管理サービスを使用して、グローバルレベルと設定済みレルムレベル (設定済みレルムに固有の「設定」または「オプション」) の両方で OpenSSO コンソールを設定することができます。管理サービス属性には、グローバル属性とレルム属性があります。
注 – この節に示す属性の一部は、旧バージョンモードのインストールのみに適用されます。
属性は次のとおりです。
連携管理を有効にします。デフォルトは有効です。この機能を無効にするには、このフィールドの選択を解除します。これによって、「連携管理」タブはコンソールに表示されなくなります。
ユーザー管理を有効にします。デフォルトは有効です。この属性は、OpenSSO が旧バージョンモードでインストールされている場合に適用可能です。
この属性は、デフォルトでは選択されておらず、OpenSSO が旧バージョンモードでインストールされている場合にのみ適用可能です。この属性を選択すると、「ディレクトリ管理」タブの下にピープルコンテナが表示されます。DIT で 1 つのピープルコンテナを使用するとともにロールを使用してアカウントおよびサービスを管理することをお勧めします。OpenSSO コンソールのデフォルトの動作では、ピープルコンテナは非表示です。ただし、DIT 内にピープルコンテナが複数存在する場合には、この属性を選択してピープルコンテナが管理対象オブジェクトとして表示されるようにしてください。
この属性は、デフォルトでは選択されておらず、OpenSSO が旧バージョンモードでインストールされている場合に適用可能です。この属性を選択すると、「ディレクトリ管理」タブにコンテナが表示されます。
この属性は、デフォルトでは選択されておらず、OpenSSO が旧バージョンモードでインストールされている場合に適用可能です。この属性を選択すると、「ディレクトリ管理」タブにグループコンテナが表示されます。
コンソールで作成した登録グループが静的か動的かを指定します。コンソールで作成、表示される登録グループは、静的か動的のどちらか一方です。両タイプではありません。フィルタを適用したグループは、この属性に指定された値には関係なく常にサポートされます。デフォルト値は動的です。
静的グループ: groupOfNames または groupOfUniqueNames オブジェクトクラスを使って、各グループメンバーを明示的に一覧表示します。グループエントリには、グループの各メンバーの uniqueMember 属性が含まれます。静的グループのメンバーは手動で追加するが、ユーザーエントリ自体は変更されません。メンバーの少ないグループに適しています。
動的グループ: 各グループメンバーのエントリの memberOf 属性を使用します。動的グループのメンバーは、memberOf 属性を含むすべてのエントリを検索して返す LDAP フィルタを使って生成されます。メンバーが非常に多いグループに適しています。
フィルタを適用したグループ: LDAP フィルタを使用して、フィルタの要件を満たすメンバーを検索して返します。たとえば、フィルタによって、特定の uid (uid=g*) または電子メールアドレス (mail=*@example.com) を持つメンバーを生成できます。
この例では、LDAP フィルタはそれぞれ、uid が g で始まるか、または電子メールアドレスが example.com で終わるすべてのユーザーを返します。フィルタを適用したグループは、「フィルタによるメンバーシップ」を選択することにより、ユーザー管理表示内でのみ作成できます。
管理者は次の中から 1 つ選択できます。
動的 - 「登録によるメンバーシップ」オプションを使って作成されたグループは、動的になります。
静的 - 「登録によるメンバーシップ」オプションを使って作成されたグループは、静的になります。
新しいロールの作成時に管理者権限の認可に使うデフォルト ACI (アクセス制御命令) または「アクセス権」のリストを定義します。必要な権限のレベルに応じて、これらの ACI の 1 つを選択します。OpenSSO には、デフォルトロールアクセス権として次の 4 つが用意されています。
No Permissions — ロールにアクセス権が設定されません。
Organization Admin — 組織管理者は設定済み組織のすべてのエントリに対する読み取りアクセス権と書き込みアクセス権を持っています。
Organization Help Desk Admin — 組織ヘルプデスク管理者は、設定済み組織のすべてのエントリに対する読み取りアクセス権、および userPassword 属性に対する書き込みアクセス権を持っています。
Organization Policy Admin — 組織ポリシー管理者は、レルムのすべてのポリシーに対する読み取りアクセス権と書き込みアクセス権を持っています。組織ポリシー管理者は、参照ポリシーを作成できません。
ドメインコンポーネントツリー (DC ツリー) は固有の DIT 構造で、多くの Sun Java System コンポーネントがこれを使用して、DNS 名とレルムのエントリ間のマッピングをします。
このオプションを有効にすると、レルムが作成されたときにレルムの DNS 名が入力されていれば、レルムの DC ツリーエントリが作成されます。DNS 名フィールドは、レルム作成ページに表示されます。このオプションは最高位レベルのレルムにのみ適用され、サブレルムには表示されません。
レルムツリーで、OpenSSO SDK を使用して inetdomainstatus 属性の状態を変更すると、対応する DC ツリーエントリの状態が更新されます。OpenSSO SDK を使用せずに状態を更新した場合、その内容は同期しません。たとえば、新しいレルム sun を sun.com という DNS 名属性で作成すると、DC ツリーに次のエントリが作成されます。
dc=sun,dc=com,o=internet,root suffix
デフォルトで、これが OpenSSO ルートに設定されています。異なるサフィックスが望ましい場合は、LDAP コマンドを使ってこのサフィックスを作成する必要があります。レルムを作成する管理者の ACI は、新しい DC ツリーのルートに無制限のアクセス権を持つように、修正する必要があります。
DomainAdministrators および DomainHelpDeskAdministrators グループを作成するかどうかを指定します。有効にすると、これらのグループが作成され、それぞれ Organization Admin Role および Organization Help Desk Admin Role と関連付けられます。このグループが作成されると、これらの関連するロールの 1 つにユーザーを追加したり削除したりしたときに、対応するグループへのユーザーの追加や、グループからのユーザーの削除が自動的に行われます。ただし、逆の処理は行われません。これらのグループの 1 つでユーザーの追加や削除をしても、関連するロールではユーザーの追加や削除は行われません。
DomainAdministrators および DomainHelpDeskAdministrators グループは、このオプションを有効にしたあとに作成されたレルムでのみ作成されます。
注 – このオプションはサブレルムには適用されません。ただし、ルートレルムは例外です。ルートレルムには、ServiceAdministrators および ServiceHelpDesk 管理者グループが作成され、それぞれ「Top-level Admin」ロールおよび「Top-level Help Desk Admin」ロールと関連付けられます。同じ動作が適用されます。
ディレクトリからユーザーのエントリを削除するか、それとも削除マークを付けるだけかを指定します。この属性は、OpenSSO が旧バージョンモードでインストールされている場合にのみ適用可能です。
このオプションが選択されている (true) 状態でユーザーのエントリを削除すると、ユーザーのエントリは実際にはまだディレクトリに存在していても、削除マークが付きます。削除マークを付けられたユーザーエントリは、Directory Server が検索している間、返されることはありません。このオプションが選択されていない場合は、ユーザーのエントリはディレクトリから削除されます。
この属性は、OpenSSO を使ってグループまたはレルムを構成するときに動的に作成される管理者ロールのアクセス制御命令を定義します。これらのロールは、作成したエントリの特定のグループに管理権限を与えるのに使用します。デフォルトの ACI はこの属性リストの下でのみ変更できます。
注 – レルムレベルの管理者は、グループ管理者よりも広範なアクセス権を持っています。ただし、デフォルトでは、ユーザーをグループ管理者ロールに追加すると、そのユーザーはグループ内すべてのユーザーのパスワードを変更できます。これには、そのグループのメンバーであるレルム管理者も含まれます。
「Container Help Desk Admin」ロールは、レルムのすべてのエントリに対する読み取りアクセス権、およびこのコンテナ単位だけにあるユーザーエントリの userPassword 属性に対する書き込みアクセス権を持っています。
「Realm Help Desk Admin」ロールは、レルムのすべてのエントリに対する読み取りアクセス権、および userPassword 属性に対する書き込みアクセス権を持っています。サブレルムを作成すると、管理者ロールは親レルムではなくサブレルムに作成されることに注意してください。
「Container Admin」ロールは、LDAP 組織単位のすべてのエントリに対する読み取りアクセス権と書き込みアクセス権を持っています。OpenSSO では、LDAP 組織単位をコンテナと呼ぶことがあります。
「Organization Policy Admin」ロールは、すべてのポリシーに対する読み取りアクセス権と書き込みアクセス権を持っており、そのレルム内のすべてのポリシーについて作成、割り当て、変更、および削除を行えます。
デフォルトでは、新規に作成したレルムのすべてのユーザーエントリは、そのレルムのピープルコンテナのメンバーです。「People Container Admin」ロールは、レルムのピープルコンテナのすべてのユーザーエントリに対する読み取りアクセス権と書き込みアクセス権を持っています。なお、このロールは、ロールおよびグループ DN を含む属性に対する読み取りアクセス権と書き込みアクセス権を持っていないため、ロールまたはグループの属性を変更したり、ロールまたはグループからユーザーを削除したりすることができません。
ほかのコンテナは、OpenSSO でユーザーエントリ、グループエントリ、またはほかのコンテナを保持するように設定できます。レルムを構成したあとで作成されたコンテナに管理者ロールを適用するには、デフォルトの「Container Admin」ロールまたは「Container Help Desk Admin」ロールを使用します。
グループ管理者は、特定グループのすべてのメンバーに対する読み取りアクセス権および書き込みアクセス権を持っており、新しいユーザーの作成、管理しているグループへのユーザーの割り当て、および作成したユーザーの削除を行うことができます。グループを作成すると、そのグループを管理するのに必要な権限を持つグループ管理者ロールが自動的に作成されます。このロールはグループのメンバーに自動的には割り当てられません。グループの作成者、またはグループ管理者ロールへのアクセス権を持つ人が割り当てる必要があります。
Top-level Admin は、最上位レルムのすべてのエントリに対する読み取りアクセス権と書き込みアクセス権を持っています。言い換えれば、「Top-level Admin」ロールには、OpenSSO アプリケーション内のすべての設定主体に対する権限があります。
組織管理者は、レルムのすべてのエントリに対する読み取りアクセス権と書き込みアクセス権を持っています。レルムを作成すると、そのレルムを管理するのに必要な権限を持つ「Organization Admin」ロールが自動的に作成されます。
ユーザープロファイルページでカスタム表示を持つサービスを一覧表示します。サービスによっては、コンソールによって生成されるデフォルト表示では不十分な場合があります。この属性は、どんなサービスでもカスタム表示を作成し、表示するサービス情報の内容や、表示の方法をすべてコントロールすることができます。構文は次のとおりです。
service name | relative url()
この属性で一覧表示されるサービスは、ユーザー作成ページには表示されません。カスタムサービス表示のデータ設定は、ユーザープロファイルページで行う必要があります。
オブジェクトが作成されたときに DC ツリーエントリ内に設定される属性のセットを定義します。デフォルトのパラメータは次のとおりです。
maildomainwelcomemessage |
preferredmailhost |
mailclientattachmentquota |
mailroutingsmarthost |
mailaccessproxyreplay |
preferredlanguage |
domainuidseparator |
maildomainmsgquota |
maildomainallowedserviceaccess |
preferredmailmessagestore |
maildomaindiskquota |
maildomaindiskquota |
objectclass=maildomain |
mailroutinghosts |
「ユーザー削除時に削除フラグをつける」モードの有効時に、削除するオブジェクトを検索するための検索フィルタを定義します。
ユーザーの作成先となるデフォルトピープルコンテナを指定します。
グループの作成先となるデフォルトグループコンテナを指定します。
エージェントの作成先となるデフォルトエージェントコンテナを指定します。デフォルトは Agents です。
ユーザーが作成時に配置される、デフォルトのピープルコンテナを指定します。デフォルト値は存在しません。有効な値は、ピープルコンテナの DN です。ピープルコンテナの代替の順序については、「グループのピープルコンテナリスト」属性の下にある注を参照してください。
ピープルコンテナのリストを指定します。グループ管理者は、新しいユーザーを作成するときに、このリストから選択できます。ディレクトリツリー内に複数のピープルコンテナがある場合に、このリストを使用できます。このリスト、または「グループのデフォルトピープルコンテナ」フィールドにピープルコンテナが指定されていない場合、ユーザーはデフォルトの OpenSSO ピープルコンテナ ou=people に作成されます。このフィールドのデフォルト値はありません。
この属性の構文は次のとおりです。
dn of group | dn of people container
ユーザーの作成時に、エントリを入れるコンテナがこの属性にあるかどうかがチェックされます。この属性が空の場合、「グループのデフォルトピープルコンテナ」属性にコンテナがあるかどうかがチェックされます。「グループのデフォルトピープルコンテナ」属性が空の場合、エントリは ou=people の下に作成されます。
この属性は、OpenSSO が旧バージョンモードでインストールされている場合にのみ適用可能です。デフォルト値は存在しません。
OpenSSO コンソールがユーザープロファイルページを表示するときに使用する Java のクラスを指定します。
OpenSSO コンソールがエンドユーザープロファイルページを表示するときに使用する Java のクラスを指定します。
ユーザープロファイルページの一部として、ユーザーに割り当てられるロールのリストを表示するかどうかを指定します。このパラメータが有効でない (デフォルト) 場合、ユーザープロファイルページは管理者だけにユーザーのロールを表示します。
ユーザープロファイルページの一部として、ユーザーに割り当てられるグループのリストを表示するかどうかを指定します。このパラメータが有効でない (デフォルト) 場合、ユーザープロファイルページは管理者だけにユーザーのグループを表示します。
このパラメータは、登録可能なグループにユーザーが自分自身を追加できるかどうかを指定します。このパラメータが有効でない (デフォルト) 場合、ユーザーのグループメンバーシップを変更できるのは管理者だけです。このパラメータは、「ユーザープロファイルページにグループを表示」オプションが選択されている場合にのみ適用されます。
このメニューは、どのサービス属性がユーザープロファイルページに表示されるかを指定します。管理者は次の中から選択できます。
そのユーザーに割り当てられたサービスに対して表示可能なユーザースキーマ属性を表示します。属性にキーワード「Display」が含まれている場合、ユーザーはユーザーサービス属性の値を見ることができます。詳細は、『OpenSSO Developer's Guide』を参照してください。
そのユーザーに割り当てられたサービスに対して表示可能なユーザースキーマ属性と動的スキーマ属性を表示します。
このリストは、新規に作成されたユーザーに自動的に割り当てるロールを定義します。デフォルト値は存在しません。管理者は 1 つまたは複数のロールの DN を入力できます。
このフィールドに指定できるのは、完全識別名のアドレスだけです。ロール名は指定できません。ロールは、OpenSSO ロールだけを使用でき、LDAP (Directory Server) ロールは使用できません。
このフィールドは、コンソールの上部に表示されるモジュールの Java クラスを一覧表示します。構文は、i18N キー | Java クラス名です。
i18N キーは、コンソールのエントリのローカル名に使用します。
このフィールドは検索で返される結果の最大数を定義します。デフォルト値は 200 です。
システムリソースを十分に割り当てずにこの属性を大きな値 (1000 超) に設定することは避けてください。
注 – OpenSSO は、最大で、4000 検索エントリを返すようにあらかじめ設定されています。この値は、コンソールから、または ldapmodify を使用して変更できます。ldapmodify を使用して変更する場合は、newConfig.xml を作成し、そこに次の値を記述します。この例で nsSizeLimit: -1 とあるのは無制限を意味します。
dn: cn=puser,ou=DSAME Users,ORG_ROOT_SUFFIX changetype: modify replace:nsSizeLimit nsSizeLimit: -1そのあと、ldapmodify を実行します。次に例を示します。
setenv LD_LIBRARY_PATH /opt/SUNWam/lib/:/opt/SUNWam/ldaplib/ldapsdk:/usr/lib/mps:/usr/share/lib/mps/secv1:/usr/lib/mps/secv1: $LD_LIBRARY_PATH/ldapmodify -D "cn=Directory Manager" -w "iplanet333" -c -a -h hostname.domain -p 389 -f newConfig.xmlLDAPModify を通じて行うこの属性の変更は、OpenSSO コンソールを使用して行う変更よりも優先されます。
検索を開始してからタイムアウトするまでの時間 (秒数) を定義します。これは長くかかる可能性のある検索を停止するために使用します。最大検索時間に達すると、検索が終了し、エラーが返されます。デフォルトは 5 秒です。
注 – Directory Server は、120 秒のタイムアウト値があらかじめ設定されています。この値は、Directory Server コンソールから、または ldapmodify を使用して変更できます。ldapmodify を使用して変更する場合は、newConfig.xml を作成し、そこに次の値を記述します。この例では、タイムアウトを 120 秒から 3600 秒に変更します。
dn: cn=config changetype: modify replace:nsslapd-timelimit nsslapd-timelimit: 3600そのあと、ldapmodify を実行します。次に例を示します。
setenv LD_LIBRARY_PATH /opt/SUNWam/lib/:/opt/SUNWam/ldaplib/ldapsdk:/usr/lib/mps:/usr/share/lib/mps/secv1:/usr/lib/mps/secv1: $LD_LIBRARY_PATH/ldapmodify -D "cn=Directory Manager" -w "iplanet333" -c -a -h hostname.domain -p 389 -f newConfig.xml特定のレルムに対する JSP ファイルが格納されたディレクトリの名前を指定します。これにより、管理者は、レルムごとに異なる外観 (外観のカスタマイズ) を提供できます。この属性のデフォルト値は console です。この属性は、OpenSSO が旧バージョンモードでインストールされている場合にのみ適用可能です。
このフィールドは、OpenSSO ヘルプのメインページ上に作成されるオンラインヘルプリンクを一覧表示します。これにより、ほかのアプリケーションは、そのオンラインヘルプリンクを OpenSSO ページに追加できます。この属性の形式は次のとおりです。
linki18nkey | html page to load | i18n properties file | remote server
リモートサーバー属性はオプションの引数であり、オンラインヘルプドキュメントのあるリモートサーバーを指定できます。デフォルト値は次のとおりです。
DSAME Help|/contents.html|amAdminModlueMsgs
この属性は、OpenSSO が旧バージョンモードでインストールされている場合にのみ適用可能です。
このフィールドは、ユーザーが作成されたときに動的にユーザーのエントリに追加されるサービスを一覧表示します。管理者は、作成時にどのサービスを追加するかを選択できます。この属性はコンソールではなく OpenSSO SDK によって使用されます。amadmin コマンド行ユーティリティーによって動的に作成されるユーザーには、この属性で一覧表示されるサービスが割り当てられます。
この属性は、ナビゲーションページで単純検索を実行するときに検索対象となる属性の名前を定義します。この属性のデフォルト値は cn です。
たとえば、ナビゲーションフレームの「名前」フィールドに「j*」と入力すると、「j」または「J」で始まる名前のユーザーが表示されます。
このフィールドは、単純検索で返されるユーザーを表示する時に使用する属性名を定義します。この属性のデフォルトは、uid cn です。ユーザー ID とユーザーのフルネームが表示されます。
最初に一覧表示された属性名は、返されるユーザーセットをソートするキーとしても使用されます。ユーザーエントリに設定された属性値を使用して、パフォーマンスの低下を回避します。
このフィールドは、新しいユーザーが作成されたときに通知を送る電子メールアドレスのリストを定義します。次の構文で示されているように、複数の電子メールアドレスを指定できます。
e-mail|locale|charset
e-mail|locale|charset
e-mail|locale|charset
--|locale オプションを使用すると、異なるロケールの通知リストも指定できます。
ロケールのリストについては、「サポートされている言語ロケール」を参照してください。
送信者の電子メール ID は、amProfile.properties 内のプロパティー 497 を修正すると変更できます。このファイルは、デフォルトで OpenSSO-base/SUNWam/locale にあります。
このフィールドは、ユーザーが削除されたときに通知を送る電子メールアドレスのリストを定義します。次の構文で示されているように、複数の電子メールアドレスを指定できます。
e-mail|locale|charset
e-mail|locale|charset
e-mail|locale|charset
--|locale オプションを使用すると、異なるロケールの通知リストも指定できます。
ロケールのリストについては、「サポートされている言語ロケール」を参照してください。
送信者の電子メール ID は、amProfile.properties 内のプロパティー 497 を修正すると変更できます。このファイルは、デフォルトで OpenSSO-base/SUNWam/locale にあります。
デフォルトの送信者 ID は、DSAME です。
属性および属性に関連する電子メールアドレスのリストを定義します。リストに定義された属性でユーザーの修正が発生すると、その属性に関連する電子メールアドレスに通知が送信されます。各属性は、それぞれ異なるセットの関連アドレスを持つことができます。次の構文で示されているように、複数の電子メールアドレスを指定できます。
attrName e-mail| locale|charset e-mail |locale|charset .....
attrName e-mail| locale|charset e-mail |locale|charset .....
アドレスのいずれか 1 つに --self キーワードを使用することもできます。このキーワードを使用すると、プロファイルが変更されたユーザーにメールが送信されます。たとえば、次のように指定します。
manager someuser@sun.com|self|admin@sun.com
この場合、manager 属性で指定されたアドレス、someuser@sun.com、admin@sun.com およびユーザーを変更した人 (self) にメールが送信されます。
--|locale オプションを使用すると、異なるロケールの通知リストも指定できます。たとえばフランスにいる管理者に通知を送信するには、次のようにします。
manager someuser@sun.com|self|admin@sun.com|fr ロケールの一覧については、「サポートされている言語ロケール」を参照してください。
属性名は Directory Server スキーマに表示されるのと同じものですが、コンソールの表示名とは違います。
この属性を使用して、ページあたりに表示できる最大行数を定義することができます。デフォルトは 25 です。たとえばユーザー検索結果が 100 行の場合、1 ページあたり 25 行のページが 4 ページ表示されます。
この属性には、イベントの作成、修正、および削除を OpenSSO コンソールから受信するリスナーのリストが含まれています。
このフィールドは、com.iplanet.am.sdk.AMCallBack クラスを拡張し、ユーザー、レルム、ロール、およびグループに対するプリプロセスおよびポストプロセス操作の間にコールバックを受け取る実装クラスのリストを、プラグインを通じて定義します。次のような操作があります。
作成
削除
修正
ロールあるいはグループへのユーザーの追加
ロールあるいはグループからのユーザーの削除
プラグインの完全なクラス名を入力してから、Web コンテナのクラスパスを OpenSSO のインストール場所から、プラグインクラスの完全パスに変更する必要があります。
このオプションは、プラグインのコールバックを有効にして、外部アプリケーション固有の外部属性を取得できるようにします。OpenSSO SDK では、外部属性をキャッシュできません。そのため、レルムレベルごとに属性の取得が可能になります。デフォルトでは、このオプションは無効です。
この属性は、ユーザー名に使用できない文字のリストを定義します。各文字は「|」文字で区切る必要があります。次に例を示します。
*|(|)|&|!
このクラスにより、ユーザー ID とパスワード検証プラグインのメカニズムが提供されます。このクラスのメソッドは、ユーザーのユーザー ID とパスワードを検証する実装プラグインモジュールにより、オーバーライドする必要があります。OpenSSO コンソール、amadmin コマンド行インタフェース、または SDK を使用して、ユーザー ID またはパスワードの値を追加するか変更すると、実装プラグインモジュールが呼び出されます。
このクラスを拡張するプラグインは、レルムごとに設定することができます。レルムに対してプラグインが設定されていない場合は、グローバルレベルで設定されたプラグインが使用されます。
プラグインの検証が失敗した場合は、プラグインモジュールは例外をスローし、ユーザーが入力したユーザー ID またはパスワードのエラーをアプリケーションに通知します。