構成情報の保護

Directory Serverのルート・エントリ(長さ0のDN ""によるベース・オブジェクト検索で返されるエントリ)と、cn=config、cn=monitorおよびcn=schemaの下のサブツリーには、Directory Serverによって自動的に生成されるアクセス制御命令(ACI)が含まれます。これらのACIは、ディレクトリ・エントリに対するユーザー・アクセス権を確認するために使用されます。評価目的としては、これらのACIで十分です。しかし、本番のデプロイメントの場合には、アクセス制御要件を評価し、独自のアクセス制御を設計する必要があります。

セキュリティ上の理由で1つまたは複数の追加のサブツリーの存在を非表示にし、構成情報を保護する場合は、追加のACIをDIT上に配置する必要があります。

• ACI属性を、非表示にするサブツリーのベースにあるエントリに配置します。

• ACIをルートDSEエントリのnamingContexts属性に配置します。namingContextsというルートDSEエントリに、Directory Serverの各データベースのベースDNのリストがあります。

• ACIをcn=configサブツリーとcn=monitorサブツリーに配置します。サブツリーDNも、cn=configとcn=monitorの下のマッピング・ツリー・エントリ内に格納されます。

ACIの作成の詳細は、第6章「Directory Serverのアクセス制御」を参照してください。