ユーザー管理および認証

手順

1. Server → Server Settings → Directory Manager メニューを開きます。
2. Directory Manager Password フィールドおよび Confirm Password フィールドに新規パスワードを入力します。
3. オプション: 別のパスワードストレージスキームを設定します。
4. Save をクリックします。

手順

1. 新しいパスワードハッシュを生成します。以下に例を示します。

   # pwdhash -D /etc/dirsrv/slapd-instance_name new_password
   {PBKDF2_SHA256}AAAgABU0bKhyjY53NcxY33ueoPjOUWtl4iyYN5uW...

   Copy to Clipboard Toggle word wrap

   Directory Server インスタンス設定へのパスを指定したため、pwdhash ジェネレーターは自動的に nsslapd-rootpwstoragescheme 属性で設定されたパスワードストレージスキームを使用して、新しいパスワードを暗号化します。

2. Directory Server インスタンスを停止します。

   # dsctl instance_name stop

   Copy to Clipboard Toggle word wrap

3. /etc/dirsrv/slapd-instance_name/dse.ldif ファイルを編集し、nsslapd-rootpw 属性を、最初のステップで表示された値に設定します。

   nsslapd-rootpw: {PBKDF2_SHA256}AAAgABU0bKhyjY53NcxY33ueoPjOUWtl4iyYN5uW...

   Copy to Clipboard Toggle word wrap

4. Directory Server インスタンスを開始します。

   # dsctl instance_name start

   Copy to Clipboard Toggle word wrap

手順

1. 現在の設定を表示します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com pwpolicy get
   Global Password Policy: cn=config
   ------------------------------------
   passwordstoragescheme: PBKDF2_SHA256
   passwordChange: on
   passwordMustChange: off
   passwordHistory: off
   passwordInHistory: 6
   ...

   Copy to Clipboard Toggle word wrap

2. パスワードポリシー設定を調整します。使用可能な設定の完全なリストを表示するには、次のように入力します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com pwpolicy set --help

   Copy to Clipboard Toggle word wrap

   たとえば、パスワード構文の確認を有効にしてパスワードの最小の長さを 12 文字に設定するには、次のコマンドを実行します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com pwpolicy set --pwdchecksyntax on --pwdmintokenlen 12

   Copy to Clipboard Toggle word wrap

3. パスワードポリシーのアカウントロックアウト機能を有効にします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com pwpolicy set --pwdlockout on

   Copy to Clipboard Toggle word wrap

手順

1. Database → Password Policies → Global Policy メニューを開きます。

2. グローバルパスワードポリシーを設定します。次のカテゴリーのパラメーターを設定できます。

   • 一般的な設定 (パスワードストレージスキームなど)
   • パスワードの有効期限設定 (パスワードが失効するまでの期間など)
   • アカウントのロックアウト設定 (何回ログインに失敗したらアカウントをロックするかなど)

   • パスワード構文の設定 (パスワードの最小長など)

     ツールヒントとパラメーターの cn=config エントリーで対応する属性名を表示するには、設定の上にマウスのカーソルを合わせます。

3. Save をクリックします。

手順

1. サブツリーまたはユーザーエントリーにローカルパスワードポリシーがすでに存在しているかどうかを確認します。以下に例を示します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com localpwp get "ou=People,dc=example,dc=com"
   Enter password for cn=Directory Manager on ldap://server.example.com:
   Error: No password policy was found for this entry

   Copy to Clipboard Toggle word wrap

   ローカルポリシーが存在しない場合は、これを作成します。

   • subtree パスワードポリシーを作成するには、以下を実行します。

     # dsconf -D "cn=Directory Manager" ldap://server.example.com localpwp addsubtree "ou=People,dc=example,dc=com"

     Copy to Clipboard Toggle word wrap

   • user パスワードポリシーを作成するには、以下を実行します。

     # dsconf -D "cn=Directory Manager" ldap://server.example.com localpwp adduser "uid=user_name,ou=People,dc=example,dc=com"

     Copy to Clipboard Toggle word wrap

2. ローカルポリシー属性を設定します。使用可能な設定の完全なリストを表示するには、次のように入力します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com localpwp set --help

   Copy to Clipboard Toggle word wrap

   たとえば、パスワードの有効期限を有効にし、パスワードの最大有効期間を 14 日 (1209600 秒) に設定するには、以下を実行します。

   • subtree パスワードポリシー:

     # dsconf -D "cn=Directory Manager" ldap://server.example.com localpwp set --pwdexpire on --pwdmaxage 1209600 "ou=People,dc=example,dc=com"

     Copy to Clipboard Toggle word wrap

   • user パスワードポリシー:

     # dsconf -D "cn=Directory Manager" ldap://server.example.com localpwp set --pwdexpire on --pwdmaxage 1209600 "uid=user_name,ou=People,dc=example,dc=com"

     Copy to Clipboard Toggle word wrap

手順

1. インスタンスを選択します。
2. Database メニューを開きます。
3. 左側のリストから、Password Policies 設定の下にある Local Policies を選択します。
4. Local Password Policies 設定ページで、Create A Policy タブを選択します。
5. Password Policy Type フィールドで、Subtree Policy または User Policy を選択します。
6. Target DN フィールドで、ポリシーを適用するエントリーの識別名 (DN) を設定します。

7. ローカルポリシー属性を設定します。たとえば、パスワードの有効期限を有効にするには、パスワードの最大有効期間を 14 日間 (1209600 秒) に設定し、パスワードの最小長を 10 文字に設定します。

   1. Show Expiration Settings を展開して Enforce Password Expiration をオンにし、Password Expiration Time を 1209600 に設定します。
   2. Show Syntax Settings を展開して Enable Password Syntax Checking をオンにし、Minimum Length を 10 に設定します。
8. Create New Policy をクリックします。

手順

1. インスタンスを選択します。
2. Database メニューを開きます。

3. すべてのローカルポリシーを無効にするか、特定のローカルポリシーを削除します。

   1. すべてのローカルパスワードポリシーを無効にするには:

      1. Password Policies の下の Global Policy 設定を選択し、Allow Local Password Policies のチェックを外します。

      2. Save ボタンをクリックして設定を適用します。

         これにより、Directory Server は cn=config エントリーの nsslapd-pwpolicy-local パラメーターを off に設定します。

   2. 特定のローカルポリシーを削除するには、Password Policies の下の Local Policies 設定を選択し、オプションメニュー (⋮) を使用してローカルポリシーを削除します。

手順

1. passwordTrackUpdateTime パラメーターを on に設定します。

   • グローバルポリシーの場合は、次を実行します。

     # dsconf -D "cn=Directory Manager" ldap://server.example.com pwpolicy set --pwdtrack on

     Copy to Clipboard Toggle word wrap

   • サブツリーまたはユーザーレベルのポリシーの場合は、次を実行します。

     # dsconf -D "cn=Directory Manager" ldap://server.example.com localpwp set "ou=people,dc=example,dc=com" --pwdtrack on

     Copy to Clipboard Toggle word wrap

1. 管理者がパスワードをリセットした場合にユーザーによるパスワードの変更を必須にします。
2. グローバルパスワードポリシーで一時パスワード機能を設定します。

手順

1. 管理者によるパスワードリセット後のユーザーによるパスワード変更を必須に設定します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com pwpolicy set --pwdmustchange on

   Copy to Clipboard Toggle word wrap

2. グローバルパスワードポリシーで一時パスワードルールを設定します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com pwpolicy set --pwptprmaxuse 5 --pwptprdelayexpireat 3600 --pwptprdelayvalidfrom 60

   Copy to Clipboard Toggle word wrap

   この例では、以下が適用されます。

   • --pwptprmaxuse オプションで、ユーザーが一時パスワードを使用できる最大試行回数を 5 に設定しています。
   • --pwptprdelayexpireat オプションで、一時パスワードの有効期限が切れるまでの時間を 3600 秒 (1 時間) に設定しています。
   • --pwptprdelayvalidfrom オプションで、管理者がユーザーのパスワードをリセットしてから 60 秒後に、--pwptprdelayexpireat で設定した時間が開始するように設定しています。

手順

1. 管理者によるパスワードリセット後のユーザーによるパスワード変更を必須に設定します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com pwpolicy set --pwdmustchange on

   Copy to Clipboard Toggle word wrap

2. 一時パスワードルール設定を設定します。

   • 既存のサブツリーの場合:

     # dsconf -D "cn=Directory Manager" ldap://server.example.com localpwp addsubtree --pwptprmaxuse 5 --pwptprdelayexpireat 3600 --pwptprdelayvalidfrom 60 ou=People,dc=example,dc=com

     Copy to Clipboard Toggle word wrap

   • 既存のユーザーの場合:

     # dsconf -D "cn=Directory Manager" ldap://server.example.com localpwp adduser --pwptprmaxuse 5 --pwptprdelayexpireat 3600 --pwptprdelayvalidfrom 60 uid=example,ou=People,dc=example,dc=com

     Copy to Clipboard Toggle word wrap

   この例では、以下のようになります。

   • --pwptprmaxuse オプションで、ユーザーが一時パスワードを使用できる最大試行回数を 5 に設定しています。
   • --pwptprdelayexpireat オプションで、一時パスワードの有効期限が切れるまでの時間を 3600 秒 (1 時間) に設定しています。
   • --pwptprdelayvalidfrom オプションで、管理者がユーザーのパスワードをリセットしてから 60 秒後に、--pwptprdelayexpireat で設定した時間が開始するように設定しています。

手順

1. パスワード管理者ロールの権限を定義する ACI を作成します。

   # ldapmodify -D "cn=Directory Manager" -W -p 389 -h server.example.com -x << EOF
   dn: ou=people,dc=example,dc=com
   changetype: modify
   add: aci
   aci: (targetattr="userPassword || nsAccountLock || userCertificate || nsSshPublicKey")(targetfilter="(objectClass=nsAccount)")(version 3.0; acl "Enable user password reset"; allow (write, read)(groupdn="ldap:///cn=password_admins,ou=groups,dc=example,dc=com");)
   EOF

   Copy to Clipboard Toggle word wrap

2. パスワード管理者ロールをグループに割り当てます。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com pwpolicy set --pwdadmin "cn=password_admins,ou=groups,dc=example,dc=com"

   Copy to Clipboard Toggle word wrap

手順

1. パスワード管理者ロールの権限を定義する ACI を作成します。

   # ldapmodify -D "cn=Directory Manager" -W -p 389 -h server.example.com -x << EOF
   dn: ou=people,dc=example,dc=com
   changetype: modify
   add: aci
   aci: (targetattr="userPassword || nsAccountLock || userCertificate || nsSshPublicKey")(targetfilter="(objectClass=nsAccount)")(version 3.0; acl "Enable user password reset"; allow (write, read)(groupdn="ldap:///cn=password_admins,ou=groups,dc=example,dc=com");)
   EOF

   Copy to Clipboard Toggle word wrap

2. パスワード管理者ロールをグループに割り当てます。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com localpwp set ou=people,dc=example,dc=com --pwdadmin "cn=password_admins,ou=groups,dc=example,dc=com"

   Copy to Clipboard Toggle word wrap

手順

1. Server → Server Settings → Advanced Settings に移動します。
2. Allow Anonymous Access パラメーターを off に設定します。
3. Save をクリックします。

手順

1. パスワードポリシー属性のレプリケーションを有効にします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com pwpolicy set --pwdisglobal="on"

   Copy to Clipboard Toggle word wrap

2. 一部レプリケーションを使用する場合は、レプリケーションから除外される属性のリストを表示します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com repl-agmt get --suffix "dc=example,dc=com" example-agreement | grep "nsDS5ReplicatedAttributeList"

   Copy to Clipboard Toggle word wrap

   デフォルト設定を使用すると、出力は表示されず、Directory Server はアカウントロックアウト属性をレプリケートします。ただし、次の例のように、除外される属性のリストが返された場合は、属性リストを確認してください。

   nsDS5ReplicatedAttributeList: (objectclass=*) $ EXCLUDE accountUnlockTime passwordRetryCount retryCountResetTime example1 example2

   Copy to Clipboard Toggle word wrap

   この例では、accountUnlockTime、passwordRetryCount、および retryCountResetTime ロックアウトポリシー属性が、その他の 2 つの属性とともにレプリケーションから除外されます。

3. 直前のコマンドの出力にアカウントロックアウト属性が表示された場合は、ロックアウトポリシー属性以外の属性のみを含めるように一部レプリケーション設定を更新します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com repl-agmt set --suffix "dc=example,dc=com" --frac-list "example1 example2" example-agreement

   Copy to Clipboard Toggle word wrap

検証

1. 無効なパスワードを使用して、ユーザーとして検索の実行を試みます。

   # ldapsearch -H ldap://server.example.com -D "uid=example,ou=People,dc=example,dc=com" -w "invalid-password" -b "dc=example,dc=com" -x
   ldap_bind: Invalid credentials (49)

   Copy to Clipboard Toggle word wrap

2. ユーザーの passwordRetryCount 属性を表示します。

   # ldapsearch -H ldap://server.example.com -D "cn=Directory Manager" -W -b "uid=example,ou=People,dc=example,dc=com" -x passwordRetryCount
   ...
   dn: uid=example,ou=People,dc=example,dc=com
   passwordRetryCount: 1

   Copy to Clipboard Toggle word wrap
3. レプリケーショントポロジー内の別のサーバーで直前のコマンドを実行します。passwordRetryCount 属性の値が同じである場合、Directory Server は属性をレプリケートします。

手順

1. Referential Integrity プラグインを有効にします。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com plugin referential-integrity enable

   Copy to Clipboard Toggle word wrap

2. プラグインがユーザーエントリーの削除または名前変更操作を検索するサブツリーを設定します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com plugin referential-integrity set --entry-scope "ou=People,dc=example,dc=com"

   Copy to Clipboard Toggle word wrap

3. オプション: エントリースコープでサブツリーを除外します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com plugin referential-integrity set --exclude-entry-scope "ou=Special Users,ou=People,dc=example,dc=com"

   Copy to Clipboard Toggle word wrap

   このコマンドは、ou=Special Users,ou=People,dc=example,dc=com サブツリーで実行される削除または名前変更操作を無視するようにプラグインを設定します。

4. プラグインがグループエントリーを更新するサブツリーを設定します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com plugin referential-integrity set --container-scope "ou=Groups,dc=example,dc=com"

   Copy to Clipboard Toggle word wrap

5. デフォルトでは、プラグインは member、uniqueMember、owner、および seeAlso 属性の整合性更新を実行します。他の属性を指定するには、次のように入力します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com plugin referential-integrity set --membership-attr attribute_1 attribute_2

   Copy to Clipboard Toggle word wrap

   このコマンドは、プラグインの設定内の属性のリストをオーバーライドすることに注意してください。属性を追加する場合は、現在の属性リストと追加の属性リストを --membership-attr オプションに渡します。

6. オプション: デフォルトでは、Directory Server は参照整合性チェックを即座に実行します。遅延を設定する場合は、次のように入力します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com plugin referential-integrity set --update-delay=5

   Copy to Clipboard Toggle word wrap

   このコマンドは、参照整合性チェックを 5 秒遅延させます。複数のサプライヤーで Referential Integrity を有効にした場合、遅延を設定するとレプリケーションループやディレクトリーの不整合が発生する可能性があることに注意してください。このような問題を回避するには、トポロジー内の 1 つのサプライヤーでのみプラグインを有効にします。

7. インスタンスを再起動します。

   # dsctl instance_name restart

   Copy to Clipboard Toggle word wrap

検証

1. Referential Integrity プラグインの設定を表示します。

   # dsconf -D "cn=Directory Manager" ldap://server.example.com plugin referential-integrity show
   ...
   nsslapd-plugincontainerscope: ou=Groups,dc=example,dc=com
   nsslapd-pluginentryscope: ou=People,dc=example,dc=com
   ...
   referint-membership-attr: member
   referint-membership-attr: uniquemember
   referint-membership-attr: owner
   referint-membership-attr: seeAlso
   referint-update-delay: 0
   ...

   Copy to Clipboard Toggle word wrap

2. グループの member 属性を表示して、グループのメンバーをリストします。

   # ldapsearch -D "cn=Directory Manager" -W -H ldap://server.example.com -b "cn=demoGroup,ou=Groups,dc=example,dc=com" member
   ...
   member: uid=demoUser,ou=People,dc=example,dc=com

   Copy to Clipboard Toggle word wrap

3. uid=demoUser,ou=People,dc=example,dc=com ユーザーを削除します。

   # dsidm -D "cn=Directory manager" ldap://server.example.com -b "dc=example,dc=com" user delete "uid=demoUser,ou=People,dc=example,dc=com"

   Copy to Clipboard Toggle word wrap

4. グループのメンバーを再度表示します。

   # ldapsearch -D "cn=Directory Manager" -W -H ldap://server.example.com -b "cn=demoGroup,ou=People,dc=example,dc=com" member

   Copy to Clipboard Toggle word wrap

   uid=demoUser,ou=People,dc=example,dc=com がグループのメンバーとしてリストされなければ、Referential Integrity プラグインは機能しています。

手順

1. Plugins → Referential Integrity に移動します。
2. プラグインを有効にします。
3. Actions → Restart Instance をクリックします。
4. Plugins → Referential Integrity を再度移動します。
5. デフォルトでは、プラグインは member、uniqueMember、owner、および seeAlso 属性の整合性更新を実行します。他の属性を指定するには、Membership Attribute フィールドのリストを更新します。
6. Entry Scope フィールドを、プラグインがユーザーエントリーの削除または名前変更の操作を検索するサブツリーの DN に設定します。
7. オプション: エントリースコープの下にあるサブツリーを除外するには、Exclude Entry Scope フィールドにサブツリーの DN を入力します。
8. Container Scope フィールドを、プラグインがグループエントリーを更新するサブツリーの DN に設定します。
9. オプション: Referential Integrity のログファイルへのパスを更新します。Directory Server はこのファイルを使用してディレクトリー内の変更を追跡します。dirsrv ユーザーには、この場所への書き込み権限が必要であることに注意してください。

10. オプション: デフォルトでは、Directory Server は参照整合性チェックを即座に実行します。遅延を設定する場合は、Update Delay フィールドで設定します。

    複数のサプライヤーで Referential Integrity を有効にした場合、遅延を設定するとレプリケーションループやディレクトリーの不整合が発生する可能性があることに注意してください。このような問題を回避するには、トポロジー内の 1 つのサプライヤーでのみプラグインを有効にします。

11. Save Config をクリックします。

検証

1. グループの member 属性を表示して、グループのメンバーをリストします。

   # ldapsearch -D "cn=Directory Manager" -W -H ldap://server.example.com -b "cn=demoGroup,ou=Groups,dc=example,dc=com" member
   ...
   member: uid=demoUser,ou=People,dc=example,dc=com

   Copy to Clipboard Toggle word wrap

2. uid=demoUser,ou=People,dc=example,dc=com ユーザーを削除します。

   # dsidm -D "cn=Directory manager" ldap://server.example.com -b "dc=example,dc=com" user delete "uid=demoUser,ou=People,dc=example,dc=com"

   Copy to Clipboard Toggle word wrap

3. グループのメンバーを再度表示します。

   # ldapsearch -D "cn=Directory Manager" -W -H ldap://server.example.com -b "cn=demoGroup,ou=People,dc=example,dc=com" member

   Copy to Clipboard Toggle word wrap

   uid=demoUser,ou=People,dc=example,dc=com がグループのメンバーとしてリストされなければ、Referential Integrity プラグインは機能しています。