4.1 Novell SecureLoginによる資格情報プロビジョニングポリシー
資格情報プロビジョニングポリシーにより、SecureLoginがサポートするアプリケーション資格情報を自動的にプロビジョニングできます。このトピックでは、Identity Manager内のオブジェクトとポリシーを設定するために必要な手順について記載しています。SecureLoginコンポーネントの展開および設定についての情報は含まれていません。SecureLoginのマニュアルは、「Novell SecureLogin 6.0」のマニュアルを参照してください。
SecureLoginを用いて資格情報のプロビジョニングを実装するには、リポジトリオブジェクト、アプリケーションオブジェクトおよびポリシーが必要です。リポジトリとアプリケーションのオブジェクトには、Identity Managerが使用できるようにSecureLoginの情報が格納されます。ポリシーは、ドライバで資格情報プロビジョニングを使用できるようにするために使用されます。詳細については、セクション 4.2, SecureLoginによる資格情報プロビジョニングポリシーの実装を参照してください。
次のオプションも設定できます。
- 資格情報プロビジョニングは、発行者チャネル、購読者チャネル、または両方のチャネルで使用できます。
- SecureLoginの同期は、アプリケーションのパスワード同期の一部として実行したり、他のイベントにトリガさせたりすることができます。
- Webサービスの資格情報は、アプリケーションのアカウントをプロビジョニングしなくてもプロビジョニングできます。
- SecureLoginパスフレーズの初期の質問と回答をプロビジョニングできます。
図 4-1は、一般的なシナリオを簡略に示したものです。このシナリオでは、Finance部のSAP* Financeアプリケーションの新規ユーザに対し、SecureLogin資格情報をプロビジョニングしています。SAPアプリケーションでは、通常のアプリケーションで指定する一般的なユーザ名とパスワードのほかにもログインパラメータが必要なため、SAPユーザのプロビジョニングが使用されます。
この部署では、SAP HRシステムとIdentity Managerを使用して、アイデンティティボールト内に新しいユーザをプロビジョニングします。組織の情報に基づき、ユーザオブジェクトはActive Directory内に実装された部署の認証ツリー内にプロビジョニングされます。ここが新しいユーザがネットワークに対して認証される場所であり、SecureLogin資格情報のリポジトリの場所になります。続いて、Identity Managerによって、ユーザはさまざまなFinanceアプリケーションに対しプロビジョニングされ、それらのシステムの資格情報は、Active Directory内のSecureLoginストアに同期されます。
図 4-1は、ユーザGlenの認証資格情報がプロビジョニングされているところを示しています。Glenが自分の部署のActive Directory認証ドメインに対して認証を実行すると、SecureLoginクライアントが起動し、SAP Financeのアカウントへシングルサインオンできます。このとき、SAPのパスワードを入力したり、記憶している必要さえありません。
図 4-1 SecureLoginによる資格情報プロビジョニング
図 4-1は、次の手順を示しています。
- SAP HRシステムが、新入社員Glen Canyonのデータを発行します。Identity ManagerのSAP HPドライバが、このデータを処理します。
- CN値「GCANYON」およびworkforceID値「50024222」をもつ新しいユーザオブジェクトが、アイデンティティボールト内に作成されます。このユーザは、会社のFinance組織に割り当てられているため、ドメインfinance.prod.testco.com domainにあるFinance部のActive Directoryサーバで認証を受ける必要があります。ドメインを同期するIdentity ManagerのActive Directoryドライバは、アイデンティティボールトの情報を使用するようになりました。
- Glenは、Finance部のActive Directoryサーバにプロビジョニングされます。
- ドライバは、GlenのLDAP形式の完全識別名を取得するように設定されます。CN=GLCanyon,OU=finace,dc=prod,dc=testco,dc=com.
- ドライバは、この名前をアイデンティティボールト内のGCANYONユーザのDirXML-ADContext属性に配置します。
これで、アイデンティティボールト内で必要な属性が使用できるようになったので、SAPユーザ管理ドライバによって、GCANYONオブジェクトの属性が処理されます。
- GlenはFinance組織に所属するため、ドライバはSAP Financeサーバ上あるSAPユーザアカウントのGCANYONに対してプロビジョニングを行います。
- アカウントの作成が成功すると、SAPユーザ管理ドライバのポリシーによって、GlenのSAP認証資格情報がこのユーザのADユーザアカウントにプロビジョニングされます。コマンドが「追加」操作であるため、ポリシーはSecureLoginパスフレーズの質問と回答もプロビジョニングします。