第3章 ユーザー管理および認証

手順

1. LDAP Browser メニューに移動します。
2. Tree ビューまたは Table ビューを使用して、グループを作成する親エントリー ou=groups,dc=example,dc=com を展開します。
3. Options メニュー (⫶) をクリックし、New を選択してウィザードウィンドウを開きます。
4. Create a group を選択し、Next をクリックします。
5. グループタイプの Basic Group を選択し、Next をクリックします。

6. グループ名とグループの説明を追加し、グループのメンバーシップ属性を選択します。

   • groupOfNames オブジェクトクラスを持つグループの member。
   • groupOfUniqueNames オブジェクトクラスを持つグループの uniquemember。
7. Next をクリックします。
8. オプション: グループにメンバーを追加し、Next をクリックします。
9. グループ情報を確認し、Create をクリックし、Finish をクリックします。

手順

1. LDAP Browser メニューに移動します。
2. Tree または Table ビューを使用して、メンバーを追加するグループエントリーを展開します。たとえば、cn=unique_members_group,ou=groups,dc=example,dc=com にメンバーを追加します。
3. Options メニュー (⫶) をクリックし、Edit を選択してウィザードウィンドウを開きます。ウィンドウに現在のメンバーリストが表示されます。
4. Find New Members タブを選択します。
5. 検索バーにメンバーの uid または cn 属性値の一部を入力し、Enter を押します。Available Members フィールドには、グループに追加できるユーザー識別名 (DN) が表示されます。
6. メンバー DN を選択し、矢印 (>) をクリックして Chosen Members フィールドに移動します。
7. Add Member ボタンをクリックします。

手順

1. サーバーで共有設定エントリーを有効にします。

   # dsconf <instance_name> plugin memberof config-entry add "cn=shared_MemberOf_config,dc=example,dc=com" --attr memberOf --groupattr member
   
   Successfully created the cn=shared_MemberOf_config,dc=example,dc=com
   MemberOf attribute nsslapd-pluginConfigArea (config-entry) was set in the main plugin config

   このコマンドは、nsslapd-pluginConfigArea 属性値を cn=shared_MemberOf_config,dc=example,dc=com に設定します。

2. インスタンスを再起動します。

   # dsctl <instance_name> restart

3. 共有設定を使用する必要があるレプリケーショントポロジー内の他のサーバーで共有設定を有効にします。

   1. 共有設定を保存する設定エントリーの識別名 (DN) を設定します。

      # dsconf -D "cn=Directory Manager" ldap://server2.example.com plugin memberof set --config-entry cn=shared_MemberOf_config,dc=example,dc=com

   2. インスタンスを再起動します。

      # dsctl <instance_name> restart

検証

1. MemberOf プラグインが共有設定を使用していることを確認します。

   # dsconf <instance_name> plugin memberof show
   
   dn: cn=MemberOf Plugin,cn=plugins,cn=config
   cn: MemberOf Plugin
   ...
   nsslapd-pluginConfigArea: cn=shared_MemberOf_config,dc=example,dc=com
   ...

2. オプション: 共有設定を確認します。

   # dsconf <instance_name> memberof config-entry show "cn=shared_MemberOf_config,dc=example,dc=com"
   
   dn: cn=shared_MemberOf_config,dc=example,dc=com
   cn: shared_MemberOf_config
   memberofattr: memberOf
   memberofgroupattr: member
   objectClass: top
   objectClass: extensibleObject

手順

1. MemberOf プラグインのスコープ値を dc=example,dc=com に設定します。

   # dsconf <instance_name> plugin memberof set --scope "dc=example,dc=com"

2. ou=private,dc=example,dc=com のエントリーを除外します。

   # dsconf <instance_name> plugin memberof set --exclude "ou=private,dc=example,com"

   --scope DN パラメーターを使用してユーザーエントリーをスコープ外に移動した場合:

   • MemberOf プラグインは、グループエントリー内の member などのメンバーシップ属性を更新して、ユーザー DN 値を削除します。

   • MemberOf プラグインは、ユーザーエントリー内の memberOf 属性を更新して、グループ DN 値を削除します。

     注記

     --exclude パラメーターで設定された値は、--scope で設定された値よりも優先されます。両方のパラメーターで設定したスコープが重複する場合、MemberOf プラグインは、非オーバーラッピングディレクトリーエントリーでのみ機能します。

手順

1. オプション: Auto Membership プラグインを有効にします。

   # dsconf <instance_name> plugin automember enable

   プラグインは、デフォルトで有効になっています。

2. ホストエントリー、デフォルトの cn=servers グループ、およびメンバーエントリー形式を識別するための LDAP フィルターを使用して、Auto Membership 定義エントリーを作成します。

   # dsconf <instance_name> plugin automember definition "Hostgroups definition" add --default-group "cn=servers,cn=hostgroups,ou=groups,dc=example,dc=com" --scope "dc=example,dc=com" --filter "objectclass=ipHost" --grouping-attr "member:dn"

   Successfully created the cn=Hostgroups definition,cn=Auto Membership Plugin,cn=plugins,cn=config

3. オプション: Web サーバーとメールサーバーをフィルタリングするための正規表現エントリーを追加します。

   1. Web サーバーを他のホストから識別し、別の cn=webservers グループに追加するには、次のように入力します。

      # dsconf <instace_name> plugin automember definition "Hostgroups definition" regex "webservers" add --target-group "cn=webservers,cn=hostgroups,dc=example,dc=com" --inclusive "fqdn=^www\.web[0-9]+\.example\.com" --exclusive "fqdn=^web13\.example\.com"

      Successfully created the cn=webservers,cn=Hostgroups definition,cn=Auto Membership Plugin,cn=plugins,cn=config

      この条件により、Directory Server は、www.web1.example.com などの ^www\.web[0-9]+\.example\.com 表現に一致する完全修飾ドメイン名を持つすべてのホストマシンを cn=webservers グループに追加します。ただし、Directory Server は、www.web13.example.com ホストと objectclass=ipHost フィルターに一致するその他のホストエントリーをデフォルトの cn=servers,cn=Host Groups,ou=groups,dc=example,dc=com グループに追加します。

      Directory Server は最初に除外条件を評価することに注意してください。

   2. 残りのホスト内のメールサーバーを識別し、それらを別の cn=mailservers グループに追加するには、次のように入力します。

      # dsconf <instace_name> plugin automember definition "Hostgroups definition" regex "mailservers" add --target-group "cn=mailservers,cn=hostgroups,dc=example,dc=com" --inclusive "fqdn=^www\.mail[0-9]+\.example\.com" 

      Successfully created the cn=mailservers,cn=Hostgroups definition,cn=Auto Membership Plugin,cn=plugins,cn=config

4. オプション: エントリーにグループエントリーを追加するか、エントリーを編集してエントリーを別のグループに移動すると、Directory Server はデフォルトでグループメンバーシップを更新します。プラグインがエントリーの変更を無視するようにする場合は、定義エントリー設定で autoMemberProcessModifyOps 属性を off に設定します。

   # ldapmodify -D "cn=Directory Manager" -W -H ldap://server.example.com -x

   dn: cn=Hostgroups definition,cn=Auto Membership Plugin,cn=plugins,cn=config
   changetype: modify
   add: autoMemberProcessModifyOps
   autoMemberProcessModifyOps: off

検証

1. Auto Membership の定義エントリー設定を表示します。

   # dsconf <instance_name> plugin automember definition "Hostgroups definition" show

   dn: cn=Hostgroups definition,cn=Auto Membership Plugin,cn=plugins,cn=config
   autoMemberDefaultGroup: cn=servers,cn=Host Groups,ou=groups,dc=example,dc=com
   autoMemberFilter: objectclass=ipHost
   autoMemberGroupingAttr: member:dn
   autoMemberScope: dc=example,dc=com
   cn: Hostgroups definition
   objectClass: top
   objectClass: autoMemberDefinition

2. Auto Membership の正規表現エントリーを表示します。

   # dsconf <instace_name> plugin automember definition "Hostgroups definition" regex "webservers" show

   dn: cn=webservers,cn=Hostgroups definition,cn=Auto Membership Plugin,cn=plugins,cn=config
   autoMemberExclusiveRegex: fqdn=^web13\.example\.com
   autoMemberInclusiveRegex: fqdn=^www\.web[0-9]+\.example\.com
   autoMemberTargetGroup: cn=webservers,cn=hostgroups,dc=example,dc=com
   cn: webservers
   objectClass: top
   objectClass: autoMemberRegexRule

   # dsconf <instace_name> plugin automember definition "Hostgroups definition" regex "mailservers" show

   dn: cn=mailservers,cn=Hostgroups definition,cn=Auto Membership Plugin,cn=plugins,cn=config
   autoMemberInclusiveRegex: fqdn=^www\.mail[0-9]+\.example\.com
   autoMemberTargetGroup: cn=mailservers,cn=hostgroups,dc=example,dc=com
   cn: mailservers
   objectClass: top
   objectClass: autoMemberRegexRule

手順

1. Directory Server インスタンスを選択します。
2. Plugins メニューを開き、プラグインのリストから Auto Membership プラグインを選択します。
3. Add Definition ボタンをクリックし、新しいプラグイン設定を追加します。

4. Add Auto Membership Plugin Definition Entry ポップアップウィンドウで、以下を設定します。

   • Definition Name として Hostgroups definition
   • Subtree scope として dc=example,dc=com
   • Entry Filter として objectclass=ipHost
   • Grouping Attribute として member:dn

   • Default Group として cn=servers,cn=hostgroups,ou=groups,dc=example,dc=com

     プラグイン定義エントリーの設定属性に関する詳細な説明は、Auto Membership の定義エントリー を参照してください。

5. オプション: Add Regex をクリックして、Web サーバーをフィルタリングするための正規表現エントリーを追加します。Manage Auto Membership Plugin Regex Entry ポップアップウィンドウで、以下を設定します。

   • Regex Name として webservers
   • Exclusive Regex として fqdn=^web13\.example\.com
   • Inclusive Regex として fqdn=^www\.web[0-9]+\.example\.com

   • Target Group として cn=webservers,cn=hostgroups,dc=example,dc=com

     正規表現の設定属性に関する詳細な説明は、Auto Membership の正規表現エントリー を参照してください。

6. Save をクリックして、正規表現の入力設定を保存します。
7. オプション: 他の正規表現エントリーを追加します。

8. Add Definition をクリックして、正規表現エントリーを含めた Auto Membership プラグインの設定を保存します。

   設定を保存すると、Directory Server は cn=Auto Membership Plugin,cn=plugins,cn=config の下に定義エントリーとその子の正規表現エントリーを作成します。ホストエントリーが fqdn=^www\.web[0-9]+\.example\.com フィルターに一致する場合、別の cn=webservers,cn=hostgroups,dc=example,dc=com に送られます。Web サーバーエントリーが fqdn=^web13\.example\.com フィルターに一致する場合、そのエントリーはデフォルトの cn=servers,cn=hostgroups,ou=groups,dc=example,dc=com グループと、objectclass=ipHost フィルターに一致するその他のホストエントリーに送信されます。

手順

1. 修正タスクエントリーを作成します。

   # dsconf <instance_name> plugin automember fixup "dc=example,dc=com" -f "objectclass=inetorgperson" -s sub --timeout 5

   次のコマンドは、dc=example,dc=com の下の people エントリーの修正タスクを 5 秒のタイムアウトで開始します。

   その他のオプションの詳細については、dsconf <instance_name> plugin automember fixup -h コマンドを実行してください。