Fejlett Egyszerűsített címtárhozzáférési protokoll felhasználói nyilvántartás beállítás

Az oldal segítségével konfigurálhatók a fejlett Egyszerűsített címtárhozzáférési protokoll (LDAP) felhasználói nyilvántartás beállítások külső LDAP könyvtárban lévő felhasználók és csoportok esetén.

Az adminisztrációs oldal eléréséhez hajtsa végre a következő lépéseket:

Kattintson a Biztonság > Globális biztonság elemre.
A Felhasználói fiók lerakata alatt kattintson az Elérhető tartománymeghatározások legördülő listára, válassza ki az Önálló LDAP nyilvántartás elemet, majd kattintson a Beállítás elemre.
A További tulajdonságok szakaszban válassza a Fejlett Egyszerűsített címtárhozzáférési protokoll (LDAP) felhasználói nyilvántartás beállítások elemet.

A megfelelő mezők már tartalmazzák a felhasználókhoz és csoporthoz kapcsolódó összes szűrő alapértelmezett értékét. Az értékek igény szerint megváltoztathatók. Az alapértelmezett értékek az Önálló LDAP nyilvántartás beállítások panelen kiválasztott LDAP kiszolgáló típusától függenek. A típus változtatása, például Netscape kiszolgálóról Secureway kiszolgálóra módosítás esetén az alapértelmezett szűrők automatikusan módosulnak. Az alapértelmezett szűrőértékek módosítása esetén az LDAP kiszolgáló típus Egyénire változik, jelezve az egyéni szűrők használatát. Biztonság alkalmazása esetén bármely tulajdonság módosításának érvényesítéséhez a Globális biztonság panelen kattintson az Alkalmaz vagy az OK gombra.

Megjegyzés: A kezdeti profillétrehozás úgy állítja be a WebSphere Application Server terméket, hogy egyesített lerakat biztonsági nyilvántartás beállítást használjon a fájlalapú nyilvántartáshoz. Ez a biztonsági nyilvántartás konfiguráció módosítható, hogy más lehetőségeket használjon, mint például az önálló LDAP nyilvántartás. Ahelyett, hogy az egyesített tár beállításról átváltana az önálló LDAP nyilvántartás beállításra a Felhasználói fiók nyilvántartási konfiguráció részben, fontolja meg az egyesített tár beállítás használatát, amely LDAP konfigurációt biztosít. Az egyesített lerakatok a képességek széles tartományát biztosítják, köztük azt, hogy több felhasználói nyilvántartással rendelkezzen. Támogatja az LDAP-k egyesítését a fájlalapú és egyéni nyilvántartásokon felül. Továbbfejlesztett átállási képességekkel és a tag (felhasználó és csoport) kezelő képességek komoly készletével rendelkezik. Egyesített lerakatok szükségesek, ha a WebSphere Portal 6.1 vagy újabb és a Process Server 6.1 vagy újabb változatokban lévő új tagkezelési képességeket használja. Egyesített lerakatok használata szükséges az LDAP hivatkozások követéséhez, ami gyakori követelmény bizonyos LDAP kiszolgáló környezetekben (mint például a Microsoft Active Directory).

Ajánlott áttérni az önálló LDAP nyilvántartásokról az egyesített lerakatokra. Ha WebSphere Portal 6.1 vagy újabb változatra, és/vagy WebSphere Process Server 6.1 vagy újabb változatra lép át, akkor ezen frissítések előtt át kell térnie az egyesített lerakatokra. Az egyesített lerakatokról és azok képességeiről bővebb információkat talál az Egyesített lerakatok című témakörben. Az egyesített lerakatokra történő áttérésről bővebb információkat talál az Önálló LDAP lerakat átállítása egyesített lerakatokat használó LDAP lerakat konfigurációra című témakörben.

Felhasználói szűrő

A felhasználói nyilvántartásban felhasználókat kereső LDAP felhasználói szűrőt határozza meg.

A jellegzetesen biztonsági szerepkör-felhasználó hozzárendelésekhez használt beállítás meghatározza a könyvtárszolgáltatásban a felhasználók kikereséséhez használt tulajdonságot. Felhasználók kikereséséhez például a felhasználói azonosítók alapján, adja meg a következőt: (&(uid=%v)(objectclass=inetOrgPerson)). A szintaxisról további információkért tanulmányozza az LDAP könyvtárszolgáltatás dokumentációt.

Információk	Érték
Adattípus:	Karaktersorozat

Csoportszűrő

A felhasználói nyilvántartásban csoportokat kereső LDAP csoportszűrőt határozza meg.

A jellegzetesen biztonsági szerepkör-csoport hozzárendelésekhez használt beállítás meghatározza a könyvtárszolgáltatásban a csoportok kikereséséhez használt tulajdonságot. A szintaxisról további információkért tanulmányozza az LDAP könyvtárszolgáltatás dokumentációt.

Információk	Érték
Adattípus:	Karaktersorozat

Felhasználóiazonosító-leképezés

A felhasználó rövid nevét LDAP bejegyzéshez rendelő LDAP szűrőt határozza meg.

A felhasználók megjelenítésekor a felhasználókat képviselő információkat határozza meg. Például a objektumosztály = inetOrgPerson típus bejegyzéseinek megjelenítéséhez azonosítóik alapján adja meg a következőt: inetOrgPerson:uid. A mező több, pontosvesszővel (;) elválasztott objektumosztály:tulajdonság párból áll.

Információk	Érték
Adattípus:	Karaktersorozat

Csoportazonosító kiosztás

A csoport rövid nevét LDAP bejegyzéshez rendelő LDAP szűrőt határozza meg.

Csoportok megjelenítésekor a csoportokat képviselő információkat határozza meg. Például csoportok megjelenítéséhez nevük alapján adja meg a következőt: *:cn. A csillag (*) ebben az esetben bármely objektumosztályban kereső helyettesítő karakter. A mező több, pontosvesszővel (;) elválasztott objektumosztály:tulajdonság párból áll.

Információk	Érték
Adattípus:	Karaktersorozat

Csoporttag azonosító kiosztás

A felhasználó-csoport viszonyokat azonosító LDAP szűrőt határozza meg.

SecureWay és Domino könyvtártípusok esetén a mező több, pontosvesszővel (;) elválasztott objektumosztály:tulajdonság párból áll. Az objektumosztály:tulajdonság párban az objektumosztály értéke megegyezik a csoportszűrőben meghatározott objektumosztállyal, a tulajdonság pedig a tag jellemzője. Ha az objektumosztály értéke nem egyezik meg a csoportszűrőben meghatározott objektumosztállyal, akkor biztonsági szerepkörökhöz kiosztott csoportok esetén a hitelesítés meghiúsulhat. A szintaxisról további információkért tanulmányozza az LDAP könyvtárszolgáltatás dokumentációt.

IBM® Directory Server, Sun ONE és Active Directory esetén a mező több, pontosvesszővel (;) elválasztott csoport jellemző:tag jellemző párból áll. A párok használtak a felhasználó csoporttagságainak megkereséséhez, az adott felhasználó összes csoporttulajdonságának felsorolása segítségével. Például a memberof:member attribútumpárt az Active Directory, az ibm-allGroup:member attribútumpárt pedig az IBM Directory Server használja. A mező azt is meghatározza, hogy egy objektumosztály melyik tulajdonsága tartalmazza az objektumosztály által képviselt csoporthoz tartozó tagok listáját. Támogatott LDAP címtárkiszolgálók használata esetén tekintse meg a "Támogatott címtár szolgáltatások" című részt.

Információk	Érték
Adattípus:	Karaktersorozat

Beágyazott csoport keresés

Rekurzív beágyazott csoport keresést határoz meg.

Akkor használja ezt a lehetőséget, ha rekurzív csoporttag keresés szükséges, de az Egyszerűsített címtárhozzáférési protokoll (LDAP) kiszolgáló nem támogatja a rekurzív kiszolgáló oldali csoporttag kereséseket. A lehetőség választása nem ajánlott LDAP kiszolgálók rekurzív csoporttagságainak kereséséhez. Az alkalmazáskiszolgáló biztonság az LDAP kiszolgáló rekurzív keresési funkcionalitását hasznosítja felhasználó csoporttagságainak kereséséhez, beleértve a rekurzív csoporttagságot is. Például:

Az IBM Directory Server kiszolgálót az ibm-allGroup jellemző használatával az alkalmazáskiszolgáló biztonság állítja be előre a felhasználó csoporttagságainak rekurzív kiszámítására.
A SunONE könyvtárkiszolgáló a nsRole jellemző használatával előre beállított a beágyazott csoporttagságok kiszámítására.

Információk	Érték
Adattípus:	Karaktersorozat

Kerberos felhasználószűrő

A Kerberos felhasználószűrő értékét határozza meg. A Kerberos konfigurálásakor ez az érték módosíthat, és a preferált hitelesítési mechanizmusok egyikeként aktív.

Információk	Érték
Adattípus:	Karaktersorozat

Tanúsítványkiosztás mód

Megadja, hogy le legyenek-e képezve az X.509 tanúsítványok LDAP címtárba az EXACT_DN vagy a CERTIFICATE_FILTER által. A megadott tanúsítványszűrő használatához CERTIFICATE_FILTER megadása szükséges.

Információk	Érték
Adattípus:	Karaktersorozat

Igazolás szűrő

Megadja a tanúsítvány leképezési tulajdonságot az LDAP szűrőhöz. A szűrő osztja ki az ügyféltanúsítványokban lévő jellemzőket az LDAP nyilvántartásban lévő bejegyzésekhez.

Ha a futáskor több LDAP bejegyzés is megfelel a szűrőnek, akkor a hitelesítés meghiúsul, mivel a keresés nem adott egyértelmű találatot. A szűrő szintaxisa vagy struktúrája: (&(uid=${SubjectCN})(objectclass=inetOrgPerson)). A szűrő meghatározásának bal oldalán egy LDAP attribútum szerepel, amely illeszkedik az LDAP kiszolgálóban megadott sémához. A jobb oldalon az ügyfél tanúsítvány egy nyilvános attribútuma szerepel. A jobb oldali kifejezésnek egy dollárjel és egy nyitó kapcsos zárójel alkotta párral kell kezdődnie, és egy záró kapcsos zárójellel kell végződnie. Az alábbi tanúsítvány attribútumok használhatók a szűrő meghatározásának jobb oldalán. A rendszer különbséget tesz kis és nagybetűk között:

${UniqueKey}
${PublicKey}
${IssuerDN}
${Issuer<xx>}
ahol az <xx> helyére a Kibocsátó megkülönböztetett nevének valamely érvényes összetevőjét ábrázoló karakterek kerülnek. Használhat például ${IssuerCN} attribútumot a Kibocsátó általános nevéhez.
${NotAfter}
${NotBefore}
${SerialNumber}
${SigAlgName}
${SigAlgOID}
${SigAlgParams}
${SubjectDN}
${Subject<xx>}
ahol az <xx> helyére a Tárgy megkülönböztetett nevének valamely érvényes összetevőjét ábrázoló karakterek kerülnek. Használhat például ${SubjectCN} attribútumot a Tárgy általános nevéhez.
${Version}

Hiba elkerülése: A tárgyak alternatív neve (SAN) tanúsítványszűrő elemekként nem támogatott. gotcha

Információk	Érték
Adattípus:	Karaktersorozat

Fájlnév: usec_advldap.html