Zoho Directory のクラウド LDAP
お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。
LDAPとは
Zoho DirectoryのCloud LDAPを使用すると、オンプレミスのLDAPサーバーを維持することなく、LDAP（軽量ディレクトリアクセスプロトコル）による認証とユーザー管理を行えます。Zohoのクラウドベースのインフラを利用して、Zoho DirectoryをLDAP対応のアプリケーションやサービスと連携できるため、ユーザーIDの管理やアクセスの安全な制御が容易になります。
物理ディレクトリーサーバーを管理する手間を省きながら、従来のLDAPと同様の柔軟性を確保できます。Cloud LDAPは、特に次のような要件がある場合に役立ちます。
- すべてのユーザーと認証情報を一元管理する信頼できる情報源。
- Linuxシステム、Atlassian Jira、OpenVPN、プリンターなど、LDAP対応アプリケーションとの簡単な連携。
- クラウド経由の安全な認証（LDAPS）。
サービスアカウントとは
Cloud LDAPのサービスアカウントとは、アプリケーションがディレクトリーに接続し、認証やディレクトリー検索を安全に実行できるようにするため、Zoho Directory内に作成する専用アカウントです。JiraやVPNサーバーなどのアプリケーションやサービスがCloud LDAPにバインドする際に使用します。LDAPでは通常、アプリケーションが使用するBindDN（識別名）とパスワードを指します。Cloud LDAPを設定および管理するには、まずプリンターやAtlassian JiraなどのLDAPクライアントをZoho Directoryに追加し、各クライアントのアクセス権限を設定して、Cloud LDAPサービスに接続する必要があります。
前提条件
- 管理者権限を持つZoho Directoryアカウント
- Zoho Directory管理コンソールでCloud LDAPが有効になっていること
- Zoho Directoryアカウントにユーザーが追加済み、または同期済みであること
LDAPクライアントの追加
- Zoho Directoryにサインインし、左側のメニューで［管理パネル］をクリックします。
- ［ネットワークアクセス］に移動します。初期設定では、［LDAP］タブが開きます。
- 未設定の場合は、［LDAPを設定］をクリックします。設定済みの場合は、［クライアント］タブで［LDAPクライアントを追加］をクリックします。
-
［LDAPクライアント名］項目に、名前（例：プリンター）を入力します。
-
［BindDNサービスアカウント］で、まだ追加していない場合は、［サービスアカウントを追加］をクリックします。サービスアカウントのユーザー名を入力し、生成されたパスワードをクリップボードにコピーして、［保存］をクリックします。
クライアントをLDAPサービスに接続する際に、生成されたパスワードが必要になります。必ず保存してください。保存しなかった場合は、新しいパスワードを再生成する必要があります。 - 追加したアカウントから選択し、［保存して次へ］をクリックします。
アクセス権限と属性の設定
LDAPクライアントを追加すると、アクセス権限ページが自動的に表示されます。このページでは、アプリケーションによるディレクトリーの利用方法と、アクセス可能なデータを指定します。次の2つのセクションがあります。
ユーザー認証 - Cloud LDAPを使用した認証を許可するユーザーを、管理者が制限できる設定です。つまり、LDAP権限を持つユーザーのみが正常に認証されます。この操作は読み取り専用であるため、アプリケーションからZoho Directory内のユーザー認証情報を変更することはできません。
ユーザー情報の読み取り - LDAPクライアントがユーザー情報を取得する際にアクセスできるユーザー属性を指定する設定です。Zoho Directoryの属性の関連付けで、公開する属性を選択できます。
ユーザー認証 - Cloud LDAPを使用した認証を許可するユーザーを、管理者が制限できる設定です。つまり、LDAP権限を持つユーザーのみが正常に認証されます。この操作は読み取り専用であるため、アプリケーションからZoho Directory内のユーザー認証情報を変更することはできません。
ユーザー情報の読み取り - LDAPクライアントがユーザー情報を取得する際にアクセスできるユーザー属性を指定する設定です。Zoho Directoryの属性の関連付けで、公開する属性を選択できます。
- LDAPクライアントがユーザーの認証情報を検証できるようにするには、［ユーザーの認証情報を検証］のチェックボックスを選択します。
- LDAPクライアントがアクセスできる属性を選択するには、［ユーザー情報を読み取る］のチェックボックスを選択します。
- 利用可能なLDAP属性から1つ選択し、［保存して次へ］をクリックします。
- カスタム属性を追加するには、［属性］タブに移動し、［属性を管理］をクリックします。
- ［属性を追加］をクリックし、属性名を入力します。
- ［項目の値］では、プロフィール項目から選択するか、固定値を入力します。次に、［追加］をクリックします。カスタム追加した属性は、権限ページで選択できます。
クライアント情報に表示される［サービスアカウントのバインドDN］は、クライアントをLDAPサービスに接続する際に入力するユーザー名です。（完全な文字列形式：cn=ServiceAccountName,ou=Users,dc=yourdomain,dc=com）
メンバーの割り当て
LDAPクライアントを追加して権限を設定すると、各クライアントにメンバーを割り当てることができます。
- 概要ページ下部の［メンバーを割り当て］をクリックしてクライアントにユーザーを割り当てるか、対象のクライアントをクリックして
をクリックします。次に、［メンバーを割り当て］をクリックします。
- ［ユーザーを選択］で、ユーザーを手動で選択するか、ファイルを添付します。
- 選択後、［割り当て］をクリックします。
サービスアカウントの追加
- ［LDAP］セクションで、［サービスアカウント］タブに移動します。
- ［サービスアカウントを追加］をクリックします。
- サービスアカウントのユーザー名を入力し、生成されたパスワードをコピーして、［保存］をクリックします。
i. クライアントの［サービスアカウントのバインドDN］は、クライアントをCloud LDAPサービスに接続する際に入力するユーザー名です。
ii. 生成されたパスワードも必要になるため、必ず保存してください。保存しなかった場合は、新しいパスワードを再生成する必要があります。
ii. 生成されたパスワードも必要になるため、必ず保存してください。保存しなかった場合は、新しいパスワードを再生成する必要があります。
サービスアカウントの削除
- ［LDAP］セクションで、［サービスアカウント］タブに移動します。
- 対象のサービスアカウントにカーソルを合わせ、［削除］をクリックします。
サービスアカウントがクライアントに関連付けられている場合、削除するには、サービスアカウントとクライアントの関連付けを解除する必要があります。
アクセス権限の編集
- Zoho Directoryにサインインし、左側のメニューで［管理パネル］をクリックします。
- ［ネットワークアクセス］に移動します。初期設定では、［LDAP］タブが開きます。
- ［クライアント］タブをクリックします。
- 一覧から対象のクライアントをクリックし、［編集］をクリックしてから、［保存して次へ］をクリックします。
- 必要に応じて、アクセス権限のチェックボックスを選択または選択解除します。
LDAPクライアント情報の編集
- ［クライアント］タブに移動し、対象のクライアント名にカーソルを合わせます。
をクリックし、［編集］をクリックします。
- ページ上で必要な情報を編集し、［保存して次へ］をクリックします。
LDAPクライアントの無効化／削除
- ［クライアント］タブに移動し、対象のクライアント名にカーソルを合わせます。
をクリックし、［無効にする］をクリックします。
- クライアントを削除するには、［削除］をクリックします。削除すると、そのクライアントの情報は復元できません。
LDAPクライアントとCloud LDAPサービスの接続
LDAPクライアントをCloud LDAPサービスに接続する前に、クライアントがLDAPサーバーとしてZoho Directoryに追加され、アクセス権限が設定されていることを確認してください。必要に応じて、アクセス用の認証情報も生成してください。
LDAPサービスへの接続手順は、クライアントの種類によって異なります。
まず、LDAPクライアントの認証設定またはディレクトリー設定を開き、以下の必要事項を入力します。これらの情報は、［情報］タブ→［LDAP］→［管理パネル］でも確認できます。
|
ホスト名
|
ldap.directory.zoho.com
|
|
ポート
|
LDAPポート（StartTLS有効）は389
LDAPSポート（SSL/TLS有効）は636 |
|
ベースDN
|
DN形式のドメイン（LDAPクライアントのベースDN）
zoho.comの場合はdc=zoho, dc=com |
|
ユーザー名とパスワード
|
ユーザー名とパスワードが必要なLDAPクライアントでは、LDAPクライアントをZoho Directoryに追加する際に作成したサービスアカウントのユーザー名と、保存したパスワードを使用します。
|
クライアントとLDAPサーバー間の通信を暗号化するには、LDAPSの使用を推奨します。LDAPを使用する場合は、セキュリティ保護のためStartTLSを有効にする必要があります。
LDAPでサポートされる操作
ディレクトリー情報に円滑かつ安全にアクセスするため、次のような操作がサポートされています。
1. 要求レートの上限
- 1秒あたり最大4件の要求
- 1秒あたり最大4件の要求
各ユーザーまたはアプリケーションは、1秒あたり最大4件のLDAP要求を送信できます。接続の問題を防ぐため、短時間に大量の要求を送信しないでください。
2. 接続時間の上限
- 各接続は最大1分間維持可能
- 各接続は最大1分間維持可能
サービスへのLDAP接続は、最大1分間維持され、その後自動的に切断されます。これにより、システムの効率性と安定性が維持されます。
3. 同時接続数の上限
- 同時接続は最大100件
- 同時接続は最大100件
このサービスでは、すべてのユーザーとアプリを合わせて最大100件の同時接続が可能です。
4. サポートされているLDAP操作
bind：ディレクトリーにログインして本人確認を行います。
bind：ディレクトリーにログインして本人確認を行います。
unbind：ログアウトしてセッションを正常に終了します。
search：ディレクトリーに保存されている情報（ユーザー、グループ、デバイスなど）を検索します。
extended operations：次の操作が含まれます。
- StartTLS：接続を暗号化し、ネットワーク経由で送信されるデータを保護します。
- Who Am I？：現在認証されているユーザーまたはアプリケーションを確認できます。
以下に、いくつかのLDAPクライアントの設定手順へのリンクを示します。その他のクライアントについては、該当するクライアントのドキュメントを参照してください。
Atlassian JiraやSSSDなどの一部のLDAPクライアントでは、ユーザー認証時にユーザーの詳細情報を取得するため、ユーザー検索が実行されます。このようなLDAPクライアントでユーザー認証が正しく機能するようにするには、［ユーザー認証情報の確認］が有効になっているすべての組織単位で、［ユーザー情報の読み取り］を有効にする必要があります。