第3章 ユーザー管理および認証

前提条件

• ou=groups,dc=example,dc=com の親エントリーが存在する。

手順

• groupOfNames オブジェクトクラスを使用して cn=simple_group グループを作成するには、次を実行します。

  # dsidm <instance_name> -b "dc=example,dc=com" group create --cn "simple_group"
  Successfully created simple_group

  Copy to Clipboard Toggle word wrap

  dsidm group create コマンドは、ou=group サブエントリーにグループのみを作成することに注意してください。別のエントリーにグループを作成する場合は、ldapmodify ユーティリティーを使用します。

• groupOfUniqueNames オブジェクトクラスを使用して cn=unique_members_group グループを作成するには、次を実行します。

  # ldapmodify -D "cn=Directory Manager" -W -H ldap://server.example.com -x
  dn: cn=unique_members_group,ou=groups,dc=example,dc=com
  changetype: add
  objectClass: top
  objectClass: groupOfUniqueNames
  cn: unique_members_group
  description: A static group with unique members
  
  adding new entry "cn=unique_members_group,ou=groups,dc=example,dc=com"

  Copy to Clipboard Toggle word wrap

検証

• groupOfNames オブジェクトクラスのグループをリスト表示するには、dsidm group list コマンドを使用します。

  # dsidm --basedn "dc=example,dc=com" <instance_name> group list
  simple_group

  Copy to Clipboard Toggle word wrap

• dsidm uniquegroup list コマンドを使用して、メンバーが一意のグループをリスト表示します。

  # dsidm --basedn "dc=example,dc=com" <instance_name> uniquegroup list
  unique_members_group

  Copy to Clipboard Toggle word wrap

前提条件

• ou=groups,dc=example,dc=com の親エントリーが存在する。
• Web コンソールのインスタンスにログインするパーミッションがある。Web コンソールへのロギングの詳細は、Web コンソールを使用したディレクトリーサーバーへのロギング を参照してください。

検証

• 接尾辞ツリーで新しく作成されたグループエントリーを展開します。

前提条件

• グループエントリーが存在する。
• ユーザーエントリーが存在する。

手順

• groupOfNames オブジェクトクラスを持つ静的グループにメンバーを追加するには、グループエントリーの member 属性に値としてユーザー識別名 (DN) を追加します。

  # ldapmodify -D "cn=Directory Manager" -W -H ldap://server.example.com -x
  dn: cn=simple_group,ou=groups,dc=example,dc=com
  changetype: modify
  add: member
  member: uid=jsmith,ou=people,dc=example,dc=com
  
  modifying entry "cn=simple_group,ou=groups,dc=example,dc=com"

  Copy to Clipboard Toggle word wrap

  このコマンドは、uid=jsmith ユーザーを cn=simple_group グループに追加します。

• groupOfUniqueNames オブジェクトクラスを持つ静的グループにメンバーを追加するには、グループエントリーの uniqueMember 属性に値としてユーザー識別名 (DN) を追加します。

  # ldapmodify -D "cn=Directory Manager" -W -H ldap://server.example.com -x
  dn: cn=unique_members_group,ou=groups,dc=example,dc=com
  changetype: modify
  add: uniqueMember
  uniqueMember: uid=ajonson,ou=people,dc=example,dc=com
  
  modifying entry "cn=unique_members_group,ou=groups,dc=example,dc=com"

  Copy to Clipboard Toggle word wrap

  このコマンドは、uid=ajonson ユーザーを cn=unique_members_group グループに追加します。

検証

• グループのメンバーをリスト表示します。

  # ldapsearch -xLL -D "cn=Directory Manager" -W -b dc=example,dc=com "(cn=simple_group)"
  
  dn: cn=simple_group,ou=Groups,dc=example,dc=com
  objectClass: top
  objectClass: groupOfNames
  objectClass: nsMemberOf
  cn: simple_group
  member: uid=jsmith,ou=people,dc=example,dc=com
  member: uid=mtomson,ou=people,dc=example,dc=com

  Copy to Clipboard Toggle word wrap

前提条件

• グループエントリーが存在する。
• ユーザーエントリーが存在する。
• Web コンソールでインスタンスにログインしている。Web コンソールへのロギングの詳細は、Web コンソールを使用した Directory Server へのロギング を参照してください。

検証

• cn=unique_members_group,ou=groups,dc=example,dc=com グループエントリーを展開し、エントリーの詳細で追加されたユーザーを見つけます。

• レプリケーショントポロジーの MemberOf プラグイン

  レプリケーショントポロジーでは、MemberOf プラグインを 2 つの方法で管理できます。

  • トポロジー内のすべてのサプライヤーサーバーとコンシューマーサーバーで MemberOf プラグインを有効にします。この場合、すべてのレプリカ合意でユーザーエントリーの memberOf 属性をレプリケーションから除外する必要があります。

    属性の除外の詳細は、部分レプリケーション内の属性の管理 を参照してください。

  • トポロジー内のすべてのサプライヤーサーバーでのみ MemberOf プラグインを有効にします。これを実行するには、以下を行います。

    • レプリカ合意ですべての書き込みが有効なサプライヤーに対する memberOf 属性のレプリケーションを無効にする必要があります。

      属性の除外の詳細は、部分レプリケーション内の属性の管理 を参照してください。

    • レプリカ合意内のすべてのコンシューマーレプリカに対して、memberOf 属性のレプリケーションを有効にする必要があります。
    • コンシューマーレプリカの MemberOf プラグインを無効にする必要があります。

• 分散データベースを備えた MemberOf プラグイン

  ディレクトリーデータベースの設定 で説明されているように、ディレクトリーのサブツリーを個別のデータベースに保存できます。デフォルトでは、MemberOf プラグインはグループと同じデータベース内に保存されているユーザーエントリーのみを更新します。すべてのデータベースでユーザーを更新するには、memberOfAllBackends パラメーターを on に設定する必要があります。memberOfAllBackends パラメーターの設定の詳細は、Web コンソールを使用した各サーバーでの MemberOf プラグインの設定 を参照してください。

• memberOfGroupAttr.グループエントリーからポーリングするメンバーシップ属性を定義します。memberOfGroupAttr 属性は多値です。したがって、プラグインは複数のタイプのグループを管理できます。デフォルトでは、プラグインは member 属性をポーリングします。
• memberOfAttr.メンバーのユーザーエントリーで作成および管理するメンバーシップ属性を定義します。デフォルトでは、プラグインはユーザーエントリーに memberOf 属性を追加します。

前提条件

• レプリケーショントポロジー内のすべてのサーバーで MemberOf プラグインが有効化されている。詳細は、MemberOf プラグインの有効化 を参照してください。

前提条件

• レプリケーショントポロジー内のすべてのサーバーで MemberOf プラグインが有効化されている。詳細は、MemberOf プラグインの有効化 を参照してください。

• MemberOf プラグインを有効にする前に、グループにグループメンバーを追加した。
• ユーザーエントリーの memberOf 属性を手動で編集した。
• memberOf 属性がすでにあるサーバーに、新しいユーザーエントリーをインポートまたは複製した。

前提条件

• レプリケーショントポロジー内のすべてのサーバーで MemberOf プラグインが有効化されている。詳細は、MemberOf プラグインの有効化 を参照してください。

手順

• たとえば、dc=example,dc=com エントリーとサブエントリーの memberOf 値を更新するには、次を実行します。

  # dsconf <instance_name> plugin memberof fixup "dc=example,dc=com"
  Attempting to add task entry...
  Successfully added task entry

  Copy to Clipboard Toggle word wrap

  デフォルトでは、fixup タスクは、inetUser、inetAdmin、または nsMemberOf オブジェクトクラスを含むすべてのエントリーの memberOf 値を更新します。

  他のオブジェクトクラスを含むエントリーに対しても fixup タスクを実行する場合は、-f フィルターオプションを使用します。

  # dsconf <instance_name> plugin memberof fixup -f "(|(objectclass=inetuser)(objectclass=inetadmin)(objectclass=nsmemberof)(objectclass=nsmemberof)(objectclass=inetOrgPerson))" "dc=example,dc=com"

  Copy to Clipboard Toggle word wrap

  この fixup タスクは、inetUser、inetAdmin、nsMemberOf、または inetOrgPerson オブジェクトクラスを含むすべてのエントリーの memberOf 値を更新します。