ページの先頭行へ戻る
Systemwalker Cloud Business Service Management V1.4.0 ITサービス管理 管理者ガイド
第5章 Linux版の環境構築 > 5.10 認証サーバを利用して運用する場合(LDAP/LDAPS認証)の設定を行う > 5.10.2 利用者のログインでLDAP/LDAPS認証する
前次

5.10.2 利用者のログインでLDAP/LDAPS認証する

Webコンソール(利用者用)のログインでLDAP/LDAPS認証を行うように、ログイン認証を変更します。また、利用者情報を管理サーバ(ITサービス管理機能)で管理せずに認証サーバで管理することができます。

認証サーバのLDAP署名が有効化されている場合、LDAPS認証を行うように設定する必要があります。

事前の確認

目的・背景

本手順を実施すると、ITサービス管理内で利用者情報を管理することなくログイン認証を行うことができます。

手順

  1. 認証の設定をLDAPに変更します。

    1. ブラウザを起動して、以下のURLを指定します。

      http://管理サーバ(ITサービス管理機能)のホスト名またはIPアドレス:Webコンソールのポート番号/otrs/index.pl

    2. 管理者のユーザーでログインします。初回のログインでは以下のユーザーでログインします。

      ユーザー名

      swcbsmadmin

      パスワード

      ITサービス管理セットアップパラメーターファイルのITSM_ROOT_PASSWORDに指定した値、または、「5.10.1 運用者のログインでLDAP/LDAPS認証する」を設定している場合は、認証サーバ(Active Directory)に作成した管理者ユーザー「swcbsmadmin」のパスワード

    3. ナビゲーション・バーの[管理]をクリックします。

    4. [システム管理]の[システムコンフィグ]をクリックします。

    5. [選択した設定グループへ移動]で[Framework]を選択し、サブグループの[Frontend::Customer::Auth]をクリックします。

    6. 以下の設定を追加または変更します。

      設定項目

      設定値

      チェックボックス

      Customer::AuthModule

      LDAP

      -

      Customer::AuthModule::LDAP::Host

      接続先Active Directoryのホスト名またはIPアドレス(LDAPS認証の場合はホスト名)

      例

      ldap.example.com

      ON

      Customer::AuthModule::LDAP::BaseDN

      認証用ユーザーを作成するBaseDN

      例)

      dc=example,dc=com

      ここで設定したBaseDNより下の層のユーザーエントリーが利用者の対象となります。

      ON

      Customer::AuthModule::LDAP::UID

      sAMAccountName

      ON

      Customer::AuthModule::LDAP::SearchUserDN

      Active Directoryに作成した接続用ユーザーのユーザー名

      例)

      ldap@example.com

      ON

      Customer::AuthModule::LDAP::SearchUserPw

      接続用ユーザーのパスワード

      例)

      Password#123

      ON

      Customer::AuthModule::LDAP::Params

      ■LDAPで認証する場合

      async：0

      port：389

      timeout：120

      version：3

      ■LDAPS認証する場合

      async：0

      port：636

      timeout：120

      version：3

      scheme：ldaps

      cafile：ルート証明書のパス

      verifyrequire

      ON

      CustomerUser::LDAP::Backend###UserDN

      [Customer::AuthModule::LDAP::SearchUserDN]と同一の値

      ON

      CustomerUser::LDAP::Backend###UserPw

      [Customer::AuthModule::LDAP::SearchUserPw]と同一の値

      ON

    7. [更新]をクリックします。

  2. 利用者情報のActive Directory上からの参照設定を変更します。

    1. ITサービス管理がインストールされているサーバに、スーパー・ユーザーでログインします。

    2. ITサービス管理を停止します。
      ITサービス管理の停止については、「6.3 ITサービス管理を停止する」を参照してください。

    3. 設定ファイル(/opt/FJSVbsmotrs/Kernel/Config/Defaults.pm)をコピーして、バックアップします。

    4. 設定ファイル(/opt/FJSVbsmotrs/Kernel/Config/Defaults.pm)の「# (customer user ldap backend and settings)」の設定を以下のようにコメントアウトを解除(行頭の「#」を削除)し、有効にします。

      • 編集部分

        # (customer user ldap backend and settings)
    $Self->{CustomerUser} = {
        Name => 'LDAP Backend',
        Module => 'Kernel::System::CustomerUser::LDAP',
        Params => {
            # ldap host
            Host => 'bay.csuhayward.edu',
            # ldap base dn
            BaseDN => 'ou=seas,o=csuh',
            # search scope (one|sub)
            SSCOPE => 'sub',
            # The following is valid but would only be necessary if the
            # anonymous user does NOT have permission to read from the LDAP tree
            UserDN => '',
            UserPw => '',
            # in case you want to add always one filter to each ldap query, use
            # this option. e. g. AlwaysFilter => '(mail=*)' or AlwaysFilter => '(objectclass=user)'
            AlwaysFilter => '(objectclass=user)',
            # if the charset of your ldap server is iso-8859-1, use this:
            # SourceCharset => 'utf-8',
            # die if backend can't work, e. g. can't connect to server
            Die => 0,
            # Net::LDAP new params (if needed - for more info see perldoc Net::LDAP)
            Params => {
                port    => 389,
                timeout => 120,
                async   => 0,
                version => 3,
            },
        },
        # customer unique id
        CustomerKey => 'uid',
        # customer #
        CustomerID => 'mail',
        CustomerUserListFields => ['sn', "givenname", 'mail'],
        CustomerUserSearchFields => ["sAMAccountName", 'sn', "givenname", 'mail'],
        CustomerUserSearchPrefix => '*',
        CustomerUserSearchSuffix => '*',
        CustomerUserSearchListLimit => 250,
        CustomerUserPostMasterSearchFields => ['mail'],
        CustomerUserNameFields => ['sn', 'givenname'],
        # show now own tickets in customer panel, CompanyTickets
        CustomerUserExcludePrimaryCustomerID => 0,
        # add a ldap filter for valid users (expert setting)
        # CustomerUserValidFilter => '(!(description=gesperrt))',
        # admin can't change customer preferences
        AdminSetPreferences => 0,
        # cache time to live in sec. - cache any ldap queries
        CacheTTL => 0,
        Map => [
            # note: Login, Email and CustomerID needed!
            # var, frontend, storage, shown (1=always,2=lite), required, storage-type, http-link, readonly
            # [ 'UserTitle',      'Title',      'title',           1, 0, 'var', '', 1 ],
            [ 'UserFirstname',  'Firstname',  'givenname',       1, 1, 'var', '', 1 ],
            [ 'UserLastname',   'Lastname',   'sn',              1, 1, 'var', '', 1 ],
            [ 'UserLogin',      'Username',   'uid',             1, 1, 'var', '', 1 ],
            [ 'UserEmail',      'Email',      'mail',            1, 1, 'var', '', 1 ],
            [ 'UserCustomerID', 'CustomerID', 'mail',            0, 1, 'var', '', 1 ],
            # [ 'UserCustomerIDs', 'CustomerIDs', 'second_customer_ids', 1, 0, 'var', '', 0 ],
            [ 'UserPhone',      'Phone',      'telephonenumber', 1, 0, 'var', '', 1 ],
            [ 'UserAddress',    'Address',    'postaladdress',   1, 0, 'var', '', 1 ],
            [ 'UserComment',    'Comment',    'description',     1, 0, 'var', '', 1 ],
        ],
    };

      • 編集する項目

        設定項目

        設定値

        Host

        [Customer::AuthModule::LDAP::Host]と同一の値

        BaseDN

        [Customer::AuthModule::LDAP::BaseDN]と同一の値

        SourceCharset

        連携対象の認証サーバの文字コードがSJISの場合だけデフォルトの設定を変更します。

        例)

        iso-8859-1

        「# Net::LDAP new params (if needed - for more info see perldoc Net::LDAP)」配下のParams

        ■LDAPで認証する場合

        デフォルトから変更しません。

        ■LDAPSで認証する場合

        Params => {
               port => 636,
               timeout => 120,
               async => 0,
               version => 3,
               cafile => 'ルート証明書ファイルのパス',
               scheme => 'ldaps',
               verify => 'require',
               },

        CustomerKey

        [Customer::AuthModule::LDAP::UID]と同一の値

        CustomerID

        利用者グループに対応するActive Directoryの属性名

        例)

        'company'

        Map

        利用者の各情報とActive Directoryの属性名の対応付け

        [Map]の3列目、[storage]の値を変更することで、利用者の各情報とActive Directoryの属性の対応付けを変更できます。[storage]の値は以下の表を参照してください。

      [storage]の値

      Active Directory上の属性を参照し、必要に応じて設定してください。必須になっているパラメーターは必ず対応付ける必要があります。

      var

      storageのデフォルト値

      必須

      storage(推奨値)

      利用者管理画面のラベル名

      UserFirstname

      givenname

      ○

      sn

      姓

      UserLastname

      sn

      ○

      givenName

      名

      UserLogin

      uid

      ○

      sAMAccountName

      ユーザー名

      UserEmail

      mail

      ○

      mail

      メール

      UserCustomerID

      mail

      ○

      company

      利用者グループID

      UserPhone

      telephonenumber

      -

      電話

      UserAddress

      postaladdress

      -

      アドレス

      UserComment

      description

      -

      コメント

    5. ITサービス管理を起動します。

      ITサービス管理の起動については、「6.2 ITサービス管理を起動する」を参照してください。

結果の確認

  1. ブラウザを起動して、以下のURLを指定します。

    http://管理サーバ(ITサービス管理機能)のホスト名またはIPアドレス:Webコンソールのポート番号/otrs/customer.pl

  2. Active Directory上に作成されている利用者のユーザーでログインできることを確認します。

    ユーザー名

    Active Directoryに作成した利用者のユーザー名

    パスワード

    ユーザー名で入力したユーザーに対応するパスワード

前次
Copyright 2017-2024 Fujitsu Limited