LDAP 認証

プログラミングのガイドライン

ユーザー認証のための LDAP サーバーの使用

cn=Ben Gray,ou=editing,o=New York Times,c=US
cn=Lucille White,ou=editing,o=New York Times,c=US
cn=Tom Brown,ou=reporting,o=New York Times,c=US

ディレクトリー・スキーマに定義されたすべての属性は、DN を構成するために使用できます。 コンポーネント属性値の組の順序は、大切です。 DN は、ルートを基点として、項目が存在するレベルまでの各ディレクトリー階層レベルごとに、1 つのコンポーネントを含みます。LDAP DN は、最も具体性の高い属性 (通常はある種の名前) から始まり、 徐々に意味の広い属性へと続き、たいていは国の属性で終了します。DN の最初のコンポーネントは、相対識別名 (RDN) と呼ばれています。 RDN は項目を、同じ親を持つ他の項目と明確に区別します。上記の例では、RDN「cn=Ben Gray」によって、1 番目の項目を 2 番目の項目 (RDN「cn=Lucille White」を持つ) と区別しています。これら 2 つの DN は、それ以外は同じものです。項目に対する RDN を構成する「属性 = 値」の組も項目に存在していなければなりません。 (これは、DN のその他のコンポーネントには当てはまりません。)

例

  (|(cn={filter}*)(sn={filter}*)(mail={filter}*)(givenName={filter}*)(uid={filter}*))

認証済みバインド DN は、外部 LDAP サーバー上のユーザーであり、定義された検索ベース内での基本 DN の取得と LDAP ディレクトリーの検索を許可されています。また、この DN は他のユーザー・プロパティーを読み取ることができなければならず、LDAP に匿名でアクセスして基本 DN を取得したりユーザー属性を検索してその属性にアクセスしたりすることが許可されていない場合に使用される必要があります。Steve の検索を実行する場合、以下の例に示す LDAP 照会フィルターが使用され、UI で使用された基本 DN から検索が実行されます。ユーザーの DN が返された場合、DN およびパスワードがユーザーの認証に使用されます。

(|(cn=Steve*)(sn=Steve*)(mail=Steve*)(givenName=Steve*)(uid=Steve*)).

(|(cn=steve@company.com*)(sn=steve@company.com*)(mail=steve@company.com*)
(givenName=steve@company.com*)(mail=steve@company.com*))  

(|(cn={filter}*)(sn={filter}*)(mail={filter}*)(givenName={filter}*))

Prefix: "uid=", Suffix: ",ou=users,dc=company,dc=com"

LDAP 参照

LDAP 参照によって、ディレクトリー・ツリーを複数の LDAP サーバー間でパーティション化および分散することができます。LDAP 参照は、ドメイン・コントローラーが、要求されたオブジェクトのコピーを持っていないことをクライアント・アプリケーションに対して示し、そのオブジェクトを保持している可能性の高いロケーションをクライアントに知らせるための方法です。これにより、クライアントは、ドメイン・コントローラーの DNS 検索のベースとしてそのオブジェクトを使用します。