キャッシュ機能説明書 (統合環境設定編)

2.8 ディレクトリサーバ連携機能

　ディレクトリサーバとは、ユーザ名、パスワード、グループなどの情報を管理するサーバのことです。
　InfoProxyは、LDAP(Lightweight Directory Access Protocol)を使用してディレクトリサーバと通信し、認証を行います。この機能をディレクトリサーバ連携機能と呼びます。この機能を使用することにより、ユーザ名、パスワードなどの情報を一括に管理することができ、複数のPROXYサーバやWWWサーバなどの各種サーバとの間で共通の情報を使用することができます。
　ディレクトリサーバに問合せた結果情報をInfoProxyでキャッシュすることができます。2回目以降のディレクトリサーバへの問合せ処理をキャッシュした情報から判断することで、クライアントへの応答速度を向上できます。
　InfoProxyとディレクトリサーバ間の通信にSSLプロトコルを使用することができます。これによりディレクトリサーバとの通信内容の、通信経路上でのセキュリティが向上します。また、ディレクトリサーバとのSSL通信には、証明書内の項目をUTF-8コード系で記述した証明書(以降、UTF-8証明書)を使用することが可能です。ただし、連携に使用するディレクトリサーバのバージョンによって使用できる証明書に制限があります。“[注意]”の説明を参照してください。

図2.16にその概要を示します。

図2.16　ディレクトリサーバ連携の概要

　ディレクトリサーバ連携機能には次のような機能があります。

• ユーザ名による制御
  
  ユーザ名を指定してアクセス制御を行うことができます。
  
  
• グループによる制御
  
  ディレクトリサーバで管理するグループを指定してアクセス制御を行うことができます。
  
  
• サーチベースによる制御
  
  ディレクトリサーバ上のサーチベース(DN(Distinguished Name))を指定してアクセス制御を行うことができます。
  
  
• 検索フィルタによる制御
  
  ユーザの属性(職種や役職など)を検索フィルタを指定してアクセス制御を行うことができます。
  

　なお、ディレクトリ連携機能には以下の留意点があります。

• 連携できるディレクトリサーバは、InfoDirectoryのみです。

　ディレクトリサーバ連携を行うための環境構築については、“4.3　ディレクトリサーバ連携の準備”を参照してください。

　InfoProxyでのディレクトリサーバの設定方法の詳細については、“8　ディレクトリサーバ設定”を参照してください。

　ディレクトリサーバとの通信にSSLを使用するには、SSL制御設定とInfoProxy証明書ニックネーム設定が必要です。SSL制御設定、および、InfoProxy証明書ニックネーム設定については、“9.4　SSL環境設定”を参照してください。

　ディレクトリサーバへの問合せ結果キャッシュの設定方法の詳細については、“10　アクセス制御設定”を参照してください。


[注意]
　以下の条件の場合、本製品ではWWWクライアント／WWWサーバとの通信および、ディレクトリサーバとの通信において、UTF-8証明書を使用したSSL通信を行うことができません。

• InfoDiretoryを使用して、ディレクトリサーバ連携を行う、かつ
• ディレクトリサーバとSSLプロトコルによる通信を行う、かつ
• 使用するInfoDirectoryのSDKがUTF-8証明書によるSSL通信をサポートしていない場合。(InfoDirectoryのSDKがUTF-8証明書に対応しているかは、“InfoDirectory使用手引書”を参照してください。)

　ただしこの場合でも、UTF-8証明書を使用しない従来のSSL通信は可能ですので、UTF-8証明書を使用しない場合の手順にしたがってSSL環境を作成してください。


[補足]

• ディレクトリサーバ連携の結果をキャッシュした場合、キャッシュしている情報を一定時間使用します。そのため、ディレクトリサーバ上の情報を変更した場合、その情報を反映させるためにはInfoProxyを再起動する必要があります。
  
• ただし、クライアントから送られてきたパスワードとキャッシュしているパスワードが異なると一定時間内であっても、ディレクトリサーバに確認を行います。そのため、ユーザのパスワード変更を行った場合には、InfoProxyの再起動の必要はありません。
• ディレクトリサーバでは、ユーザ名の大文字と小文字は区別されません。そのため、ディレクトリサーバ連携を行う場合、InfoProxy内部ではユーザ名はすべて小文字に変換して処理を行います。また、アクセスログの出力はすべて小文字で出力します。
• ディレクトリサーバ連携の結果をキャッシュする場合、一人のユーザ名に対してパスワードは一つだけキャッシュされます。そのため、パスワードを複数登録し、複数の人が同一のユーザ名で異なるパスワードを使用して同時にアクセスした場合、毎回ディレクトリサーバへのアクセスが発生し、キャッシュが有効に機能しない可能性があります。