Domino® ディレクトリを使用して Domino® ユーザーを管理する場合のユーザー名マッピングの設定

主に Domino® ディレクトリを使用して HCLDomino® のユーザー情報を管理する場合は、ここで説明する手順を実行して、Windows™ シングルサインオン環境のユーザー名のマッピングを設定します。IBM® Tivoli® Directory Integrator などのディレクトリ同期ツールを使用すると、必要な Active Directory 情報を Domino® に取り込むことができます。

このタスクについて

IBM® Tivoli® Access Manager WebSEAL リバースプロキシまたは IBM® WebSphere® DataPower® セキュリティゲートウェイなどのアプリケーションを使用して Domino® へのインターネットアクセスを管理している場合は、Domino® のユーザー文書ではなくユーザーの Active Directory レコードに対してインターネットユーザーを認証するようにアプリケーションを設定できます。この場合には、以下のようになります。

手順 1 の Domino® ユーザー文書の [インターネットパスワード (HTTP Password)] フィールドでのパスワードの指定はオプションです。Web クライアントへの Windows™ シングルサインオンも IBM® アプリケーションが管理するインターネット認証も、このフィールドは使用しません。
アプリケーションがユーザーに代わって LTPA トークンを常に作成する場合、手順 1 と手順 2 での [LTPA ユーザー名] フィールドの入力はオプションです。

手順

参加する Web ユーザーのユーザー文書 (Domino® ディレクトリ内) を次のように編集します。

表 1. Web ユーザーのユーザー文書の編集
タブ	フィールド	値	コメント
基本	ユーザー名 (FullName)	2 つの部分から構成される Active Directory ログオン名	ユーザーの Active Directory アカウントのユーザーインターフェースに表示されるログオン名を指定します。 3 番目以降の名前をこのフィールドに指定します。先頭部分の名前は、Active Directory での表記と正確に一致するように大文字と小文字を区別します。2 番目の名前は、Active Directory の表記にかかわらず常に大文字で指定します。以下に例を示します。bzechman@AD1.SUBNET2.RENOVATIONS.COM [krbPrincipalName] フィールドにもオプションで名前を追加することができます。このユーザー文書を Active Directory の Kerberos ID にリンクする際に使用されます。
基本	ユーザー名 (FullName)	Active Directory でのユーザー識別名	Active Directory に対してユーザーを認証する IBM® WebSphere® SSO サーバーが存在する場合のみ必要です。この場合、ユーザーの LTPA トークンにはユーザーの Active Directory 名が定義されます。このフィールドに既に定義されている名前の後に、この名前を追加します。 Active Directory で使用されている名前と同じ値になるよう、大文字と小文字を正確に区別する必要があります。 Active Directory 名の区切り文字には、LDAP で使用するカンマ (,) ではなく、HCLNotes® のスラッシュ (/) を使用してください。次に例を示します。 `uid=bzechman/ou=marketing/dc=renovations/dc=com` 次のようなスラッシュは使用しません。 `uid=bzechman,ou=marketing,dc=renovations,dc=com` SSO LTPA トークンの Active Directory 識別名を Notes® 識別名にマッピングする場合に使用されます。これにより、Domino® のリソースにアクセスするユーザーが判別されます。
基本	インターネットパスワード (HTTPPassword)	`password-hash`	Domino® でディレクトリアシスタントを使用して Active Directory サーバーに接続する場合、Active Directory のユーザーパスワードとは異なる値をこのパスワードに指定する必要があります。 Windows™ シングルサインオンが使用できない場合、Domino® を有効にして Domino® ディレクトリのユーザーパスワードが検証されます。
管理 (クライアント情報セクション)	Active Directory (Kerberos) ログオン名 (krbPrincipalName)	2 つの部分から構成される Active Directory ログオン名	このフィールドはオプションです。ユーザーの Active Directory アカウントのユーザーインターフェースに表示されるログオン名を指定します。この名前の詳細については、この表の最初の行を参照してください。このフィールドを指定した場合、次の設定をサーバーの NOTES.INI ファイルに追加して、Domino® ディレクトリ内のこのフィールドまたはディレクトリアシスタント経由でアクセスする 2 次ディレクトリで見つかった値を有効にする必要があります。 `WIDE_SEARCH_FOR_KERBEROS_NAMES=1` このフィールドを指定した場合、Domino® ディレクトリの全文索引を作成してこのフィールドの検索を最適化する必要があります。
管理 (クライアント情報セクション)	LTPA ユーザー名	Active Directory でのユーザー識別名	Active Directory に対してユーザーを認証する IBM® WebSphere® SSO サーバーが存在する場合のみ必要です。この場合、ユーザーの LTPA トークンにはユーザーの Active Directory 名が定義されます。 SSO LTPA トークンの Active Directory 識別名を Notes® 識別名にマッピングする場合に使用されます。これにより、Domino® のリソースにアクセスするユーザーが判別されます。

一部の SSO サーバーによって Active Directory に対するユーザー認証を行っている場合、Web SSO 設定文書の設定を次のように指定します。

表 2. Web SSO 設定
タブ	フィールド	値	コメント
基本 - トークン設定	LTPA トークンのマップ名	有効	Active Directory に対してユーザー認証を行うサーバーの SSO 動作が適切であることを確認します。