14.14 プロキシ承認コントロール

OpenText eDirectoryには、RFC 4370で規定されているように、LDAPプロトコルを使用してプロキシ承認を制御する柔軟性があります。プロキシ承認コントロールにより、クライアントは、接続に関連付けられている現在の承認IDの代わりに、指定された承認IDを使用して操作を処理することを要求できます。この機能は、各操作の承認IDを指定するためのメカニズムを提供し、複数のユーザの代わりにいくつかの操作を実行する必要があるクライアントで役に立ちます。

OpenText eDirectoryサーバで認証するには、管理者がクライアント要求でプロキシ承認コントロールOID、2.16.840.1.113730.3.4.18を指定する必要があります。プロキシ承認コントロールを使用するには、認証済みユーザが偽装ユーザに対してスーパバイザ権を持っている必要があります。

  1. OpenText eDirectoryツリーを作成し、そこにユーザオブジェクトを追加します。

  2. OpenText Identity Consoleのホームページで、［権利の管理］タイルをクリックします。

  3. ［トラスティ］をクリックします。

  4. ［オブジェクトの検索］をクリックして、リストからユーザを選択します。

  5. ［コンテキストブラウザ］画面でユーザを選択し、［OK］をクリックします。

  6. ［割り当てられた権利］をクリックして、選択したユーザに割り当てられている権利を選択します。例: 読み込み、書き込み、またはネスト。

  7. ［完了］をクリックし、［適用］をクリックします。

ldapsearchのプロキシ承認を実行するには、次のコマンドを使用します。

ldapsearch -x -H ldap://[ldap host ip]:[ldap-port] -D <Admin DN> -w <Password> -e '!authzid=dn:<Impersonate user> -b o=novell -s one

プロキシ承認コントロールを使用して他のLDAP操作を実行するには、LDAP要求に2.16.840.1.113730.3.4.18 OIDを指定します。

プロキシ承認操作の監査

プロキシ承認操作を監査するために、OpenText eDirectoryは、DSE_IMPERSONATEという新しいイベントを提供します。