接続システムからのパスワードの受け入れ

DirXML®およびIdentity Managerの以前のバージョンと同様に、接続システムはアイデンティティボールトにパスワードを発行できます。

Identity Managerがパスワードを受け入れる元の接続システムアプリケーションを指定できます。さらに、Identity Managerが実行されている同じアイデンティティボールト内でユーザのパスワードを更新するか、またはIdentity Managerが接続システム間のみでパスワードを同期する単なる管路または「トンネル」として動作するかどうかも選択できます。つまり、アイデンティティボールトのパスワードを、Identity Managerが接続システムに配布するパスワードと別にすることができます。

一部の接続システム(AD、その他のアイデンティティボールト、NT、およびNIS)は、ユーザの実際のパスワードを提供できます。つまり、ユーザが接続システムでパスワードを変更した場合に、その変更をIdentity Managerと同期して、その他の接続システムに戻すことができます。

その他の接続システムはユーザの実際のパスワードの提供をサポートしていませんが、名字または従業員IDに基づいた初期パスワードなど、スタイルシートで生成したパスワードをIdentity Managerに提供するように設定できます。

接続システムへのパスワードの配布

Identity Managerのパスワード同期は、共通のパスワードを各接続システムに配布できます。

Identity Managerの以前のバージョンでは、ドライバは接続システム上のユーザアカウントからIdentity Managerにパスワードを送信でき、パスワードを使用してeDirectory内の対応するユーザを更新できました。しかし、eDirectory内のNDSパスワードは、逆方向に同期できないため、中央のIdentity Managerのアイデンティティボールトから複数の接続システムにパスワードを送ることはできませんでした。eDirectoryパスワードを取得するには、パスワードがeDirectoryに保存される前に、Novell Clientなどを介して取得する以外に方法はありませんでした。

eDirectory 8.7.3によって提供されるユニバーサルパスワードは、逆方向の同期が可能で、配布可能です。

Identity Managerは、接続システムからパスワードを受け入ることができます。ユニバーサルパスワードは逆方向の同期が可能であるため、Identity Managerはアイデンティティボールトから、新しいアカウントの初期パスワードの設定やパスワードの変更をサポートする接続システムにパスワードを配布できます。

パスワードの発行元に関係なく、Identity Managerは、接続システムにパスワードを配布する場所であるリポジトリとして配布パスワードを使用します。ユニバーサルパスワードと同様に、配布パスワードでも、パスワードポリシーを適用できます。

パスワードの同期時にユニバーサルパスワードと配布パスワードを使用する方法については、パスワード同期の実装を参照してください。

ユーザの他の属性と同様に、どのシステムが信頼されたパスワードのソ－スなのかを決定できます。Identity Managerは、信頼されたソ－スから他の接続システムにパスワードを配布します。

双方向パスワード同期は、これをサポートする接続システム間に設定できます。

データストアおよび接続システムでのパスワードポリシーの適用

Identity Managerでは、NMASを呼び出すことによって、着信パスワードにパスワードポリシーを適用できます。接続システムからIdentity Managerに発行されるパスワードがポリシーに準拠していない場合は、Identity Managerがそのアイデンティティボールトへのパスワードを受け入れないように指定できます。つまり、ポリシーに準拠しないパスワードはその他の接続システムに配布されません。

さらに、Identity Managerでは、接続システムにパスワードポリシーを適用することもできます。Identity Managerに対して発行されたパスワードがポリシーのルールに準拠していない場合、Identity Managerはパスワードを受け入れて配布しないだけでなく、アイデンティティボールト名の現在の配布パスワードを使用して接続システム上の準拠しないパスワードをリセットするように指定できます。

たとえば、パスワードに少なくとも1つの数字を含める必要があるとします。しかし、接続システム自体にはそのようなポリシーを適用する機能がありません。接続システムから送られてきて、ポリシーのルールに準拠していないパスワードをIdentity Managerでリセットするように指定します。

高度なパスワードルールとIdentity Managerのパスワード同期を使用している場合、すべての接続システムのパスワードポリシーを調査して、eDirectoryパスワードポリシーの高度なパスワードルールと互換性があることを確認することをお勧めします。この調査は、パスワードを正常に同期するために役立ちます。

NMASパスワードポリシーが割り当てられているユーザが、接続システムのパスワード同期に参加させるユーザと一致していることを確認する必要があります。

NMASのパスワードポリシーはツリー中心で割り当てられます。一方、パスワード同期はドライバごとに設定されます。また、ドライバは各サーバにインストールされ、マスタレプリカまたは読み書き可能レプリカ内のユーザのみが管理できます。パスワード同期により期待される結果を取得するには、パスワード同期のドライバを実行するサーバにあるマスタレプリカまたは読み書き可能レプリカのコンテナが、ユニバーサルパスワードが有効なパスワードポリシーを割り当てたコンテナと一致するようにします。パーティションルートコンテナにパスワードポリシーを割り当てることによって、そのコンテナとサブコンテナ内のすべてのユーザに確実にパスワードポリシーが割り当てられます。

NMASのパスワードポリシーをユーザに割り当てる方法の詳細については、『Password Management Administration Guide』の「Assigning Password Policies to Users」を参照してください。

パスワード同期のシナリオ

Identity Managerを使用すると、どのシステムが信頼されたパスワードのソ－スであるかを指定できます。また、管理者はパスワード受け入れの流れも決定します。

Identity Managerのパスワード同期の機能のほとんどは、アイデンティティボールトが提供する、逆方向に同期できるパスワード機能であるユニバーサルパスワードに依存します。しかし、ユニバーサルパスワードを展開する必要がない場合もあります。

Identity Managerのパスワード同期は、配布パスワードにも依存します。ユニバーサルパスワードと同様に、ポリシーを配布パスワードに適用できます。

パスワード同期を実装する基本的な方法については、パスワード同期の実装を参照してください。これらのシナリオを組み合わせて、各環境のニーズを満たすことができます。

Novell Clientを使用しないWindowsでのパスワードの同期

Active DirectoryおよびNTドメインとのパスワード同期に、Novell Clientは必要なくなりました。

ユーザへのパスワード同期失敗の通知

「データストアおよび接続システムでのパスワードポリシーの適用」では、Identity Managerはポリシーに準拠しないパスワードを(接続システムから)受け入れないことによってパスワードポリシーを適用できることを説明しています。

電子メール通知機能を使用すると、ユーザが行ったパスワード変更が成功しなかった場合に、Identity Managerから通知するように指定できます。

この機能を使用するには、電子メールサーバとテンプレートを設定する必要があります。次をカスタマイズできます。

詳細については、電子メール通知の設定を参照してください。

ユーザのパスワード同期ステータスの確認

Identity Managerを使用すると、接続システムに問い合わせて、ユーザのパスワード同期のステータスを確認できます。接続システムがパスワードの確認機能をサポートしている場合、パスワードが正常に同期されているかどうかを確認できます。

パスワードを確認する方法の詳細については、ユーザのパスワード同期ステータスの確認を参照してください。

パスワードの確認をサポートしているシステムのリストについては、パスワード同期をサポートする接続システムを参照してください。