OBIEE –セキュリティ

OBIEEセキュリティは、役割ベースのアクセス制御モデルを使用して定義されます。これは、異なるディレクトリに配置されている役割の観点から定義されていますserver groups and users。この章では、を構成するために定義されたコンポーネントについて説明します。security policy。

を定義することができます Security structure 次のコンポーネントで

ディレクトリ Server User and Group によって管理されます Authentication provider。
によって管理されるアプリケーションの役割 Policy store 次のコンポーネントでセキュリティポリシーを提供します：プレゼンテーションカタログ、リポジトリ、ポリシーストア。

セキュリティプロバイダー

セキュリティ情報を取得するために、セキュリティプロバイダが呼び出されます。以下のタイプのセキュリティプロバイダーがOBIEEによって使用されています-

ユーザーを認証するための認証プロバイダー。
ポリシーストアプロバイダーは、BIプレゼンテーションサービスを除くすべてのアプリケーションに特権を与えるために使用されます。
資格情報ストアプロバイダーは、BIアプリケーションによって内部的に使用される資格情報を格納するために使用されます。

セキュリティポリシー

OBIEEのセキュリティポリシーは、次のコンポーネントに分かれています-

プレゼンテーションカタログ
Repository
ポリシーストア

プレゼンテーションカタログ

これは、カタログ・オブジェクトとOracle BI PresentationServicesの機能を定義します。

Oracle BI PresentationServicesの管理

これにより、ユーザーがビューの編集やエージェントやプロンプトの作成などの機能にアクセスするための特権を設定できます。

プレゼンテーションカタログ権限は、[権限]ダイアログで定義されたプレゼンテーションカタログオブジェクトへのアクセス権です。

Presentation Services管理には独自の認証システムがなく、Oracle BIServerから継承する認証システムに依存しています。Presentation Servicesにサインインするすべてのユーザーには、Authenticated Userロールと、Fusion MiddlewareControlで割り当てられたその他のロールが付与されます。

次のいずれかの方法で権限を割り当てることができます-

To application roles −権限と特権を割り当てるための最も推奨される方法。
To individual users −これは、特定のユーザーにアクセス許可と特権を割り当てることができる場所を管理するのが困難です。
To Catalog groups −以前のリリースでは、下位互換性を維持するために使用されていました。

リポジトリ

これは、どのアプリケーションロールとユーザーがリポジトリ内のメタデータのどのアイテムにアクセスできるかを定義します。セキュリティマネージャを介したOracleBI管理ツールが使用され、次のタスクを実行できます。

ビジネスモデル、テーブル、列、およびサブジェクト領域の権限を設定します。
各ユーザーのデータベースアクセスを指定します。
フィルタを指定して、ユーザーがアクセスできるデータを制限します。
認証オプションを設定します。

ポリシーストア

これは、特定のユーザーまたは特定のアプリケーションロールを持つユーザーがアクセスできるBIサーバー、BIパブリッシャー、およびリアルタイムの意思決定機能を定義します。

認証と承認

認証

Oracle WebLogic Serverドメインのオーセンティケータプロバイダは、ユーザー認証に使用されます。この認証プロバイダは、Oracle BusinessIntelligenceのOracleWebLogicServerドメインのLDAPサーバーに格納されているユーザーおよびグループ情報にアクセスします。

LDAPサーバーでユーザーとグループを作成および管理するには、Oracle WebLogicServer管理コンソールを使用します。代替ディレクトリの認証プロバイダーを構成することもできます。この場合、Oracle WebLogic Server管理コンソールを使用すると、ディレクトリ内のユーザーとグループを表示できます。ただし、ディレクトリに変更を加えるには、引き続き適切なツールを使用する必要があります。

例-OIDを使用するようにOracleBusiness Intelligenceを再構成する場合、Oracle WebLogic Server管理コンソールでユーザーとグループを表示できますが、OIDコンソールで管理する必要があります。

承認

認証が完了したら、セキュリティの次のステップは、ユーザーが実行を許可されていることを確認できるようにすることです。Oracle Business Intelligence 11gの承認は、アプリケーションの役割に関するセキュリティポリシーによって管理されます。

アプリケーションの役割

セキュリティは通常、ディレクトリサーバーのユーザーとグループに割り当てられるアプリケーションロールの観点から定義されます。例：デフォルトのアプリケーションロールはBIAdministrator、 BIConsumer、および BIAuthor。

アプリケーションロールは、ユーザーに割り当てられた機能ロールとして定義され、そのユーザーにそのロールを実行するために必要な特権を与えます。例：マーケティングアナリストアプリケーションの役割は、会社のマーケティングパイプラインに関するレポートを表示、編集、および作成するためのアクセス権をユーザーに付与する場合があります。

アプリケーションの役割とディレクトリサーバーのユーザーおよびグループ間のこの通信により、管理者はLDAPサーバーに追加のユーザーまたはグループを作成せずにアプリケーションの役割とポリシーを定義できます。アプリケーションの役割により、ビジネスインテリジェンスシステムを開発、テスト、および実稼働環境間で簡単に移動できます。

これにはセキュリティポリシーの変更は必要ありません。必要なのは、ターゲット環境で使用可能なユーザーとグループにアプリケーションの役割を割り当てることだけです。

'BIConsumers'という名前のグループには、user1、user2、およびuser3が含まれています。グループ「BIConsumers」のユーザーには、アプリケーションロール「BIConsumer」が割り当てられます。これにより、ユーザーはレポートを表示できます。

'BIAuthors'という名前のグループには、user4とuser5が含まれています。グループ「BIAuthors」のユーザーには、アプリケーションロール「BIAuthor」が割り当てられます。これにより、ユーザーはレポートを作成できます。

「BIAdministrators」という名前のグループには、user6とuser7、user 8が含まれます。グループ「BIAdministrators」のユーザーには、アプリケーションロール「BIAdministrator」が割り当てられます。これにより、ユーザーはリポジトリを管理できます。