4.3 監査とレポート
監査およびレポーティングは、次の図が示すように、Identity Manager 4.0.1の新機能であるIdentity Reportingモジュールによって提供されます。
図 4-4 Identity Managerの監査とレポート
Identity Reportingモジュールは、Identity Managerの 設定のさまざまな側面に関する重要なビジネス情報を表示するレポートを生成します。これには、識別ボールトおよびActive DirectoryまたはSAPなどの管理対象システムから収集された情報も含まれます。Identity Reportingモジュールでは、次のコンポーネントを使用してデータを管理します。
イベント監査サービス: レポートのインポート、変更、削除、またはスケジューリングなどのレポーティングモジュール内で実行されたアクションに関するログイベントを取得するサービスです。イベント監査サービス(EAS)は、RBPM (Roles Based Provisioning Module)および役割マッピング管理者(RMA)内で実行されるアクションに関連するログイベントを取得します。
アイデンティティ情報ウェアハウス: 次の種類の情報のためのリポジトリです。
-
レポートの管理情報(レポート定義、レポートスケジュール、完了したレポートなど)、レポーティングに使用されるデータベースビュー、および設定情報。
-
識別情報データ(レポートデータコレクタ、イベント駆動型データコレクタ、および非管理対象データコレクタによって収集される)。
-
監査データ(イベント監査サービスによって収集されたイベントが含まれる)。
アイデンティティ情報ウェアハウスには、SIEM (Security Information and Event Management、セキュリティ情報およびイベント管理)データベースに含まれる自身のデータが保存されます。
データ収集サービス: 組織のさまざまなソースから情報を集めるサービスです。データ収集サービスには、次の3つのサブサービスが含まれます。
-
レポートデータコレクタ: プルデザインモデルを使用して、1つ以上の識別ボールトデータソースからデータを取得します。収集は、一連の環境設定パラメータによって決定され、定期的に実行されます。データを収集するために、コレクタがManaged System Gateway Driverを呼び出します。
-
イベント駆動型データコレクタ: プッシュデザインモデルを使用して、データ収集サービスドライバが取得したイベントデータを収集します。
-
非管理対象アプリケーションデータコレクタ: それぞれのアプリケーション専用に記述されたRESTエンドポイントを呼び出すことによって、1つ以上の非管理対象アプリケーションからデータを取得します。非管理対象アプリケーションとは、識別ボールトに接続されていない企業内のアプリケーションのことです。詳細については、『Identity Reporting Module Guide』の
REST Services for Reporting
を参照してください。
データ収集サービスドライバ: アカウント、役割、リソース、グループ、およびチームメンバーシップなど、識別ボールトに保存されているオブジェクトに対する変更を取得するドライバです。データ収集サービスドライバは、自身をデータ収集サービスに登録し、変更イベント(データの同期、追加、変更、および削除イベント)をデータ収集サービスにプッシュします。
取得された情報は、次のオブジェクトに対する変更を記録します。
-
ユーザアカウントおよび識別情報
-
役割および役割レベル
-
グループ
メモ:Identity Reporting Moduleは動的グループをサポートせず、静的グループデータに関するレポートのみを生成します。
-
グループメンバーシップ
-
プロビジョニング要求の定義
-
義務の分離の定義および違反
-
ユーザエンタイトルメント関連付け
-
リソース定義およびリソースパラメータ
-
役割およびリソースの割り当て
-
識別ボールトのエンタイトルメント、エンタイトルメントタイプ、およびドライバ
Managed System Gateway Driver: 管理対象システムから情報を収集するドライバです。ドライバは識別ボールトに問い合わせて管理対象システムのデータを取得します。取得されたデータには、次のものが含まれます。
-
すべての管理対象システムのリスト
-
管理対象システムのすべてのアカウントのリスト
-
エンタイトルメントの種類、値、割り当て、および管理対象システムのユーザアカウントプロファイル
Identity Reporting: レポーティングモジュール用のユーザインタフェースを使用すると、パフォーマンスを最適化するために、レポートを混雑していない時間帯に実行するようスケジュールするのが楽になります。Identity Reportingモジュールの詳細については、『Identity Reporting Module Guide』を参照してください。
レポート:
Identity Managerには、識別情報ウェアハウス内の情報を実用的かつ利用可能な方法で表示するための事前定義されたレポートが含まれています。カスタムレポートを作成することもできます。レポートの詳細については、「Using Identity Manager 4.0 Reports」を参照してください。カスタムレポートの詳細については、『Identity Reporting Module Guide』のCreating Custom Report Definitions
を参照してください。
非管理対象アプリケーションのRESTエンドポイント: 非管理対象アプリケーションとは、識別ボールトに接続されていないにもかかわらず、レポートの対象となるデータを含むアプリケーションのことです。アプリケーションにRESTエンドポイントを定義することで、レポーティングモジュールがこのアプリケーションからデータを収集できます。
統合API: Identity Reporting Moduleは、管理対象でないアプリケーション用のRESTエンドポイントを実装したり、カスタムレポーティングアプリケーションを作成したりできる一連のREST APIを提供します。