"ldap-proxy-server": {}

false に設定すると、フロントエンドは暗号化されていない接続を受け入れます。

true に設定すると、フロントエンドは TLS で暗号化された接続を受け付けます。

trueが に設定されている場合に "tls" 必要です。

これは、 TLS のフロントエンドサーバーのシークレットキーを難読化したものです。 値は、直接指定することも、ファイルに記述して先頭の @ 文字で参照することもできます。 たとえば、 "@key.pem.obf" 難読化されたキーの値がファイル key.pem.obf に保存されている場合などです。

key.pem既存のファイルに保存されているキーの値を難読化するには、たとえば、次のようなコマンドを実行します：

ldapauth-proxy -obfuscate "@key.pem"

key.pemこれにより、 key.pem.obf . の難読化された内容を含む新しいファイルが作成されます。 難読化は特定の製品インストールに固有のものであり、インストール間で移行することはできません。

デバッグやテストの目的で、代替オプション名を使用してプレーンテキストの値を指定することができます。 "key"

trueが に設定されている場合に "tls" 必要です。

これは、 TLS のフロントエンドサーバーの公開証明書です。 値は、直接指定することも、ファイルに記述して先頭の @ 文字で参照することもできます。 例えば、以下のとおりです。

cert.pem"@cert.pem" 証明書の値がファイルに保存されている場所。

使用する認証方法。 常にパスワードと二要素認証を併用してください。 パスワードは、Bindを使用してバックエンドの LDAP サーバーに対して検証されます。 "ibm-auth-api" 2つ目の要素は、適切な場合、ブロックで指定されたテナント Verify に対して検証されます。

選択項目は、以下のとおりです。

• "password-and-device": 2FA 向けのバックエンドパスワードおよびユーザー端末のプッシュ通知による認証。
• "password-and-totp": Verifyユーザーに対して検証された、TOTP値が埋め込まれたバックエンドパスワード。
• "password-and-device-or-totp": バックエンドのパスワード、およびTOTPまたはデバイスのいずれかによるユーザー認証 2FA. パスワード値にTOTPが含まれている場合はTOTPが使用され、そうでない場合はdeviceが使用されます。

必須。

使用するバックエンドホストのURIを少なくとも1つ含む配列。 現在は最初のエントリのみが使用されています。 値の例：

[ "ldaps://backend.ibm.com:636" ]

必須。

サーバーは IBM Verify Gateway for LDAP 、バックエンドの LDAP サーバーからエントリを検索できる必要があります。 このDN値を使用して接続を確立し、バインドを行います。

必須。

バックエンドの LDAP サーバーにバインドする際に使用する、 "reader-dn" 難読化されたパスワード。 平文のパスワードを難読化するには、次のコマンドを使用します：

ldapauth-proxy -obfuscate "reader_password"

デバッグやテストの目的で、オプション "reader-pwd" を使用することで、平文のパスワードを指定することも可能です。

"permit-group" オプションです。設定されていない場合は無視されます。

このオプション値は、バックエンドユーザーのグループメンバーシップのリストをDN値として格納している属性の名前を指定します。

"ibm-allGroups""memberOf"Active Directory の場合はこの値を に、 の IBM Directory Server 場合はこの値を に設定してください。

必須。

2FA において、関連するVerifyユーザーを検索するために使用される値を含む、バックエンドユーザーの属性名。 設定ブロックの "ldap-proxy-server" 「user-name-attr」 を参照してください。 "uid"例：.

オプション。

DNサフィックスの配列。 バインドDNまたはそのサフィックスがこれらのサフィックスのいずれかと一致する場合、そのバインド操作は 2FA の対象外となります。

オプション。

文字列の接尾辞の配列。 ログインにDNを使用していない場合、このオプションが適用されます。 Active Directory へのバインドは、 形式 username@domain を使用することで可能です。 このBindユーザー名のサフィックスまたは完全な値が、これらのサフィックスのいずれかと一致する場合、そのBind操作は 2FA の対象外となります。

これは、非DNバインドが使用される場合にのみ必要であり、その場合は 2FA も必要です。

を取得するには、 IBM Verify Gateway for LDAP"2fa-user-map-attr" バックエンドのユーザーを見つける必要があります。 検索はこのベースDNおよびその下位エントリから開始されます。

これは、非DNバインドが使用される場合にのみ必要であり、その場合は 2FA も必要です。

DN以外の LDAP バインドが受信され、かつ 2FA が必要とされる場合、その "2fa-user-map-attr" 値は LDAP バックエンドの関連するユーザーから取得する必要があります。 LDAP バックエンドでユーザーを特定するには、 LDAP 検索が行われ、このオプションで指定された属性名を持ち、かつその値がDN以外のバインドユーザー名と一致するエントリが検索されます。