仮想データ・ビューのアクセス制御の定義

仮想データ・ビュー上のACIは、LDAPディレクトリまたはLDIFファイルに格納できます。仮想ACIがどのように機能するかについては、Oracle Directory Server Enterprise Editionリファレンスの仮想データ・ビューのアクセス制御に関する項を参照してください。

Directory Proxy Serverのインスタンスを作成するとき、仮想アクセス制御の次のデフォルト構成が定義されます。

デフォルトでACIが格納されるLDIFファイル(instance-path/config/access_controls.ldif)
virtual access controlsというLDIFデータ・ビュー

このデータ・ビューでは、Directory Proxy ServerからLDIFファイルに格納されているACIにアクセスできます。

新しいACIストレージ・リポジトリを定義するには:

前に説明したデフォルトのACI構成を使用しない場合、異なるストレージ・リポジトリを定義できます。

このタスクの実行には、DSCCを使用できません。次の手順の説明に従って、コマンドラインを使用してください。

仮想ACIが格納されるリポジトリのデータ・ビューを作成します。
- ACIがLDAPディレクトリに格納される場合、第18章「LDAPデータ・ビュー」の説明に従って、LDAPデータソース、LDAPデータソース・プールおよびLDAPデータ・ビューを作成します。
- ACIがLDIFファイルに格納される場合、「LDIFデータ・ビューの作成および構成」の説明に従って、LDIFデータ・ビューを作成します。
前の手順で作成したデータ・ビューの名前をACIデータ・ビューとして指定します。
```
$ dpconf set-virtual-aci-prop -h host -p port aci-data-view:data-view-name
```

ACIリポジトリがLDAPディレクトリの場合、ACIデータ・ビューへのアクセスに必要な資格証明を定義します。

$ dpconf set-virtual-aci-prop -h host -p port aci-manager-bind-dn:bind-dn
$ dpconf set-virtual-aci-prop -h host -p port aci-manager-bind-pwd-file:filename

仮想アクセス制御を構成するには:

使用するACIリポジトリに関係なく、仮想アクセス制御を構成する必要があります。

注意: プロキシ・マネージャのみがACIのプールを作成し、ACIデータ・ビューを介して直接ACIを管理できます。ACIリポジトリがLDAPディレクトリの場合、aciSourceオブジェクト・クラスおよびdpsaci属性を含めるように、そのディレクトリのスキーマを変更する必要があります。スキーマのカスタマイズの詳細は、「Directory Serverのスキーマの拡張」を参照してください。

このタスクの実行には、DSCCを使用できません。次の手順の説明に従って、コマンドラインを使用してください。

ACIリポジトリにACIのプールを作成し、グローバルACIを設定します。
グローバルACIの詳細は、Oracle Directory Server Enterprise EditionリファレンスのグローバルACIに関する項を参照してください。グローバルACIを設定するには、aciSourceエントリをACIデータ・ビューのビュー・ベースの下に追加します。たとえば、次のようになります。
```
% ldapmodify -p port -D "cn=proxy manager" -w -
dn: cn=aci-source-name,cn=virtual access controls
changetype: add
objectclass: aciSource
dpsaci: (targetattr="*") (target="ldap:///ou=people,o=virtual") (version 3.0; 
 acl "perm1"; allow(all) groupdn="ldap:///cn=virtualGroup1,o=groups,o=virtual";)
cn: aci-source-name
```

このACIのプールを使用するように1つ以上の接続ハンドラを構成します。

% dpconf set-connection-handler-prop -h host -p port connection-handler \
aci-source:aci-source-name

必要なACIをデータに追加します。

このためには、ACIを含む仮想エントリを作成します。たとえば、次のようになります。

% ldapmodify -p port -D "cn=virtual application,ou=application users,dc=com" -w -
dn: ou=people,o=virtual
changetype: modify
add: dpsaci
dpsaci: (targetattr="*")(version 3.0; acl "perm1"; allow(all) userdn="ldap:///self";)
dpsaci: (targetattr="*")(version 3.0; acl "perm1"; allow(search, read, compare) 
 userdn ="ldap:///anyone";)

注意: 適切なアクセス権を持つ任意のユーザーは、データ・ビューを介して仮想ACIの追加および取得を実行できます。

ナビゲーション・リンクをスキップ
印刷ビューの終了
	Oracle Directory Server Enterprise Edition管理ガイド 11gリリース1(11.1.1.5.0)