OpenSSO と連携するように Microsoft Active Directory を設定する場合は、定義済みのプロパティーを Active Directory で定義されたプロパティーに対応づける必要があります。これを属性マッピングと呼びます。Active Directory をデータストアとしてレルムに追加するときに定義する必要がある属性は、次のとおりです。
接続する LDAP サーバーの名前を入力します。形式は hostname.domainname:portnumber です。
host:portnumber エントリを複数入力した場合、リストの先頭にあるホストへの接続が試みられます。リスト内の次のエントリへの接続が試みられるのは、現在のホストへの接続が失敗した場合だけです。
現在接続されている LDAP サーバーへの認証時に OpenSSO が使用する DN 名を指定します。このバインド用 DN 名を持つユーザーは、「LDAPv3 プラグインでサポートされるタイプおよび操作」属性に設定された正しい追加/変更/削除権限を持っている必要があります。
現在接続されている LDAP サーバーへの認証時に OpenSSO が使用する DN パスワードを指定します。
パスワードを確認します。
このデータストアリポジトリのマッピング先となる DN。これが、このデータストア内で実行されるすべての操作のベース DN になります。
これを有効にした場合、OpenSSO は HTTPS プロトコルを使ってプライマリサーバーに接続します。
接続プール内の接続の初期数を指定します。接続プールを使用すると、新しい接続を毎回作成する必要がなくなります。
使用可能な接続の最大数を指定します。
1 回の検索操作で返されるエントリの最大数を指定します。この制限値に達すると、Directory Server は検索要求に一致するすべてのエントリを返します。
1 回の検索要求に割り当てられる秒数の最大値を指定します。この制限値に達すると、Directory Server はその時点で検索要求に一致しているすべての検索エントリを返します。
このオプションを有効にすると、ある LDAP サーバーが別の LDAP サーバーを参照している場合に、その参照先のサーバーも自動的に検索対象となります。
LDAPv3 リポジトリを実装するクラスファイルの場所を指定します。
これにより、フレームワークが認識している共通属性をネイティブデータストアへマッピングすることが可能になります。たとえば、フレームワークが inetUserStatus に基づいてユーザーの状態を判断している場合に、ネイティブデータストアが実際には userStatus を使用している可能性があります。この属性定義では大文字と小文字が区別されます。デフォルト値は次のとおりです。
employeeNumber=distinguishedName
iplanet-am-user-alias-list=objectGUID
mail=userPrincipalName
portalAddress=sAMAccountName
telephonenumber=displayName
uid=sAMAccountName
この LDAP サーバー上で許可される (実行可能な) 操作を指定します。この LDAPv3 リポジトリプラグインでサポートされている操作のみがデフォルトで指定されています。次に示すのは、LDAPv3 リポジトリプラグインでサポートされている操作です。
エージェント — 読み取り、作成、編集、削除
グループ — 読み取り、作成、編集、削除
レルム — 読み取り、作成、編集、削除、サービス
ユーザー — 読み取り、作成、編集、削除、サービス
使用する LDAP サーバーの設定や作業に応じて上記のリストから不要なアクセス権を削除することはできますが、その他のアクセス権を追加することはできません。
設定する LDAPv3 リポジトリプラグインが Sun Directory Server のインスタンスを指している場合は、タイプ ロール のアクセス権を追加できます。そうでない場合、ほかのデータストアがロールをサポートしていない可能性があるため、このアクセス権は追加できない場合があります。タイプ「ロール」のアクセス権は次のとおりです。
ロール — 読み取り、作成、編集、削除
LDAPv3 リポジトリのサポートタイプとしてユーザーが設定されている場合、そのユーザーで読み取り、作成、編集、および削除のサービス操作が可能です。つまり、ユーザーがサポートタイプの場合、読み取り、編集、作成、および削除操作によって、アイデンティティーリポジトリにあるユーザーエントリの読み取り、編集、作成、および削除を行えます。user=service 操作では、OpenSSO サービスからユーザーエントリの属性にアクセスできます。加えて、サービスがユーザーの所属するレルムまたはロールに割り当てられていれば、ユーザーは動的サービス属性にアクセスできます。
ユーザーは、割り当てられた任意のサービスでユーザー属性を管理することもできます。ユーザーの操作としてサービスが設定されている場合 (user=service)、すべてのサービス関連操作がサポートされます。これらの操作には、assignService、unassignService、getAssignedServices、getServiceAttributes、removeServiceAttributes、および modifyService があります。
LDAPv3 プラグインエントリの検索範囲を定義します。範囲は次のいずれかにする必要があります。
SCOPE_BASE – ベース DN のみを検索します。
SCOPE_ONE – ベース DN の下にあるエントリのみを検索します。
SCOPE_SUB (デフォルト) - ベース DN とそのサブツリー内にあるすべてのエントリを検索します。
このフィールドは、ユーザーに対して検索を行うための属性タイプを定義します。たとえば、ユーザーの DN が uid=user1, ou=people, dc=example, dc=com である場合は、このフィールドに uid を指定します。
ユーザーエントリの検索に使用する検索フィルタを指定します。
ユーザーのオブジェクトクラスを指定します。ユーザー作成時に、このユーザーオブジェクトクラスのリストがユーザーの属性リストに追加されます。
ユーザーに関連付けられた属性のリストを定義します。このリストに含まれていないユーザー属性の読み取りや書き込みは許可されません。これらの属性では大文字と小文字が区別されます。オブジェクトクラスと属性スキーマをここで定義する前に、それらが Directory Server 内で定義されている必要があります。
ユーザーの作成時に必要となる属性を指定します。この属性で使用する構文は次のとおりです。
DestinationAttributeName=SourceAttributeName
ソース属性名を指定しないと、ユーザー ID (uid) がデフォルトになります。次に例を示します。
cn sn=givenNameこの場合、ユーザープロファイルを作成するには、cn と sn の両方が必要です。cn には uid という名前の属性の値が設定され、sn には givenName という名前の属性の値が設定されます。
ユーザーがアクティブかどうかを示す属性の名前を指定します。
この属性値は、ユーザーの作成時にユーザーに割り当てられます。ユーザーがアクティブである場合の Active Directory の値は 544 です。ユーザーがアクティブでない場合の Active Directory の値は 546 です。
Active Directory では、このフィールドは使用されません。
このフィールドは、グループに対して検索を行うための属性タイプを定義します。デフォルトは cn です。
グループエントリの検索に使用する検索フィルタを指定します。デフォルトは、(objectclass=groupOfUniqueNames) です。
グループが特定のコンテナ内に存在している場合、そのグループコンテナのネーミング属性を指定します。それ以外の場合、この属性は空白のままにしておきます。たとえば、グループ DN cn=group1,ou=groups,dc=iplanet,dc=com が ou=groups 内に存在している場合、グループコンテナのネーミング属性は ou になります。
グループコンテナの値を指定します。たとえば、グループ DN cn=group1,ou=groups,dc=iplanet,dc=com がコンテナ名 ou=groups 内に存在している場合、グループコンテナの値は groups になります。
グループのオブジェクトクラスを指定します。グループ作成時に、このグループオブジェクトクラスのリストがグループの属性リストに追加されます。
グループに関連付けられた属性のリストを定義します。このリストに含まれていないグループ属性の読み取りや書き込みは許可されません。これらの属性では大文字と小文字が区別されます。オブジェクトクラスと属性スキーマをここで定義する前に、それらが Directory Server 内で定義されている必要があります。
DN が属するすべてのグループの名前をその値に持つ属性の名前を指定します。デフォルトは memberOf です。
このグループに属する DN を値に持つ属性の名前を指定します。デフォルトは uniqueMember です。
このグループに属するメンバーに解決される LDAP URL を値に持つ属性の名前を指定します。デフォルトは memberUrl です。
ユーザーが特定のピープルコンテナ内に存在している場合、そのピープルコンテナのネーミング属性を指定します。ユーザーが特定のピープルコンテナ内に存在していない場合、このフィールドは空白のままにしておきます。
ピープルコンテナの値を指定します。デフォルトは people です。
レルムの認証モジュールモードが「データストア」に設定されている場合は、このデータストアでユーザー、エージェントの両方またはいずれかのアイデンティティータイプを認証できることを指定します。
この値は、現在使用されていません。
持続検索に使用するベース DN を定義します。LDAPv3 サーバーの中には、ルートサフィックスレベルでの持続検索しかサポートしないものもあります。
ディレクトリサーバーのエントリに対する特定の変更を返すフィルタを定義します。データストアは、定義されたフィルタに一致する変更のみを受け取ります。
持続検索に使用される範囲を定義します。範囲は次のいずれかにする必要があります。
SCOPE_BASE – ベース DN のみを検索します。
SCOPE_ONE – ベース DN の下にあるエントリのみを検索します。
SCOPE_SUB (デフォルト) - ベース DN とそのサブツリー内にあるすべてのエントリを検索します。
持続検索を再起動するまでの最大アイドル時間を定義します。1 より大きい値を指定する必要があります。1 以下の値を指定した場合、接続のアイドル時間にかかわらず検索が再起動されます。
OpenSSO がロードバランサとともに配備されている場合、一部のロードバランサは、指定された時間アイドル状態が続くとタイムアウトします。その場合は、ロードバランサに指定された時間よりも小さい値を「再起動前の持続検索の最大アイドル時間」に設定してください。
「再試行する LDAPException エラーコード」に指定されたエラーコードが発生した場合の、持続検索操作の最大再試行回数を定義します。
各再試行間の待機時間を指定します。これは持続検索接続にのみ適用されます。
持続検索操作の再試行を起動するエラーコードを指定します。この属性は持続検索にのみ適用されます。すべての LDAP 操作に適用されるわけではありません。
これを有効にすると、データストアから取得したデータを OpenSSO でキャッシュすることができます。
キャッシュに格納されたデータが削除されるまでの最大時間を指定します。値は秒単位で定義します。
キャッシュの最大サイズを指定します。この値が大きいほど格納できるデータも多くなりますが、消費されるメモリーも増大します。値はバイト単位で定義します。