MLDAP ESM モジュールのカスタム構成情報

監査イベントのカテゴリ コードは 100 でイベント コードは 1 です。これには、次の内容が含まれています。

• セキュリティ マネージャーのインデックスおよび名前。
• モジュールの名前 (「mldap_esm」)。
• 要求のタイプ (「AUTH」または「XAUTH」)。
• リソースの名前。
• アクセスの決定 (「allowed」、「denied」、または「answered」)。
• ルールの名前。

ルール名は、要求と照合されて ACL (アクセス制御リスト) を要求に適用した microfocus-MFDS-Resource オブジェクトの LDAP CN (共通名) です。

[LDAP]
 provider=libldap.a

• simple メソッドは、LDAP 資格情報をプレーン テキストで送信します。特権を付与された LDAP アカウント (たとえば、ユーザーのパスワード変更要求に対応するために、ユーザー属性を設定する権限が与えられている場合など) を使用するように ESM モジュールを構成している場合に、モジュールと LDAP サーバーの間のネットワーク接続が安全でないときは、他のメソッドを使用してください。このメソッドを使用する場合は、セキュリティ マネージャー構成の [Authorized ID] を LDAP 識別名にする必要があります。
• negotiate メソッドは、ESM モジュールおよび LDAP サーバーをネゴシエートさせて最も安全なメソッドが使用されるようにします。ほとんどの LDAP サーバーでは、これにより、LDAP 資格情報がプレーン テキストで送信されることがなくなります。このメソッドでは、セキュリティ マネージャー構成の [Authorized ID] は LDAP サーバーによって異なります。Active Directory の場合は、Windows ユーザー名である必要があり、ドメイン名とそれに続くバックスラッシュを前に付加することもできます (domain\user)。
• es-user メソッドは、Windows でのみサポートされ、Active Directory に接続する場合にのみサポートされます。現在のプロセス (ES/MTO または MFDS) のユーザー アカウントを使用して LDAP にバインドするようにモジュールに指示します。資格情報がプレーン テキストで送信されることはありません。このメソッドでは、セキュリティ マネージャー構成の [Authorized ID] フィールドおよび [Password] フィールドは無視されます。

デフォルトは simple です。

onelevel および one-level (この範囲に対する LDAP の技術用語) は child の同義語です。subtree は tree の同義語です。

デフォルトは child です。

この値が default に設定されている (またはまったく設定されていない) 場合、LDAP プロバイダーのリフェラル設定は MLDAP ESM モジュールで変更されずに維持され、動作はプロバイダーおよびサーバーによって決まります。

デフォルトは default で、以前のバージョンの MLDAP ESM モジュールとの互換性が確保されています。ただし、search scope=tree も構成されている場合、デフォルトは no になります。

デフォルトは no です。

次に例を示します。

esfadmin -uADMIN -pADMIN -U"cn=..." -Pxxx altuser user=SYSAD
passexp=20091231

この場合、ユーザー SYSAD のパスワード有効期限が 2009 年の最終日に設定されます。

次に例を示します。

[Passwords]
required=alphabetic, numeric

この場合、新しいパスワードに少なくとも 1 つの英字および 1 つの数字が含まれていないと、パスワードの変更に失敗します。

さまざまなパスワード制限オプションを組み合わせて使用できます。次に例を示します。

[Passwords]
 minimum length=6
 required=mixed-case
 complexity=2

この場合、パスワードは、6 文字以上で、大文字と小文字の両方を含み、少なくとも 1 つの非英字文字を使用している必要があります。

トレース ルールの形式は次のとおりです。

function:actor[:parameters]:result

詳細は次のとおりです。

• function は、verify または auth です。
• actor は、ユーザー名です。auth ルールの場合、グループ名とそれに続く語 group にすることもできます。ワイルドカードを使用できます。
• parameters は、この機能に固有で、次のようになります。
  • verify の場合、パラメーターはありません。
  • auth の場合、class:entity にする必要があり、次のようになります。
    • class は、リソース クラス名 (「TCICSTRN」など) で、ワイルドカードを使用できます。
    • entity は、リソース エンティティ名 (「CINQ」など) で、ワイルドカードを使用できます。
• result は、allow、deny、unknown、fail、any、または debug です。

要求は、ルールのすべての条件が満たされている場合にトレースされます。トレースとは、要求に関する 1 つ以上の情報メッセージがログに書き込まれることを意味します。result に debug を設定した場合は、(any と同様に) 任意の結果に基づいてログに記録されますが、function、actor、および parameters と一致する要求の処理時には追加情報が記録されます。

次に例を示します。

• verify:SYSAD:deny は、SYSAD ユーザーが拒否された Verify (サインオン) 要求をトレースします。
• auth:SYSADM group:TCICSTRN:C*:allow は、名前が C で始まる TCICSTRN クラス内のリソースへのアクセスを SYSADM グループのメンバーが要求した Auth (承認) 要求を、要求が許可された場合にトレースします。

フィルター処理されたトレースは、通常のトレースでは過度の出力が生成される負荷の高いシステムで問題を分離する場合に役立ちます。この機能では、各要求についてトレース ルールと一致するかどうかを調べる必要があるため、パフォーマンスが何らかの影響を受けます。

データ セット名のワイルドカード指定で、修飾子と一致させる必要がある場合は、二重アスタリスク (**) を使用してください。たとえば、SYSAD がデータ セットへのアクセスを拒否されたすべてのケースを表示するには、auth:SYSAD:DATASET:**:deny を使用します。

• MF-hash メソッドは、パスワードの検証機能 (ソルト付き暗号化ハッシュ) を格納する microfocus-MFDS-User-Pwd 属性の値を取得します。提供されたパスワードの同等のハッシュを計算し、一致するかどうかを検証します。このメソッドでは、ESF でユーザーの検証に使用されるパスワードは、ESF に対してプライベートであり、オペレーティング システムまたは LDAP サーバーには関連付けられません。
• bind メソッドは、LDAP サーバー自体を使用してユーザーの資格情報を検証します。そのために、資格情報を使用してサーバーにバインドします。このメソッドでは、ESF のユーザー パスワードは LDAP サーバーのパスワードと同じです (OS で LDAP 認証が使用されている場合は、OS 自体にログインするためのパスワードと同じになります)。
  注: このメソッドは、やや低速で、より多くのリソースを消費することがあります。

他のタイプのパスワード ハッシュのテストなど、今後、他のモードがサポートされる可能性があります。デフォルトは MF-hash です。

• MF は、パスワードの安全な検証機能 (ソルト付き暗号化ハッシュ) を作成し、microfocus-MFDS-User-Pwd 属性の値として設定します。これは、Enterprise Server ユーザーに対して microfocus-MFDS-User クラスを使用している場合に適しています。上記の MF-hash パスワード検証メソッドに対応しています。現在のところ、これはパスワードのソルト付き MD5 ハッシュです (MF-MD5 設定と同じ)。Enterprise Server 4.0 以降では、ソルト付き Argon2 ハッシュを使用します (MF-A2 と同じ)。
• MF-A2 または MF-Argon2 は、ソルト付き Argon2 ハッシュを使用して安全な検証機能を作成します。これは、Enterprise Server Patch Update 2 以降でサポートされています。特に短いパスワードの場合、以前の MF-MD5 スキームよりも安全です (一致するパスワードを見つけるのが難しい)。
• MF-MD5 は、以前のバージョンの Enterprise Server で使用されているようなソルト付き MD5 ハッシュを使用して安全な検証機能を作成します。Enterprise Server の古いバージョンおよび新しいバージョンで同じ LDAP ディレクトリを使用する必要がある場合に使用できます。新しい Argon2 ベースの検証機能 (MF-A2) よりも安全性が低くなります。
• AD は、unicodePwd 属性を提供されたパスワードの値 (引用符内) に設定します。これは、Microsoft Active Directory (および ADAM) 用の特殊な操作であり、Windows API を使用してユーザーのパスワードを設定することと同等です(Active Directory はパスワードの安全なハッシュを作成して格納します)。これは、Enterprise Server ユーザーに対して Microsoft 提供のクラスを使用している場合に適しています。上記の bind パスワード検証メソッドに対応しており、Active Directory を使用している場合に有効です。
• MD5 は、RFC 2307 で指定されている構文を使用して、パスワードの MD5 ハッシュを計算し、userPassword 属性の値として設定します (これは、標準ではありませんが、LDAP サーバーで広くサポートされています)。bind パスワード検証メソッドに対応しており、このパスワード タイプをサポートする LDAP サーバー (OpenLDAP など) を使用している場合に有効です。
• plain は、プレーンテキストで userPassword 属性を設定します。このオプションは、ほとんどの LDAP サーバーでは安全でないため、通常は、開発目的にのみ使用する必要があります。
  注: Active Directory には、userPassword を unicodePwd の「エイリアス」にするオプションがあります (ADAM ではデフォルトで有効になっています)。このオプションが有効になっている場合は、このメソッドを使用して、Active Directory または ADAM でパスワードを設定できます。
• compatible 設定は、まず、Microsoft 構文を使用して unicodePwd を設定しようとし、次に、MD5 メソッドを使用して userPassword を設定しようとします。これは、通常、bind 検証メソッドを使用するように ESM モジュールが構成されている場合に有効です。LDAP サーバーが Active Directory の場合は、unicodePwd 属性設定が機能し、別の LDAP サーバーが使用されている場合は、unicodePwd 属性は存在せず、より一般的な userPassword 属性が代わりに設定されます。