LDAP の使用

LDAP 承認の使用法

LDAP を使用した認証の実行に加え、Caché では LDAP 承認がサポートされます。Caché で LDAP 承認を実行する場合、LDAP グループを使用することをお勧めします。

LDAP グループは、LDAP または Active Directory サーバを使用してユーザへ特権を割り当てる方法です。グループの名前は、ローカル LDAP サーバ上のスキーマにより指定されます。通常、ローカル LDAP 管理者がその名前を定義します (ただし、Caché では、以下で説明する事前定義された名前構造が使用されます)。各グループには、一意に識別できる識別名 (DN) があります。さらに、LDAP グループに各ユーザを割り当てることができ、次にそのグループにより、Caché のロール、ルーチン、およびネームスペースへのユーザのアクセスが決定されます(LDAP サーバ上でこれらグループを定義する際、それらはディストリビューション・グループとしてではなく、セキュリティ・グループとして作成される必要があります)。

Caché´ では、事前定義されたグループ名の構造が 3 つサポートされています。これらの構造はそれぞれ、グループの接頭語を使用します。接頭語は intersystems-Role-、intersystems-Namespace-、および intersystems-Routine- であり、intersystems-Role-role-name、intersystems-Namespace-namespace-name、および intersystems-Routine-routine-name の形式でグループ名を一致させます。また、これらの名前により、それぞれ初期ロール、初期ネームスペース、および初期ルーチンのグループが指定されます。この機能を使用するには、名前がこの構造に従っている必要があります (名前では、大文字と小文字が区別されません)。

例えば、ユーザが以下のようにグループを定義したとします。

CN=intersystems-Role-Admin,OU=Groups,OU=Brasilia,DC=mysite,DC=com
CN=intersystems-Role-%Operator,OU=Groups,OU=Brasilia,DC=mysite,DC=com
CN=intersystems-Namespace-USER,OU=Groups,OU=Brasilia,DC=mysite,DC=com
CN=intersystems-Routine-INTEGRIT,OU=Groups,OU=Brasilia,DC=mysite,DC=com 

この場合、ログイン後、ユーザは Admin および %Operator ロールを取得し、既定のネームスペースは USER、既定のルーチンは INTEGRIT になります。

ユーザがこの形式の名前を持つどのグループにも属していない場合、Caché によりユーザのその属性の値が "" に設定されます。したがって、ユーザが intersystems-Routine- をグループ名の最初の部分として定義するグループのメンバでない場合、Caché によりそのユーザの起動ルーチンが "" に設定されます (また、Caché によりユーザはプログラマ・モードで配置されます)。ユーザのロールを指定するグループにユーザが割り当てられているが、ユーザがログインしているインスタンスでそのロールが定義されていない場合、ユーザはそのインスタンスでそのロールを持たないことになります。

例えば、ユーザが以下のグループに属しているとします。

intersystems-Role-Admin
intersystems-Role-Application1
intersystems-Role-Application2

Application2 ロールが、ユーザがログインするシステムで定義されていない場合、Caché では Admin および Application1 ロールのみが割り当てられます。

Caché における LDAP の構成情報の指定

Cachéで LDAP 認証を使用するには、まず LDAP サーバとやり取りするように Caché を構成します。これには、以下の操作の実行に必要な情報が含まれます。

• LDAP サーバに接続し、クエリを実行します。

• 認証するユーザについて必要な情報を取得します。

この情報はすべて、管理ポータルの [LDAPオプション] ページ ([システム管理] > [セキュリティ] > [システム・セキュリティ] > [LDAPオプション]) で指定します。

このページが初めて表示されるときは、[LDAP認証を許可] フィールドのみが表示されます。このフィールドにチェックを付けると、Caché インスタンスと LDAP サーバの接続に関する構成情報のフィールドがすべて表示されます (既定では False です)。標準セットのフィールドと、カスタマイズするフィールドがあります。Caché が LDAP サーバに接続すると、その情報に関するさまざまなフィールドを参照します。エンド・ユーザも同様の動作を行えます。フィールドは以下のとおりです。

• [LDAP サーバは Windows Active Directory サーバ] — Windows のみ。LDAP サーバが Windows Active Directory サーバであるかどうかを指定します (既定では True です)。

• [LDAPドメイン名] — Windows のみ。LDAP サーバがあるドメインの名前を指定します。このフィールドは、Windows Active Directory サーバの場合のみ編集可能になります。このフィールドには、現在の LDAP サーバの DNS 名の IPアドレスに基づいた値が入力されています。

• [LDAP ホスト名] — LDAP サーバが動作しているホストの名前 (複数可) を指定します。ホスト名の複雑さは、未修飾のホスト名から、ポート番号を持つ完全修飾ホスト名まで多岐にわたります。ホスト名の必要な形式は、その構成により異なります。このフィールドには、現在の LDAP サーバの DNS 名の IPアドレスに基づいた値が入力されています。

  複数のホスト名を指定する場合は、名前を空白で区切ります。LDAP サーバが特定のポートを使用するように構成されている場合、ホスト名に “:portname” を追加してそれを指定できます。一般的には、ポートは指定せず、以下のように、LDAP 機能で既定のポートを使用するようにします。

  ldapserver.example.com
  ldapserver.example.com ldapbackup.example.com
  

• LDAP 検索情報 — オペレーティング・システムにより異なります。

  • [検索に使用するLDAPユーザ名] — Windows のみ。初期接続を確立し、LDAP 検索の実行に使用するために LDAP サーバに提供されるユーザ名です。このユーザは “検索ユーザ” とも呼ばれます。

    検索ユーザには、LDAP データベース全体の読み取り許可が必要です。検索ユーザの LDAP データベースへのアクセスは遮られないようにすることが重要です。例えば、これを Windows 上で実現する場合、User cannot change password と Password never expires 属性を設定し、Account expires 属性の値を Never に設定します。

    LDAP データベースの検索の詳細は、“LDAP データベースの検索” を参照してください。

  • [検索に使用するLDAPDN] — UNIX® のみ。初期接続を確立し、LDAP 検索の実行に使用するために LDAP サーバに提供されるユーザの識別名 (DN) です。このユーザは “検索ユーザ” とも呼ばれます。

    検索ユーザには、LDAP データベース全体の読み取り許可が必要です。検索ユーザの LDAP データベースへのアクセスは遮られないようにすることが重要です。例えば、ユーザのオペレーティング・システム・アカウントは、以下のように設定する必要があります。

    • ユーザがアカウントのパスワードを変更できない

    • パスワードの有効期限を無期限にする

    • アカウントの有効期限を無期限にする

    例えば、検索ユーザが “ldapsearchuser” の場合、識別名は以下のようになります。

    uid=ldapsearchuser,ou=People,dc=example,dc=com 
    

    LDAP データベースの検索の詳細は、“LDAP データベースの検索” を参照してください。

• [LDAP ユーザ名のパスワード] — 最初の接続に使用するアカウントに関連付けられたパスワードを指定します。

• [検索に使用するLDAPベースDN] — ディレクトリ・ツリーの中で検索を開始する位置を指定します。通常、DC=intersystems,DC=com などのドメイン・コンポーネントを使用して指定します。

• [LDAPユニーク検索属性] — 各レコードの一意の識別要素を指定します。これにより、適切な検索が行われます。LDAP データベースの検索の詳細は、“LDAP データベースの検索” を参照してください。

• [LDAP セッションに TLS/SSL 暗号化を使用する] — Caché サーバと LDAP サーバ間で渡されるデータが TLS/SSL 暗号化で保護されるか指定します (既定では False です)。

• [TLS/SSL証明書ファイル] — UNIX® のみ。必要に応じて、サーバ証明書の認証に使用される TLS/SSL 証明書 (PEM 形式) を含むファイルの場所を指定します。Windows の場合、“Windows での証明書ファイルの指定” を参照してください。

• [ロール、ルーチン、ネームスペースで LDAP グループを使用する] — ユーザのロール、ルーチン、およびネームスペースが、ユーザのグループ・メンバシップから取得されるか指定します(既定では True です)。グループ・メンバシップから取得されない場合、ユーザの LDAP レコードの属性フィールドから取得されます。グループの使用を選択することで、他のフィールドを有効または無効にできます (詳細は後続の各フィールドを参照してください)。

  Note:

  承認には LDAP 属性 (登録されている LDAP プロパティを含む) ではなく、LDAP グループの使用をお勧めします。既存のコードがある、または登録されているプロパティを使用する必要がある場合、詳細は “登録されている LDAP プロパティ使用のための LDAP サーバの構成” セクションを参照してください。

• [入れ子になったグループでロール、ルーチン、ネームスペースを検索する] (LDAP グループが選択されている場合にのみ有効で、Active Directory にのみ関連) — 検索でユーザの入れ子になったグループがすべて返されるかどうかを指定します。入れ子になったグループの詳細は、“入れ子になったグループの使用” セクションを参照してください。

• [コメント属性を取得するためのユーザ属性] — 値がユーザの Comment プロパティのソースである属性を指定します。このプロパティについては、“ユーザ” の章の "ユーザのプロパティ" セクションで説明しています。

• [フルネームを取得するためのユーザ属性] — 値がユーザの Full name プロパティのソースである属性を指定します。このプロパティについては、“ユーザ” の章の "ユーザのプロパティ" セクションで説明しています。

• [デフォルトネームスペースを取得するためのユーザ属性] (LDAP グループが選択されている場合は無効) — 値がユーザの Startup namespace プロパティのソースである属性を指定します。Caché ユーザのこのプロパティについては、“ユーザ” の章の "ユーザのプロパティ" のセクションに説明があります。また、この LDAP プロパティについては、“登録されている LDAP プロパティ” のセクションに説明があります。

• [デフォルトルーチンを取得するためのユーザ属性] (LDAP グループが選択されている場合は無効) — 値がユーザの Tag^Routine プロパティのソースである属性を指定します。Caché ユーザのこのプロパティについては、“ユーザ” の章の "ユーザのプロパティ" のセクションに説明があります。また、この LDAP プロパティについては、“登録されている LDAP プロパティ” のセクションに説明があります。

• [ロール取得のためのユーザ属性] (LDAP グループが選択されている場合は無効) — その値によってユーザの割り当て先のロールを決定する属性を指定します。この属性は LDAP 複数値属性として指定し、作成する必要があります。Caché ユーザのロールの詳細は、ユーザの [ユーザ編集] ページの [ロール] タブを参照してください。この LDAP プロパティについては、“登録されている LDAP プロパティ” のセクションに説明があります。

• [各ユーザに取得するLDAP属性] — 値がアプリケーション固有の変数のソースである属性を指定します。これにより、アプリケーション・コードで Security.UsersOpens in a new tab クラスの Get メソッドを使用してこの情報が返されます。

Windows での証明書ファイルの指定

Windows では、サーバ証明書の認証に使用される TLS/SSL 証明書 (PEM 形式) を含むファイルの場所を指定して、安全な LDAP 接続を確立するには、Microsoft Certificate ServicesOpens in a new tab を使用します。

LDAP データベースの検索

Caché が検索ユーザとして LDAP サーバへの接続を確立したら、次にターゲット・ユーザに関する情報を取得します。これを実行するために、Caché は、ログイン時に指定されたユーザ名を LDAP Unique search attribute に対する LDAP データベース内の値と照合して確認します (多くの場合、この属性名は Windows LDAP サーバでは “sAMAcccountName”、UNIX® LDAP サーバでは “uid” になります)。

LDAP Unique search attribute を使用してユーザを検索する場合のユーザ名の形式は、Caché インスタンスと LDAP サーバの両方のオペレーティング・システムに依存します。

• Windows から Windows へ接続する場合は、単に “testuser” などのユーザ・ログイン名を使用できます。

• その他の接続では、ユーザの完全 DN (識別名) を含める必要があります。UNIX® から Windows LDAP サーバに接続する場合は、大文字と小文字が区別されます。次に例を示します。

  • UNIX® から Windows に接続する場合、ユーザ名の形式は CN=testuser,OU=Users,OU=Cambridge のようになります。

  • あらゆるオペレーティング・システムから UNIX® に接続する場合、ユーザ名の形式は uid=testuser,ou=people のようになります。

Caché によりユーザが検索されると、属性情報が取得されます。Caché により、Caché LDAP 構成フィールド (“Caché における LDAP の構成情報の指定” で説明しています) 内の名前を持つすべての属性に関する情報が取得され、各属性に関連付けられたすべての値が取得されます。 Caché では、Caché LDAP 構成フィールド内でユーザに指定されたすべての属性に関連付けられているすべての値が取得されることに注意してください。サブセットのみを取得するように構成することはできません。