プロビジョニングWebインタフェース

Identity Managerユーザアプリケーションには、エンドユーザがプロビジョニング要求を送信したり、送信済みのリクエストを管理したりするためのWebインタフェースが用意されています。また、ユーザアプリケーション管理者または組織マネージャが、プロビジョニングワークフローにおける委任ユーザとプロキシを割り当てられる機能も備わっています。

委任ユーザとプロキシの詳細な説明については、セクション 21.3, プロビジョニングのセキュリティを参照してください。ユーザアプリケーションの操作の詳細については、『Identity Managerユーザアプリケーション: ユーザーズガイド』を参照してください。

iManager管理ツール

iManagerでは、プロビジョニング要求およびそれに関連付けられたワークフローの設定および管理に使用するためのプラグインが用意されています。

プロビジョニング要求を設定するには、プロビジョニング要求をプロビジョニングされたリソースに関連付け、関連ワークフローのランタイム特性を指定し、リクエストを有効にします。プロビジョニング要求がいったん開始されると、iManagerを使用して、ワークフロープロセスのステータスを表示したり、ワークフロー内のアクティビティを再割り当てしたり、応答のないワークフローを終了したりすることができます。

Identity Managerユーザアプリケーションドライバ

プロビジョニングリソースへのエンドユーザ要求のサポートに加え、Identity Managerでは、eDirectoryで発生するイベントに対応してプロビジョニング要求を開始することもできます。Identity Managerのユーザアプリケーションドライバは、イベントをリッスンし、対応するプロビジョニング要求を開始することで応答します。これらのリクエストは、ワークフローを順番に開始して、承認プロセスを処理することができます。たとえば、eDirectoryに新しいユーザが追加されると、自動的に事前定義されたプロビジョニング要求とワークフローを開始できます。

プロビジョニングシステム

プロビジョニングシステムは、プロビジョニング要求の開始と実行に必要なすべての処理を実行します。要求に1つ以上の承認が必要な場合、プロビジョニングシステムは、ワークフローを順番に呼び出して、ワークフロープロセスを開始します。必要な承認が付与された後、プロビジョニングシステムは、要求どおりにリソースのプロビジョニングを実行します。

プロビジョニングシステムは、アイデンティティボールト(eDirectory)に、使用可能なプロビジョニング要求と未処理のプロビジョニング要求に関する情報を保持します。

要求を開始する場合、またはリクエストの実行に必要な処理を実行する場合、システムはディレクトリ抽象化レイヤを使用してアイデンティティボールトにアクセスします。

ディレクトリ抽象化レイヤの詳細については、セクション 4.0, ディレクトリ抽出化レイヤの設定を参照してください。

ワークフローシステム

プロビジョニング要求が1つ以上の承認を必要とする場合、ワークフローシステムで承認プロセスが調整されます。ワークフローシステムは次のコンポーネントとのやり取りを行います。

ワークフローデータベース

実行中のワークフローの状態を追跡できるように、ワークフローシステムは情報をデータベースに格納します。データベースには、ワークフロープロセスインスタンス、ワークリスト(キュー)、およびワークフロー宛先についての情報が格納されます。ワークフロープロセスの実行中に追加されたコメントも格納されます。

スクリプトエンジン

ワークフローに評価が必要なダイナミック式が含まれている場合には必ず、ワークフローシステムは、スクリプトエンジンを呼び出します。ダイナミック式とは、変数、関数、演算子、およびディレクトリ抽象化レイヤのエンティティ参照を含むものを指します。

Novell Audit

ワークフロープロセスの状態をログとして記録する場合、ワークフローシステムはNovell Auditとのやり取りを行います。ワークフローは、実行中、発生するさまざまなイベントについての情報を記録できます。ログデータは、Novell Auditレポーティングツールを使用して確認できます。

ログの設定の詳細については、セクション 5.0, ログの設定を参照してください。Identity Managerユーザアプリケーションで生成するログメッセージのレベル制御の詳細については、セクション 12.0, ログの環境設定を参照してください。

SMTP

ワークフローシステムは、通常、実行中のさまざまなポイントで電子メール通知を送信します。たとえば、ワークフローアクティビティが新しい宛先に割り当てられる場合に、電子メールが送信されます。

管理者は、iManagerで電子メールテンプレートを編集し、このテンプレートをワークフロープロセスで使用することができます。ランタイム時、ワークフローシステムはeDirectoryからテンプレートを取得し、タグを通知に適したダイナミックテキストに置き換えます。

電子メール通知はSMTP(Simple Mail Transfer Protocol)で処理されます。

電子メール通知に必要な基本的な設定手順については、セクション 23.3, 電子メールサーバの設定およびセクション 23.4, インストールされている電子メールテンプレートでの作業を参照してください。ワークフローのための電子メール通知の設定の詳細については、ワークフローアクティビティの設定を参照してください。

セキュリティ

セキュリティシステムは、ワークフローベースのプロビジョニングアプリケーションのためのセキュリティをすべて処理します。

ワークフローセキュリティの詳細な説明については、セクション 21.3, プロビジョニングのセキュリティを参照してください。

ステップ1: 要求の開始

Identity Managerユーザアプリケーションで、ユーザはリソースリストをカテゴリで参照し、プロビジョニングを行うリソースを1つ選択します。アイデンティティボールトで、選択したプロビジョニングされたリソースがプロビジョニング要求定義に関連付けられます。プロビジョニング要求定義は、プロビジョニングシステムで最も重要なオブジェクトになります。プロビジョニング要求定義は、リソースをワークフローに関連付け、ワークフロープロセスをエンドユーザに適用する役割を果たします。プロビジョニング要求定義は、ユーザに初期要求フォームを表示したり、初期要求に基づいてワークフローを開始したりするために必要なすべての情報を提供します。

この例では、ユーザはNew Accountリソースを選択します。ユーザが要求を開始すると、Webアプリケーションは、プロビジョニングシステムから初期要求フォームと、関連する初期要求データを取得します。プロビジョニングシステムは、プロビジョニング要求定義からこれらのオブジェクトを取得します。

プロビジョニング要求が開始されると、プロビジョニングシステムによってイニシエータと受信者が追跡されます。イニシエータとは、要求を作成した人のことです。受信者とは要求の対象になる人のことです。場合によっては、イニシエータと受信者が同じ人物になることもあります。

各プロビジョニング要求には、それぞれに関連付けられた操作があります。ユーザがリソースに対するアクセス権を付与するか取り消すかは操作で決まります。

ステップ2: 要求の承認

ユーザが要求を開始すると、プロビジョニングシステムはワークフロープロセスを開始します。ワークフロープロセスは、承認を調整します。この例では、2つのレベルの承認が必要です。1つはユーザのマネージャからの承認で、もう1つはマネージャのスーパバイザからの承認です。承認がワークフロー内のユーザに拒否された場合、フローは終了し、要求は拒否されます。

ワークフローは、シーケンシャル方式またはパラレル方式のどちらの承認プロセスでも実行できます。シーケンシャルワークフローでは、各承認タスクが次の承認タスクの前に処理される形になります。パラレルワークフローでは、同時に複数の承認タスクを実行できます。

ワークフロー定義は、次のコンポーネントで構成されます。

1つのユーザアクティビティで、次の1つまたは複数のアクションをサポートできます。

ユーザアクティビティには、次の5つの結果があります。

ユーザが要求を承認すると、ワークフローは、フロー内の次のアクティビティに進みます。これ以上承認が必要なければ、リソースがプロビジョニングされます。ユーザが要求を拒否した場合は、作業アイテムがワークフロー内の次のアクティビティに転送され、要求は拒否されます。または、ユーザが組織マネージャまたはユーザアプリケーション管理者である場合には、タスクの再割り当てが可能です。すると、作業アイテムは別のユーザのキューに送られます。

ユーザアクティビティが割り当てられる人を「宛先」と呼びます。アクティビティの宛先に、割り当てられたタスクを電子メールで通知することもできます。アクティビティに関連付けられた作業を実行する場合、宛先になっているユーザは電子メールにあるURLをクリックし、ワークリスト(キュー)からタスクを見つけ、タスクをリクエストします。

宛先ユーザは指定時間内にユーザアクティビティに応答する必要があります。応答しないとアクティビティでタイムアウトが発生します。通常、タイムアウト間隔は、ユーザが応答できるだけの十分な時間を時間単位または日数単位で指定します。

アクティビティのタイムアウトが発生した場合は、アクティビティに指定された再試行回数に従い、ワークフロープロセスは、アクティビティを再実行しようとします。場合によっては、ワークフロープロセスは、タイムアウトの発生したアクティビティを別のユーザにエスカレートすることもできます。この場合、このアクティビティは新しい宛先(たとえばユーザのマネージャ)に再度割り当てられ、新しい宛先ユーザがこのアクティビティの作業を実行できるようにします。最後の再試行でタイムアウトが発生した場合、ワークフローの設定内容に従い、そのアクティビティは承認済みまたは拒否としてマークされます。

条件付きアクティビティには、次の3つの結果があります。

プロビジョニングステップの詳細については、ステップ3: 要求の実行を参照してください。

ワークフロープロセスが「承認済み」で完了アクティビティに到達している場合、承認プロセスが完了したことを示し、プロビジョニング要求を実行できます。

ステップ3: 要求の実行

プロビジョニング要求が承認されると、ワークフローシステムはプロビジョニングのステップを開始できます。この時点で、制御はプロビジョニングシステムに戻ります。

プロビジョニングシステムは、プロビジョニング要求を実行する場合、Identity Managerエンタイトルメントを実行することも、eDirectoryのオブジェクトとその属性を直接操作することもできます。プロビジョニングの処理中、プロビジョニングシステムは、プロビジョニングデータ定義に従って、関連オブジェクトを作成し、受信者側のプロビジョニングアクションの結果を記録します。ユーザの要求がある操作の付与か取り消しかによって、このアクションが受信者に対して属性値を設定するか、削除するか、あるいは、受信者の複数値属性に項目を追加するか、複数値属性から項目を削除するかは変わってきます。ここで使用される属性はeDirectory属性です(受信者に補助クラスを追加することにより使用可能になる場合もあります)。属性値は単純タイプの場合と、プロビジョニングシステムが内部サブ属性の値を指定できる複合タイプの場合があります。