8.5. LDAP アイデンティティープロバイダーの設定
単純なバインド認証を使用して LDAPv3 サーバーに対してユーザー名とパスワードを検証するように LDAP アイデンティティープロバイダーを設定します。
前提条件
LDAP アイデンティティープロバイダーを設定する場合は、設定済みの LDAP URL を入力する必要があります。設定される URL は、LDAP ホストと使用する検索パラメーターを指定する RFC 2255 URL です。URL の構文は以下のようになります。
ldap://host:port/basedn?attribute?scope?filter
URL コンポーネント 説明 ldap通常の LDAP の場合は、文字列
ldapを使用します。セキュアな LDAP (LDAPS) の場合は、代わりにldapsを使用します。host:portLDAP サーバーの名前とポートです。デフォルトは、ldap の場合は
localhost:389、LDAPS の場合はlocalhost:636です。basednすべての検索が開始されるディレクトリーのブランチの DN です。これは少なくともディレクトリーツリーの最上位である必要がありますが、ディレクトリーのサブツリーを指定することもできます。
attribute検索対象の属性です。RFC 2255 はコンマ区切りの属性のリストを許可しますが、属性をどれだけ指定しても最初の属性のみが使用されます。属性を指定しない場合は、デフォルトで
uidが使用されます。使用しているサブツリーのすべてのエントリー間で一意の属性を選択することを推奨します。scope検索の範囲です。
oneまたはsubのいずれかを指定できます。範囲を指定しない場合は、デフォルトの範囲としてsubが使用されます。filter有効な LDAP 検索フィルターです。指定しない場合のデフォルトは
(objectClass=*)です。検索の実行時に属性、フィルター、指定したユーザー名が組み合わされて以下のような検索フィルターが作成されます。
(&(<filter>)(<attribute>=<username>))
重要LDAP ディレクトリーの検索に認証が必要な場合は、エントリー検索の実行に使用する
bindDNとbindPasswordを指定します。
手順
- OpenShift Cluster Manager から、Cluster List ページに移動し、アイデンティティープロバイダーを設定するクラスターを選択します。
- Access control タブをクリックします。
Add identity provider をクリックします。
注記クラスターの作成後に表示される警告メッセージの Add Oauth configuration リンクをクリックして、アイデンティティープロバイダーを設定することもできます。
- ドロップダウンメニューから LDAP を選択します。
- アイデンティティープロバイダーの一意の名前を入力します。この名前は後で変更することができません。
- ドロップダウンメニューからマッピング方法を選択します。ほとんどの場合は、Claim の使用が推奨されます。
- LDAP URL を入力して、使用する LDAP 検索パラメーターを指定します。
- オプション: Bind DN および Bind password を入力します。
LDAP 属性をアイデンティティーにマップする属性を入力します。
- 値をユーザー ID として使用する ID 属性を入力します。Add more をクリックして、複数の ID 属性を追加します。
- オプション: 表示名の値として使用する Preferred username 属性を入力します。Add more をクリックして、優先する複数のユーザー名属性を追加します。
- オプション: メールアドレスの値として使用する Email 属性を入力します。Add more をクリックして、複数のメール属性を追加します。
- オプション: Show advanced Options をクリックし、認証局 (CA) ファイルを LDAP アイデンティティープロバイダーに追加し、設定された URL のサーバー証明書を検証します。Browse をクリックして CA ファイル を見つけ、これをアイデンティティープロバイダーに割り当てます。
オプション: 高度なオプションで、LDAP プロバイダーを 非セキュア にするよう選択できます。このオプションを選択すると、CA ファイルは使用できません。
重要非セキュアな LDAP 接続 (ldap:// またはポート 389) を使用している場合は、設定ウィザードで Insecure オプションを確認する必要があります。
- Confirm をクリックします。
検証
- 設定されたアイデンティティープロバイダーが、Cluster List ページの Access control タブに表示されるようになりました。
