LDAP 統合
LDAP 統合により、インスタンスで既存の LDAP サーバーをユーザーデータのプライマリソースとして使用できます。
管理者は、ライトウェイトディレクトリアクセスプロトコル (LDAP) ディレクトリと統合して、ユーザーログインプロセスを簡素化し、ユーザーの作成やユーザーへのロールの割り当てなどの管理タスクを自動化します。LDAP 統合により、システムは既存の LDAP サーバーをユーザーデータのプライマリソースとして使用できます。通常、LDAP 統合も Single Sign-on 実装の一部です。
統合では、LDAP サービスアカウントの資格情報を使用して、LDAP サーバーからユーザーの識別名 (DN) を取得します。ユーザーの DN 値を指定すると、統合はユーザーの DN とパスワードを使用して LDAP に再バインドします。ユーザーが入力するパスワードは、HTTPS セッションに完全に含まれています。統合では LDAP パスワードは保存されません。
統合は、LDAP ディレクトリに書き込むことのない読み取り専用接続を使用します。統合は情報をクエリするだけで、それに応じて内部データベースを更新します。
LDAP 統合の機能
LDAP 統合機能は次のとおりです。
- スケジュールされた LDAP リフレッシュ
LDAP サーバーのスケジュール設定済みスキャンは通常、夜間に 1 回実行されます。該当するすべてのユーザーレコードの属性を照会し、それらをサーバー上のアカウントと比較します。差異がある場合は、変更された属性を使用してユーザーレコードを変更します。リフレッシュ中に LDAP サーバーにかかる負荷は、照会されるレコードの数と比較される属性の数によって異なります。ピーク時間外にリフレッシュをスケジュールすることをお勧めします。大規模なリフレッシュ操作は、レポートの実行などの他のスケジュールされた操作に影響を与える可能性があるため、競合を最小限に抑えるように計画する必要があります。
- LDAP リスナー
LDAP リスナーは永続クエリ (または永続検索) のバージョンです。LDAP サーバーに加えられた変更に対して継続的なクエリを発行し、常に応答をリッスンします。サーバーが永続検索をサポートしていると仮定すると、該当する LDAP アカウントに加えられた変更はすべて LDAP リスナーに返され、約 10 秒以内にインスタンスに送信されます。これは非常に便利なツールであり、次にスケジュールされたリフレッシュを待たずに、ユーザーのアカウントの詳細をほぼリアルタイムでコピーできます。
- オンデマンド LDAP ログイン
LDAP 統合が確立されると、インスタンスのアカウントがまだない場合でも、新しいユーザーがシステムにログインできるようになります。新しいユーザーがインスタンスにログインしようとすると、統合はこのユーザーがインスタンスにアカウントを持っているかどうかを確認します。統合で既存のユーザーアカウントが見つからない場合は、入力されたユーザー名が LDAP サーバーに自動的に照会されます。一致する LDAP アカウントが見つかった場合、統合はユーザーが入力したパスワードを使用して認証を試行します。パスワードが有効な場合、インスタンスはユーザーのアカウントを作成し、該当するすべての LDAP 情報をアカウントに指定して、ユーザーをインスタンスにログインさせます。
オンデマンドログインでは、LDAP ユーザーインポート変換マップを使用します。変換マップの要件の詳細については、「LDAP 変換マップ」を参照してください。
- LDAP データの入力
- 注:この統合で説明されている機能は、デフォルトでは利用できません。この統合では、経験豊富な管理者または ServiceNow プロフェッショナルサービスコンサルタントによって実行される展開後のカスタマイズが含まれます。
LDAP サーバーとの統合により、既存の LDAP データベースのユーザーレコードをインスタンスのデータベースに迅速かつ簡単に入力できます。データの不整合を防ぐために、着信 LDAP レコードを作成、無視、またはスキップすることができます。
LDAP 属性を指定して統合がインポートするデータを制限し、インスタンスに公開するデータのみをインポートすることもできます。通常、指定する LDAP 属性は統合変換マップの一部になります。LDAP 属性を指定しない場合、統合は LDAP サーバーから利用可能なすべてのオブジェクト属性をインポートします。インスタンスは、インポートされた LDAP データを一時インポートセットテーブルに格納するため、インポートする属性が多いほど、インポート時間が長くなります。詳細については、「LDAP 属性の指定」を参照してください。
- LDAP Authentication
- LDAP Authentication を使用するには、LDAP 資格情報を使用してアクセスします。ユーザーがログインページでネットワーク資格情報を入力すると、次のようになります。
- インスタンスは、資格情報を LDAP サーバーに渡してインスタンスを検索します。
- RDN を使用して、ユーザーの DN 文字列を検証します。
table=sys_userの LDAP OU 構成の少なくとも 1 つに RDN が構成されている場合にのみ検証されます。 - LDAP サーバーは、システムがアクセスを許可するかどうかを判断するために使用する、許可または許可されていないメッセージで応答します。
LDAP サーバーに対して認証することで、ユーザーはネットワークドメイン上の他の内部リソースに使用するものと同じ資格情報を使用してプラットフォームにアクセスします。また、既存のパスワードとセキュリティポリシーを再利用することもできます。たとえば、LDAP サーバーには既にアカウントロックアウトとパスワードの有効期限ポリシーが設定されている場合があります。
LDAP を有効にすると、次のフィールドでユーザーレコードが更新されます。
表 : 1. LDAP ユーザーレコードの更新 フィールド 説明 ソース LDAP を使用してユーザーを検証するかどうかを示します。ソースが ldap で始まる場合、ユーザーは LDAP を介して検証されます。ソースが ldap で始まらない場合、ユーザーレコードのパスワードは、ログイン時にユーザーを検証するために使用されます。 LDAP サーバー 複数の LDAP サーバーがある場合に、ユーザーを認証する LDAP サーバーを識別します。 注:システムは、MID Server を介した LDAP パスワード認証をサポートしていません。インスタンスは、パスワード認証をサポートするために LDAP サーバーに直接接続できる必要があります。