グループの管理

グループによりエントリを関連付けて管理を容易にできます。たとえば、グループを使用すると、アクセス制御命令(ACI)の定義が簡単になります。グループ定義は、静的リストのメンバーに名前を付けるか、動的エントリ・セットを定義するフィルタを提供する特別なエントリです。

グループに含めることができるメンバーの範囲は、グループ定義エントリの配置場所とは無関係に、ディレクトリ全体となります。管理を簡素化するために、通常グループ定義エントリはすべて1か所に格納されます。通常は、ルート接尾辞の下のou=Groupsに格納されます。

グループには、静的グループおよび動的グループの2種類があります。

• 静的グループ。静的グループを定義するエントリはgroupOfNamesまたはgroupOfUniqueNamesオブジェクト・クラスのいずれかから継承されます。グループのメンバーは、memberまたはuniqueMember属性の複数値として、それぞれのDNでリストされます。

  または、静的グループにはisMemberOf属性も使用できます。isMemberOf属性は検索開始時に計算され、ユーザー・エントリに追加されます。その後、検索が終了すると再び削除されます。この機能により、グループ管理が簡単になり、読取りアクセスが速くなります。

• 動的グループ。動的グループを定義するエントリはgroupOfURLsオブジェクト・クラスから継承されます。グループ・メンバーシップは、複数値のmemberURL属性で指定される1つ以上のフィルタで定義されます。動的グループのメンバーは、フィルタが評価されたときにそのいずれかに一致するエントリです。

新しい静的グループを作成するには:

このタスクの実行には、DSCCを使用できません。次の手順の説明に従って、コマンドラインを使用してください。

1. ldapmodify コマンドを使用して、新しい静的グループを作成します。

   たとえば、System Administratorsという新しい静的グループを作成して、メンバーをいくつか追加するには、次のコマンドを使用できます。

   $ ldapmodify -a -h host1 -p 1389 -D cn=admin,cn=Administrators,cn=config -w -
   dn: cn=System Administrators, ou=Groups, dc=example,dc=com
   changetype: add
   cn: System Administrators
   objectclass: top
   objectclass: groupOfNames
   ou: Groups
   member: uid=kvaughan, ou=People, dc=example,dc=com
   member: uid=rdaugherty, ou=People, dc=example,dc=com
   member: uid=hmiller, ou=People, dc=example,dc=com

2. 新しいグループが作成され、かつメンバーが追加されたことを確認します。

   たとえば、新しいSystem AdministratorsグループにKirsten Vaughanが含まれていることを確認するには、次を入力します。

   $ ldapsearch -b "dc=example,dc=com" uid=kvaughan isMemberOf
   uid=kvaughan,ou=People,dc=example,dc=com
   isMemberOf: cn=System Administrators, ou=Groups, dc=example,dc=com 
   isMemberOf: cn=HR Managers,ou=groups,dc=example,dc=com

新しい動的グループを作成するには:

このタスクの実行には、DSCCを使用できません。次の手順の説明に従って、コマンドラインを使用してください。

• ldapmodifyコマンドを使用して、新しい動的グループを作成します。

  たとえば、3rd Floorという新しい動的グループ(部屋番号が3で始まる部屋の全従業員が含まれる)を作成するには、次のコマンドを使用できます。

  $ ldapmodify -a -h host1 -p 1389 -D cn=admin,cn=Administrators,cn=config -w -
  dn: cn=3rd Floor, ou=Groups, dc=example,dc=com
  changetype: add
  cn: 3rd Floor
  objectclass: top
  objectclass: groupOfUrls
  ou: Groups
  memberURL: ldap:///dc=example,dc=com??sub?(roomnumber=3*)