Identity as a Service:OpenLDAP への接続

ステップ 1: OpenLDAP への接続

1. IDaaS コンソールにログオンし、対象の IDaaS インスタンスを選択して、コンソールへのアクセス 列の コンソールへのアクセス をクリックします。

2. [IdPs] > インバウンド > [インバウンドの追加] をクリックします。 次に、一覧から OpenLDAP を探し、追加 をクリックします。

3. OpenLDAP のバインド パネルで、次の設定を構成します。

   • 表示名：ユーザーが IDaaS にログオンまたは使用する際に表示される名前です。

   • ネットワークエンドポイント：IDaaS のみがこの LDAP サーバーにリクエストを送信できるようにする場合は、サーバーに IP アドレス許可リストを設定します。共有エンドポイントは、共有された固定パブリックアウトバウンド IP アドレスを使用します。専用エンドポイントは、専用のカスタムプライベートアウトバウンド IP アドレスとパブリックアウトバウンド IP アドレスを使用します。専用エンドポイントを使用すると、IDaaS はプライベートネットワーク経由で Alibaba Cloud Virtual Private Cloud (VPC) にアクセスできるため、パブリックポートを公開することなく LDAP サーバーに到達できます。詳細については、「ネットワークアクセスエンドポイント」をご参照ください。

   • サーバーアドレス：LDAP がデプロイされているサーバーのアドレス。LDAP はデフォルトでポート 389 を使用します (例: 127.0.0.1:389)。LDAPS または StartTLS が有効な場合は、通常ポート 636 が使用されます。

   • [Enable StartTLS]：このオプションを有効にすると、接続のセキュリティが大幅に向上します。ベストプラクティスとして、これを有効にすることを推奨します。手順については、「LDAP セキュリティ設定」をご参照ください。

   • 管理者アカウント：IDaaS は、この LDAP 管理者アカウントを使用して、データ同期または委任された認証のために LDAP 情報を読み取ります。このアカウントには、少なくとも読み取り権限が必要であり、DN フォーマット (cn=admin,ou=Technical Department,dc=example,dc=com) で指定する必要があります。

   • 管理者パスワード：このアカウントのログオンパスワードです。

ステップ 2: シナリオの選択

ステップ 2 では、LDAP で実装するシナリオを選択します。

この例の各フィールドの推奨設定値は次のとおりです。

• 定期完全同期: 有効、委任された認証: 有効、自動パスワード更新: 無効

• User ObjectClass： posixAccount,inetOrgPerson,top

• Organization ObjectClass： organizationalUnit,top

• User Logon Identity： uid,cn,mail

• ユーザーフィルター：空のままにします (必要に応じて、例：(cn=China*) のように指定できます)

ステップ 3: フィールドマッピング

IDaaS に既存のデータがすでに含まれている場合は、LDAP ユーザーと組織を IDaaS アカウントと組織にバインドする必要がある場合があります。また、LDAP ユーザーの特定のフィールド値を IDaaS アカウントデータとして使用することもできます。たとえば、LDAP ユーザーの携帯電話番号を IDaaS アカウントのアカウント名として使用します。これらの場合は、ステップ 3 でフィールドマッピングを設定します。マッピング識別子機能を使用するには、手動でクリックして有効にします (例: 携帯電話番号フィールド)。

フィールドマッピングページの [Account] セクションのデフォルトマッピングは次のとおりです。

• [Account Name] (user.username) → [Uid] (識別子として設定可能)

• [Display name] (user.displayName) → [Common Name]

• [Phone Region] (user.phoneRegion) → 式 "86"

• [Phone] (user.phoneNumber) → [Telephone Number] ([Mapping Identifier] を有効にする)

[Organization] セクションのマッピング: [Organization Name] (organizationalUnit.organizationalUnitName) → [Organizational Unit]。各行で、追加 または [Remove] をクリックしてマッピングを調整できます。設定が完了したら、[Save and Sync] または [Save Only] をクリックします。

ObjectClass

LDAP では、ObjectClass は属性のコレクションであり、すべてのオブジェクトは ObjectClass を持つ必要があります。ObjectClass を使用して、オブジェクトをユーザー、組織、またはコンピューターとして定義できます。たとえば、特定のオブジェクトについて、IDaaS でユーザーObjectClass を "inetOrgPerson,posixAccount,top" に設定すると、IDaaS はそのオブジェクトをユーザーとして扱います。LDAP でオブジェクトを編集すると、ObjectClass を表示できます。

ログオン ID

ユーザーが LDAP 委任された認証を使用して IDaaS にログオンする際、IDaaS はこれらの属性に基づいて LDAP でユーザーを検索し、パスワードを照合します。パスワードが正しい場合、ユーザーは IDaaS へのログオンが許可されます。

一般的に、ログオンには uid、携帯電話番号、メールアドレス、従業員 ID などの属性を使用できます。必要に応じて、接続の作成時または[委任認証]でそれらを定義できます。複数の属性を使用する場合は、属性が一意であり、同じ LDAP ユーザーに対応していることを確認してください。そうでない場合、ユーザーは委任認証を使用できません。

Filter

概要

複数の異なる組織に分散している一部のユーザーのみを IDaaS に同期する必要がある場合は、filter ステートメントをカスタマイズできます。条件を満たすユーザーのみが IDaaS に同期されます。デフォルトでは、filter ステートメントに ObjectClass の AND 条件が含まれています。[詳細の表示] をクリックして、完全なステートメントを表示できます。

完全なフィルター ステートメントは (&(objectclass=posixAccount)(objectclass=inetOrgPerson)(objectclass=top)(cn=cn*)) で、(cn=cn*) が追加されたカスタム フィルター条件です。

LDAP Admin ツールで filter ステートメントを入力して、フィルタリング結果を確認できます。

たとえば、[カスタム] タブの [フィルター] ボックスに (cn=xiaoyan) を入力して [開始] をクリックすると、検索結果に uid=xiaoyan,ou=Organization Name,dc=company,dc=cn などの一致するユーザー DN レコードが表示されます。

以下は、LDAP フィルターの一般的な構文とステートメントです。

一般的な構文

一般的なステートメント

ベース DN の取得

さらに、ノードのパスが変更されると、ノードの ベース DN も変更されます。ノードパスの調整による LDAP データ同期エラーを回避するため、IDaaS で同期ソースノードの ベース DN を設定する際、IDaaS はノードのフィンガープリントとして、そのノードの ObjectGuid も使用します。ノードの ベース DN が変更され、ノードフィンガープリントと一致しなくなると、データ同期はブロックされます。ソースノードを再設定すると、同期は再開されます。

定期完全同期

LDAP は増分クエリをサポートしていないため、IDaaS は毎朝早い時刻に LDAP ソースノード配下のすべてのデータの完全同期を自動的に実行します。データをすぐに同期するには、完全同期を手動でトリガーします。

IDaaS には、組み込みの同期保護機能があります。30 を超えるアカウントまたは 10 を超える組織を削除する必要がある場合、同期タスクは自動的にキャンセルされ、データの誤削除を防ぎます。企業の規模に基づいて同期保護設定を調整してください。