3.2. Directory Server でのロールの使用

手順

1. dsidm を使用して、cn=Marketing 管理ロールエントリーを作成します。

   # dsidm <instance_name> -b ou=people,dc=example,dc=com role create-managed --cn Marketing

   Successfully created Marketing

   または、the -a オプションを指定して ldapmodify コマンドを使用できます。

   # ldapmodify -a -D "cn=Directory Manager" -W -H ldap://server.example.com -x << EOF
   dn: cn=Marketing,ou=people,dc=example,dc=com
   objectclass: top
   objectclass: LDAPsubentry
   objectclass: nsRoleDefinition
   objectclass: nsSimpleRoleDefinition
   objectclass: nsManagedRoleDefinition
   cn: Marketing
   description: managed role for the marketing team
   EOF

   詳細は、システムの ldapmodify(1) man ページを参照してください。

   管理ロールエントリーには、次のオブジェクトクラスが含まれている必要があります。

   • LDAPsubentry
   • nsRoleDefinition
   • nsSimpleRoleDefinition
   • nsManagedRoleDefinition

2. このユーザーエントリーに nsRoleDN 属性を追加して、cn=Marketing,ou=people,dc=example,dc=com 管理ロールを cn=Bob Jones,ou=people,dc=example,dc=com ユーザーエントリーに割り当てます。

   # ldapmodify -D "cn=Directory Manager" -W -H ldap://server.example.com -x << EOF
   dn: cn=Bob Jones,ou=people,dc=example,dc=com
   changetype: modify
   add: nsRoleDN
   nsRoleDN: cn=Marketing,ou=people,dc=example,dc=com
   EOF
   
   modifying entry "cn=Bob Jones,ou=people,dc=example,dc=com"

3. オプション: インデックスのない検索を避けるために、userRoot データベースの nsRoleDN 属性の 等価 インデックスを設定します。

   # dsconf <instance_name> backend index add --index-type eq --attr nsRoleDN --reindex userRoot

検証

1. ロールをリスト表示します。

   # dsidm <instance_name> -b dc=example,dc=com role list --full-dn

   cn=SalesManagerFilter,ou=people,dc=example,dc=com
   cn=Marketing,ou=people,dc=example,dc=com

   --full-dn オプションを指定しないと、ロール名のみがリストされます。

2. 現在 cn=Marketing,ou=people,dc=example,dc=com 管理ロールに属しているユーザーエントリーをリスト表示します。

   # ldapsearch -D "cn=Directory Manager" -W -H ldap://server.example.com -x -b "dc=example,dc=com" "(nsRole=cn=Marketing,ou=people,dc=example,dc=com)" dn 
   
   dn: cn=Bob Jones,ou=people,dc=example,dc=com
   
   dn: cn=Tom Devis,ou=people,dc=example,dc=com

手順

1. dsidm ユーティリティーを使用して、cn=SalesManagerFilter フィルターされたロールエントリーを作成します。

   # dsidm <instance_name> -b "ou=people,dc=example,dc=com" role create-filtered --cn "SalesManagerFilter"
   Enter value for nsrolefilter : o=sales managers

   Successfully created SalesManagerFilter

   SalesManagerFilter フィルターが設定されたロールエントリーには、ロールの o=sales managers フィルターがあります。sales managers の値を持つ o 属性を有するすべてのユーザーエントリーは、フィルター設定ロールのメンバーです。

   フィルター設定ロールのメンバーになったユーザーエントリーの例:

   dn: cn=Pat Smith,ou=people,dc=example,dc=com
   objectclass: person
   cn: Pat
   sn: Smith
   userPassword: password
   o: sales managers

   または、ldapmodify コマンドに the -a オプションを指定して使用して、ロールを作成できます。

   # ldapmodify -a -D "cn=Directory Manager" -W -H ldap://server.example.com -x << EOF
   dn: cn=SalesManagerFilter,ou=people,dc=example,dc=com
   changetype: add
   objectclass: top
   objectclass: LDAPsubentry
   objectclass: nsRoleDefinition
   objectclass: nsComplexRoleDefinition
   objectclass: nsFilteredRoleDefinition
   cn: SalesManagerFilter
   nsRoleFilter: o=sales managers
   Description: filtered role for sales managers
   EOF

   詳細は、システムの ldapmodify(1) man ページを参照してください。

   フィルター設定ロールエントリーには、次のオブジェクトクラスが必要です。

   • LDAPsubentry
   • nsRoleDefinition
   • nsComplexRoleDefinition
   • nsFilteredRoleDefinition

2. オプション: インデックスのない検索を避けるために、nsRoleFilter ロールフィルターで使用する属性の 等価 インデックスを設定します。この例では、ロールは o=sales managers をフィルターとして使用します。したがって、o 属性にインデックスを付けて、検索パフォーマンスを向上します。

   # dsconf <instance_name> backend index add --index-type eq --attr o --reindex userRoot

検証

1. ロールをリスト表示します。

   # dsidm <instance_name> -b dc=example,dc=com role list --full-dn

   cn=SalesManagerFilter,ou=people,dc=example,dc=com

   --full-dn オプションを指定しないと、ロール名のみがリストされます。

2. 現在 cn=SalesManagerFilter,ou=people,dc=example,dc=com フィルター設定ロールに属しているユーザーエントリーをリスト表示します。

   # ldapsearch -D "cn=Directory Manager" -W -H ldap://server.example.com -x -b "dc=example,dc=com" "(nsRole=cn=SalesManagerFilter,ou=people,dc=example,dc=com)" dn 
   
   dn: cn=Jess Mor,ou=people,dc=example,dc=com
   
   dn: cn=Pat Smith,ou=people,dc=example,dc=com

手順

1. -a オプションを指定した ldapmodify コマンドを使用して、cn=SalesManagerFilter フィルター設定ロールと cn=Marketing 管理ロールを含む cn=MarketingSales のネストされたロールエントリーを作成します。

   # ldapmodify -a -D "cn=Directory Manager" -W -H ldap://server.example.com -x << EOF
   dn: cn=MarketingSales,ou=people,dc=example,dc=com
   objectclass: top
   objectclass: LDAPsubentry
   objectclass: nsRoleDefinition
   objectclass: nsComplexRoleDefinition
   objectclass: nsNestedRoleDefinition
   cn: MarketingSales
   nsRoleDN: cn=SalesManagerFilter,ou=people,dc=example,dc=com
   nsRoleDN: cn=Marketing,ou=people,dc=example,dc=com
   EOF

   詳細は、システムの ldapmodify(1) man ページを参照してください。

   必要に応じて、ロールに description 属性を含めることができます。

   ネストされたロールエントリーには、次のオブジェクトクラスが必要です。

   • LDAPsubentry
   • nsRoleDefinition
   • nsComplexRoleDefinition
   • nsNestedRoleDefinition

検証

1. ロールをリスト表示します。

   # dsidm <instance_name> -b dc=example,dc=com role list --full-dn

   --full-dn オプションを指定しないと、ロール名のみがリストされます。

2. cn=MarketingSales のネストされたロールに現在属しているユーザーエントリーをリスト表示します。

   # ldapsearch -D "cn=Directory Manager" -W -H ldap://server.example.com -x -b "dc=example,dc=com" "(nsRole=cn=MarketingSales,ou=people,dc=example,dc=com)" dn 
   
   dn: cn=Bob Jones,ou=people,dc=example,dc=com
   dn: cn=Pat Smith,ou=people,dc=example,dc=com
   dn: cn=Jess Mor,ou=people,dc=example,dc=com
   dn: cn=Tom Devis,ou=people,dc=example,dc=com

手順

1. Web コンソールにログインし、Red Hat Directory Server をクリックします。
2. Web コンソールが Red Hat Directory Server インターフェイスをロードしたら、LDAP Browser を開きます。
3. LDAP エントリーを選択し、Options メニュー (⋮) を開きます。
4. ドロップダウンメニューから New を選択し、Create a new role をクリックします。
5. ウィザードの手順に従い、各手順を完了したら Next ボタンをクリックします。
6. ロールを作成するには、Create Role の手順でロールの設定を確認し、Create ボタンをクリックします。Back ボタンをクリックしてロールの設定を変更するか、Cancel ボタンをクリックしてロールの作成をキャンセルできます。
7. ウィザードウィンドウを閉じるには、Finish ボタンをクリックします。

手順

1. Web コンソールにログインし、Red Hat Directory Server をクリックします。
2. Web コンソールが Red Hat Directory Server インターフェイスをロードしたら、LDAP browser をクリックします。
3. LDAP エントリーを展開し、削除するロールを選択します。
4. Options メニュー (⋮) を開き、Delete を選択します。
5. 削除するロールに関するデータを確認し、Deletion の手順に到達するまで Next ボタンをクリックします。
6. スイッチを Yes, I’m sure の位置に切り替え、Delete ボタンをクリックします。
7. ウィザードウィンドウを閉じるには、Finish ボタンをクリックします。

手順

1. Web コンソールにログインし、Red Hat Directory Server をクリックします。
2. Web コンソールが Red Hat Directory Server インターフェイスをロードしたら、LDAP Browser をクリックします。
3. LDAP エントリーを展開し、変更するロールを選択します。
4. Options メニュー (⋮) をクリックし、Edit を選択してロールのパラメーターを変更するか、Rename を選択してロールの名前を変更します。
5. ウィザードウィンドウで必要なパラメーターを変更し、LDIF Statements の手順が表示されるまで各手順の後に Next をクリックします。
6. 更新されたパラメーターを確認し、Modify Entry または Change Entry Name をクリックします。
7. ウィザードウィンドウを閉じるには、Finish ボタンをクリックします。