#### ポリシー設定

「ポリシー設定」属性により、管理者はポリシーサービスによって使用されるグローバル属性およびレルム属性を設定できます。

- 「グローバル属性」

- 「レルム属性」

##### グローバル属性

グローバル属性には次のものがあります。

##### リソースコンパレータ

「ポリシー」ルール定義で指定されたリソースの比較に使用されるリソースコンパレータ情報を指定します。リソースの比較は、ポリシーの作成と評価の両方に使用します。

「追加」ボタンをクリックして、次の属性を定義します。

サービスタイプ

  コンパレータを使用するサービスを指定します。

クラス

  リソース比較アルゴリズムを実装する Java クラスを定義します。

区切り文字

  リソース名に使用する区切り記号を指定します。

ワイルドカード

  リソース名に使用可能なワイルドカードを指定します。

1 レベルのワイルドカード

  同じ区切り文字境界に位置する 0 個以上の文字に一致します。

大文字と小文字を区別

  リソースを比較する際に、大文字と小文字を区別するかどうかを指定します。このオプションのチェックボックスを選択しない場合は区別せず、選択した場合は区別します。

##### 拒否決定時の評価継続

DENY のポリシー決定が存在する場合でも、ポリシーフレームワークが後続のポリシーの評価を継続するかどうかを指定します。この属性が選択されていない場合 (デフォルト)、ポリシー評価は DENY が認識された後続のポリシーをスキップします。

##### OpenSSO により処理できるアドバイス

ポリシー適用ポイント (ポリシーエージェント) がユーザーエージェントを OpenSSO にリダイレクトするポリシーアドバイスキーの名前を定義します。エージェントが、あるリソースへのアクセスを許可しないというポリシー決定を受け取っても、アドバイスを間違いなく所有している場合は、この属性に一覧表示されているアドバイスキーを所有しているかどうかを確認します。

そのようなアドバイスが見つかった場合、ユーザーエージェントは OpenSSO にリダイレクトされ、その結果、そのリソースへのアクセスが許可されることもあります。

##### 組織エイリアス参照

この属性を「はい」に設定すると、最上位レルムまたは親レルムから参照ポリシーを作成することなく、サブレルムにポリシーを作成できます。作成できるのは、完全修飾ホスト名がレルムの DNS エイリアスに一致する HTTP リソースまたは HTTPS リソースを保護するポリシーだけです。デフォルトでは、この属性は「いいえ」として定義されています。

##### レルム属性

LDAP プロパティーは次のとおりです。

##### プライマリ LDAP サーバー

OpenSSO インストール時に指定されたプライマリ LDAP サーバーのホスト名とポート番号を指定します。このホスト名とポート番号は、LDAP ユーザー、LDAP ロール、LDAP グループなどのポリシー対象を検索する際に使用します。

形式は hostname:port です。次に例を示します。`machine1.example.com:389`

複数の LDAP サーバーホストに対してフェイルオーバーを設定する場合は、この値をスペース区切りのホストのリストとすることができます。形式は hostname1:port1 hostname2:port2... です。

次に例を示します。`machine1.example1.com:389 machine2.example1.com:389`

複数のエントリの場合は、ローカルサーバー名をプレフィックスとして付ける必要があります。これによって、特定の OpenSSO を、特定の Directory Server と接続するように設定できます。

形式は servername|hostname:port です。次に例を示します。

`machine1.example1.com|machine1.example1.com:389`

`machine1.example2.com|machine1.example2.com:389`

フェイルオーバー設定の場合は次のようになります。

`AM_Server1.example1.com|machine1.example1.com:389 machine2.example.com1:389`

`AM_Server2.example2.com|machine1.example2.com:389 machine2.example2.com:389`

##### LDAP ベース DN

検索を開始する LDAP サーバー内のベース DN を指定します。デフォルトでは、OpenSSO インストールの最上位レルムです。

##### LDAP ユーザーベース DN

この属性は、LDAP サーバーの LDAP ユーザー対象が使用するベース DN を指定します。そこから検索が開始されます。デフォルトでは、OpenSSO インストールベースの最上位レルムです。

##### OpenSSO ロールベース DN

OpenSSO ロールの値の検索時にベースとして使用するレルムまたは組織の DN を定義します。この属性は AccessManagerRoles ポリシー対象によって使用されます。

##### LDAP バインド DN

LDAP サーバー内のバインド DN を指定します。

##### LDAP バインドパスワード

LDAP サーバーへのバインドに使用するパスワードを定義します。デフォルトでは、インストール時に入力された `amldapuser` パスワードが、バインドユーザーとして使用されます。

##### LDAP 組織検索フィルタ

組織エントリの検索に使用する検索フィルタを指定します。デフォルトは `(objectclass=sunMangagedOrganization)` です。

##### LDAP 組織検索範囲

組織エントリの検索範囲を定義します。範囲は次のいずれかにする必要があります。

- SCOPE_BASE

- SCOPE_ONE

- SCOPE_SUB (デフォルト)

##### LDAP グループ検索範囲

グループエントリの検索範囲を定義します。範囲は次のいずれかにする必要があります。

- SCOPE_BASE

- SCOPE_ONE

- SCOPE_SUB (デフォルト)

##### LDAP グループの検索フィルタ

グループエントリの検索に使用する検索フィルタを指定します。デフォルトは、`(objectclass=groupOfUniqueNames)` です。

##### LDAP ユーザー検索フィルタ

ユーザーエントリの検索に使用する検索フィルタを指定します。デフォルトは、`(objectclass=inetorgperson)` です。

##### LDAP ユーザー検索範囲

ユーザーエントリの検索範囲を定義します。範囲は次のいずれかにする必要があります。

- SCOPE_BASE

- SCOPE_ONE

- SCOPE_SUB (デフォルト)

##### LDAP ロール検索フィルタ

ロールのエントリ検索に使用する検索フィルタを指定します。デフォルトは、`(&(objectclass=ldapsubentry)(objectclass=nsroledefinitions))` です。

##### LDAP ロール検索範囲

この属性は、ロールのエントリ検索範囲を定義します。範囲は次のいずれかにする必要があります。

- SCOPE_BASE

- SCOPE_ONE

- SCOPE_SUB (デフォルト)

##### OpenSSO ロール検索範囲

OpenSSO ロール対象のエントリ検索範囲を定義します。

- SCOPE_BASE

- SCOPE_ONE

- SCOPE_SUB (デフォルト)

##### LDAP 組織検索属性

組織に対して検索を行うための属性タイプを定義します。デフォルトは o です。

##### LDAP グループ検索属性

グループに対して検索を行うための属性タイプを定義します。デフォルトは `cn` です。

##### LDAP ユーザー検索属性

ユーザーに対して検索を行うための属性タイプを定義します。デフォルトは `uid` です。

##### LDAP ロール検索属性

このフィールドは、ロールに対して検索を行うための属性タイプを定義します。デフォルトは `cn` です。

##### 検索で返される結果の最大数

このフィールドは検索で返される結果の最大数を定義します。デフォルト値は 100 です。指定された最大数を検索結果が上回った場合、その時点までに検索されたエントリが返されます。

##### 検索タイムアウト

検索タイムアウトが発生するまでの時間を指定します。指定した時間を過ぎた場合は、その時点までに検索されたエントリが返されます。

##### LDAP SSL

LDAP サーバーが SSL を実行するかどうかを指定します。選択した場合、SSL は有効になり、選択しない場合 (デフォルト)、SSL は無効になります。

LDAP サーバーが SSL 有効 (LDAPS) で実行中の場合、OpenSSO が LDAPS プロトコルで Directory Server に接続できるように、適切な SSL 信頼証明書で設定されていることを確認する必要があります。

##### LDAP 接続プールの最小サイズ

LDAP サーバー属性に指定されたとおり、Directory Server への接続に使用する接続プールの最小サイズを指定します。デフォルトは 1 です。

##### LDAP 接続プールの最大サイズ

この属性は、LDAP サーバー属性に指定されたとおり、Directory Server への接続に使用する接続プールの最大サイズを指定します。デフォルトは 10 です。

##### 選択したポリシー対象

この属性を使用すると、レルム内のポリシー定義に使用できる対象タイプのセットを選択できます。

##### 選択したポリシー条件

この属性を使用すると、レルム内のポリシー定義に使用できる条件タイプのセットを選択できます。

##### 選択したポリシー参照

この属性を使用すると、レルム内のポリシー定義に使用できる参照タイプのセットを選択できます。

##### 対象結果の有効時間

この属性は、キャッシュされた対象結果を使用してシングルサインオントークンに基づく同じポリシー要求を評価できる時間 (分単位) を指定します。

ポリシーが SSO トークンに対して最初に評価される場合に、そのポリシー内の対象インスタンスが評価され、ポリシーを特定のユーザーに適用できるかどうかが判別されます。対象結果は SSO トークン ID で (検索できるように) キーが付加され、ポリシーにキャッシュされます。「対象結果の有効時間」属性で指定された時間内に、再び同一の SSO トークン ID に対して同一のポリシーを評価するときには、ポリシーフレームワークは対象インスタンスを再評価せずに、キャッシュされている対象結果を検索します。これにより、ポリシー評価の時間が大幅に短縮されます。

##### ユーザーエイリアス

リモート Directory Server で、リソースの対象メンバーがローカルユーザーのエイリアスの場合、リソースを保護するためにポリシーを作成し、この属性を有効にする必要があります。たとえば、リモート Directory Server で `uid=rmuser` を作成してから、OpenSSO で (`uid=luser` などの) ローカルユーザーにエイリアスとして `rmuser` を追加する場合、この属性を有効にする必要があります。`rmuser` としてログインすると、ローカルユーザー (`luser`) によってセッションが作成され、ポリシー適用が成功します。

##### 選択した応答プロバイダ

そのレルムで有効にされているポリシー応答プロバイダのプラグインを定義します。そのレルムに定義されているポリシーに追加できるのは、この属性で選択された応答プロバイダプラグインのみです。

##### 選択した動的応答属性

そのレルムで有効にされている動的応答属性を定義します。そのレルムに定義されているポリシーに追加する IDResponseProvider の動的属性リストに定義できるのは、この属性で選択された名前のサブセットのみです。