Interstage Application Server シングル・サインオン運用ガイド

3.3.1.3 アクセス制御情報の準備

　Interstage シングル・サインオンで保護するリソースやサイトやパス、ロール定義を定義するアクセス制御情報を作成するための準備として、ロール定義を作成します。

　ロール定義として、以下を作成します。

• SSOリポジトリのTOPエントリである国名や組織名などのエントリ（例."c=jp"や"o=Interstage"）
• ロール定義の最上位のエントリ（例. "ou=Role"）(注)
• ロールのエントリ（例. "cn=Admin"や"cn=AdminSet"など）
• 保護リソースの最上位のエントリ（例. "ou=Resource"）(注)

　Interstage シングル・サインオンが提供するLDIFファイルをInfoDirectoryの管理ツールで読み込むことで、ロール定義を簡単に作成することができます。また、実際の運用環境に合わせて、SSOリポジトリのTOPエントリである国名や組織名TOPエントリや組織名、ロールのエントリ名を変更することもできます。
　LDIFファイルの読み込みやエントリ名の変更方法については、“LDIFファイルを使用したSSOリポジトリの作成例”および“SSOリポジトリの変更方法”を参照してください。

注)提供するLDIFファイルのアクセス制御情報のエントリ名やロール定義の最上位のエントリ名、保護リソースの最上位のエントリ名については、変更する必要はありません。

ロール定義

　ロールを定義します。

オブジェクトクラス	説明
top	基本LDAPオブジェクトクラス
ssoRole	SSOロール情報

　

属性	日本語名	説明	登録例
cn	名前	ロール名を設定します。 本属性を複数指定しないでください。また、指定した値は大文字・小文字は区別されません。 (注)	Admin

注)‘,’（カンマ）を含むロール名は設定しないでください。

　ロール定義には、複数のロールを１つで表すロールセットも定義できます。

オブジェクトクラス	説明
top	基本LDAPオブジェクトクラス
ssoRoleSet	SSOロールセット情報

　

属性	日本語名	説明	登録例
cn	名前	ロールセット名を設定します。 本属性を複数指定しないでください。また、指定した値は大文字・小文字は区別されません。 (注)	AdminSet
ssoRoleName	SSOロール名	ロールセットに含めるロール名を設定します。 ロールセットに含めるロールとしてロールセット名も設定できます。指定した値は大文字・小文字は区別されません。 (注1)(注2)	Admin

注1)重複するロールやロールセットは無効です。また、存在しないロールやロールセットは無効とみなします。
注2)定義がループしてしまうロールセットを設定した場合は、ループとなる部分は無効となります。

　以下に、定義がループとなり無効とみなすロールセットの設定を示します。

　ロールセット"LeaderSet"は、ロール"Leader"とロールセット"AdminSet"を1つで表しますが、ロールセット"AdminSet"はロール"Admin"とロールセット"LeaderSet"を1つで表そうとするため、ロールセット"AdminSet"に設定したロールセット"LeaderSet"がループとなります。この場合、ロールセット"AdminSet"が表していたロールセット"LeaderSet"は無効となり、最終的に、ロールセット"LeaderSet"は、ロール"Leader"とロール"Admin"を1つで表したロールセットとみなします。