バックエンドLDAPサーバーへのリクエストの転送

この項では、リクエストをDirectory Proxy ServerからバックエンドLDAPサーバーに転送するために使用できる様々な方法について説明します。

バインド・リプレイによるリクエストの転送

Directory Proxy Serverのクライアント資格証明のバインド・リプレイの詳細は、Oracle Directory Server Enterprise Editionリファレンスのバインド・リプレイのために構成されたDirectory Proxy Serverに関する項を参照してください。次の手順では、バインド・リプレイを使用してリクエストをDirectory Proxy ServerからバックエンドLDAPサーバーに転送する方法について説明します。

バインド・リプレイでリクエストを転送するには:

このタスクの実行には、DSCCが使用できます。詳細は、「Directory Service Control Centerのインタフェース」およびDSCCのオンライン・ヘルプを参照してください。

• クライアントによって提供される資格証明を使用して、バックエンドLDAPサーバーに対して認証するようにデータソースのクライアント資格証明を構成します。

  $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \
   client-cred-mode:use-client-identity

プロキシ認可によるリクエストの転送

Directory Proxy Serverでのプロキシ認可の詳細は、Oracle Directory Server Enterprise Editionリファレンスのプロキシ認可のために構成されたDirectory Proxy Serverに関する項を参照してください。

この項では、プロキシ認可を使用してリクエストを転送する手順およびプロキシ認可制御を使用してリクエストを転送する手順について説明します。

プロキシ認可を使用してリクエストを転送するには:

1. バージョン1またはバージョン2のプロキシ認可制御をするためのデータソースを構成します。

   たとえば、バージョン1のプロキシ認可制御のためのデータソースを構成します。

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \
    proxied-auth-use-v1:true

   または、バージョン2のプロキシ認可制御のためのデータソースを構成します。

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \
    proxied-auth-use-v1:false

2. プロキシ認可を使用してバックエンドLDAPサーバーに対して認証するようにデータソースを構成します。

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \
    client-cred-mode:use-proxy-auth

   書込み操作のみに対してプロキシ認可を使用して、バックエンドLDAPサーバーに対して認証するようにデータソースを構成するには、次のコマンドを実行します。

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \
    client-cred-mode:use-proxy-auth-for-write

   プロキシ認可制御を使用して書込み操作のみが実行されると、読取りリクエストに対するクライアントIDは、LDAPサーバーに転送されません。クライアントIDなしでのリクエストの転送の詳細は、「クライアントIDなしでのリクエストの転送」を参照してください。

3. Directory Proxy Serverのバインド資格証明を使用してデータソースを構成します。

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \
    bind-dn:DPS-bind-dn bind-pwd-file:filename

4. タイムアウトを使用してデータソースを構成します。

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \
    proxied-auth-check-timeout:value

   Directory Proxy Serverは、getEffectiveRightsコマンドを使用して、クライアントDNにプロキシ認可のための関連ACIがあることを確認します。この結果は、Directory Proxy Serverにキャッシュされ、proxied-auth-check-timeoutが期限切れになると更新されます。

5. 必要な場合は、Directory Proxy Serverのインスタンスを再起動して、変更を有効にします。

   Directory Proxy Serverの再起動については、「Directory Proxy Serverを再起動するには:」を参照してください。

リクエストにプロキシ認可制御が含まれる場合にプロキシ認可を使用してリクエストを転送するには:

このタスクの実行には、DSCCが使用できます。詳細は、「Directory Service Control Centerのインタフェース」およびDSCCのオンライン・ヘルプを参照してください。

• バージョン1、バージョン2または両方のプロキシ認可制御を受け入れるようにDirectory Proxy Serverを構成します。

  $ dpconf set-server-prop -h host -p port allowed-ldap-controls:proxy-auth-v1 \
   allowed-ldap-controls:proxy-auth-v2

クライアントIDなしでのリクエストの転送

次の手順では、クライアントIDを転送せずにリクエストをDirectory Proxy ServerからバックエンドLDAPサーバーに転送する方法について説明します。

クライアントIDなしでリクエストを転送するには:

このタスクの実行には、DSCCが使用できます。詳細は、「Directory Service Control Centerのインタフェース」およびDSCCのオンライン・ヘルプを参照してください。

1. Directory Proxy Serverの資格証明を使用してバックエンドLDAPサーバーに対して認証するようにデータソースを構成します。

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \
    client-cred-mode:use-specific-identity

2. Directory Proxy Serverのバインド資格証明を使用してデータソースを構成します。

   $ dpconf set-ldap-data-source-prop -h host -p port data-source-name \
    bind-dn:bind-dn-of-DPS bind-pwd-file:filename

3. 必要な場合は、Directory Proxy Serverのインスタンスを再起動して、変更を有効にします。

   Directory Proxy Serverの再起動については、「Directory Proxy Serverを再起動するには:」を参照してください。

代替ユーザーとしてのリクエストの転送

この項では、代替ユーザーとしてリクエストを転送する方法について説明します。

リモート・ユーザー・マッピングを構成するには:

このタスクの実行には、DSCCが使用できます。詳細は、「Directory Service Control Centerのインタフェース」およびDSCCのオンライン・ヘルプを参照してください。

1. 代替ユーザーを使用して転送する操作を有効にします。

   $ dpconf set-server-prop -h host -p port enable-user-mapping:true

2. リモート・マッピングのIDを含む属性の名前を指定します。

   $ dpconf set-server-prop -h host -p port \
    remote-user-mapping-bind-dn-attr:attribute-name

3. Directory Proxy Serverを有効にして、クライアントIDをリモートでマップします。

   $ dpconf set-server-prop -h host -p port enable-remote-user-mapping:true

4. デフォルトのマッピングを構成します。

   $ dpconf set-server-prop -h host -p port \
    user-mapping-default-bind-dn:default-mapping-bind-dn \
    user-mapping-default-bind-pwd-file:filename

   マップされるIDがリモートLDAPサーバーにない場合、クライアントIDがデフォルトのIDにマップされます。

5. リモートLDAPサーバーのクライアントのエントリでユーザー・マッピングを構成します。

   Directory Serverでのユーザー・マッピングの構成の詳細は、「プロキシ認可」を参照してください。

ローカル・ユーザー・マッピングを構成するには:

このタスクの実行には、DSCCが使用できます。詳細は、「Directory Service Control Centerのインタフェース」およびDSCCのオンライン・ヘルプを参照してください。

1. 代替ユーザーを使用して転送する操作を有効にします。

   $ dpconf set-server-prop -h host -p port enable-user-mapping:true

2. Directory Proxy ServerがクライアントIDをリモートでマップするように構成されていないことを確認します

   $ dpconf set-server-prop -h host -p port enable-remote-user-mapping:false

3. デフォルトのマッピングを構成します。

   $ dpconf set-server-prop -h host -p port \
    user-mapping-default-bind-dn:default-mapping-bind-dn \
    user-mapping-default-bind-pwd-file:filename

   リモートLDAPサーバーへのマッピングが失敗すると、クライアントIDはこのDNにマップされます。

4. 認証されていないユーザーが操作を実行することを許可する場合、認証されていないクライアントのマッピングを構成します。

   $ dpconf set-server-prop -h host -p port \
    user-mapping-anonymous-bind-dn:anonymous-mapping-bind-dn \
    user-mapping-anonymous-bind-pwd-file:filename

   認証されていないユーザーによる操作の実行を許可する方法の詳細は、「匿名アクセスを構成するには:」を参照してください。

5. クライアントのIDを構成します。

   $ dpconf set-user-mapping-prop -h host -p port \
    user-bind-dn:client-bind-dn user-bind-pwd-file:filename

6. 代替ユーザーのIDを構成します。

   $ dpconf set-user-mapping-prop -h host -p port \
    mapped-bind-dn:alt-user-bind-dn mapped-bind-pwd-file:filename

匿名クライアントのユーザー・マッピングを構成するには:

このタスクの実行には、DSCCが使用できます。詳細は、「Directory Service Control Centerのインタフェース」およびDSCCのオンライン・ヘルプを参照してください。

• 認証されていないクライアントのマッピングを構成します。

  $ dpconf set-server-prop -h host -p port \
   user-mapping-anonymous-bind-dn:anonymous-mapping-bind-dn \
   user-mapping-anonymous-bind-pwd-file:filename

  匿名クライアントのマッピングは、Directory Proxy Serverで構成されます。これは、リモートLDAPサーバーには、匿名クライアントのエントリが含まれていないためです。

  認証されていないユーザーによる操作の実行の許可の詳細は、「匿名アクセスを構成するには:」を参照してください。