Sun ONE ロゴ      前へ      目次      索引      次へ     

Sun ONE Web Server 6.1 管理者ガイド

第 3 章
ユーザーとグループの管理

この章では、Sun ONE Web Server にアクセスするユーザーとグループの追加、削除、編集について説明します。

この章には、次の内容が記述されています。

ユーザーとグループに関する情報へのアクセス

管理サーバーを使用して、ユーザーアカウント、グループリスト、アクセス特権、組織単位、その他のユーザーやグループに固有の情報に関するアプリケーションデータにアクセスできます。

ユーザーとグループの情報は、テキスト形式のフラットファイル、または LDAP (Lightweight Directory Access Protocol) をサポートする Sun ONE Directory Server などのディレクトリサーバーに格納されます。LDAP は、オープンディレクトリアクセスプロトコルで、TCP/IP 上で動作し、グローバルサイズに、また百万単位のエントリにまで拡張可能です。

ディレクトリサービスについて

Sun ONE Directory Server などのディレクトリサーバーを使用することで、単一ソースからのすべてのユーザー情報を管理できます。ディレクトリサーバーを設定すると、ネットワークに容易にアクセスできる複数の場所から、ユーザーがディレクトリ情報を取得できるようになります。

Sun ONE Web Server 6.1 では、3 種類のディレクトリサービスを設定して、ユーザーおよびグループの認証と承認を行えます。ディレクトリサービスが設定されていない場合、作成される新しいディレクトリサービスには、種類に関係なく default という値が設定されます。

ディレクトリサービスを作成すると、ディレクトリサービスの詳細によって server-root/userdb/dbswitch.conf ファイルが更新されます。

ディレクトリサービスの種類

Sun ONE Web Server 6.1 がサポートするディレクトリサービスには、次の種類があります。

ディレクトリサービスの設定

ディレクトリサービスの詳細を設定するには、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Global Settings」タブをクリックします。
  2. 「Configure Directory Service」リンクをクリックします。
  3. 「Create New Service of Type」ドロップダウンリストから、作成するディレクトリサービスの種類を選択します。
  4. 「New」をクリックします。

    5. 選択したディレクトリサービスの種類に対応するページで、ディレクトリサービスの情報を設定できるようになります。

    注

    ディレクトリサービスが設定されていない場合、作成される新しいディレクトリサービスには、種類に関係なく default という値が設定されます。

  5. 「Save Changes」をクリックして変更を保存します。

ディレクトリサービスを作成および設定すると、仮想サーバーごとにディレクトリサービスを割り当てられるようになります。ディレクトリサービスに関連する権限とアクセス権は、アクセス制御規則を評価および適用するときに、サーバーによって使用されます。詳細は、「仮想サーバーのディレクトリサービスの選択」を参照してください。

識別名 (DN) の理解

管理サーバーの「Users and Groups」タブを使用して、ユーザー、グループ、および組織単位を作成したり、変更したりします。ユーザーとは、企業の社員などのように、LDAP データベース内の個人を意味します。グループとは、同じ属性を共有する複数のユーザーを意味します。組織単位は、organizationalUnit オブジェクトクラスを使用する企業内の区分を意味します。ユーザー、グループ、および組織単位については、この章の最後に詳細を説明します。

企業内のユーザーやグループは、それぞれ、識別名 (DN) 属性で表されます。DN 属性は、関連するユーザー、グループ、またはオブジェクトを識別する情報が記述されたテキスト文字列です。ユーザーやグループのディレクトリエントリを変更する場合は、必ず DN を使用します。たとえば、ディレクトリエントリを作成したり変更したり、アクセス制御を設定したり、メールまたはパブリッシングなどのアプリケーション用のユーザーアカウントを設定したりする場合はそのたびに、DN 情報を指定する必要があります。DN を作成または変更するときは、Sun ONE Web Server 管理コンソールでユーザーとグループのインタフェースを使用すると便利です。

次の例は、Sun Microsystems の社員の一般的な DN を表しています。

uid=doe,e=doe@sun.com,cn=John Doe,o=Sun Microsystems Inc.,c=US

この例では、各等号の前の略語は、それぞれ次の意味を示します。

DN には、さまざまな名前-値の組み合わせを含めることができます。DN は、証明書の項目、および LDAP をサポートするディレクトリ内のエントリの両方を識別するために使用されます。

LDIF の使用

この時点でまだディレクトリがない場合、または、既存のディレクトリに新規のサブツリーを追加したい場合、Directory Server の管理サーバー LDIF インポート機能を使用できます。この機能を使用すれば、LDIF を含むファイルを取り扱うことができ、ディレクトリを構築したり、LDIF エントリから新規のサブツリーを構築することが可能です。また、Directory Server の LDIF エクスポート機能を使用して、現在のディレクトリを LDIF へエクスポートすることもできます。この機能は、該当するディレクトリを表す LDIF 書式のファイルを作成します。エントリは、ldapmodify コマンドを適切な LDIF 更新文とともに使用して追加、編集します。

LDIF を使用してデータベースにエントリを追加するには、まず、LDIF ファイル内のエントリを定義し、次に、Directory Server から LDIF ファイルをインポートします。

ユーザーの作成

管理サーバーの「Users and Groups」タブを使用して、ユーザーエントリを作成したり、変更したりします。ユーザーエントリには、データベース内の個人やオブジェクトに関する情報があります。

ユーザーを作成するときは、そのユーザーがリソースに不正にアクセスできないように設定することで、サーバーのセキュリティを保護する必要があります。Sun ONE Web Server 6.1 には、セキュリティ強化のためのオプションが数多く用意されています。

この節では、次の内容について説明します。

LDAP ベース認証データベースの新規ユーザーの作成

LDAP ベースのディレクトリサービスにユーザーエントリを追加すると、ユーザーの認証と承認に、基本となる LDAP ベースディレクトリサーバーのサービスが使用されます。この項では、LDAP ベースの認証データベースを使用する場合に注意すべきガイドラインを示し、管理サーバーを通じてユーザーを追加する方法について説明します。

LDAP ベースユーザーエントリ作成のガイドライン

管理者フォームを使用して LDAP ベースのディレクトリサービスに新しいユーザーエントリを作成するときは、次のガイドラインを考慮してください。

新規ユーザーエントリの作成方法

ユーザーエントリを作成するには、「LDAP ベースユーザーエントリ作成のガイドライン」に記載のガイドラインを読み、その後で次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「New User」リンクをクリックします。
  3. 「Select Directory service」ドロップダウンリストから「LDAP Directory Service」を選択し、「Select」をクリックします。
  4. 表示されるページに必要な情報を入力します。

    5. 詳細は、「Directory Server のユーザーエントリ」を参照してください。

  5. 「Create User」または「Create and Edit User」をクリックします。

詳細は、オンラインヘルプの「New User」ページを参照してください。

Directory Server のユーザーエントリ

次のユーザーエントリについての注意は、主にディレクトリ管理者を対象としています。

鍵ファイル認証データベースの新規ユーザーの作成

鍵ファイル認証データベースにユーザーエントリを作成するには、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「New User」リンクをクリックします。
  3. 「Select Directory service」ドロップダウンリストからファイルベースのディレクトリサービスを選択し、「Select」をクリックします。
  4. 次の情報を入力します。
    • User ID: (必須) 一意のユーザー名を指定する
    • Password: ユーザーのパスワードを指定する
    • Password (Again): 「Password」フィールドで入力したパスワードを確認する
    • Groups: コンマで区切って指定されているグループのリストからユーザーがメンバーとなっているグループを指定する
  5. 「Create User」をクリックします。

ダイジェストファイル認証データベースの新規ユーザーの作成

ユーザーとグループの情報を暗号化された形式で格納するダイジェストファイル認証データベースにユーザーエントリを作成するには、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「New User」リンクをクリックします。
  3. 「Select Directory Service」ドロップダウンリストからダイジェストベースのディレクトリサービスを選択し、「Select」をクリックします。
  4. 次の情報を入力します。
    • User ID: (必須) 一意のユーザー名を指定する
    • Realm: このユーザーを認証するレルムを指定する
    • Password: ユーザーのパスワードを指定する
    • Password (Again): 「Password」フィールドで入力したパスワードを確認する
    • Groups: コンマで区切って指定されているグループのリストからユーザーがメンバーとなっているグループを指定する
  5. 「Create User」をクリックします。

    6. 注

    Sun ONE Web Server ACL ユーザーインタフェースを使用してダイジェスト認証による ACL を作成するときは、同じレルム文字列を指定する必要があります。詳細は、「アクセス制御の設定」を参照してください。

ユーザーの管理

ユーザーの属性は、管理サーバーの「Manage Users」フォームから編集できます。このフォームを使用して、ユーザーエントリを検索、変更、名前変更、および削除できます。

Sun ONE サーバーの中には、この領域に製品固有の情報を管理するためのフォームを追加しているものもあります。たとえば、メッセージングサーバーが管理サーバー配下にインストールされている場合、メッセージングサーバー固有の情報を編集できるようにフォームが追加されています。このような追加の管理機能については、サーバーのマニュアルを参照してください。

この節では、次の内容について説明します。

ユーザー情報の検索

ユーザーエントリを編集する際は、事前に関連情報を表示する必要があります。特定のユーザー情報を検索するには、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「Manage Users」リンクをクリックします。
  3. 「Select Directory Service」ドロップダウンリストからディレクトリサービスを選択し、「Select」をクリックします。

    4. タイプが「Key File」または「Digest File」のディレクトリサービスでは、ユーザーのリストが表示されます。タイプが「LDAP Server」のディレクトリサービスでは、検索フィールドが表示されます。

  4. ユーザー情報の検索:

    5. 「Key File」または「Digest File」の場合は、ユーザーのリンクをクリックし、編集フォームを表示して変更を行います。編集フォームの詳細については、オンラインヘルプを参照してください。

    LDAP サーバーの場合は、次の手順を実行します。

    1. 「Find User」フィールドに、編集したいエントリに関連する文字 (値) を入力します。検索フィールドに入力できる値は、次のとおりです。
      • 名前。フルネーム、または名前の一部を入力する。検索文字列と完全に一致するすべてのエントリが返される。これに該当するエントリがない場合は、検索文字列を含むすべてのエントリが検索される。これにも該当しない場合は、検索文字列と類似したエントリが検索される
      • ユーザー ID
      • 電話番号。電話番号の一部だけを入力すると、最後の部分が検索番号に一致する電話番号を含むエントリがすべて返される
      • 電子メールアドレス。アットマーク (@) 記号を含む検索文字列は、すべて、電子メールアドレスとして認識される。完全に一致するエントリがない場合は、検索文字列で始まる電子メールアドレスがすべて検索される
      • アスタリスク (*) を入力すると、現在ディレクトリにあるエントリがすべて表示される。検索フィールドに何も入力しないで検索しても、同じ結果が得られる
      • 任意の LDAP 検索フィルタ。等号 (=) を含む文字列はすべて、検索フィルタとして認識される

        • 他の方法としては、「Find all users whose」フィールドのドロップダウンメニューを使用して、検索結果を絞り込む方法もあります。

    2. 「Look within」フィールドで、エントリの検索を行う組織単位を選択します。

      3. デフォルトは、ディレクトリのルートポイント (つまり最上位のエントリ) です。

    3. 「Format」フィールドで、「On-Screen」または「Printer」を選択します。
    4. 「Find」をクリックします。

      5. 選択された組織単位に含まれるユーザーがすべて表示されます。

    5. 検索結果テーブルで、編集するエントリをクリックします。

      6. ユーザー編集フォームが表示されます。オンラインヘルプで説明されているように、情報を編集します。

    6. 「Save Changes」をクリックします。

      7. 変更は、すぐに有効となります。

カスタム検索クエリの構築

LDAP サービスでは、「Find all users whose」フィールドを使用して、カスタム検索フィルタを構築できます。このフィールドを使用して、「Find user」検索で返される検索結果を絞り込みます。

「Find all users whose」フィールドでは、次のような検索条件を使用します。

次の表は、使用可能な検索属性のオプションを示します。

表 3-3 検索属性オプション

オプション名

説明

full name (フルネーム)

各エントリのフルネームで一致しているものを検索する

last name (ラストネーム)

各エントリのラストネーム (姓) で一致しているものを検索する

user id (ユーザー ID)

各エントリのユーザー ID で一致しているものを検索する

phone number (電話番号)

各エントリの電話番号で一致しているものを検索する

email address (電子メールアドレス)

各エントリの電子メールアドレスで一致しているものを検索する

unit name (組織単位名)

各エントリの組織単位名で一致しているものを検索する

description

各エントリの記述で一致しているものを検索する

次の表は、使用可能な検索タイプのオプションを示します。

表 3-4 検索タイプのオプション 

オプション名

説明

contains

部分文字列検索を実行する。指定した検索文字列を含む属性値のエントリを返す。たとえば、ユーザー名に「Dylan」が含まれているとわかっている場合、このオプションを使用して、検索文字列に「Dylan」と入力しユーザーのエントリを検索する

is

正確に一致するものを検索する。すなわち、このオプションは完全一致検索を実行する。正確なユーザーの属性値がわかっているときには、このオプションを使用する。たとえば、ユーザー名の正確なスペルがわかっている場合は、このオプションを使用する

isn't

属性値が検索文字列と完全一致ではないエントリをすべて返す。たとえば、ユーザー名が「John Smith」でない、ディレクトリ内のすべてのユーザーを検索したい場合、このオプションを使用する。ただし、このオプションを使用すると返されるエントリ数が膨大になるため、注意が必要

sounds like

近似検索、または表記の似た検索を実行する。属性のおよその値はわかっているが、スペルが正確にはわからない場合に、このオプションを使用する。たとえば、ユーザー名のスペルが、「Sarret」、「Sarette」、または「Sarett」か、不確かな場合には、このオプションを使用する

starts with

部分文字列検索を実行する。属性値が指定した検索文字列で始まるエントリをすべて返す。たとえば、ユーザー名が「Miles」で始まるのはわかっているが、名前の残りの部分がわからない場合に、このオプションを使用する

ends with

部分文字列検索を実行する。属性値が指定した検索文字列で終わるエントリをすべて返す。たとえば、ユーザー名が「Dimaggio」で終わるのはわかっているけれども、名前の残りの部分がわからない場合には、このオプションを使用する

Look Within ディレクトリ内のユーザーエントリをすべて表示するには、テキストフィールドに、アスタリスク (*) を入力するか、または、何も入力せずに検索します。

ユーザー情報の編集

ユーザーエントリを変更するには、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「ユーザー情報の検索」の説明に従って、ユーザーエントリを表示します。
  3. 変更したい属性に対応するフィールドを編集します。

特定のフィールドについては、関連するオンラインヘルプを参照してください。

注

変更したい属性値が「edit user」フォームに表示されていない場合でも、変更は可能です。この場合、Directory Server の ldapmodify コマンド行ユーティリティが使用できる場合は、これを使用します。

LDAP データベースでは、このフォームからユーザーのファーストネーム、ラストネーム、およびフルネームのフィールドを変更することもできますが、エントリ (エントリの識別名を含む) の名前を完全に変更するには、「Rename User」フォームを使用する必要があることに注意してください。エントリの名前の変更については、「ユーザー名の変更」を参照してください。

ユーザーのパスワードの管理

ユーザーエントリに設定するパスワードは、ユーザー認証のためにさまざまなサーバーに使用されます。

ユーザーのパスワードを変更または作成するには、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「ユーザー情報の検索」の説明に従って、ユーザーエントリを表示します。
  3. 必要に応じて設定を変更します。

詳細は、オンラインヘルプの「Manage Users」ページを参照してください。

注

管理サーバーのユーザーを、root からオペレーティングシステム上の別のユーザーに変更できます。これにより、同じグループに属する複数のユーザーが設定ファイルを編集、管理できるようになります。ただし、UNIX/Linux プラットフォームの場合は、インストーラが任意のグループに設定ファイルの「rw」 (読み書き) を許可しますが、Windows プラットフォームの場合は、ユーザーは「Administrators」グループに属している必要があります。

LDAP データベースの場合、ユーザーのパスワードは、「Disable Password」ボタンをクリックして無効にすることができます。こうすることで、そのユーザーのディレクトリエントリを削除せずに、そのユーザーがサーバーへログインできなくすることができます。このユーザーに再度アクセスを許可するには、「Password Management」フォームを使用して、新しいパスワードを入力します。

ユーザー名の変更

LDAP データベースでは、名前の変更機能は、ユーザーの名前だけ変更します。他のフィールドは変更されません。また、ユーザーの古い名前は残されたままなので、古い名前で検索しても新しいエントリが表示されます。

ユーザーエントリ名を変更する場合、変更できるのはユーザー名だけです。名前の変更機能を使って、エントリを 1 つの組織単位から別の組織単位へ移動することはできません。たとえば、Marketing と Accounting という組織単位があり、「Billie Holiday」というエントリが Marketing 組織単位に属していると仮定します。エントリの名前は、Billie Holiday から Doc Holiday に変更できますが、Marketing 組織単位所属の Billie Holiday を Accounting 組織単位所属の Billie Holiday にするようエントリの名前を変更することはできません。

ユーザーエントリの名前を変更するには、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「ユーザー情報の検索」の説明に従って、ユーザーエントリを表示します。

    3. 共通名ベースの DN を使用している場合は、ユーザーのフルネームを指定するようにしてください。UID ベースの識別名を使用している場合は、エントリに使用したい新規の UID 値を入力します。

  3. 「Rename User」ボタンをクリックします。
  4. エントリの新しい識別名に合わせて、「Given Name」、「Surname」、「Full Name」または「UID」フィールドを変更します。
  5. エントリ名を変更するときに keepOldValueWhenRenaming パラメータを「false」に設定すれば、古いフルネームや古い UID 値を今後保持しないよう管理サーバーに指示できます。このパラメータは、次のファイルにあります。

詳細は、オンラインヘルプの「Manage Users」ページを参照してください。

ユーザーの削除

ユーザーエントリを削除するには、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「ユーザー情報の検索」の説明に従って、ユーザーエントリを表示します。
  3. 「Remove User」 (鍵ファイルおよびダイジェストファイル) または「Delete User」 (LDAP) をクリックします。

詳細は、オンラインヘルプの「Manage Users」ページを参照してください。

グループの作成

グループは、LDAP データベースにおいてオブジェクトのセットを表現するオブジェクトです。Sun ONE Web Server グループは、共通する属性を共有する複数のユーザーで構成されています。たとえば、会社のマーケティング部門で働く多数の従業員がオブジェクトのセットになります。この従業員たちは、「Marketing」というグループに属します。

LDAP サービスでは、グループのメンバーシップを定義するには、スタティックな方法とダイナミックな方法の 2 つがあります。スタティックグループは、メンバーオブジェクトを明示的に列挙します。スタティックグループは CN であり、uniqueMembers、memberURLs、memberCertDescriptions のいずれかまたはそのすべてが含まれます。スタティックグループでは、メンバーは、CN=<Groupname> 属性以外の共通の属性は共有しません。

ダイナミックグループでは、LDAP URL を使用してグループメンバーだけと一致させるための規則セットを定義できます。ダイナミックグループでは、メンバーは共通属性、または memberURL フィルタに定義される属性セットを共有します。たとえば、Sales 部門のすべての従業員を含むグループが必要で、全員がすでに「ou=Sales,o=Airius.com」の下の LDAP に含まれている場合は、次の memberurl を使用してダイナミックグループを定義します。

このグループは、「ou=Sales,o=sun」ポイントの下のツリーで、uid 属性を持つすべてのオブジェクト、つまりすべての Sales メンバーを持つことになります。

スタティックおよびダイナミックグループで、memberCertDescription を使用している場合は、メンバーは証明書から共通の属性を共有できます。ただし、これは、ACL が SSL メソッドを使用している場合だけ有効となります。

新規グループを作成したら、このグループにユーザーやメンバーを追加することができます。

この節では、次の内容について説明します。

スタティックグループ

LDAP サービスでは、管理サーバーを使って、複数ユーザーの DN の中に、同じグループ属性を指定して、スタティックグループを作成できます。スタティックグループは、ユーザーの追加や削除を実行しないかぎり、変更されることはありません。

スタティックグループ作成のガイドライン

新規のスタティックグループを作成するために管理サーバーのフォームを使用するときには、次のガイドラインを考慮してください。

スタティックグループを作成するには

スタティックグループエントリを作成するには、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「New Group」リンクをクリックします。
  3. 必要な情報を入力し、「OK」をクリックします。

詳細は、オンラインヘルプの「New Group」ページを参照してください。

ダイナミックグループ

1 つのダイナミックグループは、groupOfURLs に対応する 1 つの objectclass、0 個以上の memberURL 属性、および、それぞれのオブジェクトのセットを説明する LDAP URL を持ちます。

LDAP サービスの場合、Sun ONE Web Server では、任意の属性に基づいてユーザーを自動的にグループ化する場合、または一致する DN を含む特定のグループに ACL を適用する場合に、ダイナミックグループを作成できます。たとえば、department=marketing という属性を持つ任意の DN を自動的に含めるグループを作成することができます。department=marketing に検索フィルタを適用すると、検索結果は、department=marketing 属性を含むすべての DN からなるグループを返します。次に、このフィルタに基づいて検索結果からダイナミックグループを定義できます。さらに、結果として生成されるダイナミックグループの ACL を定義できます。

この節では、次の内容について説明します。

Sun ONE Web Server がダイナミックグループを実装するしくみ

Sun ONE Web Server は、ダイナミックグループを objectclass = groupOfURLs として LDAP サーバースキーマ内に実装します。groupOfURLS クラスは、複数の memberURL 属性を持つことができます。この属性は、それぞれがディレクトリ内のオブジェクトセットを列挙する LDAP URL から構成されます。グループのメンバーは、これらのセットの組み合わせです。たとえば、次のグループには 1 つのメンバー URL だけが含まれます。

この例は、部署名が「marketing」である「o=mcom.com」の下のすべてのオブジェクトから構成されるセットを示しています。LDAP URL は、検索ベース DN、スコープ、フィルタを含むことができますが、ホスト名とポートを含むことはできません。つまり、同じ LDAP サーバー上のオブジェクトだけを参照できます。すべてのスコープがサポートされます。

グループに DN を個別に追加しなくても、すべての DN が自動的に含まれます。Sun ONE Web Server は ACL 検証でグループルックアップが必要になるたびに LDAP サーバー検索を行うため、グループはダイナミックに変化します。ACL ファイルで使用されるユーザー名とグループ名は、LDAP データベース内のオブジェクトの cn 属性に対応します。

注

Sun ONE Web Server は cn (commonName) 属性を ACL のグループ名として使用します。

ACL から LDAP データベースへのマッピングは、dbswitch.conf 設定ファイル (ACL データベース名と実際の LDAP データベース URL を関連付ける) と ACL ファイル (どの ACL でどのデータベースが使用されるかを定義する) の両方に定義されます。たとえば、「staff」というグループのメンバーシップに基本アクセス権を設定する場合、ACL コードは groupOf<anything> というオブジェクトクラスを持ち、CN が「staff」に設定されているオブジェクトを検索します。オブジェクトは、メンバー DN を明示的に列挙するか (スタティックグループの groupOfUniqueNames と同様)、または LDAP URL を指定することによって (たとえば groupOfURLs)、グループのメンバーを定義します。

スタティックでダイナミックなグループ

グループは、objectclass = groupOfUniqueMembers と objectclass = groupOfURLs の両方の属性を持つことにより、「uniqueMember」属性と「memberURL」属性の両方を有効にできます。グループのメンバーシップには、スタティックなメンバーとダイナミックなメンバーが混在します。

ダイナミックグループがサーバーパフォーマンスに与える影響

ダイナミックグループを使用した場合、サーバーのパフォーマンスに影響が生じます。グループメンバーシップをテストするときに、DN がスタティックグループのメンバーではない場合、Sun ONE Web Server はデータベースのベース DN に含まれるすべてのダイナミックグループをチェックします。Sun ONE Web Server は、ベース DN と Scope をユーザーの DN と比較して各 memberURL が一致するかどうかを調べ、次にユーザー DN をベース DN とし、memberURL のフィルタを使用してベース検索を実行することで、このチェックを行います。この処理では、膨大な数の検索が行われることがあります。

ダイナミックグループ作成のガイドライン

新規のダイナミックグループを作成するために管理サーバーのフォームを使用するときには、次のガイドラインを考慮します。

ダイナミックグループを作成するには

ディレクトリ内にダイナミックグループエントリを作成するには、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「New Group」リンクをクリックします。
  3. 「Type of Group」ドロップダウンリストから「Dynamic Group」を選択します。
  4. 必要な情報を入力し、「OK」をクリックします。

詳細は、オンラインヘルプの「New Group」ページを参照してください。

グループの管理

LDAP サービスでは、管理サーバーを使用して、「Manage Groups」フォームからグループを編集したり、グループのメンバーシップを管理したりできます。この節では、次の内容について説明します。

グループエントリの検索

グループエントリを編集する前に、エントリを検索して表示する必要があります。

グループエントリを検索するには、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「Manage Groups」リンクをクリックします。
  3. 検索するグループ名を「Find Group」フィールドに入力します。

    4. 検索フィールドに入力できる値は、次のとおりです。

    • 名前。フルネーム、または名前の一部を入力する。検索文字列と完全に一致するすべてのエントリが返される。これに該当するエントリがない場合は、検索文字列を含むすべてのエントリが検索される。これにも該当しない場合は、検索文字列と類似したエントリが検索される
    • アスタリスク (*) を入力すると、ディレクトリにある現在の組織単位がすべて表示される。検索フィールドに何も入力しないで検索しても、同じ結果が得られる
    • 任意の LDAP 検索フィルタ。等号 (=) を含む文字列はすべて、検索フィルタとして認識される

      • 他の方法としては、「Find all groups whose」フィールドのドロップダウンメニューを使用して、検索結果を絞り込む方法もあります。

  4. 「Look within」フィールドで、エントリの検索を行う組織単位を選択します。

    5. デフォルトは、ディレクトリのルートポイント (つまり最上位のエントリ) です。

  5. 「Format」フィールドで、「On-Screen」または「Printer」を選択します。
  6. 「Find」をクリックします。

    7. 検索条件に一致するグループがすべて表示されます。

  7. 検索結果テーブルで、編集したいエントリの名前をクリックします。

「Find all groups whose」フィールド

LDAP サービスでは、「Find all groups whose」フィールドを使用して、カスタム検索フィルタを構築できます。このフィールドを使用して、「Find groups」で返される検索結果を絞り込みます。

Look Within ディレクトリ内のグループエントリをすべて表示するには、テキストフィールドに、アスタリスク (*) を入力するか、または、何も入力せずに検索します。

カスタム検索フィルタを構築する方法については、「カスタム検索クエリの構築」を参照してください。

グループ属性の編集

グループエントリを編集するには (LDAP サービスのみ)、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「Manage Groups」リンクをクリックします。
  3. 編集したいグループを特定し、必要な箇所を変更します。

グループ属性の編集については、オンラインヘルプの「Manage Groups」ページを参照してください。

注

変更したい属性値が「group edit」フォームに表示されていない場合でも、変更は可能です。この場合、Directory Server の ldapmodify コマンド行ユーティリティが使用できる場合は、これを使用します。

グループメンバーの追加

グループにメンバーを追加するには (LDAP サービスのみ)、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「Manage Groups」リンクをクリックします。
  3. 「グループエントリの検索」で説明されているように、管理したいグループを特定し、「Group Members」の下の「Edit」ボタンをクリックします。

    4. Sun ONE Web Server に、エントリ検索のための新しいフォームが表示されます。リストにユーザーエントリを追加する場合、「Users 」が「Find」のドロップダウンメニューに表示されていることを確認します。グループにグループエントリを追加する場合、必ず「Group」が表示されていることを確認します。

  4. 一番右側のテキストフィールドに、検索文字列を入力します。次のオプションのうち、いずれかを入力します。
    • 名前。フルネーム、または名前の一部を入力する。検索文字列と名前が一致するすべてのエントリが返される。これに該当するエントリがない場合は、検索文字列を含むすべてのエントリが検索される。これにも該当しない場合は、検索文字列と類似したエントリが検索される
    • ユーザーエントリを検索する場合は、ユーザー ID
    • 電話番号。電話番号の一部だけを入力すると、最後の部分が検索番号に一致する電話番号を含むエントリがすべて返される
    • 電子メールアドレス。アットマーク (@) 記号を含む検索文字列は、すべて、電子メールアドレスとして認識される。完全に一致するエントリがない場合は、検索文字列で始まる電子メールアドレスがすべて検索される
    • 現在ディレクトリ内にあるエントリまたはグループをすべて表示するには、テキストフィールドに、アスタリスク (*) を入力するか、または、何も入力せずに検索する
    • 任意の LDAP 検索フィルタ。等号 (=) を含む文字列はすべて、検索フィルタとして認識される
  5. 「Find and Add」をクリックして、一致するすべてのエントリを検索し、グループにこのエントリを追加します。

    6. グループに追加する必要のないエントリが返された場合は、「Remove from list?」列内のボックスをクリックします。また、削除したいエントリに一致する検索フィルタを作成して、「Find and Remove」をクリックすることもできます。

  6. グループメンバーのリストが完成したら、「Save Changes」をクリックします。

    7. 現在表示されているエントリがグループのメンバーとなります。

グループメンバーの追加については、オンラインヘルプの「Edit Members」ページを参照してください。

グループメンバーリストへのグループの追加

LDAP サービスでは、グループのメンバーリストに (個別のメンバーの代わりに) グループを追加できます。グループを追加すると、追加されたグループに属するユーザーは、追加先のグループのメンバーになります。たとえば、Neil Armstrong が「Engineering Managers」グループのメンバーであり、この「Engineering Managers」グループを「Engineering Personnel」グループのメンバーにする場合、Neil Armstrong は、「Engineering Personnel」グループのメンバーにもなります。

グループを別のグループのメンバーリストへ追加するには、ユーザーエントリと同様に、グループを追加します。詳細は、76 ページの「グループメンバーの追加」を参照してください。

グループメンバーリストからのエントリの削除

グループメンバーリストからエントリを削除するには (LDAP サービスのみ)、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「Manage Groups」リンクをクリックして、74 ページの「グループエントリの検索」で説明されているように、管理したいグループを特定し、「Group Members」の下の「Edit」ボタンをクリックします。
  3. リストから削除したい各メンバーについて、「Remove from list?」列の下の、対応するボックスをクリックします。

    4. ほかに、削除したいエントリを検索するフィルタを作成して、「Find and Remove」をクリックする方法もあります。検索フィルタの作成については、76 ページの「グループメンバーの追加」を参照してください。

  4. 「Save Changes」をクリックします。エントリが、グループメンバーリストから削除されます。

所有者の管理

LDAP サービスの場合、グループの所有者リストは、グループメンバーリストと同様の方法で管理します。詳細についての参照先は、次の表に示します。

表 3-6 追加情報

タスク

参照先

グループに所有者を追加する

76 ページの「グループメンバーの追加」

所有者リストにグループを追加する

77 ページの「グループメンバーリストへのグループの追加」

所有者リストからエントリを削除する

77 ページの「グループメンバーリストからのエントリの削除」

See Also の管理

「See Also」(関連項目) は、現在のグループに関連のある、他のディレクトリのエントリへの参照です。「See Also」を使用して、現在のグループと関連のあるユーザーや他のグループのエントリを簡単に見つけることができます。

「See Also」は、グループメンバーリストと同様の方法で管理します。詳細についての参照先は、次の表に示します。

表 3-7 追加情報

タスク

参照先

「See Also」にユーザーを追加する

76 ページの「グループメンバーの追加」

「See Also」にグループを追加する

77 ページの「グループメンバーリストへのグループの追加」

「See Also」からエントリを削除する

77 ページの「グループメンバーリストからのエントリの削除」

グループの削除

グループエントリを削除するには (LDAP サービスのみ)、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「Manage Groups」リンクをクリックして、74 ページの「グループエントリの検索」で説明されているように、削除したいグループを特定し、「Delete Group」をクリックします。

    3. 注

    管理サーバーは、グループエントリだけを削除します。削除したグループに属する個々のメンバーは削除されません。

グループの名前の変更

グループエントリの名前を変更するには (LDAP サービスのみ)、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「Manage Groups」リンクをクリックして、74 ページの「グループエントリの検索」で説明されているように、変更したいグループを特定します。
  3. 「Rename Group」ボタンをクリックして、表示されたダイアログボックスに新しいグループの名前を入力します。

グループエントリ名を変更する場合、変更できるのはグループの名前だけです。グループ名の変更機能 (Rename Group) を使って、エントリを 1 つの組織単位から別の組織単位へ移動することはできません。たとえば、ある企業には次のような組織があるとします。

この例では、Online Sales というグループ名を Internet Investments に変更することはできますが、Marketing という組織単位の下の Online Sales を、Product Management という組織単位の下の Online Sales にするようエントリの名前を変えることはできません。

組織単位の作成

LDAP サービスでは、組織単位には、複数のグループを含めることができ、それらは通常、部、課などの業務グループを表します。DN は、複数の組織単位に存在させることができます。

組織単位を作成するには、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「New Organizational Unit」リンクをクリックし、必要な情報を入力します。

詳細は、オンラインヘルプの「New Organizational Unit」ページを参照してください。

次の項目は、主にディレクトリ管理者を対象としています。

たとえば、Accounting という新規の組織を、組織単位 West Coast 内に作成する場合、ベース DN が o=Ace Industry、c=US とすると、新規の組織単位の DN は、次のようになります。

組織単位の管理

LDAP サービスでは、組織単位の編集や管理には、「Organizational Unit Edit」フォームを使用します。この節では、次のタスクについて説明します。

組織単位の検索

組織単位を検索するには (LDAP サービスのみ)、次の手順を実行します。

  1. 管理サーバーにアクセスして、「Users & Groups」タブを選択します。
  2. 「Manage Organizational Units」リンクをクリックします。
  3. 検索する組織単位の名前を「Find Organizational Units」フィールドに入力します。検索フィールドに入力できる値は、次のとおりです。
    • 名前。フルネーム、または名前の一部を入力する。検索文字列と完全に一致するすべてのエントリが返される。これに該当するエントリがない場合は、検索文字列を含むすべてのエントリが検索される。これにも該当しない場合は、検索文字列と類似したエントリが検索される
    • アスタリスク (*) を入力すると、ディレクトリにある現在の組織単位がすべて表示される。検索フィールドに何も入力しないで検索しても、同じ結果が得られる
    • 任意の LDAP 検索フィルタ。等号 (=) を含む文字列はすべて、検索フィルタとして認識される

      • 他の方法としては、「Find all units whose」フィールドのドロップダウンメニューを使用して、検索結果を絞り込む方法もあります。

  4. 「Look within」フィールドで、エントリの検索を行う組織単位を選択します。

    5. デフォルトでは、ディレクトリのルートポイントとなります。

  5. 「Format」フィールドで、「On-Screen」または「Printer」を選択します。
  6. 「Find」をクリックします。

    7. 検索条件に一致する組織単位がすべて表示されます。

  7. 検索結果テーブルで、編集したい組織単位の名前をクリックします。

Find all units whose フィールド

LDAP サービスでは、「Find all units whose」フィールドを使用して、カスタム検索フィルタを構築できます。このフィールドを使用して、「Find organizational unit」で返される検索結果を絞り込みます。

Look Within ディレクトリ内の組織単位エントリをすべて表示するには、テキストフィールドに、アスタリスク (*) を入力するか、または、何も入力せずに検索します。

カスタム検索フィルタを構築する方法については、64 ページの「カスタム検索クエリの構築」を参照してください。

組織単位の属性の編集

組織単位のエントリを変更するには (LDAP サービスのみ)、管理サーバーにアクセスし、次の手順を実行します。

  1. 81 ページの「組織単位の検索」で説明されているように、編集したい組織単位を特定します。

    2. 組織単位編集フォームが表示されます。

  2. 必要に応じてフィールドの変更を行い、「Save Changes」をクリックします。

    3. 変更は、すぐに有効となります。

    注

    変更したい属性値が「organizational unit edit」フォームに表示されていない場合でも、変更は可能です。この場合、Directory Server の ldapmodify コマンド行ユーティリティが使用できる場合は、これを使用します。

組織単位名の変更

組織単位のエントリの名前を変更するには (LDAP サービスだけ)、管理サーバーにアクセスし、次の手順を実行します。

  1. 削除したい組織単位の下のディレクトリには、他のエントリが何も入っていないことを確認します。
  2. 81 ページの「組織単位の検索」で説明されているように、編集したい組織単位を特定します。
  3. 「Rename」ボタンをクリックします。
  4. 表示されたダイアログボックスに新しい組織単位名を入力します。

    5. 注

    組織単位エントリの名前を変更する場合、変更できるのは組織単位の名前だけです。名前の変更機能を使って、エントリを 1 つの組織単位から別の組織単位へ移動することはできません。詳細は、83 ページの「組織単位名の変更」を参照してください。

組織単位の削除

組織単位のエントリを削除するには (LDAP サービスのみ)、管理サーバーにアクセスし、次の手順を実行します。

  1. 削除したい組織単位の下のディレクトリには、他のエントリが何も入っていないことを確認します。
  2. 81 ページの「組織単位の検索」で説明されているように、削除したい組織単位を特定します。
  3. 「Delete」ボタンをクリックします。
  4. 表示される確認ボックスで、「OK」をクリックします。

    5. 組織単位がすぐに削除されます。



前へ      目次      索引      次へ     

Copyright 2004 Sun Microsystems, Inc. All rights reserved.