3.2 ユーザアカウントの管理

eDirectoryのユーザアカウントの設定には、ユーザオブジェクトの作成、およびログイン制御のプロパティやユーザのネットワークコンピューティング環境の設定があります。テンプレートオブジェクトを使用すると、これらのタスクを簡単に実行できます。

ログインスクリプトを作成すると、ユーザがログインしたときに、自動的にファイルやプリンタなどの必要なネットワークリソースに接続できます。同じリソースを使用するユーザが複数いる場合、コンテナにログインスクリプトコマンドを格納して、ログインスクリプトのプロファイルを作成することができます。

このセクションでは、次のことを説明します。

3.2.1 ユーザアカウントを作成および変更する

ユーザアカウントは、eDirectoryツリー内のユーザオブジェクトです。ユーザオブジェクトは、ユーザのログイン名を指定するほか、eDirectoryがネットワークリソースへのユーザアクセスを制御するために使用するその他の情報を提供します。

このセクションでは、次のことを説明します。

ユーザオブジェクトを作成する

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［ユーザ］>［ユーザの作成］の順にクリックします。

  3. ユーザ名とユーザの姓を指定します。

  4. ユーザを作成するコンテナを指定します。

  5. オプションで追加情報を指定して、［OK］をクリックします。

    使用可能なオプションの詳細については、［ヘルプ］ボタンをクリックしてください。

  6. OKをクリックします。

ユーザアカウントの変更

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［ユーザ］>［ユーザの変更］の順にクリックします。

  3. 変更する1人または複数のユーザの名前とコンテキストを指定して、［OK］をクリックします。

  4. 必要に応じてプロパティページを編集します。

    特定のプロパティの詳細情報を表示するには、［ヘルプ］ボタン をクリックします。

  5. OKをクリックします。

ユーザアカウントを有効にする

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［ユーザ］>［アカウントの有効化］の順にクリックします。

  3. ユーザの名前とコンテキストを指定して、［OK］をクリックします。

ユーザアカウントを無効にする

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［ユーザ］>［アカウントの無効化］の順にクリックします。

  3. ユーザの名前とコンテキストを指定して、［OK］をクリックします。

3.2.2 オプションのアカウント機能を設定する

ユーザオブジェクトを作成した後、ユーザのネットワークコンピューティング環境を設定し、追加のログインセキュリティ機能を実装できます。

ユーザのネットワークコンピューティング環境の設定

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［ユーザ］>［ユーザの変更］の順にクリックします。

  3. 変更する1人または複数のユーザの名前とコンテキストを指定して、［OK］をクリックします。

  4. ［全般］タブで、［使用環境］ページをクリックします。

  5. プロパティページに入力します。

    特定のプロパティの詳細情報を表示するには、［ヘルプ］ボタン をクリックします。

  6. OKをクリックします。

ユーザに追加のログインセキュリティを設定する

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［ユーザ］>［ユーザの変更］の順にクリックします。

  3. 変更する1人または複数のユーザの名前とコンテキストを指定して、［OK］をクリックします。

  4. ［制限］タブで、必要なプロパティページに入力します。

    ページの詳細情報については、［ヘルプ］ボタンをクリックしてください。

    ページ

    説明

    LDAP属性

    パスワード制限

    ログインパスワードを設定します。

    passwordRequired

    ログインの制限

    • アカウントを有効または無効にします。

    • 同時ログインセッション数を制限します。

    • ログインの有効期限およびロックアウトする日付を設定します。

    loginDisabled

    loginMaximumSimultaneous

    loginExpirationTimeまたはloginGraceLimit

    ログイン時間制限

    ユーザがログインできる時間を制限します。制限を設定し、制限時間になったときにオブジェクトがログインされていると、5分間警告が表示され、5分後にまだオブジェクトがログアウトされていない場合は、そのオブジェクトをログアウトします。リモートからログインする場合は、「リモートユーザのログイン時間制限」を参照してください。

    loginAllowedTimeMap

    アドレス制限

    このユーザがログインするネットワークの場所(ワークステーション)を制限します。このページで制限を設定しない場合、ユーザはネットワークのどの場所からでもログインできます。

    networkAddressRestriction

    アカウントバランス

    このユーザのサーバ使用状況のアカウントを設定します。

    accountBalance

    不正侵入者ロックアウト

    不正侵入者が検出されたためにアカウントがロックされた場合、このアカウントを操作します。不正侵入者検出の設定を管理するには、親コンテナの［不正侵入者検出］プロパティページを使用します。

    lockedByIntruder

  5. OKをクリックします。

コンテナ内のすべてのユーザの不正侵入者検出を設定する

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［ディレクトリ管理］>［オブジェクトの変更］の順にクリックします。

  3. コンテナオブジェクトの名前とコンテキストを指定して、［OK］をクリックします。

  4. ［全般］タブで、［不正侵入者検出］ページをクリックします。

  5. 次のオプションを選択します。

    オプション

    説明

    不正侵入者を検出する

    コンテナのユーザアカウントの不正侵入者検出システムを有効にします。

    不正ログイン試行回数

    連続してログインに失敗して不正侵入者検出がアクティブになるまでのログイン試行回数を指定します。ユーザがログインにこのコンテナ内のユーザアカウントを使用し、連続して失敗した回数がこの値を超えると、不正侵入者検出がアクティブになります。この数値は、コンテナの［Login Intruder Limit(不正ログイン制限)］プロパティに格納されます。

    不正ログイン回数のリセット間隔

    ここで指定した時間間隔以内に連続してログインに失敗すると、不正侵入者検出がアクティブになります。日、時間、および分を入力します。

    検出後にアカウントをロックする

    このコンテナ内のユーザアカウントに対する不正侵入者検出がアクティブになった場合にログインを無効にするかどうかを指定します。このチェックボックスがオンになっていない場合、不正侵入者検出がアクティブになってもアカウントはロックされません。このチェックボックスをオンにし、不正侵入者の検出によってユーザアカウントがロックされた場合、ユーザオブジェクトの［不正侵入者ロックアウト］プロパティの［ロックされたアカウント］チェックボックスをオフにして、アカウントのロックを解除できます。

    日、時間、分

    この3つのフィールドでは、不正侵入者検出がこのコンテナ内のユーザアカウントでアクティブになった場合にログインが無効になる時間が指定されます。日、時間、分の値を任意に入力するか、デフォルトの15分をそのまま使用します。指定した時間が経過すると、そのユーザアカウントのログインは再び有効になります。これらのフィールドの内容は、コンテナの［アカウントロックアウト期間］プロパティに格納されます。これら3つのフィールドの値が0と指定されている場合、ユーザアカウントは無期限にロックされます。

  6. OKをクリックします。

不正侵入者ロックアウト無効期間の設定

この機能を使用すると、現行パスワードの前に使用されていた旧パスワードを使ってユーザがログインしようとしてもアカウントがロックされない期間を指定できます。［No Intruder Lock Out］オプションを選択した場合、最後のパスワード変更の時点から指定された期間にわたって、不正侵入者検出が無効になります。

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［NMAS］>［NMAS Login Methods］>［NDS］をクリックします。

  3. ［NDS］ページで、ユーザアカウントをロックしない期間を指定し、［OK］をクリックします。

3.2.3 ログイン時間更新間隔の無効化

ユーザのログイン時間属性の更新を無効にする間隔値を指定することができます。ユーザ、コンテナ、およびログインポリシーに対して間隔値を指定できます。セキュリティオブジェクト(LPO)またはサーバ。この機能を有効にするには、nmas.schファイルを使ってスキーマを拡張する必要があります。

ユーザに対して間隔を指定するには、次の手順を実行します。

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします

  2. ［NMAS役割］>［NMASユーザ］をクリックします。

  3. 間隔を指定するオブジェクトの名前とコンテキストを指定します。

  4. ［全般］タブで［その他］を選択して、［値がない属性］からsasUpdateLoginTimeIntervalを選択します。

  5. 必要に応じて、矢印ボタンを使ってsasUpdateLoginTimeIntervalを［値がない属性］リストから［値がある属性］リストに移動し、［適用］をクリックします。

コンテナおよびLPOの更新間隔を指定するには、次の手順を実行します。

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします

  2. ［ディレクトリ管理］>［オブジェクトの変更］の順にクリックします。

  3. コンテナまたはログインポリシーオブジェクトの名前とコンテキストを指定して、［OK］をクリックします。

  4. ［全般］タブの［その他］を選択して、［値がない属性］からsasUpdateLoginTimeIntervalを選択します。

  5. 必要に応じて、矢印ボタンを使ってsasUpdateLoginTimeIntervalを［値がない属性］リストから［値がある属性］リストに移動し、［適用］をクリックします。

3.2.4 ログインスクリプトを設定する

ログインスクリプトは、ユーザがログインしたときに実行される一連のコマンドです。一般的に、ユーザとファイルやプリンタなどのネットワークリソースとの接続に使用されます。ログインスクリプトは、次の順序でユーザのワークステーション上で実行されます。

  1. コンテナログインスクリプト

  2. プロファイルログインスクリプト

  3. ユーザログインスクリプト

ログイン中に、いずれかのログインスクリプトが見つからない場合、それをスキップしてリスト内の次のスクリプトに移ります。何も見つからない場合、デフォルトのスクリプトが実行され、検索ドライブがユーザのデフォルトサーバ上のフォルダにマップされます。デフォルトサーバは、ユーザオブジェクトの［使用環境］プロパティページで設定されます。

ログインスクリプトを作成する

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［ディレクトリ管理］>［オブジェクトの変更］の順にクリックします。

  3. ログインスクリプトを作成するオブジェクトの名前とコンテキストを指定します。

    ログインスクリプトの適用先

    作成先

    1人のユーザのみ

    ユーザオブジェクト

    まだ作成されていない1人以上のユーザ

    テンプレートオブジェクト

    1つのコンテナ内のすべてのユーザ

    コンテナオブジェクト

    1つ以上のコンテナの複数のユーザ

    プロファイルオブジェクト

  4. OKをクリックします。

  5. ［全般］タブで、［ログインスクリプト］ページを選択します。

  6. 指定するログインスクリプトコマンドを入力します。

    詳細については、『Login Scripts Guide (ログインスクリプトガイド)』を参照してください。

  7. OKをクリックします。

ユーザにプロファイルを割り当てる

プロファイルをユーザオブジェクトと関連付けることによって、ユーザのログイン中にそのプロファイルのログインスクリプトが実行されます。ユーザが、プロファイルオブジェクトのブラウズ権、およびプロファイルオブジェクトのログインスクリプトプロパティの読み込み権を持っていることを確認してください。

詳細については、eDirectoryオブジェクトまたはプロパティへの有効な権利を参照するを参照してください。

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［ユーザ］>［ユーザの変更］の順にクリックします。

  3. ログインスクリプトを作成するユーザオブジェクトの名前とコンテキストを指定します。

  4. OKをクリックします。

  5. ［全般］タブで、［ログインスクリプト］ページを選択します。

  6. プロファイルオブジェクトをこのオブジェクトに関連付けるには、［プロファイル］フィールドにプロファイルオブジェクトの名前とコンテキストを入力します。

  7. OKをクリックします。

3.2.5 リモートユーザのログイン時間制限

ユーザオブジェクトの［ログイン時間制限］プロパティページで、ユーザがeDirectoryにログインできる時間を制限できます。デフォルトでは、ログイン時間に制限はありません。

ログイン時間制限が設定され、制限時間になったときにユーザがログインしていると、5分以内にログアウトするよう警告が表示されます。ユーザが5分経ってもまだログインしている場合、自動的にログアウトされ、保存していないデータは失われます。

ログイン要求を処理するサーバとは異なるタイムゾーンからリモートでログインする場合、ユーザに設定されたログイン時間制限の時差は調整されます。たとえば、月曜日の午前1時から午前6時までにログインが制限されており、サーバより1時間遅いタイムゾーンからリモートでログインする場合、このユーザの制限は午前2時から午前7時まで有効になります。

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［ユーザ］>［ユーザの変更］の順にクリックします。

  3. 変更する1人または複数のユーザの名前とコンテキストを指定して、［OK］をクリックします。

  4. ［制限］タブで、［ログイン時間制限］をクリックします。

  5. 次のオプションを選択します。

    オプション

    説明

    タイムグリッド

    タイムグリッドのそれぞれのセルは、表示されている週の1日のうちの30分を表します。赤いセルは、このオブジェクトにログインできない制限時間を表します。灰色のセルは制限されていない時間で、このオブジェクトにログインできる時間を表します。時間制限を設定するには、目的の時間をクリックして濃い灰色にします。複数の時間を選択するには、を押しながらセルをクリックし、該当するセルまでドラッグします。設定したログイン時間制限は、このオブジェクトの［Login Allowed Time Map(ログイン許可時間マップ)］プロパティに格納されます。

    ログイン時間制限の追加

    時間制限を追加するには、灰色のセルをクリックして、このオプションを選択します。

    ログイン時間制限の削除

    時間制限を削除するには、赤いセルをクリックして、このオプションを選択します。

    アップデート

    このボタンをクリックすると選択が有効になります。

    リセット

    このボタンをクリックすると、このプロパティページを開く前の状態にタイムグリッドがリセットされます。

  6. OKをクリックします。

3.2.6 ユーザアカウントを削除する

  1. iManagerで、［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［ユーザ］>［ユーザの削除］の順にクリックします。

  3. 削除するユーザの名前およびコンテキストを指定します。

  4. OKをクリックします。