Oracle Cloud Infrastructureドキュメント

Peoplesoftとの統合

概要: Oracle Access GovernanceとPeopleSoftの統合

Oracle Access GovernanceをPeopleSoftと統合すると、アイデンティティ・オーケストレーション(アイデンティティ(ユーザー)データのオンボーディング、PeopleSoftアカウントのプロビジョニングなど)が可能になります。

PeopleSoftは、エンタープライズ人材管理(HCM)およびエンタープライズ・リソース・プランニング(ERP)機能を提供します。Oracle Access Governanceでは、PeopleSoft内の次の要素がサポートされています。
  • PeopleSoft HRMSは、PeopleSoft HRMSで作成または変更された従業員の照合を可能にする、アイデンティティ情報の信頼できるソースです。
  • PeopleSoftアプリケーション・アカウントのプロビジョニングを可能にする、管理対象システムとしてのPeopleSoftユーザー管理。

Peoplesoft統合アーキテクチャの概要

PeopleSoftとの統合により、システムからアイデンティティ・データを取得し、それをOracle Access Governanceに転送して取り込むことができます。システムが接続されると、プロビジョニングおよび修正タスクを実行でき、その後管理対象システムに反映されます。

PeopleSoft統合は、エージェントベースの接続タイプを使用して実装されます。つまり、直接接続を使用できないため、アクセス・ガバナンス・エージェントを使用して、Oracle Access Governanceと必要なPeopleSoftインスタンスとの間に間接接続が行われます。PeopleSoft統合では、次のフローがサポートされます。
  • PeopleSoftオーケストレート済システムの設定時に「認可ソース」構成モードを選択した場合、Oracle Access GovernanceはPeopleSoftインスタンスからアイデンティティ・データを取得し、アイデンティティ情報の信頼できる(信頼できる)ソースとして扱います。
  • 「管理対象システム」構成モードを選択した場合、Oracle Access Governanceでは、PeopleSoftアプリケーションでPeopleToolsベースのPSOPRDEFNユーザー・プロファイル・レコードを管理できます。これにより、Oracle Access GovernanceからPeopleSoftに新しいアカウントのプロビジョニングが可能になります。

接続は、PeopleSoftのコンポーネント・インタフェースと、PeopleSoftデータベース・サービス・ユーザーが作成したデータベース・ビューを介して行われます。これにより、ロードが実行されるたびに、関連するアイデンティティおよびアカウント・データがOracle Access Governanceに完全にロードされます。ロードが初めて行われる場合、関連するアイデンティティ構造およびアカウント構造がOracle Access Governanceで適宜作成されます。後続のデータロードを実行すると、すべてのデータがOracle Access Governanceにロードされ、取込みプロセスによって、適切なアイデンティティおよびアカウント・アーティファクトの最後のデータロード以降の変更が更新されます。

接続およびDay0データ・ロードが完了したら、Oracle Access Governanceのプロビジョニング・エンジンを使用してアカウントをプロビジョニングできます。このエンジンでは、プロビジョニング・リクエストを受け取ってエージェントを通過し、PeopleSoftに転送します。プロビジョニングでは、作成、更新および取消し操作がサポートされます。

PeopleSoft統合機能の概要

PeopleSoft統合では、調整されたシステムの構成、データロード、アカウントの作成と失効、パスワードの変更、ロールの割当てと削除など、HRMSとERPのユースケースがサポートされます。

PeopleSoftオーケストレート済システムの構成

最初に実行する必要があるタスクは、PeopleSoft Orchestrated Systemの設定および構成です。これにより、Oracle Access Governanceに、データのロード元または権限の管理元のPeopleSoftシステムへの接続方法の詳細が提供されます。オプションで、次のような初期データロードを実行する前に、Orchestrated Systemのさらに要素を構成できます。

データのロード

オーケストレート済システムを設定および検証した後、データロードを実行して、選択した構成モード(「認可ソース」または「管理対象システム」)に応じて、PeopleSoftからアイデンティティおよびアカウントの詳細を取り込むことができます。

認可ソース・モードでロードされるデータは、PeopleSoftシステムからのユーザー・データで構成されます。ユーザーが新規の場合は、Oracle Access Governanceで新しいアイデンティティが作成されます。アイデンティティがOracle Access Governanceにすでに存在する場合は、PeopleSoftシステムで開始された更新が適用されます。

管理対象システム・モードでロードされるデータは、PeopleSoftからのアカウント・データおよびロールで構成されます。アカウントが新規の場合、Oracle Access Governanceに、関連付けられたロールとともに新しいアカウントが作成されます。これらのロールは、権限としてOracle Access Governanceに作成されます。PeopleSoftからロードされたアカウントおよび権限は、Oracle Access Governanceで管理できます。管理対象システム・アカウントに関連付けられた権限を修正できます。アカウントに権限が1つしか割り当てられていない場合、この権限を修正すると、アカウントも取り消されます。

アカウントの作成

Oracle Access Governanceでは、次の2つの方法でアカウントを作成できます。
  • PeopleSoftからアカウント・データを取り込みます。
  • PeopleSoftロールを含むロール、ポリシーまたはアクセス・バンドルがアイデンティティに割り当てられている場合。Oracle Access Governanceにアイデンティティがある場合は、Oracle Access Governanceコンソールの「新規アクセスのリクエスト」機能を使用してアカウントをリクエストできます。アクセス・バンドルまたはロールに対してアクセス・リクエストを行うと、承認されるとプロビジョニング操作が開始されます。プロビジョニング・プロセスでは、Oracle Access Governanceで管理される既存のアカウントがない場合は、PeopleSoftインスタンスにアカウントを作成します。Oracle Access Governanceで管理されるアカウントがすでに存在する場合は、そのアカウントのPeopleSoftロールがアクセス・バンドルの値に基づいて更新されます。
PeopleSoftで作成されたアカウントは、PeopleToolsベースのPSOPRDEFNユーザー・プロファイル・レコードと同じです。

アカウントの作成の詳細は、「アクセスのリクエスト」を参照してください。

割当て権限

Oracle Access Governanceの「新規アクセスのリクエスト」機能を使用して、PeopleSoftアカウントに権限を割り当てることができます。これにより、PeopleSoftシステム上のロールと同等の権限を含むアクセス・バンドルをリクエストできます。直接またはOracle Access Governanceのロールまたはポリシーを介してアクセス・バンドルをリクエストすると、プロビジョニング操作が開始され、参照アクセス・バンドルに含まれる権限でPeopleSoftインスタンスのロールが更新されます。

権限割当ての詳細は、「アクセスのリクエスト」を参照してください。ロールおよびポリシーの詳細は、「ロールの管理」および「ポリシーの管理」を参照してください。

権限の削除

アカウントに割り当てられているロール、ポリシーまたはアクセス・バンドルから権限を取り消すことで、アカウントから権限を削除できます。この場合、権限割当ては、ロール、ポリシーまたはアクセス・バンドルが適用されるすべてのユーザーから取り消されます。以前にPeopleSoftにプロビジョニングされた2つの権限PSFT_AdminおよびPSFT_Developerを持つアクセス・バンドルがあるとします。これらの権限を含むアクセス・バンドルを更新して、PSFT_Developerを削除し、PSFT_Composerを追加すると、PSFT_adminおよびPSFT_Composerを含むアクセス・バンドルになります。この変更は、PSFT_Developerロールを削除し、PSFT_Composerロールを割り当てることによって、次のプロビジョニング操作後に反映されます。PSFT_Adminは引き続き割り当てられます。

権限を削除する別の方法は、特定のアカウントからロール、ポリシーまたはアクセス・バンドルの割当てを取り消すことです。これは、アクセス・レビューで取消し操作を使用して行われます。

権限割当ての詳細は、「ロールの削除」、「ポリシーの削除」または「アクセス・バンドルの管理」→「アクセス・バンドルの削除」を参照してください。

パスワードの変更

アカウント・パスワードを変更する機能は、Oracle Access Governanceコンソールのマイ・アクセス機能によって提供されます。このページでアカウント・パスワードを変更すると、次のプロビジョニング操作で詳細がPeopleSoftインスタンスに送信され、パスワード変更がPeopleSoftアカウントに適用されます。

パスワードの変更の詳細は、アカウント・パスワードの変更を参照してください。

アカウントの失効

アクセス・レビュー内でアカウントを取り消すことを選択した場合、プロビジョニング・タスクが作成され、PeopleSoft内のアカウントが取り消されます。アカウントの取消しの詳細は、「ロールの削除」または「ポリシーの削除」を参照してください。

アカウント・ライフサイクルの例

例を見てみましょう。組織のHRMSおよびERPデータを含むMyPSFTインスタンスに接続された新しいOrchestrated Systemを作成しました。Orchestrated Systemは、認可ソース・モードおよび管理対象システム・モード用に構成されています。最初のデータロードでは、アイデンティティおよびアカウント・データがOracle Access Governanceにロードされます。この時点で、Oracle Access Governanceに次の詳細が作成されます。
  • Oracle Access Governanceのアイデンティティ(MyAGIdentityなど)は、名前、電子メール、場所などの認可データで構成されます。
  • 既存のPeopleSoftロール(PSFTRole_Composerなど)のアカウントがOracle Access Governanceに作成されます。
次のものがあります。
  • MyAGIdentity
    • MyPSFTAccount
      • PSFTRole_Composer

しばらくすると、MyAGIdentityはPeopleSoft開発者ロールを必要とする開発ロールに移行します。アクセス・バンドルPSFTBundle_Developerは、必要な開発権限を含むOracle Access Governanceに作成されます。このアクセス・バンドルは、ポリシー、ロールまたはリクエストの結果として割り当てることができます。たとえば、ユーザーが「新規アクセスのリクエスト」オプションを使用してアクセス・バンドルをリクエストしたとします。承認時に、リクエストによってプロビジョニング操作がトリガーされ、MyPSFTに変更が適用され、PSFTBundle_Developerアクセス・バンドルに含まれる権限に対応するPeopleSoftロールが割り当てられます。

次のものがあります。
  • MyAGIdentity
    • MyPSFTAccount
      • PSFTRole_Composer
      • PSFTBundle_Developer
他のマネージド・システムからMyAGIdentityアイデンティティ・オーバー・タイムに追加のアカウントがマップされ、次のようなプロファイルが提供されます。
  • MyAGIdentity
    • MyPSFTAccount
    • MyOracleDBAccount
    • MyMSTeamsAccount

MyAGIdentityは、パスワードを変更することを決定します。Oracle Access Governanceコンソールのマイ・アクセス機能を使用して、パスワードを変更し、Oracle Access Governanceプロビジョニングを使用して変更をMyPSFTに伝播します。

MyAGIdentityは、PeopleSoftのアカウントを必要としなくなったことを意味するロールに移動します。この場合、アクセス・レビューの一部としてアイデンティティのアカウントを取り消すことで、アカウントの取消しプロビジョニング・タスクを生成できます。または、関連するOracle Access Governanceロールまたはポリシーからアイデンティティを削除することで、PeopleSoftロールとの関連付けを削除できます。いずれの場合も、これにより、PeopleSoftからアカウントが関連するロールとともに取り消されるプロビジョニング・タスクが発生します。プロファイルは次のようになります。
  • MyAGIdentity
    • MyOracleDBAccount
    • MyMSTeamsAccount

PeopleSoftオーケストレート済システムが「認可ソース」モードで構成されており、アイデンティティを非アクティブにすると、MyAGIdentityアイデンティティは事実上無効になります。この場合、プロビジョニング・タスクが生成され、管理対象システムにプロビジョニングされます。

次のものがあります。
  • MyAGIdentity (無効)