Hitachi Global Link Manager 導入・設定ガイド

3.15.3 RADIUSサーバで認証する場合に必要な設定

RADIUSサーバでユーザー認証するために，Hitachi Command Suite製品では次の設定が必要です。

管理サーバのexauth.propertiesファイルに必要な情報を設定します。
外部認証サーバとだけ連携する場合と，外部認可サーバとも連携する場合で設定が異なります。
また，外部認可サーバとして使用するLDAPディレクトリサーバは，次のどちらかの方法で定義できます。

exauth.propertiesファイルに接続先のLDAPディレクトリサーバの情報を直接指定する
IPアドレスやポート番号などの情報をLDAPディレクトリサーバごとにexauth.propertiesファイルに指定します。

DNSサーバに接続先のLDAPディレクトリサーバを照会する
LDAPディレクトリサーバのOSでDNSサーバの環境設定が完了している必要があります。また，DNSサーバのSRVレコードに，LDAPディレクトリサーバのホスト名やポート番号，ドメイン名などを登録しておく必要があります。

参考：

管理サーバとLDAPディレクトリサーバとの間の通信にStartTLSを使用する場合は，exauth.propertiesファイルに接続先のLDAPディレクトリサーバの情報を直接指定する必要があります。

また，DNSサーバに接続先のLDAPディレクトリサーバを照会する場合は，ユーザーがログインする際に処理に時間が掛かることがあります。

外部認可サーバとも連携する場合は，LDAPディレクトリサーバ内のユーザー情報を検索するためのユーザーアカウント（情報検索用のユーザーアカウント）を管理サーバに登録します。

RADIUSサーバに，Hitachi Command Suite製品を使用するユーザーのアカウントを登録します。
ユーザーIDおよびパスワードは，Hitachi Command Suite製品で使用できる文字で構成されている必要があります。1バイト以上256バイト以内で次の文字を使用できます。
A～Z a～z 0～9 ! # $ % & ' ( ) * + - . = @ \ ^ _ |
Hitachi Command Suite製品では，ユーザーIDの大文字と小文字の違いは区別されません。また，パスワードの文字種の組み合わせは，外部認証サーバでの設定に従ってください。

RADIUSサーバとの通信用に共有秘密鍵（Shared secret）を管理サーバに設定します。

Global Link Manager GUIで，アカウントの登録や権限の設定などを実施します。

外部認証サーバとだけ連携する場合

ユーザーの登録

ユーザーの認証方式の変更^※

ユーザーに対する権限の設定

ユーザーに対するリソースグループの割り当て

注※ 既存のユーザーの認証方式を変更する場合に必要です。

外部認可サーバとも連携する場合

認可グループの登録

認可グループに対する権限の設定

なお，認可グループに対するリソースグループの割り当ては不要です。認可グループに所属するユーザーにはリソースグループに「All Resources」が割り当てられます。

hcmds64checkauthコマンドを使用して，RADIUSサーバに正しく接続できるか確認します。

ここでは，管理サーバで必要な作業について説明します。Global Link Manager GUIでの操作方法については，マニュアル「Hitachi Global Link Manager ユーザーズガイド」を参照してください。

この項の構成

(1) exauth.propertiesファイルの設定（認証方式がRADIUSの場合）

(2) 情報検索用のユーザーアカウントの登録（認証方式がRADIUSの場合）

(3) 共有秘密鍵の設定

(4) 外部認証サーバおよび外部認可サーバとの接続確認（認証方式がRADIUSの場合）

(1) exauth.propertiesファイルの設定（認証方式がRADIUSの場合）

ここでは，RADIUSサーバでユーザー認証する場合にexauth.propertiesファイルで必要な設定について説明します。
exauth.propertiesファイルで，次のプロパティに値を設定します。

共通のプロパティ（「表3-27 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（共通項目）」）

外部認証サーバのプロパティ（「表3-28 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認証サーバの設定）」）
RADIUSサーバごとに設定します。

外部認可サーバのプロパティ
外部認可サーバとも連携する場合に必要な設定です。LDAPディレクトリサーバの情報をドメインごとに設定します。
LDAPディレクトリサーバの情報を直接指定する場合（「表3-29 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認可サーバの共通設定）」および「表3-30 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認可サーバの情報を直接指定するとき）」）と，DNSサーバに照会する場合（「表3-29 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認可サーバの共通設定）」および「表3-31 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認可サーバの情報をDNSサーバに照会するとき）」）とで設定する項目が異なります。

exauth.propertiesファイルのひな形は次の場所に格納されています。
＜Hitachi Command Suite共通コンポーネントのインストールフォルダ＞\sample\conf\exauth.properties
 
注意事項

設定値の先頭および末尾には空白文字を指定しないでください。また，設定値は「"」で囲まないでください。指定した場合，値は無視され，デフォルト値が採用されます。
exauth.propertiesファイルを次の場所に格納します。
＜Hitachi Command Suite共通コンポーネントのインストールフォルダ＞\conf\exauth.properties
 
exauth.propertiesファイルの設定値を変更した場合は，直ちに変更後の値が有効になります。
exauth.propertiesファイルの設定項目を「表3-27 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（共通項目）」～「表3-31 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認可サーバの情報をDNSサーバに照会するとき）」に示します。

表3-27 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（共通項目）

プロパティ名説明

auth.server.type 外部認証サーバの種類です。radiusを指定します。
デフォルト値：internal（外部認証サーバと連携しない場合）

auth.server.name RADIUSサーバのサーバ識別名を指定します。接続プロトコルやポート番号などの設定（「表3-28 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認証サーバの設定）」）をRADIUSサーバごとに区別するために付ける任意の名称です。初期値として「ServerName」が設定されています。必ず1つ以上のサーバ識別名を指定してください。RADIUSサーバを冗長構成にする場合は，各サーバのサーバ識別名を「,（コンマ）」で区切って指定します。サーバ識別名は重複して登録しないでください。
指定できる値：64バイト以内の次の文字列
0～9 A～Z a～z ! # ( ) + - . = @ [ ] ^ _ { } ~
デフォルト値：なし

auth.group.mapping 外部認可サーバとも連携するかどうかを指定します。連携する場合はtrueを指定します。
連携しない場合はfalseを指定します。
デフォルト値：false

表3-28 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認証サーバの設定）

属性説明

protocol RADIUSサーバ認証に使用する認証プロトコルです。この項目は必須です。
指定できる値：PAPまたはCHAP
デフォルト値：なし

host^※1 RADIUSサーバのホスト名またはIPアドレスを指定します。ホスト名を指定する場合，IPアドレスへの名前解決ができることを事前に確認してください。IPアドレスには，IPv4アドレスとIPv6アドレスの両方を使用できます。IPv6アドレスは必ず[ ]で囲んでください。この項目は必須です。
デフォルト値：なし

port RADIUSサーバの認証用ポート番号です。指定するポートがRADIUSサーバで待ち受けポート番号として設定されていることを事前に確認してください。
指定できる値：1～65535
デフォルト値：1812

timeout RADIUSサーバと接続するときの接続待ち時間です。
指定できる値：1～65535（秒）
デフォルト値：1

retry.times RADIUSサーバとの通信に失敗した場合のリトライ回数です。この値を0にした場合，リトライされません。
指定できる値：0～50
デフォルト値：3

attr.NAS-Identifier^※2 Global Link Managerの管理サーバのホスト名です。RADIUSサーバが管理サーバを識別するために使用します。初期値として，管理サーバのホスト名が設定されています。
指定できる値：253バイト以内の次の文字列
0～9 A～Z a～z ! " # $ % & ' ( ) * + , - . / : ; < = > ? @ [ \ ] ^ _ ` { | } ~
デフォルト値：なし

attr.NAS-IP-Address^※2 Global Link Managerの管理サーバのIPv4アドレスです。RADIUSサーバが管理サーバを識別するために使用します。
IPv4アドレスの形式が不正な場合，この属性は無効です。
デフォルト値：なし

attr.NAS-IPv6-Address^※2 Global Link Managerの管理サーバのIPv6アドレスです。RADIUSサーバが管理サーバを識別するために使用します。IPv6アドレスは必ず[ ]で囲んでください。
IPv6アドレスの形式が不正な場合，この属性は無効です。
デフォルト値：なし

注

各属性は，次のように指定します。

auth.radius.＜auth.server.nameに指定した値＞.＜属性＞=＜値＞

注※1

同一マシンで稼働する外部認可サーバとも連携し，かつLDAPディレクトリサーバの接続プロトコルにStartTLSを使用する場合は，host属性にはLDAPディレクトリサーバの証明書のCNと同じホスト名を設定してください。IPアドレスは使用できません。

注※2

attr.NAS-Identifier，attr.NAS-IP-Address，attr.NAS-IPv6-Addressはどれか1つを必ず指定してください。

表3-29 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認可サーバの共通設定）

プロパティ名説明

domain.name LDAPディレクトリサーバが管理するドメインの名称です。外部認可サーバとも連携する場合，この項目は必須です。
デフォルト値：なし

dns_lookup LDAPディレクトリサーバの情報をDNSサーバに照会するかどうかの設定です。
exauth.propertiesファイルにLDAPディレクトリサーバの情報を直接指定する場合はfalseを指定します。 DNSサーバに照会する場合は，trueを指定します。ただし，次の属性に値が設定されている場合は，DNSサーバには照会されず，ユーザーが指定した値を使用してLDAPディレクトリサーバに接続されます。

auth.group.＜ドメイン名＞.host

auth.group.＜ドメイン名＞.port

デフォルト値：false

注

各属性は，次のように指定します。

auth.radius.＜auth.server.nameに指定した値＞.＜属性＞=＜値＞

表3-30 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認可サーバの情報を直接指定するとき）

属性説明

protocol^※1 LDAPディレクトリサーバ接続のプロトコルです。
平文による通信の場合はldap，StartTLSによる通信の場合はtlsを指定します。
tlsを指定する場合には，LDAPディレクトリサーバで次のどれかの暗号方式を使用できることを事前に確認してください。

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

TLS_RSA_WITH_AES_256_GCM_SHA384

TLS_RSA_WITH_AES_128_GCM_SHA256

TLS_RSA_WITH_AES_256_CBC_SHA256

TLS_RSA_WITH_AES_128_CBC_SHA256

指定できる値：ldapまたはtls
デフォルト値：ldap

host^※2 LDAPディレクトリサーバのホスト名またはIPアドレスを指定します。ホスト名を指定する場合，IPアドレスへの名前解決ができることを事前に確認してください。IPアドレスには，IPv4アドレスとIPv6アドレスの両方を使用できます。IPv6アドレスは必ず角括弧（[ ]）で囲んでください。この項目は必須です。
デフォルト値：なし

port LDAPディレクトリサーバのポート番号です。指定するポートが，LDAPディレクトリサーバで待ち受けポート番号として設定されていることを事前に確認してください。
指定できる値：1～65535
デフォルト値：389

basedn LDAPディレクトリサーバの情報を検索する際に，起点となるエントリーのDN（BaseDN）です。このDNより下の階層のユーザーエントリーが認可の対象となります。検索対象のユーザーエントリーをすべて含む階層のDNを指定してください。
DNはRFC4514の規約に従って指定してください。例えば，次の文字がDNに含まれる場合は，1文字ごとに円記号（\）でエスケープする必要があります。
空白文字 # + ; , < = > \
指定した値はLDAPディレクトリサーバにそのまま渡されるため，BaseDNにエスケープが必要な文字が含まれる場合は，正しくエスケープしてください。
省略した場合は，Active DirectoryのdefaultNamingContext属性に指定されている値がBaseDNと見なされます。
デフォルト値：なし

timeout LDAPディレクトリサーバと接続するときの接続待ち時間です。この値を0にした場合，タイムアウトしないで，通信エラーが発生するまで待ち続けます。
指定できる値：0～120（秒）
デフォルト値：15

retry.interval LDAPディレクトリサーバとの通信に失敗した場合のリトライ間隔となる秒数です。
指定できる値：1～60（秒）
デフォルト値：1

retry.times LDAPディレクトリサーバとの通信に失敗した場合のリトライ回数です。この値を0にした場合，リトライされません。
指定できる値：0～50
デフォルト値：20

注

各属性は，次のように指定します。

auth.group.＜ドメイン名＞.＜属性＞=＜値＞

＜ドメイン名＞には，auth.radius.＜auth.server.nameに指定した値＞.domain.nameの値を指定します。

注※1

LDAPディレクトリサーバの接続プロトコルにStartTLSを使用する場合には，Hitachi Command Suite共通コンポーネントのセキュリティ設定が必要です。StartTLSを使用する場合の設定については，「5.2 サーバとLDAPディレクトリサーバ間のセキュリティ設定」を参照してください。

注※2

外部認証サーバと外部認可サーバが別のマシンで稼働していて，かつLDAPディレクトリサーバの接続プロトコルにStartTLSを使用する場合は，host属性にはLDAPディレクトリサーバの証明書のCNと同じホスト名を設定してください。IPアドレスは使用できません。

表3-31 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認可サーバの情報をDNSサーバに照会するとき）

属性説明

protocol LDAPディレクトリサーバ接続のプロトコルです。
指定できる値：ldap
デフォルト値：ldap

port LDAPディレクトリサーバのポート番号です。指定するポートが，LDAPディレクトリサーバで待ち受けポート番号として設定されていることを事前に確認してください。
指定できる値：1～65535
デフォルト値：389

basedn LDAPディレクトリサーバの情報を検索する際に，起点となるエントリーのDN（BaseDN）です。このDNより下の階層のユーザーエントリーが認可の対象となります。検索対象のユーザーエントリーをすべて含む階層のDNを指定してください。
DNはRFC4514の規約に従って指定してください。例えば，次の文字がDNに含まれる場合は，1文字ごとに円記号（\）でエスケープする必要があります。
空白文字 # + ; , < = > \
指定した値はLDAPディレクトリサーバにそのまま渡されるため，BaseDNにエスケープが必要な文字が含まれる場合は，正しくエスケープしてください。
省略した場合は，Active DirectoryのdefaultNamingContext属性に指定されている値がBaseDNと見なされます。
デフォルト値：なし

timeout LDAPディレクトリサーバと接続するときの接続待ち時間です。この値を0にした場合，タイムアウトしないで，通信エラーが発生するまで待ち続けます。
指定できる値：0～120（秒）
デフォルト値：15

retry.interval LDAPディレクトリサーバとの通信に失敗した場合のリトライ間隔となる秒数です。
指定できる値：1～60（秒）
デフォルト値：1

retry.times LDAPディレクトリサーバとの通信に失敗した場合のリトライ回数です。この値を0にした場合，リトライされません。
指定できる値：0～50
デフォルト値：20

注

各属性は，次のように指定します。

auth.group.＜ドメイン名＞.＜属性＞=＜値＞

＜ドメイン名＞には，auth.radius.＜auth.server.nameに指定した値＞.domain.nameの値を指定します。

設定例を次に示します。
外部認証サーバとだけ連携する場合
auth.server.type=radius
auth.server.name=ServerName
auth.group.mapping=false
auth.radius.ServerName.protocol=PAP
auth.radius.ServerName.host=radius.example.com
auth.radius.ServerName.port=1812
auth.radius.ServerName.timeout=1
auth.radius.ServerName.retry.times=3
auth.radius.ServerName.attr.NAS-Identifier=host_A
外部認可サーバの情報を直接設定する場合
auth.server.type=radius
auth.server.name=ServerName
auth.group.mapping=true
auth.ocsp.enable=false
auth.ocsp.responderURL=
auth.radius.ServerName.protocol=PAP
auth.radius.ServerName.host=radius.example.com
auth.radius.ServerName.port=1812
auth.radius.ServerName.timeout=1
auth.radius.ServerName.retry.times=3
auth.radius.ServerName.attr.NAS-Identifier=host_A
auth.radius.ServerName.domain.name=EXAMPLE.COM
auth.radius.ServerName.dns_lookup=false
auth.group.EXAMPLE.COM.protocol=ldap
auth.group.EXAMPLE.COM.host=ldap.example.com
auth.group.EXAMPLE.COM.port=389
auth.group.EXAMPLE.COM.basedn=dc=Example,dc=com
auth.group.EXAMPLE.COM.timeout=15
auth.group.EXAMPLE.COM.retry.interval=1
auth.group.EXAMPLE.COM.retry.times=20
外部認可サーバをDNSサーバに照会する場合
auth.server.type=radius
auth.server.name=ServerName
auth.group.mapping=true
auth.radius.ServerName.protocol=PAP
auth.radius.ServerName.host=radius.example.com
auth.radius.ServerName.port=1812
auth.radius.ServerName.timeout=1
auth.radius.ServerName.retry.times=3
auth.radius.ServerName.attr.NAS-Identifier=host_A
auth.radius.ServerName.domain.name=EXAMPLE.COM
auth.radius.ServerName.dns_lookup=true
auth.group.EXAMPLE.COM.protocol=ldap
auth.group.EXAMPLE.COM.basedn=dc=Example,dc=com
auth.group.EXAMPLE.COM.timeout=15
auth.group.EXAMPLE.COM.retry.interval=1
auth.group.EXAMPLE.COM.retry.times=20
冗長構成の場合
auth.server.type=radius
auth.server.name=ServerName1,ServerName2
auth.group.mapping=false
auth.radius.ServerName1.protocol=PAP
auth.radius.ServerName1.host=radius1.example.com
auth.radius.ServerName1.port=1812
auth.radius.ServerName1.timeout=1
auth.radius.ServerName1.retry.times=3
auth.radius.ServerName1.attr.NAS-IP-Address=127.0.0.1
auth.radius.ServerName2.protocol=PAP
auth.radius.ServerName2.host=radius2.example.com
auth.radius.ServerName2.port=1812
auth.radius.ServerName2.timeout=1
auth.radius.ServerName2.retry.times=3
auth.radius.ServerName2.attr.NAS-IP-Address=127.0.0.1

プロパティ名	説明
`auth.server.type`	外部認証サーバの種類です。`radius`を指定します。デフォルト値：`internal`（外部認証サーバと連携しない場合）
`auth.server.name`	RADIUSサーバのサーバ識別名を指定します。接続プロトコルやポート番号などの設定（「表3-28 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認証サーバの設定）」）をRADIUSサーバごとに区別するために付ける任意の名称です。初期値として「`ServerName`」が設定されています。必ず1つ以上のサーバ識別名を指定してください。RADIUSサーバを冗長構成にする場合は，各サーバのサーバ識別名を「,（コンマ）」で区切って指定します。サーバ識別名は重複して登録しないでください。指定できる値：64バイト以内の次の文字列 `0`～`9 A`～`Z a`～`z ! # ( ) + - . = @ [ ] ^ _ { } ~` デフォルト値：なし
`auth.group.mapping`	外部認可サーバとも連携するかどうかを指定します。連携する場合は`true`を指定します。連携しない場合は`false`を指定します。デフォルト値：`false`

属性	説明
`protocol`	RADIUSサーバ認証に使用する認証プロトコルです。この項目は必須です。指定できる値：`PAP`または`CHAP` デフォルト値：なし
`host`^※1	RADIUSサーバのホスト名またはIPアドレスを指定します。ホスト名を指定する場合，IPアドレスへの名前解決ができることを事前に確認してください。IPアドレスには，IPv4アドレスとIPv6アドレスの両方を使用できます。IPv6アドレスは必ず`[` `]`で囲んでください。この項目は必須です。デフォルト値：なし
`port`	RADIUSサーバの認証用ポート番号です。指定するポートがRADIUSサーバで待ち受けポート番号として設定されていることを事前に確認してください。指定できる値：1～65535 デフォルト値：1812
`timeout`	RADIUSサーバと接続するときの接続待ち時間です。指定できる値：1～65535（秒）デフォルト値：1
`retry.times`	RADIUSサーバとの通信に失敗した場合のリトライ回数です。この値を0にした場合，リトライされません。指定できる値：0～50 デフォルト値：3
`attr.NAS-Identifier`^※2	Global Link Managerの管理サーバのホスト名です。RADIUSサーバが管理サーバを識別するために使用します。初期値として，管理サーバのホスト名が設定されています。指定できる値：253バイト以内の次の文字列 `0`～`9 A`～`Z a`～z ! " # $ % & ' ( ) * + , - . / : ; < = > ? @ [ \ ] ^ _ ` { \| } ~ デフォルト値：なし
`attr.NAS-IP-Address`^※2	Global Link Managerの管理サーバのIPv4アドレスです。RADIUSサーバが管理サーバを識別するために使用します。 IPv4アドレスの形式が不正な場合，この属性は無効です。デフォルト値：なし
`attr.NAS-IPv6-Address`^※2	Global Link Managerの管理サーバのIPv6アドレスです。RADIUSサーバが管理サーバを識別するために使用します。IPv6アドレスは必ず`[` `]`で囲んでください。 IPv6アドレスの形式が不正な場合，この属性は無効です。デフォルト値：なし

プロパティ名	説明
`domain.name`	LDAPディレクトリサーバが管理するドメインの名称です。外部認可サーバとも連携する場合，この項目は必須です。デフォルト値：なし
`dns_lookup`	LDAPディレクトリサーバの情報をDNSサーバに照会するかどうかの設定です。 `exauth.properties`ファイルにLDAPディレクトリサーバの情報を直接指定する場合は`false`を指定します。 DNSサーバに照会する場合は，`true`を指定します。ただし，次の属性に値が設定されている場合は，DNSサーバには照会されず，ユーザーが指定した値を使用してLDAPディレクトリサーバに接続されます。 `auth.group.`＜`ドメイン名`＞`.host` `auth.group.`＜`ドメイン名`＞`.port` デフォルト値：`false`

属性	説明
`protocol`^※1	LDAPディレクトリサーバ接続のプロトコルです。平文による通信の場合は`ldap`，StartTLSによる通信の場合は`tls`を指定します。 `tls`を指定する場合には，LDAPディレクトリサーバで次のどれかの暗号方式を使用できることを事前に確認してください。 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_RSA_WITH_AES_256_GCM_SHA384 TLS_RSA_WITH_AES_128_GCM_SHA256 TLS_RSA_WITH_AES_256_CBC_SHA256 TLS_RSA_WITH_AES_128_CBC_SHA256 指定できる値：`ldap`または`tls` デフォルト値：`ldap`
`host`^※2	LDAPディレクトリサーバのホスト名またはIPアドレスを指定します。ホスト名を指定する場合，IPアドレスへの名前解決ができることを事前に確認してください。IPアドレスには，IPv4アドレスとIPv6アドレスの両方を使用できます。IPv6アドレスは必ず角括弧（`[ ]`）で囲んでください。この項目は必須です。デフォルト値：なし
`port`	LDAPディレクトリサーバのポート番号です。指定するポートが，LDAPディレクトリサーバで待ち受けポート番号として設定されていることを事前に確認してください。指定できる値：1～65535 デフォルト値：389
`basedn`	LDAPディレクトリサーバの情報を検索する際に，起点となるエントリーのDN（BaseDN）です。このDNより下の階層のユーザーエントリーが認可の対象となります。検索対象のユーザーエントリーをすべて含む階層のDNを指定してください。 DNはRFC4514の規約に従って指定してください。例えば，次の文字がDNに含まれる場合は，1文字ごとに円記号（`\`）でエスケープする必要があります。空白文字 `# + ; , < = > \` 指定した値はLDAPディレクトリサーバにそのまま渡されるため，BaseDNにエスケープが必要な文字が含まれる場合は，正しくエスケープしてください。省略した場合は，Active Directoryの`defaultNamingContext`属性に指定されている値がBaseDNと見なされます。デフォルト値：なし
`timeout`	LDAPディレクトリサーバと接続するときの接続待ち時間です。この値を0にした場合，タイムアウトしないで，通信エラーが発生するまで待ち続けます。指定できる値：0～120（秒）デフォルト値：15
`retry.interval`	LDAPディレクトリサーバとの通信に失敗した場合のリトライ間隔となる秒数です。指定できる値：1～60（秒）デフォルト値：1
`retry.times`	LDAPディレクトリサーバとの通信に失敗した場合のリトライ回数です。この値を0にした場合，リトライされません。指定できる値：0～50 デフォルト値：20

属性	説明
`protocol`	LDAPディレクトリサーバ接続のプロトコルです。指定できる値：`ldap` デフォルト値：`ldap`
`port`	LDAPディレクトリサーバのポート番号です。指定するポートが，LDAPディレクトリサーバで待ち受けポート番号として設定されていることを事前に確認してください。指定できる値：1～65535 デフォルト値：389
`basedn`	LDAPディレクトリサーバの情報を検索する際に，起点となるエントリーのDN（BaseDN）です。このDNより下の階層のユーザーエントリーが認可の対象となります。検索対象のユーザーエントリーをすべて含む階層のDNを指定してください。 DNはRFC4514の規約に従って指定してください。例えば，次の文字がDNに含まれる場合は，1文字ごとに円記号（`\`）でエスケープする必要があります。空白文字 `# + ; , < = > \` 指定した値はLDAPディレクトリサーバにそのまま渡されるため，BaseDNにエスケープが必要な文字が含まれる場合は，正しくエスケープしてください。省略した場合は，Active Directoryの`defaultNamingContext`属性に指定されている値がBaseDNと見なされます。デフォルト値：なし
`timeout`	LDAPディレクトリサーバと接続するときの接続待ち時間です。この値を0にした場合，タイムアウトしないで，通信エラーが発生するまで待ち続けます。指定できる値：0～120（秒）デフォルト値：15
`retry.interval`	LDAPディレクトリサーバとの通信に失敗した場合のリトライ間隔となる秒数です。指定できる値：1～60（秒）デフォルト値：1
`retry.times`	LDAPディレクトリサーバとの通信に失敗した場合のリトライ回数です。この値を0にした場合，リトライされません。指定できる値：0～50 デフォルト値：20

(2) 情報検索用のユーザーアカウントの登録（認証方式がRADIUSの場合）

LDAPディレクトリサーバを外部認可サーバとして利用する場合に，hcmds64ldapuserコマンドを使用して，情報検索用のユーザーアカウントを管理サーバに登録します。登録後は，hcmds64ldapuserコマンドで，情報検索用のユーザーアカウントを削除したり，管理サーバに情報検索用のユーザーアカウントを登録済みのLDAPディレクトリサーバを確認したりできます。

情報検索用のユーザーアカウントを登録する

hcmds64ldapuserコマンドで情報検索用のユーザーアカウントを登録します。

情報検索用のユーザーアカウントには，次の条件を満たすユーザーアカウントを登録してください。

LDAPディレクトリサーバに登録されていること

exauth.propertiesファイルのauth.ldap.＜auth.server.nameに指定した値＞.basednで指定したDNにバインドできること

exauth.propertiesファイルのauth.ldap.＜auth.server.nameに指定した値＞.basednで指定したDN以下のすべてのエントリーに対して属性を検索できること

exauth.propertiesファイルのauth.ldap.＜auth.server.nameに指定した値＞.basednで指定したDNを参照できること

hcmds64ldapuserコマンドの書式は次のとおりです。
＜Hitachi Command Suite共通コンポーネントのインストールフォルダ＞\bin\hcmds64ldapuser /set /dn ＜情報検索用ユーザーのDN＞ /pass ＜情報検索用ユーザーのパスワード＞ /name ＜ドメイン名＞
 
＜情報検索用ユーザーのDN＞
DNはRFC4514の規約に従って指定してください。例えば，次の文字が含まれる場合は，1文字ごとに円記号（\）でエスケープする必要があります。
空白文字 # + , ; < = > \

＜情報検索用ユーザーのパスワード＞
大文字と小文字の違いも含めて，LDAPディレクトリサーバに登録しているパスワードと完全に一致している必要があります。

＜ドメイン名＞
exauth.propertiesファイルのauth.server.nameプロパティに指定したドメイン名を指定します。

注意事項

LDAPディレクトリサーバではDNやパスワードに「"」を使用できますが，管理サーバにはDNおよびパスワードに「"」が含まれていないユーザーアカウントを登録してください。
参考

Active Directoryを使用している場合は，Active Directoryが提供するdsqueryコマンドでユーザーのDNを確認できます。dsqueryコマンドを使用して，ユーザー「administrator」のDNを確認する場合の実行例と実行結果を次に示します。
dsquery user -name administrator
"CN=administrator,CN=admin,DC=example,DC=com"
 
なお，DNが「cn=administrator,cn=admin,dc=example,com」の場合など，DNに「,（コンマ）」が含まれる場合は次のように指定します。
hcmds64ldapuser /set /dn "cn=administrator,cn=admin,dc=example\,com" /pass administrator_pass /name ServerName
情報検索用のユーザーアカウントを削除する

情報検索用のユーザーアカウントを削除するには，次のコマンドを実行してください。
＜Hitachi Command Suite共通コンポーネントのインストールフォルダ＞\bin\hcmds64ldapuser /delete /name ＜ドメイン名＞
 
情報検索用ユーザーアカウントを登録済みのLDAPディレクトリサーバを確認する

どのLDAPディレクトリサーバの情報検索用ユーザーアカウントが管理サーバに登録されているかを確認する場合は，次のコマンドを実行してください。
＜Hitachi Command Suite共通コンポーネントのインストールフォルダ＞\bin\hcmds64ldapuser /list

(3) 共有秘密鍵の設定

RADIUSサーバと通信するための共有秘密鍵を，hcmds64radiussecretコマンドを使用して管理サーバに設定します。設定後は，hcmds64radiussecretコマンドで，共有秘密鍵を削除したり，共有秘密鍵が設定されている外部認証サーバのサーバ識別名を一覧表示したりできます。

共有秘密鍵を設定する

hcmds64radiussecretコマンドで共有秘密鍵を設定するには，次のコマンドを実行してください。
＜Hitachi Command Suite共通コンポーネントのインストールフォルダ＞\bin\hcmds64radiussecret /set ＜共有秘密鍵＞ /name ＜RADIUSサーバのサーバ識別名＞
 
＜RADIUSサーバのサーバ識別名＞は，exauth.propertiesファイルのauth.server.nameプロパティに指定するサーバ識別名と一致している必要があります。

共有秘密鍵が「secret01」で，RADIUSサーバのサーバ識別名が「ServerName」の場合のhcmds64radiussecretコマンドの実行例を次に示します。
hcmds64radiussecret /set secret01 /name ServerName
 
共有秘密鍵を削除する

共有秘密鍵を削除するには，次のコマンドを実行してください。
＜Hitachi Command Suite共通コンポーネントのインストールフォルダ＞\bin\hcmds64radiussecret /delete /name ＜RADIUSサーバのサーバ識別名＞
 
共有秘密鍵が設定されているRADIUSサーバのサーバ識別名を一覧表示する

共有秘密鍵が設定されているRADIUSサーバのサーバ識別名を一覧表示するには，次のコマンドを実行してください。
＜Hitachi Command Suite共通コンポーネントのインストールフォルダ＞\bin\hcmds64radiussecret /list
 

(4) 外部認証サーバおよび外部認可サーバとの接続確認（認証方式がRADIUSの場合）

hcmds64checkauthコマンドを使用して，RADIUSサーバに正しく接続できるか確認します。
＜Hitachi Command Suite共通コンポーネントのインストールフォルダ＞\bin\hcmds64checkauth /user ＜ユーザーID＞ /pass ＜パスワード＞ [/summary]
 
＜ユーザーID＞，＜パスワード＞には，RADIUSサーバに登録されているユーザーアカウントのものを指定してください。ただし，＜ユーザーID＞，＜パスワード＞の先頭に，「/」は指定できません。

/summaryオプションを指定すると，コマンド実行時に表示される確認メッセージが簡略化されます。

hcmds64checkauthコマンドでは，次の4フェーズに分けて確認が行われます。フェーズごとに確認結果が表示されます。

フェーズ1

exauth.propertiesファイルの共通のプロパティ（「表3-27 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（共通項目）」）が正しく設定されているかチェックします。

フェーズ2

exauth.propertiesファイルの外部認証サーバのプロパティ（「表3-28 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認証サーバの設定）」）と，外部認可サーバのプロパティ（「表3-29 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認可サーバの共通設定）」～「表3-31 RADIUSサーバで認証する場合のexauth.propertiesファイルの設定項目（外部認可サーバの情報をDNSサーバに照会するとき）」）が正しく設定されているかチェックします。

フェーズ3

外部認証サーバに接続できるかチェックします。

フェーズ4

外部認可サーバとも連携するよう設定されている場合に，外部認可サーバに接続できるか，および認可グループを検索できるかをチェックします。

各フェーズでの確認が正常に終了した場合，次のメッセージが表示されます。
KAPM15004-I The result of the configuration check of Phase X^※ was normal.
注※ 「X」にはフェーズ番号が入ります。

[目次] [前へ] [次へ]

[マニュアル発行元]