InterSystems SQL の基礎 ： LDAP との統合

InterSystems IRIS インスタンスの選択

この手順を使用するには、稼動中の InterSystems IRIS インスタンスが必要です。選択肢としては、いくつかのタイプのラインセンス付与されたインスタンスおよび無料の評価版インスタンスがあります。操作しているシステムでインスタンスをホストする必要はありません (ただし、相互のネットワーク・アクセスが必要です)。操作を実行するインスタンスをまだ用意できていない場合にインスタンスのタイプ別の導入方法の詳細を確認するには、"InterSystems IRIS の基礎 ： IDE の接続" の "InterSystems IRIS の導入Opens in a new tab" を参照してください。

LDAP 構成の定義

InterSystems IRIS は、LDAP 構成を使用して、LDAP サーバへの接続とユーザの検索に必要な情報を定義します。新しい LDAP 構成を作成して定義するには、以下の手順に従います。

1. ブラウザで、インスタンスの管理ポータルを開きます。使用する URL は、選択したインスタンスのタイプによって異なります。適切な URL の特定に関する詳細は、"InterSystems IRIS の基礎 ： IDE の接続" の "InterSystems IRIS 接続情報" を参照してください。

2. [セキュリティ LDAP 構成] ページ ([システム管理]→[セキュリティ]→[システム・セキュリティ]→[LDAP 構成]) に移動します。

3. [新規 LDAP 構成の作成] をクリックします。

4. [名前] フィールドに、irisldap.com と入力します。

5. [有効] チェック・ボックスにチェックを付けます。

6. [LDAP サーバが Windows アクティブ・ディレクトリ・サーバ] チェック・ボックスにチェックを付けます。

7. 以下のフィールドを定義します。

   フィールド	内容
   LDAPドメイン名 (Windows のみ)	irisldap.intersystems.com
   LDAP ホスト名	irisldapdc1.irisldap.intersystems.com
   検索に使用する LDAP ユーザ名	(Windows) sidLDAPQuery (UNIX®) CN=sidLDAPQuery,CN=Users,DC=irisldap,DC=intersystems,DC=com
   LDAPユーザ名パスワード	[新規パスワード入力] を選択して、パスワード Cach3L3arning を入力します。
   検索に使用するLDAPベースDN	DC=irisldap,DC=intersystems,DC=com
   LDAPユニーク検索属性	sAMAccountName

8. [LDAPセッションに TLS/SSL 暗号化を使用する] チェック・ボックスにチェックを付けます。

9. [ロール/ルーチン/ネームスペースに LDAP グループを使用する] チェック・ボックスにチェックを付けます。

10. [ユニバーサル・グループ承認を許可] チェック・ボックスにチェックを付けます。

11. [保存] をクリックします。

新しい LDAP ドメインの既定としての選択

LDAP サーバの LDAP 構成を定義したら、新しい LDAP 構成を既定の LDAP ドメインとして設定する必要があります。LDAP サーバを既定として設定するには、以下の手順に従います。

1. 管理ポータルのホーム・ページから、[システムワイドセキュリティパラメータ] ページ ([システム管理]→[セキュリティ]→[システム・セキュリティ]→[システムワイドセキュリティパラメータ]) に移動します。

2. [デフォルトセキュリティドメイン] ドロップダウン・リストから [irisldap.com] を選択します。

3. [保存] をクリックします。

LDAP 認証の有効化

LDAP サーバの使用は、InterSystems IRIS で利用可能な認証方法の 1 つです。InterSystems IRIS のインスタンス全体で LDAP 認証を有効にする必要があるだけでなく、LDAP ユーザがアクセスする必要がある InterSystems IRIS の各コンポーネントでも LDAP 認証を有効にする必要があります。以下の手順では、インスタンス、およびこの InterSystems IRIS セキュリティ・ツアーに必要なコンポーネントに対して LDAP 認証を有効にします。

1. 管理ポータルのホーム・ページで、[認証/ウェブセッションオプション] ページ ([システム管理]→[セキュリティ]→[システム・セキュリティ]→[認証/ウェブセッションオプション]) に移動します。

2. [LDAP認証を許可] チェック・ボックスにチェックを付けます。

3. [保存] をクリックします。

4. 管理ポータルのホーム・ページで、[ウェブ・アプリケーション] ページ ([システム管理]→[セキュリティ]→[アプリケーション]→[ウェブ・アプリケーション]) に移動します。

   このページで、この InterSystems IRIS ツアーでアクセスする管理ポータルの各セクションに対して LDAP 承認を有効にします。管理ポータルの他のセクションでは LDAP 承認は有効にならないので、これらのセクションを操作しようとした場合、ログインするよう求められることがあります。

5. [/csp/sys] をクリックして、Web アプリケーションの構成に使用するページを表示します。

6. [セキュリティの設定] セクションで、[許可された認証方法] フィールドの [LDAP] チェック・ボックスにチェックを付けます。

7. [保存] をクリックします。

8. 設定が保存されたら、[キャンセル] をクリックして [Web アプリケーション] ページに戻ります。

9. [/csp/sys/sec] をクリックします。この Web アプリケーションには、管理ポータルのセキュリティに関するページが含まれます。

10. [セキュリティの設定] セクションで、[許可された認証方法] フィールドの [LDAP] チェック・ボックスにチェックを付けます。

11. [保存] をクリックします。

12. 設定が保存されたら、[キャンセル] をクリックして [Web アプリケーション] ページに戻ります。

13. [/csp/sys/op] をクリックします。この Web アプリケーションには、管理ポータルの操作に関するページが含まれます。

14. [セキュリティの設定] セクションで、[許可された認証方法] フィールドの [LDAP] チェック・ボックスにチェックを付けます。

15. [保存] をクリックします。

LDAP サーバのセキュリティ証明書のインストール

LDAP サーバは TLS で保護されているため、サーバに正常にアクセスするには、セキュリティ証明書をインストールする必要があります。必要な証明書の内容が含まれる .cer ファイルを作成してから、そのファイルをセキュリティ証明書として指定します。

User1 ： オペレータ

user1 としてログインして InterSystems IRIS を操作するには、以下の手順に従います。

1. 現在 InterSystems IRIS にログインしている場合は、管理ポータルの左上にある [ログアウト] リンクをクリックします。

2. 以下の認証情報を使用して InterSystems IRIS にログインします。

   ユーザ名 ： user1

   パスワード ： Password1

   User1 は intersystems-Role-%Operator グループのメンバです。このグループに基づいて、user1 が認証されると、InterSystems IRIS の %Operator ロールに関連付けられている特権が自動的に付与されます。

3. 管理ポータルのホーム・ページで、[データベース] ページ ([システムオペレーション]→[データベース]) に移動します。%Operator ロールに関連付けられているページの操作が LDAP サーバによって許可されているため、User1 はこのページにアクセスできます。

4. 管理ポータルのホーム・ページで、[システム管理] メニューが無効になっていることを確認します。%Operator ロールに適切な特権が含まれていないため、User1 はこのメニューにアクセスできません。

User2 ： マネージャ

user2 としてログインして InterSystems IRIS を操作するには、以下の手順に従います。

1. 管理ポータルの上部にある [ログアウト] リンクをクリックします。

2. 以下の認証情報を使用して InterSystems IRIS にログインします。

   ユーザ名 ： user2

   パスワード ： Password2

   User2 は intersystems-Role-%Manager グループのメンバです。このグループに基づいて、user2 が認証されると、%Manager ロールに関連付けられている特権が自動的に付与されます。これらの特権には、user1 が表示できなかったページへのアクセスが含まれていることがわかります。

3. 管理ポータルのホーム・ページで、[ユーザ] ページ ([システム管理]→[セキュリティ]→[ユーザ]) に移動します。user1 は [システム管理] メニューにアクセスできなかったことを思い出してください。

4. ユーザのリストから user1 をクリックします。

5. [ロール] タブをクリックします。

   %Operator が user1 に割り当てられている唯一のロールであることを確認します。

6. [キャンセル] をクリックして [ユーザ] ページに戻ります。

7. ユーザのリストに user3 のエントリがないことを確認します。user3 がログインした際にこのユーザが自動的に作成され、その際に InterSystems IRIS は LDAP サーバを使用してこのユーザを認証します。

User3 ： 開発者

user3 としてログインして InterSystems IRIS を操作するには、以下の手順に従います。

1. 管理ポータルの上部にある [ログアウト] リンクをクリックします。

2. 以下の認証情報を使用して InterSystems IRIS にログインします。

   ユーザ名 ： user3

   パスワード ： Password3

   User3 は intersystems-Role-%Developer グループのメンバです。このグループに基づいて、user3 が認証されると、%Developer ロールに関連付けられている特権が自動的に付与されます。

3. このユーザは [システムエクスプローラ] メニューにはアクセスできますが、[システムオペレーション] メニューおよび [システム管理] メニューにはアクセスできないことを確認します。user3 に割り当てられている %Developer ロールは、user1 と user2 に割り当てられているロールとは異なる特権を持っていることがわかります。このため、user3 は自身のユーザ・プロファイルを表示できません。[ユーザ] ページは [システム管理] メニューにあるためです。

ユーザの自動作成

最初に新しいユーザを作成することなく InterSystems IRIS にログインしました。ユーザが LDAP サーバで見つかった場合、これらのユーザは InterSystems IRIS によって自動的に作成されます。以下の図は、このプロセスを示しています。

1. 管理ポータルの上部にある [ログアウト] リンクをクリックします。

2. 以下の認証情報を使用して InterSystems IRIS にログインします。

   ユーザ名 ： user2

   パスワード ： Password2

   user2 は %Manager ロールを持っていることを思い出してください。

3. 管理ポータルのホーム・ページで、[ユーザ] ページ ([システム管理]→[セキュリティ]→[ユーザ]) に移動します。

4. リストで user3 を見つけ、その行にある [削除] をクリックします。

   この時点で、user3 (%Developer ロールを持つユーザ) は InterSystems IRIS 内に存在しなくなります。

5. 管理ポータルの上部にある [ログアウト] リンクをクリックします。

6. 以下の認証情報を使用して InterSystems IRIS にログインします。

   ユーザ名 ： user3

   パスワード ： Password3

   user3 は LDAP サーバ上には引き続き存在しているため、InterSystems IRIS でこのユーザ・アカウントを削除しても、再度 user3 として InterSystems IRIS にログインできます。

7. 必要であれば、InterSystems IRIS に再度ログインして、user3 がユーザになっていることを確認できます。

   1. 管理ポータルの上部にある [ログアウト] リンクをクリックします。

   2. 以下の認証情報を使用して InterSystems IRIS にログインします。

      ユーザ名 ： user2

      パスワード ： Password2

   3. 管理ポータルのホーム・ページで、[システム管理] > [セキュリティ] > [ユーザ] に移動します。先ほどユーザ・アカウントを削除したにもかかわらず、user3 がリストに存在しています。