Essbase 11gのユーザーとグループの移行

EssbaseユーザーおよびグループをEssbase 11g On-PremiseからEssbase 26aiに移行するためのタスク・フローは、アイデンティティ・プロバイダおよびアプリケーションの詳細によって異なります。

前提条件および考慮事項

  • Essbase 11g On-Premiseインスタンスで、ユーザーとグループをEPM Shared Servicesにネイティブに保管していた場合は、それらのユーザーとグループをエクスポートし、Essbase 26aiのセキュリティ・プロバイダにインポートする必要があります。Shared ServicesからWebLogic組込みLDAPに移行する場合は、エクスポートされたユーザーとグループのファイルの再フォーマットが必要になることがあります。

    Shared Servicesセキュリティは、EPMアプリケーションも使用し、EPMアプリケーションと「スタンドアロン」のEssbaseアプリケーションとの間でユーザーが重複しているEssbaseのお客様にのみお薦めします。EPMアプリケーションを使用しないEssbaseのお客様は、Shared Servicesセキュリティではなく、デフォルトのWebLogicセキュリティを使用してEssbaseに移行することをお薦めします。WebLogicセキュリティは、多数の外部認証アイデンティティ・プロバイダと統合できます。WebLogic認証を参照してください。

  • 既存のユーザーのフィルタおよび計算の割当てを移行する場合は、Essbaseに一連の同じユーザーおよびグループがすでに使用可能になっていることを確認してください。

  • ネイティブ(デフォルト)のアイデンティティ・プロバイダを使用している場合、ユーザーおよびグループをEssbase 11g On-Premiseから移行するには、それらをCSVファイルにエクスポートし、Essbase 26aiをインストールして構成した後です。統合した/外部プロバイダを使用している場合は、そのプロバイダをEssbase 26aiと統合します

  • ユーザー名をインポートするとき、名前の中に次の特殊文字を使用することはできません。

    # ; , = + * ? [ ] |< > \ " ' / [Space] [Tab]

    名前の長さは、50文字に制限されています。

シナリオ1 - Essbase 11gからのユーザー/グループのエクスポートとShared Servicesモードで構成されているEssbase 26aiへのエクスポート

ユーザーとグループの移行のシナリオ

ユーザー/グループのエクスポート

  • ソースEPMインスタンスでネイティブ Shared Servicesディレクトリが使用されている場合は、Shared Services Consoleを使用してユーザーとグループをエクスポートします。ネイティブ・ディレクトリ(セキュリティ)の移行を参照してください。EPM Shared Servicesからのエクスポート時には、ユーザーとグループのみを選択し、ロールは移行しないでください。ユーザーのロールは、Essbase 11g LCMエクスポート・ユーティリティで移行します。
  • Shared Servicesのソース・インスタンスが外部セキュリティ・プロバイダを使用するように構成されている場合は、ユーザー/グループは明示的にエクスポートする必要はありません。

ユーザー/グループのインポート

  • ターゲットEPMインスタンスでネイティブ Shared Servicesディレクトリが使用されている場合は、Shared Services Consoleを使用してユーザーとグループをインポートします。
  • ソースのEPMインスタンスが外部セキュリティ・プロバイダを使用するように構成されていた場合は(MSADなどのLDAPベースのユーザー・ディレクトリを使用している場合を含む)、同じプロバイダの詳細でターゲットのShared Servicesインスタンスを構成します。OID、Active Directoryおよびその他のLDAPベースのユーザー・ディレクトリの構成を参照してください。

Shared Services管理者のオプション

Essbase 11g On-PremiseインスタンスのShared Services管理者ユーザーを、認証にEPM Shared Servicesを使用するように構成されたEssbase 26aiインスタンスにインポートする場合は、次の考慮事項が誤りにならないように役立つ可能性があります。

ユーザーの移行ステップを行う前に、Essbase 26aiで構成したShared Servicesの専用EPM Foundation専用インスタンスがあることを確認してください。このShared Servicesインスタンスには、すでにShared Services管理者が存在しています。

注意:

ソースの11g EPMインスタンスのShared Services管理者がターゲットEPM Foundation専用インスタンスで構成した管理者と同じでなく、このソース管理者を次の場所に含める場合Essbase 26aiで構成されたEPM Foundation専用のShared Servicesにユーザーをインポートする際にこのCSVファイルを含める場合、ターゲットのShared Services管理者は11gのShared Services管理者で上書きされます。

この処理を行うには、次のいずれかのオプションを選択します。

  • 11gの管理者のみを使用する

    ソースのShared Services管理者がターゲットの管理者を上書きできるようにします。

    1. Shared Services管理者を含め、Essbase 11g On-PremiseのすべてのユーザーをCSVファイルにエクスポートします。
    2. すべてのユーザーをターゲットの空のEPM Foundation専用インスタンスにインポートします。
    3. ターゲット・インスタンスに11gのShared Services管理者としてログインし、ユーザーにロールと権限を割り当てます。ターゲット・インスタンスのShared Services管理者ユーザーは、ユーザーIDは同じものを保持しますが、パスワードはターゲット・インスタンスでの構成時に指定したものとなります。

  • ターゲットの管理者のみを使用する

    11gのShared Services管理者をエクスポート・ファイルから削除することで、ターゲットの管理者は上書きされません。

    1. Shared Services管理者を含め、Essbase 11g On-PremiseのすべてのユーザーをCSVファイルにエクスポートします。
    2. エクスポートCSVファイルから、管理者が含まれる行を削除します。
    3. 残りのユーザーはターゲットの空のEPM Foundation専用インスタンスにインポートします。
    4. ターゲットのShared Services管理者としてログインし、ユーザーにロールと権限を割り当てます。

  • 両方の管理者を維持する

    11gのShared Services管理者をターゲットの管理者に影響を及ぼすことなく移行するには、次のステップを実行します。

    1. Shared Services管理者を含め、Essbase 11g On-PremiseのすべてのユーザーをCSVファイルにエクスポートします。
    2. CSVファイルを編集して、ソースのShared Services管理者に関連付けられているinternal_id値を削除します。そうすると、Shared ServicesとEssbaseの管理者ロールは削除されますが、ユーザーIDとパスワードはそのまま維持されます。
    3. ユーザーをターゲットのEPM Foundation専用インスタンスにインポートします。Shared Services管理者のユーザーIDが移行されますが、もう管理者ロールはありません。
    4. ターゲットのShared Services管理者としてログインし、移行したばかりの11gのShared Services管理者のユーザーIDに任意のロールを付与します。

シナリオ2 - Essbase 11gからのユーザー/グループのエクスポートとWebLogicセキュリティ・モードで構成されているEssbase 26aiへのエクスポート

ユーザー/グループのエクスポート

  • ソースEPMインスタンスでネイティブ Shared Servicesディレクトリが使用されている場合は、Shared Services Consoleを使用してユーザーとグループをエクスポートします。ネイティブ・ディレクトリ(セキュリティ)の移行を参照してください。
  • ソース・Shared Servicesインスタンスが外部セキュリティ・プロバイダを使用するように構成されている場合は、ユーザー/グループは明示的にエクスポートする必要はありません。

ユーザー/グループのインポート

  • EPM 11gインスタンスでネイティブのShared Servicesディレクトリを使用していた場合は、Shared Servicesからエクスポートしたファイルを、WebLogicセキュリティ・モードは理解できる形式に手動で変換する必要がある可能性があります。
    1. Shared Servicesによってエクスポートされたユーザー/グループのZipファイルを開き、ファイル"resource\Native Directory\Users.csv"および"resource\Native Directory\Groups.csv"をターゲット26aiファイルとして抽出します。
    2. 次のようにグループを手動で割り当てます: ユーザーのグループの関連付けは、ソースのEssbase 11g CSVファイルから抽出され、ターゲットのEssbase 26ai CSVファイルに追加されてから、後でEssbase 26aiインタフェースにインポートされます。
    3. これらのターゲットの26ai CSVファイルの列を、ユーザーID、姓と名(オプション)、電子メール・アドレス(オプション)、パスワード(オプション)、およびロール・タイプ(ユーザー、パワー・ユーザーまたはサービス管理者)が含まれる形式に手動で並べ替えます。
    4. 上述のターゲットのCSVファイルのロール・タイプ・フィールドには、「ユーザー」と指定してください。
    5. サービス管理者としてログインしたEssbase 26aiインタフェースを使用して、変更したターゲットCSVファイルをインポートします。アプリケーションのホーム・ページ>「セキュリティ」>「インポート」に移動します。.csvファイルを参照し、「インポート」をクリックします。
  • ソースのEPMインスタンスが外部セキュリティ・プロバイダを使用するように構成されていた場合は、同じセキュリティ・プロバイダの詳細を使用してWebLogicを構成してください。認証プロバイダの構成を参照してください。

  • 既存のEssbase 11g On-Premiseインスタンスで使用されるShared Servicesセキュリティでは、ユーザーとグループがShared Servicesにネイティブに保管されている、または外部のアイデンティティ・プロバイダに格納されているユーザーおよびグループに保管されています。

    Essbase 26aiの構成時に、組込みのWebLogicセキュリティかShared Servicesのセキュリティ・モードを選択しています。選択したセキュリティ・モードを問わない、Essbaseのユーザーとグループが外部のアイデンティティ・プロバイダに存在する場合は、Essbase 26aiをそのプロバイダと統合する必要があります。WebLogic認証とEPM Shared Services認証、およびそのサブトピックで、外部アイデンティティ・プロバイダについて参照します。

    ノート:

    Shared ServicesからWebLogic Embedded LDAPに移行する場合は、エクスポートされたユーザーとグループのファイルの再フォーマットが必要になることがあります。

    ノート:

    Shared Servicesセキュリティは、EPMアプリケーションも使用し、EPMアプリケーションと「スタンドアロン」のEssbaseアプリケーションとの間でユーザーが重複しているEssbaseのお客様にのみお薦めします。EPMアプリケーションを使用しないEssbaseのお客様は、Shared Servicesセキュリティではなく、デフォルトのWebLogicセキュリティを使用してEssbaseに移行することをお薦めします。WebLogicセキュリティは、多数の外部認証アイデンティティ・プロバイダと統合できます。WebLogic認証を参照してください。

アクセス用のユーザー名

EssbaseをWebLogicセキュリティ・モードで実行することを選択した場合、ユーザー・ロールの割当ての動作がEssbase 11g On-Premiseと異なります。現在は「データベース・アクセス」が最も低いロールであり、デフォルトで、すべてのセルのデータ値への読取りアクセス権があります。データ値へのアクセスを制限するには、NONEフィルタを作成し、それをユーザーとグループに割り当てる必要があります。これは、「フィルタ」が最も低いロールであり、デフォルトですべてのセルのデータ値へのアクセス権を持たなかったEssbase 11g On-Premiseでは必要ありませんでした。

Essbaseのセキュリティ・アーティファクトのうち、Essbaseサーバーレベルのロール、アプリケーションレベルのロール、フィルタの関連付けおよび計算の関連付けは、11g LCMエクスポート・ユーティリティを使用して移行します。WebLogicセキュリティを使用するEssbaseインスタンスに移行することを選択した場合、LCMは対応する新規ロールを使用してユーザーとグループのプロビジョニングを処理します。ターゲットのEssbaseインスタンスがShared Servicesセキュリティを使用するように構成され、11gの同じロールがEssbaseに残される場合は、このマッピングが適用されません。

表7-1 デフォルトのロール・マッピング

ソースの11g EPM Shared Servicesロール ターゲット26aiのWebLogic組込みLDAPロール レベル
Administrator Service Administrator サーバー
アプリケーション・マネージャ アプリケーション・マネージャー 適用
Calc データベースの更新 適用
アプリケーションの作成/削除 パワー・ユーザー サーバー
データベース・マネージャ データベース・マネージャ 適用
フィルタ データベース・アクセス 適用
読取り データベース・アクセス 適用
サーバー・アクセス ユーザー サーバー
書込み データベースの更新 適用

Essbase 11g On-Premiseの「フィルタ」ロールは、「読取り」アクセスを許可しませんが、フィルタによって制限されたメンバーによるアクセスを許可します。現在は「フィルタ」ロールがなく、すべてのメンバーに読取りアクセスを許可する「データベース・アクセス」が最も低いロール・アクセスとなります。選択したメンバーにアクセスを制限するには、グローバル・アクセスを制限するグループ・フィルタを使用します。

タスクに必要なアクセス権:

  • エクスポート: 作成されたアプリケーションに対して少なくとも「アプリケーション・マネージャ」ロールを持つユーザーが、アプリケーション、フォルダおよびアーティファクトをエクスポートできます。

    さらに、すべてのアプリケーションに応じた「サービス管理者」ロールと、ユーザーが作成したアプリケーションのみに応じた「アプリケーションの作成/削除」ロールは、11g LCMエクスポート・ユーティリティと、そのロールに対応する操作を使用できます。

  • インポート: 少なくとも「パワー・ユーザー」ロール(WebLogicセキュリティ・モードの場合)または「アプリケーションの作成/削除」ロール(EPMセキュリティ・モードの場合)を持つユーザーは、インポート時にアプリケーションを作成し、アプリケーションを管理できます。

シナリオ3 - Essbase 11g On-Premiseからのユーザー/グループのエクスポートおよびEssbase 26aiへのインポート(IAMまたはIDCSをアイデンティティ・プロバイダとして構成)

IAMまたはIDCSで構成されたEssbase 21cへの11gユーザーとグループのエクスポートを参照してください。