ユーザーとロールのディレクトリ
Related information
概要
TIBCO EBX®は、ユーザー認証とロール定義を管理するためにディレクトリシステムを使用します。メインディレクトリは必須であり、認証と認可のデフォルトソースです。
シングルサインオン (SSO) が有効な場合、EBX®はメインディレクトリに加えて同期ディレクトリを使用できます。同期ディレクトリにより、ID プロバイダーを介して認証された外部ユーザーの管理が可能になります。この設定では、次のようになります。
-
技術ユーザーにはメインディレクトリを使用します
-
外部システムによって管理されるユーザーには同期ディレクトリを使用します以下に、ユーザー認証と認可を処理するためのディレクトリ設定の一般的な手順を示します。
-
メインディレクトリの実装を選択します: デフォルト、ビルトイン LDAP、またはカスタムディレクトリ
-
必要に応じて、OIDC または SAML2 のいずれかのプロトコルを使用して SSO を有効にします
-
必要に応じて、ビルトイン実装のいずれか (LDAP、SCIM、またはログイン時) を使用して同期ディレクトリを有効にします
-
選択したディレクトリとプロトコルを構成します
以下も参照してください。:
注意:
本番環境ではデフォルトディレクトリを使用しないでください。代わりに、より安全なパスワードシステムを備えた独自のカスタムディレクトリ、または機密情報を保護するためのビルトインディレクトリオプションを使用してください。
メインディレクトリと同期ディレクトリの両方を使用する場合、ユーザー名はディレクトリ間で一意である必要があります。ユーザー名が両方に存在する場合、システムは両方のディレクトリからロールをマージします。ただし、ユーザーの情報 (名前、メールなど) は同期ディレクトリからのみ取得されます。これにより、不整合や意図しない上書きが発生する可能性があるため、ディレクトリ間で一意のユーザー名を強く推奨します。
ディレクトリの概念概要
TIBCO EBX®では、ユーザーは1つ以上のロールのメンバーになることができ、複数のユーザーが同じロールを共有できます。さらに、ロールは他のロールを含むことができます。ドキュメントでは、ユーザーまたはロールのいずれかを記述するために、一般的な用語 プロファイル を使用します。プロファイルに関連する情報は、主にディレクトリで定義されます。
ディレクトリで定義するロールに加えて、TIBCO EBX®は次の ビルトインロール を提供します。
| ロール | 定義 |
|---|---|
| Profile.ADMINISTRATOR | 管理タスクへのフルアクセスを許可します |
| Profile.READ\_ONLY | ユーザーはコンテンツのみを表示できます。リポジトリの変更は許可されません |
| Profile.OWNER | ユーザーが現在のエレメントの所有者として定義されたプロファイルである (または含まれている) 場合にのみアクティブになる動的ロール |
| Profile.EVERYONE | すべてのユーザーがこのロールに含まれます |
注意:
ユーザーとビルトインロール OWNER および EVERYONE の間の関連付けは、TIBCO EBX®によって自動的に管理されるため、ディレクトリを介して変更してはなりません。
ユーザー権限はディレクトリとは別に管理されます。権限 を参照してください。
以下も参照してください。:
ポリシー
ディレクトリ > ポリシー テーブルでは、ユーザーが自分のプロファイルの特定の側面を管理できるかどうかを構成できます。たとえば、ポリシーは以下を指定できます。
-
ユーザーが自分のアカウント情報を更新できるかどうか
-
パスワードリマインダーオプションも利用できるかどうか
メインディレクトリ
メインディレクトリは必須であり、ユーザー名とパスワードを使用してログイン認可を処理します。EBX®は、デフォルトディレクトリ、LDAP ディレクトリ、またはカスタムディレクトリ実装の次のディレクトリタイプをサポートしています。
デフォルトディレクトリ
デフォルトディレクトリと関連テーブルは、管理 > ユーザー、ロール、および設定 > ディレクトリ データセットにあります。このデータセットには、ユーザーポリシー、メーリングリスト、ユーザー、およびロールを作成および保存するためのテーブルが含まれています。デフォルトディレクトリを削除または複製することはできません。
定義されたポリシーに応じて、ディレクトリデータセットに定義された権限に関係なく、ユーザーは自分のアカウントに関連する情報を変更できます。
注意:
ロール包含サイクルが検出された場合、権限解決中にロール包含は無視されます。このようなサイクルを検出するには、ディレクトリ検証レポートを更新して確認します。
注意:
ユーザーロール および ロール包含と敬称 テーブルは、デフォルトでは非表示 です。
パスワード回復手順
デフォルトディレクトリでは、パスワードは暗号化され (デフォルトでは SHA256 のようなアルゴリズムを使用)、この状態で保存されます。その結果、紛失したパスワードは取得できません。新しいパスワードを生成してユーザーに送信する必要があります。
この手順には 2 つのオプションがあります。
-
通知メールが管理者に送信され、管理者は手動でパスワードを変更し、新しいパスワードをユーザーに送信します。これがデフォルトオプションです
-
プロシージャは自動的に新しいパスワードを生成し、それをユーザーに送信します。このオプションを有効にするには、TIBCO EBX® メイン構成ファイルで次のプロパティを設定します:
ebx.password.remind.auto=true
注意:
セキュリティ上の理由から、上記のパスワード回復手順は管理者プロファイルでは利用できません。代わりに管理者回復手順を使用してください。
管理者回復手順
すべての管理者資格情報が失われた場合は、次の特別な回復プロセスを使用して、ディレクトリクラスでログインとパスワードを
admin/admin とする一時的な管理者アカウントを再定義します。
-
TIBCO EBX® メイン構成ファイルで次のプロパティを指定します。
ebx.directory.factory= com.orchestranetworks.service.directory.DirectoryDefaultRecoverFactory -
TIBCO EBX®を起動し、手順が完了するまで待ちます
-
'
ebx.directory.factory' プロパティをリセットします -
TIBCO EBX®を再起動し、「admin」アカウントを使用して接続します
注意:
'
ebx.directory.factory' プロパティが回復手順に設定されている間、他のすべてのユーザー認証は無効になります。
LDAP ディレクトリ
EBX®は、LDAP (Lightweight Directory Access Protocol) をメインディレクトリまたは同期ディレクトリのいずれかとしてサポートしています。同期 LDAP ディレクトリで、同期ディレクトリとして使用する方法を参照してください。LDAP をメインディレクトリとして使用するには、ユーザーとロールディレクトリの構成でディレクトリファクトリをビルトイン LDAP ディレクトリファクトリに設定します。
カスタムディレクトリ
カスタムディレクトリは、EBX®のビルトインディレクトリを使用する代替手段です。リレーショナルデータベースに含まれる特定の企業ディレクトリ、またはTIBCO EBX®にインスタンス化された特定のディレクトリデータモデルを統合できます。デフォルトのログインページを特定の企業ページに設定することもできます。対応するドキュメントリソースについては、以下のリンクを参照してください。
以下も参照してください。:
同期ディレクトリ
同期ディレクトリは、構成後に 管理 領域で利用可能なデータセット ebx-synchronized-directory によって表されます。これは、外部ユーザーを認証および認可するために使用される統合ディレクトリです。EBX®は内部ロールのみを使用して権限を管理します。外部ロールは内部ロールにマッピングする必要があります。
同期ディレクトリは、EBX®で SSO と組み合わせて使用する必要があります。
-
ディレクトリは、最新のアクセス制御を保証するために、自動プロビジョニングでユーザーとロールを管理するために使用されます
-
SSO はユーザー認証を処理します
このアプローチは、一元化されたユーザー管理を提供し、システム全体で一貫したアクセス制御を保証します。
同期ディレクトリとそのロールマッパーは、メイン EBX® 構成ファイルを通じて構成されます。同期ディレクトリの構成で手順を参照してください。
LDAP ディレクトリ
TIBCO EBX®の LDAP (Lightweight Directory Access Protocol) のビルトインサポートは、メインディレクトリおよび同期ディレクトリの実装として設計されており、既存の LDAP ディレクトリを TIBCO EBX®と統合できます。これにより、組織の LDAP インフラストラクチャのニーズに合わせて調整された、安全で一貫性のあるアクセス制御を通じて、合理化された効率的なディレクトリ管理エクスペリエンスが保証されます。
ロールの同期は、タスク
com.orchestranetworks.service.directory.scim.SchedulerLdapSynchronization をスケジュールすることで行われます。
LDAP 構成
次の4種類の構成パラメーターが利用可能です。
-
接続パラメーターは、LDAP サーバーへの接続を確立および処理するために必要です。これらは、最適なパフォーマンスとセキュリティのために接続を調整するためにも使用されますLDAPS を使用する場合、ルート証明書が JDK TrustStore にない場合は、ルート証明書をインポートする必要があります (TrustStore へのルート証明書のインストールを参照)
-
マッピングパラメーターは、特定のビルトインロールとユーザーを LDAP ディレクトリ属性にマッピングするために使用されます
-
LDAP 属性から派生した式を使用したユーザーとロールの表示
-
検索要求テンプレートは LDAP 要求を生成し、LDAP ディレクトリから正確かつ効率的に情報を取得できるようにします
検索リクエストテンプレート
LDAP 検索クエリは、次の 3 つの主要エレメントで構成されます。
-
ベース DN (識別名): ディレクトリツリー内の開始点を設定します
-
検索フィルター: 検索する属性と値を定義します
-
検索範囲: ディレクトリツリー内の検索の深さ (ベースから数レベルの深さまで) を指定しますクエリは効率と管理性を高めるためにページ分割されることに注意することが重要です。さらに、各リクエストテンプレートはパフォーマンスを最適化するためにキャッシュを使用できます。利用可能なパラメーターを使用して、ページ取得とキャッシュ実装を微調整します。短期間でサイズが小さい場合でも、キャッシュを推奨します。キャッシュにより、冗長なデータ取得が削減され、システム全体のパフォーマンスが大幅に向上します。検索テンプレートは、特定のクエリタイプごとに適応するプレースホルダーをサポートします。次の4つの必須テンプレートがあります。
-
個々のユーザーを検索します
-
ユーザーのグループを識別します
-
グループ内のユーザーを検索します
-
すべてのグループを取得しますさらに、すべてのユーザーを検索するためのオプションのテンプレートがあります。必須ではありませんが、より広範なユーザーアクセスにとって重要です。権限を割り当てる際にこれが構成されていない場合、選択はグループに限定されます。個々のユーザーは選択できません。
以下も参照してください。:
制限事項
EBX®で LDAP を同期ディレクトリとして使用する場合、次の制限が適用されます。
-
キャッシュメカニズムは、ページネーションのためにクッキーに保存されたセッション識別子に依存する LDAP サーバーと互換性がありません。そのような場合、リクエストキャッシュシステムはキャッシュの最大サイズを 0 に設定することで無効にする必要があります
-
一度に構成できる LDAP サーバーは1つだけです。同じインスタンス内で複数の LDAP サーバーへの同時接続はサポートされていません
-
EBX®側では、ロールの包含や特定のロールの追加はサポートされていません。したがって、LDAP 内のグループの構造とネストされた関係は、権限の計算では考慮されません。この制限は、LDAP の階層的なグループダイナミクスの複雑さなしに、直接的なグループベースのアクセス制御アプローチを強調しています
-
単純で匿名の認証方法のみが許可されます。LDAP 内で使用される、より複雑または安全な認証プロトコルはサポートされていません
-
ロールとユーザー名の表示はロケールに依存せず、構成ファイルの表示式によって定義された1つの形式に制限されます。ロケールは、表示式を適用できない場合にのみ考慮されます
SCIM ディレクトリ
SCIM (System for Cross-domain Identity Management) は、IT システム間でユーザー ID 情報の交換を自動化するように設計された標準プロトコルです。共通のスキーマと RESTful API を使用することで、複数のプラットフォームにわたるユーザープロビジョニングと管理を簡素化します。
使用されるスキーマバージョンは
urn:ietf:params:scim:schemas:core:2.0 です。
ロールの同期は、スケジュールされたタスク
com.orchestranetworks.service.directory.scim.SchedulerScimSynchronization によって管理されます。
構成
SCIM サーバーは IdP (Identity Provider) 側でアクティブ化する必要があります。
以下も参照してください。:
ログイン時ディレクトリ
ログイン時ディレクトリは、SSO プロトコルからの情報に基づいて、ログイン時にユーザーとロールを同期する永続的なディレクトリです。その結果、ユーザーのリストは完全ではありません。一度もログインしたことのないユーザーは含まれません。
ロールマッピング
移行
バージョン 6.2.2 より前の LDAP および SCIM ディレクトリの移行を確実にするには、各ディレクトリのスケジュールされたタスクオプションでロールのインポートを有効にします。これにより、すでに永続化されている権限と外部ロールとの一貫性が保証されます。