Administration Console オンラインヘルプ

[Active Directory Authentication Provider] --> [詳細]

タスク関連トピック

概要

このページでは、Active Directory 認証プロバイダの他の属性が表示されます。

[グループメンバシップルックアップでトークングループを使用する]—標準の再帰的なグループメンバーシップルックアップアルゴリズムではなく、Active Directory の TokenGroups 属性ルックアップアルゴリズムを使用するかどうかを示します。

Active Directory の TokenGroups 属性には、ユーザの完全にフラットなグループメンバーシップが SID 値の配列として保持されています。 SID 値は、Active Directory LDAP サーバで特別にインデックス付けされたものであり、これによりルックアップの応答が高速になります。
デフォルトでは、この属性は有効ではありません。

注意: TokenGroups 属性へのアクセスが必要になります (つまり、LDAP ディレクトリにアクセスするユーザには TokenGroups 属性の読み込み特権が必要になり、TokenGroups 属性はユーザオブジェクトのスキーマになければなりません)。

[SID によるグループルックアップのキャッシングの有効化]—グループ名のルックアップ結果に SID がキャッシュされるかどうかを示します。この属性は、[グループメンバシップルックアップでトークングループを使用する] 属性が有効になっている場合にのみ適用されます。
[キャッシュ内の SID によるグループルックアップ最大数]—グループルックアップに SID を保持するための最長時間未使用 (LRU) キャッシュの最大サイズです。この属性は、[グループメンバシップルックアップでトークングループを使用する] 属性および [SID によるグループルックアップのキャッシングの有効化] 属性の両方が有効になっている場合にのみ適用されます。

キャッシュ内の各エントリのおおまかなメモリの使用は次のとおりです。

SID—これらのエントリは通常 28 バイトの長さです。
groupName—このエントリは最大のグループ名のサイズになります。

[グループメンバシップ検索]—グループ検索が深さで制限されるかどうかを制御します。この属性によって、ネストされたグループへの再帰的な検索の深さの程度が制御されます。ネストされたグループ階層の最初のレベルのみを使用するコンフィグレーションの場合、この属性によって検索がグループの最初のレベルに制限されるのでユーザ検索時のパフォーマンスが向上します。

制限された検索が指定される場合は、[最大グループメンバシップ検索レベル] 属性も指定される必要があります。
制限されない検索が指定される場合は、[最大グループメンバシップ検索レベル] 属性は無視されます。

[最大グループメンバシップ検索レベル]—[グループメンバシップ検索] 属性が指定されている場合にグループメンバーシップ検索の深さを制御します。指定できる値は次のとおりです。

0—直接のグループのみが検索されることを示します。つまり、グループ A のメンバーシップを検索する場合、グループ A の直接のメンバーのみが検索されます。グループ B がグループ A のメンバーであっても、そのメンバーはこの検索では見つかりません。
任意の正の数字—検索するレベル数を示します。たとえば、この属性を 1 に設定した場合、グループ A のメンバーシップの検索ではグループ A の直接のメンバーが返されます。グループ B がグループ A のメンバーである場合、グループ B のメンバーもこの検索で見つかります。ただし、グループ C がグループ B のメンバーであっても、グループ C のメンバーはこの検索では見つかりません。

[取得したユーザ名をプリンシパルとして使用する]—LDAP ディレクトリから取得されたユーザ名を認証用に指定されるユーザ名ではなく、プリンシパルとして追加する必要があることを指定します。
[グループメンバシップルックアップの階層キャッシングの有効化]—再帰的なメンバーシップルックアップ中に見つかったグループメンバーシップ階層がキャッシュされるかどうかを示します。見つかった各サブツリーがキャッシュされます。キャッシュは、あるグループがメンバーになっているグループを保持します。この属性は、[グループメンバシップ] 属性が有効になっている場合にのみ適用されます。デフォルトは false です。
[キャッシュ内の最大グループ階層数]—グループメンバーシップ階層を保持する LRU キャッシュの最大サイズです。この属性は、[グループメンバシップルックアップの階層キャッシングの有効化] 属性が有効になっている場合にのみ適用されます。

キャッシュ内の各エントリのおおまかなメモリの使用は次のとおりです。

groupName—このエントリは最大のグループ名のサイズになります。
Groups—このエントリには特定のグループのフラットなグループメンバーシップが含まれます。たとえば、あるグループが 300 のグループに対してフラットになる場合、このエントリには 300 のグループ名が存在します。グループが他のグループのメンバーになっていない場合、このエントリには値はありません。

[グループ階層キャッシュ TTL]—キャッシュされたエントリがキャッシュ内に留まる秒数です。デフォルトは 60 秒です。
[照会先に従う]—LDAP ディレクトリ内の他の LDAP サーバまたはブランチへの照会先に従って、Active Directory 認証プロバイダ内のユーザまたはグループが指定されるように指定します。デフォルトでは、この属性は有効です。
[照会先に匿名でバインドする]—デフォルトでは、LDAP 認証プロバイダは照会先に従う場合、LDAP サーバへの接続で使用するものと同じ DN およびパスワードを使用します。匿名ユーザとして接続する場合は、この属性を有効にします。詳しくは、LDAP システム管理者に問い合わせてください。
[結果タイムリミット]—結果がタイムアウトするまで LDAP サーバが待機する最大時間 (ミリ秒単位) です。この属性が 0 に設定されている場合、最大時間制限はありません。デフォルトは 0 です。
[接続タイムアウト]—LDAP サーバへの接続が確立されるまで待機する最大時間 (秒単位) です。この属性が 0 に設定されている場合、最大時間制限はありません。デフォルトは 0 です。
[パラレル接続遅延]—複数の LDAP サーバに同時に接続しようとしたときの遅延 (秒単位)。この属性が 0 に設定されていると、接続の試行はシリアライズされます。リストの最初のサーバに接続しようとします。リスト中の次のエントリは、現在のホストへの接続が失敗したときにのみ接続が試行されます。この属性が設定されず、LDAP サーバが使用できない場合、アプリケーションは長時間ブロックされることがあります。この属性が 0 より大きい場合、指定された時間の経過後、次の接続が開始されます。

タスク

LDAP 認証プロバイダのコンフィグレーション