付録A 高度な LDAP ログインモジュール：完全 LDAP 認証

LDAP サーバーにバインドするために利用する DN を定義します。定義済みの baseCtxDN および rolesCtxDN への読み取り／検索の権限を持つ DN です。

bindDN パスワードを定義します。jaasSecurityDomain を指定している場合は、このパスワードは暗号化可能です。

jaasSecurityDomain の JMX ObjectNameを定義します。これは、java.naming.security.principal を復号化する際に利用する jaasSecurityDomain です。このドメインの JaasSecurityDomain#encrypt64(byte[]) メソッドは、暗号化されたパスワードを返します。org.jboss.security.plugins.PBEUtils を使い、暗号化形式を生成することも可能です。

コンテキストの固定 DN を定義しユーザーロールを検索します。これは、実際のロールが実際に置かれている場所の識別名 (DN) ではなく、ユーザーロールが含まれているオブジェクトが置かれている場所の DN という点を考慮します (つまり、Active Directory では、ユーザーアカウントを持つ DN ということになります)。

認証ユーザーのコンテキストの場所を突き止めるために使う検索フィルターを定義します。ログインモジュールのコールバックから取得した通りの、入力ユーザー名／ユーザー DN は、{0} 表現を代入します。この代入動作は、標準のDirContext?.search(Name, String, Object[],SearchControls? cons) メソッドから来ています。一般的な検索フィルターの例は、(uid={0})です。

ユーザーとロール検索のタイムアウト時間をミリ秒で定義します (デフォルトは 10000 で、10 秒となっています)。

空の (length==0) パスワードが LDAP サーバーに渡された場合。LDAP サーバーは空のパスワードを無名ログインとして処理します。このプロパティを false に設定し、空のパスワードを受け付けないようにするか、true に設定し、LDAP サーバーが空のパスワードを認証できるようにします (デフォルトは、false)。

コンテキストの固定 DN でユーザーロールを検索します。これは、実際のロールが実際に置かれている場所の識別名 (DN) ではなく、ユーザーロールが含まれているオブジェクトが置かれている場所の DN という点を考慮します (例：Active Directory では、ユーザーアカウントを持つ DN ということになります)。

認証済みユーザーに紐付けられたロールの場所をつきとめるために利用する検索フィルターを定義します。ログインモジュールのコールバックから取得した入力ユーザ名／userDN はフィルター定義で {0} 表現を代入します。認証済み userDN は、フィルター定義で {1} を代入します。入力したユーザ名と一致する検索フィルターの例は、(member={0}) です。もう１つは、認証済みの userDN に一致する場合で、 (member={1}) となっています。

ロール名に該当するコンテキストのロール属性を定義します。roleAttributeIsDN プロパティが true に設定されている場合、このプロパティは、roleNameAttributeID 属性に対しクエリを行うコンテキストの DN となります。roleAttributeIsDN プロパティが false に設定されている場合、このプロパティは、ロール名の属性名となります。

ロール属性がロールオブジェクトあるいはロール名の完全な識別名を含むか定義します。 falseの場合、ロール名はユーザーのロール属性の値から取得します。trueの場合、ロール属性はロールオブジェクトの識別名を表します。ロール名は、該当オブジェクトのroleNameAttributeId 属性の値から取得します。特定のディレクトリスキーマでは (Microsoft Active Directory など)、ユーザーオブジェクトのロール (グループ) 属性は、簡易名ではなく DN としてロールオブジェクトに保存されます。このような場合、このプロパティは true に設定します。このプロパティのデフォルト値はfalse です。

ロール名に該当するコンテキストのロール属性を定義します。roleAttributeIsDN プロパティが true に設定されている場合、このプロパティを使いロールオブジェクトの属性を検索します。また、roleAttributeIsDN property が false に設定されている場合、このプロパティは無視されます。

再帰ロール検索を有効にします。ログインモジュールは、すでに追加済みのロールをトラッキングし、循環参照を処理します。

検索範囲を以下のいずれかに設定することができます (デフォルト値はSUBTREE_SCOPE)。

ユーザーとロール検索のタイムアウト時間をミリ秒で定義します (デフォルトは 10000 で、10 秒となっています)。