識別情報アプリケーションのインストールプロセスを開始する前に、その前提条件とコンピュータ要件をレビューすることをお勧めします。ユーザアプリケーション環境の設定の詳細については、『NetIQ Identity Manager - User’s Guide to the Identity Applications』を参照してください。
識別情報アプリケーションのインストールの検討事項
識別情報アプリケーションのインストールには次の検討事項が適用されます。
-
次のIdentity Managerコンポーネントのサポートされるバージョンが必要です。
-
Identity Managerエンジン
-
リモートローダ
-
(オプション) Identity Managerコンポーネント間の通信では、SSL (Secure Sockets Layer)プロトコルを有効にすることをお勧めします。SSLプロトコルを使用するには、現在の環境でSSLを有効にして、インストール時にを指定する必要があります。SSLの有効化については、『NetIQ Analyzer for Identity Manager Administration Guide』のConfiguring Security in the Identity Applicationsを参照してください。
-
役割とリソースサービスドライバはjClientを使用するので、リモートローダと組み合わせて使用することはできません。
-
インストールプロセスはデフォルトで、このプログラムのファイルを/opt/netiq/idmディレクトリに配置します。ユーザアプリケーションをデフォルト以外の新しいディレクトリにインストールする場合、そのディレクトリはインストールプロセス開始前に次の要件を満たしている必要があります。
-
各ユーザアプリケーションインスタンスは1つのユーザコンテナのみ処理できます。たとえば、インスタンスに関連付けられているコンテナに対してのみユーザの追加、検索、およびクエリを実行できます。また、アプリケーションとコンテナの関係は永続的なものと見なされます。
-
(オプション)管理対象システムから認証を取得するには、Identity Managerの1つまたは複数のドライバをインストールします。
-
Identity Manager 4.6以降によりサポートされているドライバを使用する必要があります。ドライバのインストールの詳細については、NetIQ Identity ManagerドライバマニュアルのWebサイトで該当するドライバガイドを参照してください。
-
ドライバを管理するには、DesignerまたはiManagerの適切なプラグインがインストールされている必要があります。iManagerプラグインはIdentity Managerエンジンインストールにパッケージされています。
識別情報アプリケーションの設定と使用方法の検討事項
識別情報アプリケーションを設定および初めて使用する際、次の検討事項が適用されます。
-
ユーザが識別情報アプリケーションにアクセスできるようにするには、次のアクティビティを完了する必要があります。
-
必要なすべてのIdentity Managerドライバがインストールされていることを確認します。
-
識別ボールトのインデックスがオンラインモードであることを確認します。インストール時にインデックスを設定する方法の詳細については、その他を参照してください。
-
すべてのブラウザでcookieを有効にします。cookieが無効な場合、アプリケーションは機能しません。
-
インストールプロセス中、インストールプログラムによりログファイルがインストールディレクトリに書き込まれます。これらのファイルには、設定に関する情報が含まれています。現在の識別情報アプリケーション環境を設定した後で、これらのログファイルを削除するか、安全な場所に保存することを検討する必要があります。インストールプロセス中、データベーススキーマをファイルに書き込むことも選択できます。このファイルにはデータベースについての説明的な情報が含まれているので、インストールプロセスが完了した後で、安全な場所に移動する必要があります。
-
(状況によって実行)アイデンティティアプリケーションを監査するには、現在の環境にIdentity Reportingと監査サービスがインストールされ、イベントをキャプチャするように設定されている必要があります。また、識別情報アプリケーションを監査用に設定する必要があります。
パーミッションインデックスの場所の指定
アイデンティティアプリケーションをインストールすると、Tomcatのパーミッションインデックスが作成されます。インデックスの場所を指定しない場合、一時ディレクトリにフォルダが作成されます。たとえば、Tomcat上の/opt/netiq/idm/apps/tomcat/temp/permindexです。
通常は、テスト環境では場所は問題になりません。ただし、運用環境またはステージング環境では、一時ディレクトリにパーミッションインデックスを配置することが好ましくない場合があります。
インデックスの場所を指定するには
-
Tomcatを停止します。
-
テキストエディタでism-configuration.propertiesファイルを開きます。
-
ファイルの末尾に、次のテキストを追加します。
com.netiq.idm.cis.indexdir = path/permindex
例:
com.netiq.idm.cis.indexdir = /opt/netiq/idm/apps/tomcat/temp/permindex
-
ファイルを保存して閉じます。
-
一時ディレクトリの既存のpermindexフォルダを削除します。
-
Tomcatを起動します。
クラスタリングのパーミッションインデックスの有効化
このセクションでは、クラスタリングのパーミッションインデックスの有効化手順について説明します。
-
クラスタの1番目のノードでiManagerにログインし、に移動します。
-
の下で、を含むドライバセットに移動します。
-
> > の順に選択します。
-
XMLData属性を選択し、com.netiq.idm.cis.clusteredプロパティをに設定します。
次に例を示します。
<property>
<key>com.netiq.idm.cis.clustered</key>
<value>true</value>
</property>
-
をクリックします。
識別情報アプリケーションのデータベースをインストールする場合の前提条件
このデータベースには、識別情報アプリケーションのデータと環境設定情報が格納されます。
データベースインスタンスをインストールする前に、次の前提条件をレビューします。
-
Tomcatでデータベースを使用するように設定するには、JDBCドライバを作成する必要があります。識別情報アプリケーションは標準のJDBCコールを使用してデータベースのアクセスや更新を行います。識別情報アプリケーションは、JNDIツリーにバインドされたJDBCデータソースファイルを使用して、データベースへの接続を開きます。
-
データベースを参照するデータソースファイルが既存である必要があります。ユーザアプリケーションのインストール プログラムは、データベースを参照するserver.xmlとcontext.xmlにTomcatのデータソースエントリを作成します。
-
次の情報を手元に用意します。
-
データベースサーバのホストとポート。
-
作成するデータベースの名前。識別情報アプリケーションのデフォルトのデータベースはidmuserappdbです。
-
データベースのユーザ名およびパスワード。データベースのユーザ名は、管理者アカウントを表すか、データベースサーバでテーブルを作成できる十分な許可を持っている必要があります。ユーザアプリケーションのデフォルトの管理者はidmadminです。
-
使用しているデータベース用にデータベースベンダーから提供されるドライバ.jarファイル。NetIQはサードパーティベンダーから提供されるドライバJARファイルをサポートしません。
-
データベースインスタンスは、ローカルコンピュータまたは接続されたサーバのどちらにも配置できます。
-
データベース文字セットはUnicodeエンコーディングを使用する必要があります。たとえば、UTF-8はUnicodeエンコード方式を使用する文字セットですが、Latin1はUnicodeエンコード方式を使用しません。文字セットの指定の詳細については、文字セットの設定またはOracleデータベースの設定を参照してください。
-
マイグレーション時に重複キーエラーが発生しないように、大文字と小文字を区別する照合を使用します。重複キーエラーが発生した場合は、照合を確認して修正してから、識別情報アプリケーションを再インストールします。
-
(状況によって実行) 1つのデータベースインスタンスを監査目的とアイデンティティアプリケーションの両方で使用する場合、アイデンティティアプリケーションを実行するTomcatをホストするサーバとは別の専用サーバにデータベースをインストールすることをお勧めします。
-
(状況によって実行)新しいバージョンの識別情報アプリケーションに移行する場合、移行前のインストールで使用していたデータベースと同じデータベースを使用する必要があります。
-
データベースクラスタリングは、個々のデータベースサーバの機能です。クラスタリングは本製品の機能とは無関係なので、NetIQはどのクラスタ化データベース設定についても公式なテストを実行していません。したがって、次の警告付きで、クラスタ化データベースサーバをサポートします。
-
デフォルトで、最大接続数は100に設定されます。この値は、クラスタ内のワークフロー要求を処理するには小さすぎる場合があります。次の例外が表示される場合があります。
(java.sql.SQLException: Data source rejected establishment of connection, message from server: "Too many connections."
最大接続数を増やすには、my.cnfファイルにあるmax_connections変数をより高い値に設定してください。
-
クラスタ化データベースサーバの一部の機能または側面を無効にする必要がある場合があります。たとえば、トランザクションレプリケーションは、重複キーを挿入しようとしたときに制約違反になるので、特定のテーブルでは無効にする必要があります。
-
クラスタ化データベースサーバのインストール、設定、または最適化について、クラスタ化データベースサーバへの弊社製品のインストールも含めて、支援を提供することはありません。
-
クラスタ化データベース環境で弊社製品を使用する際に問題が発生した場合は、その解決に向けて最善の努力を尽くします。複雑な環境におけるトラブルシューティング方法の多くは、問題を解決するために連携作業を必要とします。NetIQは、自社製品の分析、プラニング、およびトラブルシューティングを実行するための専門知識を提供します。他のサードパーティ製品の分析、プラニング、およびトラブルシューティングを実行するための専門知識は、お客様から提供していただく必要があります。NetIQ製品の問題とクラスタ設定の潜在的な問題を切り分けるために、お客様には問題の再現または非クラスタ化環境におけるコンポーネントの動作の分析をお願いします。
識別情報アプリケーションのデータベースの設定
識別情報アプリケーションのデータベースは、設定データの保存やワークフローアクティビティのデータの保存などのタスクをサポートします。アプリケーションをインストールする前に、データベースがインストールされ、設定されている必要があります。サポートされるデータベースの詳細については、識別情報アプリケーションのシステム要件を参照してください。ユーザアプリケーションデータベースの検討事項の詳細については、識別情報アプリケーションのデータベースをインストールする場合の前提条件を参照してください。
Oracleデータベースの設定
このセクションでは、ユーザアプリケーションでOracleデータベースを使用する場合の設定オプションについて説明します。サポートされるOracleのバージョンについては、識別情報アプリケーションのシステム要件を参照してください。
データベースの互換性レベルの確認
Oracleの異なるリリースからのデータベースは、これらが同じ機能をサポートし、これらの機能が同様に実行される場合には互換性があります。互換性がない場合は、特定の機能または操作が想定されるように動作しない場合があります。たとえば、識別情報アプリケーションを展開できないスキーマの作成は失敗します。
データベースの互換性レベルを確認するには、次の手順を実行します。
-
データベースエンジンに接続します。
-
SQL Serverデータベースエンジンの適切なインスタンスに接続した後で、で、サーバ名をクリックします。
-
を展開します。さらに、データベースに応じて、ユーザデータベースを選択するか、を展開してシステムデータベースを選択します。
-
データベースを右クリックし、をクリックします。
ダイアログボックスが開きます。
-
ペインで、をクリックします。
現在の互換性レベルがリストボックスに表示されます。
-
を確認するには、クエリウィンドウで以下を入力し、をクリックします。
SQL> SELECT name, value FROM v$parameter
WHERE name = 'compatible';
予期される結果は12.1.0.2です
文字セットの設定
ユーザアプリケーションデータベースは、Unicodeエンコーディング文字セットを使用する必要があります。データベースを作成する際にAL32UTF8を使用してこの文字セットを指定します。
Oracle 12cデータベースにUTF-8が設定されていることを確認するには、次のコマンドを実行します。
select * from nls_database_parameters;
データベースにUTF-8が設定されていない場合、次の情報が表示されます。
NLS_CHARACTERSET
WE8MSWIN1252
設定されている場合、データベースにUTF-8が設定されていることを示す次の情報が表示されます。
NLS_CHARACTERSET
AL32UTF8
文字セットの設定の詳細については、「Choosing an Oracle Database Character Set」を参照してください。
管理者ユーザアカウントの設定
ユーザアプリケーションを使用するには、Oracleデータベースユーザアカウントが特定の特権を持っている必要があります。SQL Plusユーティリティで、次のコマンドを入力します。
CREATE USER idmuser IDENTIFIED BY password
GRANT CONNECT, RESOURCE to idmuser
ALTER USER idmuser quota 100M on USERS;
ここで、idmuserはユーザアカウントを表します。
SQL Serverデータベースの設定
このセクションでは、ユーザアプリケーションでSQL Serverデータベースを使用する場合の設定オプションについて説明します。サポートされるSQL Serverのバージョンについては、識別情報アプリケーションのシステム要件を参照してください。
文字セットの設定
SQL Serverでは、ユーザはデータベースの文字セットを指定できません。ユーザアプリケーションはSQL Serverの文字データをNCHARカラムタイプ(UTF-8をサポート)で保存します。
管理者ユーザアカウントの設定
Microsoft SQL Serverをインストールした後、SQL Server Management Studioなどのアプリケーションを使用してデータベースとデータベースユーザを作成します。データベースユーザアカウントは、次の特権を持つ必要があります。
-
CREATE TABLE
-
DELETE
-
INSERT
-
SELECT
-
UPDATE
メモ:JDBC JARバージョンsqljdbc42.jarを使用することをお勧めします。
クラスタ環境で識別情報アプリケーションをインストールする場合の前提条件
Tomcatがサポートする環境に識別情報アプリケーション用のデータベースをインストールできますが、次の検討事項があります。
-
クラスタには、固有のクラスタパーティション名、マルチキャストアドレス、およびマルチキャストポートが必要です。固有の識別子を使用して複数のクラスタを分離することによって、パフォーマンスの問題や異常な動作の発生を防ぎます。
-
クラスタ内のサーバの時刻を同期化する必要があります。サーバの時刻が同期していない場合、セッションタイムアウトが早期に発生し、HTTPセッションのフェールオーバーが正しく機能しない可能性があります。
-
同一ホストでは、複数のブラウザタブまたは複数のブラウザセッションで複数のログインを使用しないことをお勧めします。一部のブラウザはすべてのタブとプロセス間でcookieを共有します。そのため、複数のログインを行うと、(1台のコンピュータを複数ユーザが共有することで認証機能に予期しない動作が発生するおそれがあるだけでなく) HTTPセッションのフェールオーバーの際に問題が発生する可能性があります。
-
クラスタノードは同じサブネットに存在しています。
-
フェールオーバープロキシまたは負荷分散ソリューションは、別のコンピュータにインストールされています。
識別情報アプリケーションで使用するクラスタの準備
識別情報アプリケーションはHTTPのセッションレプリケーションとセッションフェールオーバーをサポートします。つまり、ノードでセッション処理中にノードにエラーが発生した場合、そのセッションは中断されることなく、同じクラスタ内の別のサーバ上で再開されます。クラスタに識別情報アプリケーションをインストールする前に、環境を準備する必要があります。
Tomcat環境のクラスタグループの理解
ユーザアプリケーションクラスタグループはUUID名を使用して、ユーザがサーバに追加する他のクラスタグループと競合するリスクを最小限に抑えます。ユーザアプリケーション管理機能を使用して、ユーザアプリケーションクラスタグループの環境設定を変更できます。クラスタ設定の変更がサーバノードで有効になるのは、そのノードを再起動した場合のみです。
クラスタ環境にインストールする場合の前提条件の詳細については、セクション 8.5.2, 識別情報アプリケーションのインストールの前提条件と検討事項を参照してください。
ワークフローエンジンIDのシステムプロパティの設定
クラスタ内で識別情報アプリケーションをホストする各サーバでは、ワークフローエンジンを実行できますクラスタとワークフローエンジンのパフォーマンスを保証するために、クラスタ内のすべてのサーバが同じパーティション名とパーティションUDPグループを使用する必要があります。また、クラスタ内の各サーバを起動する際に一意のワークフローエンジンIDを指定する必要があります。なぜなら、ワークフローエンジンのクラスタリングは、識別情報アプリケーションのキャッシュフレームワークとは独立して動作するからです。
ワークフローエンジンが適切に動作することを保証するには、Tomcatのシステムプロパティを設定する必要があります。
-
クラスタ内の識別情報アプリケーションサーバごとに、新しいJVMシステムプロパティを作成します。
-
このシステムプロパティにcom.novell.afw.wf.engine-idという名前を付けます。ここで、engine-idは一意な値です。
クラスタ内の各ユーザアプリケーションでの同じマスタキーの使用
識別情報アプリケーションは、マスタキーを使用して機密データを暗号化します。クラスタ内のすべての識別情報アプリケーションが同じマスタキーを使用する必要があります。このセクションでは、クラスタ内のすべての識別情報アプリケーションが同じマスタキーを使用することを保証する方法について説明します。
アイデンティティアプリケーションにおける機密データの暗号化の詳細については、『NetIQ Identity Manager - Administrator’s Guide to the Identity Applications』の「Encrypting Sensitive Identity Applications Data」を参照してください。
-
クラスタ内の1番目のノードにユーザアプリケーションをインストールします。
-
インストールプログラムの［セキュリティ - マスタキー］ウィンドウで、識別情報アプリケーションの新しいマスタキーが格納されるmaster-key.txtファイルの場所を書き留めます。デフォルトでは、このファイルはインストールディレクトリにあります。
-
クラスタ内の他のノードに識別情報アプリケーションをインストールします。
-
［セキュリティ - マスタキー］ウィンドウでをクリックして、をクリックします。
-
［マスタキーのインポート］ウィンドウで、ステップ 2で作成したテキストファイルからマスタキーをコピーします。
