13.2 LDAPとOpenText eDirectoryの連携について
このセクションでは次について説明します。
13.2.1 LDAPからOpenText eDirectoryに接続する
すべてのLDAPクライアントが、次のいずれかのユーザタイプでOpenText eDirectoryにバインド(接続)されます。
-
［Public］ユーザ(匿名バインド)
-
プロキシユーザ(プロキシユーザ匿名バインド)
-
NDSまたはOpenText eDirectoryユーザ(NDSユーザバインド)
ユーザの認証に使用されるバインドタイプにより、LDAPクライアントがアクセスできる内容が決定されます。LDAPクライアントは、作成した要求をディレクトリに送信することにより、ディレクトリにアクセスします。LDAPクライアントがLDAP Services for OpenText eDirectoryを通じて要求を送信した場合、OpenText eDirectoryは、その中からLDAPクライアントが適切なアクセス権を持つ属性の要求だけを処理します。
たとえばLDAPクライアントが、読み込み権が必要なある属性値を要求したものの、その属性についてユーザに許可されているのが比較権だけである場合、この要求は拒否されます。
標準ログイン制限とパスワード制限は引き続き適用されます。ただし、制限はすべてLDAPの実行場所と関係します。時刻およびアドレス制限も適用されますが、アドレス制限はOpenText eDirectoryログインが実行された場所(この場合はLDAPサーバ)を基準に決定されます。
LDAPクライアントからの書き込みブロック接続のタイムアウトは、NDSD_NLDAP_WRITEBLOCK_TIMEOUT環境変数を使用して設定できます。この変数は、LDAPクライアントがOpenText eDirectoryサーバからデータを読み込むために、クライアントとサーバ間の接続が開いたままになる時間間隔を定義します。接続がブロックされ、LDAPクライアントが指定時間内にデータを読み込めない場合、接続は無効とみなされ、その後閉じられます。この値には、次の例に示すように、この変数の値を秒で指定する必要があります。
NDSD_NLDAP_WRITEBLOCK_TIMEOUT=<seconds>NDSD_NLDAP_WRITEBLOCK_TIMEOUT=60
デフォルト値は60秒です。
メモ:OpenText eDirectory 9.2.6以降では、NDSD_NLDAP_WRITEBLOCK_TIMEOUT環境変数はLDAPクライアントからの読み込みブロック接続と書き込みブロック接続の両方に適用できます。以前のバージョン(OpenText eDirectory 9.2.5)では、この変数は書き込みブロック接続にのみ適用されました。
［Public］ユーザとして接続する
匿名バインドは、ユーザ名またはパスワードを使用しない接続です。サービスで代理ユーザの使用が設定されていない場合、名前とパスワードが定義されていないLDAPクライアントでLDAP Services for OpenText eDirectoryにバインドすると、ユーザはOpenText eDirectoryに[Public]ユーザとして認証されます。
[Public]ユーザとは、非認証のOpenText eDirectoryユーザのことです。デフォルトでは、［Public］ユーザにはOpenText eDirectoryツリー内のオブジェクトのブラウズ権が割り当てられます。［Public］ユーザ用のデフォルトブラウズ権では、OpenText eDirectoryオブジェクトをブラウズすることはできますが、ほとんどのオブジェクト属性にアクセスすることはできません。
多くの場合、LDAPクライアントは、デフォルトの［Public］権だけでは不十分です。［Public］の権利は変更できますが、変更した権利はすべてのユーザに対して許可されることになります。この問題を解決するために、プロキシユーザ匿名バインドを使用することをお勧めします。詳細については、プロキシユーザとして接続するを参照してください。
［Public］ユーザによるオブジェクト属性へのアクセスを許可するには、[Public]ユーザを該当する(1つまたは複数の)コンテナのトラスティに設定し、適切なオブジェクト権および属性権を割り当てる必要があります。
プロキシユーザとして接続する
代理ユーザ匿名バインドは、OpenText eDirectoryユーザ名にリンクされた匿名接続です。プロトコルで代理ユーザの使用が設定されている場合、LDAPクライアントがLDAP for OpenText eDirectoryに匿名でバインドすると、ユーザはOpenText eDirectoryにより代理ユーザとして認証されます。LDAP Services for OpenText eDirectoryとOpenText eDirectoryの両方でユーザ名が設定されます。
通常、匿名バインドにはLDAPのポート389が使用されます。ただし、ポートはインストール時に手動で変更することができます。
次に、プロキシユーザ匿名バインドの概念について説明します。
-
匿名バインドを経由するLDAPクライアントアクセスは、すべてプロキシユーザオブジェクトを通して割り当てられます。
-
匿名バインドではLDAPクライアントからパスワードが提供されないので、プロキシユーザにnullパスワードを適用し、パスワード変更間隔などのパスワード制限を設定しないようにします。パスワードを強制的に有効期限切れにしたり、プロキシユーザにパスワードの変更を許可したりしないでください。
-
プロキシユーザオブジェクトのアドレス制限を設定すると、ユーザがログインできるロケーションを制限できます。
-
OpenText eDirectory内に代理ユーザオブジェクトを作成し、公開するOpenText eDirectoryオブジェクトに対する権利を割り当てる必要があります。デフォルトのユーザ権では、特定のオブジェクトと属性だけに対する読み込みアクセス権が許可されます。アクセスする必要がある各サブツリー内のすべてのオブジェクトと属性に対するプロキシユーザ読み込み権および検索権を割り当てます。
-
LDAP Services for OpenText eDirectoryを設定するLDAPグループオブジェクトの［一般］ページで、代理ユーザオブジェクトを有効化する必要があります。このため、1つのLDAPグループ内のすべてのサーバに対し、プロキシユーザオブジェクトは1つしか作成できません。詳細については、LDAPオブジェクトを環境設定するを参照してください。
-
プロキシユーザオブジェクトに対し、すべてのプロパティ(デフォルト)か、選択したプロパティの権利を許可できます。
プロキシユーザに対して選択したプロパティの権利だけを許可するには、次を実行します。
-
OpenText Identity Consoleのホームページで、［］タイルをクリックします。
-
［］をクリックします。
-
トラスティリストを表示するオブジェクトの名前を指定するか、［オブジェクトの検索］(
)を使用してオブジェクトを検索し、［］をクリックします。選択したオブジェクトに割り当てられているトラスティのリストが表示されます。
［トラスティの追加
］をクリックして、オブジェクトに新しいトラスティを割り当てます。リストからトラスティを選択し、
をクリックすると、トラスティを割り当てから削除できます。 -
必要に応じて、詳細を変更するトラスティを選択し、［］をクリックします。
-
［］画面で、必要に応じて権利を割り当てて、［］をクリックします。
-
［］画面で、［
］をクリックし、［］チェックボックスをオンにします。 -
代理ユーザに継承可能な権利を選択し、必要に応じて権利を割り当てます。
さらに継承可能な権利を追加したい場合は、ステップ6とステップ7を繰り返します。
リストからプロパティ名を選択して、
をクリックすると、割り当てからプロパティ名を削除できます。 -
［］をクリックし、［］をクリックします。
「リソースが正常に変更されました!」というメッセージが表示されます。
代理ユーザ匿名バインドを実装するには、OpenText eDirectory内に代理ユーザオブジェクトを作成し、そのユーザに適切な権利を割り当てる必要があります。アクセスする必要がある各サブツリー内のすべてのオブジェクトと属性に対するプロキシユーザ読み込み権および検索権を割り当てます。同じ代理ユーザ名を指定して、LDAP Services for OpenText eDirectory内で代理ユーザ名を有効化する必要もあります。
-
OpenText Identity Consoleのホームページで、［］タイルをクリックします。
-
［
］をクリックします。 -
［LDAPオブジェクトの作成］ページで、［］を指定し、［］を選択して、eDirectoryユーザオブジェクトの［］を検索します。
-
［］をクリックし、［］をクリックします。
Linuxでldapconfigユーティリティを使用する
たとえば、LDAP Search Referral UsageでLDAPサーバによるLDAP参照の処理方法を指定します。
-
システムプロンプトで、次のコマンドを入力します。
ldapconfig -s "LDAP:otherReferralUsage=1"
-
ユーザFDN(完全識別eDirectoryユーザ名)とパスワードを入力します。
NDSまたはOpenText eDirectoryユーザとして接続する
OpenText eDirectoryユーザバインドは、LDAPクライアントが完全なOpenText eDirectoryユーザ名とパスワードを使用して確立する接続です。OpenText eDirectoryユーザバインドはOpenText eDirectoryにより認証されます。LDAPクライアントは、そのOpenText eDirectoryユーザにアクセスが許可されているすべての情報にアクセスできます。
次に、OpenText eDirectoryユーザバインドの重要な概念について説明します。
-
OpenText eDirectoryユーザバインドは、LDAPクライアントに入力されたユーザ名とパスワードを使用してOpenText eDirectoryへの認証が行われます。
-
LDAPクライアントアクセスに使用するOpenText eDirectoryユーザ名とパスワードは、Novell ClientがOpenText eDirectoryにアクセスする場合も使用できます。
-
非TLS接続では、OpenText eDirectoryパスワードはLDAPクライアントとLDAP Services for eDirectoryの間の経路をクリアテキストデータとして転送されます。
-
クリアテキストパスワードが無効にされている場合は、非TLS接続上で転送されたユーザ名またはパスワードを含むOpenText eDirectoryバインド要求は、すべて拒否されます。
-
OpenText eDirectoryユーザパスワードの有効期限が切れた場合、そのユーザのOpenText eDirectoryバインド要求は拒否されます。
LDAPクライアントにOpenText eDirectory権を割り当てる
-
LDAPクライアントがOpenText eDirectoryにアクセスするときに使用するユーザ名のタイプを決定します。
-
［Public］ユーザ(匿名バインド)
-
プロキシユーザ(プロキシユーザ匿名バインド)
-
NDSユーザ(NDSユーザバインド)
詳細については、LDAPからOpenText eDirectoryに接続するを参照してください。
-
-
ユーザが1つの代理ユーザ、または複数のOpenText eDirectoryユーザ名を使用してLDAPにアクセスする場合は、LDAPを使用してこれらのユーザ名をOpenText eDirectoryに作成します。
-
LDAPクライアントが使用するユーザ名に、適切なOpenText eDirectory権を割り当てます。
ほとんどのユーザに割り当てられるデフォルトの権利では、ユーザ自身が持つオブジェクト以外にはアクセスできません。別のオブジェクトやその属性にアクセスするには、OpenText eDirectoryで割り当てられた権利を変更する必要があります。
LDAPクライアントからOpenText eDirectoryオブジェクトおよび属性へのアクセスが要求されると、OpenText eDirectoryは、LDAPクライアントのOpenText eDirectory識別情報に基づいて要求を受諾または拒否します。識別情報はバインド時に設定されます。