68.9. 複数のアイデンティティーマッピングルールを 1 つに結合
複数の ID マッピングルールを 1 つのルールに結合するには、個々のマッピングルールの前に | (or) 文字を追加し、括弧 () で区切ります。以下に例を示します。
証明書マッピングフィルターの例 1
$ ipa certmaprule-add ad_cert_for_ipa_and_ad_users \ --maprule='(|(ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500}))' \ --matchrule='<ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com' \ --domain=ad.example.com
上記の例では、--maprule オプションのフィルター定義には、以下の基準が含まれます。
-
ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500}は、IdM での証明書マッピングルールの追加 の説明のとおりに、IdM ユーザーアカウントのipacertmapdata属性の値に、スマートカードの発行先および発行者をリンクさせるフィルターです。 -
altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500}は、スマートカード証明書から発行先および発行者を、AD ユーザーアカウントのaltSecurityIdentitiesの値にリンクするフィルターです。これは、信頼された AD ドメインがユーザー証明書をマッピングするように設定されている場合には、証明書マッピングルールの追加 で説明されています。 -
--domain=ad.example.comオプションを追加すると、指定した証明書にマッピングされたユーザーが、ローカルのidm.example.comドメインだけでなく、ad.example.comad.example.comドメイン内でも検索されます。
--maprule オプションのフィルターの定義では、論理演算子 | (or) が使用できるため、複数の基準を指定できます。この場合、ルールは、1 つ以上の基準を満たすユーザーアカウントをすべてマップします。
証明書マッピングフィルターの例 2
$ ipa certmaprule-add ipa_cert_for_ad_users \ --maprule='(|(userCertificate;binary={cert!bin})(ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500}))' \ --matchrule='<ISSUER>CN=Certificate Authority,O=REALM.EXAMPLE.COM' \ --domain=idm.example.com --domain=ad.example.com
上記の例では、--maprule オプションのフィルター定義には、以下の基準が含まれます。
-
userCertificate;binary={cert!bin}は、証明書全体を含むユーザーエントリーを返すフィルターです。AD ユーザーが、この種のフィルターを作成する場合は、AD ユーザーエントリーに証明書またはマッピングデータがない場合の証明書マッピングルールの追加 を参照してください。 -
ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500}は、IdM での証明書マッピングルールの追加 の説明のとおりに、IdM ユーザーアカウントのipacertmapdata属性の値に、スマートカードの発行先および発行者をリンクさせるフィルターです。 -
altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500}は、スマートカード証明書から発行先および発行者を、AD ユーザーアカウントのaltSecurityIdentitiesの値にリンクするフィルターです。これは、信頼された AD ドメインがユーザー証明書をマッピングするように設定されている場合には、証明書マッピングルールの追加 で説明されています。
--maprule オプションのフィルターの定義では、論理演算子 | (or) が使用できるため、複数の基準を指定できます。この場合、ルールは、1 つ以上の基準を満たすユーザーアカウントをすべてマップします。
