Lightweight Directory Access Protocol経由でのユーザーのインポート

ビルド 6310 より前の手順については、このヘルプ ドキュメントを参照してください。

LDAP (Lightweight Directory Access Protocol)は、標準プロトコルとして、ユーザー、デバイス、およびその他ネットワークリソースについての情報を保存および取り込む標準アプローチを提供するディレクトリサービスへのアクセスと管理向けに広く使用されています。これで、PAM360では、組織のLDAP サーバーの統合、および組織のユーザーのインポートが可能です。統合後、組織で利用可能な各リソースへの権限を管理できます。

ファイル、AD、およびMicrosoft Entra IDからユーザーをインポートするのと同様に、LDAP ディレクトリからユーザーをインポートすることもできます。読み進めて詳細を学びましょう。

PAM360でActive Directoryを構成し、ユーザーをPAM360にインポートする詳細手順は以下のとおりです：

1. LDAP サーバーのPAM360での構成
2. LDAP サーバーからのユーザーのインポート
   
3. 適切なユーザーロールの指定
4. LDAP認証の有効化
5. LDAP サーバー、組織単位、およびグループのPAM360での管理

1.LDAP サーバーのPAM360での構成

最初の手順では、必要なサーバー認証情報の詳細をPAM360に入力して、LDAP サーバーをPAM360で構成します。この実行には、［管理］ >> ［認証］ >> ［LDAP］の順に移動し、以下の手順を実行します：

1. LDAP サーバーの構成ページの［LDAP サーバーの詳細］ボタンをクリックし、LDAP サーバーをPAM360に追加します。また、［ユーザー］ >> ［ユーザー追加］ >> ［LDAPからインポート］でこのページにアクセスできます。
   
2. 開いたウインドウで、［追加］ボタンか、［LDAPサーバーの追加］アイコンをクリックします。
3. 開いたウインドウで、以下のように詳細を入力します：
   1. LDAPプロバイダーのURLを入力します。例えば、ldap pamwinsec23 389。
   2. LDAP サーバーとPAM360との間の接続は、暗号化チャンネル(SSL)またはSSLなしを利用するように構成できます。SSLモードを接続モードとして選択する場合、以下の手順を行い、しない場合は、その次に続く手順に進みます。
      1. SSLモードを有効にするには、LDAP サーバーはポート636のSSLで稼働していることが必要で、また、LDAP サーバーのルート証明書、LDAP サーバーの証明書、および各ルート証明書チェーンにある他のすべての証明書をPAM360のサーバーマシンの証明書ストアにインポートする必要があります。
      2. ルート証明書をインポートするには、コマンドプロンプトを開き、<PAM360_SERVER_HOME>\binディレクトリに移動して、以下のコマンドを実行します：
         Windowsの場合

         importCert.bat <証明書の絶対パス>

         Linuxの場合

         importCert.sh <証明書の絶対パス>
   3. PAM360 サーバーを再起動し、以下の手順で続行します.
   4. 認証情報の入力で、［ユーザー名とパスワードを手動で指定する］または［PAM360に保管されているアカウントを使用する］を選択します。［PAM360に保管されているアカウントを使用する］を選択した場合、各LDAPリソース名とアカウント名をPAM360から選択します。
   5. ［ユーザー名とパスワードを手動で指定する］を選択した場合、LDAPにすでにあるユーザーの1つの認証情報を入力して認証します。これは、アプリケーションの認証時にユーザーがユーザー名を送信したときの形式である必要があります。例えば、一般的なエントリは、cn=eric,cn=users,dc=manageengine,dc=com のようになります
   6. 与えられたユーザーのパスワードを入力します。
   7. BaseDN情報を入力します。これは、ディレクトリ検索が行われる[base]または[root]です。LDAP ベース (LDAP ディレクトリ ツリーの最上位) を入力します。LDAP で使用されている形式で正確に入力してください。コンマまたは'='等号およびケースセンシティブなエントリの間にスペーでは空けません。例.,dc=manageengine,dc=com.
   8. 以下のオプションから、LDAP サーバータイプを選択します：
      • Microsoft Active Directory
      • Novell eDirectory
      • OpenLDAP
      • その他
   9. お使いのLDAP サーバーがタイプMicrosoft Active Directory/Novell eDirectory/OpenLDAPに属する場合は、［テスト］をクリックします。
   10. テスト認証が正常に完了したら、［保存］をクリックします。
   11. お使いのLDAP サーバーがMicrosoft Active Directory/Novell eDirectory/OpenLDAP以外のタイプに属する場合は、以下の追加詳細を指定して、ユーザーを認証します：
       1. 「ログイン属性ラベル」のテキストフィールドのLDAP構造に、ユーザーログイン属性を入力します。.例えば、LDAPがADを使用する場合、エントリは「sAMAccountName」となり、OpenLDAPの場合、エントリは「uid」となります。他の LDAP を使用している場合は、LDAP 構造に従ってこのエントリを作成します。
       2. 「メール属性ラベル」のテキストフィールドのLDAP構造に、ユーザーのメール属性を入力します。例えば、LDAPがADを使用する場合、エントリは「mail」となります。他の LDAP を使用している場合は、LDAP 構造に従ってこのエントリを作成します。
       3. 識別名属性ラベルを入力します。これは、このオブジェクトを一意に定義する LDAP 属性です。例えば、LDAPがADを使用する場合、エントリは、「distinguishedName」に、OpenLDAPの場合、エントリは、「dn」.になります。他の LDAP を使用している場合は、LDAP 構造に従ってこのエントリを作成します。
       4. 残りの属性に適切な入力を行い、LDAP サーバーの構成を保存をします。

2.LDAP サーバーからのユーザーのインポート

LDAPからユーザーをPAM360にグループ、組織単位（OU）、および検索フィルターを使って、インポートできます。

2.1 グループ/組織単位からのユーザーのインポート

1. ［LDAP サーバーの詳細〛ページの関連ドメインに移動して、［インポート］ >> ［グループ/組織単位］の順にクリックします。
2. 開いたポップアップで、［検索］オプションまたは［すべてのグループを表示/すべてのOUを表示］オプションを使って、必要なグループ/組織単位を探します。
   
3. 各項目の横にあるチェックボックスをオンにして、利用可能なリストから、必要なグループ/組織単位を選択します。
4. 必要なグループ/組織単位を選択した後、ユーザーロールを割り当ててユーザー言語を設定し、TFAを設定します。
5. 1. Microsoft Entra IDからインポートされたユーザーには、自動的に既定ロールが割り当てられます。これを変更するには、［役割〛ドロップダウンフィールドから目的のロールを選択してください。選択されたロールは、LDAP内の選択したユーザーグループ/OUからインポートされたすべてのユーザーに適用されます。
   2. PAM360にインポートするユーザーに［言語〛ドロップダウンフィールドから目的の言語を選択します。
   3. デフォルトでは、LDAP Entra IDからインポートされたユーザーに対して、二要素認証（TFA）が有効になっています。TFAを無効にするには、 2段階認証フィールドの横にある切り替えボタンをオフにします。
6. ［保存］をクリックして、適用した設定でユーザーをインポートします。
   

   メモ：

   選択した組織単位（OU）のユーザーでPAM360に専用ユーザーグループを作成するには、 ［選択した OU のユーザーを含むユーザーグループを PAM360 に作成します。〛オプションにチェックを入れ、［保存］をクリックします。

7. インポートされたグループと組織単位は、LDAP サーバーの詳細ページのそれぞれのドメインウィンドウに表示されます。
   

2.2 検索フィルターを使ったユーザーのインポート

検索フィルターを使ってLDAPからPAM360にユーザーをインポートするには、次の手順に従います：

1. LDAP サーバーの詳細ページの関連ドメインに移動し、［インポート］ >> ［検索フィルターの使用］の順にクリックします。
2. 開いたポップで、以下の情報を入力します：
3. 1. 検索フィルター：PAM360にインポートする目的のユーザーをLDAPサーバー内で検索する条件を入力します
   2. グループ名: 選択されたユーザーでPAM360に専用ユーザーグループを作成するグループ名を指定します。
   3. 組織ユニット：検索を特定の組織単位内に制限するには、組織ユニット名を入力します。
      
      
      

      メモ：

      指定されたフィールドで組織ユニット（OU）を指定すると、フィルター条件はbaseDN全体ではなく、その指定されたOU内のみを検索します。ただし、OUが指定されていない場合は、フィルター条件はbaseDN全体に適用されます。

   4. 役割および言語を［役割］と［言語〛ユドロップダウンメニューからそれぞれ選択し、各ユーザーの横にあるスイッチを切り替え、2段階認証を有効または無効にします。
4. ［インポートして保存〛をクリックして、LDAPからPAM360にユーザーをインポートします。この操作により、LDAP サーバーの詳細ページでスケジュールも作成します。

［インポートして保存〛ボタンをクリックすると、PAM360が構成済みのLDAP設定からすぐに、すべてのユーザーのインポートを開始します。その後のインポートでは、LDAP内の新しいユーザーエントリのみがPAM360に追加されます。また、LDAP認証が無効になっている場合、新しい各ユーザーには、アカウントの詳細とPAM360にアクセスするためのパスワードを含むメール通知が送信されます。

2.3 LDAP サーバーとPAM360との間での同期の構成

PAM360では、LDAPサーバーに新しいエントリが追加されるごとに、ユーザーを自動同期できます。この機能は、LDAP サーバーの詳細ページで個別または一括で構成できます。

1. LDAP構成からPAM360にユーザーを同期するには、グループ/組織単位、または検索フィルターに対応する対象LDAP構成の横にある［スケジュールを同期〛アイコンをクリックします。
2. 開いたポップアップで、PAM360がLDAP サーバーに問い合わせてユーザー詳細を同期する時間間隔を入力します。間隔は、分単位から時間単位または日単位まで設定できます。
3. ［保存］をクリックして同期構成を保存します。
   
4. 同期を一括でスケジュール設定するには、
   1. グループ、組織単位、または検索フィルターに対応する対象LDAP設定を選択し、上部ペインの［スケジュールを同期］ボタンをクリックします。
   2. 開いたポップアップで、PAM360がLDAP サーバーに問い合わせてユーザー詳細を同期する時間間隔を指定して、［保存］をクリックします。間隔は、分単位から時間単位または日単位まで設定できます。

3.適切なユーザーロールの指定

デフォルトでは、LDAP サーバーからインポートされたすべてのユーザーには、インポート処理中に別途指定がない限り、パスワードユーザーのロールが割り当てられます。インポート処理時に特定のユーザーに対して特定のロールを変更するには：

1. ［管理］ >> ［認証］ >> ［LDAP］の順に移動し、［今すぐロールを割り当てる］をクリックします。
2. ［ユーザーの役割を変更］ウィンドウには、LDAPからインポートされたすべてのユーザーが一覧表示されます。
   1. ロールを変更するユーザーの横にある［役割変更］ボタンをクリックしてください。
   2. ドロップダウンメニューから適切な役割を選択してください。
      
3. ユーザーの役割を一括変更するには、チェックボックスを使用してユーザーを選択し、上部の「役割変更」ボタンをクリックして、ドロップダウンメニューから適切なロールを選択します。変更は、ロールが割り当てられた時点で保存されます。

4.LDAP認証の有効化

最後の手順では、LDAP認証を有効にします。これにより、ユーザーはLDAPディレクトリのパスワードを使用してPAM360にログインできるようになります。PAM360でLDAP認証を有効にするには、次の手順に従います：

1. ［管理］ >> ［認証］ >> ［LDAP］の順に移動します。
2. LDAPサーバーの構成ページで、［今すぐ有効にする］ボタンをクリックしてLDAP認証を有効にします。

   メモ：

   • LDAP認証は、LDAPからPAM360にすでにインポートされているユーザーに対してのみ機能します。
   • LDAPからインポートされたユーザーの中に、管理者ロールを持つユーザーが少なくとも 1 人いることを確認してください。

5.LDAP サーバー、組織単位、およびグループのPAM360での管理

［管理］ >> ［認証］ >> ［LDAP］ >> ［LDAP サーバーの詳細］の順に移動します。開いたウインドウで、

1. 各LDAP サーバーの横にある3つの点のメニューアイコンをクリックし、既存のものを削除するか、LDAP サーバーに関係するエントリを編集します。
2. 各OU、グル－プまたは検索フィルターの横にある ［編集/削除］アイコンをクリックして、インポートされたLDAP構成をPAM360から削除します。また、各組織単位、グループ、または検索フィルターを選択するか、上部ペインの［スケジュールを編集/削除］ボタンをクリックして、この操作を一括で実行できます。

   メモ：

   グループ、組織単位、および検索フィルターを削除すると、各エントリがPAM360データベースから個別に削除されるため、LDAP サーバー内のデータに影響が及ぶことはありません。