LDAPとユーザディレクトリ

エントリーの名前です。

これを「コモンネーム」ともいう。

ユーザの場合は、Security Gatewayへのログインに使用される名前であるuid属性と異なる場合があります。

この属性は、ユーザディレクトリエントリの識別名、つまりDNのRDNを構築するためにも使用されます。

ユーザのログイン名、つまりSecurity Gatewayにログインする際に使用する名前。

この属性は、「内部パスワード」を除くすべての認証方式で外部認証システムに渡され、これらの認証方式すべてで定義する必要があります。

ログイン名は、Security Management ServerがUser Directoryサーバ（複数可）を検索するために使用されます。

このため、各ユーザエントリは一意のUID値を持つ必要があります。

フルパスの DN を使用して Security Gateway にログインすることもできます。

DNは、この属性に曖昧さがある場合、または "内部パスワード "でこの属性が欠落している可能性がある場合に使用することができる。

DNは、同じユーザ（同じuid）が異なるUser Directoryサーバ上の複数のAccount Unitに定義されている場合にも使用することができます。

ユーザに関する説明テキスト。

デフォルトはno valueです。

ユーザの電子メールアドレス。

デフォルトはno valueです。

エントリには、この属性の値を0個以上指定することができます。

• テンプレート：このテンプレートを使用したユーザエントリのDN。ユーザでないDN（オブジェクトクラスが"person", "organizationalPerson", "inetOrgPerson", "fw1person" のいずれかでないもの）は無視されます。

• グループ：ユーザのDN。

認証方法（fw1auth-method）が "Internal Password "の場合、必ず指定すること。この値は "crypt "を用いてハッシュ化することができる。この場合、この属性の構文は次のようになります。

"{crypt}xxyyyyyyyyyyy"

この場合:

• "xx" は "塩 "です。

• "yyyyyyyyyyy" はハッシュ化されたパスワード

ハッシュ化せずにパスワードを保存することも可能です（ただし、推奨しません）。ただし、User Directoryサーバでハッシュ化を指定している場合は、パスワードの二重ハッシュ化を防ぐため、ここではハッシュ化を指定しないようにします。この場合、暗号化されていないパスワードの送信を防ぐために、SSLを使用することも必要です。

Security Gatewayはこの属性を書き込むことはあっても、読み込むことはない。その代わり、ユーザディレクトリのバインド操作でパスワードの検証を行う。

いずれかの方法を実行します。

• RADIUS

• TACACS+

• SecurID

• OSパスワード

• ディフェンダー

この属性のデフォルト値は、SmartConsole Check Point 環境の管理に使用される Check Point GUI アプリケーション-セキュリティポリシーの構成、デバイスの構成、製品とイベントの監視、アップデートのインストールなど。のAccount Unit ウィンドウのAuthentication タブにあるDefault authentication scheme で上書きされます。

たとえば、User Directory サーバでは、サーバのスキーマに独自のオブジェクトクラス "fw1person" が追加されていないにもかかわらず、すべてのオブジェクトクラス "person" の User Directory エントリが含まれていることがあります。

SmartConsoleのDefault authentication scheme が「内部パスワード」の場合、すべてのユーザは "userPassword" 属性に保存されているパスワードを使用して認証されます。

認証を行うサーバの名前です。

このフィールドは、fw1auth-method が "RADIUS" または "TACACS" の場合に指定する必要があります。

fw1auth-method の他のすべての値については、無視される。その意味は以下の通りです。

パスワードが最後に変更された日付。

フォーマットはyyyymmdd （例：1998年8月20日は19980820）です。

パスワードは、認証プロセスの一部として、Security Gatewayを通じて変更することができます。

ユーザがSecurity Gatewayにログインできる最後の日付。有効期限がない場合は "no value "となる。

フォーマットはyyyymmdd （例：1998年8月20日は19980820）です。

デフォルトはno valueです。

ユーザがセキュリティゲートウェイにログインできるようになる時間。

フォーマットはhh:mm （例：午前8時15分は08:15）です。

ユーザがセキュリティゲートウェイにログインできるまでの時間。

フォーマットはhh:mm （例：午前8時15分は08:15）です。

ユーザがセキュリティゲートウェイにログインできる日（曜日）。

値は"SUN"、"MON"などとすることができる。

ユーザがクライアントを実行できる1つ以上のネットワークオブジェクト コンピュータ、IP アドレス、トラフィックプロトコルなど、企業トポロジのさまざまな部分を表す論理オブジェクト。管理者はセキュリティポリシーでこれらのオブジェクトを使用します。の名前。この制限を解除するには "Any" 、そのようなクライアントが存在しない場合は "no value" 。

Security Management Serverで定義されたネットワークオブジェクトの名前と一致する必要があります。

ユーザがアクセスできる 1 つまたは複数のネットワーク・オブジェ クトの名前。この制限を解除するには "Any" 、そのようなネットワーク・オブジェクトがない場合は "no value" 。

この名前は、Security Management Serverで定義されたネットワークオブジェクトの名前と一致する必要があります。

現在は使用していません。

SecuRemoteでセッションキーを暗号化するために使用されるアルゴリズムです。

CLEAR", "FWZ1", "DES", "Any" のいずれかを指定することができます。

SecuRemoteでデータの暗号化に使用するアルゴリズムです。

CLEAR", "FWZ1", "DES", "Any" のいずれかを指定することができます。

SecuRemoteのデータへの署名に使用されるアルゴリズム。

none" または "MD5" とすることができます。

SecuRemoteユーザがSecurity Gatewayに対して再認証を行う必要がある時間(分)。

SecuRemoteによる認証に成功した場合に発生する例外を指定します。

none", "cryptlog", "cryptalert" のいずれかを指定することができます。

このフラグは、グループ・メンバーシップに関連する問題を解決するために使用されます。

ユーザの所属グループは、そのユーザが所属するグループエントリ、ユーザエントリ自身、またはその両方のエントリに保存されます。

そのため、グループ関係についてのテンプレートからの情報を使用すべきかどうか、ユーザエントリーに明確な指示がない。

このフラグが"TRUE"の場合、ユーザはテンプレートが所属するすべてのグループのメンバとみなされます。

これは、ユーザが直接メンバになっているすべてのグループに追加されます。

SecuRemoteユーザがIKEを使用する際の鍵暗号化方式。

これは、"DES"、"3DES"のいずれか、または複数にすることができます。

IKE（旧称：ISAMP）を使用するユーザは、両方の方法を定義することができます。

IKE（旧ISAMP）を使用するSecuRemoteユーザに許可される認証方法です。

これは、"preshared"、"signatures"のいずれか、または複数にすることができます。

IKE（旧ISAMP）を使用するSecuRemoteユーザのためのデータ整合性方式です。

これは、"MD5"、"SHA1"のいずれか、または複数にすることができます。

IKEを使用するユーザは、両方の方式を定義しておく必要があります。

IKE（旧ISAMP）を使用したSecuRemoteユーザ向けのIPSec Transform方式です。

AH", "ESP" のいずれかを指定することができます。

IKE（旧ISAMP）を使用するSecuRemoteユーザのためのデータ整合性方式です。

MD5", "SHA1" のいずれかを指定することができます。

IKE（旧ISAMP）を使用するSecuRemoteユーザの事前共有秘密です。

この値は、fw ikecrypt コマンドラインを使用して計算することができます。

fw1ISAKMP-DataEncMethod

IKE（旧ISAMP）を使用したSecuRemoteユーザのデータ暗号化方式です。

SecuRemoteユーザに許可された暗号化方式です。

これは、"FWZ"、"ISAKMP"（IKEを意味する）のうちの1つ以上とすることができる。

パスワードをいつ、誰が変更すべきかを定義する。

順次入力される誤ったパスワードの許容数。

最後にログインが失敗した時刻。

ユーザが所属するテンプレートのDN。

Netscapeのディレクトリサーバにプロプライエタリなスキーマを追加するには、$FWDIR/lib/ldap/schema.ldif ファイルを使用します。

コマンドを実行する前に、ユーザディレクトリサーバをバックアップしておくことをお勧めします。

ldifファイル:

• スキーマに新しい属性を追加します。

• 古い定義であるfw1person を削除し fw1template

• fw1person 、新しい定義を追加しました。 fw1template

Netscape LDAPスキーマを変更するには、schema.ldif ファイルを指定して、ldapmodify コマンドを実行します。

注：サーバのバージョンによっては、delete objectclass の操作に成功しても、エラーが返されることがあります。ldapmodify を-c (連続)オプションで使用します。

User Directoryプロファイルは、より正確なUser Directoryの要求を定義し、サーバとの通信を強化するためのLDAPポリシーとして設定可能なものです。

プロファイルは、LDAP サーバ固有の知識のほとんどを制御します。異なるベンダーのLDAPサーバを統合するために、多様な技術的ソリューションを管理することができます。

User Directoryプロファイルを使用して、Security Management Serverのユーザ管理属性が、関連するLDAPサーバに対して正しいものであることを確認します。

たとえば、認定されたOPSECユーザ・ディレクトリ・サーバがある場合、OPSEC_DSプロファイルを適用して、強化されたOPSEC固有の属性を得ることができます。

LDAPサーバには、オブジェクトリポジトリ、スキーマ、オブジェクトリレーションの違いがあります。

• 組織のユーザデータベース スマートコンソールで定義および管理されるすべてのユーザを含むCheck Point内部データベース。は、特定のアプリケーションのために、従来とは異なるオブジェクトタイプやリレーションを持つ場合があります。

• アプリケーションによっては、ユーザオブジェクトのRDN（Relatively Distinguished Name）内のcn 属性を使用するものもあれば、uid を使用するものもあります。

• Microsoft Active Directoryでは、ユーザ属性memberOf 、ユーザがどのグループに属しているかを記述しますが、標準的なLDAPの方法では、グループオブジェクト自体にmember 属性を定義します。

• サーバによって、パスワードの保存形式が異なる。

• v3とされていても、すべてのv3仕様を実装していないサーバもあります。これらのサーバはスキーマを拡張することはできない。

• LDAP サーバの中には、特定のユーザ・データをすでにサポートしているものもあれば、チェック・ポイントのスキーマ拡張属性が必要なものもあります。

  たとえば、Microsoft Active Directory にはaccountExpires というユーザ属性がありますが、その他のサーバではチェック・ポイントの定義するfw1person オブジェクトクラスの一部であるfw1expirationdate という属性が必要です。

• サーバによっては、定義されていない型を使ったクエリを許可するものもあれば、許可しないものもあります。

これらのプロファイルは、デフォルトで定義されています。

• OPSEC_DS- 標準的なOPSEC認証ユーザ・ディレクトリのデフォルト・プロファイルです。

• Netscape_DS- Netscapeディレクトリ・サーバのプロファイルです。

• Novell_DS- Novell Directory Server用のプロファイルです。

• Microsoft_AD- Microsoft Active Directory用のプロファイルです。

プロフィールは大きく分けてこのように分類されます。

• Common- User Directoryへの読み書きのためのプロファイル設定。

• Read- User Directoryから読み込むためのプロファイル設定のみ。

• Write- ユーザディレクトリに書き込むためのプロファイル設定のみ。

これらのカテゴリの中には、サーバが操作の種類に応じて動作するように、同じエントリを異なる値でリストアップするものがあります。デフォルトのプロファイルの特定のパラメータを変更することで、より細かい粒度とパフォーマンスのチューニングが可能です。

プロファイルを適用するには

1. アカウントユニットを開く。

2. プロファイルを選択します。

プロファイルを変更するには

1. 新しいプロフィールを作成します。

2. User Directoryのプロファイルの設定を新しいプロファイルにコピーします。

3. 値を変更します。

ユニークなユーザ名 User Directory 属性（uid）。

また、ユーザ名でユーザを取得する場合、この属性がクエリに使用される。

このユーザパスワードは、User Directoryの属性です。

Check Pointユーザ・ディレクトリ・テンプレート用のオブジェクト・クラスです。

他のオブジェクトクラスでデフォルト値を変更する場合は、そのオブジェクトクラスのスキーマ定義をfw1template の関連属性で拡張してください。

アカウントの有効期限は、User Directoryの属性です。

この属性は、Check Point の拡張属性または既存の属性である可能性があります。

有効期限の形式。

このフォーマットは、ExpirationDateAttr で定義された値に適用されます。

パスワード更新日のフォーマットは、User Directory属性です。

で定義された値に対して、この形成が適用されます。 PsswdDateAttr.

パスワードの最終更新日は、ユーザディレクトリの属性です。

パスワード認証の不正回数を保存し、読み取るためのユーザディレクトリの属性。

0 の場合、送信パスワードは暗号化されない。

1の場合、送信パスワードはDefaultCryptAlgorithmで指定されたアルゴリズムで暗号化される。

ユーザディレクトリサーバを新しいパスワードで更新する前に、パスワードを暗号化するために使用されるアルゴリズム。

変更されたパスワードでユーザディレクトリサーバを更新する際に、暗号化されたパスワードの前に付けるテキストです。

ユーザの電話番号を保存し、読み取るためのユーザディレクトリ属性。

サーバの種類によって異なる問題を解決するための汎用属性変換マップ。

例えば、X.500サーバでは、属性名に"-"文字を使用することができません。

を含むCheck Pointの属性を有効にするには、変換エントリ：（"fw1-expiration =fw1expiration"など）を指定します。

ここに記載されたすべての属性名は、読み取り/書き込み操作に含まれるデフォルトの属性リストから削除されます。

これは、これらの属性がユーザディレクトリサーバのスキーマでサポートされておらず、操作全体が失敗する可能性がある場合に、最も有効な方法です。

これは、ユーザ・ディレクトリ・サーバのスキーマがCheck Pointのスキーマ拡張機能で拡張されていない場合に特に当てはまります。

この属性は、SmartConsoleでアカウントユニットを開いた後、オブジェクトツリーの分岐を表示する際に、どのタイプのオブジェクト（objectclass）を問い合わせるかを定義するために使用します。

One "を設定すると、"OR "化されたクエリーが送信され、条件に一致するすべてのオブジェクトがブランチとして表示されます。

All" を設定すると、"AND" 形式のクエリーが送信され、すべてのタイプのオブジェクトのみが表示されます。

この属性は、どのオブジェクトが組織オブジェクトアイコンで表示されるべきかを定義します。

ここで指定された新しいオブジェクトタイプは、BranchObjectClass にも含まれる必要があります。

この属性は、どのオブジェクトが組織オブジェクトアイコンで表示されるべきかを定義します。

ここで指定された新しいオブジェクトタイプは、BranchObjectClass にも含まれる必要があります。

この属性は、ドメインオブジェクトアイコンで表示されるべきオブジェクトを定義する。

ここで指定された新しいオブジェクトタイプは、BranchObjectClass にも含まれる必要があります。

この属性は、どのオブジェクトをユーザオブジェクトとして読み込むべきかを定義する。

ここで指定したオブジェクトタイプのツリーには、ユーザアイコンが表示されます。

One "を設定すると、"OR "化されたクエリーが送信され、いずれかのタイプにマッチするすべてのオブジェクトが、ユーザとして表示されます。

All" を設定すると、"AND" 形式のクエリーが送信され、すべてのタイプのオブジェクトのみが表示されます。

この属性は、どのようなオブジェクトをグループとして読み込むべきかを定義する。

ここで指定したタイプのオブジェクトには、ツリー上にグループアイコンが表示されます。

One "を設定すると、"OR "化されたクエリーが送信され、いずれかのタイプにマッチするすべてのオブジェクトが、ユーザとして表示されます。

All" を設定すると、"AND" 形式のクエリーが送信され、すべてのタイプのオブジェクトのみが表示されます。

グループメンバーシップを読み取る際の、グループとそのメンバ（ユーザまたはテンプレートオブジェクト）の関係モードを定義します。

GroupMembership mode が 'MemberOf' または 'Both' の場合、ユーザ/テンプレートオブジェクトのスキーマを拡張して、この属性を使用する必要があるかもしれません。

ユーザテンプレート セキュリティ ポリシーを適用するユーザの種類を定義するプロパティセット。メンバーシップ情報を読み込む際の、ユーザからテンプレートメンバーシップへのモードを定義します。

TemplateMembershipモードがMemberである場合に、テンプレートオブジェクトからユーザDNとしてユーザメンバーを読み取る際に使用する属性を定義します。

TemplateMembershipモードがMemberOfの場合に、ユーザオブジェクトからユーザに関連するテンプレートDNを読み取る際に使用する属性を定義します。

この値は、SmartConsoleで新しい組織単位を作成するときに、相対識別名（RDN）の属性名として使用されます。

この値は、SmartConsoleで新しい組織単位を作成するときに、相対識別名（RDN）の属性名として使用されます。

この値は、SmartConsoleで新しいユーザオブジェクトを作成する際に、相対識別名（RDN）の属性名として使用されます。

この値は、SmartConsoleで新しいグループオブジェクトを作成する際に、RDNの属性名として使用されます。

この値は、SmartConsoleで新しいドメインオブジェクトを作成するときに、RDNの属性名として使用されます。

このフィールドは、SmartConsoleでオブジェクトを作成するときに関連します。

このフィールドのフォーマットはObjectclass:name:value です。つまり、作成されるオブジェクトのタイプがObjectClass の場合、作成されるオブジェクトに名前 'name' と値 'value' の追加属性が含まれることになります。

このフィールドは、SmartConsoleでグループを修正するときに使用されます。

このフィールドのフォーマットはObjectClass:memberattrであり、各グループオブジェクトクラスにグループメンバーシップの属性がマッピングされていることを意味する。

このユーザ・ディレクトリ・サーバ・プロファイルに可能なすべてのマッピングをここにリストアップします。

グループが変更された場合、グループのオブジェクトクラスに基づいて、正しいグループメンバーシップマッピングが使用されます。

OrganizationalUnit オブジェクトを作成/変更する際に使用する ObjectClass を決定します。

これらの値は、読み出し対応と異なる場合があります。

これは、組織オブジェクトを作成および/または変更するときに使用するObjectClassを決定します。

これらの値は、読み出し対応と異なる場合があります。

これは、ユーザ・オブジェクトの作成時や変更時に使用するObjectClassを決定するものです。

これらの値は、読み出し対応と異なる場合があります。

ドメインコンテキストオブジェクトを作成または変更する際に使用するObjectClassを決定します。

これらの値は、読み出し対応と異なる場合があります。

1. ユーザとコンピュータのコントロールコンソールを表示します。

2. 左ペインに表示されているドメイン名を右クリックし、右クリックメニューから「制御の委譲」を選択します。

   コントロールの委譲ウィザードウィンドウが表示されます。

3. ディレクトリを制御できるユーザのリストに、AdministratorまたはSystem Administratorsグループの他のユーザを追加します。

4. マシンを再起動する。

1. Security Gateway からスキーマファイルのあるディレクトリに移動します。$FWDIR/lib/ldap.

2. Active Directory サーバのC:\ ドライブにschmea_microsoft_ad.ldif をコピーします。

3. Active Directory サーバから、テキストエディタでスキーマファイルを開きます。

4. 値DOMAINNAME を見つけ、LDIF形式のドメイン名で置き換えます。

   例えば、LDIF形式のドメインsample.checkpoint.com 。 DC=sample,DC=checkpoint,DC=com

5. modify の部分の最後にダッシュ文字- があることを確認してください。

   これは、modify の部分の例です。

   dn: CN=User,CN-Schema,CN=Configuration,DC=sample,DC=checkpoint,DC=com changetype: modify add: auxiliaryClass auxiliaryClass: 1.3.114.7.3.2.0.2 -

6. 次を実行します:

   ldifde -i -f c:/schema_microsoft_ad.ldif