14.3.6. LDAP マッパー
LDAP マッパーは、さまざまな点で LDAP プロバイダーによってトリガーされる listeners
で、別のエクステンションが LDAP 統合を参照します。これらは LDAP 経由でログインし、ユーザーが Red Hat Single Sign-On の起動中にインポートする必要がある場合や、ユーザーが管理コンソールからクエリーされる場合にトリガーされます。LDAP フェデレーションプロバイダーを作成すると、Red Hat Single Sign-On はこのプロバイダーの組み込み mappers
のセットを自動的に提供します。このセットを変更し、新しいマッパーを作成したり、既存のマッパーを更新/削除したりすることもできます。
- ユーザー属性マッパー
-
これにより、Red Hat Single Sign-On ユーザーのどの属性がマッピングされる LDAP 属性を指定することができます。たとえば、Red Hat Single Sign-On データベースの LDAP 属性
mail
を属性email
に設定できます。このマッパー実装には常に 1 対 1 のマッピングが存在します (1 つの LDAP 属性が 1 つの Red Hat Single Sign-On 属性にマッピングされます)。 - fullName Mapper
-
これにより、一部の LDAP 属性 (通常は
cn
) に保存されているユーザーのフルネームを、Red Hat Single Sign-On データベースのfirstName
およびlastname
属性にマッピングされるように指定できます。cn
にユーザーのフルネームを含めることは、一部の LDAP デプロイメントでは一般的なケースです。 - ハードコードされた属性マッパー
-
このマッパーは LDAP と一緒にリンクされた各 Red Hat Single Sign-On ユーザーにハードコードされた属性値を追加します。また、このマッパーは
enabled
またはemailVerified
ユーザープロパティーの値を強制することもできます。 - ロールマッパー
-
これにより、LDAP から Red Hat Single Sign-On ロールマッピングへのロールマッピングを設定できます。ロールマッパーは、LDAP ロール (通常は LDAP ツリーの特定ブランチからのグループ) を、指定したクライアントのレルムロールまたはクライアントロールのいずれかに対応するロールにマップするために使用できます。同じ LDAP プロバイダーに対してより多くのロールマッパーを設定するのは問題ありません。たとえば、
ou=main,dc=example,dc=org
下のグループからのロールマッピングはレルムロールマッピングにマッピングされ、ou=finance,dc=example,dc=org
の下にあるグループからのロールマッピングが、クライアントfinance
のクライアントロールマッピングにマップされるように指定できます。 - ハードコーディングされたロールマッパー
- このマッパーは、指定された Red Hat Single Sign-On ロールを LDAP プロバイダーから各 Red Hat Single Sign-On ユーザーに付与します。
- Group Mapper
- これにより、LDAP ツリーの特定ブランチから、Red Hat Single Sign-On のグループに LDAP グループをマップできます。また、Red Hat Single Sign-On の LDAP からユーザーグループマッピングに、ユーザーグループマッピングも伝播されます。
- MSAD ユーザーアカウントマッパー
-
このマッパーは、Microsoft Active Directory (MSAD) に固有のものです。MSAD ユーザーアカウント状態を Red Hat Single Sign-On アカウントの状態に密接に統合することができます (アカウントが有効な、パスワードの有効期限など)。これは、LDAP 属性
userAccountControl
およびpwdLastSet
を使用します。これはいずれも MSAD に固有のもので、LDAP 標準ではありません。たとえば、ipwdLastSet
が0
の場合、パスワードを更新するには Red Hat Single Sign-On ユーザーが必要で、ユーザーに UPDATE_PASSWORD 必須アクションが追加されました。userAccountControl
が514
(無効なアカウント) の場合は、Red Hat Single Sign-On ユーザーも無効になります。 - Certificate Mapper
-
このマッパーは X.509 証明書のマッピングに固有のものです。通常、これは X.509 認証と併用され、ID ソースとして
Full certificate in PEM format
を使用します。User Attribute Mapper
と同じ動作をしますが、Red Hat Single Sign-On は PEM 形式または DER フォーマットの証明書を格納する LDAP 属性についてフィルターできます。通常、このマッパーで LDAP からAlways Read Value
を有効にすることが推奨されます。
デフォルトでは、ユーザー名、ファイル名、名、姓、電子メールなどの Red Hat Single Sign-On の基本属性属性を対応する LDAP 属性にマップする User 属性マッパーがあります。これらの拡張は自由に行い、追加の属性マッピングを指定することができます。管理コンソールはツールチップを提供します。これは、対応するマッパーの設定に役立ちます。