24.7 その他の管理タスク
このセクションでは、NMASのその他の管理タスクについて説明します。
24.7.2 LoginInfoコマンドの使用
NMAS 3.2以降では、LoginInfo <numb>コマンドを使用して、特定のユーザオブジェクトログイン属性の自動更新をオフにすることができます。属性を自動更新すると問題が発生する場合には、手動でこれを行うことができます。次のセクションでは、この機能についてさらに詳しく説明します。
LDAPバインド用のNMASログイン
eDirectory 9.0では、デフォルトで、LDAPバインドのためにNMASログインが有効になっています。NMASログインが有効になっている場合は、eDirectoryがユーザの認証後に自動的にユーザオブジェクトログイン属性を更新します。更新されるログイン属性のリスト(ただし完全に網羅するものではない)を以下に示します。
-
ログイン時刻
-
ネットワークアドレス
-
最終ログイン時刻
LDAPに対するNMASベースのログインを無効にするには、セクション 24.7.3, LDAPに対するNMASベースのログインの無効化を参照してください。
ユーザオブジェクトログイン属性を自動更新することによって発生する問題
ユーザオブジェクトログイン属性の自動更新は、次のような問題を引き起こす可能性があります。
-
高い使用率
-
無応答
-
特にLDAP環境でビジー状態の認証サーバで見られるクライアントのタイムアウト
これらの問題が発生した場合は、ログイン属性の更新のタイミングを調整する必要があります。この方法については、LoginInfoコマンドを使用した属性の更新のタイミングの制御を参照してください。
LoginInfoコマンドを使用した属性の更新のタイミングの制御
ログイン属性の更新タイミングを制御するには、nmas LoginInfo <num>コマンドを実行します。
<num>の値は次のとおりです。
-
0またはoff: ログイン属性を更新しません。
-
1: 不正侵入者の検出に必要な属性のみを更新します。
-
2: 未使用のユーザパスワードポリシー属性を除く、すべてのログイン属性を更新します。
-
3またはon: すべてのログイン属性を更新します。
NMASサーバプラットフォームごとのLoginInfoコマンドの呼び出し方法については、セクション 24.7.4, NMASコマンドの呼び出しを参照してください。
sasUpdateLoginInfo属性とsasUpdateLoginTimeInterval属性の使用
sasUpdateLoginInfo属性は、LoginInfo属性の更新を制御します。
sasUpdateLoginTimeInterval属性は、指定されたインターバルでユーザのログイン時刻属性が更新されるように制御します。
SasUpdateLoginInfo属性は、次の値に設定することができます。
-
0またはoff: ログイン属性を更新しません。
-
1: 不正侵入者の検出に必要な属性のみを更新します。
-
2: 未使用のユーザパスワードポリシー属性を除く、すべてのログイン属性を更新します。
-
3またはon: すべてのログイン属性を更新します。
SasUpdateLoginTimeInterval属性は、0～1440分(つまり、1日)の値に設定することができます。
-
値が0の場合は、ログインに成功するたびにログイン時刻属性と最終ログイン時刻属性が更新されます。
-
値が1～1440分の場合は、指定されたインターバルでログイン時刻属性が更新されます。最終ログイン時刻属性は更新されません。
メモ:ログイン時刻属性は、インターバル中に続いてログインに成功しても更新されません。ただし、インターバル中ログインに失敗してその後ログインに成功した場合は、ログイン時刻属性が更新されます。ログインの成功からインターバル時間がカウントされます。
sasUpdateLoginTimeInterval属性は、sasUpdateLoginInfo属性値が2または3に設定されている場合にのみ有効になります。
これらの属性は、以下のオブジェクトに対して設定できます。オブジェクトは優先順位順に列挙しています(ユーザの優先順位が最も高くなります)。
-
User (ユーザ)
-
ユーザのコンテナ
-
パーティションルート
-
ログインポリシー
ログインポリシーオブジェクトに対してsasUpdateLoginInfoとsasUpdateLoginTimeIntervalを設定した場合は、その次のポリシーリフレッシュサイクルの後に設定が有効になります。ユーザ、コンテナ、パーティションルート、またはログインポリシーに対してこれらの属性が設定されていない場合は、後方互換性を維持するために、コマンドラインを使用してサーバ上で設定された値が使用されます。
eDirectoryサーバ上で属性値を設定する例を以下に示します。
#cat nmas.config (The nmas.config file must be in the same directory as the dib directory.) nmas LoginInfo 2 nmas UpdateLoginTimeInterval 30
パーティションルートで属性値を設定するには:
-
属性をツリーに追加するには、［］>［］>［］>［］に移動します。
-
矢印を使用して必要な属性を［］リストから［］リストに移動します。
パーティションルートで属性の値を設定するには、コマンドラインまたはldifファイルを使用して、ldapmodifyコマンドと次のコマンドを実行します。
dn:T=< tree name> changetype:modify add:sasUpdateLoginTimeInterval sasUpdateLoginTimeInterval:35 dn:T=< tree name> changetype:modify add:sasUpdateLoginInfo sasUpdateLoginInfo: 2
ユーザ、コンテナ、およびログインポリシーオブジェクトのsasUpdateLoginInfo属性値またはsasUpdateLoginTimeInterval属性値は、iManagerまたはldifファイルを使用して編集することができます。
例:
#cat changesasUpdateLoginInfo.ldif dn: cn=user1,o=org change type: modify replace: sasUpdateLoginInfo sasUpdateLoginInfo: 1 #cat changesasUpdateLoginTimeInterval.ldif dn: cn=user1,o=org changetype: modify replace: sasUpdateLoginTimeInterval sasUpdateLoginTimeInterval: 60
この設定は、user1のログイン時刻属性の更新を前回の更新から60分間無効にします。
iManagerからsasUpdateLoginInfo属性とsasUpdateLoginTimeInterval属性を指定するには:
-
NetIQ iManagerで、［］ボタン
をクリックします。
-
［］>［］の順にクリックします。
-
コンテナまたはログインポリシーオブジェクトの名前とコンテキストを指定して、［］をクリックします。
-
［］タブで、［］を選択してから、［］リストから［］を選択します。
-
矢印ボタンを使用して、［］リストから［］リストに［］を移動してから、［］をクリックします。