目次

> # ポリシー設定サービス属性

> ポリシー設定サービス属性はグローバルおよび組織属性から構成されます。グローバル属性に適用される値は Sun Java System Access Manager 設定全体に適用され、設定済みのすべての組織に継承されます。グローバル属性の目的は Access Manager アプリケーションのカスタマイズであるため、ロールまたは組織に直接適用することはできません。サービス管理の下で組織属性に適用される値が、ポリシー設定のデフォルト値になります。組織にサービスを登録した後、サービステンプレートを作成する必要があります。デフォルト値は組織の管理者が登録後に変更できます。組織属性は組織のエントリに継承されません。ポリシー設定属性は次のように分けられます。

> - 「グローバル属性」
> - 「組織属性」

> ## グローバル属性

> ポリシー設定サービスのグローバル属性は次のとおりです。

> - 「リソースコンパレータ」
> - 「拒否決定時の評価継続」

> ## リソースコンパレータ

> リソースコンパレータは、「ポリシー」ルール定義で指定されたリソースの比較に使用されます。リソースの比較は、ポリシーの作成と評価の両方に使用します。この属性には次の値があります。

> serviceType | コンパレータを使用するサービスを指定します
> class | リソース比較アルゴリズムを実装する Java クラスを定義する
> wildcard | リソース名に使用可能なワイルドカードを指定する
> delimiter | リソース名に使用する区切り記号を指定する
> caseSensitivity | リソースを比較する際に、大文字と小文字を区別するかどうかを指定する。False の場合は区別せず、True の場合は区別する

> ## 拒否決定時の評価継続

> この属性は、DENY のポリシー決定が存在する場合でも、ポリシーフレームワークが後続のポリシーの評価を継続するかどうかを指定します。この属性が選択されていない場合 (デフォルト)、ポリシー評価は DENY が認識された後続のポリシーをスキップします。

> ## 組織属性

> ポリシー設定サービスの組織属性は次のとおりです。

> - 「プライマリ LDAP サーバー」
> - 「LDAP ベース DN」
> - 「LDAP ユーザーベース DN」
> - 「Access Manager ロールベース DN」
> - 「LDAP バインド DN」
> - 「LDAP バインドパスワード」
> - 「LDAP バインドパスワード (確認)」
> - 「LDAP 組織検索フィルタ」
> - 「LDAP 組織検索範囲」
> - 「LDAP グループ検索フィルタ」
> - 「LDAP グループ検索範囲」
> - 「LDAP ユーザー検索フィルタ」
> - 「LDAP ユーザー検索範囲」
> - 「LDAP ロール検索フィルタ」
> - 「LDAP ロール検索範囲」
> - 「Access Manager ロール検索範囲」
> - 「LDAP 組織検索属性」
> - 「LDAP グループ検索属性」
> - 「LDAP ユーザー検索属性」
> - 「LDAP ロール検索属性」
> - 「検索で返される結果の最大数」
> - 「検索のタイムアウト」
> - 「LDAP SSL を有効」
> - 「LDAP 接続プールの最小サイズ」
> - 「LDAP 接続プールの最大サイズ」
> - 「選択したポリシーサブジェクト」
> - 「選択したポリシー条件」
> - 「選択したポリシー参照」
> - 「サブジェクト結果の有効時間」
> - 「ユーザーエイリアスが有効」

> ## プライマリ LDAP サーバー

> このフィールドは、Access Manager インストール時に指定されるプライマリ LDAP サーバーのホスト名とポート番号を指定します。このホスト名とポート番号は、LDAP ユーザー、LDAP ロール、LDAP グループなどのポリシーサブジェクトを検索する際に使用します。形式は hostname:port です。次に例を示します。

> machine1.example.com:389

> 複数の LDAP サーバーホストに対してフェイルオーバーを設定する場合は、この値をスペース区切りのホストのリストとすることができます。形式は、hostname1:port1 hostname2:port2... です。

> 次に例を示します。

> machine1.example1.com:389 machine2.example1.com:389

> 複数のエントリの場合は、ローカルサーバー名をプレフィックスとして付ける必要があります。これによって、特定の Access Manager を、特定の Directory Server と接続するように設定できます。

> 形式は servername|hostname:port です。

> 次に例を示します。

> machine1.example1.com|machine1.example1.com:389

> machine1.example2.com|machine1.example2.com:389

> フェイルオーバー設定の場合は次のようになります。

> IS_Server1.example1.com|machine1.example1.com:389 machine2.example.com1:389

> IS_Server2.example2.com|machine1.example2.com:389 machine2.example2.com:389

> ## LDAP ベース DN

> このフィールドは、検索を開始する LDAP サーバー内のベース DN を指定します。デフォルトでは、Access Manager インストールの最上位組織です。

> ## LDAP ユーザーベース DN

> この属性は、LDAP サーバーの LDAP ユーザーサブジェクトが使用するベース DN を指定します。そこから検索が開始されます。デフォルトでは、Access Manager インストールベースの最上位組織です。

> ## Access Manager ロールベース DN

> この属性は、LDAP サーバーの Access Manager ロールサブジェクトが使用するベース DN を指定します。そこから検索が開始されます。デフォルトでは、Access Manager インストールベースの最上位組織です。

> ## LDAP バインド DN

> このフィールドは、LDAP サーバー内のバインド DN を指定します。

> ## LDAP バインドパスワード

> この属性は、LDAP サーバーへのバインドに使用するパスワードを定義します。デフォルトでは、インストール時に入力された amldapuser パスワードがバインドユーザーとして使用されます。

> ## LDAP バインドパスワード (確認)

> LDAP バインドパスワードを確認します。

> ## LDAP 組織検索フィルタ

> 組織エントリの検索に使用する検索フィルタを指定します。デフォルトは (objectclass=sunMangagedOrganization) です。

> ## LDAP 組織検索範囲

> この属性は、組織エントリの検索範囲を定義します。範囲は次のいずれかにする必要があります。

> - SCOPE_BASE
> - SCOPE_ONE
> - SCOPE_SUB (デフォルト)

> ## LDAP グループ検索フィルタ

> グループエントリの検索に使用する検索フィルタを指定します。デフォルトは、(objectclass=groupOfUniqueNames) です。

> ## LDAP グループ検索範囲

> この属性は、グループエントリの検索範囲を定義します。範囲は次のいずれかにする必要があります。

> - SCOPE_BASE
> - SCOPE_ONE
> - SCOPE_SUB (デフォルト)

> ## LDAP ユーザー検索フィルタ

> ユーザーエントリの検索に使用する検索フィルタを指定します。デフォルトは、(objectclass=inetorgperson) です。

> ## LDAP ユーザー検索範囲

> この属性は、ユーザーエントリの検索範囲を定義します。範囲は次のいずれかにする必要があります。

> - SCOPE_BASE
> - SCOPE_ONE
> - SCOPE_SUB (デフォルト)

> ## LDAP ロール検索フィルタ

> ロールのエントリ検索に使用する検索フィルタを指定します。デフォルトは、(&(objectclass=ldapsubentry)(objectclass=nsroledefinitions)) です。

> ## LDAP ロール検索範囲

> この属性は、ロールのエントリ検索範囲を定義します。範囲は次のいずれかにする必要があります。

> - SCOPE_BASE
> - SCOPE_ONE
> - SCOPE_SUB (デフォルト)

> ## Access Manager ロール検索範囲

> この属性は、Access Manager ロールサブジェクトのエントリ検索範囲を定義します。範囲は次のいずれかにする必要があります。

> - SCOPE_BASE
> - SCOPE_ONE
> - SCOPE_SUB (デフォルト)

> ## LDAP 組織検索属性

> このフィールドは、組織に対して検索を行うための属性タイプを定義します。デフォルトは o です。

> ## LDAP グループ検索属性

> このフィールドは、グループに対して検索を行うための属性タイプを定義します。デフォルトは cn です。

> ## LDAP ユーザー検索属性

> このフィールドは、ユーザーに対して検索を行うための属性タイプを定義します。デフォルトは uid です。

> ## LDAP ロール検索属性

> このフィールドは、ロールに対して検索を行うための属性タイプを定義します。デフォルトは cn です。

> ## 検索で返される結果の最大数

> このフィールドは検索で返される結果の最大数を定義します。デフォルト値は 100 です。指定された最大数を検索結果が上回った場合、その時点までに検索されたエントリが返されます。

> ## 検索のタイムアウト

> この属性は、検索のタイムアウトが発生するまでの時間を指定します。指定した時間を過ぎた場合は、その時点までに検索されたエントリが返されます。

> ## LDAP SSL を有効

> この属性は、LDAP サーバーが SSL を実行するかどうかを指定します。選択した場合、 SSL は有効になり、選択しない場合 (デフォルト)、SSL は無効になります。

> LDAP サーバーが SSL 有効 (LDAPS) で実行中の場合、Access Manager が適切な SS- 信頼証明書で設定されていることを確認する必要があります。

> ## LDAP 接続プールの最小サイズ

> この属性は、LDAP サーバー属性に指定されたとおり、Directory Server への接続に使用する接続プールの最小サイズを指定します。デフォルトは 1 です。

> ## LDAP 接続プールの最大サイズ

> この属性は、LDAP サーバー属性に指定されたとおり、Directory Server への接続に使用する接続プールの最大サイズを指定します。デフォルトは 10 です。

> ## 選択したポリシーサブジェクト

> この属性を使用すると、組織内のポリシー定義に使用できるサブジェクトタイプのセットを選択できます。

> ## 選択したポリシー条件

> この属性を使用すると、組織内のポリシー定義に使用できる条件タイプのセットを選択できます。

> ## 選択したポリシー参照

> この属性を使用すると、組織内のポリシー定義に使用できる参照タイプのセットを選択できます。

> ## サブジェクト結果の有効時間

> この属性は、キャッシュされたサブジェクト結果を使用してシングルサインオントークンに基づく同じポリシー要求を評価できる時間 (分単位) を指定します。

> ポリシーが SSO トークンに対して最初に評価される場合に、そのポリシー内のサブジェクトインスタンスが評価され、ポリシーを特定のユーザーに適用できるかどうかが判別されます。サブジェクト結果は SSO トークン ID に合わされ、ポリシーにキャッシュされます。「サブジェクト結果の有効時間」属性で指定された時間内に、同一の SSO トークン ID に対する同一のポリシーで別の評価が発生した場合、ポリシーフレームワークはキャッシュされたサブジェクト結果を検索します。サブジェクトインスタンスは評価しません。これにより、ポリシー評価の時間が大幅に短縮されます。

> ## ユーザーエイリアスが有効

> リモート Directory Server で、リソースのサブジェクトメンバーがローカルユーザーのエイリアスの場合、リソースを保護するためにポリシーを作成し、この属性を有効にする必要があります。

> たとえば、リモート Directory Server に uid=rmuser を作成し、rmuser をエイリアスとして、Access Manager のローカルユーザーに uid=luser などで追加する場合、この属性を有効にする必要があります。rmuser としてログインすると、ローカルユーザー (luser) を使用してセッションが作成され、ポリシーが適用されます。

目次