5.2. アカウントを作成してから一定時間、アカウントを自動的に無効にする
次の手順に従って、dc=example,dc=com
エントリーのアカウントが管理者が作成してから 60 日後に期限切れになるように設定します。
たとえば、アカウントの有効期限機能を使用して、外部ワーカーのアカウントが作成されてから一定時間ロックされるようにします。
手順
アカウントポリシープラグインを有効にします。
#
dsconf -D "cn=Directory Manager" ldap://server.example.com plugin account-policy enable
プラグイン設定エントリーを設定します。
#
dsconf -D "cn=Directory Manager" ldap://server.example.com plugin account-policy config-entry set "cn=config,cn=Account Policy Plugin,cn=plugins,cn=config" --always-record-login yes --state-attr createTimestamp --alt-state-attr 1.1 --spec-attr acctPolicySubentry --limit-attr accountInactivityLimit
コマンドは、以下のオプションを使用します。
-
--always-record-login yes
: ログイン時間のログを有効にします。これは、acctPolicySubentry
属性が設定されていない場合でも、サービスクラス (CoS) またはアカウントポリシーを持つロールを使用するために必要です。 -
--state-attr createTimestamp
: アカウントポリシープラグインがcreateTimestamp
属性の値を使用して、アカウントの有効期限が切れているかどうかを計算するように設定します。 -
--alt-state-attr 1.1
: 代替属性を使用してプライマリー属性が存在しないかどうかをチェックすることを無効にします。 -
--spec-attr acctPolicySubentry
:acctPolicySubentry
属性が設定されているエントリーにポリシーを適用するように Directory Server を設定します。この属性は、CoS エントリーで設定します。 -
--limit-attr accountInactivityLimit
: アカウントの有効期限ポリシーエントリーのaccountInactivityLimit
属性に最大経過時間を保存するように設定します。
-
インスタンスを再起動します。
#
dsctl instance_name restart
アカウントの有効期限ポリシーエントリーを作成します。
#
ldapadd -D "cn=Directory Manager" -W -H ldap://server.example.com -x
dn: cn=Account Expiration Policy,dc=example,dc=com objectClass: top objectClass: ldapsubentry objectClass: extensibleObject objectClass: accountpolicy accountInactivityLimit: 5184000 cn: Account Expiration PolicyaccountInactivityLimit
属性の値は、アカウントが作成されてから5184000
秒 (60 日) で期限切れになるように設定します。CoS テンプレートエントリーを作成します。
#
ldapadd -D "cn=Directory Manager" -W -H ldap://server.example.com -x
dn: cn=TemplateCoS,dc=example,dc=com objectClass: top objectClass: ldapsubentry objectClass: extensibleObject objectClass: cosTemplate acctPolicySubentry: cn=Account Expiration Policy,dc=example,dc=comこのテンプレートエントリーは、アカウントの有効期限ポリシーを参照します。
CoS 定義エントリーを作成します。
#
ldapadd -D "cn=Directory Manager" -W -H ldap://server.example.com -x
dn: cn=DefinitionCoS,dc=example,dc=com objectClass: top objectClass: ldapsubentry objectclass: cosSuperDefinition objectclass: cosPointerDefinition cosTemplateDn: cn=TemplateCoS,dc=example,dc=com cosAttribute: acctPolicySubentry default operational-defaultこの定義エントリーは CoS テンプレートエントリーを参照し、
acctPolicySubentry
属性が各ユーザーエントリーに表示され、値がcn=Account Expiration Policy,dc=example,dc=com
設定されます。
検証
createTimestamp
属性が 60 日以上前の値に設定されているdc=example,dc=com
エントリーに格納されているユーザーとしてディレクトリーに接続してみてください。#
ldapsearch -H ldap://server.example.com -x -D "uid=example,dc=example,dc=com" -W -b "dc=example,dc=com"
ldap_bind: Constraint violation (19) additional info: Account inactivity limit exceeded. Contact system administrator to reset.Directory Server がアクセスを拒否してこのエラーを返した場合、アカウントの有効期限が機能します。