セキュリティガイド

10.1.1
- 10.5.2
- 10.5.1
- 10.5
- 10.4.1
- 10.1

前へ次へ

手順1. Webアプリケーションのユーザーアカウント用のセキュリティドメインの作成

SAMLベースのシングルサインオンを使用するWebアプリケーションユーザーアカウント用のセキュリティドメインを作成し、各ユーザーのLDAPアカウントをActive Directoryからドメインにインポートします。

Administratorツール、Analystツール、MonitoringツールにアクセスするためにSAMLベースのシングルサインオンを使用するすべてのユーザー用に、LDAPをセキュリティドメインにインポートする必要があります。アカウントをドメインにインポートしたら、適切なInformaticaドメインロール、特権、および権限をLDAPセキュリティドメイン内のアカウントに割り当てます。

Administratorツールで、

［ユーザー］

タブをクリックし、

［セキュリティ］

ビューを選択します。

［アクション］

メニューをクリックし、

［LDAP設定］

を選択します。

［LDAPの設定］

ダイアログボックスが開きます。

［LDAPの接続方法］

タブをクリックします。

Active Directoryサーバーの接続プロパティを設定します。

以下の表に、サーバーの接続プロパティを示します。

プロパティ	説明
サーバー名	Active Directoryサーバーのホスト名またはIPアドレス。
ポート	サーバのリスニングポート。デフォルト値は389です。
LDAPディレクトリサービス	Microsoft Active Directoryを選択。
名前	プリンシパルLDAPユーザーの識別名（DN）。通常、ユーザ名は、共通名（CN）、組織（O）、および国名（C）により構成されます。Principal Userの名前は、ディレクトリへのアクセス権を持つ管理ユーザです。ディレクトリサービス内の他のユーザエントリの読り取り権限を持つユーザを指定します。
パスワード	プリンシパルLDAPユーザーのパスワード。
SSL認証の使用	LDAPサーバーがセキュアソケットレイヤー（SSL）プロトコルを使用することを示します。 LDAPサーバーでSSLを使用する場合、Informaticaドメイン内の各ゲートウェイノード上にあるトラストファイルに証明書をインポートする必要があります。また、証明書をデフォルトのInformaticaトラストストアにインポートしない場合は、INFA_TRUSTSTOREおよびINFA_TRUSTSTORE_PASSWORD環境変数を設定する必要があります。
トラストLDAP証明書	サービスマネージャにより、LDAPサーバーのSSL証明書が信頼できるかどうかが判断されます。このオプションを選択する場合、サービスマネージャは、SSL証明書を確認しないでLDAPサーバーに接続します。このオプションを選択しない場合、サービスマネージャは、LDAPサーバーに接続する前にSSL証明書が認証機関によって署名されていることを確認します。
大文字と小文字を区別しない	サービスマネージャでグループにユーザーを割り当てるときに識別名属性の大文字と小文字を区別しないことを示す。このオプションは有効にしてください。
グループメンバシップ属性	ユーザを削除するグループの名前。これは、グループのメンバーであるユーザおよびグループの識別名（DN）を含むLDAPグループオブジェクト内の属性です。例えば、member またはmemberof です。
最大サイズ	セキュリティドメインにインポートするユーザとグループの最大数。インポートするユーザがこのプロパティ値を超えた場合、サービスマネージャによってエラーメッセージが生成され、いずれのユーザもインポートされません。インポートするユーザー数が多い場合は、このプロパティに大きい値を設定してください。デフォルト値は1000です。

次の図は、

［LDAPの設定］

ダイアログボックスの［LDAPの接続方法］パネルで設定されるLDAPサーバーの接続の詳細を示しています。

［テスト接続］

をクリックし、Active Directoryサーバーへの接続が有効であるか確認します。

［セキュリティドメイン］

タブをクリックします。

［追加］

をクリックしてセキュリティドメインを作成します。

セキュリティドメインプロパティを入力します。

以下の表に、セキュリティドメインプロパティを示します。

プロパティ	説明
セキュリティドメイン	ドメインの名前。この名前では、大文字と小文字が区別されず、ドメイン内で一意にする必要があります。名前は128文字以内で指定し、以下の特殊文字は使用できません。 , + / < > @ ; \ % ? 名前の最初および最後の文字以外で、ASCIIのスペース文字を使用できます。その他のスペース文字は許可されません。
ユーザ検索ベース	LDAPディレクトリサービス内のユーザ名検索の基点となるエントリの識別名（Distinguished Name：DN）。検索により、オブジェクトの識別名のパスに従ってディレクトリ内のオブジェクトが見つかります。 Active Directoryでは、ユーザーオブジェクトの識別名は、cn=UserName、ou=OrganizationalUnit、dc=DomainNameとなり、dc=DomainNameにより示される一連の相対識別名は、オブジェクトのDNSドメインを識別します。
ユーザーフィルタ	Active Directory内のユーザー検索の条件を指定するLDAPクエリ文字列。このフィルタでは、属性タイプ、アサーション値、マッチング基準が指定できます。 Active Directoryの場合、クエリ文字列を次の形式にします。 sAMAccountName=<account>
グループ検索ベース	Active Directory内のグループ名検索の基点となるエントリの識別名（DN）。
グループフィルタ	ディレクトリサービス内のグループ検索の基準を指定するLDAPクエリー文字列。