Oracle Identity Managementの概要およびアーキテクチャ

Oracle Identity Management の概要

およびアーキテクチャ

オラクル・ホワイト・ペーパー

Oracle Identity Management の概要

およびアーキテクチャ

概要 ... 3

ID 管理（アイデンティティ・マネージメント）... 3

ID 管理とは ... 4

ID 管理システムのコンポーネント... 4

Oracle Identity Management の概要 ... 5

Oracle Identity Management の目的 ... 6

Oracle Identity Management の概念およびアーキテクチャ ... 7

ID 管理の概念 ... 8

Application Security と ID 管理の統合 ... 8

識別情報およびアプリケーションのプロビジョニング・ライフサイ

クル ... 9

管理委任 ... 10

ID 管理の Oracle 製品との統合 ... 11

結論 ... 12

Oracle Identity Management の概要

およびアーキテクチャ

概要

ID 管理（アイデンティティ・マネージメント）とは、企業環境でのアプリケーショ ンのユーザーID を定義および管理するプロセスです。具体的に、ID 管理のプロセ スを示します。 • ユーザーID のプロビジョニングおよび調整 • ユーザー・アカウント・プロビジョニングの自動化 • ユーザー・ロール、権限および資格証明の管理 • 管理者による責任の委任 • 管理者による簡単でセキュアなアプリケーションの配置 • ユーザーによる作業環境およびパスワードの自己管理 • ユーザーによるシングル・サインオン・アクセス 統合化された ID 管理インフラストラクチャは、企業がこれらを効率的に操作して、 管理コストを削減し、エンド・ユーザー体験の改善に役立ちます。 このドキュメントは、Oracle 環境における ID 管理の概要を必要とするユーザー、 および Oracle Identity Management 配置を計画している企業を対象にしています。 このドキュメントは、ID 管理、ID 管理インフラストラクチャに必須のコンポーネ ントの説明、および企業環境で使用する Oracle の ID 管理インフラストラクチャ の概要と目的を説明します。さらに、アプリケーション・セキュリティにおける ID 管理のロール、識別およびアプリケーション・プロビジョニング・ライフサイ クルなどの概要、および分散環境におけるユーザー管理のトピックについて説明 しています。最後に、Oracle 製品がどのように ID 管理インフラストラクチャを活 用しているかを検証します。

ID 管理（アイデンティティ・マネージメント）

この章では、ID 管理の概要および ID 管理システムの主要コンポーネントを紹介 します。次に、Oracle Identity Management 配置の目的、および Oracle Identity Management インフラストラクチャについて説明します。

ID 管理とは

ID 管理は、ID 管理システムの様々なコンポーネントが組織のネットワーク・エン ティティのセキュリティ・ライフ・サイクルを管理するプロセスで、通常、組織 のアプリケーション・ユーザー管理を指します。セキュリティ・ライフ・サイク ル手順は、アカウントの作成、一時停止、権限変更およびアカウント削除で構成 されています。 管理されるネットワーク・エンティティには、デバイス、プロセス、アプリケー ション、およびネットワーク環境において対話するその他すべてのものを含みま す。また、ID 管理作業で管理されるエンティティには、たとえば顧客、取引先パー トナ、Web サービスなど組織外のユーザーも含みます。 ID 管理システムを使用して、企業は次のことを実現できます。 • アカウント管理の集中化および業務の自動化による管理コストの削減。 • 新しいアプリケーションで既存のインフラストラクチャを活用してユー ザー・アカウントと権限のプロビジョニングを可能にするアプリケーショ ン配置の高速化。 • 新規ユーザーへの迅速なアプリケーション・アクセスを可能にするユー ザー・エクスペリエンスの改善。 • ユーザー・パスワードおよびセキュリティに関する資格証明の集中管理、 およびアプリケーションのカスタマイズによる認可の集中化および方針 情報の活用による、セキュリティおよびユーザビリティの向上。

ID 管理システムのコンポーネント

完全な ID 管理システムは、次のコンポーネントで構成されています。 • ユーザー情報を保存および管理するスケーラブルでセキュアな、標準に準 拠したディレクトリ・サービス。 • 人事管理アプリケーションなどのエンタープライズ・プロビジョニング・ システムにリンク可能な、またはスタンドアロン・モードで操作可能なプ ロビジョニング・フレームワーク。 • 企業の ID 管理ディレクトリを、従来のディレクトリにまたはアプリケー ション固有のディレクトリに接続可能にするディレクトリ統合プラット フォーム。

• PKI（public key infrastructure）証明書を作成および管理するシステム。

• ユーザー認証のランタイム・モデル。 • ID 管理システムの管理者が、選択的に個別のアプリケーションの管理者 または直接エンド･ユーザーにアクセス権限を委任できる委任管理モデル およびアプリケーション。様々な要件に対応可能なセキュリティ・モデル とユーザー・インタフェース・モデルが必須です。 識別情報は、ネットワーク・エンティティ を固有に識別する一連の属性です。ネッ トワーク・エンティティは、ネットワー クで様々なアプリケーションへのアクセ スに異なるアカウントを多数所有できま す。このようなアカウントは、このエン ティティの異なる属性に応じたアプリ ケーションで識別できます。たとえば、 ユーザーは、電子メール・サービスで電 子メール ID によって識別されますが、同 じユーザーでは、人事管理アプリケー ションが従業員番号によって識別します。 このような属性のグローバル・セットは、 エンティティの識別を構成します。

図 1 に、ID 管理システムの概要を示します。

図 1: ID 管理システムの概要

Oracle Identity Management の概要

Oracle Identity Management は、Oracle 製品のセキュリティ分散のために使用する統 合されたインフラストラクチャです。Oracle Identity Management は、Oracle9i Database Server および Oracle Collaboration Suite の他、Oracle Application Server に も含まれています。

Oracle Identity Management インフラストラクチャは、次のコンポーネントで構成 されています。

• Oracle Internet Directory: Oracle9i Database Sever に実装されるスケーラブ ルで堅牢な LDAP V3 準拠のディレクトリ・サービスです。

• Oracle Directory Integration and Provisioning: Oracle Internet Directory の コンポーネントで、このコンポーネントにより次のことが可能になります。

{ Oracle Internet Directory とその他の接続ディレクトリ間のデータの同 期化。

{ ユーザーのステータスまたは情報の変更を反映するターゲット・アプ

リケーションへの通知の送付。

{ 固有の接続性エージェントの開発および配置。

• Oracle Delegated Administration Services: Oracle Internet Directory のコン ポーネントで、ユーザーおよびアプリケーション管理者に、ディレクトリ 情報の信頼できるプロキシ・ベースの管理を提供します。

• OracleAS Single Sign-On（Oracle Application Server Single Sign-On）: Oracle およびサード・パーティの Web アプリケーションへのシングル・ サインオン・アクセスを提供します。

• OCA（Oracle Application Server Certificate Authority）: PKI ベースの厳密 認証をサポートする X.509v3 証明書を生成、取消、更新および発行します。 多くの異なるアプリケーション（Oracle E-Business Suite、Oracle Collaboration Suite など）は、図 2 に示すとおり Oracle Identity Management インフラストラクチャを 活用できます。

図 2: Oracle Identity Management オラクル製品に対するエンタープライズ・インフラストラクチャを提供する設計 がされていますが、同時にユーザーが作成した基幹業務アプリケーションやサー ドパーティの基幹業務アプリケーションを対象とする、汎用 ID 管理ソリューショ ンとしても機能します。 また、サード・パーティのアプリケーション・ベンダーは、Oracle Identity Management インフラストラクチャにより認証されているため、適切な動作が保証 されます。

Oracle Identity Management の目的

Oracle Identity Management は、次の 3 つのアーキテクチャ要件を満たす設計がさ れています。

• Oracle Identity Management は、すべての Oracle 製品およびテクノロジ・ス タック（Oracle Application Server、Oracle9i Database Server、Oracle E-Business Suite、Oracle Collaboration Suite など）の共有インフラストラクチャとして 機能します。したがって、Oracle 製品およびテクノロジの核となる長所を 持つ、セキュアで信頼性が高いスケーラブルな製品です。Oracle Identity Management は、Oracle 製品およびテクノロジ・スタック間に一貫性のあ るセキュリティ・モデルを提供します。

Oracle Identity Management インフラストラクチャは、一度の配置で、既存 および将来の Oracle 製品の配置をサポートする設計がされています。 • Oracle Identity Management は、既存のサード・パーティの ID 管理インフ

ラストラクチャと、それに対する投資を有効に活かす、セキュアで効率的 かつ信頼性の高い手段を提供します。

{ Oracle Identity Management により、ID 管理環境を必要とする Oracle テクノロジ・スタック全体を 1 箇所で一貫して統合できるため、サー ド・パーティ環境における個々の Oracle 製品の統合および管理が容易 になります。

{ Oracle Identity Management は、Oracle Directory Integration and Provisioning を使用して、サード・パーティ企業ディレクトリの計画 と配置に対し、これまで投資したリソースを運用します。これにより、 ディレクトリ・ネーミング、ディレクトリ・ツリー構造、スキーマ拡 張、アクセス制御およびセキュリティ方針など、主要な考慮点を計画 し継承する手段が提供されます。既存のフレームワークに確立されて いる、ユーザー登録、識別情報およびアカウント・プロビジョニング のプロシージャは、対応する Oracle Identity Management 操作にシーム レスに取り込まれます。 { サード・パーティ認証サービスを使用している場合、OracleAS Single Sign-On は、サービスと統合する手段を提供します。また、サード・ パーティ認証プラットフォームにある、既存の Oracle 環境で認証され た相互運用性ソリューションにアクセスするユーザーに、シームレス なシングル・サインオン環境も提供します。さらに、新製品に同様の ソリューションを実装できる、適切な定義のインタフェースが提供さ れています。

• Oracle Identity Management インフラストラクチャは、ID 管理のための企業 全体に対する基盤として機能し、顧客の環境に配置された他の Oracle 製品、 およびサード・パーティ・ベンダー製品をサポートします。

Oracle Identity Management は、あらゆる Oracle 製品とサード・パーティ製品のユー ザーおよびアカウント・プロビジョニングを効率化して、所有コストを削減しま す。高レベルのセキュリティ、スケーラビリティおよび豊富な機能も提供されま す。Oracle Identity Management は、すべての関連インタフェースの業界標準をサ ポートしているため、カスタマイズや多数の異なるアプリケーション環境に拡張 ができます。

Oracle Identity Management の概念およびアーキテクチャ

この章では、ID 管理の配置を効果的に実現するため理解しておく必要がある概念 を紹介します。Oracle Identity Management アーキテクチャの概要、および Oracle 環境のユーザーとアプリケーションのプロビジョニング・ライフサイクルについ て説明し、ID 管理の説明で共通に使用されている用語を示します。

ID 管理の概念

この項では、ID 管理の基本的概念について説明します。

Application Security と ID 管理の統合

この項では、Oracle Identity Management と統合された典型的アプリケーションの 管理者に、設計に必要な概要を提供します。様々な Oracle Identity Management コ ンポーネントとサービスのロールを理解するためのフレームワーク、および企業 環境におけるセキュアなアプリケーション配置方法を理解する基礎的事項を説明 します。 アプリケーション統合モデルを図 3 に示します。 このモデルの場合、ID 管理インフラストラクチャによって、次の重要なサービス が実施されます。 • 管理およびプロビジョニング: 管理およびプロビジョニング・サービスを、 ID 管理インフラストラクチャが管理する識別情報に提供します。Oracle Identity Management では、これらのサービスは、Delegated Administration Service、Oracle Directory Integration and Provisioning などのツールで実行さ れます。

• ポリシー決定サービス: これらのサービスは、通常 OracleAS Portal などの アプリケーションにより実行されますが、Oracle Identity Management では、 Oracle Internet Directory が ID 管理インフラストラクチャ自体のポリシー決 定サービスを実行します。

• 識別情報ポリシー・アサーション・サービス: Oracle Identity Management では、これらのサービスは、OracleAS Single Sign-On および Oracle Application Server Certificate Authority によって実行されます。

図 3: アプリケーション統合モデル

Policy Decision Services は、アプリ ケーションがアクセスを保護し制御する リソースに対応している、任意の資格授 与方針を解析するプロセスです。一部の アプリケーションは、アプリケーション 自体に埋め込まれている意志決定サービ スを使用し、その他のアプリケーション は、集中化された意志決定サービスを使 用します。

ID 管理インフラストラクチャに配置されるアプリケーションは、次の方法でイン フラストラクチャと対話します。 • ユーザー認証: アプリケーションは、ユーザーからのアクセスに対し、ID 管理インフラストラクチャから提供されるサービスでユーザー資格証明 の妥当性をチェックします。認証およびアプリケーションに関連する通信 は、識別情報ポリシー・アサーション・サービスで実行されます。たとえ ば、Oracle Identity Management インフラストラクチャでは、OracleAS Single Sign-On によって発行される、暗号化された Cookie に含まれる資格証明妥 当性チェックがこれに当たります。 • ユーザー認可: 一度認証されると、アプリケーションは、アプリケーショ ンによって保護されているリソースに対して、ユーザーが十分な権限を 持っているかの確認も必要になります。この確認は、ID 管理インフラス トラクチャで管理される識別情報に基づいたアプリケーションにより実 行されます。たとえば、J2EE アプリケーションは、認証後に、OracleAS JAAS Provider（Oracle Application Server Java Authentication and

Authorization Service）を使用して、Oracle Identity Management インフラス トラクチャにあるユーザー情報およびロール情報にアクセスします。

識別情報およびアプリケーションのプロビジョニング・ライフサイクル

この項では、Oracle 環境におけるユーザーID およびアプリケーション・プロビジョ ニングのフローの概要について説明します。 図 4: 識別情報およびアプリケーション・プロビジョニングのライフ・サイクル 次に、図 4 のプロビジョニング・フローについて説明します。 1. 最初に、製品のインストールおよび構成ツールを使用して、Identity Management インフラストラクチャを配置します。 2. 次に、ID 管理セキュリティ・ポリシーを定義します。これらのポリシー （方針）によって、アクセスが許可されるデータ・ユーザーとアプリケー

ションが判断されます。これらのポリシーは、Oracle Internet Directory の Identity Management Assertion

Services は、エンティティまたはその認 可の識別情報について、検証可能なア サーションを生成するプロセスです。 ネットワーク・エンティティは、エンティ ティがアクセスするその他のサービスに これらのアサーションを提示します。 ID 管理ポリシーはネーミング・ポリシー やセキュリティ・ポリシーなど、企業の ID 管理に影響する方針です。

ACL（Access Control List）として体系化され、通常、Oracle Directory Manager を使用して管理されます。

3. 次の 3 つの処理は、通常継続ベースで行われます。それぞれの処理は、パ ラレルで実行が可能で、特定の順序を必要としません。

• ユーザーID は Oracle Internet Directory でプロビジョニングされます。 これらのユーザーID は、人事管理アプリケーション、ユーザー管理 ツール（Oracle Internet Directory Self-Service Console を含む）などの複 数ソースから、その他のディレクトリとの同期またはディレクトリ・ バルク・ローディング・ツールを介して取得されます。

• グループおよびロールは、Oracle Internet Directory で管理されます。 グループおよびグループ・メンバーシップは、Oracle Internet Directory Self-Service Console または別のディレクトリ・サービスとの同期など、 様々な方法で定義できます。

• アプリケーション・インスタンスは、Oracle Identity Management イン フラストラクチャに対して配置されます。インスタンスの配置には通 常、ID 管理インフラストラクチャ管理者が必要となり、まず Oracle Internet Directory 管理ツールを使用してアプリケーション管理者にア クセス権限が付与されます。アプリケーション管理者は、アプリケー ション・インストールと構成ツールを使用して、アプリケーションの サポートに必要なディレクトリ・オブジェクトとエントリを作成しま す。 4. ユーザーID、グループとロール、アプリケーションは、アプリケーション・ アカウント・プロビジョニングのプロセスで関連付けられます。これは、 アプリケーション管理ツールを使用して手動で、またはプロビジョニング を統合して自動でも可能です。

管理委任

Oracle Identity Management は、エンタープライズ・ユーザー、グループおよびサー ビスの集中型リポジトリが必要です。ただし、ビジネス要件により、管理者の集 中型セットでの集中型ストアの管理が困難になります。 たとえば、ビジネス環境では、エンタープライズ・ユーザー・マネジメント管理 者が電子メール・サービス管理者と異なったり、財務管理者はユーザー権限の完 全な制御を必要としたり、または OracleAS Portal 管理者は特定のユーザーまたは グループの Web ページの完全な制御が必要な場合があります。管理者の様々な ニーズおよび異なるセキュリティ要件を満たすために、ID 管理システムには委任 管理が必要です。 委任管理によって、セキュリティ要件に基づいて、ID 管理システム内部のデータ 管理を多数の異なる管理者に分散できます。集中型リポジトリおよび委任権限を 組み合せて、ID 管理インフラストラクチャにおけるセキュアでスケーラブルな管 理を実現します。

ID 管理の Oracle 製品との統合

各 Oracle テクノロジ・スタック（Oracle Application Server、Oracle9i Database Server, Oracle E-Business、Oracle Collaboration Suite など）は、設計に合うセキュリティ・ モデルをサポートします。これらのスタックすべてに Oracle Identity Management インフラストラクチャが採用され、図 5 に示すとおり、それぞれのセキュリティ・ モデルが実装されています。

図 5: ID 管理の Oracle 製品との統合

Oracle Application Server は、JAAS（Java Authentication and Authorization Service） と呼ばれる J2EE 準拠のセキュリティ・サービスをサポートしています。JAAS は、 Oracle Internet Directory で定義されるユーザーおよびロールを使用する構成が可 能です。

同様に、データベース・セキュリティ機能（Enterprise User および Oracle Label Security）では、Oracle Internet Directory で定義されるユーザーとロールの手段が提 供されます。これらの 2 つのプラットフォームによって、プラットフォームそれ ぞれのネイティブ・セキュリティ機能を使ったアプリケーションを容易に開発で き、基礎となる ID 管理インフラストラクチャの透過的な使用が可能になります。 Oracle E-Business Suite および Oracle Collaboration Suite アプリケーション・スタッ クは、Oracle9i Database Server と Oracle Application Server プラットフォームに階層 化され、Oracle Identity Management インフラストラクチャを間接的に統合します。 さらに、これらの製品は、Oracle Identity Management に依存する独立した機能を 備えています。たとえば、Oracle E-Mail や Oracle Voicemail & Fax などの Oracle Collaboration Suite コンポーネントでは、Oracle Internet Directory を使用して、コン ポーネント固有のユーザー設定項目、個人的連絡先およびアドレス帳を管理しま す。

また、これらの Oracle テクノロジ・スタックは、Oracle Directory Integration and Provisioning を使用して、自動的にユーザー・アカウントと権限のプロビジョニン グとデプロビジョニングを実行します。Oracle Delegated Administration Service は、 ユーザー設定項目および個人的連絡先のセルフサービス方式の管理に幅広く採用 されています。また、これらの製品の Security Management インタフェースで、サー ビス・ユニットと呼ばれるユーザーおよびグループ管理作成ブロックが使用され ます。

結論

ID 管理システムにより、企業は、管理コストの削減、より適切なユーザー体験、 セキュリティの改善などが実現します。ただし、これらの利点を十分に活用する には、統合化された総合的 ID 管理インフラストラクチャの含意を理解する必要が あります。

Oracle Identity Management は企業システムで必要とされる機能を兼ね備えたイン フラストラクチャで、ディレクトリ・サービス、ディレクトリ同期、ユーザー・ プロビジョニング、委任管理、Web Single Sign-On および X.509v3 認証局を提供し ます。Oracle Identity Management は、簡単に Oracle のアプリケーションと組み合 わせて利用できる設計がされており、さらに企業以外でも汎用 ID 管理インフラス トラクチャとして機能します。

Oracle Identity Management の概要およびアーキテクチャ 2003 年 12 月

著書: Michael Mesaros, Richard Strohm 寄稿者: Uppili Srinivasan Oracle Corporation World Headquarters 500 Oracle Parkway Redwood Shores, CA 94065 U.S.A. 海外からのお問合せ窓口: 電話: +1.650.506.7000 ファックス: +1.650.506.7200 www.oracle.com

Copyright © 2003, Oracle. All rights reserved.

この文書はあくまで参考資料であり、掲載されている情報は予告なしに変更されることがあります。 オラクル社は、本ドキュメントの無謬性を保証しません。また、本ドキュメントは、法律で明示的または暗黙的に記載 されているかどうかに関係なく、商品性または特定の目的に対する適合性に関する暗黙の保証や条件を含む一切の保証 または条件に制約されません。オラクル社は、本書の内容に関していかなる保証もいたしません。また、本書により、 契約上の直接的および間接的義務も発生しません。本書は、事前の書面による承諾を得ることなく、電子的または物理 的に、いかなる形式や方法によっても再生または伝送することはできません。