付録D.5 統合ユーザ管理の設定

ユーザ情報を格納したリポジトリを管理したり,リソースを監視したりするために必要な設定です。統合ユーザ管理のリポジトリとして使用するLDAPディレクトリサーバに接続するための設定,ユーザの追加,変更および削除などを行います。

<この項の構成>
(1) 統合ユーザ管理機能の設定の流れ
(2) ユーザ情報リポジトリへのユーザの登録
(3) Active Directoryを使用する場合の設定
(4) シングルサインオン情報リポジトリへのシングルサインオン用のユーザ情報の登録

(1) 統合ユーザ管理機能の設定の流れ

統合ユーザ管理機能の設定手順を次に示します。

  1. ユーザ管理方法を検討し,同一の認証ポリシーを適用する範囲(レルム)を決定します。
    ユーザを管理する単位を検討し,対応するレルム名を決定します。レルム名の決定については,マニュアル「Cosminexus システム構築ガイド」を参照してください。
  2. LDAPディレクトリサーバを設定します。
    シングルサインオンを使用する場合には,シングルサインオン用のユーザ情報をLDAPディレクトリサーバで管理しますので,LDAPディレクトリサーバが必要です。LDAPディレクトリサーバの設定については,マニュアル「Cosminexus システム構築ガイド」を参照してください。
    シングルサインオンを使用しないでRDB(HiRDBやOracleなど)の提供するユーザ認証だけを使用する場合は,この手順は不要です。
  3. ユーザ認証に使用するユーザ情報をLDAPディレクトリサーバ,またはRDBに登録します。
    LDAPディレクトリサーバへのユーザ情報の登録については,「(2) ユーザ情報リポジトリへのユーザの登録」を参照してください。なお,Cosminexusでは,LDAPディレクトリサーバに格納するユーザ管理リポジトリの標準的なDIT構造を規定しています。リポジトリの構造については,マニュアル「Cosminexus 機能解説」の統合ユーザ管理で使用するユーザ情報の管理方法に関する説明を参照してください。
    RDBへのユーザ情報の登録については,使用しているRDBのマニュアルを参照してください。
  4. シングルサインオンを使用する場合で,シングルサインオン用のユーザ情報を暗号化したいときは,ユーザ情報を暗号化または復号化するための暗号鍵ファイルを作成します。
    暗号鍵ファイルの作成については,マニュアル「Cosminexus システム構築ガイド」を参照してください。
    シングルサインオンを使用しない場合,またはユーザ情報を暗号化しない場合,この手順は不要です。
  5. シングルサインオンを使用する場合は,シングルサインオン用のユーザ情報をLDAPディレクトリサーバに登録します。
    LDAPディレクトリサーバへのシングルサインオン用のユーザ情報の登録については,「(4) シングルサインオン情報リポジトリへのシングルサインオン用のユーザ情報の登録」を参照してください。なお,Cosminexusでは,LDAPディレクトリサーバに格納するシングルサインオン用のユーザ管理リポジトリの標準的なDIT構造を規定しています。リポジトリの構造については,マニュアル「Cosminexus 機能解説」の統合ユーザ管理で使用するユーザ情報の管理方法に関する説明を参照してください。
    シングルサインオンを使用しない場合,この手順は不要です。
  6. コンフィグレーションファイルを作成します。
    作成するファイルは,次の2種類です。
    • jaas.conf(JAASのコンフィグレーションファイル)
    • ua.conf(統合ユーザ管理のコンフィグレーションファイル)
    コンフィグレーションファイルの作成については,マニュアル「Cosminexus システム構築ガイド」を参照してください。
  7. JavaVMのプロパティを設定します。
    JavaVMのプロパティの設定については,マニュアル「Cosminexus システム構築ガイド」を参照してください。
  8. 統合ユーザ管理で使用するEARファイルをデプロイします。
    ファイルのデプロイについては,マニュアル「Cosminexus システム構築ガイド」を参照してください。
  9. 必要に応じて,統合ユーザ管理で使用する情報のバックアップを取ります。
    LDAPディレクトリサーバのリポジトリのバックアップとリストアは,LDAPディレクトリサービスが提供するコマンド,またはディレクトリゲートウェイで操作します。詳細については,LDAPディレクトリサーバのマニュアルを参照してください。
    jaas.conf,ua.conf,および暗号鍵ファイルのバックアップも取るようにしてください。
    参考
    統合ユーザ管理では,セッションフェイルオーバ機能を使用することで,ログイン状態を別のJ2EEサーバに引き継ぐことができます。セッションフェイルオーバ機能を使用するためのセッションフェイルオーバ用フィルタの設定は,統合ユーザ管理機能を使用する場合と使用しない場合で異なります。設定方法については,マニュアル「Cosminexus システム構築ガイド」を参照してください。

(2) ユーザ情報リポジトリへのユーザの登録

リポジトリ管理でユーザ情報を登録します。リポジトリ管理では,ユーザ情報リポジトリとして使用するLDAPディレクトリサーバに対して次の操作ができます。

リポジトリ管理での操作は,LDAPディレクトリサーバを使用していることが前提です。そのため,ユーザ管理を構築するために必要なスキーマ定義を含むLDAPディレクトリサーバの設定は事前に行っておいてください。LDAPディレクトリサーバの設定方法については,マニュアル「Cosminexus システム構築ガイド」を参照してください。

「リポジトリ管理」を使用してユーザ情報リポジトリへユーザ情報を登録するための手順を次に示します。

  1. バインド情報を設定します。
    リポジトリ管理の[バインド情報の設定]画面で,LDAPディレクトリサーバへ接続するための情報を設定します。
  2. レルムを作成します。
    レルム管理の[レルムの作成]画面で,LDAPディレクトリサーバにレルムを作成します。
  3. ユーザエントリのスキーマを定義します。
    レルム管理の[ユーザエントリのスキーマ定義]画面で,レルムで管理するユーザエントリの属性と,ユーザのパスワードを保存するときの暗号化形式を設定します。
  4. ユーザエントリを作成します。
    レルム管理の[ユーザエントリの作成]画面で,レルムにユーザエントリを作成します。

なお,LDAPディレクトリサーバとしてActive Directoryを使用して,ユーザの登録,ユーザ情報の更新,およびリポジトリ情報のパスワードの変更をする場合の方法については,「(3) Active Directoryを使用する場合の設定」を参照してください。

運用管理エージェントとManagement Serverの起動および停止,Management Serverのログインおよびログアウトの操作については,「付録F J2EEアプリケーションを実行するシステムの起動と停止(Windowsの場合)」,または「付録G J2EEアプリケーションを実行するシステムの起動と停止(UNIXの場合)」を参照してください。

(3) Active Directoryを使用する場合の設定

統合ユーザ管理GUIを使用する場合の,SSLを使用して接続するための証明書の登録,およびActive Directory固有の環境設定の方法を次に示します。

なお,バインド情報の設定,ユーザエントリのスキーマ定義,ユーザエントリの作成は,リポジトリ管理にある画面を使用します。

(a) 証明書の登録

Management ServerとActive Directory間の通信でSSLを使用するための証明書を登録します。証明書の登録方法を次に示します。

  1. 作成したデジタル証明書を,Active Directoryがインストールされているサーバ(LDAPサーバ)に登録します。
    デジタル証明書の作成,登録方法については,Active Directoryのドキュメントを参照してください。
  2. Management Serverに認証局(CA)の証明書を登録します。
    認証局の証明書のManagement Serverへの登録は,Cosminexus Developer's Kit for Javaに付属するkeytoolを使用して実行できます。keytoolの詳細については,Java 2 SDK, Standard Editionのドキュメントを参照してください。keytoolの実行例を次に示します。なお,表記の都合上,複数行にわたっていますが,実際は一行で記述します。
    Windowsの場合

    keytool -import -alias cakey -file C:¥temp¥cacer.cer -trustcacerts -keystore
    "<Cosminexusのインストールディレクトリ>¥jdk¥jre¥lib¥security¥cacerts"

    UNIXの場合

    /opt/Cosminexus/jdk/bin/keytool -import -alias cakey -file /tmp/cacer.cer
    -trustcacerts -keystore /opt/Cosminexus/jdk/jre/lib/security/cacerts

なお,keytoolで証明書を登録する際にManagement Serverを起動していた場合は,Management Serverを再起動してください。

(b) バインド情報の設定

リポジトリ管理にある[バインド情報の設定]画面で必要な設定を次に示します。

(c) ユーザエントリのスキーマ定義

リポジトリ管理にある[ユーザエントリのスキーマ定義]画面で必要な設定を次に示します。

(d) ユーザエントリの作成

リポジトリ管理にある任意のレルム名の[ユーザエントリの作成]画面で設定します。

一つのユーザエントリを作成するためには,次に示す二つの設定が必要です。

(4) シングルサインオン情報リポジトリへのシングルサインオン用のユーザ情報の登録

リポジトリ管理でユーザ情報を登録します。リポジトリ管理では,シングルサインオン情報リポジトリとして使用するLDAPディレクトリサーバに対して次の操作ができます。

なお,ここでは,ユーザ情報リポジトリにユーザ情報を登録していることを前提に説明します。ユーザ情報リポジトリへのユーザ情報の登録については,「(2) ユーザ情報リポジトリへのユーザの登録」を参照してください。

「リポジトリ管理」を使用してシングルサインオン情報リポジトリへシングルサインオン用のユーザ情報を登録するための手順を次に示します。

  1. 暗号鍵ファイルを適用します(任意)。
    レルム管理の[暗号鍵ファイルの設定]画面で,シングルサインオン用のユーザ情報を暗号化,復号化するための暗号鍵ファイルを適用します。なお,暗号鍵ファイルはあらかじめ作成し,システム管理者が安全な方法で統合ユーザ管理機能を使用するJ2EEサーバに配布しておいてください。
  2. シングルサインオン用のレルムを作成します。
    レルム管理の[レルムの作成]画面で,LDAPディレクトリサーバにレルムを作成します。
  3. シングルサインオン用のユーザエントリのスキーマを定義します。
    レルム管理の[ユーザエントリのスキーマ定義(シングルサインオン用)]画面で,レルムで管理するユーザエントリの属性と,ユーザのパスワードを保存するときの暗号化形式を設定します。
  4. シングルサインオン用のユーザエントリを作成します。
    レルム管理の[ユーザエントリの作成(シングルサインオン用)]画面で,レルムにユーザエントリを作成します。

運用管理エージェントとManagement Serverの起動および停止,Management Serverのログインおよびログアウトの操作については,「付録F J2EEアプリケーションを実行するシステムの起動と停止(Windowsの場合)」,または「付録G J2EEアプリケーションを実行するシステムの起動と停止(UNIXの場合)」を参照してください。