ACEE の名前変更

Enterprise Server コンポーネント (エンタープライズサーバー、MFDS、ESCWA など) にすでにサインオンしているユーザーのユーザー ID の変更を許可するように、外部セキュリティ機能 (ESF) を構成できます。変更を可能にすると、サインオンしているユーザーを識別する 1 つ以上の ACEE オブジェクトのユーザー ID または「短い名前」を、ESF 更新要求の処理の一部として更新できます。ESF 更新の効果として、ユーザーの Enterprise Server ID が、エンタープライズサーバーリージョンの実行中に再起動なしに変更可能となります。

ACEE の名前変更と呼ばれるこの機能には、次の ESF 機能が必要です。

名前マッピング: ACEE の名前変更は、「長い名前」(外部ユーザー名) に関連付けられた「短い名前」(ES ユーザー ID) を変更します。名前マッピングが使用されていない場合は、効果がありません。
LDAP ベースのセキュリティ: ACEE の名前変更は、MLDAP ESM モジュールによって実行される ESF 更新処理の一部として実装されます。エンタープライズサーバーリージョンまたはその他のコンポーネントで ACEE の名前変更を処理するためには、MLDAP ESM モジュールを使用するセキュリティマネージャーを少なくとも 1 つは構成して有効にする必要があります。
注: LDAP を使用して名前マッピングを実装する必要はありません。これはセキュリティマネージャーで提供できます。

ACEE の名前変更は動作の変更であり、システム内の ACEE をスキャンして変更する必要があるため、負荷が高くなる可能性があり、ロックが必要となり、他のプロセスをブロックする場合もあります。したがって、デフォルトでは有効になっていません。有効にするには、LDAP ベースのセキュリティマネージャーの [Configuration Information] フィールドの [Update] セクションにある rename active users 設定を使用します。詳細については、「MLDAP ESM モジュール」を参照してください。

ACEE の名前変更のワークフロー

適切なセキュリティ構成のエンタープライズサーバーリージョンが実行されています。さまざまなユーザーがリージョンにサインオンしており、ACEE が作成されています。
管理者が、名前マッピングに使用される外部セキュリティマネージャー (ESM) のセキュリティデータを変更します。これにより、1 人以上のユーザーが、エンタープライズサーバーリージョンにサインオンしたときとは異なる「短い名前」を持つようになります。エンタープライズサーバーリージョンでこの変更が認識されるようにする必要があります。
以下に示すように、適切なパラメーターを指定して ESF 更新要求を送信する必要があります。
エンタープライズサーバーインスタンスは、影響を受ける ACEE を特定し、それらの短い名前を変更して新しい値を反映します。

ESF 更新と ACEE の名前変更

ESF 更新要求にはさまざまなタイプがあります。詳細については、「セキュリティマネージャーの変更内容の実装」を参照してください。

ACEE の名前変更が有効になっている場合、次のタイプの ESF 更新要求を使用して、ACEE の名前変更を処理できます。

Update User (単一ユーザーの更新) 要求は、指定されたユーザーの ACEE の名前変更をチェックして処理します。たとえば、esfupdate ... user USERA は短い名前「USERA」を現在使用している ACEE について ACEE の名前変更をチェックします。
注: このような要求では、古い短い名前を指定する必要があります。以下のユーザー更新、短い名前、長い名前に関する説明を参照してください。
Update Users (複数ユーザーの更新) または Update All (すべて更新) 要求は、すべての ACEE の名前変更をチェックし、見つかったものをすべて処理します。
注意:

Update Users または Update All 操作と同様に、これは単一ユーザーの更新要求よりもはるかに負荷が高く、システム内に存在する ACEE の数によっては、Enterprise Server のプロセスがかなりの期間一時停止する可能性があります。

ACEE の名前変更の影響

ACEE の名前変更により、ACEE の ES ユーザー ID が変更されます。これは、Enterprise Server がユーザーを認識する方法です。

ユーザー ID を変更すると、そのユーザー ID に依存するセキュリティまたは権限の設定に影響します。通常、MLDAP ESM モジュールを使用して割り当てられたグループベースの権限は、ユーザーの「長い名前」(Micro Focus ユーザーグループを使用している場合) または Windows グループ (Active Directory グループを使用している場合) に基づいているため影響を受けません。グループベースの権限は、セキュリティデータに対する他の変更によって変更される可能性があり、更新処理で組み込まれる場合があります。

更新要求の古い短い名前、新しい短い名前、および長い名前

この機能が導入される前は、有効にするユーザーの短い名前 (ES ユーザー ID) を使用して ESF Update User 要求を行う必要がありました。

この機能では、名前マッピングを実行している ESM でユーザーの短い名前が変更された場合、古いユーザー ID を ESF Update User 要求で使用して名前変更を処理する必要があります。代わりに Update Users または Update All 要求を使用する場合は、ユーザー名を指定しないため、この問題は発生しません。

要確認: 複数ユーザーとすべての更新は、パフォーマンスに大きな影響を与える可能性があります。

また、この機能では、MLDAP ESM モジュールは Update User 要求で指定されたユーザーの ACEE を見つけられない場合、ACEE を再度検索して、提供された名前と一致する長い名前を持つものを探します。そのため、現在では、ユーザーの長い名前を使用して Update User 要求を実行できるようになりました。

ACEE の名前変更に関する制約事項

ACEE は、短い名前とサインオングループから生成される主キーによって一意に識別できる必要があります。all-groups モードが有効な場合、サインオングループは常に「*ALL」となるため、この場合、ACEE は短い名前で一意に識別できる必要があります。

つまり、新しい名前によって既存の ACEE と一致することになる場合は、ACEE の名前を変更できません。この場合、エンタープライズサーバーリージョンのコンソールにエラーメッセージが示され、名前変更操作が失敗します。

ACEE の名前変更、および一般に ESF 更新では、ACEE のサインオングループは変更されません。all-groups モードが有効になっていない場合、サインオングループとして使用されているグループからユーザーを削除しても、そのユーザーの既存の ACEE は変更されません。したがって、エンタープライズサーバーリージョンが再起動されるまで、ユーザーはそのグループの権限を保持できます。