LDAP構成リファレンス
グローバルメニュー （
）からLDAP構成設定にアクセスします。
- コントロールパネル → 設定 → インスタンス設定 → セキュリティ → LDAP
- コントロールパネル → 設定 → システム設定 → セキュリティ → LDAP
LDAPの設定には、一般、サーバー、接続、エクスポート、インポートの各セクションが含まれます。
共通
| 項目 | 説明 |
|---|---|
| 有効 | LDAP認証を有効にします。 |
| 必須 | ユーザーはLDAP経由で認証を行う必要があります。 チェックを外すと、ユーザーはLiferayの認証情報を使用してログインできるようになります。 |
| LDAPのパスワードポリシーを利用 | LDAPサーバーのパスワードポリシーを使用します。 |
| メソッド | 認証方法を定義します（バインド または パスワード比較）。 |
| パスワード暗号化方式 | パスワード比較 で使用される暗号化アルゴリズムを定義します。 |
Liferayは、LDAP経由で認証したことのないユーザーに対して、以下の条件を満たす場合に独自のパスワードポリシーを適用します。
- 有効にチェックが入っています
- 必須項目はチェックされていません
- LDAPパスワードポリシーを使用する
サーバ
をクリックして を追加し、LDAPサーバーを追加します。
LDAPの設定が完了したら、 保存 をクリックします。
テストオプションを使用して、設定を検証してください。 LDAP接続のテスト は接続性と認証情報をチェックし、 LDAPユーザーのテスト と LDAPグループのテスト はユーザーとグループの検索フィルターを検証します。
基本設定
| 項目 | 説明 | 例 |
|---|---|---|
| サーバ名 | LDAPサーバーを識別します。 | ApacheDS、 ActiveDirectory |
| 許容時刻誤差(クロックスキュー) | インポート時にユーザーの変更タイムスタンプを検証するために、LiferayとLDAPサーバー間の許容される時間差（ミリ秒単位）を定義します。 | 3000 |
デフォルト値
サポートされているディレクトリサーバーの事前定義済み構成値を読み込みます。
- Apacheディレクトリサーバー
- Fedoraディレクトリサーバー
- Microsoft Active Directory Server
- Novell eDirectory
- OpenLDAP
- その他のディレクトリサーバ
接続
| 項目 | 説明 | 例 |
|---|---|---|
| ベースプロバイダURL | LDAPサーバーのURLを指定します。 | ldap://localhost:10389 (ApacheDS)、 ldap://localhost:389 (Active Directory) |
| ベースDN | ディレクトリ検索に使用される基本識別名を定義します。 | dc=example,dc=com, dc=localdomain |
| プリンシパル | LDAP管理者ユーザーを設定します。 | uid=admin,ou=system (ApacheDS)、 cn=Directory Manager (Fedora)、 admin (AD) |
| 認証情報 | LDAP管理者のパスワードを設定します。 |
ユーザー
| 項目 | 説明 | 例 |
|---|---|---|
| 認証検索絞り込み | Liferayがログイン時にユーザーを識別する方法を定義します。 | (mail=@email_address@) (ApacheDS/OpenLDAP)、 (&(objectCategory=person)(sAMAccountName=@user_id@)) (AD) |
| 検索フィルタのインポート | どのLDAPエントリをユーザーとしてインポートするかを定義します。 | (objectClass=person)、 (objectClass=inetOrgPerson) |
| ユーザーの検索フィルターを認証で無視する | ログイン検証時に認証フィルターを無視します。 |
ユーザーマッピング
| 項目 | 説明 |
|---|---|
| UUID | 一意の識別子をマッピングします。 |
| スクリーン名 | ユーザーのスクリーンネームをマッピングします。 |
| メールアドレス | ユーザーのメールアドレスをマッピングします。 |
| パスワード | パスワード属性をマッピングします。 |
| 名 | 名字をマッピングします。 |
| ミドルネーム | ミドルネームをマッピングします。 |
| 姓 | 姓を地図上に表示します。 |
| 氏名 | フルネームを表示します。 |
| 役職 | 役職名をマッピングします。 |
| ステータス | ユーザーのステータスをマッピングします。 |
| グループ | 地図グループのメンバーシップ。 |
カスタムマッピング
| 項目 | 説明 | 例 |
|---|---|---|
| カスタムユーザーマッピング | LDAP属性をカスタムユーザーフィールドにマッピングします。 | employeeNumber=customField1 |
| 連絡先カスタムマッピング | LDAP属性をカスタム連絡先フィールドにマッピングします。 | department=contactField1 |
ユーザーが無視する属性
| 項目 | 説明 | 例 |
|---|---|---|
| ユーザーが無視する属性 | LDAPが上書きしないLiferayユーザー属性を定義します。 | birthday |
グループ
| 項目 | 説明 | 例 |
|---|---|---|
| 検索フィルタのインポート | どのLDAPエントリをグループとしてインポートするかを定義します。 | (objectClass=groupOfUniqueNames)、 (objectClass=group) (AD) |
グループマッピング
| 項目 | 説明 | 例 |
|---|---|---|
| グループ名 | グループ名をマッピングします。 | cn |
| 説明 | グループの説明をマッピングします。 | 説明、 sAMAccountName (AD) |
| ユーザー | メンバーシップ属性をマッピングします。 | uniqueMember、 member (AD) |
エクスポート
| 項目 | 説明 | 例 |
|---|---|---|
| ユーザーDN | LDAPにおけるユーザーの保存場所を定義します。 | dc=example,dc=com |
| ユーザーのデフォルトオブジェクトクラス | エクスポートされたユーザーのオブジェクトクラスを定義します。 | top,person,inetOrgPerson,organizationalPerson |
| グループDN | LDAP内でグループが保存される場所を定義します。 | dc=example,dc=com |
| グループのデフォルトオブジェクトクラス | エクスポートされたグループのオブジェクトクラスを定義します。 | top,groupOfUniqueNames |
接続
接続設定には、LDAPサーバーからの応答を解釈するために使用されるエラーキーワードプロパティが含まれています。 ユーザーがLDAPにバインドすると、サーバーは成功または失敗を示すメッセージを返します。 これらのメッセージはサーバーによって異なるため、Liferayがそれらを認識できるように、これらのキーワードをディレクトリのエラーメッセージに合わせて設定してください。
一般設定
| 項目 | 説明 |
|---|---|
| 工場出荷時の初期設定 | 初期コンテキストファクトリを指定します。 デフォルト: com.sun.jndi.ldap.LdapCtxFactory。 |
| リファラル | 紹介の処理方法を定義します: フォロー (紹介を自動的にフォローします)、 無視 (紹介を無視します)、または スロー (紹介ごとに ReferralException をスローします)。 |
| ページサイズ | ページングをサポートするディレクトリサーバーの場合、1ページあたりの表示件数を設定します。 Microsoft Active Directoryの場合、1000以下である必要があります。 |
| 範囲サイズ | 範囲取得をサポートするサーバーにおいて、複数値属性に対して返される値の数を設定します。 最大値はディレクトリサーバーによって異なります。 |
接続プロパティ
| プロパティ | 説明 |
|---|---|
| com.sun.jndi.ldap.connect.pool | LDAP接続を作成する際に、接続プーリングを有効にします。 |
| com.sun.jndi.ldap.connect.timeout | 接続タイムアウト時間をミリ秒単位で設定します。 |
| com.sun.jndi.ldap.read.timeout | LDAP操作における読み取りタイムアウトをミリ秒単位で設定します。 |
エラー処理キーワード
LDAPエラーメッセージを解釈するために使用するキーワードを定義します。 ディレクトリサーバーが異なるメッセージを返す場合は、これらの値を更新して一致させてください。
| 項目 | 説明 | 例 |
|---|---|---|
| エラー: パスワード期限切れのキーワード | パスワード有効期限切れメッセージと一致します。 | expired |
| エラー: パスワード履歴キーワード | パスワード履歴メッセージと一致します。 | history |
| エラー: ユーザー ロックアウト キーワード | アカウントロックアウトメッセージと一致します。 | retry limit |
エクスポート
| 項目 | 説明 |
|---|---|
| エクスポートを有効にする | ユーザーの更新情報をLDAPにエクスポートします。 |
| グループのエクスポートを有効にする | グループをLDAPにエクスポートします。 エクスポートを有効にする必要があります。 |
エクスポートが有効になっている場合、ユーザーの更新によってLDAPエクスポートがトリガーされます。 lastLoginDate などのフィールドはログイン時に更新されるため、ユーザーがログインするたびにエクスポートが発生する可能性があります。
これを防ぐには、portal-ext.propertiesで users.update.last.login=falseを設定します。
インポートする
| 項目 | 説明 |
|---|---|
| インポートを有効にする | LDAPからユーザーをインポートします。 無効にした場合、ユーザーはログイン時にインポートされます。 |
| スタートアップの際にインポートを有効にする | サーバー起動時にフルインポートを実行します。 重複インポートを避けるため、クラスタ環境では無効にしてください。 |
| インポート間隔 | インポートの実行頻度を定義します。 |
| インポートメソッド | ユーザー単位でインポートするか、グループ単位でインポートするかを定義します。 |
| ロック有効期限 | アカウントロック期間（ミリ秒）を定義します。 |
| ユーザーインポートの同期基準 | ユーザーの照合方法（認証タイプまたはUUID）を定義します。 |
| インポート時にユーザーパスワードを有効にする | インポート時にパスワードを割り当てます。 |
| インポート時にユーザーパスワードを自動生成する | ランダムなパスワードを生成します。 |
| デフォルトのユーザーパスワード | デフォルトのパスワードを設定します。 パスワード生成が無効になっている場合に使用します。 |
| インポート時に、グループキャッシュを有効にする | グループデータをキャッシュします。 |
| インポート時に、グループ毎にロールを作成する | 各LDAPグループに対して役割を作成します。 |
LDAP認証プロセスはインポート方法に依存しません。 ユーザーが認証されると、ユーザーインポート方法が選択されたかのようにインポートされます。
グループインポート方式を使用する場合、どのグループにも属していないユーザーはインポートされません。
システム設定で利用可能なLDAPオプション
ほとんどのLDAP設定はインスタンス設定で行います。 システム設定には追加オプションが含まれており、新しい仮想インスタンスのデフォルト値を定義します。
システム設定の変更は、現在のインスタンスに適用されます。 新規インスタンスは、これらの設定をデフォルトとして継承します。
これらのオプションを変更するには、 コントロール パネル → 構成 → システム設定に移動し、 セキュリティ の下の LDAP エントリを開きます。 追加設定は、 サーバー エントリで利用できます。