ADAM で LDAPS を使用する

  • リリースバージョン: Yokohama
  • 更新日 2025年01月30日
  • 所要時間：2分

    • userProxy オブジェクト認証のデフォルト構成では、LDAPS (セキュア LDAP) 通信を強制します。LDAPS では、ネットワークトラフィックを保護するために SSL 証明書が必要です。

    この要件を削除するには、構成パーティションに接続されている ADSIEdit コンソールを使用して次の変更を行います。
    Object: CN=Directory Service, CN=Windows NT, CN=Services, CN=Configuration
Attribute: msDS-Other-Setings
Value: change RequiresSecureProxyBind from 1 (enforced) to 0 (disabled)

    新しい設定を使用するには、ADAM サービスを再起動します。

    セキュアなバインドをサポートし、送信されるユーザーとパスワードの情報を暗号化するには、サーバーと LDAP クライアントに SSL 証明書をインストールする必要があります。ADAM サービスには制限付きで制御された使用法があるため、証明書のコストや認証局 (CA) インフラストラクチャをビルドすることなく、ニーズを満たす自己署名証明書を使用することができます。既に CA がある場合は、証明書を発行できます。ない場合は、自己署名証明書を作成します。

    自己署名証明書を作成する

    selfssl ユーティリティを使用するには、Internet Information Services (IIS) をインストールする必要があります。このサービスは、証明書を生成した後に削除できます。selfssl.exe ユーティリティは IIS Resource Kit から入手できます。IIS が既にインストールされている場合は、証明書の生成中に現在のサイトが影響を受けないように新しい Web サイトを作成します。selfssl は、新しい自己発行の証明書を有効な Web サイトに一時的に添付する必要があります。

    selfssl はコマンドラインツールであり、次の一般的なパラメーターがあります。

    表 : 1. selfssl パラメーターの説明
    パラメーター 説明
    /T ローカルマシンの「信頼できる証明書」に証明書を追加します
    /N:cn 証明書の共通名を設定します。これは、証明書を使用する Web サービスを実行しているサーバーの完全修飾ドメイン名と一致する必要があります
    /K キーサイズの強度をビット単位で設定します
    /V 証明書が有効な日数
    /S 証明書を添付する Web サイト ID
    /P Web サービスの IP ポート
    共通名属性は、インスタンスが ADAM コンピューターに接続するために使用する外部名またはアドレスと一致する必要があります。デフォルトの Web サイト ID である 1 を使用し、selfssl コマンドで定義する必要がない場合を除き、IIS Web サイトのサイト ID を取得する必要があります。myCompany の証明書を生成するサンプルコマンドは次のとおりです。
    selfssl /N:CN=myCompany.externaldomain.com /K:1024 /V:3650 /S:12345 /P:50001 /T

    このステートメントは、10 年間有効な証明書を作成します。値を任意の期間に設定します。ただし、古い証明書が期限切れになる前に新しい証明書を生成してインスタンスに送信する必要があることに注意してください。証明書の有効期限をメモすることをお勧めします。

    証明書が生成されたら、Web サイトから削除するか、一時サイトを作成した場合は Web サイト全体を削除できます。