、「Recurring Intervals」、「Monthly」または「Yearly」のオプションを選択します。
「Recurring Intervals」オプションを選択した場合は、タスクを繰り返して実行する間隔も指定する必要があります。
タスクを1回のみ実行するように設定するには、「Once」オプションを選択します。
スケジュール済タスクのユーザーによる構成が可能な属性の値を指定します。指定する値の詳細は、「スケジュール済タスク属性の値の指定」を参照してください。
|
関連資料: タスク属性の追加および削除の詳細は、『Oracle Identity Managerデザイン・コンソール・ガイド』を参照してください。 |
「Save」をクリックします。スケジュール済タスクが作成されます。INACTIVEステータスが「Status」フィールドに表示されますが、これは、タスクが現在実行されていないためです。タスクは、ステップ7で設定した日時に実行されます。
スケジュール済タスクを作成したら、「Oracle Identity Managerリリース9.0.1のリコンシリエーションの有効化」に進みます。
信頼できるソースと信頼できないソースのどちらのリコンシリエーションを実装するかによって、次のいずれかのユーザー・リコンシリエーションのタスク属性に値を指定する必要があります。
SSH UserTrusted Reconciliation task（信頼できるソースのリコンシリエーションに対するスケジュール済タスク）
SSH User Non Trusted Reconciliation task（信頼できないソースのリコンシリエーションに対するスケジュール済タスク）
次の表で、両方のスケジュール済タスクの属性を説明します。
|
注意:
|
| 属性 | 説明 | サンプル値 |
|---|---|---|
Server |
ITリソースの名前。 | SSH server Solaris |
Passwd Mirror File/User Mirror File |
passwordミラー・ファイル/userミラー・ファイルの名前。
SUDOユーザーには、このファイルに対する読取りおよび書込み権限が必要です。 たとえば、次のコマンドを実行して、ミラー・ファイルに対する権限を表示するとします。
コマンドにより生成される出力は次のとおりです。
この出力で、 |
/etc/passwd1 |
Shadow Mirror File |
shadowミラー・ファイルの名前。
SUDOユーザーには、このファイルに対する読取りおよび書込み権限が必要です。 たとえば、次のコマンドを実行して、ミラー・ファイルに対する権限を表示するとします。
コマンドにより生成される出力は次のとおりです。
この出力で、 注意: この属性は、AIXでは不要です。 HP-UXの信頼できるシステムの場合でも、この属性の値はNULLまたは空白にはできません。ただし、HP-UXの信頼できるシステムでのリコンシリエーション・プロセスでは、この属性は無視されます。 |
/etc/shadow1 |
IsTrusted |
信頼できるモードでリコンシリエーションを実行するかどうかを指定します。 | 信頼できるソースのリコンシリエーションの場合はYesを指定します。
信頼できないソースのリコンシリエーションの場合は |
Target System Recon - Resource Object name |
ターゲット・システムのリソース・オブジェクトの名前。 | SSH User |
Trusted Source Recon - Resource Object name |
信頼できるソース・リソース・オブジェクトの名前。 | デフォルト値: Xellerate User
信頼できるソースのリコンシリエーションを構成しない場合には |
Date Format |
ターゲット・システムから送信される日付値が、リコンシリエーション中に保存される書式。
指定する値は、「システム・プロパティの構成」の項で指定された値と同一である必要があります。 |
yyyy/MM/dd hh:mm:ss z |
BatchSize |
リコンサイルされる各バッチのレコード数。
バッチ・リコンシリエーションを実装しない場合は 関連項目: 「バッチ・リコンシリエーション」 |
デフォルト値は1000です。 |
NumOfBatches |
リコンサイルされるバッチの数。
各バッチのレコード数は、 関連項目: 「バッチ・リコンシリエーション」 |
すべてのバッチをリコンサイルする場合は、Allを指定します。これはデフォルト値です。
一定数のバッチのみをリコンサイルする場合は、整数値を指定します。 |
UserNameFilter |
これはフィルタ属性です。この属性には、どのユーザーのレコードをリコンサイルするかを示すユーザー名（ユーザー・ログイン）を指定します。
このフィルタ属性を使用しない場合は、 関連項目: 「部分リコンシリエーション」 |
値はユーザー名またはNodataです。
デフォルト値は |
これらのタスク属性の値を指定したら、ステップ10に進んで、スケジュール済タスクを作成します。
Oracle Identity Managerリリース9.0.1を使用している場合は、次の手順を実行してリコンシリエーションを有効にする必要があります。
|
関連資料: 『Oracle Identity Managerデザイン・コンソール・ガイド』 |
SSH Userの「Process Definition」フォームを開きます。このフォームは「Process Management」フォルダにあります。
「Reconciliation Field Mappings」タブをクリックします。
ITリソース・タイプの各フィールドで次の操作を行います。
フィールドをダブルクリックして、そのフィールドの「Edit Reconciliation Field Mapping」ウィンドウを開きます。
「Key Field for Reconciliation Matching」の選択を解除します。
|
注意: この項では、属性という用語はユーザー・データを格納するIDデータ・フィールドを指します。 |
デフォルトでは、「リコンシリエーション・モジュール」で示した属性が、Oracle Identity Managerとターゲット・システム間のリコンシリエーション用にマップされます。必要に応じて、次の追加属性をリコンシリエーション用にマップできます。
|
注意: リコンシリエーション用のカスタム属性を追加しない場合は、この手順を実行する必要はありません。 |
|
関連資料: 次の手順の実行に関する詳細は、『Oracle Identity Managerデザイン・コンソール・ガイド』を参照してください。 |
OIM_home/xellerate/XLIntegrations/SSH/configディレクトリの次のファイルを開きます。
AIXの場合:
userAttribute_AIX_recon.properties
AIX以外のプラットフォームの場合:
userAttribute_NonAIX_recon.properties
このファイルの最後では、一部の属性定義の前にコメント文字が付けられています。属性の定義をコメント解除して、その定義をリコンシリエーション属性のリストに含めることができます。必要に応じて、このファイルに新規属性を追加することもできます。使用する必要のある書式は次のとおりです。
AIXの場合:
Connector_Attribute=OIM_Server_Attribute
次に例を示します。
maxage=Users.AccountExpiryDate
この例では、AccountExpiryDateがリコンシリエーション・フィールドで、maxageは対応するサーバー・コマンド・パラメータです。標準として、すべてのリコンシリエーション・フィールド名の前に接頭辞Users.が付けられます。
AIX以外のプラットフォームの場合:
OIM_Server_Attribute=Target_Server_Attribute_index
次に例を示します。
Users.DefaultShell=6
この例では、DefaultShellがリコンシリエーション・フィールドで、6は対応するサーバーのターゲット・サーバー属性の索引です。標準として、すべてのリコンシリエーション・フィールド名の前に接頭辞Users.が付けられます。
リソース・オブジェクト定義で、新しい属性に対応するリコンシリエーション・フィールドを次のように追加します。
「Resource Objects」フォームを開きます。このフォームは「Resource Management」フォルダにあります。
「Query for Records」をクリックします。
「Resource Objects Table」タブで、SSH Userリソース・オブジェクトをクリックし、編集のために開きます。
「Object Reconciliation」タブで、「ADD Field」をクリックして、「Add Reconciliation Field」ダイアログ・ボックスを開きます。
フィールド名となる値を指定します。
AIXの場合:
手順2でコメント解除または追加した行の、等号記号の右にある名前を指定する必要があります。
たとえば、手順2でmaxage=Users.AccountExpiryDateの行をコメント解除した場合、Users.AccountExpiryDateを属性名として指定する必要があります。
AIX以外のプラットフォームの場合:
手順2でコメント解除または追加した行の、等号記号の左にある名前を指定する必要があります。
たとえば、手順2でUsers.DefaultShell=6の行をコメント解除した場合、Users.DefaultShellを属性名として指定する必要があります。
「Field Type」リストから、フィールドのデータ・タイプを選択します。
例: String
入力した値を保存し、ダイアログ・ボックスを閉じます。
必要に応じて、手順d〜gを繰り返してフィールドをさらにマップします。
プロセス定義を次のように修正して、新しく追加された属性と、対応するリコンシリエーション・フィールドとの間のマッピングを追加します。
「Process Definition」フォームを開きます。このフォームは「Process Management」フォルダにあります。
「Reconciliation Field Mappings」タブで、「Add Field Map」をクリックして、「Add Reconciliation Field Mapping」ダイアログ・ボックスを開きます。
必要な値を入力し、入力した値を保存した後、ダイアログ・ボックスを閉じます。
必要に応じて、手順bとcを繰り返してフィールドをさらにマップします。
このガイドで前述したように、プロビジョニングとは、Oracle Identity Managerを介して、ターゲット・システム上でユーザー・アカウント情報を作成または変更することです。
この項では、プロビジョニングの構成に関する次の項目について説明します。
|
注意: このターゲット・システムに対してOracle Identity Managerのプロビジョニング機能を使用する場合は、この手順を実行する必要があります。 |
アダプタは、プロビジョニング機能を実装するために使用されます。コネクタのXMLファイルをインポートすると次のアダプタがOracle Identity Managerにインポートされます。
SSH Create User
SSH Delete User
SSH Set Password
SSH Enable User
SSH Disable User
SSH Prepopulate User Login
SSH updateDateField
SSH updateIntField
SSH updateStrField
これらのアダプタは、プロビジョニング操作で使用する前にコンパイルする必要があります。
「アダプタ・マネージャ」フォームを使用してアダプタをコンパイルするには、次のようにします。
「アダプタ・マネージャ」フォームを開きます。
現在のデータベースにインポートしたすべてのアダプタをコンパイルするには、「すべてをコンパイル」を選択します。
（すべてではないが）複数のアダプタをコンパイルするには、コンパイルするアダプタを選択します。次に、「選択したものをコンパイル」を選択します。
|
注意: 正常にコンパイルされなかったアダプタのみを再コンパイルするには、「以前の失敗分をコンパイル」をクリックします。そのようなアダプタはコンパイルのステータスがOKになっていません。 |
「開始」をクリックします。選択したアダプタがOracle Identity Managerによってコンパイルされます。
Oracle Identity Managerがクラスタ環境にインストールされている場合は、OIM_home/xellerate/Adapterディレクトリから、コンパイル済のアダプタをクラスタの他の各ノードの同じディレクトリにコピーします。必要な場合には、その他のノードのアダプタ・ファイルを上書きします。
一度に1つのアダプタをコンパイルする場合は、「アダプタ・ファクトリ」フォームを使用します。
|
関連資料: 「アダプタ・ファクトリ」フォームおよび「アダプタ・マネージャ」フォームの使用方法の詳細は、『Oracle Identity Manager Toolsリファレンス・ガイド』を参照してください。 |
アダプタの詳細情報を表示するには、次のようにします。
「アダプタ・マネージャ」フォームでアダプタをハイライト表示します。
アダプタの行ヘッダーをダブルクリックするか、アダプタを右クリックします。
表示されるショートカット・メニューで「アダプタの起動」を選択します。アダプタの詳細が表示されます。
|
注意: この項では、属性という用語はユーザー・データを格納するIDデータ・フィールドを指します。 |
デフォルトでは、「プロビジョニング・モジュール」で示した属性が、Oracle Identity Managerとターゲット・システム間のプロビジョニング用にマップされます。必要に応じて、次の追加属性をプロビジョニング用にマップできます。
|
関連資料: 『Oracle Identity Managerデザイン・コンソール・ガイド』 |
次のファイル内の属性エントリを修正します。
AIXプラットフォームの場合:
OIM_home/xellerate/XLIntegrations/SSH/config/userAttribute_AIX_prov.properties
AIX以外のプラットフォームの場合:
OIM_home/xellerate/XLIntegrations/SSH/config/userAttribute_NonAIX_prov.properties
必要に応じて、このファイルに新しい属性を追加できます。使用する必要のある書式は次のとおりです。
OimAttributeName=TargetAttributeName
次に例を示します。
homeDir=-d
プロセス・フォームに新しい列を追加します。
プロセス・フォームを開きます。このフォームは、Oracle Identity Manager Design Consoleの「Development Tools」フォルダ内にあります。
「Create New Version」をクリックします。
「Create New Version」ダイアログ・ボックスで、「Label」フィールドにバージョン名を指定し、変更内容を保存した後、ダイアログ・ボックスを閉じます。
「Current Version」リストから、新しく作成したバージョンを選択します。
「Additional Columns」タブで、「Add」をクリックします。
新しいフィールド名とその他の値を指定します。
変数リストに新しい変数を追加します。
「Adapter Factory」フォームを開きます。このフォームは、Oracle Identity Manager Design Consoleの「Development Tools」フォルダ内にあります。
「Query for Records」アイコンをクリックします。
「Adapter Factory Table」タブで、リストから「adpSSHCREATEUSER」アダプタをダブルクリックします。
「Variable List」タブで、「Add」をクリックします。
「Add a Variable」ダイアログ・ボックスで、必要な値を指定し、保存してダイアログ・ボックスを閉じます。
adpSSHCREATEUSERアダプタに新しく追加した変数用に、追加のアダプタ・タスクを定義します。
「Adapter Factory」フォームの「Adapter Tasks」タブで、「Add」をクリックします。
「Adapter Task Selection」ダイアログ・ボックスで、「Functional Task」を選択し、関数タスクのタイプ・リストから「Java」を選択して、「Continue」をクリックします。
「Object Instance Selection」ダイアログ・ボックスで、「Persistent Instance」を選択し、「Continue」をクリックします。
「Add an Adapter Factory Task」ダイアログ・ボックスで、タスク名を指定し、「Method」リストから「setProperty」メソッドを選択して、「Save」をクリックします。
アプリケーション・メソッド・パラメータをマップし、保存してダイアログ・ボックスを閉じます。アプリケーション・メソッド・パラメータをマップするには、次の手順を実行します。
Output: String Return variable（Adapter Variable）パラメータの場合:
i. 「Map to」リストから、「Literal」を選択します。
ii.「Name」リストから、「Return variable」を選択します。
Input: String input（Adapter Variable）パラメータの場合:
i. 「Map to」リストから、「Adapter Variables」を選択します。
ii.「Name」リストから、「Input」を選択します。
Input: String Status（Literal）パラメータの場合:
i. 「Map to」リストから、「Literal」を選択します。
ii.「Name」リストから、「String」を選択します。
iii.「Value」フィールドに、Statusと入力します。
Input: String Status（Adapter Variable）パラメータの場合:
i. 「Map to」リストから、「Adapter Variables」を選択します。
ii.「Name」リストから、「Status」を選択します。
さらにアダプタ・タスクを作成するには、手順b〜gを繰り返します。
入力された変数を設定するための、追加のアダプタ・タスクを作成します。
「Adapter Factory」フォームを開きます。このフォームは、Oracle Identity Manager Design Consoleの「Development Tools」フォルダ内にあります。
「Adapter Tasks」タブで、「Add」をクリックします。
「Adapter Task Selection」ダイアログ・ボックスで、「Logic Task」を選択し、リストから「SET VARIABLE」を選択して、「Continue」をクリックします。
「Edit Set Variable Task Parameters」ダイアログ・ボックスで、「Variable Name」リストから「input」を選択し、「Operand Type」リストから「Adapter Task」を選択した後、前の手順で作成したアダプタ・タスクとして「Operand Qualifier」を選択します。その後、「Save」をクリックします。
次のようにして、Create Userプロセス・タスクのプロセス・フォーム列とアダプタ変数をマップします。
「Process Definition」フォームを開きます。このフォームはDesign Consoleの「Process Management」フォルダにあります。
「Query for Records」アイコンをクリックします。
「Process Definition Table」タブで、「SSH User」プロセスをダブルクリックします。
「Tasks」タブで、「Create User」タスクをダブルクリックします。
「Closing Form」ダイアログ・ボックスで、「Yes」をクリックします。
「Editing Task Columns Create User」ダイアログ・ボックスの「Integration」タブで、マップされていない変数をマップし、保存してダイアログ・ボックスを閉じます。マップされていない変数をマップするには、次の手順を実行します。
i. 「Status」列に「N」と表示されている行をダブルクリックします。値Nは、変数がマップされていないことを示します。
ii.「Edit Data Mapping for Variables」ダイアログ・ボックスの「Map to」リストから、「Process Data」を選択します。
iii.「Qualifier」リストから、変数の名前を選択します。
マップされていないすべての変数について、手順i〜iiiを繰り返します。
属性をさらに追加する場合は、手順1〜6を繰り返します。
|
注意: この手順は、ターゲット・システムの複数のインストールに対応するようにコネクタを構成する場合のみ実行します。 |
ターゲット・システムの複数のインストールに対してコネクタを構成する場合があります。次の例でこの要件について説明します。
Acme Multinational Inc.の東京、ロンドンおよびニューヨークの事業所には、独自にターゲット・システムがインストールされています。最近、この会社では、Oracle Identity Managerをインストールし、これを構成してインストールされたすべてのターゲット・システムをリンクしようとしています。
このような例で示される要件に対応するには、ターゲット・システムの複数のインストールに対するコネクタを構成する必要があります。
ターゲット・システムの複数のインストールに対してコネクタを構成するには、次のようにします。
|
関連資料: この手順の各ステップ実行の詳細は、『Oracle Identity Managerデザイン・コンソール・ガイド』を参照してください。 |
各ターゲット・システム・インストールに対して1つのリソースを作成して構成します。
「IT Resources」フォームは「Resource Management」フォルダにあります。ITリソースは、コネクタのXMLファイルをインポートすると作成されます。このITリソースは、同じリソース・タイプの、残りのITリソース作成用のテンプレートとして使用できます。
各ターゲット・システム・インストールについてリコンシリエーションを構成します。手順は、「リコンシリエーションの構成」を参照してください。ITリソースの指定に使用される属性の変更と、ターゲット・システム・インストールを信頼できるソースとして設定するかどうかの指定のみが必要です。
必要であれば、Xellerate Userリソース・オブジェクトに対してリコンサイルされるフィールドを変更します。
管理およびユーザー・コンソールを使用してプロビジョニングを実行する場合、ユーザーのプロビジョニング先のターゲット・システム・インストールに対応するITリソースを指定できます。
