LDAP 検索条件の定義

このトピックでは、LDAP 同期ユーザー名リストまたは電子メールアドレスリストを定義するときの検索条件の指定方法に関する背景情報について説明します。

同期用のターゲットディレクトリ名

同期用のターゲットディレクトリ名は、検索を開始するベースノードの識別名を示します。

LDAP ディレクトリはツリー構造になっており、通常、ノードは次のようなトップダウンの順序で示されます。

ツリーを表示するときは、各ノードを展開してその下にある追加ノードを表示できます。

次の図は、UK にある "Your Company plc" の Sales 部門における個人ユーザーのツリー構造の例です。各ノードは長方形で表されています。

次の図は、UK にある "Your Company plc" の Sales 部門における個人電子メールユーザーのツリー構造の例です。各ノードは長方形で表されています。

各ノードは、識別名 (DN) を使用して一意に識別できます。識別名は、識別対象のノードから始めてツリーのトップまでのすべてのノードの名前を順番に列記して表されます。たとえば、Vince または Vince の電子メールアドレスを含むノードの識別名は次のようになります。

ノードには、属性=値ペアの形式で 1 つ以上のデータが含まれます。For example, in the diagram above, each cn (common name) node contains an attribute.通常、すべてのノードには少なくとも 1 つの ObjectClass 属性が含まれます (図には示されていません)。

スコープ

スコープによって、検索に含めるツリーのエリアが決まります。次のいずれかを指定できます。

フィルタ

指定するフィルタにより、ノードに含まれる属性に基づいて、検索の対象となるノードが決まります。フィルタでは標準の LDAP フォーマットを使用します。基本的な検索フィルタは次のようになります。

各要素の内容は以下のとおりです。

<属性>

LDAP 属性です。よく使用される属性を次に示します。

ObjectClass (通常、ノードのタイプ)
mail (電子メールアドレス)
sn (姓)
givenName (名)
uid (ユーザー ID)

<演算子>

<属性> と <値> の間の関係を定義します。検索フィルタの基本的な演算子は次のとおりです。

`=`	属性が値と正確に一致するエントリを返します。
`>=`	属性が値より大きいか、値と等しいエントリを返します。
`<=`	属性が値より小さいか、値と等しいエントリを返します。
>	属性が値より大きいエントリを返します。
`<`	属性が値より小さいエントリを返します。
`~=`	属性値が指定された値とほぼ一致するエントリを返します。通常、これは似た単語と一致するアルゴリズムです。

<値>

LDAP ディレクトリで属性と関連付けられている値です。

アスタリスク (*) ワイルドカード値を使用して、属性に定義されている値を検索できます。

フィルタ	一致
ObjectClass=*	LDAP ディレクトリのすべてのノード（通常、ObjectClass 属性はすべてのノードに含まれます)
mail=*	電子メールアドレスエントリを含むすべてのノード。
sn=johnson	姓エントリが "Johnson" であるすべてのノード。
sn=jo*	姓エントリが "jo" の 2 文字で始まるすべてのノード。"Johnson"、"Jones"、"Jordan" など。

複合検索式をサポートする LDAP サーバーを使用している場合は、ブール演算子を使用して複雑な検索フィルタを定義できます。

各要素の内容は以下のとおりです。

<ブール演算子>

フィルタの間の関係を定義します。複雑な検索フィルタのためのブール演算子は次のとおりです。

AND – 指定されたすべてのフィルタと一致するエントリを返します。

OR – 指定されたフィルタの 1 つ以上と一致するエントリを返します。

NOT – フィルタが真ではないエントリを返します。

このブール演算子は単一のフィルタに対してのみ適用できます。

<フィルタ>

<属性><演算子><値> のフォーマットの基本的な検索フィルタです。

フィルタ	一致
(&(mail=Sales@your-companyname-here.com)(sn=Johnson))	Sales 電子メールアドレスで姓が "Johnson" であるすべてのノード。
(\|(sn=Jensen)(sn=Johnson))	姓が "Jensen" または "Johnson" であるすべてのノード。
(!(mail=vince@your-companyname-here.com))	Vince の電子メールアドレスを含むもの以外のすべてのノード。

取得する属性

ターゲットディレクトリ名、スコープ、フィルタによって示されるノードについて、取得する値の属性を指定する必要があります。指定する属性の値は、ユーザー名または電子メールアドレスでなければなりません。Clearswift Gatewayが受け付けられる値はこれらだけです。複数の属性を指定する場合は、それらをカンマで区切ります。

ページの要求

各 LDAP サーバーには、単一のクエリに含まれるノードの最大数があります。検索内のノード数がこの制限を超えた場合、サーバーは最大数の結果だけを返します。ページ要求を有効にするオプションを使用し、LDAP サーバーがクエリに含めるノードの最大数を超えないページサイズを指定することによって、この制限を避けることができます。その場合、検索内のノード数がページサイズを超えると、Clearswift Gateway はそれぞれがページサイズによって制限された複数のクエリに検索を自動的に分割します。それにより、LDAP サーバーはすべてのクエリ対象ノードを検索します。

グループ拡張

LDAP サーバーがグループ階層の下方への再帰を許可するように設定されている場合、[グループ拡張] オプションを使用できます。[グループ拡張] を選択する場合、以下を選択できます。