ポリシー設定

「ポリシー設定」属性により、管理者はポリシーサービスによって使用されるグローバル属性およびレルム属性を設定できます。

グローバル属性

グローバル属性には次のものがあります。

リソースコンパレータ

「ポリシー」ルール定義で指定されたリソースの比較に使用されるリソースコンパレータ情報を指定します。リソースの比較は、ポリシーの作成と評価の両方に使用します。

「追加」ボタンをクリックして、次の属性を定義します。

サービスタイプ

コンパレータを使用するサービスを指定します。

クラス

リソース比較アルゴリズムを実装する Java クラスを定義します。

区切り文字

リソース名に使用する区切り記号を指定します。

ワイルドカード

リソース名に使用可能なワイルドカードを指定します。

1 レベルのワイルドカード

同じ区切り文字境界に位置する 0 個以上の文字に一致します。

大文字と小文字を区別

リソースを比較する際に、大文字と小文字を区別するかどうかを指定します。このオプションのチェックボックスを選択しない場合は区別せず、選択した場合は区別します。

拒否決定時の評価継続

DENY のポリシー決定が存在する場合でも、ポリシーフレームワークが後続のポリシーの評価を継続するかどうかを指定します。この属性が選択されていない場合 (デフォルト)、ポリシー評価は DENY が認識された後続のポリシーをスキップします。

OpenSSO により処理できるアドバイス

ポリシー適用ポイント (ポリシーエージェント) がユーザーエージェントを OpenSSO にリダイレクトするポリシーアドバイスキーの名前を定義します。エージェントが、あるリソースへのアクセスを許可しないというポリシー決定を受け取っても、アドバイスを間違いなく所有している場合は、この属性に一覧表示されているアドバイスキーを所有しているかどうかを確認します。

そのようなアドバイスが見つかった場合、ユーザーエージェントは OpenSSO にリダイレクトされ、その結果、そのリソースへのアクセスが許可されることもあります。

組織エイリアス参照

この属性を「はい」に設定すると、最上位レルムまたは親レルムから参照ポリシーを作成することなく、サブレルムにポリシーを作成できます。作成できるのは、完全修飾ホスト名がレルムの DNS エイリアスに一致する HTTP リソースまたは HTTPS リソースを保護するポリシーだけです。デフォルトでは、この属性は「いいえ」として定義されています。

レルム属性

LDAP プロパティーは次のとおりです。

プライマリ LDAP サーバー

OpenSSO インストール時に指定されたプライマリ LDAP サーバーのホスト名とポート番号を指定します。このホスト名とポート番号は、LDAP ユーザー、LDAP ロール、LDAP グループなどのポリシー対象を検索する際に使用します。

形式は hostname:port です。次に例を示します。machine1.example.com:389

複数の LDAP サーバーホストに対してフェイルオーバーを設定する場合は、この値をスペース区切りのホストのリストとすることができます。形式は hostname1:port1 hostname2:port2... です。

次に例を示します。machine1.example1.com:389 machine2.example1.com:389

複数のエントリの場合は、ローカルサーバー名をプレフィックスとして付ける必要があります。これによって、特定の OpenSSO を、特定の Directory Server と接続するように設定できます。

形式は servername|hostname:port です。次に例を示します。

machine1.example1.com|machine1.example1.com:389

machine1.example2.com|machine1.example2.com:389

フェイルオーバー設定の場合は次のようになります。

AM_Server1.example1.com|machine1.example1.com:389 machine2.example.com1:389

AM_Server2.example2.com|machine1.example2.com:389 machine2.example2.com:389

LDAP ベース DN

検索を開始する LDAP サーバー内のベース DN を指定します。デフォルトでは、OpenSSO インストールの最上位レルムです。

LDAP ユーザーベース DN

この属性は、LDAP サーバーの LDAP ユーザー対象が使用するベース DN を指定します。そこから検索が開始されます。デフォルトでは、OpenSSO インストールベースの最上位レルムです。

OpenSSO ロールベース DN

OpenSSO ロールの値の検索時にベースとして使用するレルムまたは組織の DN を定義します。この属性は AccessManagerRoles ポリシー対象によって使用されます。

LDAP バインド DN

LDAP サーバー内のバインド DN を指定します。

LDAP バインドパスワード

LDAP サーバーへのバインドに使用するパスワードを定義します。デフォルトでは、インストール時に入力された amldapuser パスワードが、バインドユーザーとして使用されます。

LDAP 組織検索フィルタ

組織エントリの検索に使用する検索フィルタを指定します。デフォルトは (objectclass=sunMangagedOrganization) です。

LDAP 組織検索範囲

組織エントリの検索範囲を定義します。範囲は次のいずれかにする必要があります。

LDAP グループ検索範囲

グループエントリの検索範囲を定義します。範囲は次のいずれかにする必要があります。

LDAP グループの検索フィルタ

グループエントリの検索に使用する検索フィルタを指定します。デフォルトは、(objectclass=groupOfUniqueNames) です。

LDAP ユーザー検索フィルタ

ユーザーエントリの検索に使用する検索フィルタを指定します。デフォルトは、(objectclass=inetorgperson) です。

LDAP ユーザー検索範囲

ユーザーエントリの検索範囲を定義します。範囲は次のいずれかにする必要があります。

LDAP ロール検索フィルタ

ロールのエントリ検索に使用する検索フィルタを指定します。デフォルトは、(&(objectclass=ldapsubentry)(objectclass=nsroledefinitions)) です。

LDAP ロール検索範囲

この属性は、ロールのエントリ検索範囲を定義します。範囲は次のいずれかにする必要があります。

OpenSSO ロール検索範囲

OpenSSO ロール対象のエントリ検索範囲を定義します。

LDAP 組織検索属性

組織に対して検索を行うための属性タイプを定義します。デフォルトは o です。

LDAP グループ検索属性

グループに対して検索を行うための属性タイプを定義します。デフォルトは cn です。

LDAP ユーザー検索属性

ユーザーに対して検索を行うための属性タイプを定義します。デフォルトは uid です。

LDAP ロール検索属性

このフィールドは、ロールに対して検索を行うための属性タイプを定義します。デフォルトは cn です。

検索で返される結果の最大数

このフィールドは検索で返される結果の最大数を定義します。デフォルト値は 100 です。指定された最大数を検索結果が上回った場合、その時点までに検索されたエントリが返されます。

検索タイムアウト

検索タイムアウトが発生するまでの時間を指定します。指定した時間を過ぎた場合は、その時点までに検索されたエントリが返されます。

LDAP SSL

LDAP サーバーが SSL を実行するかどうかを指定します。選択した場合、SSL は有効になり、選択しない場合 (デフォルト)、SSL は無効になります。

LDAP サーバーが SSL 有効 (LDAPS) で実行中の場合、OpenSSO が LDAPS プロトコルで Directory Server に接続できるように、適切な SSL 信頼証明書で設定されていることを確認する必要があります。

LDAP 接続プールの最小サイズ

LDAP サーバー属性に指定されたとおり、Directory Server への接続に使用する接続プールの最小サイズを指定します。デフォルトは 1 です。

LDAP 接続プールの最大サイズ

この属性は、LDAP サーバー属性に指定されたとおり、Directory Server への接続に使用する接続プールの最大サイズを指定します。デフォルトは 10 です。

選択したポリシー対象

この属性を使用すると、レルム内のポリシー定義に使用できる対象タイプのセットを選択できます。

選択したポリシー条件

この属性を使用すると、レルム内のポリシー定義に使用できる条件タイプのセットを選択できます。

選択したポリシー参照

この属性を使用すると、レルム内のポリシー定義に使用できる参照タイプのセットを選択できます。

対象結果の有効時間

この属性は、キャッシュされた対象結果を使用してシングルサインオントークンに基づく同じポリシー要求を評価できる時間 (分単位) を指定します。

ポリシーが SSO トークンに対して最初に評価される場合に、そのポリシー内の対象インスタンスが評価され、ポリシーを特定のユーザーに適用できるかどうかが判別されます。対象結果は SSO トークン ID で (検索できるように) キーが付加され、ポリシーにキャッシュされます。「対象結果の有効時間」属性で指定された時間内に、再び同一の SSO トークン ID に対して同一のポリシーを評価するときには、ポリシーフレームワークは対象インスタンスを再評価せずに、キャッシュされている対象結果を検索します。これにより、ポリシー評価の時間が大幅に短縮されます。

ユーザーエイリアス

リモート Directory Server で、リソースの対象メンバーがローカルユーザーのエイリアスの場合、リソースを保護するためにポリシーを作成し、この属性を有効にする必要があります。たとえば、リモート Directory Server で uid=rmuser を作成してから、OpenSSO で (uid=luser などの) ローカルユーザーにエイリアスとして rmuser を追加する場合、この属性を有効にする必要があります。rmuser としてログインすると、ローカルユーザー (luser) によってセッションが作成され、ポリシー適用が成功します。

選択した応答プロバイダ

そのレルムで有効にされているポリシー応答プロバイダのプラグインを定義します。そのレルムに定義されているポリシーに追加できるのは、この属性で選択された応答プロバイダプラグインのみです。

選択した動的応答属性

そのレルムで有効にされている動的応答属性を定義します。そのレルムに定義されているポリシーに追加する IDResponseProvider の動的属性リストに定義できるのは、この属性で選択された名前のサブセットのみです。