第 4 章 ユーザとグループの管理

この章では、Administration Server の [Users & Groups] タブのフォームの使用法について説明します。

• ユーザとグループについて
• ユーザの作成
• ユーザの管理
• グループの作成
• グループの管理
• 組織単位の作成
• 組織単位の管理
• 希望言語リストの管理

警告 (NT)
システム ライブラリの競合のため、Netscape Directory Server 4.0 と iPlanet Web Server 4.x を、1 台の Windows NT マシンにインストールすることはできません。この場合、ディレクトリ サーバを他のマシンにインストールし、Administration Server の [Global Settings] タブを使って、ディレクトリ サーバを使うことができるように iPlanet Web Server を設定してください。

• ユーザ エントリ作成のガイドライン

• 新規ユーザ エントリの作成方法
• ディレクトリ サーバのユーザ エントリ

• 姓と名を同時に入力すると、フォームには自動的にユーザのフル ネームとユーザ ID が入力されます。ユーザ ID は、ユーザの名の最初の 1 文字に、ユーザの姓を組み合わせたものです。たとえば、ユーザのフル ネームが Billie Holiday の場合、ユーザ ID は自動的に bholiday となります。このユーザ ID を任意の ID に変更することができます。
• ユーザ ID は、固有である必要があります。Administration Server は、検索ベース (ベース DN) の下のディレクトリ全体を検索して、同じユーザ ID が使われていないことを確認します。ただし、ディレクトリ サーバの ldapmodify コマンド ライン ユーティリティを使ってユーザを作成した場合、ユーザ ID が固有であるかどうかの確認は行われません。ディレクトリ上でユーザ ID が重複していると、該当するユーザのディレクトリ認証を行うことができなくなります。
• ベース DN は、デフォルトのディレクトリ検索が実行され、iPlanet Web Administration Server のすべてのエントリがディレクトリ ツリーに配置される識別名を指定します。"DN" は、ディレクトリ サーバのエントリ名を表す文字列表現です。
• 新規ユーザ エントリを作成するには、少なくとも次のユーザ情報を指定する必要があります。

• ユーザの姓または名
• ユーザのフル ネーム


• ユーザ ID


• ディレクトリの組織単位を定義した場合、[Add New User To] リストを使って、新規ユーザを配置する場所を指定することができます。デフォルトの場所は、ディレクトリのベース DN (またはルート ポイント) です。

ノート Administration Server と Netscape Console では、国際情報のユーザ編集のテキスト フィールドが異なります。Netscape Console では、タグのない cn フィールドのほかに、希望言語の cn フィールドがあります。Administration Server には、このフィールドはありません。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. [New User] リンクをクリックし、表示されるページに必要な情報を入力します。

• ユーザ エントリでは、inetOrgPerson、organizationalPerson、および person オブジェクト クラスを使います。
• ユーザの識別名のデフォルト フォームは次のとおりです。

cn=full name, ou=organization, ...,o=base organization, c=country

たとえば、Billie Holiday というユーザのユーザ エントリを Marketing という 組織単位に作成し、ディレクトリのベース DN が o=Ace Industry、c=US で ある場合、このユーザの DN は次のようになります。

cn=Billie Holiday, ou=Marketing, o=Ace Industry, c=US

ただし、このフォーマットは、UID ベースの識別名に変更することができ ます。

• ユーザ フォームのフィールド値は、次の LDAP 属性として保存されます(ただし、"ユーザ" と "グループ" 以外の情報には、正規のディレクトリ サーバ ライセンスが必要です)。

表 4.1 LDAP 属性


ユーザ フィールド	対応する LDAP 属性
名	givenName
姓	sn
フル ネーム	cn
ユーザ ID	uid
パスワード	userPassword
電子メール アドレス	mail

ユーザ エントリを編集するときは、次のフィールドも使用できます。

表 4.2 ユーザ エントリの LDAP 属性


ユーザ フィールド	対応する LDAP 属性
タイトル	title
電話番号	telephoneNumber

• デフォルトの言語以外の言語の文字を使うと、ユーザ名をさらに正確に表示できる場合もあります。デフォルトの言語が英語の場合でも、ユーザの希望言語を選択すると、その言語でユーザ名が表示されます。ユーザの希望言語の設定の詳細については、「Manage Users」ページを参照してください。

• ユーザ情報の検索

• ユーザ情報の編集
• ユーザ パスワードの管理
• ユーザ ライセンスの管理
• ユーザ名の変更
• ユーザの削除

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. [Manage Users] リンクをクリックします。
3. [Find User] フィールドで、編集するエントリに値を入力します。検索フィールドに入力できる項目は、次のとおりです。

• 名前。フル ネーム、または名前の一部を入力すると、検索文字列と完全に一致するすべてのエントリが返されます。完全に一致するエントリがない場合、検索文字列を含んでいるすべてのエントリを検索します。これに該当するエントリも見つからない場合は、検索文字列と似た発音のエントリを検索します。
• ユーザID。
• 電話番号。電話番号の一部を入力すると、最後の部分が検索番号と一致する電話番号を含む、すべてのエントリが返されます。
• 電子メール アドレス。(@) 記号を含んでいるすべての検索文字列が、電子メール アドレスと見なされます。完全に一致するものがない場合、検索文字列で始まるすべての電子メール アドレスを検索します。
• アスタリスク (*) を入力すると、ディレクトリに保存されているすべてのエントリが表示されます。検索フィールドを空白のままにしても、同じ検索結果が得られます。
• 任意の LDAP 検索フィルタ。等号 (=) を含んでいるすべての文字列が、検索フィルタと見なされます。

または、[Find all users whose] フィールドのプルダウン メニューを使って、 検索結果を絞り込むこともできます。

4. [Look within] フィールドで、エントリを検索する組織単位を選択します。デフォルトは、ディレクトリのルート ポイント、または一番上のエントリです。
5. [Format] フィールドで、[On-Screen] または [Printer] を選択します。
6. [Find] をクリックすると、選択した組織単位に属するすべてのユーザが表示されます。
7. 検索結果の表で、編集するエントリの名前をクリックします。
8. [user edit] フォームが表示されます。該当するフィールドを変更し、[Save Changes] をクリックします。変更した内容は、すぐに反映されます。

• 次の図の左端のプルダウン リストを使って、検索の基準となる属性を指定します。

使用可能な検索属性のオプションのリストについては、次の「検索属性のオプション」を参照してください。

• 次の図の中央のプルダウン リストで、実行する検索の種類を指定します。

使用可能な検索種類のオプションのリストについては、次の「検索種類のオプション」を参照してください。

• 右端のテキスト フィールドには、検索文字列を入力します。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. ユーザ情報の検索の手順に従って、ユーザ エントリを表示します。
3. 変更する属性に対応するフィールドを編集します。

ノート 変更する属性値が、[Edit User] フォームに表示されない場合もあります。このような場合は、ディレクトリ サーバの ldapmodify コマンド ライン ユーティリティを使います。

ユーザ パスワードの管理
ユーザ エントリのために設定するパスワードは、さまざまな Server のユーザ認証に使われます。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. ユーザ情報の検索の手順に従って、ユーザ エントリを表示します。
3. 必要な変更を行って、[OK] をクリックします。

ノート Administration Server のユーザを、ルートからオペレーティング システム上の他のユーザに変更して、同じグループに属する複数のユーザによるコンフィグレーション ファイルの編集/管理を可能にすることができます。ただし、Unix/Linux プラットフォームではインストーラがグループにコンフィグレーション ファイルの rw パーミッションを与えることができますが、Windows NT プラットフォームの場合は、ユーザが管理者グループに所属している必要があります。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. ユーザ情報の検索の手順に従って、ユーザ エントリを表示します。
3. [User Edit] フォームの最上部で、[Licenses] リンクをクリックします。
4. 該当する部分を変更して、[OK] をクリックします。

ユーザ エントリの名前を変更するには、次の手順を実行します。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. ユーザ情報の検索の手順に従って、ユーザ エントリを表示します。

Common Name ベースの識別名 (DN) を使っている場合、ユーザのフル ネームを指定する必要があります。UID ベースの識別名を使っている場合 は、エントリに使う新規の UID の値を入力します。

3. [Rename User] ボタンをクリックします。
4. エントリの新規の識別名に合わせて、[Given Name]、[Surname]、[Full Name]、または [UID] フィールドのうち、必要なものを変更します。
5. keepOldValueWhenRenaming のパラメータを false に設定して、エントリの名前を変更するときに変更前のフル ネームまたは UID の値を保存しないように、Administration Server を設定することもできます。このパラメータは、次のファイルにあります。

server_root/admin-serv/config/dsgw-orgperson.conf

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. ユーザ情報の検索の手順に従って、ユーザ エントリを表示します。
3. [Delete User] をクリックします。

ldap:///ou=Sales,o=Netscape??sub?(uid=*)

• スタティック グループ

• ダイナミック グループ

• スタティック グループには、他のスタティック グループ、またはダイナミック グループを含むことができます。
• オプションで新規グループの説明を追加することができます。
• ディレクトリの組織単位を指定した場合、[Add New Group To] リストを使って、新規グループを配置する場所を指定することができます。デフォルトの場所は、ディレクトリのルート ポイント、または一番上のエントリです。
• 必要な情報の入力が終了したら、[Create Group] をクリックしてグループを追加し、[New Group] フォームに戻ります。または、[Create and Edit Group] をクリックしてグループを追加して、そのまま [Edit Group] フォームに移り、追加したグループを編集することもできます。グループの編集の詳細については、グループ属性の編集を参照してください。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. [New Group] リンクをクリックします。
3. 必要な情報を入力し、[OK] をクリックします。

• iPlanet Web Server のダイナミック グループの実装

• スタティック グループとダイナミック グループの属性
• ダイナミック グループがサーバのパフォーマンスに与える影響
• ダイナミック グループ作成のガイドライン
• ダイナミック グループの作成

ldap:///o=mcom.com??sub?(department=marketing)

ノート iPlanet Web Server では、ACL のグループ名として cn (commonName) 属性を使います。

• ダイナミック グループには、他のグループを含むことはできません。
• 次のフォーマットを使って、グループの LDAP URL を入力します (host と port のパラメータは認識されないため、これらの情報は省きます)。

ldap:///<basedn>?<attributes>?<scope>?<(filter)>

必要なパラメータを、次の表で説明します。

<attributes>、<scope>、および <(filter)> パラメータは、URL の 中の位置によって識別されます。属性を指定しない場合でも、クエスチョ ン マークを使ってフィールドを区切る必要があります。

• オプションで、新規グループの説明を追加することができます。
• ディレクトリの組織単位を定義した場合は、[Add New Group To] リストを使って、新規グループを配置する場所を指定することができます。デフォルトの場所は、ディレクトリのルート ポイント、または一番上のエントリです。
• 必要な情報の入力が終了したら、[Create Group] をクリックしてグループを追加し、[New Group] フォームに戻ります。または、[Create and Edit Group] をクリックしてグループを追加し、そのまま[Edit Group] フォームに移り、追加したグループを編集することもできます。グループの編集の詳細については、グループ属性の編集を参照してください。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. [New Group] タブをクリックします。
3. [Type of Group] ドロップダウン リストから [Dynamic Group] を選択します。
4. 必要な情報を入力し、[OK] をクリックします。

• グループ エントリの検索

• グループ属性の編集
• グループ メンバーの追加
• グループ メンバー リストにグループを追加する
• グループ メンバー リストからエントリを削除する
• オーナの管理
• 参照項目の管理
• グループの削除
• グループ名の変更

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. [Manage Groups] リンクをクリックします。
3. 検索するグループの名前を、[Find Group] フィールドに入力します。検索フィールドには、次の任意の値を入力することができます。

• 名前。フル ネーム、または名前の一部を入力すると、検索文字列と完全に一致するすべてのエントリが返されます。完全に一致するエントリが見つからないと、検索文字列を含んでいるすべてのエントリを検索します。これに該当するエントリも見つからない場合は、検索文字列と似た発音のエントリを検索します。
• アスタリスク (*) を入力すると、ディレクトリに保存されているすべてのグループが表示されます。検索フィールドを空白のままにしても、同じ検索結果が得られます。
• 任意の LDAP 検索フィルタ。等号 (=) を含んでいるすべての文字列が検索フィルタと見なされます。

  または、[Find all groups whose] フィールドのプルダウンメニューを使っ て、検索結果を絞り込むこともできます。

4. [Look within] フィールドで、エントリの検索の対象となる組織単位を選択します。デフォルトは、ディレクトリのルート ポイント、または一番上のエントリです。
5. [Format] フィールドで、[On-Screen] または [Printer] を選択します。
6. [Find] をクリックすると、検索条件と一致するすべてのグループが表示されます。
7. 検索結果の表で、編集するエントリの名前をクリックします。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. [Manage Groups] リンクをクリックします。
3. 編集するグループを選択し、変更する内容を入力します。

特定のエントリの検索方法の詳細については、グループ エントリの検索 を参照してください。

ノート Administration Server のユーザを、ルートからオペレーティング システム上の他のユーザに変更して、同じグループに属する複数のユーザによるコンフィグレーション ファイルの編集/管理を可能にすることができます。ただし、Unix/Linux プラットフォームではインストーラがグループにコンフィグレーション ファイルの rw パーミッションを与えることができますが、Windows NT プラットフォームの場合は、ユーザが管理者グループに所属している必要があります。

ノート 変更する属性値が、[group edit] フォームに表示されないこともあります。この ような場合は、ディレクトリ サーバの ldapmodify コマンド ライン ユー ティリティを使います。

グループ メンバーの追加
グループにメンバーを追加するには、次の手順を実行します。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. [Manage Groups] リンクをクリックします。
3. グループ エントリの検索を参照して、管理するグループを選択し、[Group Members] の [Edit] ボタンをクリックします。

iPlanet Web Server によって、エントリを検索する新しいフォームが表示さ れます。リストにユーザ エントリを追加する場合は、[Find] のプルダウン メニューに [Users] が表示されていることを確認します。グループにグルー プ エントリを追加する場合は、[Group] が表示されていることを確認しま す。

4. 右端のテキスト フィールドに検索文字列を入力します。次のオプションを使うことができます。

• 名前。フル ネーム、または名前の一部を入力すると、検索文字列と完全に一致するすべてのエントリが返されます。完全に 一致するエントリが見つからないと、検索文字列を含んでいるすべてのエントリを検索します。これに該当するエントリも見つからない場合は、検索文字列と似た発音のエントリを検索します。
• ユーザ エントリを検索する場合は、ユーザ ID を入力します。
• 電話番号。電話番号の一部を入力した場合は、検索番号で終わる電話番号を持つ、すべてのエントリが返されます。
• 電子メール アドレス。(@) の記号を含んでいるすべての検索文字列が、電子メール アドレスと見なされます。完全に一致するアドレスが見つからないと、検索文字列で始まるすべての電子メール アドレスを検索します。
• アスタリスク (*) を入力するか、テキスト フィールドを空白にすると、ディレクトリに保存されているすべてのエントリ、またはグループが表示されます。
• 任意の LDAP 検索フィルタ。等号 (=) を含んでいるすべての文字列が、検索フィルタと見なされます。
5. [Find and Add] をクリックして、一致するエントリを検索し、グループに追加します。

検索の結果、グループに追加する必要のないエントリが返された場合は、 [Remove from list?] カラムのボックスをクリックします。また、削除するエ ントリと一致する検索フィルタを作成して、[Find and Remove] をクリッ クすることもできます。

6. グループ メンバーのリストが完成したら、[Save Changes] をクリックします。表示されたエントリがグループの現在のメンバーです。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. [Manage Groups] リンクをクリックし、グループ エントリの検索を参照して削除するグループを検索し、[Group Members] の [Edit] ボタンをクリックします。
3. [Remove from list?] カラムで、リストから削除する各メンバーに対応するボックスをクリックします。

または、削除するエントリを検索するフィルタを作成して、[Find and Remove] をクリックすることもできます。検索フィルタの作成の詳細につ いては、グループ メンバーの追加を参照してください。

4. [Save Changes] をクリックすると、グループ メンバー リストからエントリが削除されます。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. [Manage Groups] リンクをクリックし、グループ エントリの検索を参照して削除するグループを検索し、[Delete Group] をクリックします。

ノート Administration Server は、グループ エントリのみを削除します。グループに属するそれぞれのメンバーは削除されません。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. [Manage Groups] リンクをクリックし、グループ エントリの検索を参照して、名前を変更するグループを検索します。
3. [Rename Group] ボタンをクリックして、表示されるダイアログ ボックスに新規グループ名を入力します。

• Marketing と Product Management の組織単位
• Marketing の組織単位に属する、Online Sales という名前のグループ

この例では、グループ名を Online Sales から Internet Investments に変更するこ とはできますが、Online Sales が属する組織単位である Marketing をProduct Management に変更することはできません。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. [New Organizational Unit] リンクをクリックし、必要な情報を入力します。

• 新規組織単位は、organizationalUnit のオブジェクト クラスを使って作成します。
• 新規組織単位の識別名 (DN) のフォームは、次のとおりです。

ou=new organization, ou=parent organization, ...,o=base organization, c=country

ou=Accounting, ou=West Coast, o=Ace Industry, c=US

• 組織単位の検索

• 組織単位の属性の編集
• 組織単位の名前の変更
• 組織単位の削除

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. [Manage Organizational Units] リンクをクリックします。
3. [Find organizational unit] のフィールドに、検索する組織単位の名前を入力します。検索のフィールドに入力できる項目は次のとおりです。

• 名前。フル ネーム、または名前の一部を入力すると、検索文字列と完全に一致するすべてのエントリが返されます。完全に一致するエントリが見つからないと、検索文字列を含んでいるすべてのエントリを検索します。これに該当するエントリも見つからない場合は、検索文字列と似た発音のエントリを検索します。
• アスタリスク (*) を入力すると、ディレクトリに保存されているすべてのグループが表示されます。検索フィールドを空白にしても、同じ検索結果が得られます。
• 任意の LDAP 検索フィルタ。等号 (=) を含んでいるすべての文字列が、検索フィルタと見なされます。

  または、[Find all units whose] フィールドのプルダウン メニューを使って、 検索結果を絞り込むこともできます。

4. [Look within] フィールドで、エントリの検索の対象となる組織単位を選択します。デフォルトは、ディレクトリのルート ポイントです。
5. [Format] フィールドで、[On-Screen] または [Printer] を選択します。
6. [Find] をクリックすると、検索条件と一致するすべての組織単位が表示されます。
7. 検索結果の表で、検索する組織単位の名前をクリックします。

1. 組織単位の検索を参照して、編集する組織単位を検索します。
2. [organizational unit edit] フォームが表示されます。必要なフィールドを変更して、[Save Changes] をクリックします。変更した内容は、すぐに反映されます。

ノート 変更する属性値が、[organizational unit edit] フォームに表示されないこともあり ます。このような場合は、ディレクトリ サーバの ldapmodify コマンド ラ イン ユーティリティを使います。

組織単位の名前の変更
組織単位のエントリの名前を変更するには、Administration Server にアクセスして、次の手順を実行します。

1. 名前を変更する組織単位に属するディレクトリに、他のエントリが存在しないことを確認します。
2. 組織単位の検索を参照して、名前を変更する組織単位を検索します。
3. [Rename] ボタンをクリックします。
4. 表示されるダイアログ ボックスに、新規の組織単位の名前を入力します。

ノート 組織単位のエントリの名前を変更する場合、変更できる内容は組織単位の名 前に限られます。名前の変更機能を使って、エントリが所属する組織単位を 変更することはできません。詳細については、組織単位の名前の変更を参照 してください。

組織単位の削除
組織単位のエントリを削除するには、Administration Server にアクセスし、次の手順を実行します。

1. 削除する組織単位に属するディレクトリに、他のエントリが存在しないことを確認します。
2. 組織単位の検索を参照して、削除する組織単位を検索します。
3. [Delete] ボタンをクリックします。
4. 確認のダイアログ ボックスで [OK] をクリックすると、該当する組織単位が削除されます。

1. Administration Server にアクセスし、[Users & Groups] タブを選択します。
2. [Manage Preferred Language List] リンクをクリックします。
3. [Display Language Selection List] フィールドで、[Yes] または [No] をクリックして、iPlanet Web Server の Language Selection List の表示の有無を選択します。
4. [Selection List] フィールドの言語の [Add to List] のチェックボックスをクリックして、希望言語リストに表示する言語を選択して追加します。
5. 希望言語リストのデフォルト言語として指定する言語のデフォルト値をクリックします。
6. [Save Changes] をクリックします。