![]() | |
Sun Java™ System Identity Manager 7.0 リソースリファレンス |
NetWare NDSIdentity Manager は、次の Novell 製品をサポートするアダプタを提供します。
次の表に、Novell アダプタの属性の概要を示します。
GUI 名
クラス名
NetWare NDS
com.waveset.adapter.NDSResourceAdapter
NetWare NDS with SecretStore
com.waveset.adapter.NDSSecretStoreResourceAdapter
リソースを設定する際の注意事項
ここでは、Identity Manager で使用する NetWare NDS リソースの設定手順を説明します。次のような手順があります。
ゲートウェイロケーション
管理対象のドメインに接続できる任意の NDS クライアントに、Sun Identity Manager Gateway をインストールします。パススルー認証が有効である場合は、複数のゲートウェイをインストールするようにしてください。
ゲートウェイサービスアカウント
デフォルトでは、ゲートウェイサービスはローカルシステムアカウントとして実行されます。これは、「サービス」MMC スナップインで設定できます。
ゲートウェイをローカルシステム以外のアカウントとして実行する場合は、ゲートウェイサービスアカウントに「Act As Operating System」ユーザー権限と「Bypass Traverse Checking」のユーザー権限が必要です。ゲートウェイは、パススルー認証や、特定の状況でのパスワードの変更およびリセットに、これらの権限を使用します。
事前のアクションや事後のアクションのスクリプトを実行するときは、ゲートウェイに「プロセスレベルトークンの置き換え」の権限が必要な場合があります。この権限は、ゲートウェイが別のユーザー (リソース管理ユーザーなど) としてスクリプトのサブプロセスを実行しようとする場合に必要です。この場合、ゲートウェイプロセスには、そのサブプロセスに関連付けられたデフォルトのトークンを置き換える権限が必要です。
この権限がない場合は、サブプロセスの作成中に次のエラーが返されることがあります。
"Error creating process: A required privilege is not held by the client"
「プロセスレベルトークンの置き換え」権限は、デフォルトのドメインコントローラのグループポリシーオブジェクトと、ワークステーションおよびサーバーのローカルセキュリティーポリシーで定義されます。この権限をシステムに設定するには、「管理ツール」フォルダの「ローカルセキュリティーポリシー」アプリケーションを開き、「ローカルポリシー」>「ユーザー権利の割り当て」>「プロセスレベルトークンの置き換え」に移動します。
SecretStore 証明書
SecretStore をサポートするには、NDS システムから Identity Manager アプリケーションサーバーに SSL 証明書をエクスポートしてください。
この証明書を取得する方法の 1 つは、ConsoleOne を使用して公開鍵をエクスポートすることです。そのためには、ConsoleOne を起動し、SSL CertificateDNS オブジェクトに移動します。SSL CertificateDNS オブジェクトの「Properties」ダイアログで、「Certificates」タブから「Public Key Certificate」を選択します。「Export」ボタンをクリックして、証明書のエクスポートプロセスを開始します。非公開鍵をエクスポートする必要はありません。このファイルを DER 形式で保存します。
DER ファイルを Identity Manager アプリケーションサーバーにコピーします。次に、keytool またはその他の証明書管理ツールを使用して、証明書を jdk¥jre¥lib¥security¥cacerts の鍵ファイルに追加します。keytool ユーティリティーは、Java SDK に付属しています。keytool ユーティリティーについては、Java のマニュアルを参照してください。
Identity Manager 上で設定する際の注意事項
NetWare NDS アダプタに必要な追加のインストール手順はありません。
リソースリストに NDS SecretStore リソースを追加するには、次の手順を実行します。
使用上の注意
ここでは、NetWare NDS リソースアダプタの使用に関連する情報を提供します。次のトピックで構成されています。
各種の注意点
- Active Sync モードの NetWare NDS アダプタは、アカウントの削除を検出しません。このため、アカウントの削除を検出するように調整してください。
- NDS アダプタはテンプレートの値 (ユーザーの DS や FS の権限、ホームディレクトリ権限、新しいオブジェクトのトラスティーなど) をサポートします。
- 「リソース」ページ上の表示に関する問題を避けるには、「Identity Manager User Name Attribute」パラメータを cn に設定します。
- NDS では、名前のセグメントを指定するために、コンマの代わりにピリオドを使用します。コンマを指定すると、Identity Manager はエラーメッセージを返します。
- ユーザーのホームディレクトリを作成できるように NDS リソースを設定するには、アカウント属性に次の 2 つの属性を追加してください。
- HKEY_LOCAL_MACHINE¥Software¥Waveset¥Lighthouse¥Gateway¥
ExclusiveNDSContext レジストリキーは、NDS のコンテキストがマルチスレッド化されるかどうかを示します。デフォルト値の 0 は、マルチスレッドのコンテキストを示します。シングルスレッドのコンテキストの場合は、値を 1 に設定します。- NetWare API は、getResourceObjects FormUtil メソッドの searchFilter オプションと互換性がありません。
- NDS リソースに接続するアカウントが NDS の loginMaximumSimultaneous 属性によって制限されている場合は、Connection Limit リソースパラメータを、loginMaximumSimultaneous に指定された値以下に設定してください。
パススルー認証
NDS の認証処理方法での制限により、NDS にパススルー認証を実装するには、この目的だけに使用する独立したリソースを作成する必要があります。同じクライアントホストとゲートウェイを使用してパススルー認証とプロビジョニングを実行すると、ERR_DIFF_OBJ_ALREADY_AUTHED というエラーメッセージが返される場合があります。
パススルー認証に使用するリソースに接続するクライアントホストに、別の Sun Identity Manager Gateway をインストールしてください。Identity Manager に、同じ NDS クライアントをポイントする別のリソースオブジェクトを単に作成することはできません。管理者の「ユーザー DN」フィールドと「ベースコンテキスト」フィールドが、両方のリソースで同じになるようにしてください。
次の手順に従って、NDS でパススルー認証が有効になるように Identity Manager を設定します。この例では、プロビジョニングリソースの名前を NDS_Resource、パススルー認証用のリソースの名前を NDS_Passthrough とします。
- NDS_Resource システムでは、HKEY_LOCAL_MACHINE¥Software¥Waveset¥Lighthouse¥Gateway¥ExclusiveNDSContext レジストリキーの値を必ずデフォルト値の 0 (マルチスレッド) に設定してください。
NDS_Passthrough では、ExclusiveNDSContext の値を 1 (シングルスレッド) に設定します。
- リソースごとに独立したログインモジュールを含む新しいログインモジュールグループを作成します。「ログイン成功条件」フィールドを、両方のログインモジュールを満たすように設定します。次に、NDS_Passthrough のモジュールが NDS_Resource のモジュールの前に一覧表示されるように、ログインモジュールの順序を設定します。
- System Configuration オブジェクトに共通リソース属性を追加します。この属性は、一覧表示されたシステム上で定義されたユーザーが、同期させたユーザー ID とパスワードをリソースに持たせていることを示します。
次の例では、NDS グループに 2 つのリソースを追加します。
<Attribute name='common resources'>
<Object>
<Attribute name='NDS Group'>
<List>
<String>NDS_Resource</String>
<String>NDS_Passthrough</String>
</List>
</Attribute>
</Object>
</Attribute>NDS_Resource は、ユーザーアカウントの管理に使用されるリソースであるため、一覧の先頭に表示されます。
すべてのプロビジョニング機能は NDS_Resource によって処理され、すべてのパススルー認証呼び出しは NDS_Passthrough を介して行われます。
GroupWise での NDS ユーザーの管理
GroupWise との統合が有効になっていると、NDS アダプタによって NDS ユーザーの GroupWise 属性を管理できます。NDS アダプタは、GroupWise ポストオフィスの NDS ユーザーの追加と削除をサポートします。また、ほかの GroupWise アカウント属性 (AccountID、GatewayAccess、DistributionLists など) を取得し、変更します。
GroupWise 統合の有効化
GroupWise との統合を有効にするには、GroupWise ドメイン DN リソース属性の値を定義してください。この値は、管理する GroupWise ドメインの DN を指定します。この属性の値の例を次に示します。
CN=gw_dom.ou=GroupWise.o=MyCorp
NDS ツリーリソース属性は、配下に GroupWise ドメインが存在すると予測される NDS ツリーを定義します。つまり、GroupWise ドメインは、アダプタが管理する NDS ユーザーと同じツリーに配置してください。
NDS ユーザーの GroupWise ポストオフィスの管理
アカウント属性 GW_PostOffice は、GroupWise ポストオフィスを表します。
NDS ユーザーを GroupWise ポストオフィスに追加するには、GW_PostOffice アカウント属性を、GroupWise ドメインに関連付けられた既存のポストオフィスの名前に設定します。
NDS ユーザーを別の GroupWise ポストオフィスに移動するには、GW_PostOffice アカウント属性を、GroupWise ドメインに関連付けられた新しいポストオフィスの名前に設定します。
NDS ユーザーをポストオフィスから削除するには、GW_PostOffice アカウント属性を GroupWise 削除パターンリソース属性と同じ値に設定します。GroupWise 削除パターンリソース属性のデフォルト値は *TRASH* です。
SecretStore と Identity Manager System Configuration オブジェクト
デフォルトでは、SecretStore を含む NetWare NDS アダプタを使用してリソースオブジェクトを管理することはできません。この機能を有効にするには、System Configuration オブジェクトを編集してください。
次の行を見つけます。
<!-- form mappings -->
<Attribute name='form'>
<Object>これらの行の直後に、次の行を追加します。
<!-- NetWare NDS with SecretStore -->
<Attribute name='NetWare NDS with SecretStore Create Group Form'
value='NetWare NDS Create Group Form'/><Attribute name='NetWare NDS with SecretStore Update Group Form'
value='NetWare NDS Update Group Form'/><Attribute name='NetWare NDS with SecretStore Create Organization Form'
value='NetWare NDS Create Organization Form'/><Attribute name='NetWare NDS with SecretStore Update Organization Form'
value='NetWare NDS Update Organization Form'/><Attribute name='NetWare NDS with SecretStore Create Organizational Unit Form' value='NetWare NDS Create Organizational Unit Form'/>
<Attribute name='NetWare NDS with SecretStore Update Organizational Unit Form'value='NetWare NDS Update Organizational Unit Form'/>
<Attribute name='NetWare NDS with SecretStore Create User Form'
value='NetWare NDS Create User Form'/><Attribute name='NetWare NDS with SecretStore Update User Form'
value='NetWare NDS Update User Form'/>セキュリティーに関する注意事項
ここでは、サポートされる接続と特権の要件について説明します。
サポートされる接続
ゲートウェイサービスを使用して NetWare NDS のリソースに接続することをお勧めします。ゲートウェイサービスでは、ネットワーク上でパスワード情報を交換するために TCP/IP ソケット接続 (3 DES) が使用されます。
標準 LDAP または SSLP 上の LDAP を使用して NetWare NDS サーバーに接続することもできます。このシナリオでは、LDAP リソースアダプタを使用します。
必要な管理特権
Identity Manager の管理者は、NetWare ユーザーを作成するために適切な NDS 権限を持っている必要があります。デフォルトでは、NetWare 管理者は、ディレクトリおよび NetWare ファイルシステムのすべての権限を持っています。
パスワード管理を行うために、NDS 管理者は、次のプロパティーに対する比較、読み取り、および書き込みの権限を持っている必要があります。
NDS SecretStore を使用して機能を実行する Identity Manager の管理者アカウントを、SecretStore 管理者として定義してください。
プロビジョニングに関する注意事項
次の表に、このアダプタのプロビジョニング機能の概要を示します。
アカウント属性
ここでは、次の NetWare NDS アカウント属性のサポートについて説明します。
属性がサポートされるかどうかは、通常、属性の構文 (または型) によって決まります。一般に、Identity Manager は boolean 型、文字列型、および整数型の構文をサポートします。
SYN_CI_LIST 構文を持つ属性 (Language など) と SYN_PO_ADDRESS 構文を持つ属性 (Postal Address など) の値は、$ で区切られた文字列のリストにするようにしてください。SYN_OCTET_STRING 属性の値は、Base 64 でエンコードした、オクテットストリームのバイト文字列にしてください。
属性構文のサポート
次の「サポートされる構文」と「サポートされない構文」では、属性構文のサポートについて説明します。
サポートされる構文
次の表に、サポートされる属性構文に関する情報を示します。
サポートされない構文
次の表に、サポートされない構文に関する情報を示します。
アカウント属性のサポート
次の「サポートされるアカウント属性」と「サポートされないアカウント属性」では、属性のサポートについて説明します。
サポートされるアカウント属性
次の属性は、NDS リソースアダプタの「アカウント属性」ページに表示されます。
次の表に、NDS User オブジェクトクラスで定義される追加のサポート対象属性の一覧を示します。
サポートされないアカウント属性
次のアカウント属性はサポートされません。
リソースオブジェクトの管理
Identity Manager は、デフォルトで次の NetWare NDS オブジェクトをサポートします。文字列ベース、整数ベース、またはブールベースの属性も管理できます。
アイデンティティーテンプレート
デフォルトのアイデンティティーテンプレートは次のとおりです。
CN=$accountId$.O=MYORG
デフォルトのテンプレートを有効な値で置き換えてください。
サンプルフォーム
ここでは、このリソースアダプタで利用できるサンプルフォームの一覧を示します。
組み込みのフォーム
次のフォームは、Identity Manager に組み込まれています。
その他の利用可能なフォーム
NDSUserForm.xml フォームも利用できます。
トラブルシューティング
Identity Manager のデバッグページを使用して、次のクラスでトレースオプションを設定します。
Sun Identity Manager Gateway を介した NDS へのアクセスをシングルスレッド化または直列化するには、ゲートウェイマシンの HKEY_LOCAL_MACHINE¥SOFTWARE¥Waveset¥Lighthouse¥Gateway ノードに次のレジストリキーと値を設定します。
また、次のメソッドに対してトレースを有効にすることで接続の問題について診断できます。