第24章 LDAP 認証

手順

1. LDAP 構造全体の読み取り権限があるユーザーを LDAP に作成します。

2. ldapsearch コマンドを使用して、LDAP サーバーへのクエリーが正常に実行できるかどうかをテストします。このツールは、Automation Controller のシステムコマンドラインからインストールでき、他の Linux および OSX システムを使用してもインストール可能です。

   例

   ldapsearch -x  -H ldap://win -D "CN=josie,CN=Users,DC=website,DC=com" -b "dc=website,dc=com" -w Josie4Cloud

   この例では、CN=josie,CN=users,DC=website,DC=com が接続ユーザーの識別名です。

   注記

   ldapsearch ユーティリティーは、Automation Controller とともに自動的にプリインストールされるわけではありません。ただし、openldap-clients パッケージからインストールできます。

3. ナビゲーションパネルから、Automation Controller UI の Settings を選択します。

4. Authentication オプションのリストで LDAP settings を選択します。

   LDAP サーバーごとに複数の LDAP 設定を行う必要はありませんが、このページから複数の LDAP サーバーを設定できます。そのように設定しない場合は、サーバーを Default のままにします。

   同等の API エンドポイントは、AUTH_LDAP_1_*、AUTH_LDAP_2_*、AUTH_LDAP_5_* のように AUTH_LDAP_* を繰り返し表示し、サーバーの割り当てを示します。

5. LDAP サーバーアドレスを入力または変更するには、Edit をクリックし、テキストフィールドに事前に入力されているものと同じ形式を使用して LDAP Server URI フィールドに入力します。

   注記

   複数の LDAP サーバーを指定するには、各サーバーをスペースまたはコンマで区切ります。 アイコンをクリックして、正しい構文とルールに準拠してください。

6. バインディングユーザーに使用するパスワードを LDAP Bind Password テキストフィールドに入力します。LDAP 変数の詳細は、Ansible Automation Hub 変数 を参照してください。

7. LDAP Group Type リストで、グループタイプをクリックして選択します。

   Automation Controller がサポートする LDAP グループタイプは、基盤となる django-auth-ldap ライブラリー を使用します。選択したグループタイプのパラメーターを指定するには、ステップ 15 を参照してください。

8. LDAP Start TLS は、デフォルトで無効になっています。LDAP 接続が SSL/TLS を使用していない場合に TLS を有効にするには、トグルを On に設定します。

9. LDAP Bind DN テキストフィールドに識別名を入力して、Automation Controller が LDAP サーバーへの接続 (バインド) に使用するユーザーを指定します。

   • 名前がキー sAMAccountName に保存されている場合、LDAP User DN Template は (sAMAccountName=%(user)s) から入力されます。Active Directory はユーザー名を sAMAccountName に保存します。OpenLDAP の場合、キーは uid で、行は (uid=%(user)s) になります。
10. LDAP Require Group フィールドに識別グループ名を入力して、当該グループ内のユーザーが Automation Controller にアクセスできるようにします。このとき、テキストフィールドに表示されているもの (CN=controller Users,OU=Users,DC=website,DC=com) と同じ形式を使用します。
11. LDAP Deny Group フィールドに識別グループ名を入力して、当該グループ内のユーザーが Automation Controller にアクセスできないようにします。このとき、テキストフィールドに表示されているものと同じ形式を使用します。

12. LDAP User Search フィールドに、認証時にユーザーを検索する場所を入力します。このとき、テキストフィールドに表示されているものと同じ形式を使用します。この例では、以下を使用します。

    [
    "OU=Users,DC=website,DC=com",
    "SCOPE_SUBTREE",
    "(cn=%(user)s)"
    ]

    最初の行では、LDAP ツリーの中でユーザーを検索する場所を指定します。上記の例では、DC=website,DC=com から開始して再帰的にユーザーの検索が実行されます。

    2 行目は、ユーザーを検索する範囲を指定します。

    • SCOPE_BASE: この値は、基本 DN でエントリーのみを検索して、このエントリーだけが返されるように指定する時に使用します。
    • SCOPE_ONELEVEL: この値は、基本 DN の 1 つ下のレベルにあるエントリーをすべて検索するように指定する時に使用します。ここでは、基本 DN や、基本 DN の 1 つ下のレベルよりも下のレベルにあるエントリーは検索には含めません。

    • SCOPE_SUBTREE: この値は、指定した基本 DN も含めて、全レベルの全エントリーを検索するように指定する際に使用します。

      3 行目は、ユーザー名を保存するキー名を指定します。

      複数の検索クエリーの場合、正しい構文は以下のとおりです。

      [
        [
        "OU=Users,DC=northamerica,DC=acme,DC=com",
        "SCOPE_SUBTREE",
        "(sAMAccountName=%(user)s)"
        ],
        [
        "OU=Users,DC=apac,DC=corp,DC=com",
        "SCOPE_SUBTREE",
        "(sAMAccountName=%(user)s)"
        ],
        [
        "OU=Users,DC=emea,DC=corp,DC=com",
        "SCOPE_SUBTREE",
        "(sAMAccountName=%(user)s)"
        ]
      ]

13. LDAP Group Search テキストフィールドで、検索するグループと検索方法を指定します。この例では、以下を使用します。

    [
    "dc=example,dc=com",
    "SCOPE_SUBTREE",
    "(objectClass=group)"
     ]

    • 最初の行は、グループを検索すべき基本 DN を指定します。
    • 2 行目は、ユーザーディレクティブと同じで、範囲を指定します。
    • 3 行目は、使用する LDAP において、グループオブジェクトの objectClass が何かを指定します。

14. LDAP User Attribute Map テキストフィールドに、ユーザー属性を入力します。この例では、以下を使用します。

    {
    "first_name": "givenName",
    "last_name": "sn",
    "email": "mail"
    }

    上記の例では、キー sn で姓によってユーザーを取得します。ユーザーに対して同じ LDAP クエリーを使用して、ユーザーがどのキーに保存されているかを判断できます。

    選択した LDAP Group Type に応じて、異なるパラメーターが LDAP Group Type Parameters フィールドで使用できます。LDAP_GROUP_TYPE_PARAMS は、Automation Controller によって kwargs に変換されて、選択した LDAP Group Type クラスに渡されるディクショナリーです。どの LDAP Group Type でも使用される共通パラメーターが 2 つあります。name_attr と member_attr です。name_attr のデフォルトは cn で、member_attr のデフォルトは member です。

    {"name_attr": "cn", "member_attr": "member"}

    特定の LDAP Group Type が必要とするパラメーターを確認するには、django_auth_ldap ドキュメントのクラス init パラメーターに関する箇所を参照してください。

15. LDAP User Flags by Group テキストフィールドにユーザープロファイルフラグを入力します。次の例では、LDAP ユーザーを「スーパーユーザー」および「監査人」として設定する構文を使用しています。

    {
    "is_superuser": "cn=superusers,ou=groups,dc=website,dc=com",
    "is_system_auditor": "cn=auditors,ou=groups,dc=website,dc=com"
    }

16. LDAP Organization Map および LDAP Team Map のマッピングフィールドへの入力に関する詳細は、LDAP 組織およびチームのマッピング セクションを参照してください。
17. Save をクリックします。