このセクションでは、Directory and Resource Administratorを初めてインストールする場合に必要な設定手順について概説します。
次のチェックリストを使用し、初めてDRAを設定する手順を説明します。
|
ステップ |
詳細 |
|---|---|
|
DRAライセンスをインストールする |
正常性検査ユーティリティを使用して、DRAライセンスを適用します。DRAライセンスの詳細については、「ライセンスの要件」を参照してください。 |
|
DRAサーバと機能を設定する |
MMS、クローン例外、ファイルのレプリケーション、イベントスタンプ、キャッシュ動作、AD LDS、ダイナミックグループ、ごみ箱、レポート機能、統合された変更履歴、およびワークフローサーバを設定します。 |
|
Delegation and Configurationのクライアントを設定する |
Delegation and Configurationのクライアントで項目がどのようにアクセスされ表示されるかを設定します。 |
|
Webクライアントを設定する |
自動ログアウト、証明書、サーバ接続、および認証コンポーネントを設定します。 |
DRAにはライセンスキーファイルが必要です。このファイルにはライセンス情報が収められており、管理サーバにインストールされます。管理サーバをインストールした後に、ヘルスチェックユーティリティを使用して、NetIQ Corporationから提供された試用ライセンスキーファイル(.lic)をインストールします。
既存のライセンスまたは試用ライセンスをアップグレードする場合、Delegation and Configurationコンソールを開き、［環境設定管理］>［Update License］と移動します。ライセンスをアップグレードするときには、各管理サーバ上のライセンスファイルをアップグレードします。
製品のライセンスは、Delegation and ConfigurationコンソールまたはAccount and Resource Managementコンソールで表示することができます。製品のライセンスを表示するには、［ファイル］メニュー>［DRAプロパティ］>［ライセンス］の順に選択します。
DRAを使用してActive Directoryのタスク用に最小特権アクセスを管理する場合、多くのコンポーネントおよびプロセスを設定する必要があります。これには一般的なコンポーネントの設定と、クライアントコンポーネントの設定があります。このセクションでは、DRA用に設定する必要のある一般的なコンポーネントとプロセスについての情報を記載します。
MMS環境では、ドメインとメンバーサーバの同じセットを複数の管理サーバで管理します。MMSは、1つのプライマリ管理サーバと複数のセカンダリ管理サーバで構成されます。
管理サーバのデフォルトモードはプライマリです。セカンダリサーバをMMS環境に追加するときは、セカンダリ管理サーバが1つのサーバセットにしか所属できないので注意してください。
セット内の各サーバが確実に同じデータを管理できるようにするために、定期的に各セカンダリサーバをプライマリ管理サーバと同期させる必要があります。保守の手間を減らすために、ドメインフォレスト内のすべての管理サーバに対して同じサービスアカウントを使用してください。
重要:
セカンダリサーバをインストールしている間は、インストーラで［セカンダリ管理サーバ］を選択してください。
プライマリサーバで使用できる機能がすべてセカンダリサーバでも使用できるようにするため、新しいセカンダリのDRAバージョンをプライマリDRAサーバと同じにする必要があります。
Delegation and Configurationのクライアント内の既存のMMSにセカンダリ管理サーバを追加することができます。セカンダリサーバを追加するには、Configure Servers and Domainsという組み込みの役割に含まれている権限など、適切な権限が必要です。
メモ:新しいセカンダリサーバを追加するためには、まずその管理サーバコンピュータにDirectory and Resource Administrator製品をインストールする必要があります。詳細については、「DRA管理サーバのインストール」を参照してください。
セカンダリ管理サーバを追加するには、Configuration Managementノードで［管理サーバ］を右クリックして、［Add Secondary Server (セカンダリサーバを追加)］を選択します。
セカンダリ管理サーバをプライマリ管理サーバに格上げすることができます。セカンダリ管理サーバをプライマリ管理サーバに格上げすると、既存のプライマリ管理サーバはそのサーバセット内のセカンダリ管理サーバになります。セカンダリ管理サーバを格上げするには、Configure Servers and Domainsという組み込みの役割に含まれている権限など、適切な権限が必要です。セカンダリ管理サーバを格上げする前にMMSを同期させてください。こうすることでMMSの設定が最新になります。
MMSを同期方法の詳細については、「同期のスケジューリング」を参照してください。
メモ:新しく格上げされたプライマリサーバは、格上げ処理中に使用できたセカンダリサーバにのみ接続できます。格上げ処理中にセカンダリサーバが使用不能になった場合は、テクニカルサポートに連絡してください。
セカンダリ管理サーバを格上げするには:
［Configuration Management］>［管理サーバ］ノードの順に選択します。
右側のペインで、格上げするセカンダリ管理サーバを選択します。
［タスク］メニューで、［Advanced (詳細情報)］>［Promote Server (サーバを格上げ)］をクリックします。
重要:セカンダリサーバのサービスアカウントがプライマリサーバと異なる場合、またはセカンダリサーバがプライマリサーバ(信頼済みドメイン/信頼できないドメイン)と異なるドメインにインストールされている場合、まずAudit All Objects、Configure Servers and Domains、およびGenerate UI Reportsの各役割を確実に委任しておいてから、セカンダリサーバを格上げしてください。その後でMMSの同期が成功したか確認してください。
プライマリ管理サーバをセカンダリ管理サーバに格下げすることができます。プライマリ管理サーバを格下げするには、Configure Servers and Domainsという組み込みの役割に含まれている権限など、適切な権限が必要です。
プライマリ管理サーバを格下げするには:
［Configuration Management］>［管理サーバ］ノードの順に選択します。
右側のペインで、格下げするプライマリ管理サーバを選択します。
［タスク］メニューから［Advanced (詳細情報)］>［Demote Server (サーバを格下げ)］をクリックします。
新しいプライマリ管理サーバに任命するコンピュータを指定して、［OK］をクリックします。
同期によって、MMS内のすべての管理サーバが同じ設定データを使用することが保証されます。サーバの同期化はいつでも手動でできますが、デフォルトでは4時間ごとにMMSを同期するようにスケジュールされています。このスケジュールを各企業のニーズに合うように変更してください
この同期化スケジュールを変更する場合、または手動でMMSサーバを同期化するには、Configure Servers and Domainsという組み込みの役割に含まれている権限など、適切な権限が必要です。
同期スケジュールにアクセスする場合、または手動の同期化に関しては、［Configuration Management］>［管理サーバ］の順に選択して、［タスク］メニューを使用するか、選択したサーバ上で右クリックしてオプションを選択してください。同期化のスケジュールは、選択したサーバのプロパティの中にあります。
同期化オプションについて
MMSサーバを同期化するためのオプションは、基本的に4種類です。
プライマリサーバを選択しセカンダリサーバをすべて同期化する「Synchronize All Servers」
セカンダリサーバを選択して、そのサーバだけを同期化する
プライマリサーバとセカンダリサーバの同期化スケジュールを別々に設定する
設定した同期化スケジュールをすべてのサーバに適用するこのオプションは、プライマリサーバの同期化スケジュールの設定で次の項目を選択した場合に有効になります。
［Configure secondary Administration servers when refreshing the primary Administration server (プライマリ管理サーバの更新時にセカンダリ管理サーバを設定)］
メモ:このオプションを選択しなかった場合、設定ファイルがプライマリスケジュール上のセカンダリサーバにコピーされますが、コピーの時点でセカンダリによってロードされることはありません。セカンダリサーバ上に設定されたスケジュールに基づいてロードされます。これは、タイムゾーンの異なる各地にサーバが配備されている場合に便利です。たとえば、すべてのサーバについて、それぞれのタイムゾーンにおける真夜中に構成を更新するように設定することも可能です。
クローン例外とは、オブジェクト(ユーザ、グループ、連絡先、コンピュータ)のうち1つに対しクローンが作成されたときにコピーされないプロパティを定義することのできる機能です。
適切な権限を持つ人がクローン例外を管理することができます。Manage Clone Exceptionsという役割は、クローン例外を表示、作成、および削除する権限が与えられます。
既存のクローン例外の表示または削除、および新規のクローン例外の作成には、［Configuration Management (設定管理)］>［Clone Exceptions (クローン例外)］>［タスク］の順に選択するか、右クリックしてメニューから選択します。
カスタムツールを作成する場合は、それを実行する前にDRAクライアントコンピュータ上にカスタムツールが使用するサポートファイルのインストールが必要となることがあります。カスタムツールのサポートファイルは、DRAのファイルレプリケーション機能を使用してプライマリ管理サーバからMMS内のセカンダリ管理サーバやDRAクライアントコンピュータへと複製することができます。ファイルのレプリケーションは、プライマリサーバからセカンダリサーバにトリガスクリプトを複製するときにも使用できます。
カスタムツールとファイルレプリケーション機能を合わせて使用することにより、DRAのクライアントコンピュータが確実にカスタムツールファイルにアクセスすることができます。DRAがカスタムツールファイルをセカンダリ管理サーバに複製して、セカンダリ管理サーバに接続するDRAクライアントコンピュータがカスタムツールにアクセスできるようにします。
カスタムツールファイルは、MMSの同期処理中にDRAによってプライマリ管理サーバからセカンダリ管理サーバへと複製されます。DRAのクライアントコンピュータが管理サーバに接続するときに、DRAによってカスタムツールファイルがダウンロードされます。
メモ:カスタムツールファイルは、DRAクライアントコンピュータ上の次に示すディレクトリにダウンロードされます。
{DRAInstallDir} \{MMS ID}\Download
MMSIDは、DRAがカスタムツールファイルをダウンロードするマルチマスタセットのIDです。
プライマリ管理サーバにファイルをアップロードするときに、プライマリ管理サーバとMMSセット内のすべてのセカンダリ管理サーバとの間でアップロードし、複製するファイルを指定します。DRAでアップロードが許可されているのは、ライブラリファイル、スクリプトファイル、および実行ファイルです。
Replicate Filesという役割を使用すると、プライマリ管理サーバからMMS内のセカンダリ管理サーバおよびDRAのクライアントコンピュータへとファイルを複製することができます。Replicate Fileという役割には、次の権限が含まれています。
サーバからファイルを削除する: この権限を使用すると、プライマリ管理サーバ上、セカンダリ管理サーバ上、およびDRAのクライアントコンピュータ上にもはや存在しないファイルをDRAに削除させることができます。
ファイル情報を設定する: この権限では、DRAがセカンダリ管理サーバ上のファイルに関するファイル情報を更新することができます。
ファイルをサーバにアップロードする: この権限では、DRAがDRAのクライアントコンピュータからプライマリ管理サーバにファイルをアップロードすることができます。
メモ:Delegation and Configurationコンソール内の［File Replication (ファイルレプリケーション)］というユーザインタフェースを使用して、1度に1つのファイルをレプリケーションのためにアップロードすることができます。
カスタムツールファイルをプライマリ管理サーバにアップロードする手順は、次のとおりです。
［Configuration Management］>［File Replication (ファイルレプリケーション)］の順に選択します。
［タスク］メニューで［Upload File (ファイルをアップロード)］をクリックします。
アップロードするファイルを検索して選択するために、［参照］をクリックします。
選択したファイルをすべてのDRAクライアントコンピュータにダウンロードする場合は、［Download to all client computers (すべてのクライアントコンピュータにダウンロード)］チェックボックスを選択します。
COMライブラリを登録する場合は、［Register COM library (COMライブラリを登録)］チェックボックスを選択します。
［OK］をクリックします。
メモ:
DRAは、他のセカンダリ管理サーバに複製する必要のあるサポートファイルまたはスクリプトファイルを、プライマリ管理サーバの{DRAInstallDir}\FileTransfer\Replicateフォルダにアップロードします。{DRAInstallDir}\FileTransfer\Replicateフォルダは{DRA_Replicated_Files_Path}とも呼ばれます。
DRAは、DRAのクライアントコンピュータに複製する必要のあるサポートファイルまたはスクリプトファイルを、プライマリ管理サーバの{DRAInstallDir}\FileTransfer\Downloadフォルダにアップロードします。
プライマリ管理サーバにアップロードされたカスタムツールファイルは、(自動か手動かを問わず)次の同期化処理のときにセカンダリ管理サーバに配布されます。
MMS内のプライマリ管理サーバとセカンダリ管理サーバとの間でアップロードおよび複製するファイルが複数ある場合は、次のプライマリ管理サーバのレプリケーションディレクトリにファイルをコピーすることによって、手動でこれらのファイルをアップロードすることができます。
{DRAInstallDir}\FileTransfer\Replicate
レプリケーションディレクトリはDRAインストール時に作成されます。
レプリケーションディレクトリ内のファイルは、管理サーバによって自動的に識別され、次の自動同期の間に管理サーバ間で複製されます。アップロードされたファイルは、同期後にDelegation and Configurationコンソールの［File Replication (ファイルレプリケーション)］ウィンドウに表示されます。
メモ:登録が必要なCOMライブラリを含むファイルを複製する場合、そのファイルを管理サーバのレプリケーションディレクトリに手動でコピーすることはできません。Delegation and Configurationコンソールを使用して各ファイルをアップロードして、COMライブラリを登録する必要があります。
プライマリ管理サーバとDRAクライアントコンピュータとの間で複製するファイルが複数ある場合、プライマリ管理サーバのクライアントレプリケーションディレクトリにファイルをコピーすることができます。コピー先のディレクトリは次のとおりです。
{DRAInstallDir}\FileTransfer\Download
クライアントレプリケーションディレクトリはDRAインストール時に作成されます。
［ダウンロード］フォルダ内のファイルは、管理サーバによって自動的に識別され、次の自動同期の間にセカンダリ管理サーバへと複製されます。アップロードされたファイルは、同期後にDelegation and Configurationコンソールの［File Replication (ファイルレプリケーション)］ウィンドウに表示されます。レプリケーション後に初めてDRAクライアントコンピュータが管理サーバに接続すると、複製されたファイルがDRAクライアントにダウンロードされます。
メモ:登録が必要なCOMライブラリを含むファイルを複製する場合、そのファイルを管理サーバのダウンロードディレクトリに手動でコピーすることはできません。Delegation and Configurationコンソールを使用して各ファイルをアップロードして、COMライブラリを登録する必要があります。
ADのドメインサービスの監査を有効にすると、DRAのサービスアカウントまたはドメインアクセスアカウントが設定されていれば、そのいずれかによってイベントが発生したときに、DRAイベントが記録されます。この機能を応用したのがイベントスタンプです。イベントスタンプでは、ADのドメインサービスイベントを追加で生成し、それによってその操作を実行したアシスタント管理者を特定します。
このようなイベントを発生させるには、ADのドメインサービス監査を設定し、DRAの管理サーバでイベントスタンプを有効にしておく必要があります。イベントスタンプが有効になると、アシスタント管理者が加えた変更がChange Guardianイベントのレポート内に表示されます。
ADのドメインサービス監査の設定についての詳細は、「AD DS auditing」を参照してください。
Change Guardianの統合を設定するには、「統合された変更履歴サーバの構成」を参照してください。
イベントスタンプを有効にするには、DRA管理者としてDelegation and Configurationコンソールを開き、次の操作を行ってください。
［Configuration Management］>［Update Administration Server Options (管理サーバオプションを更新)］>［Event Stamping (イベントスタンプ)］の順に選択します。
オブジェクトタイプを選択し、［更新］をクリックします。
そのオブジェクトタイプでイベントスタンプに使用する属性を選択します。
DRAは現段階でユーザ、グループ、連絡先、コンピュータ、および部門のイベントスタンプをサポートしています。
また、使用する管理対象ドメインのそれぞれで属性がADスキーマ内に存在していることも、DRAの必須要件です。イベントスタンプを設定した後に管理対象ドメインを追加する場合は、この点に注意する必要があります。選択した属性が含まれていない管理対象ドメインを追加してしまった場合、そのドメインからの操作の監査でイベントスタンプのデータが使用されません。
これらの属性はDRAによって変更されるため、DRAにも環境内のどのアプリケーションにも使用されていない属性を選択する必要があります。
イベントスタンプの詳細については、「イベントスタンプの仕組み」を参照してください。
複数のマネージャがグループを管理するためのサポートを有効にした場合、デフォルトの2つの属性のうち1つがグループのマネージャを保存するために使用されます。Microsoft Exchangeを実行するときの属性は、msExchCoManagedByLinkという属性です。Microsoft Exchangeを実行しないときのデフォルト属性は、nonSecurityMemberという属性です。2つ目のオプションは変更することができます。ただし、この設定を変更する必要がある場合は、技術サポートに連絡して適切な属性を決めることをお勧めします。
グループに複数マネージャのサポートを有効にするには:
左側のペインで、［Configuration Management］をクリックします。
右側のペインの［Common Tasks (共通タスク)］で、［Update Administration Server Options (管理サーバオプションを更新)］をクリックします。
［Enable Support for Group Multiple Managers (グループの複数管理者のサポートを有効)］タブで、［Enable support for group’s multiple managers (グループの複数管理者のサポートを有効にする)］チェックボックスを選択します。
この機能では、Delegation and Configurationのクライアント、ARMのクライアントと管理サーバの間での暗号通信の使用を有効または無効にできます。デフォルトでは、DRAはアカウントパスワードを暗号化します。この機能は、WebクライアントやPowerShellの通信の暗号化に対応しません。これは別個にサーバ証明書で処理されます。
暗号通信を使用すると、パフォーマンスに影響する場合があります。暗号通信は、デフォルトでは無効になっています。このオプションを有効にすると、ユーザインタフェースと管理サーバの間での通信中にデータが暗号化されます。DRAでは、リモートプロシージャコール(RPC)にMicrosoftの標準暗号を使用します。
通信の暗号化を有効にするには、［Configuration Management］>［Update Administration Server Options (管理サーバオプションを更新)］>［全般］タブの順に選択し、［Encrypted Communications (暗号化して通信)］チェックボックスを選択します。
メモ:管理サーバとユーザインタフェースの間での通信をすべて暗号化するには、Configure Servers and Domainsという組み込みの役割に含まれる権限など、適切な権限が必要です。
仮想属性を使用すると、新しいプロパティを作成して、それらをユーザ、グループ、ダイナミック配布グループ、連絡先、コンピュータ、およびOUに関連付けることができます。仮想属性を使用すると、Active Directoryスキーマを拡張しなくても新しいプロパティが作成できます。
仮想属性を使用して、Active Directory内のオブジェクトに新しいプロパティを追加できます。仮想属性の作成、有効化、無効化、関連付け、および関連付けの解除は、プライマリ管理サーバでしかできません。DRAは、作成された仮想属性をAD LDSに保存します。仮想属性は、MMS同期プロセス中にDRAによってプライマリ管理サーバからセカンダリ管理サーバへと複製されます。
適切な権限があれば、仮想属性を管理することができます。Manage Virtual Attributesという役割は、仮想属性を作成、有効化、関連付け、関連付け解除、無効化、および表示する権限を付与します。
仮想属性を作成するにはCreate Virtual Attributesという権限が、仮想属性を表示するにはView Virtual Attributesという権限が必要です。
仮想属性を作成するには、［Configuration Management］>［仮想属性］>［Managed Attributes (管理対象の属性)］ノードの順に選択し、［タスク］メニューの［New Virtual Attribute (新しい仮想属性)］をクリックします。
Active Directoryオブジェクトと関連付けることができるのは、有効になっている仮想属性だけです。仮想属性をオブジェクトと関連付けると、その仮想属性をオブジェクトのプロパティの一部として使用できるようになります。
DRAのユーザインタフェースから仮想属性を表示させるには、カスタムプロパティページを作成する必要があります。
オブジェクトと仮想属性を関連付けるには、［Configuration Management］>［仮想属性］>［Managed Attributes (管理対象の属性)］ノードの順に選択し、使用したい仮想属性を右クリックし、［Associate (関連付ける)］> (オブジェクト タイプ)を選択します。
メモ:
仮想属性を関連付けることができるのは、ユーザ、グループ、ダイナミック配布グループ、コンピュータ、連絡先、およびOUだけです。
仮想属性をオブジェクトと関連付けると、DRAがデフォルトのカスタム権限を自動的に2つ作成します。アシスタント管理者がその仮想属性を管理するためには、これらのカスタム権限が必要です。
仮想属性とActive Directoryオブジェクトとの関連付けは解除できます。関連付けを解除した仮想属性は、その後新規に作成するオブジェクトではオブジェクトプロパティの一部として表示されなくなります。
Active Directoryオブジェクトから仮想属性の関連付けを解除するためには、［Configuration Management ］>［仮想属性］>［Managed Classes (管理対象のクラス)］>［(オブジェクト タイプ)］ノードの順に選択します。仮想属性を右クリックし、［解除］を選択します。
Active Directoryオブジェクトに関連付けられていない仮想属性は、無効にできます。仮想属性を無効にすると、管理者がその仮想属性を表示したりオブジェクトと関連付けることはできなくなります。
仮想属性を無効にするには、［Configuration Management］>［Managed Attributes (管理対象の属性)］の順に選択します。リストのペインで該当する属性を右クリックして［無効］を選択します。
管理サーバはアカウントキャッシュを構築および維持し、そこに管理対象ドメインのActive Directoryの一部が収められます。DRAはアカウントキャッシュを使用して、ユーザアカウント、グループ、連絡先、およびコンピュータアカウントを管理する際のパフォーマンスを向上させています。
キャッシュの更新をスケジュールするか、キャッシュステータスを表示するには、Configure Servers and Domainsという組み込みの役割に含まれる権限など、適切な権限が必要です。
メモ:管理対象サブツリーが含まれているドメインでアカウントキャッシュの増分更新を実行するには、サービスアカウントがDeleted Objectsコンテナと当該サブツリーのドメイン内の全オブジェクトに対する読み込みアクセス権を持っている必要があります。Deleted Objectsユーティリティを使用すれば、権限をチェックして適切な権限を委任することができます。
アカウントキャッシュの増分更新では、直近の更新以降に変更されたデータだけが更新されます。増分更新は、Active Directoryの変化に対応してキャッシュを最新の状態に保つための能率的な手段を提供します。増分更新を使用すると、会社への影響を最小限に抑えつつ、アカウントキャッシュをすばやく更新できます。
重要:Microsoft Serverでは、WinRM/WinRSのセッションに同時に接続できるユーザ数を5に、ユーザごとのシェル数を5に制限しています。このため、同じユーザアカウントがDRAのセカンダリサーバで5シェルに限定されるようにしてください。
増分更新では、以下のデータが更新されます。
新規のオブジェクトとクローンとして作成されたオブジェクト
削除されたオブジェクトと移動したオブジェクト
グループメンバーシップ
変更されたオブジェクトに関するキャッシュされたすべてのオブジェクトプロパティ
アカウントキャッシュの完全更新では、指定されたドメインに関してDRAのアカウントキャッシュが再構築されます。
メモ:アカウントキャッシュ完全更新の実行中、DRAユーザはドメインを使用できません。
アカウントキャッシュを更新するには、Configure Servers and Domains
という組み込みの役割に含まれている権限など、適切な権限が必要です。
アカウントキャッシュの完全更新を即時実行するには、以下の手順を実行します。
［Configuration Management］>［Managed Domains (管理対象のドメイン)］の順に選択します。
目的のドメインを右クリックして、［プロパティ］を選択します。
［Full refresh (完全更新)］タブの［今すぐ更新］をクリックします。
アカウントキャッシュを更新するべき頻度は、企業が変化する頻度によって決まります。増分更新を使用してアカウントキャッシュを頻繁に更新し、DRAがActive Directoryについて最新の情報を持つようにしてください。
デフォルトでは、管理サーバが次に示す時刻にアカウントキャッシュの増分更新を実行します。
|
ドメインタイプ |
デフォルトでスケジュールされた更新時刻 |
|---|---|
|
管理対象ドメイン |
5分ごと |
|
信頼されたドメイン |
1時間おき |
FACRをスケジュールすることはできません。ただし、次のような状況ではDRAが自動FACRを実行します。
初めて管理対象ドメインを設定した後。
以前のバージョンから新しい完全バージョンにDRA をアップグレードした後。
DRAサービスパックをインストールした後。
アカウントキャッシュの完全更新には数分かかることがあります。
DRAに常に最新情報があるようにするために、アカウントキャッシュは定期的に更新する必要があります。アカウントキャッシュの更新を実行またはスケジュールする前に、以下の留意点を確認してください。
アカウントキャッシュの増分更新を実行するには、管理サーバサービスアカウントまたはアクセスアカウントが管理対象ドメインまたは信頼関係があるドメインのActive Directory内にある削除されたオブジェクトにアクセスする権限を持っている必要があります。
DRAがアカウントキャッシュの更新を実行するとき、管理サーバは信頼関係があるドメインからのドメインローカルセキュリティグループを対象に含めません。キャッシュがこれらのグループを含んでいないため、信頼関係があるドメインからのドメインローカルセキュリティグループを管理対象メンバーサーバ上のローカルグループに追加することはできません。
信頼関係のあるドメインをアカウントキャッシュの更新から除外した場合は、そのドメインがドメイン構成の更新からも除外されます。
以前は除外した信頼関係のあるドメインをアカウントキャッシュの更新に含める場合は、管理対象ドメインに対してアカウントキャッシュの完全更新を実行してください。これにより、管理対象ドメインに関する管理対象サーバ上のアカウントキャッシュが、管理対象ドメインおよび信頼関係のあるドメイン内のグループメンバーシップを正確に反映するようになります。
アカウントキャッシュの増分更新の間隔を［なし］に設定すると、アカウントキャッシュの完全更新だけが実行されるようになります。アカウントキャッシュの完全更新には時間がかかる場合があり、その間はそのドメイン内のオブジェクトを管理できません。
Microsoft Directory Services など、他のツールから変更が行われた場合、それをDRAで自動的に判断することはできません。DRAの外で実行される操作が、キャッシュされた情報の正確さに影響する場合があります。たとえば、別のツールを使ってメールボックスをユーザアカウントに追加した場合、アカウントキャッシュを自分で更新するまでExchangeでそのメールボックスを管理することができません。
アカウントキャッシュの完全更新を実行すると、キャッシュ内に保持されていた直近のログオン統計情報が削除されます。その後、管理サーバがすべてのドメインコントローラから最新のログオン情報を収集します。
ADのプリンタコレクションはデフォルトで無効になっています。これを有効にするには、［Configuration Management］>［Update Administration Server Options (管理サーバオプションを更新)］>［全般］タブの順に選択し、［Collect Printers (プリンタを収集)］チェックボックスをオンにします。
スケジュールに従って特定のドメインに対してAD LDSのクリーンアップ更新が実行されるように設定できます。デフォルトでは、更新「しない」に設定されています。クリーンアップのステータスも、AD LDS (ADAM)の設定に関連した特定の情報も表示することができます。
スケジュールを設定するには、またはAD LDSクリーンアップのステータスを表示するには、［Account and Resource Management］>［すべての管理対象オブジェクト］ノードで目的のドメインを右クリックし、［プロパティ］>［Adlds Cleanup Refresh Schedule (AD LDSクリーンアップ更新スケジュール)］(または［Adlds Cleanup status (AD LDSクリーンアップステータス)］)の順に選択します。
AD LDS (ADAM)の設定情報を表示するには、［Configuration Management］>［Update Server Options (サーバオプションを更新)］>［ADAM Configuration (ADAMの設定)］の順に選択します。
ダイナミックグループとは、グループプロパティで設定しておいた定義済み条件セットに基づいてメンバーシップが変わるグループです。ドメインプロパティで特定のドメインに対し、スケジュールに従ってダイナミックグループの更新が実行されるように設定できます。デフォルトでは、更新「しない」に設定されています。更新のステータスを表示することもできます。
スケジュールを設定するためには、ダイナミックグループの更新のステータスを表示するには、［Account and Resource Management］>［すべての管理対象オブジェクト］ノードで目的のドメインを右クリックし、［プロパティ］>［Dynamic group refresh (ダイナミックグループの更新)］(または［Dynamic group status (ダイナミックグループのステータス)］)の順に選択します。
ダイナミックグループの詳細については、「DRAのダイナミックグループ」を参照してください。
ごみ箱をMicrosoft Windowsの各ドメインまたは各ドメイン内のオブジェクトに対し有効または無効に設定することができ、ごみ箱のクリーンアップの実行方法と時期も設定できます。
ごみ箱の使用の詳細については、「ごみ箱」を参照してください。
特定のMicrosoft Windowsドメイン、およびそれらのドメイン内のオブジェクトに対し、ごみ箱を有効にすることができます。デフォルトでDRAは、管理対象の各ドメインと、そのドメインのオブジェクトすべてに対し、ごみ箱を有効にします。ごみ箱を有効にするには、DRA AdminsまたはDRA Configuration Adminsというグループのメンバーである必要があります。
ご使用の環境が次に示す設定を含む場合、ごみ箱ユーティリティを使用してこの機能を有効にしてください。
DRAはこのドメインのサブツリーを管理している。
ごみ箱コンテナを作成し、このコンテナにアカウントを移動させ、このコンテナ内のアカウントを変更することのできるパーミッションが、管理サーバのサービスまたはアクセスアカウントに与えられていない。
また、ごみ箱ユーティリティを使用すれば、管理サーバのサービスの検証をしたり、ごみ箱コンテナに対するアカウントパーミッションにアクセスすることもできます。
ごみ箱を有効にするには、［ごみ箱］ノードの目的のドメインを右クリックし［Enable Recycle Bin (ごみ箱を有効にする)］を選択します。
特定のMicrosoft Windowsドメイン、およびそれらのドメイン内のオブジェクトに対し、ごみ箱を無効にすることができます。無効にしたごみ箱にアカウントが入っている場合、これらのアカウントの表示、永久削除、回復ができません。
ごみ箱を無効にするには、DRA AdminsまたはDRA Configuration Adminsというアシスタント管理者グループのメンバーである必要があります。
ごみ箱を無効にするには、［ごみ箱］ノードの目的のドメインを右クリックし［Disable Recycle Bin (ごみ箱を無効にする)］を選択します。
ごみ箱のクリーンアップはデフォルトで「毎日」に設定されています。この設定は、ドメインのごみ箱を任意の日数ごとにクリーンアップするように変更することができます。スケジュールされたクリーンアップの間ごみ箱は、オブジェクトタイプごとに、設定しておいた日数以上が経過したオブジェクトを削除します。各タイプのデフォルトの設定では、1日以上が経過したオブジェクトが削除されます。ごみ箱のクリーンアップの動作は、設定を無効にし、再度有効にして、オブジェクトの削除猶予期間をオブジェクトタイプごとに設定することでカスタマイズすることができます。
ごみ箱のクリーンアップを設定するには、Delegation and Configurationコンソールで目的のドメインを選択し、［タスク］>［プロパティ］>［ごみ箱］タブの順に移動します。
以下のセクションでは、DRA管理レポートと、有効にできるレポートコレクタについて概説します。コレクタが設定できるウィザードを表示するには、［Configuration Management］>［Update Reporting Service Configuration (レポーティングサービスの設定を更新)］の順に選択します。
Active DirectoryコレクタはActive Directoryから、DRA内にある管理対象ユーザ、グループ、連絡先、コンピュータ、OU、およびダイナミックグループの指定された属性セットを収集します。これらの属性は、レポーティングデータベースに保存され、Reportingコンソールでレポートを生成するために使用されます。
レポーティングデータベースにどの属性を収集および保存させるかをActive Directoryコレクタを設定することができます。コレクタの実行場所となるDRA管理サーバを設定することもできます。
DRAコレクタは、DRAの設定についての情報を収集し、その情報をレポーティングコンソールがレポート生成に使用するレポーティングデータベースに保存します。
DRAコレクタを有効にするには、コレクタを実行させるDRA管理サーバを指定する必要があります。最良の方法として、Active Directoryコレクタが正常に実行された後で、サーバの通常稼働時間帯以外の期間または負荷最小期間にDRAコレクタが実行されるようにスケジュール設定することを推奨します。
Office 365 Tenantコレクタでは、Office 365と同期する管理対象ユーザの情報を収集し、その情報を、レポーティングコンソールがレポート生成に使用するレポーティングデータベースに保存します。
Office 365コレクタを有効にするには、コレクタの実行場所となるDRA管理サーバを指定する必要があります。
メモ:Office 365 Tenantによる収集は、対応するドメインのActive Directoryコレクタが収集を正常に実行した後でのみ、正常に実行することができます。
管理レポートコレクタは、DRAの監査情報を収集し、その情報をレポーティングコンソールがレポート生成に使用するレポーティングデータベースに保存します。コレクタを有効にすると、DRAのレポーティングツールで実行されるクエリ用のデータベースのデータ更新頻度を設定できます。
この設定をするには、DRAサービスのアカウントがレポーティングサーバに対しSQLサーバでsysadminというパーミッションを持っている必要です。設定可能なオプションは、次のように定義されます。
監査エクスポートデータの時間間隔: これは、DRAのトレースログ(LAS)から監査データがSQLサーバ内の"SMCubeDepot"データベースにエクスポートされる時間間隔です。
管理レポート概要の時間間隔: これは、監査データがSMCubeDepotデータベースから、DRAのレポーティングツールによるクエリが可能なDRAレポーティングデータベース内に、供給される時間間隔です。
管理対象ドメイン内のすべてのドメインコントローラから直近のログオン時の統計情報を収集するように、DRAを設定することができます。直近ログオン統計収集の有効化とスケジュールを行うには、Configure Servers and Domainsという組み込みの役割に含まれる権限など、適切な権限が必要です。
デフォルトでは、直近ログオン情報の収集機能は無効になっています。直近ログオン情報を収集するには、この機能を有効にする必要があります。直近ログオン情報の収集を有効にすると、特定ユーザの直近のログオン情報を表示したり、直近ログオン情報の収集状況を表示することができます。
直近ログオン統計を収集するには:
［Configuration Management］>［Managed Domains (管理対象のドメイン)］の順に選択します。
目的のドメインを右クリックして、［プロパティ］を選択します。
［Last logon schedule (直近ログオンスケジュール)］タブをクリックして、直近ログオン統計の収集を設定します。
デフォルトでは、UCH (Unified Change History)の機能により、DRAの行った変更に関するレポートが生成できます。
統合された変更履歴を管理するには、Unified Change History Server Administrationという役割、または次に示す権限のうち該当するものをアシスタント管理者を割り当ててください。
統合された変更履歴の設定を削除する
統合された変更履歴の情報を設定する
統合された変更履歴の設定情報を表示する
UCHの権限を委任するには:
委任管理ノードで［権限］をクリックし、オブジェクト検索を使用して目的のUCHオブジェクトを見つけ、それを選択します。
選択されているUCH権限のいずれかを右クリックして、［Delegate Roles and Powers (役割と権限を委任)］を選択します。
権限の委任先となる特定のグループ、またはアシスタント管理者グループを検索します。
オブジェクトセレクタを使用して目的のオブジェクトを見つけて追加し、ウィザードで［Roles and Powers (役割と権限)］をクリックします。
［ActiveViews］をクリックし、オブジェクトセレクタを使用して必要なオブジェクトを見つけて追加します。
［次へ］をクリックしてから［完了］で委任プロセスを完了します。
UCHサーバを構成するには:
Webコンソールを起動し、アシスタント管理者の資格情報でログインします。
［管理］>［統合］>［統合された変更履歴］の順に選択し、［追加］アイコンをクリックします。
統合された変更履歴の設定で、UCHのサーバ名またはIPアドレス、ポート番号、サーバタイプ、アクセスアカウントの詳細を指定します。
サーバへの接続をテストし、［OK］をクリックして設定を保存します。
必要に応じて、さらにサーバを追加します。
DRAでワークフローの自動化を使用するには、WindowsサーバでWorkflow EngineをインストールしてからWebコンソールからワークフロー自動化サーバを構成する必要があります。
ワークフロー自動化サーバを構成するには、Webコンソールにログインし、［管理］>［統合］>［ワークフロー自動化］の順に選択します。
Workflow Engineのインストール情報については、『Workflow Automation Administrator Guide』を参照してください。
Delegation and Configurationのクライアントは、構成タスクや委任タスクへのアクセスを提供し、分散型管理からポリシーの強制まで企業の管理ニーズに対応します。Delegation and Configurationコンソールから、企業の効果的な管理に必要なセキュリティモデルとサーバ構成を設定できます。
Delegation and Configurationのクライアントを設定するには:
Delegation and Configurationのクライアントを起動するには、［Configuration Management］>［Update Administration Server Options (管理サーバオプションを更新)］の順に選択します。
［Client Options (クライアントオプション)］タブをクリックして、表示される設定オプションの中から所望の設定を定義します。
ユーザにActiveViewでの検索を許可する
コンソールのリストからソース専用のオブジェクトの非表示にする
高度なActive Directoryオブジェクトを表示する
セキュリティコマンドを表示する
ユーザの検索時にリソースと共有メールボックスを表示する
現在のドメインへのデフォルトのユーザUPNサフィックス
一度に編集可能な最大項目数(複数選択)
検索オプション
キャリッジリターンのオプション
Exchangeメールボックスのストレージ制限の単位
Webコンソールをスマートカードまたは多要素認証を使用して認証するように設定したり、独自のロゴやアプリケーションタイトルを使ったブランディングでカスタマイズしたりすることもできます。
Webコンソールは、Webブラウザを実行していれば、どのコンピュータからでも、iOSやAndroidのデバイスからでも起動できます。コンソールを起動するには、適切なURLをWebブラウザのアドレスフィールドに指定してください。たとえば、WebコンポーネントをHOUserverというコンピュータにインストールした場合は、Webブラウザのアドレスフィールドにhttps://HOUserver/draclientとタイプ入力します。
メモ:アカウントとMicrosoft Exchangeに関する最新の情報をWebコンソールに表示するには、キャッシュされているページにそれより新しいバージョンがあるかどうかをアクセスのたびにチェックするようにWebブラウザを設定してください。
Webコンソールを自動ログアウトさせる無アクティビティ期間を定義したり、自動ログアウトを一切しないように設定することができます。
Webコンソールで自動ログアウトを設定するには、［管理］>［構成］>［自動ログアウト］の順に選択します。
Webコンソールで3つのオプションのうち1つを設定してログイン時のDRAサーバへの接続オプションを定義することができます。設定されれば、Webコンソールにログインしたときの［オプション］ドロップダウンパネルでの接続設定は、管理者とアシスタント管理者の両方で同じになります。
DRAサーバのデフォルトの場所を常に使用する(［常に］)
DRAサーバのデフォルトの場所を常に使用しない(［なし］)
DRAサーバのデフォルトの場所が選択されている場合にのみ、それを使用する(［選択した場合のみ］)
ログイン時の各オプションの動作は次のとおりです。
|
接続の設定 |
ログイン画面 - オプション |
接続オプションの説明 |
|---|---|---|
|
常に |
なし |
オプション設定は無効です。 |
|
なし |
自動ディスカバリを使用する |
DRAサーバを自動的に検出します。使用できる設定オプションはありません。 |
|
特定のDRAサーバに接続 |
ユーザがサーバとポートを設定します。 |
|
特定のドメインを管理するDRAサーバに接続する |
ユーザが管理対象ドメインを指定し、接続オプションを選択します。
|
|
選択した場合のみ |
自動ディスカバリを使用する |
DRAサーバを自動的に検出します。使用できる設定オプションはありません。 |
|
デフォルトのDRAサーバに接続 |
デフォルトのサーバが選択され、DRAサーバ設定が無効になっています。 |
|
特定のDRAサーバに接続 |
ユーザがサーバとポートを設定します。 |
|
特定のドメインを管理するDRAサーバに接続する |
ユーザが管理対象ドメインを指定し、接続オプションを選択します。
|
WebコンソールでDRA サーバへの接続を設定するには、［管理］>［構成］>［DRAサーバ接続］の順に選択します。
RESTサービスの接続設定には、デフォルトのサーバの場所および接続タイムアウト時間(単位は秒)の設定が含まれています。Webコンソールで3つのオプションのうち1つを設定してログイン時のRESTサービスへの接続オプションを定義することができます。設定されれば、Webコンソールにログインしたときの［オプション］ドロップダウンパネルでの接続設定は、管理者とアシスタント管理者の両方で同じになります。
RESTサービスのデフォルトの場所を常に使用する(［常に］)
RESTサービスのデフォルトの場所を常に使用しない(［なし］)
RESTサービスのデフォルトの場所が選択されている場合にのみ、それを使用する(［選択した場合のみ］)
ログイン時の各オプションの動作は次のとおりです。
|
接続の設定 |
ログイン画面 - オプション |
接続オプションの説明 |
|---|---|---|
|
常に |
なし |
オプション設定は無効です。 |
|
なし |
自動ディスカバリを使用する |
RESTサーバを自動的に検出します。使用できる設定オプションはありません。 |
|
特定のRESTサーバに接続 |
ユーザがサーバとポートを設定します。 |
|
特定のドメイン内のRESTサーバに接続する |
ユーザが管理対象ドメインを指定し、接続オプションを選択します。
|
|
選択した場合のみ |
自動ディスカバリを使用する |
RESTサーバを自動的に検出します。使用できる設定オプションはありません。 |
|
デフォルトのRESTサーバに接続 |
デフォルトのRESTサーバが選択され、RESTサーバ設定が無効になっています。 |
|
特定のRESTサーバに接続 |
ユーザがサーバとポートを設定します。 |
|
特定のドメイン内のRESTサーバに接続する |
ユーザが管理対象ドメインを指定し、接続オプションを選択します。
|
WebコンソールでRESTサービスの接続を設定するには、［管理］>［構成］>［RESTサービス接続］の順に選択します。
このセクションには、Advanced Authenticationの統合を使用してスマートカード認証、Windows認証、および多要素認証を設定するための情報が記載されています。
スマートカードからのクライアント資格情報に基づいてユーザを受け入れるようにWebコンソールを設定するには、IIS (Internet Information Services)およびRESTサービスの設定ファイルを設定する必要があります。
重要:スマートカード上の証明書がWebサーバ上のルートの証明書ストアにもインストールされているか確認してください。IISがカードの証明書と一致する証明書を参照する必要があるためです。
Webサーバで認証コンポーネントをインストールします。
サーバマネージャを起動します。
［Web サーバ(IIS)］をクリックします。
［Role Services (役割サービス)］セクションに移動し、［Add Role Services (役割サービスを追加)］をクリックします。
Securityという役割サービスのノードに移動し、［Windows Authentication (Windows認証)］>［Client Certificate Mapping Authentication (クライアント証明書割り付け認証)］の順に選択します。
Webサーバで認証を有効にします。
IIS Managerを起動します。
ご使用のWebサーバを選択します。
IISセクションの下にある認証アイコンを見つけて、それをダブルクリックします。
「Active Directoryクライアント証明書認証」と「Windows認証」を有効にします。
DRAクライアントを設定します。
ご使用のDRAクライアントを選択します。
IISセクションの下にある認証アイコンを見つけて、それをダブルクリックします。
「Windows認証」を有効にし、「匿名認証」を無効にします。
DRAクライアントに対しSSL証明書およびクライアント証明書を有効にします。
IISセクションの下のSSLサービスのアイコンを見つけて、それをダブルクリックします。
［Require SSL (SSLを要求)］を選択し、クライアント証明書の下の［Require (要求する)］を選択します。
ヒント:このオプションが使用可能な場合、［Require 128-bit SSL (128ビットSSLを要求)］を選択します。
RESTサービスのWebアプリケーションを設定します。
RESTサービスのWebアプリケーションを選択します。
IISセクションの下にある認証アイコンを見つけて、それをダブルクリックします。
「Windows認証」を有効にし、「匿名認証」を無効にします。
RESTサービスのWebアプリケーション上でSSL証明書およびクライアント証明書を有効にします。
IISセクションの下のSSLサービスのアイコンを見つけて、それをダブルクリックします。
［Require SSL (SSLを要求)］を選択し、クライアント証明書の下の［Require (要求する)］を選択します。
ヒント:このオプションが使用可能な場合、［Require 128-bit SSL (128ビットSSLを要求)］を選択します。
WCFのWebサービスのファイルを設定します。
RESTサービスのWebアプリケーションを選択し、Content Viewに切り替えます。
.svcファイルを見つけて、それを右クリックします。
［Switch to Features View (フィーチャービューに切り替える)］を選択します。
IISセクションの下にある認証アイコンを見つけて、それをダブルクリックします。
「匿名認証」を有効にし、その他の認証メソッドをすべて無効にします。
RESTサービスの設定ファイルを編集します。
C:\inetpub\wwwroot\DRAClient\rest\web.configというファイルをテキストエディタで開きます。
その中の<authentication mode="None" />という行を見つけて、その行を削除します。
<system.serviceModel>という行のすぐ下に、次に示す数行を追加します。
<services> <service name="NetIQ.DRA.DRARestProxy.RestProxy"> <endpoint address="" binding="webHttpBinding" bindingConfiguration="webHttpEndpointBinding" name="webHttpEndpoint" contract="NetIQ.DRA.DRARestProxy.IRestProxy" /> </service> </services>
<serviceDebug includeExceptionDetailInFaults="false"/>という行のすぐ下に、次に示す数行を追加します。
<serviceAuthorization impersonateCallerForAllOperations="true" /> <serviceCredentials> <clientCertificate> <authentication mapClientCertificateToWindowsAccount="true" /> </clientCertificate> </serviceCredentials>
<serviceHostingEnvironment multipleSiteBindingsEnabled="true" />という行のすぐ上に、次に示す数行を追加します。
<bindings> <webHttpBinding> <binding name="webHttpEndpointBinding"> <security mode="Transport"> <transport clientCredentialType="Certificate" /> </security> </binding> </webHttpBinding> </bindings>
ファイルを保存して、IISサーバを再起動します。
WebコンソールでWindows認証を有効にするには、IIS (Internet Information Services)とRESTサービスの設定ファイルを設定する必要があります。
IIS Managerを開きます。
［接続］ペインで、RESTサービスのWebアプリケーションを見つけて、それを選択します。
右側のペインで、IISセクションに移動し、［認証］をダブルクリックします。
Windows認証を有効にし、その他の認証メソッドをすべて無効にします。
C:\inetpub\wwwroot\DRAClient\rest\web.configというファイルをテキストエディタで開き、<authentication mode="None" />という行を探します。
値の"None"を"Windows"に変更し、ファイルを保存します。
IISサーバを再起動します。
AAF (Advanced Authentication Framework)は、単純なユーザ名とパスワードから、より安全に機密情報を保護できる多要素認証方式へと移行できるようにする、弊社のプレミアソフトウェアパッケージです。
Advanced Authenticationでは、セキュリティ向上のために次に示す通信プロトコルをサポートしています。
TLS 1.2 (デフォルト設定)、TLS 1.1、TLS 1.0
SSL 3.0
多要素認証とは、ユーザ本人であることを検証するために、カテゴリの異なる資格情報による2種類以上の認証メソッドを必要とするコンピュータアクセス制御手法です。
次に示すように、認証には3種類のカテゴリ(要素)があります。
知識: このカテゴリでは、パスワードまたはアクティベーションコードなど、特定の情報を知っている必要があります。
所有物: このカテゴリでは、スマートカードまたはスマートフォンなど、認証デバイスを用意する必要があります。
身体: このカテゴリでは、指紋など、体の一部を検証手段として使用することが必要です。
各認証要素には、少なくとも1つの認証メソッドが含まれています。認証メソッドとはユーザの識別に使用できる特定の技法であり、指紋を使用したりパスワードを要求するといった手法があります。
たとえば、パスワードとともに指紋を要求する場合のように、2つ以上の認証メソッドを使用すると、認証プロセスが強いとみなすことができます。
Advanced Authenticationでサポートされるのは、次に示す認証メソッドです。
LDAPパスワード
RADIUS (Remote Authentication Dial-In User Service)
スマートフォン
ヒント:スマートフォンメソッドでは、ユーザがiOSまたはAndroidのアプリをダウンロードする必要があります。詳細については、『Advanced Authentication - Smartphone Applications User Guide』を参照してください。このガイドは、NetIQのマニュアルWebサイトから入手できます。
以降のセクションの情報を使用して、多要素認証が使用できるようにWebコンソールを設定してください。
重要:次のセクションの手順には、Webコンソール内部で行われるものもありますが、多要素認証の環境設定プロセスの多くでAAFへのアクセスが必要です。これらの手順では、AAFがすでにインストール済みで、AAFのヘルプマニュアルにアクセスできるユーザを対象にしています。
最初のステップは、DRA管理者およびDRAで管理されるアシスタント管理者を含んでいるActive Directoryドメインのすべてを、多因子認証を使ってAAFに追加できるようにWebコンソールを設定することです。これらのドメインはリポジトリと呼ばれ、認証対象のユーザおよびグループのID属性が含まれています。
管理者レベルのユーザ名とパスワードを使ってAAFの管理ポータルにログインします。
左側のパネルに移動し、［リポジトリ］をクリックします。
［追加］をクリックします。
フォームを記入します。
ヒント:LDAPタイプはADです。
ヒント:対応するフィールドに管理者レベルのユーザ名とパスワードを入力します。
［サーバを追加］をクリックします。
LDAPサーバのIPアドレスを［アドレス］フィールドに入力します。
［保存］をクリックします。
DRAによって管理される他のすべてのADリポジトリにも、手順3から7を繰り返し実行してください。
［リポジトリ］ページに表示されている各リポジトリに対し、［Sync now (今すぐ同期化)］をクリックしてAAFサーバと同期化します。
認証チェーンには、少なくとも1つの認証メソッドが含まれています。チェーンに追加された順序で、チェーン内のメソッドが呼び出されます。ユーザが認証されるためには、ユーザがチェーン内のすべてのメソッドを渡す必要があります。たとえば、LDAPパスワードメソッドとSMSメソッドを含むチェーンが作成されているとしましょう。この場合、ユーザがこのチェーンを使用して認証を試みたときに、このユーザはまず自分のLDAPパスワードを使用して認証する必要があります。そしてパスワード認証に続いて、1回限り使用可能なパスワードが記載されたテキストメッセージがそのユーザの携帯電話に送信されます。このユーザがそのパスワードを入力したら、チェーン内のすべてのメソッドが履行されたことになり、認証が成功します。認証チェーンは、特定のユーザまたはグループに割り当てることができます。
認証チェーンを作成するには:
管理者レベルのユーザ名とパスワードを使ってAAFの管理ポータルにログインします。
左側のパネルに移動し、［チェーン］をクリックします。右側のパネルに現在使用可能なチェーンがリスト表示されます。
［追加］をクリックします。
フォームを記入します。すべてのフィールドが必須です。
重要:メソッドは、実動作で呼び出されるべき順序で追加してください。つまり、最初にユーザにLDAPパスワードを入力させたい場合は、最初にLDAPパスワードをチェーンに追加します。
重要:［Apply if used by endpoint owner (エンドポイント所有者が使用する場合に適用)］がオフになっていることを確認します。
［Is enabled (有効)］をオンにします。
［Roles & Groups (役割とグループ)］フィールドに、認証リクエストの対象となる役割またはグループの名前を入力します。
ヒント:チェーンをすべてのユーザに適用させたい場合は、［Roles & Groups (役割とグループ)］フィールドに 「all users」と入力し、ドロップダウンリストから［All Users (すべてのユーザ)］を選択します。
選択したユーザまたはグループが［Roles & Groups (役割とグループ)］フィールドの下に追加されます。
［保存］をクリックします。
認証イベントは、ユーザ認証を行うアプリケーション(この場合はWebコンソール)がトリガとなって開始します。そのイベントに少なくとも1つの認証チェーンが割り当てられる必要があります。そうすることで、イベントの発生時にそのイベントに関連付けられたチェーン内のメソッドがユーザ認証するために呼び出されます。
エンドポイントとは、コンピュータやスマートフォンのような、認証イベントのトリガとなるソフトウェアを実行している実際のデバイスです。DRAはイベント作成後にAAFでエンドポイントを登録します。
エンドポイントのホワイトリストボックスを使用すると、イベントへのアクセスを特定のエンドポイントに制限することができます。また、イベントへのアクセスをすべてのエンドポイントに許可することもできます。
認証イベントを作成するには:
管理者レベルのユーザ名とパスワードを使ってAAFの管理ポータルにログインします。
左側のパネルに移動し、［イベント］をクリックします。右側のパネルに、現在使用可能なイベントのリストが表示されます。
［追加］をクリックします。
フォームを記入します。すべてのフィールドが必須です。
重要:［Is enabled (有効)］というスイッチがONになっていいることを確認します。
特定のエンドポイントにアクセスを制限する場合は、エンドポイントのホワイトリストセクションに移動し、対象となるエンドポイントを［Available (使用可能)］リストから［Used (使用済み) ］リストに移動させます。
ヒント:［Used (使用済み)］リストにエンドポイントがない場合、そのイベントはすべてのエンドポイントで使用可能になります。
チェーンとイベントの設定後、Webコンソールに管理者でログインし、Advanced Authenticationを有効にできます。
認証が有効になると、すべてのユーザがWebコンソールへのアクセス権を得る前にAAFで認証を行う必要があります。
重要:Webコンソールを有効にする前に、Webコンソールがユーザ認証に使用する認証メソッドに登録済みである必要があります。認証メソッドへの登録方法については、『Advanced Authentication Framework User Guide』を参照してください。
Advanced Authenticationを有効にするには、Webコンソールにログインし［管理］>［設定］>［Advanced Authentication］の順に選択します。［Enabled (有効)］チェックボックスを選択し、各フィールドに用意された説明に従ってフォームを構成します。
ヒント:設定を保存した後に、エンドポイントがAAFに作成されます。表示または編集するには、管理者レベルのユーザ名とパスワードでAAF管理ポータルにログオンし、左側のペインの［エンドポイント］をクリックします。
管理者レベルのユーザ名とパスワードでAAF管理ポータルにログオンし、左側のペインの［イベント］をクリックします。
Webコンソールのイベントをそれぞれ編集します。
編集するイベントを開きます。
［エンドポイント］ホワイトリストのセクションに移動し、Webコンソールを設定したときに作成したエンドポイントを［Available (使用可能)］リストから［Used (使用済み)］リストに移動します。これにより、Webコンソールのみがこれらのイベントを使用できるようになります。
［保存］をクリックします。