5.3 パスワード同期の前提条件
パスワード同期は、次の要素に依存します。
5.3.1 ユニバーサルパスワードのサポート
接続システム間でのパスワード同期に対応するには、Identity Managerでユニバーサルパスワードを使用する必要があります。次を参照してください。
- 『Password Management Administration Guide』の「Deploying Universal Password」
- セクション 5.4.3, ユニバーサルパスワードを使用するための準備作業
5.3.2 ドライバマニフェストで宣言されているパスワード同期機能
ドライバマニフェストは、接続システムが次のパスワード同期機能をサポートするかどうかを宣言します。
- ユーザの実際のパスワードをIdentity Managerに発行する
- Identity Managerのパスワードを受け入れる
マニフェストでは、初期パスワードの作成の受け入れとパスワード変更の受け入れは区別されません。
- Identity Managerで接続システム上のパスワードを確認し、ユーザのパスワード同期ステータスを決定する
メモ:ドライバマニフェストは、ドライバの開発者、またはドライバ環境設定を作成するIdentity Managerのエキスパートによって記述されます。ネットワーク管理者が編集するためのものではありません。ドライバマニフェストは、ドライバシムおよび環境設定の実際の機能を表します。マニフェストのみを変更しても機能は変更されません。機能を追加するには、ドライバシム、接続システム、またはドライバ環境設定を拡張する必要があります。
Identity Managerに付属するサンプルのドライバ環境設定はドライバマニフェストエントリを含みます。既存のドライバにこれらを追加するには、セクション 5.7, パスワード同期をサポートするための、既存のドライバ環境設定のアップグレードを参照してください。
5.3.3 グローバル構成値を使用したパスワード同期の制御
グローバル構成値を使用すると、ポリシーで参照できる定数値を設定できます。グローバル構成値はレプリカごとの属性に保持されるため、サーバ変数と呼ばれることもあります。
パスワード同期では、グローバル構成値を使用してIdentity Managerに対するパスワードフローの設定を作成できます。ドライバ環境設定内のIdentity Managerのパスワード同期ポリシーはグローバル構成値の設定に基づいて動作するように記述されるため、ポリシーを編集せずにパスワードフローを簡単に変更できます。
グローバル構成値を使用して、各接続システムの次の設定を制御できます。
表 5-6 接続システムの設定
Identity Managerに付属するドライバ環境設定はドライバマニフェストエントリを含みます。既存のドライバにこれらを追加するには、セクション 5.7, パスワード同期をサポートするための、既存のドライバ環境設定のアップグレードを参照してください。
グローバル構成値を編集する
-
iManagerで、［パスワード］>［パスワード同期］の順に選択します。
-
ドライバを検索します。
接続システムドライバを検索する場所を指定すると、iManagerによって検索されたすべての接続システムドライバに対するパスワードフロー設定の概要が表示されます。
-
設定を表示するために、ドライバ名をクリックします。
［ドライバの変更］ページに、パスワード同期のグローバル構成値が表示されます。
このページのオプションが淡色表示されている場合は、接続システムがそのオプションをサポートしていないことをドライバマニフェストが示しています。
-
変更を加え、［OK］をクリックします。
メモ:各ドライバに別個にグローバル構成値を設定できます。ドライバに対するグローバル構成値は、ドライバセット上のグローバル構成値よりも優先されます。特定のドライバに値を設定すると、より細かく制御できます。このページには、個々のドライバのグローバル構成値だけを表示できます。
ドライバセットオブジェクトにグローバル構成値を設定すると、ドライバが自身の値を持っていない場合に、そのグローバル構成値がそのドライバセット内のドライバによって継承されます。ドライバが自身の設定を持たず、ドライバセットからのグローバル構成値を継承する場合、iManagerには値が表示されません。iManagerには継承されているグローバル構成値は表示されませんが、グローバル構成値はパスワード同期ポリシーによって適用されます。
5.3.4 ドライバ環境設定で必要なポリシー
各ドライバの発行者チャネルおよび購読者チャネルのIdentity Managerポリシーは、上記のグローバル構成変数の設定に基づいてパスワードフローを制御します。これらのポリシーはIdentity Managerのドライバ環境設定に含まれています。
既存のドライバ環境設定を置き換えるのではなく更新する場合は、特定のポリシーを環境設定に追加する必要があります(セクション 5.7, パスワード同期をサポートするための、既存のドライバ環境設定のアップグレードを参照)。パスワード同期を機能させるには、これらのポリシーをドライバ環境設定の正しい場所に指定する必要があります。
発行者コマンド変換セットで必要なポリシー
パスワード同期ポリシー名に一覧表示されているポリシーは、一覧表示されている順に存在する必要があります。また、これらは発行者コマンド変換ポリシーセットの最後のポリシーでもある必要があります。
表 5-7 発行者コマンド変換セットで必要なポリシー
発行者入力変換ポリシーセットで必要なポリシー
入力変換に複数のポリシーがある場合、パスワード(発行者)-購読者の電子メール通知ポリシーは最後に記述することをお勧めします。
表 5-8 発行者入力変換ポリシーセットで必要なポリシー
購読者コマンド変換ポリシーセットで必要なポリシー
パスワード同期ポリシー名に一覧表示されているポリシーは、一覧表示されている順に存在する必要があります。また、これらは購読者コマンド変換ポリシーセットの最後のポリシーでもある必要があります。
表 5-9 購読者コマンド変換ポリシーセットで必要なポリシー
購読者出力変換ポリシーセットで必要なポリシー
出力変換に複数のポリシーがある場合、パスワード(購読者)-発行者の電子メール通知ポリシーは最後に記述することをお勧めします。
表 5-10 購読者出力変換ポリシーセットで必要なポリシー
5.3.5 パスワード取得のために接続システムにインストールするフィルタ
AD、NTドメイン、およびNISでは、ユーザのパスワードを取得するためにフィルタをインストールする必要があります。
セクション 5.9, パスワードフィルタの設定を参照してください。
5.3.6 ユーザ用に作成したNMASパスワードポリシー
ユニバーサルパスワードを使用しなくてもパスワード同期の一部の機能は使用できますが、ユーザ用にユニバーサルパスワードを有効にするにはNMASパスワードポリシーを使用する必要があります。また、パスワードポリシーによって、高度なパスワードルールを指定し、ユーザの既存のパスワードがルールに準拠しているかどうか確認するように指定できます。
Identity Managerのパスワード同期を使用するには、パスワードポリシーを理解する必要があります。パスワードポリシーについては、『Password Management Administration Guide』の「Managing Passwords by Using Password Policies」で説明しています。
5.3.7 NMASログインメソッド
状況によっては、NMAS単純パスワードログインメソッドを用意して、パスワード機能を実行できるようにする必要があります。たとえば、LDAPではこのメソッドが必要です。
ログインメソッドの詳細については、『Novell Modular Authentication Services (NMAS) 3.0 Administration Guide』を参照してください。