Rozšířené nastavení registru uživatelů LDAP (Lightweight Directory Access Protocol)

Prostřednictvím této stránky můžete konfigurovat rozšířené nastavení registru uživatelů LDAP (Lightweight Directory Access Protocol), pokud jsou uživatelé a skupiny umístěni v externím adresáři LDAP.

Chcete-li zobrazit tuto stránku pro správu, postupujte podle následujícího postupu:

Klepněte na volbu Zabezpečení > Globální zabezpečení.
V části Úložiště uživatelského účtu klepněte na rozevírací seznam Definice dostupné sféry, vyberte volbu Samostatný registr LDAP a klepněte na tlačítko Konfigurovat.
V části Další vlastnosti klepněte na volbu Rozšířené nastavení registru uživatelů LDAP (Lightweight Directory Access Protocol).

Výchozí hodnoty pro všechny filtry týkající se uživatelů a skupin jsou již v příslušných polích nastaveny. Tyto hodnoty můžete změnit podle vlastních požadavků. Tyto výchozí hodnoty jsou založeny na typu serveru LDAP, který je vybrán na panelu nastavení samostatného registru LDAP. Pokud se typ změní (například z hodnoty Netscape na hodnotu Secureway), automaticky se změní i výchozí filtry. Pokud se změní výchozí hodnoty filtrů, změní se typ serveru LDAP na hodnotu Vlastní, aby bylo zřejmé, že jsou používány vlastní filtry. Je-li povoleno zabezpečení a změníte-li některou z těchto vlastností, přejděte na panel Globální zabezpečení a klepnutím na tlačítko Použít nebo OK změny ověřte.

Poznámka: Počáteční vytvoření profilu konfiguruje server WebSphere Application Server k použití volby registru zabezpečení sdružených úložišť s registrem založeným na souborech. Tuto konfiguraci registru zabezpečení lze změnit k použití jiných voleb, a to včetně registru samostatného protokolu LDAP. Namísto přechodu z volby sdružených úložišť na volbu registru samostatného protokolu LDAP v rámci konfigurace úložiště uživatelských účtů můžete použít volbu sdružených úložišť, která je poskytována pro konfiguraci protokolu LDAP. Sdružená úložiště poskytují širokou řadu možností včetně možnosti použití jednoho nebo více registrů uživatelů. Podporují sdružení jednoho nebo více protokolů LDAP a vlastní registry i registry založené na souborech. Dále došlo ke zlepšení možností překonání selhání a robustní sady možností správy členů (uživatelů a skupin). Sdružená úložiště jsou vyžadována při použití nových možností správy členů v produktu WebSphere Portal verze 6.1 nebo novější a v produktu Process Server verze 6.1 nebo novější. Použití sdružených úložišť je vyžadováno pro následující odkazy LDAP, které představují obvyklý požadavek některých prostředí serveru LDAP (například služba Microsoft Active Directory).

Doporučuje se migrovat ze samostatných registrů protokolu LDAP do úložišť. Při přechodu na produkt WebSphere Portal verze 6.1 nebo novější nebo na produkt WebSphere Process Server verze 6.1 nebo novější je vhodné před těmito upgrady migrovat na sdružená úložiště. Další informace o sdružených úložištích a jejich možnostech naleznete v tématu Sdružená úložiště. Další informace o způsobu migrace na sdružená úložiště naleznete v tématu Migrace samostatného úložiště LDAP na konfiguraci úložiště LDAP s federovanými úložišti.

Uživatelský filtr

Určuje uživatelský filtr LDAP, který v registru uživatelů vyhledává uživatele.

Tato volba se typicky používá pro přiřazení role zabezpečení k uživateli a určuje vlastnost, podle které mají být uživatelé v rámci adresářové služby vyhledáváni. Chcete-li například vyhledávat uživatele na základě jejich jmen, zadejte řetězec (&(uid=%v)(objectclass=inetOrgPerson)). Další informace o této syntaxi naleznete v dokumentaci adresářové služby LDAP.

Informace	Hodnota
Datový typ:	Řetězec

Skupinový filtr

Určuje skupinový filtr LDAP, který v registru uživatelů vyhledává skupiny.

Tato volba se typicky používá pro přiřazení role zabezpečení ke skupině a určuje vlastnost, podle které mají být skupiny v rámci adresářové služby vyhledávány. Další informace o této syntaxi naleznete v dokumentaci adresářové služby LDAP.

Informace	Hodnota
Datový typ:	Řetězec

Mapování jmen uživatelů

Určuje filtr LDAP, který mapuje krátké jméno uživatele na položku LDAP.

Určuje údaj, který představuje uživatele při jejich zobrazení. Chcete-li například zobrazit položky typu objectclass=inetOrgPerson podle jejich ID, zadejte inetOrgPerson:uid. Do tohoto pole lze zadat více dvojic objectclass:property oddělených středníkem (;).

Informace	Hodnota
Datový typ:	Řetězec

Mapování ID skupin

Určuje filtr LDAP, který mapuje krátký název skupiny na položku LDAP.

Určuje údaj, který představuje skupiny při jejich zobrazení. Chcete-li například zobrazit skupiny podle jejich názvů, zadejte *:cn. Na základě zástupného znaku představovaného hvězdičkou (*) probíhá v tomto případě hledání u všech tříd objektů. Do tohoto pole lze zadat více dvojic objectclass:property oddělených středníkem (;).

Informace	Hodnota
Datový typ:	Řetězec

Mapování ID členů skupin

Určuje filtr LDAP, který označuje vztahy uživatel-skupina.

U typů adresářů SecureWay a Domino lze do tohoto pole zadat více dvojic objectclass:property oddělených středníkem (;). Ve dvojici objectclass:property představuje hodnota třídy objektů (objectclass) stejnou třídy objektů, která je definována ve skupinovém filtru, a vlastnost (property) je atribut člena. Pokud hodnota třídy objektů neodpovídá třídě objektů ve skupinovém filtru, může v případě, že jsou skupiny mapované k rolím zabezpečení, selhat autorizace. Další informace o této syntaxi naleznete v dokumentaci adresářové služby LDAP.

U serverů IBM® Directory Server, Sun ONE a Active Directory lze do tohoto pole zadat více dvojic group attribute:member attribute oddělených středníkem. Tyto dvojice se používají k vyhledání členství uživatele ve skupinách, a to zobrazením všech atributů skupiny vlastněných daným uživatelem. Například dvojice atributů memberof:member je používána službou Active Directory a dvojice ibm-allGroup:member je používána serverem IBM Directory Server. Toto pole rovněž určuje, ve které vlastnosti třídy objektů je uložen seznam členů náležejících ke skupině představované třídou objektů. Podporované adresářové servery LDAP naleznete v části "Podporované adresářové služby".

Informace	Hodnota
Datový typ:	Řetězec

Vyhledávat ve vnořených skupinách

Určuje rekurzivní prohledávání vnořených skupin.

Tuto volbu vyberte v případě, že server LDAP (Lightweight Directory Access Protocol) nepodporuje rekurzivní vyhledávání členů skupiny na straně serveru a rekurzivní vyhledávání členů skupiny je vyžadováno. Tuto volbu se nedoporučuje vybírat pro vyhledání rekurzivních členství ve skupinách u serverů LDAP. Zabezpečení aplikačního serveru využívá funkci serveru LDAP pro rekurzivní hledání k nalezení členství uživatele ve skupinách, včetně rekurzivních členství ve skupinách. Příklad:

Server IBM Directory Server je na základě zabezpečení aplikačního serveru předkonfigurován pro rekurzivní výpočet členství uživatele ve skupinách pomocí atributu ibm-allGroup.
Adresářový server SunONE je předkonfigurován pro výpočet členství ve vnořených skupinách pomocí atributu nsRole.

Informace	Hodnota
Datový typ:	Řetězec

Uživatelský filtr Kerberos

Určuje hodnotu uživatelského filtru ověřování Kerberos. Tuto hodnotu lze upravit při konfigurování ověřování Kerberos a může být aktivní jako jeden z preferovaných mechanizmů ověřování.

Informace	Hodnota
Datový typ:	Řetězec

Režim mapování certifikátů

Určuje, zda mají být certifikáty X.509 mapovány na adresář LDAP metodou EXACT_DN nebo CERTIFICATE_FILTER. Chcete-li pro mapování použít zadaný filtr certifikátů, vyberte volbu CERTIFICATE_FILTER.

Informace	Hodnota
Datový typ:	Řetězec

Filtr certifikátů

Určuje vlastnost mapování filtru certifikátů pro filtr LDAP. Tento filtr bude použit k mapování atributů v certifikátech klienta na položky v registru LDAP.

Pokud specifikaci filtru odpovídá během zpracování více než jedna položka LDAP, dojde k selhání ověřování, protože výsledkem bude nejednoznačná shoda. Syntaxe či struktura tohoto filtru je následující: (&(uid=${SubjectCN})(objectclass=inetOrgPerson)). Na levé straně specifikace filtru je atribut služby LDAP, který závisí na schématu, pro jehož používání je server LDAP konfigurován. Na pravé straně specifikace filtru je jeden z veřejných atributů v certifikátu klienta. Pravá strana musí začínat znakem dolar ($) a levou závorkou ({) a musí končit pravou závorkou (}). Na pravé straně specifikace filtru můžete používat následující hodnoty atributu certifikátu. Velikost písmen je důležitá:

${UniqueKey}
${PublicKey}
${IssuerDN}
${Issuer<xx>}
kde znaky <xx> jsou nahrazeny znaky představujícími kteroukoli platnou komponentu rozlišujícího názvu vydavatele. Můžete například použít označení ${IssuerCN} pro běžný název vydavatele.
${NotAfter}
${NotBefore}
${SerialNumber}
${SigAlgName}
${SigAlgOID}
${SigAlgParams}
${SubjectDN}
${Subject<xx>}
kde znaky <xx> jsou nahrazeny znaky představujícími kteroukoli platnou komponentu rozlišujícího názvu subjektu. Můžete například použít označení ${SubjectCN} pro běžný název subjektu.
${Version}

Předcházení potížím: Názvy SAN (Subject Alternative Name) nejsou jako položky filtru certifikátů podporovány.gotcha

Informace	Hodnota
Datový typ:	Řetězec

Název souboru: usec_advldap.html