6.9 ユーザアプリケーションの設定

ユーザアプリケーションをインストールすると、ユーザアプリケーション環境設定パラメータを設定できます。インストールすると、これらのパラメータの多くはconfigupdate.shまたはconfigupdate.batでも編集可能です。例外はパラメータ説明に記述されています。クラスタの場合は、クラスタの各メンバーに同じユーザアプリケーション環境設定パラメータを指定します。

  1. [次へ]をクリックして、[ユーザアプリケーション環境設定]ページの1ページ目に移動します。

  2. 表 6-1で説明されている基本のユーザアプリケーション環境設定パラメータを設定してから、ステップ 3に進みます。

    表 6-1 ユーザアプリケーション環境設定: 基本パラメータ

    設定のタイプ

    フィールド

    説明

    eDirectory接続設定

    LDAPホスト

    必須。LDAPサーバのホスト名またはIPアドレスと、そのセキュアポートを指定します。 たとえば、次のようにします。

    myLDAPhost
    

    LDAP非セキュアポート

    LDAPサーバの非セキュアポートを指定します。たとえば、「389」のように指定してください。

    LDAPセキュアポート

    LDAPサーバのセキュアポートを指定します。 たとえば、「636」のように指定してください。

    LDAP管理者

    必須。 LDAP管理者の資格情報を指定します。 このユーザは既に存在している必要があります。 ユーザアプリケーションは、このアカウントを使用して識別ボールドへの管理接続を行います。 この値は、マスタキーに基づいて暗号化されます。

    LDAP管理者パスワード

    必須。 LDAP管理者パスワードを指定します。 このパスワードは、マスタキーに基づいて暗号化されます。

    パブリック匿名アカウントの使用

    ログインしていないユーザに、LDAPパブリック匿名アカウントへのアクセスを許可します。

    LDAPゲスト

    ログインしていないユーザに、許可されたポートレットへのアクセスを許可します。 このユーザアカウントは、識別ボールトにすでに存在している必要があります。[LDAPゲスト]を有効にするには、[パブリック匿名アカウントの使用]の選択を解除する必要があります。[ゲストユーザ]を無効にするには、[パブリック匿名アカウントの使用]を選択します。

    LDAPゲストパスワード

    LDAPゲストパスワードを指定します。

    セキュアな管理者接続

    このオプションを選択すると、管理者アカウントを使用したすべての通信でセキュアソケットを使用する必要があります(このオプションを使用すると、パフォーマンスに悪影響を及ぼすことがあります)。この設定を行うと、SSLを必要としない他の処理ではSSLを使用せずに処理を実行できるようになります。

    セキュアなユーザ接続

    このオプションを選択すると、ログインユーザのアカウントを使用したすべての通信でセキュアソケットを使用する必要があります(このオプションを使用すると、パフォーマンスに悪影響を及ぼすことがあります)。この設定を行うと、SSLを必要としない他の処理ではSSLを使用せずに処理を実行できるようになります。

    eDirectory DN

    ルートコンテナDN

    必須。 ルートコンテナのLDAP識別名を指定します。 これは、ディレクトリ抽象化層で検索ルートが指定されない場合に、デフォルトのエンティティ定義検索ルートとして使用されます。

    プロビジョニングドライバDN

    必須。 ユーザアプリケーションドライバの識別名を指定します。たとえば、ドライバがUserApplicationDriverでドライバセットの名前がmyDriverSetであり、ドライバセットがo=myCompanyのコンテキストにある場合は、次の値を入力します。

    cn=UserApplicationDriver,cn=myDriverSet,o=myCompany
    

    ユーザアプリケーション管理者

    必須。 指定されたユーザアプリケーションのユーザコンテナについての管理タスクを実行する権限のある、識別ボールト内の既存のユーザ。 このユーザは、ユーザアプリケーションの[管理者]タブを使用してポータルを管理できます。

    ユーザアプリケーション管理者が、iManager、Novell Designer for identity Manager、またはユーザアプリケーション([要求と承認]タブ)に公開されているワークフロー管理タスクに参加する場合は、この管理者に、ユーザアプリケーションドライバに含まれるオブジェクトインスタンスに対する適切なトラスティ権限を与える必要があります。詳細は、IDMユーザアプリケーション: 管理ガイドを参照してください。

    ユーザアプリケーションの展開後にこの割り当てを変更するには、ユーザアプリケーションの[管理]>[セキュリティ]ページを使用する必要があります。

    プロビジョニングアプリケーション管理者

    プロビジョニングアプリケーション管理者は、[プロビジョニング]タブ([管理]タブの下)を使用して、プロビジョニングワークフロー機能を管理します。これらの機能は、ユーザアプリケーションの[要求と承認]タブでユーザが使用可能です。 このユーザは、プロビジョニングアプリケーション管理者に指定される前に、識別ボールトに存在する必要があります。

    ユーザアプリケーションの展開後にこの割り当てを変更するには、ユーザアプリケーションの[管理]>[セキュリティ]ページを使用する必要があります。

    eDirectory DN(続き)

    役割管理者

    この役割は、Novell Identity Manager役割ベースプロビジョニングモジュールで利用可能です。この役割を使用すると、そのメンバーはすべての役割の作成、削除、変更、およびユーザ、グループ、またはコンテナへの役割の付与または取り消しを行うことができます。さらに役割のメンバーは、任意のユーザに対してレポートを実行できます。デフォルトでは、この役割にはユーザアプリケーション管理者が割り当てられています。

    ユーザアプリケーションの展開後にこの割り当てを変更するには、ユーザアプリケーションの[役割]>[役割の割り当て]ページを使用します。

    ユーザ コンテナDN

    必須。 ユーザコンテナのLDAP識別名(DN)または完全修飾LDAP名を指定します。 これにより、ユーザおよびグループの検索スコープが定義されます。 このコンテナ内(およびその下)のユーザが、ユーザアプリケーションにログインできます。

    重要:ユーザがワークフローを実行できるようにする場合は、ユーザアプリケーションドライバの設定中に指定したユーザアプリケーション管理者は、このコンテナ内に存在する点に注意してください。

    グループコンテナDN

    必須。 グループコンテナのLDAP識別名(DN)または完全修飾LDAP名を指定します。

    ディレクトリ抽象化レイヤ内のエンティティ定義で使用します。

    eDirectory証明書

    キーストアパス

    必須。 アプリケーションサーバが実行に使用しているのJDKのキーストア(cacerts)ファイルへのフルパスを指定するか、小さな参照ボタンをクリックしてcacertsファイルに移動します。

    LinuxまたはSolarisでは、ユーザにはこのファイルへの書き込み許可が必要です。

    キーストアパスワード/キーストアパスワードの確認

    必須。 cacertsのパスワードを指定します。 デフォルトは、「changeit」です。

    電子メール

    通知テンプレートホストトークン

    Identity Managerユーザアプリケーションをホストしているアプリケーションサーバを指定します。 たとえば、次のようにします。

    myapplication serverServer
    

    この値は、電子メールテンプレートの$HOST$トークンと置き換えられます。 作成されるurlは、プロビジョニング要求タスクと承認通知へのリンクです。

    通知テンプレートポートトークン

    プロビジョニング要求タスクと承認通知で使用する電子メールテンプレートの$PORT$トークンの置き換えに使用されます。

    通知テンプレートセキュアポートトークン

    プロビジョニング要求タスクと承認通知で使用する電子メールテンプレートの$SECURE_PORT$トークンの置き換えに使用します。

    通知SMTP電子メール送信者:

    プロビジョニング電子メール内のユーザから電子メールが送信されるように指定します。

    通知SMTP電子メールホスト:

    プロビジョニング電子メールを使用しているSMTP電子メールホストを指定します。 これは、IPアドレスまたはDNS名が可能です。

    パスワード管理

    外部パスワードWARの使用

    この機能によって、外部の[パスワードを忘れた場合]のWarにある[パスワードを忘れた場合]ページと、外部の[パスワードを忘れた場合]のWARがWebサービスを経由してユーザアプリケーションを呼び戻すのに使用するURLを指定できます。

    [外部パスワードWARの使用]を選択する場合は、[パスワードを忘れた場合のリンク]および[パスワードを忘れた場合の返信リンク]に値を指定する必要があります。

    [外部パスワードWARの使用]を選択しない場合は、デフォルトの内部パスワード管理機能が使用されます。/jsps/pwdmgt/ForgotPassword.jsf(最初はhttp(s)プロトコルなし)。 これは、ユーザを、外部WARではなく、ユーザアプリケーションに組み込まれた[パスワードを忘れた場合]機能にリダイレクトします。

    パスワードを忘れた場合のリンク

    このURLは[パスワードを忘れた場合]機能ページを指します。 外部または内部のパスワード管理WARにあるForgotPassword.jsfファイルを指定します。

    パスワードを忘れた場合の返信リンク

    外部のパスワード管理WARを使用している場合は、外部の[パスワード管理WAR]がWebサービス、たとえばhttps:// idmhost:sslport/idm を経由してユーザアプリケーションを呼び戻すのに使用するパスを指定します。

  3. 追加ユーザアプリケーション環境設定パラメータに設定する場合は、[詳細オプションの表示]をクリックします。(スクロールしてパネル全体を表示します。)表表 6-2は、詳細オプションのパラメータについて説明しています。このステップで説明した追加パラメータを設定しない場合は、スキップしてステップ 4に進みます。

    表 6-2 ユーザアプリケーション環境設定: すべてのパラメータ

    設定のタイプ

    フィールド

    説明

    eDirectory接続設定

    LDAPホスト

    必須。 LDAPサーバのホスト名またはIPアドレスを指定します。たとえば、次のようにします。

    myLDAPhost

    LDAP非セキュアポート

    LDAPサーバの非セキュアポートを指定します。たとえば、「389」のように指定してください。

    LDAPセキュアポート

    LDAPサーバのセキュアポートを指定します。 たとえば、「636」のように指定してください。

    LDAP管理者

    必須。 LDAP管理者の資格情報を指定します。 このユーザは既に存在している必要があります。 ユーザアプリケーションは、このアカウントを使用して識別ボールドへの管理接続を行います。 この値は、マスタキーに基づいて暗号化されます。

    LDAP管理者パスワード

    必須。 LDAP管理者パスワードを指定します。 このパスワードは、マスタキーに基づいて暗号化されます。

    パブリック匿名アカウントの使用

    ログインしていないユーザに、LDAPパブリック匿名アカウントへのアクセスを許可します。

    LDAPゲスト

    ログインしていないユーザに、許可されたポートレットへのアクセスを許可します。 このユーザアカウントは、識別ボールトにすでに存在している必要があります。[LDAPゲスト]を有効にするには、[パブリック匿名アカウントの使用]の選択を解除する必要があります。[ゲストユーザ]を無効にするには、[パブリック匿名アカウントの使用]を選択します。

    LDAPゲストパスワード

    LDAPゲストパスワードを指定します。

    セキュアな管理者接続

    このオプションを選択すると、管理者アカウントを使用したすべての通信でセキュアソケットを使用する必要があります(このオプションを使用すると、パフォーマンスに悪影響を及ぼすことがあります)。この設定を行うと、SSLを必要としない他の処理ではSSLを使用せずに処理を実行できるようになります。

    セキュアなユーザ接続

    このオプションを選択すると、ログインユーザのアカウントを使用したすべての通信でセキュアソケットを使用する必要があります(このオプションを使用すると、パフォーマンスに深刻な悪影響を及ぼすことがあります)。この設定を行うと、SSLを必要としない他の処理ではSSLを使用せずに処理を実行できるようになります。

    eDirectory DN

    ルートコンテナDN

    必須。 ルートコンテナのLDAP識別名を指定します。 これは、ディレクトリ抽象化層で検索ルートが指定されない場合に、デフォルトのエンティティ定義検索ルートとして使用されます。

    プロビジョニングドライバDN

    必須。 ユーザアプリケーションドライバの識別名を指定します。たとえば、ドライバがUserApplicationDriverでドライバセットの名前がmyDriverSetであり、ドライバセットがo=myCompanyのコンテキストにある場合は、次の値を入力します。

    cn=UserApplicationDriver,cn=myDriverSet,o=myCompany
    

    ユーザアプリケーション管理者

    必須。 指定されたユーザアプリケーションのユーザコンテナについての管理タスクを実行する権限のある、識別ボールト内の既存のユーザ。 このユーザは、ユーザアプリケーションの[管理者]タブを使用してポータルを管理できます。

    ユーザアプリケーション管理者が、iManager、Novell Designer for identity Manager、またはユーザアプリケーション([要求と承認]タブ)に公開されているワークフロー管理タスクに参加する場合は、この管理者に、ユーザアプリケーションドライバに含まれるオブジェクトインスタンスに対する適切なトラスティ権限を与える必要があります。詳細は、IDMユーザアプリケーション: 管理ガイドを参照してください。

    ユーザアプリケーションの展開後にこの割り当てを変更するには、ユーザアプリケーションの[管理]>[セキュリティ]ページを使用する必要があります。

    プロビジョニングアプリケーション管理者

    プロビジョニングアプリケーション管理者は、ユーザアプリケーションの[要求と承認]タブを使用して利用可能なプロビジョニングワークフロー機能を管理します。このユーザは、プロビジョニングアプリケーション管理者に指定される前に、識別ボールトに存在する必要があります。

    ユーザアプリケーションの展開後にこの割り当てを変更するには、ユーザアプリケーションの[管理]>[セキュリティ]ページを使用する必要があります。

    メタディレクトリユーザID

    ユーザ コンテナDN

    必須。 ユーザコンテナのLDAP識別名(DN)または完全修飾LDAP名を指定します。

    これにより、ユーザおよびグループの検索スコープが定義されます。

    このコンテナ内(およびその下)のユーザが、ユーザアプリケーションにログインできます。

    重要:ユーザがワークフローを実行できるようにする場合は、ユーザアプリケーションドライバの設定中に指定したユーザアプリケーション管理者は、このコンテナ内に存在する点に注意してください。

    ユーザオブジェクトクラス

    LDAPユーザオブジェクトクラス(通常はinetOrgPerson)。

    ログイン属性

    ユーザのログイン名を表すLDAP属性(たとえばCN)。

    名前付け属性

    ユーザまたはグループをルックアップする際にIDとして使用するLDAP属性これはログイン属性と同じではありません。ログイン属性はログイン中にのみ使用し、ユーザおよびグループの検索中には使用しません。

    ユーザメンバーシップ属性

    オプション。ユーザのグループメンバーシップを表すLDAP属性です。 この名前にはスペースを使用しないでください。

     

    役割管理者

    この役割は、Novell Identity Manager役割ベースプロビジョニングモジュールで利用可能です。この役割を使用すると、そのメンバーはすべての役割の作成、削除、変更、およびユーザ、グループ、またはコンテナへの役割の付与または取り消しを行うことができます。さらに役割のメンバーは、任意のユーザに対してレポートを実行できます。デフォルトでは、この役割にはユーザアプリケーション管理者が割り当てられています。

    ユーザアプリケーションの展開後にこの割り当てを変更するには、ユーザアプリケーションの[役割]>[役割の割り当て]ページを使用します。

    メタディレクトリユーザグループ

    グループコンテナDN

    必須。 グループコンテナのLDAP識別名(DN)または完全修飾LDAP名を指定します。 ディレクトリ抽象化レイヤ内のエンティティ定義で使用します。

    グループオブジェクトクラス

    LDAPオブジェクトクラス(通常はgroupofNames)。

    グループメンバーシップ属性

    ユーザのグループメンバーシップを表す属性です。 この名前にはスペースを使用しないでください。

    ダイナミックグループの使用

    ダイナミックグループを使用する場合は、このオプションを選択します。

    ダイナミックグループオブジェクトクラス

    LDAPダイナミックグループオブジェクトクラス(通常はdynamicGroup)。

    eDirectory証明書

    キーストアパス

    必須。 アプリケーションサーバが実行に使用しているのJREのキーストア(cacerts)ファイルへのフルパスを指定するか、小さな参照ボタンをクリックしてcacertsファイルに移動します。

    ユーザアプリケーションのインストールによって、キーストアファイルが変更されます。 LinuxまたはSolarisでは、ユーザにはこのファイルへの書き込み許可が必要です。

    キーストアパスワード

    キーストアパスワードの確認

    必須。 cacertsのパスワードを指定します。 デフォルトは、「changeit」です。

    プライベートキーストア

    プライベートキーストアパス

    プライベートキーストアには、ユーザアプリケーションのプライベートキーおよび証明書が含まれます。予約済み。 入力しない場合は、このパスはデフォルトで/jre/lib/security/cacertsになります。

    プライベートキーストアパスワード

    このパスワードは、別のパスワードを指定するまではchangeitです。このパスワードは、マスタキーに基づいて暗号化されます。

    プライベートキーの別名

    この別名は、別の別名を指定するまではnovellIDMUserAppです。

    プライベートキーパスワード

    このパスワードは、別のパスワードを指定するまではnove1lIDMです。このパスワードは、マスタキーに基づいて暗号化されます。

    トラステッドキーストア

    トラステッドストアパス

    トラステッドキーストアには、有効なデジタル署名に使用するすべてのトラステッド署名者の証明書が含まれます。入力しない場合は、ユーザアプリケーションはシステムプロパティjavax.net.ssl.trustStoreからパスを取得します。パスがそこではない場合は、jre/lib/security/cacertsだと推測されます。

    トラステッドストアパスワード

    このフィールドを入力しない場合は、ユーザアプリケーションはシステムプロパティjavax.net.ssl.trustStorePasswordからパスワードを取得します。値がそこではない場合は、changeitが使用されます。このパスワードは、マスタキーに基づいて暗号化されます。

    Novell Auditデジタル署名および証明書キー

     

    Novell Auditデジタル署名キーおよび証明書が含まれます。

     

    Novell Auditデジタル署名証明書

    デジタル署名証明書が表示されます。

     

    Novell Auditデジタル署名秘密鍵

    デジタル署名秘密鍵が表示されます。このキーは、マスタキーに基づいて暗号化されます。

    Access ManagerおよびiChainの設定

    同時ログアウト有効

    このオプションが選択されている場合は、ユーザアプリケーションによってユーザアプリケーションおよびNovell Access ManagerまたはiChainの同時ログアウトがサポートされます。Novell Access ManagerまたはiChainはログアウト時にCookieをチェックし、Cookieが存在する場合は、ユーザをICSログアウトページに再ルーティングします。

    [同時ログアウト]ページ

    Novell Access ManagerまたはiChainログアウトページへのURL。URLはNovell Access ManagerまたはiChainが期待するホスト名です。ICSログが有効な場合は、ユーザはユーザアプリケーションからログアウトし、ユーザはこのページを再ルーティングします。

    電子メール

    通知テンプレートホストトークン

    Identity Managerユーザアプリケーションをホストしているアプリケーションサーバを指定します。 たとえば、次のようにします。

    myapplication serverServer
    

    この値は、電子メールテンプレートの$HOST$トークンと置き換えられます。 作成されるurlは、プロビジョニング要求タスクと承認通知へのリンクです。

    通知テンプレートポートトークン

    プロビジョニング要求タスクと承認通知で使用する電子メールテンプレートの$PORT$トークンの置き換えに使用されます。

    通知テンプレートセキュアポートトークン

    プロビジョニング要求タスクと承認通知で使用する電子メールテンプレートの$SECURE_PORT$トークンの置き換えに使用します。

    通知テンプレートプロトコルトークン

    非セキュアプロトコル、HTTPを参照してください。プロビジョニング要求タスクと承認通知で使用する電子メールテンプレートの$PROTOCOL$トークンの置き換えに使用します。

    通知テンプレートセキュアプロトコルトークン

    セキュアプロトコル、HTTPを参照してください。プロビジョニング要求タスクと承認通知で使用する電子メールテンプレートの$SECURE_PROTOCOL$トークンの置き換えに使用されます。

    通知SMTP電子メール送信者:

    プロビジョニング電子メール内のユーザからの電子メールを指定します。

    通知SMTP電子メールホスト:

    プロビジョニング電子メールを使用しているSMTP電子メールホストを指定します。 これは、IPアドレスまたはDNS名が可能です。

    パスワード管理

     

     

    外部パスワードWARの使用

    この機能によって、外部の[パスワードを忘れた場合]のWarにある[パスワードを忘れた場合]ページと、外部の[パスワードを忘れた場合]のWARがWebサービスを経由してユーザアプリケーションを呼び戻すのに使用するURLを指定できます。

    [外部パスワードWARの使用]を選択する場合は、[パスワードを忘れた場合のリンク]および[パスワードを忘れた場合の返信リンク]に値を指定する必要があります。

    [外部パスワードWARの使用]を選択しない場合は、デフォルトの内部パスワード管理機能が使用されます。/jsps/pwdmgt/ForgotPassword.jsf(最初はhttp(s)プロトコルなし)。 これは、ユーザを、外部WARではなく、ユーザアプリケーションに組み込まれた[パスワードを忘れた場合]機能にリダイレクトします。

    パスワードを忘れた場合のリンク

    このURLは[パスワードを忘れた場合]機能ページを指します。 外部または内部のパスワード管理WARにあるForgotPassword.jsfファイルを指定します。

     

    パスワードを忘れた場合の返信リンク

    外部のパスワード管理WARを使用している場合は、外部の[パスワード管理WAR]がWebサービス、たとえばhttps:// idmhost:sslport/idm を経由してユーザアプリケーションを呼び戻すのに使用するパスを指定します。

    その他

    セッションのタイムアウト

    アプリケーションセッションのタイムアウト。

    OCSP URI

    クライアントインストールがOn-Line Certificate Status Protocol (OCSP)を使用する場合は、Uniform Resource Identifier (URI)を指定します。たとえば、フォーマットはhttp://host:port/ocspLocalです。OCSP URIによって、トラステッド証明書オンラインの状態は更新されます。

    許可設定パス

    許可環境設定ファイルの完全修飾名。

     

    eDirectoryインデックスの作成

     

     

    サーバDN

     

    コンテナオブジェクト

    選択済み

    使用する各コンテナオブジェクトタイプを選択します。

    コンテナオブジェクトタイプ

    地域、国、部門、組織、およびドメインの規格コンテナから選択します。iManager内で自分のコンテナを定義でき、これを[新規コンテナオブジェクトの追加]の下に追加できます。

    コンテナ属性名

    コンテナオブジェクトタイプに関連する属性タイプ名をリストします。

    新規コンテナオブジェクトの追加: コンテナオブジェクトタイプ

    コンテナとして使用できる識別ボールトからオブジェクトクラスのLDAP名を指定します。

    コンテナの詳細については、『Novell iManager 2.6管理ガイド』を参照してください。

    新規コンテナオブジェクトの追加: コンテナ属性名

    コンテナオブジェクトの属性名を指定します。

  4. 環境設定が完了したら、[OK]をクリックして、セクション 6.10, 選択を確認してインストールに進みます。