CLI を使用した組織固有の LDAP ユーザー・レジストリーの作成

apic login --server mgmt_endpoint_url --username user_id --password password --realm provider/identity_provider

apic identity-providers:list --scope provider --server platform_api_endpoint_url --fields title,realm

apic identity-providers:list --scope provider --server platform_api_endpoint_url --fields title,realm 
total_results: 2
results:
  - title: API Manager User Registry
    realm: provider/default-idp-2
  - title: Corporate LDAP user registry
    realm: provider/corporate-ldap

name: registry_name
title: "display_title"
integration_url: LDAP_integration_url
user_managed: true_or_false
user_registry_managed: false
directory_type: ad
external_group_mapping_enabled: true_or_false
case_sensitive: true_or_false
email_required: true_or_false
email_unique_if_exist: true_or_false
identity_providers:
 - name: provider_name
   title: provider_title
endpoint:
  endpoint: "ldap_server_url_and_port"
configuration:
  authentication_method: authentication_method
  authenticated_bind: "true_or_false"
  admin_dn: "admin_dn"
  admin_password: admin_password
  search_dn_base: "search_dn_base"
  search_dn_scope: search_dn_scope  
  search_dn_filter_prefix: prefix
  search_dn_filter_suffix: suffix
  attribute_mapping:
    dn: "distinguished_name"
    cn: "common_name"
    sn: "last_name"
    mail: "email_address"
    userPassword: "password"

apic integrations:list --server mgmt_endpoint_url --subcollection user-registry

"ldap://server.com:389"

• compose_dn - ユーザーの LDAP 識別名 (DN) をユーザー名から作成できる場合は、この形式を設定します。 たとえば、 uid=<username>,ou=People,dc=company,dc=com はユーザー名から構成できるDN形式です。 「作成 (DN)」が適切なオプションであるかどうかが不明な場合は、LDAP 管理者に問い合わせてください。 LDAP レジストリーを使用して API を保護する場合、DataPower API Gateway では compose_dn はサポートされません。
• compose_upn - LDAP ディレクトリーが、john@acme.com などのユーザー・プリンシパル名とのバインディングをサポートしている場合は、この形式を選択します。 Microsoft Active Directory は、「作成 (UPN)」認証をサポートする LDAP ディレクトリーの一例です。 LDAP ディレクトリーが UPN とのバインディングをサポートしているかどうかが不明な場合は、LDAP 管理者に問い合わせてください。
  注: 管理バインド DN および管理バインド・パスワードは、この認証方式では使用されません。
• search_dn - ユーザーの LDAP 識別名をユーザー名から作成できない場合 (ユーザーの基本 DN が異なっている場合など) は、この形式を選択します。 このフォーマットを選択すると、LDAP ディレクトリー内でユーザーを検索するために、管理者の DN とパスワードが必要になる場合があります。 LDAP ディレクトリーで匿名バインドが許可されている場合は、管理者の DN とパスワードを省略することができます。 LDAP ディレクトリーで匿名バインドが許可されているかどうかが不明な場合は、LDAP 管理者に問い合わせてください。

apic user-registries:create --server mgmt_endpoint_url --org organization_name ldap_config_file.yaml

• mgmt_endpoint_url は、プラットフォーム API エンドポイント URL です。
• organization_name は、プロバイダー組織の name プロパティーの値です。
• ldap_config_file は、LDAP ユーザー・レジストリーの構成を定義する YAML ファイルの名前です。

registry_name registry_url

1. 次のコマンドを使用して、LDAP ユーザー・レジストリーの URL を確認します (または、レジストリー作成の要約から URL をコピーして貼り付けることができます)。

   apic user-registries:list --server mgmt_endpoint_url --org organization_name

2. プロバイダー組織のメンバーとして管理サーバーにログインし、次のコマンドを入力します。

   apic login --server mgmt_endpoint_url --username user_id --password password --realm provider/identity_provider

   次のコマンドを入力して、使用可能なすべての ID プロバイダーのリストを表示することで、--realm パラメーターで使用する ID プロバイダーを判別できます (このコマンドを使用するためにログインする必要はありません)。

   apic identity-providers:list --scope provider --server platform_api_endpoint_url --fields title,realm

   例:

   apic identity-providers:list --scope provider --server platform_api_endpoint_url --fields title,realm 
   total_results: 2
   results:
     - title: API Manager User Registry
       realm: provider/default-idp-2
     - title: Corporate LDAP user registry
       realm: provider/corporate-ldap

   title 値により、使用する ID プロバイダーを判別できます。その後に、表示された realm 値から対応する --realm パラメーターを直接コピーできます。 インストール API Connect 後に管理者が作成したIDプロバイダーについては、その名前は作成時に決定されます。 プロバイダー組織のメンバーとしてログインするためのデフォルトの API Manager ローカル・ユーザー・レジストリーは default-idp-2 です。

   この apic login コマンドの詳細については、 「管理サーバーへのログイン」 を参照してください。

3. 次のコマンドを入力してください（末尾のハイフンは、このコマンドがコマンドラインから入力を受け付けることを意味します）：

   apic configured-catalog-user-registries:create --server mgmt_endpoint_url --org organization_name --catalog catalog_name -

   ここで、 catalog_name は、name必要なカタログのプロパティー。 このコマンドは、次の値を返します。

   Reading CONFIGURED_CATALOG_USER_REGISTRY_FILE arg from stdin

4. 次のデータを入力して、改行します。

   user_registry_url: ldap_registry_url

   ここで、 ldap_registry_url は、手順 1 で取得した、 LDAP レジストリの URL です。
5. 入力を停止するには、[ CTRL D Press] を押してください。

1. 次のコマンドを実行して、更新する LDAP ユーザー・レジストリーの名前または ID を確認します (または、レジストリー作成の要約を使用できます)。

   apic user-registries:list --server mgmt_endpoint_url --org organization_name

   このコマンドで、その組織のすべてのユーザー・レジストリーのリストが返されます。名前の次にレジストリー URL が表示されます。 レジストリー ID は、URL の末尾にあります。例えば、以下のようになります。 https://company.com/api/user-registries/x-x-x-x-x/registry_id
2. 次のコマンドを入力してください（末尾のハイフンは、このコマンドがコマンドラインから入力を受け付けることを意味します）：

   apic user-registries:update --server mgmt_endpoint_url --org organization_name registry_name_or_id -

   ここで、registry_name_or_id は、更新する LDAP ユーザー・レジストリーの名前または ID (前のステップで確認したもの) です。 このコマンドでは、以下が返されます。

   Reading USER_REGISTRY_FILE arg from stdin

3. 次のデータを入力して、改行します。

   user_managed: true_or_false

   ここで、 true はレジストリを書き込み可能にし、 false はレジストリを読み取り専用にします。
4. 入力を停止するには、[ CTRL D Press] を押してください。

• API のセキュリティー定義で基本認証に使用するには、 基本認証セキュリティー定義の作成を参照してください。
• ネイティブの OAuth プロバイダーのユーザー セキュリティ設定で認証に使用するには、 「ネイティブの OAuth プロバイダーのユーザーセキュリティの設定」を参照してください。

name: sdn-ldap
title: "SDN LDAP User Registry"
integration_url: https://mycompany.com/api/cloud/integrations/user-registry/xxx-xxx-xxx
user_managed: true
user_registry_managed: false
directory_type: standard
case_sensitive: false
identity_providers:
  - name: ldap
    title: "SDN LDAP Identity Provider"
endpoint:
  endpoint: "ldap://mycompany.com:389"
configuration:
  authentication_method: search_dn
  authenticated_bind: "true"
  admin_dn: "cn=admin,dc=company,dc=com"
  admin_password: xxxx
  search_dn_base: "dc=company,dc=com"
  search_dn_scope: sub
  search_dn_filter_prefix: (uid=
  search_dn_filter_suffix: )
  attribute_mapping:
    dn: "uid=[username],ou=users,dc=company,dc=com"
    cn: "[first_name] [last_name]"
    sn: "[last_name]"
    mail: "[email]"
    userPassword: "[password]"