ディレクトリアシスタントとクライアント認証

サーバーで名前とパスワードによるセキュリティを使用してインターネットクライアントを認証する場合は、そのサーバーがクライアントから受け入れることのできる名前のタイプを選択します。1 次 Domino® ディレクトリにあるサーバー文書の [セキュリティ] > [インターネットアクセス] タブで、[弱いセキュリティと複数の名前のバリエーション] または [強いセキュリティで少ない名前のバリエーション] (デフォルト) を選択します。この選択は、1 次 Domino® ディレクトリを含む任意のディレクトリを使用する、名前とパスワードによる認証に適用されます。

サーバーは、ディレクトリにあるユーザーのエントリを検索する目的であれば、識別名以外の名前でもクライアントから受け取ることができます。ただし、クライアントに対する認証を決定するためにディレクトリアシスタント文書にある信頼できる規則と比較する名前は、必ずディレクトリエントリにあるユーザー識別名になります。たとえば、識別名 cn=alice browning,o=Renovations でディレクトリに登録されているユーザーが、クライアント上では alice browning という名前を設定しているとします。サーバーは、認証の過程で、alice browning という名前を含むエントリを検索します。そのエントリが見つかると、サーバーは、「cn=alice browning,o=renovations」がそのディレクトリの信頼できる命名規則と一致する場合にかぎり、クライアントを認証します。

Domino® では、ユーザーの識別名がアクセス制御の基礎としても使用されます。したがって、データベースの ACL、データベース ACL で使用するグループ、サーバー文書のアクセスリスト、Web サーバーのファイル保護文書では、この識別名を使用する必要があります。

複数の Domino® サーバーが複数のインターネットプロトコルで 1 つのクライアントを認証する場合は、ディレクトリの管理を簡単にするために、すべてのプロトコルに適用できる 1 組の名前とパスワードを持つ 1 つのディレクトリエントリを、そのクライアントに対して作成します。次に、そのクライアントを、すべてのプロトコルに対して同じ名前とパスワードを使用するように設定します。

たとえば Domino® に対して、Web ブラウズでは HTTP で接続し、ディレクトリサービスでは LDAP で接続するクライアントがある場合、1 組の名前とパスワードを持つ 1 つのディレクトリエントリをそのクライアント用に作成します。そして、両方の接続タイプでその名前とパスワードを使用するようにクライアントを設定します。

以下に示す機能は、リモート LDAP ディレクトリを使用するクライアント認証で使用できます。

• 設定可能な検索フィルタ。リモート LDAP ディレクトリで名前を検索するときに検索条件を制御できます。
• LDAP と Domino の間の名前マッピング。LDAP 識別名ではなく Notes® 識別名を使用してユーザーを認証できるようにします。

サーバーは、デフォルトでは、Notes® クライアントを認証するときに、Domino® ディレクトリのユーザー文書の情報を使用しません。ただし、そのサーバーのサーバー文書の [基本] タブで [ディレクトリにあるパブリックキーと比較] オプションが有効になっている場合は、Notes® クライアントから提示されたパブリックキーがユーザーのユーザー文書にあるパブリックキーと一致する場合にかぎり、サーバーは Notes® ユーザーを認証します。

認証を受けるためにサーバーに接続している Notes® ユーザーの登録先が、ある 2 次 Domino® ディレクトリであって、サーバーの 1 次 Domino® ディレクトリではないとします。ユーザーの接続先のサーバーに対して [ディレクトリにあるパブリックキーと比較] オプションが有効になっている場合は、ディレクトリアシスタント文書のオプション [このドメインを利用可能にする先: Notes クライアントとインターネットの認証/許可] を選択して、サーバーがパブリックキーを比較できるようにする必要があります。このディレクトリアシスタント文書は、以下に対して使用できます。

• Notes® ユーザーが登録されている 2 次 Domino® ディレクトリ
• Notes® ユーザーが登録されている 2 次 Domino® ディレクトリを集約した拡張ディレクトリカタログ