認証

認証は、Directory Serverに身分を証明する処理です。認証処理によって、Directory Serverは、ユーザに許可するディレクトリの操作を決めることができます。しかし、認証は必ず必要であるとは限らないことに注意してください。ディレクトリ管理者は、ある処理に対しては許可を不要にするようにシステムを設定することができます。

デフォルトでは、ディレクトリ管理者以外のすべてのユーザは、ディレクトリへのアクセスを拒否されます。ディレクトリ管理者がディレクトリへのアクセス権の付与または削除を行います。このような許可はサイトごとに決定されるため、自分が保持しているディレクトリへのアクセス権の種類やどの操作に認証が必要かについては、ディレクトリ管理者に尋ねてください。

本章の内容:

ディレクトリ アクセスについて

ディレクトリへのアクセスの必要なユーザや必要とされるアクセス タイプを決定することは、ディレクトリ管理者の重要な仕事の1つです。ディレクトリ管理者は、アクセス制御機構を使用して、ディレクトリへのアクセス許可を付与または禁止します。アクセス制御機構を使用して、ディレクトリ管理者は以下のアクセス権を付与または禁止できます。

管理者が割り当てる特定の権限は、ユーザによって異なることもあります。例えば、匿名ユーザには読込みおよび検索のアクセス権のみが通常付与されますが、特定の認証ユーザ、またはグループのみに書込みアクセス権が付与されたり、または特定のマシンから操作にのみ書込みアクセス権が付与されることもあります。

ディレクトリ管理者がディレクトリに許可を適用して実行できる操作を、以下にいくつか示します。ディレクトリ管理者が実行可能なこと:

Directory Serverゲートウェイインタフェースでは、ディレクトリ アクセスを試みる前に認証が義務付けられているかどうかを認識する手段がありません。しかし、このインタフェースでは、任意の方法でユーザがディレクトリ ツリーを変更する前に認証が必要であることが設定されており、現在ユーザが認証していない場合は、変更前に認証するようプロンプトが表示されます。認証しない場合は、ディレクトリ管理者が匿名アクセス用に設定した操作とディレクトリ部分へのアクセスのみが許可されます。

ディレクトリへの認証

場合によっては、ある操作前に認証するようプロンプトが自動的に表示されます。 また、[認証]タブをクリックして、明示的に認証を選択することもできます。いずれの場合も、認証過程は以下の通りです。

  1. [認証]タブをクリックします。
  2. Directory Serverに身分を証明するために使用する名前を入力します。
  3. 一致するエントリのテーブルが複数表示された場合は、ディレクトリ エントリに対応するリンクを選択します。名前がディレクトリにおいて固有のものである場合は、システムはこのステップを飛ばします。
  4. パスワードを入力して[継続]をクリックします。
    自分のパスワードが不明の場合は、ディレクトリ管理者にお尋ねください。
    認証動作の完了に成功したら、認証の有効時間を示すメッセージが表示されます。この時間が過ぎたら、セッションを継続するためにディレクトリに再度認証する必要があります。パスワードが失効していれば、その場でパスワードを変更するか、システム管理者に連絡してください。
  5. [メインへ戻る]をクリックしてDirectory Serverインタフェースのセッションを継続します。

ディレクトリからのログアウト

Directory Serverに既に認証済みで、匿名アクセスに戻る場合は、以下を実行してください。

  1. [認証]タブをクリックします。
  2. [認証の破棄(ログアウト)]ボタンをクリックします。

これで匿名アクセスに戻ります。アクセスのタイプを変更するには、再度Directory Serverに認証する必要があります。詳細は、「ユーザとして認証」または「ディレクトリ管理者として認証」をご覧ください。

ディレクトリへの再度認証

ディレクトリに認証すると、特定時間有効な認証証明書が付与されます。デフォルトでは、認証証明書は120分間有効です。ただし、ディレクトリ管理者が有効期間を設定することができます。Directory Serverインタフェースの使用が終わる前に認証証明書が失効する場合、変更を保存するにはディレクトリに再度認証する必要があります。ディレクトリへの再度認証手順は、最初にディレクトリへの認証に使用したものと同じです。

不適切な認証によって発生する問題

Directory Serverに認証していない場合は、匿名ユーザとしてディレクトリにアクセスしています。匿名ユーザとして実行可能な動作のタイプは、ディレクトリ管理者によって設定されたアクセス制御によって異なります。検索などのディレクトリ操作の実行を試みると、奇妙な動作をすることがあります。Directory Serverインタフェースによって明示的に示されてはいませんが、発生する異常は不適切な認証によることが考えられます。インタフェース上でこの情報を提供しないのは、それによってセキュリティが弱められる可能性があるからです。

下表には、一般的な問題の兆候、考えられる原因、および問題の解決策がリストされています。

兆候 原因 解決策
検索結果が何もない。 入力した検索文字列に一致するエントリがないか、またはこのタイプの検索動作の実行前にディレクトリへの認証が義務付けられています。 異なった検索動作を試してみてください。または、入力した基準に一致するエントリが必ずあることが分かっている場合は、ディレクトリに認証します。
検索結果にエントリが欠けているか、または戻されたエントリから属性情報が欠けている。 正しく認証していないか、あるいは情報へのアクセス権が付与されていません。ディレクトリ管理者は、ディレクトリ ツリー全体または一部でエントリまたは特定のエントリ属性にアクセスするのに認証が必要であることを指定できます。この場合、情報が存在するか、さらにその情報にアクセスする権限をユーザが保持しているかはDirectory Serverでは示されません。代わりに、情報がまったく存在しないかのように動作します。ツリーにおける特定の情報を表示できなくても、それが存在することを知っていることは、セキュリティ上のリスクとなりうるとの配慮から、このように動作するようになっています。 正しく認証されていることを確認してください。必要なディレクトリ情報にアクセス権があることをディレクトリ管理者に確認します。
完了後、動作に失敗する。 不適切な認証のため、ディレクトリが動作に失敗しています。あたかもインタフェースのフォームの動作が失敗しているように見えますが、フォームは動作をDirectory Serverに動作を受け渡すだけで、実際はDirectory Serverが動作に失敗しています。Directory Serverインタフェースは、単に動作の結果を報告するだけのものです。現在、LDAPプロトコルでは、動作が試みられる前に認証が必要であるかがインタフェースによって認識できないようになっているために、この事態が発生します。ディレクトリ エントリの作成または変更中に認証が失効した場合に限り、このインタフェース使用中にこの事態が発生することがあります。 正しく認証されていることと認証が失効していないことを確認してください。
認証過程中にエントリのテーブルが表示される。 氏名がディレクトリにおいて固有のものでないか、または入力した名前がディレクトリに存在しません。 エントリがテーブルに表示されたら、対応するリンクを選択し、 認証過程を継続します。

エントリがテーブルに表示されない場合は、 [キャンセル] をクリックし、認証 を再度試みます。ユーザIDでなく、氏名を必ず使用してください。

ユーザ名は正しいのに、認証に失敗した。 パスワードが正しくありません。

有効なユーザ名と正しくないパスワードを入力し、しかも入力したユーザ名がNTユーザのエントリを示す場合は、Windowsネットワークで認証が試みられます。

それが成功しなかったり、入力したユーザ名がNTユーザのエントリを示さない場合は、再度実行、ウィンドウを閉じる、またはヘルプのオプションが与えられます。

[Retry] をクリックしてパスワードを再度入力します。