拡張 LDAP ユーザー・レジストリー設定

ユーザーのユーザー・レジストリーを検索する LDAP ユーザー・フィルターを指定します。

通常、このオプションは、セキュリティー・ロールをユーザーに割り当てるために使用 され、ディレクトリー・サービスでのユーザー検索に使用するプロパティーを指定 します。例えば、ユーザー ID を基にして ユーザーを検索するには、(&(uid=%v)(objectclass=inetOrgPerson)) と指定します。 この構文の詳細については、LDAP ディレクトリー・サービスの資料を参照してください。

グループのユーザー・レジストリーを検索する LDAP グループ・フィルターを指定します。

通常、このオプションは、セキュリティー・ロールをグループに割り当てるために使用され、 ディレクトリー・サービスでのグループ検索に使用するプロパティーを 指定します。この構文の詳細については、LDAP ディレクトリー・サービスの資料を参照してください。

LDAP エントリーにユーザーのショート・ネームをマップする LDAP フィルターを指定します。

ユーザーが表示されるときにユーザーを表す情報部分を指定します。 例えば、オブジェクト・クラス = inetOrgPerson タイプのエントリーを ID 別に表示する場合は、inetOrgPerson:uid を指定します。 このフィールドには、セミコロン (;) で区切られた「オブジェクト・クラス: プロパティー」の複数のペアが入ります。

LDAP エントリーにグループのショート・ネームをマップする LDAP フィルターを指定します。

グループが表示されるときにグループを表す情報部分を指定します。 例えば、グループを名前別に表示するには、*:cn を指定します。 アスタリスク (*) はワイルドカード文字であり、 この場合、あらゆるオブジェクト・クラスを検索します。このフィールドには、セミコロン (;) で区切られた「オブジェクト・クラス:プロパティー」の複数のペアが入ります。

ユーザーとグループの関係を識別する LDAP フィルターを指定します。

ディレクトリー・タイプ SecureWay および Domino® の場合、このフィールドには、 セミコロン (;) で区切られた「オブジェクト・クラス:プロパティー」の複数のペアが入ります。 「オブジェクト・クラス:プロパティー」のペアでは、オブジェクト・クラス値はグループ・フィルターで定義される オブジェクト・クラスと同じであり、プロパティーはメンバー属性です。オブジェクト・クラス値が グループ・フィルターのオブジェクト・クラスに一致しない場合、グループがセキュリティー・ロールに マップされると許可が失敗することがあります。この構文の詳細については、LDAP ディレクトリー・サービスの資料を参照してください。

IBM® Directory Server、Sun ONE、および Active Directory の場合、このフィールドには、セミコロン (;) で区切られた複数の「グループ属性:メンバー属性」ペアが入ります。 これらのペアは、所定ユーザーが所有するすべてのグループ属性を列挙して、 ユーザーのグループ・メンバーシップを検索する際に使用します。例えば、属性ペア memberof:member は Active Directory が使用し、ibm-allGroup:member は IBM Directory Server が使用します。 また、このフィールドでは、オブジェクト・クラスのどのプロパティーが、 そのオブジェクト・クラスで表されるグループに属するメンバーのリストを保管するかを指定します。サポートされる LDAP ディレクトリー・サーバーについて詳しくは、『サポートされるディレクトリー・サービス』を参照してください。

再帰的なネスト・グループ検索を指定します。

Kerberos ユーザー・フィルター値を指定します。この値は、Kerberos が、優先認証メカニズムの 1 つとして構成され、アクティブである場合に変更できます。

X.509 証明書を LDAP ディレクトリー にマップする際、EXACT_DN と CERTIFICATE_FILTER のどちらを使用するかを指定します。指定された証明書フィルターをマッピングに使用する場合は、CERTIFICATE_FILTER を指定します。

LDAP フィルターのフィルター証明書マッピング・プロパティーを指定します。 フィルターは、クライアント証明書内の属性を LDAP レジストリー内のエントリーにマップする際に使用されます。

実行時に複数の LDAP エントリーがフィルターの指定に一致すると、 結果があいまい一致となるため、認証は失敗します。 このフィルターの構文または 構造は、(&(uid=${SubjectCN})(objectclass=inetOrgPerson)) です。 フィルター仕様の左辺は LDAP 属性で、これは LDAP サーバーが構成時に使用するスキーマにより異なります。 フィルター仕様の右辺は、クライアント証明書にあるパブリック属性の 1 つです。 右辺は、ドル記号 ($) と左大括弧 ({) で始まり、右大括弧 (}) で終わる必要があります。 フィルター仕様の右辺には、以下の証明書属性値を使用できます。ストリングの大/小文字の区別は重要です

• ${UniqueKey}
• ${PublicKey}
• ${IssuerDN}
• ${Issuer<xx>}

  ここで、<xx> は、発行者識別名のいずれかの有効なコンポーネントを表す文字に置き換えます。 例えば、発行者共通名に ${IssuerCN} を使用できます。

• ${NotAfter}
• ${NotBefore}
• ${SerialNumber}
• ${SigAlgName}
• ${SigAlgOID}
• ${SigAlgParams}
• ${SubjectDN}
• ${Subject<xx>}

  ここで、<xx> は、サブジェクト識別名のいずれかの有効なコンポーネントを表す文字に置き換えます。 例えば、サブジェクト共通名に ${SubjectCN} を使用できます。

• ${Version}

トラブルの回避: サブジェクト代替名 (SAN) は、証明書のフィルター項目としてサポートされません。gotcha