LDAP認証

この章は、LDAPサーバーを使用してParagon Active Assuranceユーザーを認証する場合のみに関連します。

Paragon Active Assuranceでは、LDAPを使用してユーザーを一元的に管理および認証できます。認証は、ローカルコントロールセンターのユーザーデータベースではなく、リモートサーバーを使用して行われます。

ユーザーがコントロールセンターにログインしようとすると、コントロールセンターはLDAPサーバーに認証要求を送信します。応答に基づいて、コントロールセンターは、応答に詳述されているように、Paragon Active Assuranceアカウントへのアクセスをユーザーに許可または拒否します。

• LDAP からコントロールセンターへのマッピングで一部のアカウントが 2 回定義されている場合、ユーザーは付与された 2 つの権限のうち高い権限を受け取ります。したがって、あるリスト要素でアクセス許可が "読み取り" に設定され、別のリスト要素で "admin" に設定されている場合、ユーザーはそのアカウントの管理者アクセス許可を受け取ります。
• あるアクセス許可マッピングが 1 つのアカウントにアクセス許可を付与し、別のマッピングがそれを拒否した場合、ユーザーはそのアカウントへのアクセスを受け取ります。
• アカウントのアクセス許可は、ユーザーがログインするたびに LDAP サーバーと同期されます。Paragon Active Assuranceのローカル管理者から追加の権限をユーザーに付与された場合、その権限はユーザーが次回ログインするまで有効です。逆に、LDAP サーバでユーザの権限が変更された場合、これらは次回のログインまで有効になりません。
• ログイン時に入力したユーザー名が既存のコントロールセンターユーザーのメールアドレスと一致する場合、ログインは、新しいユーザーの作成ではなく、そのユーザーを使用して続行されます。ただし、サーバー認証中に、パスワードを除くすべてのユーザープロファイルの詳細は、これらの詳細が定義されている限り、サーバーに保存されているもので上書きされます。ユーザーは引き続き、既存のコントロールセンターのパスワードを使用してログインできます。つまり、選択したユーザーはコントロールセンターでパスワードを設定できるため、LDAPサーバーがダウンした場合でもログインできます。
• ログイン時に入力したユーザー名がコントロールセンターに存在しない場合は、次のようになります。
  • ユーザーのメールアドレスがユーザー email フィールドから読み取られます。このフィールドの名前は、 設定 AUTH_LDAP_USER_ATTR_MAPを使用して変更できます。
  • 電子メールアドレスが有効な場合は、コントロールセンターのデータベースにも電子メールアドレスとして入力されます。ただし、ユーザーは引き続きLDAPユーザー名でログインする必要があります。
  • 電子メールアドレスが有効でない場合は、構造 username@LDAP_EMAIL_DOMAIN で電子メールアドレスが作成され、データベースに入力されます。設定ファイルを編集して、このドメインを変更します。