6.3. 同期された属性の概要
Identity Management は、IdM と Active Directory ユーザーエントリーの間で、ユーザー属性のサブセットを同期します。エントリーに含まれる他の属性は、Identity Management または Active Directory のどちらにある場合でも、同期時に無視されます。
注記
ほとんどの POSIX 属性は同期されません。
Active Directory の LDAP スキーマと、Identity Management で使用される 389 Directory Server の LDAP スキーマ間には、スキーマは大きな異なりますが、属性は同じものが多数あります。このようなの属性は、Active Directory と IdM ユーザーエントリー間で同期されるだけで、属性名や値の形式には変更が加えられません。
Identity Management および Windows サーバーで同一のユーザースキーマ
- cn[2]
- physicalDeliveryOfficeName
- description
- postOfficeBox
- destinationIndicator
- postalAddress
- facsimileTelephoneNumber
- postalCode
- givenname
- registeredAddress
- homePhone
- sn
- homePostalAddress
- st
- initials
- street
- l
- telephoneNumber
- mail
- teletexTerminalIdentifier
- mobile
- telexNumber
- o
- title
- ou
- userCertificate
- pager
- x121Address
一部の属性には異なる名前が使用されていますが、IdM (389 Directory Server を使用) と Active Directory の間には直接的な対応関係があります。このような属性は、同期プロセスで マッピングされます 。
| ID 管理 | Active Directory |
|---|---|
| cn[a] | name |
| nsAccountLock | userAccountControl |
| ntUserDomainId | sAMAccountName |
| ntUserHomeDir | homeDirectory |
| ntUserScriptPath | scriptPath |
| ntUserLastLogon | lastLogon |
| ntUserLastLogoff | lastLogoff |
| ntUserAcctExpires | accountExpires |
| ntUserCodePage | codePage |
| ntUserLogonHours | logonHours |
| ntUserMaxStorage | maxStorage |
| ntUserProfile | profilePath |
| ntUserParms | userParameters |
| ntUserWorkstations | userWorkstations |
[a]
cn は、Identity Management から Active Directory に同期するときに直接 (cn から cn に) マップされます。Active Directory から同期する場合、cn は Active Directory の name 属性から Identity Management の cn 属性にマップされます。
| |
6.3.1. Identity Management と Active Directory との間のユーザースキーマの相違点
属性が Active Directory と IdM の間で正常に同期される場合でも、Active Directory および Identity Management が基となる X.500 オブジェクトクラスを定義する方法には依然として違いがあり場合があります。この定義方法の相違点により、LDAP サービスが違うと、データの処理方法が異なる可能性があります。
このセクションでは、Active Directory および Identity Management のドメイン間で同期可能な属性を処理する方法に、Active Directory と Identity Management ではどのような違いがあるのかを説明します。
6.3.1.1. cn 属性の値
389 Directory Server では、
cn 属性に複数の値を設定できますが、Active Directory ではこの属性には単一の値しか設定できせん。Identity Management の cn 属性が同期されると、単一の値のみが Active Directory ピアに送信されます。
これを同期との関連で見ると、
cn 値が Active Directory エントリーに追加され、その値が Identity Management の cn の値のいずれでもない場合には、Identity Management のcn 値はすべて単一の Active Directory 値で上書きされる可能性があります。
もう 1 つの重要な相違点として、Active Directory では
cn 属性をその命名属性として使用するのに対し、Identity Management は uid を使用する点があります。つまり、cn 属性が Identity Management で編集される可能性がある場合には、エントリーの名前が完全に (および間違って) 変更されてしまう可能性があります。
6.3.1.2. street および streetAddress の値
Active Directory は、ユーザーの住所に属性
streetAddress を使用します。これは、389 Directory Server が street 属性を使用する方法に相当します。Active Directory と Identity Management がそれぞれ streetAddress と street 属性を使用する方法には、2 つの重要な違いがあります。
- 389 Directory Server では、
streetAddressはstreetの別名です。Active Directory にもstreet属性がありますが、これは独立した値を保持できる別個の属性であり、streetAddressのエイリアスではありません。 - RFC 4519 で指定されているように、Active Directory は
streetAddressとstreetの両方を単一値の属性として定義しますが、389 Directory Server はstreetを複数値の属性として定義します。
389 Directory Server および Active Directory が
streetAddress および street 属性を処理する方法が異なるため、Active Directory と Identity Management で address 属性を設定する場合には以下の 2 つのルールに従う必要があります。
- 同期プロセスは、Active Directory エントリーの
streetAddressを Identity Management のstreetにマップします。競合を避けるため、Active Directory ではstreet属性は使用しないでください。 - Identity Management の
street属性値は 1 つだけ、Active Directory に同期されます。streetAddress属性が Active Directory で変更され、新しい値が Identity Management に存在しない場合には、Identity Management のすべてのstreet属性値が新しい単一の Active Directory の値に置き換えられます。
6.3.1.3. initials 属性の制約
initials 属性の場合には、Active Directory は最大長 6 文字の制限を課しますが、389 Directory Serve には長さ制限がありません。Identity Management に 7 文字以上の initials 属性が 追加されると、この値は Active Directory エントリーとの同期時にカットされます。
6.3.1.4. surname (sn) 属性の要求
Active Directory では、surname 属性なしで person エントリーを作成できます。ただし、RFC 4519 では、person オブジェクトクラスには surname 属性が必要と定義されていますが、これは、Directory Server で使用される定義です。
Active Directory の person エントリーが surname 属性なしで作成される場合、このエントリーは、オブジェクトクラス違反で失敗するため、IdM には同期されません。
[2]
cn は、他の同期属性とは異なる扱いを受けます。Identity Management から Active Directory に同期時には、直接 (cn から cn へ) マッピングされます。ただし、Active Directory から Identity Management に同期する場合には、cn は、Windows の name 属性から Identity Management の cn 属性にマッピングされます。
