最終更新2007年9月28日
このドキュメントでは、Identity Managerバージョン3.5.1の既知の問題について説明します。
現在、以下のマニュアルリソースが使用できます。
この項では、『Identity Manager 3.5.1インストールガイド』の「最新情報」の項の中の新機能のリストに属す2つの項目について説明します。
Identity Managerユーザアプリケーションでは、Access Managerにログインできる任意のサードパーティ認証サービスを使用して、Access Managerを通じたシングルサインオンをサポートしています。この機能は、非パスワードベースの技術を使用して、Access Managerを通じてユーザアプリケーションにログインすることを有効にします。1つの例は、スマートカードを使用したユーザ(クライアント)証明書を介したログインです。詳細については、『Identity Manager 3.5.1ユーザアプリケーション: 管理ガイド』の「運用環境の設計」の「セキュリティ」の項を参照してください。
Identity Managerホワイトページを参照するURLに検索パラメータを追加できるようになりました。
この項では、Identity Manager 3.5.1のシステム要件について説明します。
Identity Manager 3.5.1 Java*要件は以下の通りです。
ユーザアプリケーションには、デジタル署名とCryptovisionをサポートするためのJava 5.0.10が必要です。
JBoss*アプリケーションサーバでは、次のSun* JDK*: Java 2 Platform Standard Edition Development Kit 5.0をダウンロードしてインストールする必要があります。JRE*バージョン1.5.0_10を使用してください。
注: SUSE® Linux Enterprise Server (SLES)に付属のIBM* JDKは使用しないでください。SLESに付属のIBM JDKを使用すると、マスタキー破損エラーが発生する可能性があります。
WebSphereアプリケーションサーバでは、WebSphere* Application Server 6.1.0.9以降に付属のIBM JDKを無制限ポリシーファイルが適用された状態で使用してください。また、WAS JDK fixpack for 6.1.0.9も適用する必要があります。
メタディレクトリインストーラは、JVMの独自のコピーをNetWareを除くすべてのプラットフォームにインストールします。NetWareでは、メタディレクトリはシステムにインストールされているJavaはどのバージョンでも使用します。
Identity Manager 3.5.1では、Novell Audit 2.0.2がサポートされています。
以下に示す内容は、『Identity Manager 3.5.1インストールガイド』に一覧表示されているシステム要件の付加事項です。ユーザアプリケーションは、WebSphere Application Server (WAS) 6.1.0.9およびWAS SDK Fixpack 6.1.0.9が必要です。
DB2を使用する際、「The current transaction has been rolled back because of a deadlock or timeout (デッドロックまたはタイムアウトにより、現在のトランザクションがロールバックされました)」という内容のエラーが発生した場合、高いレベルでのユーザおよびデータベースの同時並行性によって問題が発生している可能性があります。
DB2は、コストベースのオプティマイザの調整を含む、ロック競合を解決するための多くの技術を提供しています。DB2管理マニュアルに含まれている『パフォーマンスガイド』は、調整に関する多くの情報が記載されている優れたソースです。
同時並行性のレベルおよびデータのサイズは異なるため、すべてのインストールに対して使用できる、事前に設定された調整値はありません。ただし、インストールに関連するDB2調整ヒントはいくつかあります。
reorgchk update statisticsコマンドは、オプティマイザによって使用される統計を更新します。これらの統計の周期的な更新により問題を緩和できます。
DB2レジストリパラメータDB2_RR_TO_RSを使用すると、挿入または更新された行の次のキーをロックしないことによって、同時並行性が向上します。
データベースのMAXLOCKSパラメータおよびLOCKLISTパラメータを増加します。
データベース接続プールのcurrentLockTimeoutプロパティを増加します。
Database Configuration Advisorを使用して、トランザクションの速度を上げるために最適化します。
すべてのユーザアプリケーションテーブルをVOLATILEに変更して、テーブルの重要性が大幅に異なることをオプティマイザに示します。たとえば、AFACTIVITYテーブルをVOLATILEにするには、ALTER TABLE AFACTIVITY VOLATILEのコマンドを発行します。
ALTER TABLEコマンドは、ユーザアプリケーションが一度開始されてデータベーステーブルが作成された後で実行する必要があります。このステートメントの詳細については、ALTER TABLEマニュアルを参照してください。すべてのユーザアプリケーションテーブルに対するSQLステートメントを示します。
ALTER TABLE AFACTIVITY VOLATILEALTER TABLE AFACTIVITYTIMERTASKS VOLATILEALTER TABLE AFBRANCH VOLATILEALTER TABLE AFCOMMENT VOLATILEALTER TABLE AFDOCUMENT VOLATILEALTER TABLE AFENGINE VOLATILEALTER TABLE AFENGINESTATE VOLATILEALTER TABLE AFMODEL VOLATILEALTER TABLE AFPROCESS VOLATILEALTER TABLE AFPROVISIONINGSTATUS VOLATILEALTER TABLE AFQUORUM VOLATILEALTER TABLE AFRESOURCEREQUESTINFO VOLATILEALTER TABLE AFWORKTASK VOLATILEALTER TABLE AUTHPROPS VOLATILEALTER TABLE DSS_APPLET_BROWSER_TYPES VOLATILEALTER TABLE DSS_APPLET_CFG VOLATILEALTER TABLE DSS_APPLET_CFG_MAP VOLATILEALTER TABLE DSS_BROWSER_TYPE VOLATILEALTER TABLE DSS_CONFIG VOLATILEALTER TABLE DSS_EXT_KEY_USAGE_RESTRICTION VOLATILEALTER TABLE DSS_USR_POLICY_SET VOLATILEALTER TABLE PORTALCATEGORY VOLATILEALTER TABLE PORTALPORTLETHANDLES VOLATILEALTER TABLE PORTALPORTLETSETTINGS VOLATILEALTER TABLE PORTALPRODUCERREGISTRY VOLATILEALTER TABLE PORTALPRODUCERS VOLATILEALTER TABLE PORTALREGISTRY VOLATILEALTER TABLE PROFILEGROUPPREFERENCES VOLATILEALTER TABLE PROFILEUSERPREFERENCES VOLATILEALTER TABLE SCHEMAVERSION VOLATILEALTER TABLE SECURITYACCESSRIGHTS VOLATILEALTER TABLE SECURITYPERMISSIONMETA VOLATILEALTER TABLE SECURITYPERMISSIONS VOLATILEALTER TABLE SEC_DELPROXY_CFG VOLATILEALTER TABLE SEC_DELPROXY_SRV_CFG VOLATILEALTER TABLE SEC_SYNC_CLEANUP_QUEUE VOLATILE
Oracle* 9iドライバを使用すると、org.hibernate.exception.GenericJDBCException: could not insert: [com.sssw.fw.security.persist.EboPermissionMeta] の例外が発生します。
この問題を回避するには、Oracle 10gドライバ、ojdbc14.jar、およびorai18n.jarを使用してください。これらのドライバは、Oracle 9iに対して下位互換性があります。
以下の項では、インストールバグおよび回避策について説明しています。
ユーザアプリケーションをWindowsサービスとして実行しているJBoss上で開始する際、以下のエラーが発生する可能性があります。
com.sssw.fw.exception.EboUnrecoverableSystemException: Failed to initialize EboPortletContainer framework service. at com.novell.afw.portlet.core.EboPortletContainer.<clinit>(EboPortletContainer.java:100) at com.sssw.portal.servlet.EboPortalBootServlet.init(EboPortalBootServlet.java:86) at javax.servlet.GenericServlet.init(GenericServlet.java:211) at org.apache.catalina.core.StandardWrapper.loadServlet(StandardWrapper.java:1105) at org.apache.catalina.core.StandardWrapper.load(StandardWrapper.java:932) at org.apache.catalina.core.StandardContext.loadOnStartup(StandardContext.java:3951 . . . Caused by: java.lang.ClassCastException: . . .
このエラーは、開始時にJBossサービスがIdentity Managerで予期されているファイルとは異なるxalan.jarファイルをロードした場合に発生します。この問題を回避するには、xalan.jarへのパスをサービスの-Djava.class.pathエントリに付加します。結果として表示されるサービスのレジストリエントリは以下のとおりです。
‑Djava.class.path=C:\Novell\IDM_35_FCS\jre\lib\tools.jar;C:\Novell\IDM_35_FCS\jboss\bin\run.jar;C:\Novell\IDM_35_FCS\jboss\lib\endorsed\xalan.jar
次に、サービスを再起動します。
パスはサービスの作成時またはその後で付加できます。
Identity Managerユーザアプリケーションを64ビットシステムにインストールしてJBossおよびMySQLをJBossMysql.binを使用してインストールするように選択した場合、MySQLデータベースのインストール中にエラーが発生する可能性があります。この問題を回避するには、setup-mysql.shを実行し、次にstart-mysql.shを実行します。
ユーザアプリケーションを64ビットSLES 10にインストールする際、ルートコンテナDNへのアクセスを試行中に不正な文字または［］ボタンが表示されます。このエラーが発生した場合、ご使用の環境に対して正しいJREがインストールされていることを確認してください。
eDirectory™ 8.8.1を使用すると、Solaris* 9および10でのGUIのインストールが失敗します。回避策は次のとおりです。
テキストベースのインストールプログラムを実行します。
この問題の修正プログラムが含まれているeDirectory 8.8.2を使用します。
WARrがSLES 9で配布される/usr/bin/jarのjarバイナリで作成される場合、カスタムファイルを手動でIDM.warに追加すると、configupdate.shスクリプトが失敗します。エラーメッセージは次のとおりです。
DEBUG===WAR updating...java.util.zip.ZipException: invalid entry compressed size (expected 16176 but got 16177 bytes) at java.util.zip.ZipOutputStream.closeEntry(Unknown Source) at java.util.zip.ZipOutputStream.putNextEntry(Unknown Source)
この問題を解決または回避するには、jarの新しいバージョンを使用してWARを作成します。以下の例を参照してください。/usr/lib/java/bin/jar -cvf IDM.war *
デフォルトのJBossサーバの設定を使用してユーザアプリケーションを起動すると、以下の警告メッセージが表示される場合があります。
WARN [TomcatDeployer] Failed to setup clustering, clustering disabled. NoClassDefFoundError: org/jboss/cache/CacheException
ユーザアプリケーションのインストール中にデフォルトの設定(シングルノード)を選択した場合は、このメッセージは無視できます。このメッセージはJBossアプリケーションサーバから発生しています。このメッセージは、Identity Managerのユーザアプリケーションではクラスタリングがサポートされていますが、アプリケーションサーバの環境設定でクラスタリングをサポートしないことを選択したことを示しています。
Identity Managerのインストール用のアカウントパスワードに特殊文字が使用されている場合、スキーマを拡張できないことがあります。その場合は、別のアカウントを使用するか、パスワードを変更してインストールする必要があります。
最新バージョンのAccess Managerは、ユーザアプリケーションを設定する際、［詳細オプションの表示］ページの［］にある［ICSログアウト］ページへのデフォルトURLパスをサポートしていない場合があります。https://yourIChainServer/cmd/ICSLogoutのデフォルトURLパスを利用できない場合は、https://yourAccessManagerServer/AGLogoutを試してください。
サーバがすでにポート3306上でMySQLを実行している場合、MySQLを別のポートにインストールする機会を提供することなく、ユーザアプリケーションインストールプログラムが失敗します。この問題は、ユーザアプリケーションに付属のJbossMysqlユーティリティの制限によるものですが、スタンドアロンMySQLインストールプログラムを使用することによって回避できます。
回避するには、既存のMySQLインスタンスを停止してインストールを実行します。インストールプログラムはMySQLをポート3306にインストールしますが、接続先のポートを指定するよう求められます。新しいポートを指定して、my.cnfファイルに進み、この新しいポートに変更して、ユーザアプリケーションMySQLインスタンスを再起動します。次に別のMySQLインスタンスを再起動するとアプリケーションが適切に実行されます。ユーザアプリケーションインストーラは、別のポートにインストールしてその新しいポートから起動できます。現時点では、ユーザアプリケーションインストールプログラムは3306が空いている場合にのみ機能します。
以下の項では、ユーザアプリケーションのユーザインタフェースに影響する問題および修正プログラムについて説明します。
ユーザアプリケーションは、先頭または末尾にスペースを含むパスワードポリシー名をサポートしません。先頭または末尾にスペースを含むパスワードポリシーがある場合は、ユーザは［パスワードを忘れた場合］ページにユーザ名を入力した直後に「本人確認の回答に失敗しました」という内容のメッセージが表示されます。
パスワードの本人確認の質問名の最後に1つ以上のスペースがあると、ユーザアプリケーションがパスワードの本確認の質問を返すときにエラーが発生します。この問題を防ぐには、本人確認の質問名の最後にスペースを付けないでください。
ユーザアプリケーションにユーザなどのエンティティを作成し、名前にバックスラッシュを含める場合、完全DN内でバックフラッシュが増えます。たとえば、myusername\ becomes mysusername\\\となります。これは既知の問題です。この問題を回避するには、エントリ名にバックスラッシュを含めないでください。
Identity Managerユーザアプリケーションの［］タブで、グループ属性の編集としてグループを削除する作業と追加する作業は、別々の作業として行う必要があります。グループの削除と追加を1つのステップのプロセスとして実行すると、［+］(追加)ボタンをクリックすると削除されたグループ名が再表示されます。
ユーザアプリケーションで、Mozilla系ブラウザ(Firefox*、Netscape*、またはMozilla*)を使用してユーザAとしてログインし、次に、同じ種類のブラウザの別のブラウザインスタンスを開いてユーザBとしてログインした場合、1つ目のブラウザインスタンスに戻ると、ユーザBの情報が表示されます。これは、両方のブラウザインスタンスで同じCookieを共有してるため、2つ目を開いたときにCookieの内容が上書きされるためです。この問題はMozilla系ブラウザでのみ発生します。Internet Explorerでは発生しません。
Firefoxを使用している場合、［組織図］ページでHTMLエディタを使用しているときに、切り取り操作、貼り付け操作、またはコピー操作を行うと、例外が発生する場合があります。Mozillaではセキュリティ上の理由により、スクリプトからクリップボードにアクセスすることができません。そのため、Firefoxでは、［切り取り］、［コピー］、［貼り付け］の各ボタンは無効になっています。
Firefoxでは、［ツール］メニューの［拡張機能］をクリックし、拡張機能ダウンロード用Webサイトを開いて、AllowClipboard Helperという拡張機能をダウンロードできます。
ダウンロードすると、メニューに［］というコマンドが表示されます。
このコマンドをクリックして［allowclipboard helper］ウィンドウを開き、クリップボードの使用権限を付与するサーバのアドレスを指定し、［］をクリックします。サーバは、必要なだけ追加できます。すべてのFirefoxのブラウザを閉じてから、Firefoxを再起動します。これで、Firefoxで切り取り/コピー/貼り付けの各操作を実行できるようになります。
Identity Managerユーザアプリケーションにログインしたとき、左側のアクションメニューに、ユーザを作成するためのリンクがあります。ユーザを作成するには、ディレクトリにエントリを追加するためのeDirectory権利を持っている必要があります。Identity Managerユーザアプリケーションには既存のeDirectoryユーザが登録されているので、それらのユーザはすでに必要な権利を持っています。
iManagerで、［オブジェクトの表示］をクリックします。
ユーザコンテナが含まれているオブジェクト(例: MySample.novell)を探して選択し、［］をクリックします。
トラスティ(例: MySample.novell)を追加し、割り当てられている権利を変更します。
[］の下の［］を選択します。その他のフィールドはデフォルト値のままにし、［］をクリックします。
これでusers.MySample.novellコンテナ内の全ユーザが、そのMySampleエンティティ内にユーザまたはグループを作成できるようになりました。
ユーザアプリケーションでは、iManagerと同じ文字がサポートされています。特殊文字のエスケープの詳細については、http://www.novell.com/documentation/imanager26/index.htmlにアクセスして『iManager 2.6管理ガイド』の20ページの第3章「iManagerインタフェースのナビゲート」のセクション3.2「特殊文字」を参照してください。
あるユーザがユーザアプリケーションにログインした後、ブックマークまたは履歴を使ってログインポートレットまたはログインページをロードし、再度ログインしようとした場合、2回目のログインでは、新しいポータルセッションが正しく確立されません。そのため、2回目のログインが失敗する場合があります。この問題に対処するには、ログインする前には常にログアウトリンクを使用してください。
ユーザアプリケーションの上位レベルタブは、使用できる文字数の制限を強制しています。制限文字数は22以下です。英語以外の言語では、制限を超えた場合は文字が切り捨てられ、省略記号(...)が表示されて、テキストの一部が表示されていないことを示します。すべてのテキストを表示するには、タブ名の上にマウスを移動します。
以下の項では、ユーザアプリケーションの管理に影響する問題と修正プログラムについて説明します。
監査に必要なファイル(NAuditPA.jarおよびlogevent.conf)は、インストール時に監査を有効にするように選択していない場合でもユーザアプリケーションインストールフォルダにコピーされます。ただし、logevent.confファイルは、インストールプログラムの実行中に監査を無効にしている場合にインストール後に手動で編集する必要があるいくつかのパラメータを含んでいます。これらのパラメータは、『Identity Manageユーザアプリケーション: 管理ガイド』の第3章「ログ記録の設定」で説明されています。
ストリームフォーマットを使用して単一値属性で更新しようとすると、次のエラーメッセージが表示されます。
LDAP: error code 19 - NDS error: can’t have multiple values (-612)
回避するには、iManagerでクラス属性を作成するときに、ストリーム構文ではなく、たとえばCase Ignore Stringなどの文字列構文を使用します。ストリーム構文は、パフォーマンスオーバーヘッドのため、あまり使用しないでください。
デフォルトでは、ユーザアプリケーションはJBossアプリケーションサーバをポート8009上で開始します。これにより、OES 2 Linuxがすでにポート8009を使用しているため、競合が発生します。この競合を避けるには、JBossアプリケーションサーバを開始するまえに、JBossポートをservice.xmlファイル内で変更します。
パスワードを忘れた場合機能がクラスタ化環境で実行されている場合、次のようなスタックトレースが表示されます。
java.io.NotSerializableException: com.novell.pwdmgt.soap.PasswordManagementBinding_Stub (If using exteranl forgot password war)java.io.NotSerializableException: com.novell.pwdmgt.jsf.util.MyCallbackHdlr
これは情報のみで、対応は必要ありません。これは、ユーザがパスワードを忘れた場合アクションを実行したときに発生します。これらのエラーメッセージは、パスワードを忘れた場合アクションを実行しているユーザには影響しません。ユーザは問題を確認することはなく、パスワードを忘れた場合アクションを正常に完了出来ます。
WebSphereを使用しているときに、JSFを使用するいくつかのポートレットに次のエラーが発生する場合があります。java.io.NotSerializableException: javax.faces.application.FacesMessage$Severity
このエラーは無害であり、JSFまたはポートレット操作に影響しません。このエラーを抑止するには、次のコンポーネントをWebSphere Change Log Detail Levelsに追加します。com.ibm.ws.webcontainer.httpsession.HttpSessDRSBuffWrapper=fatal
セキュリティのため、管理者やLDAPゲストのアカウントは、意図する役割を果たすために必要な最小の権限セットに制限することをお勧めします。ユーザアプリケーションで次の役割を(インストール中、またはインストール後にconfigupdateユーティリティを使用して)割り当てるときに、次の各ユーザに対して別々の物理識別ボールトのユーザアカウントを指定します。
LDAP管理者
LDAPゲスト(使用する場合)
ユーザアプリケーション管理者
プロビジョニングアプリケーション管理者
パスワードポリシーは継承できません。ユーザアプリケーションの管理者は、ユーザが作成されたコンテナに明示的にパスワードポリシーを適用する必要があります。適用できない場合、このエラーが発生します。
無効なSPM(Secure Password Manager)リクエスト問題が解決しない場合は、システム管理者に問い合わせてください。
configupdateユーティリティでおよびパラメータを設定すると、SSLを必要としない操作がSSL無しで操作できます。パスワード機能などのSSLが必要な操作は、SSLを使用します。
パスワードまたは本人確認の回答のヒントを変更するために、ログインした後でユーザがリダイレクトされると、そのユーザはポータルのURLを入力して、次のログイン時まで認証の確認をバイパスすることができます。これは、既知の問題ですが、回避策はありません。
configupdateユーティリティの［］ボタンをクリックすると、Windows XP SP2でJVMがクラッシュすることがあります。この問題を回避するには、［］ボタンを使用せずに、ファイルのフルパス名を入力します。
アプリケーションサーバがダウンし、アクティブになっているユーザアプリケーションドライバを再起動する場合、アクティベーションキーがドライバにロードされているとしても、ドライバのアクティベーションステータスにアクティベーションが必要であると表示されることがあります。これは既知の問題です。この問題を回避または解決するには、ユーザアプリケーションサーバが起動し使用可能になった後で、ユーザアプリケーションドライバを起動します。
JBoss 4.0.5 GAに含まれているJGroups (Version 2.2.7)のバージョンには問題があり、クラスタ化環境でパフォーマンスの問題が発生することがあります。この問題の詳細については、Deadlock - JBoss.org JIRAを参照してください。この問題は、JGroups 2.4では解決されています。 JGRP-292で説明されている問題を回避するには、JGroups 2.4以降にアップグレードすることをお勧めします。
JGroups 2.4.xにアップグレードする前(またはJBossインストール内のその他のコンポーネントをアップグレードする前)には、 JBoss Application Server、JBossCache、およびJGroups Compatibility Matrix で提供されている互換性リストを確認してください。
JGroupsのダウンロードおよび情報については、JGroups - The JGroups Projectを参照してください。
ユーザアプリケーションをクラスタで実行中に、java.util.NoSuchElementException例外が発生することがあります。この例外はJBossの既知の問題で、後からリリースされたものでは修正されています。詳細については、JBossのWebサイトを参照してください。
この問題で発生するスタックトレースの例を示します。
2007-02-06 14:23:58,231 ERROR[org.jboss.web.tomcat.tc5.session.JBossCacheManager:processExpires]processExpires: failed with exception: java.util.NoSuchElementExceptionjava.util.NoSuchElementException atEDU.oswego.cs.dl.util.concurrent.ConcurrentHashMap$HashIterator.next(ConcurrentHashMap.java:1131) at java.util.AbstractCollection.toArray(AbstractCollection.java:176) atorg.jboss.web.tomcat.tc5.session.JBossCacheManager.findLocalSessions(JBossCacheManager.java:851) atorg.jboss.web.tomcat.tc5.session.JBossCacheManager.processExpires(JBossCacheManager.java:1188) atorg.jboss.web.tomcat.tc5.session.JBossManager.backgroundProcess(JBossManager.java:817) atorg.apache.catalina.core.ContainerBase.backgroundProcess(ContainerBase.java:1284) atorg.apache.catalina.core.ContainerBase$ContainerBackgroundProcessor.processChildren(ContainerBase.java:1569) atorg.apache.catalina.core.ContainerBase$ContainerBackgroundProcessor.processChildren(ContainerBase.java:1578) atorg.apache.catalina.core.ContainerBase$ContainerBackgroundProcessor.processChildren(ContainerBase.java:1578) atorg.apache.catalina.core.ContainerBase$ContainerBackgroundProcessor.run(ContainerBase.java:1558) at java.lang.Thread.run(Thread.java:595)
ユーザセッション内の機密データ(シングルログインのログインパスワードなど)は、このリリースでは暗号化されません。そのため、機密データがネットワークスニファに見られる可能性があります。ユーザセッションに一時的に格納されていて、クラスタ環境でのセッションの反復の間にネットワークに送信される可能性がある機密データを保護するには、次のいずれかの操作を行う必要があります。
JGroupsの暗号化を有効にします。JGroupsの暗号化を有効にする方法の詳細については、JGroups Encryptを参照してください。
クラスタがファイアウォールの背後にあることを確認します。
管理者は、新規ユーザに対する初期パスワードを期限切れに設定できるようになりました。期限切れに設定するには、『Identity Managerユーザアプリケーション: 管理ガイド』の説明に従ってCreatePortletポートレットの設定情報を指定します。
［］で値を選択します。
: 新規ユーザが初めてログインしたときにパスワードを期限切れにします。
(デフォルト値): eDirectory設定を使ってパスワード有効期限を指定します。
完成したワークフロー情報の保持期間のデフォルト値は120日です。ただし、ワークフローエンジンに対するSOAPインタフェースを使用すれば、この設定値を変更できます。ワークフローエンジンに対するSOAPインタフェースを使用するには、ブラウザで次のURLを入力します。
http://server:host/IDMProv/provisioning/service?test
呼び出し可能なワークフローエンジンメソッドが一覧表示されるページが開くので、メソッドを選択します。このメソッドに渡すパラメータ値によって、保持期間が変わります。パラメータ値の単位はミリ秒です。
ワークフローの共通名の中で単一引用符が使われている場合、そのワークフローはeDirectoryイベントからトリガされません。ワークフローの共通名(CN)の中で、単一引用符を使わないでください。
『Identity Managerユーザアプリケーション: 管理ガイド』には、Identity ManagerユーザアプリケーションのパスワードをiManagerのパスワードポリシーに合わせることに関する情報が欠落しています。
19.3.1および19.7.1項は、ユニバーサルパスワード要件について説明しています。ユニバーサルパスワードが有効になっている場合、iManagerを開いての順に進みます。次のオプションがオンになっていることを確認します。
16.2.1項は、作成用コンテナプロパティについて説明しています。ポートレットの作成を使用してユーザを作成し、ユーザにiManagerパスワードポリシーを割り当てる場合は、同じiManagerパスワードポリシーにも指定したコンテナを割り当てます。これにより、アプリケーション内で作成されたユーザは自動的にデフォルトのiManagerパスワードポリシーが割り当てられます。
ユーザアプリケーションサーバ(JBossサーバ)上でユーザアプリケーションのログインページを開いているときに、［］リンクをクリックして［IDMパスワードを忘れた場合］ページを開き、ユーザ名を入力した場合、JBossコンソールに次のようなエラーメッセージが表示され、リダイレクトされないことがあります。
08:59:17,962 ERROR [EboPortletProxyHelper] The portlet entity does not exist com.novell.afw.portal.aggregation.EboPortletInfoBean: id [portal-general] iid [-1] timeout [-1] multithread [false]
このエラーが発生するのは、ForgotPasswordPortletポートレットのldap-sslport設定において、ご使用のLDAPサーバのセキュリティ保護された接続用のポート番号ではなく、デフォルトのTLS (ldaps)ポート番号である「636」を指定しているためです。おそらくeDirectory管理者が、eDirectoryインスタンスのセキュリティ保護されたLDAPポート番号を、デフォルト値以外のポート番号に変更しています。eDirectory管理者がLDAPポート番号を変更するケースとしては、eDirectoryを他のLDAP対応システム(例: Active Directory*)と同じコンピュータ上で実行している場合が考えられます。
セキュリティ保護されたLDAP (TLS)に対して「636」以外のポート番号が設定されている場合、ForgotPasswordPortletポートレットのldap-sslport設定の値を、セキュリティ保護されたLDAP用のポート番号に変更します。変更手順は次のとおりです。
ユーザアプリケーションを開きます。
の順に選択します。
Ldap-sslportの値をデフォルトの「636」から、ご使用のLDAPサーバのセキュリティ保護された接続用のポート番号に変更します。
並行処理を使用しているプロビジョニングワークフローでは、ある承認アクティビティに対する宛先が、そのワークフロー内の別の承認アクティビティに対する宛先を指さないようにする必要があります。これは、アクティビティが並行処理されているため、「どのステップが先に実行されるか」がワークフローエンジン側で認識されないからです。また、iManagerのプロビジョニング要求環境設定プラグインでは、任意の時点でどの宛先を許可すべきかを判断できません。指定可能な宛先を限定するには、このプラグインがワークフローを解析し、完了済み上流アクティビティのリストを取得する必要があります。このプラグインでは、この機能はまだサポートされていません。
デフォルト設定で、JBossディレクトリをブラウズできます。したがって、「http://server:8080/IDMProv/resources/」というURLを入力した場合、このURLにあるリソースが一覧表示されます。
ディレクトリのブラウズを無効にしたい場合は、jboss-4.0.2\server\<IDM-Application Context>\deploy\jbossweb-tomcat55.sar\confフォルダのweb.xmlファイルを開き、listingsエントリの記述を修正します。
<servlet> <servlet-name>default</servlet-name> <servlet-class>org.apache.catalina.servlets.DefaultServlet</servlet-class> <init-param> <param-name>debug</param-name> <param-value>0</param-value> </init-param> <init-param> <param-name>listings</param-name> <param-value>true</param-value> </init-param> <load-on-startup>1</load-on-startup> </servlet>
リソースを表示しないようにするには、listingsエントリの値をtrueからfalseに変更します。
ユーザアプリケーション内の各種サブシステムにおけるサービスに対するconfig.xmlファイル内に、期限切れのバージョン番号が記述されていることがあります。これらの期限切れバージョン番号を修正する必要はありません。
たとえば、IDMfw.jarファイル内にはFrameworkService-conf\config.xmlというファイルがあり、このファイルにはバージョン番号に関する次のエントリが記述されています。
<property> <key>FrameworkService.version</key> <value>040712, Version 5.2.1</value> </property>
iManagerに対するプロビジョニング要求環境設定プラグインでは、あるワークフローアクティビティを元の宛先のマネージャに転送するための、昇格ポリシーを定義できます。
元の宛先が、マネージャが複数設定されているタスクグループである場合、昇格は失敗します。プロビジョニング要求環境設定プラグインでは、このような種類の昇格でも定義できてしまうので、ユーザは、このような昇格を定義しないように注意する必要があります。
Linux*のデフォルトの最大ファイルオープン数のままでは、SOAP Webサービス経由で大量の要求が入ってきたときにサポートできません。Webサービスのエンドポイントを使って、ディレクトリイベントの発生に応じてワークフローをトリガする場合、ユーザアプリケーション用ドライバがこの最大ファイルオープン数に達する可能性があります。
Linuxでのデフォルトの最大ファイルオープン数は、プロセスあたり1,024です。デフォルト設定でJBossサーバを起動した場合、SOAP Webサービスインタフェース経由で40～45個以上の要求が連続的に入ってきたときに、エラーが発生する可能性があります。最大ファイルオープン数に達すると、数分間にわたって新しい要求が受け付けられなくなる可能性があります。場合によっては、JBossサーバを再起動する必要があります。
この問題を回避するには、最大ファイルオープン数を1,024から4,096に増やします。
バッシュを使っている場合は、次のコマンドを実行して、最大ファイルオープン数を増やします。
su - root ulimit -n 4096 su - <user> start-jboss.sh
Cシェルを使っている場合は、次のコマンドを実行して、最大ファイルオープン数を増やします。
su - root limit descriptors 4096 su - user start-jboss.sh
ユーザアプリケーション用ドライバには、アプリケーション固有のさまざまな情報(例: ワークフロー環境設定情報、クラスタ情報)が保持されています。したがって、ユーザアプリケーション用ドライバの1つのインスタンスを複数のアプリケーション間で共有すべきではありません。
ユーザアプリケーションでは、アプリケーション環境を制御および設定するためのアプリケーション固有データがドライバに保持されます。たとえば、JBossアプリケーションサーバのクラスタ情報や、ワークフローエンジン環境設定情報などが保持されます。ユーザアプリケーション用ドライバの1つのインスタンスを共有するユーザアプリケーションは、同じJBossクラスタの一部です。同じJBossクラスタ上にないユーザアプリケーション間で、ユーザアプリケーション用ドライバの1つのインスタンスを共有すべきではありません。共有した場合、そのユーザアプリケーション内で実行される1つ以上のコンポーネントに対して、あいまいさや環境設定上の不具合が発生するおそれがあります。
Identity Managerユーザアプリケーションのインストールプログラムで、アプリケーションに対するルートコンテナ識別名、ユーザコンテナ識別名、およびグループコンテナ識別名を指定できます。このリリースでは、eDirectory内のツリーのルートをルートコンテナとして指定することはできません。また、特定のオブジェクトタイプ(コンテナ、ユーザ、またはグループ)に対する検索ルートを複数個指定することもできません。検索スコープは1つだけ指定してください。
なお、組織(o)を国(c)または地域(l)の中に含めることができます。次に例を示します。
c=US o=novell-provo o=novell-waltham
この種の環境設定は正しく機能します。
ユーザアプリケーション用ドライバの2つのインスタンスが同じユーザコンテナを指している場合、ユーザアプリケーションの［編集可用性］ページに表示される作業不能条件の設定値は、両方のアプリケーションの作業不能条件エントリを示します。
例を示します。サーバ 1が、あるドライバを使用するように設定されており(例: driver1,o=novell)、サーバ 2が別のドライバを使用するように設定されています(例: driver2,o=novell)。また、両方のサーバが、同じユーザコンテナ、グループコンテナ、およびルートコンテナを使用するように設定されています(例: ou=users,o=novell)。サーバ 1上のユーザが、あるユーザ(以降、「ユーザA」とする)に対する委任定義、およびプロビジョニング要求定義を作成します。その後ユーザAが、そのプロビジョニング要求定義に対して作業不能とマークされます。サーバ2では、ユーザAは作業不能として表示されますが、プロビジョニング要求定義に対するフレンドリ名は解決されません。サーバ 2上でのユーザAの委任定義を確認したとき、サーバ 1上での委任定義は表示されません。
このような現象が発生するのは、(ユーザが自分自身を作業可能または作業不能としてマークしたときに作成される)委任情報がユーザレコードに保持されるからです。この委任情報の内容は、委任先/委任元情報、プロビジョニング要求定義、および委任開始/終了日時です。委任情報の派生元である委任定義は、プロビジョニング要求定義とともに、ドライバに保持されます。
ユーザアプリケーション用ドライバの2つのインスタンスが同じユーザコンテナを指さないように、設定する必要があります。
ユーザアプリケーションドライバでは、起動時にワークフロー属性のリストが参照されます。新しいプロビジョニング要求定義を作成し、すぐにスキーママッピングポリシーを作成しようとした場合、アプリケーションスキーマをリフレッシュした後は、その新しいプロビジョニング要求定義に対する属性が、アプリケーション属性のリストに表示されません。これは、ユーザアプリケーションドライバを再起動してからでないと、新しいプロビジョニング要求定義が有効にならないからです。新しいプロビジョニング要求定義を作成した後、そのプロビジョニング要求定義をポリシーの中で使用するには、ユーザアプリケーションドライバを停止してから再起動します。 あるいは、スキーママッピングポリシーエディタで、アプリケーションスキーマを2度リフレッシュします。
クラスタ内でワークフローを実行する際、各サーバのワークフローエンジンに一意のIDを設定する必要があります。このワークフローエンジンIDは、-Dcom.novell.afw.wf.engine-idをJava VMに渡すことによって識別されます。Linuxの場合、ユーザはjboss/bin/run.confファイルを編集して「JAVA_OPTS」の行で、このプロパティを渡す必要があります。例:
if [ "x$JAVA_OPTS" = "x" ]; then JAVA_OPTS="-server -Xms800m -Xmx800m -Dcom.novell.afw.wf.engine-id=echo"
インストールプログラムでは、ワークフローエンジンIDの入力を求められません。したがって、上述のようにJAVA_OPTSプロパティを渡すことによって、エンジンを識別する必要があります。
Detailポートレットのヘッダに画像を表示する方法を変更するために、$IMG:タグを指定した場合、変更内容を有効にするには、CompiledLayoutキャッシュをフラッシュする必要があります。キャッシュをフラッシュするには、次の手順を実行します。
ユーザアプリケーションの［］タブを開きます。
［］サブタブを開きます。
［］ボックスの一覧で［］を選択します。
［］ボタンをクリックします。
［管理］タブの［ツール］サブタブを開いて［ポータルデータインポート］リンクをクリックし、ポータルデータインポートユーティリティを開いて実行すると、ポータルデータエクスポートユーティリティで作成されたZIPファイル内のshared-pages.xmlファイルとcontainer-pages.xmlファイルに基づいて、コンテナページ、共有ページ、およびポートレットが生成されます。なお、<description/>要素が空の場合は、ページをインポートできません。
この問題を回避するには、<description/> 要素に対するテキストを入力し、インポート処理を再実行します。
『Identity Managerユーザアプリケーション: 管理ガイド』では、JBossの環境設定について簡単に説明しています。JBossセットアップの詳細が必要な場合は、次にリストしているソースを参照してください。
SUSE上のサービスとしてJBossを設定する方法の詳細については、Novell のCool Solutions Webサイトを参照してください。
Apache SSLのセットアップについては、JBossのWebサイトの該当セクションを参照してください。
IIS SSLのセットアップの詳細につていは、 JBoss Forumの「インストール」、「環境設定」、および「展開」を参照してください。
iManagerのプロビジョニング要求環境設定プラグインを使用するには、プロビジョニング要求オブジェクトの属性に対する読み込み権と書き込み権が必要です。
デフォルトでは、ユーザアプリケーションの文字エンコードフィルタは、ユーザアプリケーションのweb.xmlファイル内で有効になるように設定されています。この設定では通常、特別な環境設定を行う必要はありません。ただし、URIのエンコード方式にTomcatを設定している場合は、環境設定を変更する必要があります。TomcatのHTTP/HTTPSコネクタに対する環境設定情報の中で、文字セットのエンコード設定とフィルタ設定に影響を及ぼす属性は2つあります。
このエントリで、URLをデコードする%xxに続く、URIバイトのデコードに使われる文字エンコード方式を指定します。この属性を指定しなかった場合、ISO-8859-1が使用されます。これを使用するためには、
HTTPコネクタとHTTPSコネクタの両方が同じ設定になっている必要があります。
Charsetエンコードフィルタは、uri-encoding initパラメータが含まれるように変更する必要があります。また、このパラメータの値は、Tomcatのコネクタ設定におけるURIEncoding属性の値と同じでなければなりません。
<filter> <filter-name>AggregationServletEncFilter</filter-name> <display-name>AggregationServletEncFilter</display-name>
<filter-class>com.novell.afw.portal.l18n.CharacterEncodingFilter</filter-class> <init-param> <param-name>uri-encoding</param-name> <param-value>UTF-8</param-value> </init-param> </filter>
また、URIEncoding="UTF-8"をjboss-4.2.0.GA\server\IDMProv\deploy\jboss-web.deployer\server.xmlに追加します。例:
<Connector port=”8080” address=”${jboss.bind.address}” maxThreads=”250” maxHttpHeaderSize=”8192” emptySessionPath=”true” protocol=”HTTP/1.1” URIEncoding=”UTF-8” enableLookups=”false” redirectPort=”8443” acceptCount=”100” connectionTimeout=”20000” disableUploadTimeout=”true” />SSLが有効である場合は、SSL HTTP/1.1 Connectorに対して同じ変更を適用します。
このエントリで、URIEncodingを使用する代わりに、contentTypeで指定されたエンコード方式をURIクエリパラメータに対して使用すべきかどうかを指定します。この設定は、Tomcat 4.1.xとの互換性を確保するためにあり、エンコード方式は、contentTypeで指定するか、または、URLのパラメータに対するRequest.setCharacterEncodingメソッドを使用して明示的に指定します。デフォルト値は「false」です。
useBodyEncodingForURIがtrueに設定されている場合、filterエントリ内のinit-paramエントリにuse-body-encodingパラメータを追加する必要があります。次に例を示します。
<filter> <filter-name>AggregationServletEncFilter</filter-name> <display-name>AggregationServletEncFilter</display-name> <filter-class>com.novell.afw.portal.l18n.CharacterEncodingFilter</filter-class> <init-param> <param-name>use-body-encoding</param-name> <param-value>true</param-value> </init-param> </filter>
詳細については、Tomcatのコネクタの環境設定情報に関するWebサイトを参照してください。
DirXML-EntitlementResultという複数値属性の処理方法が変更されました。今までは、エンタイトルメント結果はパージされませんでした。今回のリリースのデフォルト設定では、処理後にエンタイトルメント結果がパージされるように変更されました。
このデフォルトの処理を変更することもできます。つまり、エンタイトルメント結果をパージするかどうか、およびパージ方法を指定できます。エンタイトルメントパージ方法を設定する
iManagerで、ご使用のユーザアプリケーション用ドライバに対する［Identity Managerドライバの概要］ページを開きます。
［］をクリックします。
ご使用のユーザアプリケーション用ドライバに対する［変更の管理］ポリシーをクリックし、［］をクリックします。
［］をクリックします。
アクションの［］フィールドで、次のいずれかを指定します。
currnet: ユーザアプリケーション用ドライバに通知した後、イベントを発生させたエンタイトルメント結果を削除します。これはデフォルトの処理です。この処理は、エンタイトルメントのパージタイプが設定されていない場合、および、設定されたエンタイトルメントパージタイプが無効である場合にも使われます。
none: エンタイトルメント結果をパージしません。
previous: イベントを発生させたエンタイトルメント結果は削除せず、以前のエンタイトルメント結果があればそれを削除します。
notnewer: イベントを発生させたエンタイトルメント結果、および以前のエンタイトルメント結果を削除します。これにより、イベントを発生させたエンタイトルメント結果の後に作成されたエンタイトルメント結果が保持されます。
ネットワークファイルのアクセサリポートレットに以下の新しい環境設定がある: ShortcutsUseFullyQualifiedPath「True」の場合、ショートカット環境設定で指定するショートカットには、完全修飾パスが必要になります。「False」の場合、ショートカット環境設定で指定するショートカットには、InitialDirectoryへの相対パスが必要になります。ユーザをパス内のサブディレクトリにのみ移動させる場合は、「False」を選択します。
現在のリリースのJBossで、NetWareサーバにアクセスするためのRMIを解したネットワークファイルポートレットの設定が変更されました。
現在マニュアルでは、njclv2r.jarをNetWare/RMIサーバ上のsys:\java\njclv2r\libから、使用しているポータルプラットフォームの$JAVA_HOME$/jre/lib/extディレクトリにコピーするように記載しています。
現在のJBossリリースでは、njclv2r.jarをユーザアプリケーションが最初に展開された.../jboss/server/IDM/libディレクトリにコピーする必要があります。その後で、JBossを再起動します。
NetStorageセッションを終了して、使用したファイルへのアクセスを閉じるには、NetStorage Webインタフェースの［ログアウト］ボタンをクリックします。
『Identity Manager Accessory Portletリファレンスガイド』で、ポートレットSSOを有効にする方法の説明をそれぞれ次のように置き換えてください。
ポートレットのシングルサインオンを有効にするには、以下の手順を実行します。
ユーザアプリケーションで、［］タブを開き、［］を選択します。
の順に選択します。
ラジオボタンをクリックして、SSOを有効にします。
ログファイルjboss/server/IDM/conf/extendlogging.xmlの名前がjboss/server/IDM/conf/idmuserapp_logging.xmlに変更されました。新しいログファイル名は『Identity Manager 3.5.1ユーザアプリケーション: 管理ガイド』のセクション5.1.4「ログ設定」、サブセクション「ログ設定の保持」で使用されます。
パッケージをログリストに追加すると、すぐに［ログ設定］画面に表示されます。ログリストからパッケージを削除する
［］をクリックしないでください。次にサーバを起動したときに新しいパッケージがログリストから消去されます。
［］をクリックした場合は、$JBOSS/servers/$seafang/confディレクトリにあるidmuserapp_logging.xmlファイルから手動でパッケージを削除する必要があります。
Identity Manager 3.5または3.5.1で、ユーザアプリケーションを再展開した場合、java.lang.OutOfMemoryError: PermGen spaceエラーが発生する可能性があります。
このエラーを回避するには、次のいずれかの操作を行います。
JBossサーバを再起動する
-XX:MaxPermSizeをstart-jbossスクリプト内のJAVA_OPTSを使用してJAVA仮想マシンに渡して、PermSpaceの値を増やします。
32ビットマシンの場合は、128メガバイトを指定します。例: -XX:MaxPermSize=128m
64ビットマシンの場合は、256メガバイトを指定します。例: -XX:MaxPermSize=256m
クラスタ内のワークフローエンジンは、クラスタ内のワークフローエンジンにエラーが発生したときに検出し、エラーが発生したワークフローエンジン上で実行しているプロセスを別のワークフローエンジンに自動的に再割り当てします。
ただし、ワークフロープロセスを1つのワークフローエンジンから別のワークフローエンジンに手動で再割り当てしたい場合があります(たとえば、エラーが発生したワークフローエンジンがオンラインに戻ったときに、プロセスを戻す場合など)。これを行うには、iManager Workflow Administrationプラグインを使用します。
iManagerで、[］カテゴリを［］から選択します。
［］を選択します。
ワークフローサーバにアクセスしたことがない場合は、［］フィールドでドライバ名を指定してから［］をクリックします。
画面の残りのフィールドにはデータが表示されます。
(オプション)［］フィールドのユーザ名、および［］フィールドのパスワードを上書きします。
ユーザはユーザアプリケーション 管理者(プロビジョニング管理者)である必要があります。デフォルトでは、ユーザ名は、現在iManagerにログインしているユーザに設定されます。このユーザがユーザアプリケーション管理者でない場合は、ユーザ名を変更する必要があります。
［ログイン］をクリックします。
ワークフロー管理プラグインに、ワークフローを検索するためのフィルタを指定するページが表示されます。
［］をクリックして、［］をクリックします。
iManagerは、指定したユーザアプリケーションドライバ上で実行しているワークフロープロセスを表示します。カラムは、ワークフローエンジンのエンジンIDを一覧表示します。
ワークフロープロセスを1つのエンジンから別のエンジンに再割り当てするには、ワークフロー名の隣にあるチェックボックスをクリックして［ワークフロー］パネル内のワークフローを選択し、をクリックします。
統合アクティビティをプロビジョニングワークフローで使用すると、シャットダウン時にこのエラーがJBossコンソールに表示されます。
15:26:51,031 INFO [STDOUT] 173542 [JBoss Shutdown Hook] ERROR STDERR - Unableto instantiate the config file null15:26:51,032 ERROR [STDERR] java.lang.NullPointerException15:26:51,033 INFO [STDOUT] 173545 [JBoss Shutdown Hook] ERROR STDERR -java.lang.NullPointerException15:26:51,034 ERROR [STDERR] atcom.sssw.b2b.rt.xmlparser.GNVXMLFactory.createParser(GNVXMLFactory.java:112)15:26:51,035 INFO [STDOUT] 173547 [JBoss Shutdown Hook] ERROR STDERR - at com.sssw.b2b.rt.xmlparser.GNVXMLFactory.createParser(GNVXMLFactory.java:112)15:26:51,037 ERROR [STDERR] atcom.sssw.b2b.rt.GNVConfig.<init>(GNVConfig.java:189)15:26:51,038 INFO [STDOUT] 173550 [JBoss Shutdown Hook] ERROR STDERR - at com.sssw.b2b.rt.GNVConfig.<init>(GNVConfig.java:189)15:26:51,039 ERROR [STDERR] atcom.sssw.b2b.rt.GNVConfig.<init>(GNVConfig.java:161)15:26:51,040 INFO [STDOUT] 173552 [JBoss Shutdown Hook] ERROR STDERR - at com.sssw.b2b.rt.GNVConfig.<init>(GNVConfig.java:161)15:26:51,041 ERROR [STDERR] atcom.sssw.b2b.ee.edi.rt.GNVEDIObject.<clinit>(GNVEDIObject.java:39)15:26:51,042 INFO [STDOUT] 173554 [JBoss Shutdown Hook] ERROR STDERR - at com.sssw.b2b.ee.edi.rt.GNVEDIObject.<clinit>(GNVEDIObject.java:39)15:26:51,044 ERROR [STDERR] atcom.sssw.b2b.ee.edi.rt.GNVEDIComponent.<clinit>(GNVEDIComponent.java:101)15:26:51,045 INFO [STDOUT] 173557 [JBoss Shutdown Hook] ERROR STDERR - at com.sssw.b2b.ee.edi.rt.GNVEDIComponent.<clinit>(GNVEDIComponent.java:101)
これらのエラーメッセージは重大な問題を示すものではありません。再びJBossを起動するときに、サーバおよびユーザアプリケーションは通常通りに動作します。
ユーザアプリケーションが電子メール通知を使用するように設定されているときにログに次のエラーが表示されます。これらのエラーは無視することができます。ユーザはその後も電子メール通知を受信します。
[date time EDT] 00000056 SystemOut O 09:58:35,469 ERROR [MailEngine] Notification email server host unspecified. Check eDirectory setup.com.novell.soa.notification.impl.NotificationException: Notification email server host unspecified. Check eDirectory setup. . . .
または
13:39:47,264 ERROR [MailEngine] Notification email default -from- unspecified. Check eDirectory setup. com.novell.soa.notification.impl.NotificationException: Notification email default -from- unspecified. Check eDirectory setup. at . . .
デフォルトでは、サーバのセッションタイムアウト値は20分です。このセッションタイムアウト値は、アプリケーションが実行されるサーバと使用環境に合わせて調整する必要があります。一般にセッションタイムアウト値は、実用上問題のない範囲でできるだけ小さくする必要があります。セッションタイムアウト値を5分に設定しても業務上支障がない場合、サーバでは、デフォルト値をそのまま使った場合よりも早く未使用リソースを解放できます。この結果、サーバでの処理時間が短縮され、また、サーバの拡張性が高まります。
セッションタイムアウト値を大きくした場合、多数のユーザがログインしたときに、JBossサーバがメモリ不足に陥る可能性があります。これは、開かれたセッションが多すぎれば、どのアプリケーションサーバでも起こり得ます。
ユーザがユーザアプリケーションにログインすると、そのユーザに対するLDAP接続が作成され、セッションにバインドされます。開いているセッションの数が増え、開いたままになっているLDAP接続の数が増え、セッションタイムアウト値を大きくした場合、これらの接続が開いたままになっている時間が長くなります。LDAPサーバに対して開いている接続数が多すぎる場合、それらの接続がアイドル状態であったとしても、システムのパフォーマンスが低下する可能性があります。
サーバおよび使用環境に対する、JVMのヒープ調整パラメータおよびガベージコレクション調整パラメータがすでに最適化されているにも関わらず、サーバ起動時にOutOfMemoryErrorエラーが発生する場合、セッションタイムアウト値を小さくすることを検討する必要があります。
セッションタイムアウト値は、web.xmlファイル内で設定します。
プロビジョニング要求定義内で電子メール通知を有効にしたが、どの電子メールサーバに対しても必要な環境設定をしていない場合、大量の電子メール通知が、送信されないままサーバに蓄積され続けます。この結果、最終的にそのサーバのメモリが使い尽くされます。
電子メール通知を有効にする場合は、電子メールメッセージが実際に送信されるように、電子メールサーバを環境設定する必要があります。電子メールサーバを環境設定するには、iManagerで［ワークフロー管理］リンクの下の［電子メールサーバオプション］リンクをクリックします。
WindowsのGroupWise® MailクライアントおよびOutlook*クライアントには、HTMLのmailto:コマンドで指定されている件名を表示するときに既知のバグがあります。このバグが表面化するのは、ブラウザで中国語、日本語、韓国語などの2バイト文字セット言語を使っている場合です。
この場合、［詳細］ページから識別情報を送信する際に、件名の行に無効な文字が表示されます。これは、これらの電子メールクライアントでは、2バイト文字が正しくエスケープ解除されないためです。
入力文字および出力文字のエンコード方式を、入力元または出力先のアプリケーションで使用されるエンコード方式と一致させる必要があります。選択された出力先で表示できない文字は、疑問符(?)に変換されます。
ローカライズされたオペレーティングシステム環境で(LDAPの設定を行うために)ユーザアプリケーション環境設定ツールを実行した場合、すべてのテキスト入力ボックス内の文字は正しく表示されます。たとえば、eDirectory内に中国語の識別名がある場合や、中国語文字を入力した場合、それらの文字は、中国語のオペレーティングシステム環境で正しく表示されます。一方、英語のオペレーティングシステム環境では、入力した中国語文字やeDirectoryから返された中国語文字は、文字化けします(多くの場合、四角形の記号で表示されます)。これは、ロケールが正しく設定されていないからです。
英語版オペレーティングシステム環境でローカライズ先言語文字を表示するには、次の手順を実行します。
Windows 2000環境: コントロールパネルを開いて［］アイコンをクリックします。 ［］タブの［］ボックスの一覧で、自国の言語(例: ［中国語(中国)］)を選択します。
Windows 2003環境: コントロールパネルを開いて［］アイコンをクリックします。 ［］タブで自国の言語(例: ［］)を選択し、変更内容を適用します。
SUSE Linux環境: 環境変数LANGを次のように設定します。export LANG=zh_CN)
同じ基本的な手順が、すべての言語に当てはまります。
メッセージアクセサリポートレットがローカライズされていません。
［］>［］で、［コンテンツ初期設定］ダイアログボックスが常に次のテキストを英語で表示します。“Changes have been made to your Selected Content. Click OK to save your changes or cancel to continue without saving.”
2バイト文字セット言語(中国語や日本語など)が含まれている電子メールをIdentity Managerから送信する場合、電子メールクライアントでそれらの文字が正しく表示されないことがあります。この問題が発生した場合は、Novellテクニカルサポートにお問い合わせください。
次の項では、iManagerのバグ、修正プログラム、および回避策がリストされています。
Identity Manager 3.5.1プラグインは、JClient.readReference ( )APIを使用します。このAPIは、iManager 2.7で更新されています。iManager 2.6を実行している場合は、iManager 2.6内のJClientをiManager 2.7のものと同じバージョンにアップグレードすることをお勧めします。古いバージョンのJClientではiManagerがクラッシュするか、動作しない可能性があります。
iManager、特にポリシービルダを使用しているときに、Internet Explorer 7から頻繁にクリップボードへのアクセスのプロンプトが表示されます。このプロンプトを無効にするには、次の手順に従います。
［］>［］の順にクリックします。
［］タブをクリックして、［］をクリックします。
［］>［］を探し、［］をオンにします。
Internet Explorerを再起動すると、プロンプトが停止します。
iManagerでローカライズ済み電子メールテンプレートを追加するには、以下の手順を実行します。
iManagerにログインします。
［役割およびタスク］の下の、［］または［］を展開表示します。
［パスワード］を展開表示した場合は［］リンクをクリックします。［］を展開表示した場合は［電子メールテンプレート］リンクをクリックします。
コピーしたい電子メールテンプレート(テンプレート名の中にロケールが含まれていないもの)を探します。テンプレート名をメモしておきます(ステップ 5で使用するため)。そのテンプレートをクリックして開き、［件名］ボックス、［メッセージ本文］ボックス、および［置換タグ］ボックスの内容を確認します。作成したいテンプレートの中で使いたい、件名、メッセージ本文、および置換タグをコピーします(件名とメッセージ本文は、作成時に翻訳する)。［］をクリックします。
［］ボタンをクリックし、ロケール拡張部の付いたテンプレート名を指定します。たとえば、ドイツ語版のForgot Hint(忘れた場合のヒント)テンプレートを作成するには、「Forgot Hint_de」と入力します。末尾の「_de」はドイツ語を意味します。をクリックします。
注:2文字の言語コードと2文字の国コードを使用した場合、このテンプレートは予期したとおりに動作します。バリアント付きロケール(例: en_US_TX)を使おうとした場合、バリアントと言語だけが指定されていると見なされます。このリリースでは、電子メールテンプレートの名前を付ける際に、ロケールバリアントを使用しないでください。
テンプレート一覧で、新規に作成したテンプレート(例: Forgot Hint_de)をクリックし、件名とメッセージ本文をローカライズ先言語(例: ドイツ語)で入力します。メッセージ本文内の、ドル記号($)で囲まれた置換タグは、そのまま維持してください。
［］をクリックして置換タグを入力するか、または置換タグを貼り付け、［］をクリックします。
［］をクリックし、続いて［］をクリックします。
電子メール送信先ユーザに対して優先ロケールが設定されている場合、そのロケールに合わせて適切にローカライズされているコンテンツだけが送信されます。
この問題を解決するには、NMAS™ 2.3.9にアップグレードしてください。
NDS to NDS間ドライバ証明書ウィザードを使用する場合、iManagerのCertificate Serverプラグインをダウンロードしてインストールする必要があります。
Identity Manager 3.5プラグインおよびMobile iManager 2.6を使用しているときに、［］を選択したときにiManagerが予期せずに終了する場合があります。この問題は、Mobile iManager on Linuxに組み込まれているMozillaブラウザのJavaScript*ハンドラのエラーが原因で発生します。
この問題を回避するには以下の手順に従ってください。
Mobile iManagerを起動して、最小化します。
サポートされているブラウザを開いて、次のiManagerのアドレスにアクセスします。http://localhost:48080/nps/iManager.html。
区切りテキストドライバで設定する入力文字セットまたは出力文字セットのエンコード方式を、入力元アプリケーションまたは出力先アプリケーションで使われるエンコード方式と一致させてください。一致していない場合、識別ボールトまたはアプリケーションで、エラーが発生したりデータが破損したりする可能性があります。選択された出力先で表示できない文字は、疑問符(?)に置換されます。
次の項では、パスワード管理に関連するバグ、修正プログラムおよび回避策について説明しています。
ユーザアプリケーションは、次の場合にユーザオブジェクトの制限猶予ログイン設定内の値を削除します。
パスワードポリシーを作成していますが、パスワードポリシーのパスワード有効期間設定を設定していません。
ユーザオブジェクトの制限猶予ログインを設定することによって、そのポリシーのユーザのパスワードを期限切れに変更しています。
そのユーザはユーザアプリケーションを介してログインします。ユーザアプリケーションは、ユーザの制限猶予ログイン設定を無視し、ユーザオブジェクトからユーザを削除します。
パスワード管理JSFポートレットがクラスタ化環境内で実行していて、ポートレットを実行するサーバにエラーが発生した場合、ユーザは自動的に別のサーバに切り替えられます。ポートレットはユーザに対して、オリジナルのサーバ上のポートレット操作が成功したか失敗したかに関するメッセージを表示しません。ユーザは、サーバの障害前、またはポートレットを再実行する前に、操作が正常に実行されたかどうかをテストすることができます。影響されるパスワード管理ポートレットは次のとおりです。
パスワード確認の回答
パスワードヒントの変更
パスワード変更
Identity Manager 3.5に含まれているユーザアプリケーションでは、多言語チャレンジセットの全面的な使用がサポートされています。この機能はiManagerでパスワードポリシーを設定することで設定できます。
Novell Client™ 4.9.1以前のバージョン、またはPassword Management for Novell eDirectoryを使用している場合は、この多言語機能はサポートされていません。チャレンジセットを複数の言語で定義している場合は、パスワードポリシーをユーザに割り当てないでください。たとえば、フランス語にチャレンジセットを定義することはできますが、フランス語とドイツ語に定義することはできません。
ユーザは次の場合に、［本人確認の回答に失敗しました］エラーを受け取ります。
［パスワードを忘れた場合］ページにユーザ名を入力した場合。
本人確認の質問に答えなかった場合。
ブラウザの［］ボタンをクリックして、［パスワードを忘れた場合］ページに別のユーザ名を入力してください。
この問題を回避するには、ユーザは、パスワードを忘れた場合のプロセスを次のURLにアクセスして再び開始する必要があります。
http://<servername>:<port>/<context-name>/jsps/pwdmgt/ForgotPassword.jsf
2007年4月9日以前にダウンロードしたIdentity Manager 3.5は、セキュリティ問題を含んでいます。特定の条件下で、iManagerプラグインは管理ユーザに対して非表示属性の値を表示しています。Identity Managerドライバによって同期されている非表示属性の表示を許可しないようにiManagerプラグインに対して修正が行われています。ドライバが頻繁に重要な情報を同期するため、権限のないアクセスを防ぐために、これらのドライバへの管理者権限を制限する必要があります。
影響を受けたオリジナルのメディアのCRCは次のとおりです。
|
Identity_Manager_3_5_DVD.iso |
0c8c61364414c71fd81df11c1e23737b |
|
Identity_Manager_3_5_Linux_NW_Win.iso |
497f707b19ca5cc71e7623269175299e |
|
Identity_Manager_3_5_Unix.iso |
5850fea9187075f7e89a05802e80bb74 |
Novell Download Webサイトから最新パッチを取得できます。
この項では、修正および追加の製品情報を含む、Identity Manager 3.5.1マニュアルに対する変更内容を含みます。
『Identity Manager 3.5.1インストールガイド』の第5章「ユーザアプリケーションのインストール」のユーザアプリケーション環境設定パラメータのすべての詳細オプションテーブルに対する次の変更内容に注意してください。
以下の内容を『Identity Manager 3.5.1インストールガイド』のセクション5.6.12と置き換えます。
ユーザアプリケーションのインストールディレクトリから、sys-configuration-xmldata.xmlファイルを、WebSphereサーバをホストしているマシン上のディレクトリ(例: /UserAppConfigFiles)にコピーします。ユーザアプリケーションのインストールディレクトリとは、ユーザアプリケーションをインストールしたディレクトリです。
JVMシステムプロパティで、sys-configuration-xmldata.xmlファイルのパスを設定します。これを行うには、WebSphere管理コンソールに管理者ユーザとしてログインしてください。
左側のパネルから、の順に移動します。
サーバリストでサーバ名(例: server1)をクリックします。
右側の設定リストで、［］の下にある［］に移動します。
リンクを展開して、［］を選択します。
［］リストの下にある［］を選択します。
［JVM］ページの［］という見出しの下にある］を選択します。
［］をクリックして、新しいJVMカスタムプロパティを追加します。
［］には、extend.local.config.dirを指定します。
［］には、インストール時に指定したインストールフォルダ(ディレクトリ)の名前を入力します。(インストールはsys-configuration-xmldata.xmlファイルをこのフォルダに書き込みました)。
［］には、プロパティの説明(sys-configuration-xmldata.xmへのパスlなど)を指定します。
［］をクリックしてプロパティを保存します。
［］をクリックして、別の新しいJVMカスタムプロパティを追加します。
［］には、idmuserapp.logging.config.dirを指定します。
［］には、インストール時に指定したインストールフォルダ(ディレクトリ)の名前を入力します。
［］には、プロパティの説明(idmuserapp_logging.xmlへのパスなど)を指定します。
［］をクリックしてプロパティを保存します。
注:idmuserapp-logging.xmlファイルはを使用して変更を保持するまでは存在しません。
このドキュメントでは、「より大きい」記号（>）を使用して手順内の操作と相互参照パス内の項目の順序を示します｡
商標記号(®、™など)は、Novell®の商標を示します。アスタリスク(*)は、サードパーティの商標を示します。
米国Novell, Inc.およびノベル株式会社は、この文書の内容または使用について、いかなる保証、表明または約束も行っていません。また文書の商品性、および特定の目的への適合性について、いかなる黙示の保証も否認し、排除します。 また、本書の内容は予告なく変更されることがあります。
米国Novell, Inc.およびノベル株式会社は、すべてのノベル製ソフトウェアについて、いかなる保証、表明または約束も行っていません。またノベル製ソフトウェアの商品性、および特定の目的への適合性について、いかなる黙示の保証も否認し、排除します。 米国Novell, Inc.およびノベル株式会社は、ノベル製ソフトウェアの内容を変更する権利を常に留保します。
本契約の下で提供される製品または技術情報はすべて、米国の輸出規制および他国の商法の制限を受けます。お客様は、すべての輸出規制を遵守し、製品の輸出、再輸出、または輸入に必要なすべての許可または等級を取得するものとします。お客様は、現在の米国の輸出除外リストに掲載されている企業、および米国の輸出管理規定で指定された輸出禁止国またはテロリスト国に本製品を輸出または再輸出しないものとします。 お客様は、取引対象製品を、禁止されている核兵器、ミサイル、または生物化学兵器を最終目的として使用しないものとします。 ノベル製ソフトウェアの輸出については、「Novell International Trade Services」のWebページをご参照ください。 弊社は、お客様が必要な輸出承認を取得しなかったことに対し如何なる責任も負わないものとします。
Copyright © 2007 Novell, Inc. All rights reserved. 本ドキュメントの一部または全体を無断で複写・転載することは、その形態を問わず禁じます。
米国Novell, Inc.は、本文書に記載されている製品に統合されている技術に関する知的所有権を保有します。 これらの知的所有権は、「Novell Legal Patents」のWebページに記載されている1つ以上の米国特許、および米国ならびにその他の国における1つ以上の特許または出願中の特許を含む場合があります.
Novellの商標については、商標とサービスマークの一覧を参照してください。
サードパーティの商標は、それぞれの所有者に属します。