Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRIDでIDフェデレーションを使用する

PDF

IDフェデレーションを使用すると、グループとユーザーの設定が速くなり、ユーザーは使い慣れた認証情報を使用してStorageGRIDにサインインできるようになります。

Grid Manager の ID フェデレーションを設定する

Active Directory、Microsoft Entra ID、OpenLDAP、Oracle Directory Serverなどの別のシステムで管理者グループやユーザーを管理したい場合は、Grid ManagerでIDフェデレーションを設定できます。

開始する前に
タスク概要

Active Directory、Microsoft Entra ID、OpenLDAP、Oracle Directory Serverなどの別のシステムからグループをインポートする場合は、Grid ManagerのIDソースを設定できます。以下の種類のグループをインポートできます。

  • 管理者グループ。管理者グループに属するユーザーは、グループに割り当てられた管理権限に基づいて、グリッドマネージャーにサインインしてタスクを実行できます。

  • 独自のIDソースを使用しないテナント向けのテナントユーザーグループ。テナントグループに属するユーザーは、テナントマネージャーにサインインし、テナントマネージャーでグループに割り当てられた権限に基づいてタスクを実行できます。詳細については、"テナントアカウントを作成する"および"テナントアカウントを使用する"を参照してください。

設定を入力してください

手順

  1. 設定 ＞ アクセス制御 ＞ IDフェデレーション を選択します。

  2. *ID連携を有効にする*を選択します。

  3. LDAPサービスタイプのセクションで、設定するLDAPサービスのタイプを選択します。

    LDAPサービスタイプのオプションを表示するIDフェデレーションページ

    「その他」を選択して、Oracle Directory Serverを使用するLDAPサーバの値を設定します。

  4. 「その他」を選択した場合は、LDAP属性セクションの各項目を入力してください。そうでない場合は、次のステップに進んでください。

    • ユーザー固有名：LDAPユーザーの固有識別子を含む属性の名前。この属性は sAMAccountName（Active Directory 用）および uid（OpenLDAP用）と同等です。Oracle Directory Server を設定する場合は、 `uid`を入力してください。

    • ユーザーUUID：LDAPユーザーの永続的な一意の識別子を含む属性の名前。この属性は、Active Directory の場合は objectGUID、OpenLDAP の場合は `entryUUID`と同等です。Oracle Directory Server を設定する場合は、 `nsuniqueid`を入力してください。指定した属性に対する各ユーザーの値は、16バイト形式または文字列形式の32桁の16進数である必要があり、ハイフンは無視されます。

    • グループ固有名：LDAPグループの固有識別子を含む属性の名前。この属性は、Active Directory の場合は sAMAccountName、OpenLDAP の場合は `cn`と同等です。Oracle Directory Server を設定する場合は、 `cn`を入力してください。

    • グループUUID：LDAPグループの永続的な一意の識別子を含む属性の名前。この属性は objectGUID（Active Directory 用）および entryUUID（OpenLDAP用）と同等です。Oracle Directory Server を構成する場合は、 `nsuniqueid`を入力してください。各グループの指定属性の値は、16バイト形式または文字列形式の32桁の16進数でなければならず、ハイフンは無視されます。

  5. すべての LDAP サービスタイプについて、「LDAPサーバの設定」セクションに必要な LDAPサーバとネットワーク接続情報を入力してください。

    • ホスト名：LDAPサーバの完全修飾ドメイン名（FQDN）またはIPアドレス。

    • ポート：LDAPサーバへの接続に使用するポート。

      メモ STARTTLSのデフォルトポートは389番、LDAPSのデフォルトポートは636番です。ただし、ファイアウォールが正しく設定されていれば、どのポートでも使用できます。

    • ユーザー名：LDAPサーバに接続するユーザーの識別名（DN）の完全パス。

      Active Directoryの場合、下位レベルのログオン名またはユーザープリンシパル名を指定することもできます。

      指定されたユーザーは、グループとユーザーの一覧表示、および以下の属性へのアクセス権限を持っている必要があります：

      • sAMAccountName または uid

      • objectGUID、 entryUUID、または nsuniqueid

      • cn

      • memberOf または isMemberOf

      • Active Directory： objectSid、 primaryGroupID、 userAccountControl、および userPrincipalName

      • Entra ID： accountEnabled`および `userPrincipalName

    • パスワード：ユーザー名に関連付けられたパスワード。

      メモ 今後パスワードを変更する場合は、このページで更新する必要があります。

    • グループベースDN：グループを検索するLDAPサブツリーの識別名（DN）の完全パス。下記の Active Directory の例では、識別名がベース DN （DC=storagegrid,DC=example,DC=com） に対して相対的なすべてのグループをフェデレーション グループとして使用できます。

      メモ *グループ固有名*の値は、所属する*グループベースDN*内で一意である必要があります。

    • ユーザーベースDN：ユーザーを検索するLDAPサブツリーの識別名（DN）の完全パス。

      メモ *ユーザー固有名*の値は、所属する*ユーザーベース DN*内で一意である必要があります。

    • バインドユーザー名フォーマット（オプション）：パターンを自動的に判別できない場合に StorageGRID が使用するデフォルトのユーザー名パターンです。

      *バインドユーザー名形式*を指定することを推奨します。これにより、StorageGRIDがサービスアカウントとバインドできない場合でも、ユーザーがサインインできるようになります。

      以下のいずれかのパターンを入力してください：

      • UserPrincipalNameパターン（AD および Entra ID）： [USERNAME]@example.com

      • 下位レベルのログオン名パターン（ADおよびEntra ID）： example\[USERNAME]

      • 識別名パターン： CN=[USERNAME],CN=Users,DC=example,DC=com

        [USERNAME] を記載どおりに正確に含めてください。

  6. トランスポート層セキュリティ（TLS）セクションで、セキュリティ設定を選択します。

    • STARTTLSを使用する：STARTTLSを使用してLDAPサーバとの通信を保護します。これはActive Directory、OpenLDAP、またはその他のシステムでは推奨されるオプションですが、Microsoft Entra IDではサポートされていません。

    • LDAPSを使用する：LDAPS（LDAP over SSL）オプションはTLSを使用してLDAPサーバへの接続を確立します。Microsoft Entra IDの場合は、このオプションを選択する必要があります。

    • TLSを使用しない：StorageGRIDシステムとLDAPサーバ間のネットワーク トラフィックはセキュリティで保護されません。このオプションは、Microsoft Entra IDではサポートされていません。

      メモ Active Directory サーバーがLDAP署名を強制している場合、「TLSを使用しない」オプションはサポートされていません。STARTTLSまたはLDAPSを使用する必要があります。

  7. STARTTLSまたはLDAPSを選択した場合は、接続を保護するために使用する証明書を選択してください。

    • オペレーティングシステムのCA証明書を使用する：オペレーティングシステムにインストールされているデフォルトのGrid CA証明書を使用して接続を保護します。

    • カスタムCA証明書を使用する：カスタムセキュリティ証明書を使用します。

      この設定を選択した場合は、カスタムセキュリティ証明書をコピーして、CA証明書のテキストボックスに貼り付けてください。

接続をテストして設定を保存する

すべての値を入力した後、設定を保存する前に接続テストを行う必要があります。StorageGRID は、LDAPサーバの接続設定と、指定した場合はバインドユーザー名の形式を確認します。

手順

  1. 「接続テスト」を選択します。

  2. バインドユーザー名の形式を指定しなかった場合：

    • 接続設定が有効な場合、「接続テスト成功」というメッセージが表示されます。設定を保存するには、*保存*を選択してください。

    • 接続設定が無効な場合、「テスト接続を確立できませんでした」というメッセージが表示されます。「閉じる」を選択します。その後、問題をすべて解決し、再度接続テストを行ってください。

  3. バインドユーザー名の形式を指定した場合は、有効なフェデレーションユーザーのユーザー名とパスワードを入力してください。

    例えば、ご自身のユーザー名とパスワードを入力してください。ユーザー名には、@ や / などの特殊文字を含めないでください。

    IDフェデレーションがバインドユーザー名の形式を検証するよう促します

    • 接続設定が有効な場合、「接続テスト成功」というメッセージが表示されます。設定を保存するには、*保存*を選択してください。

    • 接続設定、バインドユーザー名の形式、またはテストユーザー名とパスワードが無効な場合、エラーメッセージが表示されます。問題を解決し、再度接続テストを行ってください。

IDソースとの強制同期

StorageGRID システムは、IDソースから連携グループとユーザーを定期的に同期します。ユーザー権限をできるだけ早く有効化または制限したい場合は、同期を強制的に開始することができます。

手順

  1. ID連携ページに移動します。

  2. ページ上部の「Sync server」を選択してください。

    同期処理には、お使いの環境によっては時間がかかる場合があります。

    メモ 「IDフェデレーション同期失敗」アラートは、IDソースからのフェデレーショングループとユーザーの同期に問題が発生した場合にトリガーされます。

IDフェデレーションを無効にする

グループおよびユーザーのID連携を、一時的または永続的に無効にすることができます。ID連携が無効になっている場合、StorageGRIDとIDソース間の通信は行われません。ただし、設定した内容はすべて保持されるため、将来的にID連携を簡単に再度有効にすることができます。

タスク概要

IDフェデレーションを無効にする前に、以下の点に注意してください。

  • フェデレーションユーザーはサインインできません。

  • 現在サインインしているフェデレーションユーザーは、セッションが期限切れになるまでStorageGRIDシステムへのアクセスを維持できますが、セッションが期限切れになるとサインインできなくなります。

  • StorageGRID システムとIDソース間の同期は行われず、同期されていないアカウントに関するアラートも発生しません。

  • 「ID フェデレーションを有効にする」チェックボックスは、シングル サインオン（SSO）ステータスが「有効」または「サンドボックスモード」の場合は無効になります。ID フェデレーションを無効にするには、まずシングル サインオンページの SSO ステータスを「無効」に設定する必要があります。参照してください"シングル サインオンを無効にする"。

手順

  1. ID連携ページに移動します。

  2. ID連携を有効にする チェックボックスのチェックを外します。

OpenLDAPサーバの設定に関するガイドライン

IDフェデレーションにOpenLDAPサーバーを使用する場合は、OpenLDAPサーバー上で特定の設定を構成する必要があります。

注意 Active Directory または Microsoft Entra ID 以外の ID ソースの場合、StorageGRID は外部から無効化されたユーザーによる S3 へのアクセスを自動的にブロックしません。S3 へのアクセスをブロックするには、ユーザーの S3 キーをすべて削除するか、ユーザーをすべてのグループから削除してください。

memberof および refint オーバーレイ

memberof および refint オーバーレイを有効にする必要があります。詳細については、http://www.openldap.org/doc/admin24/index.html["OpenLDAP ドキュメント：バージョン 2.4 管理者ガイド"^] のリバースグループメンバーシップのメンテナンスに関する手順を参照してください。

インデックス作成

以下の OpenLDAP 属性を、指定されたインデックスキーワードで設定する必要があります：

  • olcDbIndex: objectClass eq

  • olcDbIndex: uid eq,pres,sub

  • olcDbIndex: cn eq,pres,sub

  • olcDbIndex: entryUUID eq

さらに、最適なパフォーマンスを得るために、ユーザー名に関するヘルプに記載されているフィールドにインデックスが設定されていることを確認してください。

逆グループメンバーシップの維持に関する情報については、http://www.openldap.org/doc/admin24/index.html["OpenLDAP ドキュメント：バージョン 2.4 管理者ガイド"^]を参照してください。