Novell Documentation: Novell Identity Manager 3

1.2 Identity Manager

Identity Managerは、アイデンティティボールトと接続システム間におけるデータの同期機能を提供します。接続システムは、アプリケーション、ディレクトリ、データベース、またはファイルで構成されます。

Identity Managerには、いくつかのコンポーネントが含まれています。次の図は、基本コンポーネントとそれらの関係を示します。

図 1-1 Identity Managerのコンポーネント

メタディレクトリエンジンはIdentity Managerアーキテクチャの重要なモジュールです。このエンジンは、Identity Managerドライバがアイデンティティボールト情報と同期する際のインタフェースとして機能し、異なるデータシステムでも接続してデータを共有できるようにします。

メタディレクトリエンジンは、XML形式を使用してアイデンティティボールトデータおよびアイデンティティボールトイベントを処理します。ルールプロセッサとデータ変換エンジンを採用して、2つのシステム間のデータフローを操作します。

すべてのIdentity Managerドライバのフィルタを読み込みます。
適切なアイデンティティボールトイベントのドライバを登録します。
各ドライバの指定に従ってデータをフィルタ処理します。
各ドライバに渡されるアイデンティティボールトイベントのキャッシュを設定します。

アイデンティティボールトは、初期化時に次の処理を実行します。

イベントがキャッシュされると、そのキャッシュを所有するドライバがイベントを読み込みます。
ドライバはアイデンティティボールトデータをeDirectoryのネイティブ形式で受信し、これをXDS形式(Identity Managerで使用されるXMLボキャブラリで、ポリシーによって変換できます)に変換した後、イベントをメタディレクトリエンジンに送信します。このエンジンが接続システムドライバ内のすべてのポリシーを読み込み、ポリシーに従ってXML形式のデータを作成して、接続システムドライバにデータを送信します。続いて、接続システムにデータを送信します。ポリシーの詳細については、『Policy Builder and Driver Customization Guide』の「Introduction to Policies」を参照してください。
ドライバの発行者部分は、接続システムの更新情報の収集と、それらの情報のアイデンティティボールトへの送信を担当します。2つのシステム間で共有している情報の変更が接続システムドライバに通知されると、接続システムドライバはそれらの情報を収集し、適切なデータセットにフィルタされているかどうかを確認した後XDS形式に変換してエンジンに送信します。

1.2.1 メタディレクトリエンジン

メタディレクトリエンジンは、eDirectoryインタフェースと同期エンジンの2つのコンポーネントに分けることができます。

eDirectoryインタフェース

メタディレクトリエンジンに組み込まれたeDirectoryインタフェースは、eDirectoryで発生するイベントを検出するために使用されます。このインタフェースは、イベントキャッシュを使用することで、Identity Managerに確実にイベントを送信できるようにしています。eDirectoryインタフェースは複数のドライバをロードできます。つまり、そのeDirectoryサーバ用に実行されているIdentity Managerのインスタンスは1つだけですが、複数の接続システムと通信できます。アイデンティティボールトと接続システムの間でイベントループが発生しないように、このインタフェースにはループバック検出機能が組み込まれています。このインタフェースにはループバック保護機能が含まれていますが、個々の接続システムドライバにループバック検出機能を組み込むことをお勧めします。

同期エンジン

同期エンジンは、Identity Managerポリシーを各イベントに適用します。ポリシーは、DirXMLスクリプトを使用してポリシービルダで作成します。ポリシービルダを使用すると、XMLドキュメントまたはXSLTで記述されたスタイルシートを使用する代わりに、GUIインタフェースを使ってポリシーを作成できます。スタイルシートも使用できますが、使いやすさではポリシービルダの方が優れています。ポリシービルダまたはDirXMLスクリプトの詳細については、『Policy Builder and Driver Customization Guide』を参照してください。

同期エンジンは各タイプのポリシーをソースドキュメントに適用します。これらの変換を完了する機能は、Identity Managerの最も強力な機能の1つです。アイデンティティボールトと接続システムとの間で共有されるときに、データはリアルタイムで変換されます。

1.2.2 ドライバ環境設定ファイル

ドライバ環境設定は、Identity Managerに含まれる事前設定済みのXMLファイルです。これらの環境設定ファイルを、iManagerおよびDesignerのウィザードを使用してインポートできます。

ドライバ環境設定にはサンプルポリシーが含まれます。運用環境での使用を目的としたものではなく、ユーザが変更して使用できるテンプレートとして提供されています。

1.2.3 Identity Managerのイベントキャッシュ

eDirectoryから生成されるすべてのイベントは、正常に処理されるまでイベントキャッシュに格納されています。これによって、接続不良、システムリソースの損失、ドライバの入手不能、またはその他のネットワーク障害によってデータが失われることを防ぎます。

1.2.4 ドライバシム

ドライバシムは、接続システムとアイデンティティボールトとの間における情報の管路として機能します。シムはJava、C、またはC++のいずれかで記述されます。

メタディレクトリエンジンとドライバシムの間の通信は、イベント、クエリ、および結果を記述したXMLドキュメントの形式で行われます。ドライバシムは一般的にはドライバと呼ばれます。これは、アイデンティティボールトと接続システムとの間で情報が転送される管路です。

シムでサポートされているオブジェクトイベントは次のとおりです。

追加(作成)
変更
削除
名前変更
移動
クエリ

また、Identity Managerが接続システムを照会できるように、シムは定義済みクエリの機能をサポートしている必要があります。

接続システムでアクションを引き起こすイベントがアイデンティティボールトで発生すると、Identity Managerは、そのアイデンティティボールトイベントを記述するXMLドキュメントを作成し、購読者チャネルを介してドライバシムに送信します。

接続システムでイベントが発生すると、接続システムイベントを記述するXMLドキュメントがドライバシムによって生成されます。続いて、ドライバシムが発行者チャネルを使用してそのXMLドキュメントをIdentity Managerに送信します。Identity Managerは、発行者ポリシーを使用してイベントを処理した後、適切なアクションを実行するようアイデンティティボールトに指示します。

1.2.5 ドライバセット

ドライバセットは、複数のIdentity Managerドライバを格納するコンテナオブジェクトです。一度に1つのドライバセットを1つのサーバに関連付けることができます。このため、実行中のドライバはすべて同じドライバセットにグループ化する必要があります。

ドライバセットオブジェクトは、そのオブジェクトを使用しているサーバ上にある、完全な読み書き可能レプリカに存在しなければならないため、ドライバセットをパーティションに分割することをお勧めします。ユーザのレプリカが別のサーバに移動された場合に、ドライバオブジェクトも移動されないようにするためです。

次の図は、Designerでドライバセットがどのように表示されるのかを示します。

図 1-2 Designerでのドライバセット

次の図は、iManagerでドライバセットがどのように表示されるのかを示します。

図 1-3 iManagerでのドライバセット

DesignerのModeler図 1-2またはiManagerの概要ページ図 1-3から、次の処理を実行できます。

ドライバセットとそのプロパティを表示および変更する
ドライバセット内のドライバを表示する
ドライバのステータスを変更する
ドライバセットをサーバに関連付ける
ドライバを追加または削除する
ドライバセットの起動情報を表示する
ドライバセットのステータスログを表示する

1.2.6 ドライバオブジェクト

ドライバオブジェクトは、アイデンティティボールトと統合されている接続システムに接続されているドライバを表します。ドライバオブジェクトとその環境設定パラメータは、次のコンポーネントで構成されています。

ドライバセットオブジェクトに含まれるeDirectoryツリーのドライバオブジェクト。
ドライバオブジェクトに含まれる購読者チャネルオブジェクト。
ドライバオブジェクトに含まれる発行者オブジェクト。
ドライバオブジェクト、購読者オブジェクト、および発行者オブジェクトによって参照される複数のポリシーオブジェクト。
ドライバオブジェクトによって参照される実行可能ドライバシム。
管理者によって設定されるシム固有のパラメータ。
ドライバオブジェクトのeDirectoryパスワード。このパスワードをシムで使用して、シムのリモート部分を認証できます。
接続システムに接続し、認証するために使用する認証パラメータ。
エンタイトルメント。すべてのドライバに不可欠なものではありません。エンタイトルメントは、ドライバの作成時に有効にしたり、または後で追加したりできます。
次を含む、ドライバの起動オプション。
- 使用不可 - ドライバは実行されません。
- 手動 - ドライバは、iManagerを使用して手動で起動する必要があります。
- 自動スタート - アイデンティティボールトが起動すると、ドライバが自動的に起動します。
スキーママッピングポリシーの参照。
接続システムのスキーマをXMLで表したもの。通常、シムを使用して接続システムから自動的に取得されます。

iManagerでは、［Identity Managerドライバの概要］にアクセスして、既存のドライバのパラメータ、ポリシー、スタイルシート、およびエンタイトルメントを変更できます。Identity Managerドライバの概要を次に示します。

図 1-4 Identity Managerドライバの概要

ドライバオブジェクトは、eDirectoryの権利の確認にも使用されます。ドライバオブジェクトには、読み込みまたは書き込みを行うオブジェクトに対して、必要なeDirectory権利を付与する必要があります。そのためには、ドライバオブジェクトを、ドライバの同期先eDirectoryオブジェクトのトラスティにするか、ドライバオブジェクトに同等セキュリティを付与します。

権利の割り当ての詳細については、『Novell eDirectory 8.8管理ガイド』の「eDirectoryでの権利」を参照してください。

1.2.7 発行者チャネルと購読者チャネル

Identity Managerドライバには、データを処理するために、発行者チャネルおよび購読者チャネルという2つのチャネルがあります。発行者チャネルは、接続システムからアイデンティティボールトにイベントを送信します。購読者チャネルは、アイデンティティボールトから接続システムにイベントを送信します。各チャネルには、データの処理と変換の方法を定義する独自のポリシーが含まれています。

図 1-5 Designerの発行者チャネルおよび購読者チャネル

図 1-6 iManagerの発行者チャネルおよび購読者チャネル

1.2.8 イベントとコマンド

Identity Managerのイベントとコマンドの違いは重要です。イベントがドライバに送信される場合、そのイベントはコマンドです。イベントがIdentity Managerに送信される場合、そのイベントは通知です。ドライバは、Identity Managerにイベント通知を送信する際に、接続システムで発生した変更をIdentity Managerに通知します。メタディレクトリエンジンは、設定可能なルールに基づいて、アイデンティティボールトに送信する必要があるコマンドを決定します(該当する場合)。

Identity Managerは、ドライバにコマンドを送信する時点において、すでにアイデンティティボールトイベントを入力として受け付けて適切なポリシーを適用し、コマンドが表す接続システム内の変更が必要であると判断しています。

1.2.9 ポリシーとフィルタ

ポリシーとフィルタによって、システム間のデータフローを制御できます。接続システムで使用するために、管理側のアイデンティティボールトのクラス、属性、およびイベントをどのように変換するのかを定義したポリシー内のルールを使用しています。ポリシーとフィルタの詳細については、『Policy Builder and Driver Customization Guide』を参照してください。

1.2.10 関連付け

大部分の識別情報管理製品では、接続システムからディレクトリにオブジェクトをマップするために、接続システムに何らかの識別子を格納する必要があります。Identity Managerでは、接続システムを変更する必要はありません。アイデンティティボールトの各オブジェクトには、アイデンティティボールトブジェクトを接続システム内の一意の識別子にマップする関連付けテーブルが含まれています。このテーブルはリバースインデックス形式なので、接続システムは、アイデンティティボールトの更新時にアイデンティティボールト識別子(識別名など)をドライバに提供する必要がありません。

2つのオブジェクト間の関連付けは、アイデンティティボールト内の別のオブジェクトとまだ関連付けられていないオブジェクトでイベントが発生したときに作成されます。関連付けを作成するためには、定義可能な条件の最低限のセットが各オブジェクトで一致している必要があります。たとえば、4つの属性のうち2つ(フルネーム、電話番号、従業員ID、電子メールアドレス)が90%以上一致する場合にオブジェクトを関連付けるポリシーを作成できます。

2つのオブジェクトが同じかどうかを判断するための条件は、一致ポリシーで定義します。変更されたオブジェクトに対して一致するオブジェクトが見つからない場合は、新しいオブジェクトが作成されます。そのためには、最低限の作成条件すべてに一致していなければなりません。条件は、ポリシーを作成することで定義されます。最後に、新しいオブジェクトをネーミング階層の中のどの位置に作成するかが配置ポリシーによって定義されます。

関連付けは次の2つの方法で作成できます。

オブジェクト間の一致によって作成
特定場所内の新しいオブジェクトの作成によって作成

形成されたオブジェクト間の関連付けは、その後、管理者がオブジェクトを削除するか、または関連付けを削除するまで有効です。