AD/LDAP Connector

Auth0 AD/LDAP Connector が、オンプレミスの Active Directory または LDAP サーバーをアウトバウンド接続を通じて Auth0 に接続する仕組みを説明します。

Auth0 は、ネットワーク上にインストールした Active Directory/LDAP Connector を介し、Lightweight Directory Access Protocol (LDAP) を使用して Active Directory (AD) と統合します。

AD/LDAP Connector は、貴社が AD/LDAP サーバーを管理している環境向けに設計されています。コネクタを顧客のサーバーにインストールしてはいけません。

B2B のシナリオで、顧客のユーザーがエンタープライズ資格情報を使って貴社のアプリケーションにアクセスできるようにしたい場合は、利用可能なエンタープライズ接続のいずれかを使用して、顧客のフェデレーションサービス (たとえば、顧客自身の Auth0 サービス、ADFS、または任意の SAML アイデンティティプロバイダー) に接続してください。

顧客のサーバーに AD/LDAP Connector をインストールし、それを貴社の Auth0 ドメインに直接接続すると、顧客ユーザーのパスワードを貴社が直接取り扱う必要があります。Auth0 はこの種のデプロイを強く非推奨としており、サポートもしていません。

AD/LDAP Connector (1) は、Active Directory/LDAP (2) と Auth0 Service (3) をつなぐ橋渡し役です。これが必要なのは、AD/LDAP は通常社内ネットワーク内に制限されている一方、Auth0 はまったく異なる環境で稼働するクラウドサービスだからです。

ユーザーが Auth0 で認証されると、AD/LDAP Connector にリダイレクトされ、そこで AD サービスに対してユーザーが検証され、その結果が Auth0 に返されます。AD/LDAP Connector は、LDAP 認証、Kerberos、クライアント証明書による認証をサポートしています。

詳しくは、Configure AD/LDAP Connector Authentication with Kerberos および Configure AD/LDAP Connector Authenticator with Client Certificates を参照してください。

​

キャッシュ

AD/LDAP Connector は、最適な稼働率とパフォーマンスを確保するために、ユーザープロファイルと資格情報 (Auth0 はユーザーのパスワードのハッシュを保存します) をキャッシュし、ユーザーがログインするたびにデータを更新します。キャッシュが使用されるのは、コネクタが停止しているか、到達不能な場合のみです。Auth0 Dashboard で資格情報のキャッシュを無効にしない限り、キャッシュされたデータは常に保存されます。キャッシュ内の値は大文字と小文字が区別されるため、ログイン試行が成功するのは、ユーザーがキャッシュされているものと完全に一致するユーザー名を入力した場合のみです。

​

高可用性と負荷分散

高可用性と負荷分散を実現するために、コネクタのインスタンスを複数インストールできます。すべての通信はコネクタから Auth0 Server へのアウトバウンド接続であるため、通常はファイアウォールを変更する必要はありません。

高可用性クラスターの各インスタンスは常時稼働し、Auth0 に接続されます。Auth0 は、利用可能なコネクタのいずれかにログイントランザクションやその他のリクエストを送信します。ネットワークまたはハードウェアの問題でいずれかのインスタンスに障害が発生した場合、Auth0 はログイントランザクションを別のコネクタに振り分けます。高可用性を備えたデプロイであれば、コネクタをダウンタイムなしで更新することもできます。

​

OpenLDAP ディレクトリ

コネクタ はデフォルトで Active Directory 向けに高度に最適化されています。その他の LDAP ディレクトリ (OpenLDAP など) 向けに設定するには、config.json ファイルでこれらの設定をカスタマイズする必要があります。

config.json

"LDAP_USER_BY_NAME": "(cn={0})",
"LDAP_SEARCH_QUERY": "(&(objectClass=person)(cn={0}))",
"LDAP_SEARCH_ALL_QUERY": "(objectClass=person)",

場合によっては、cn より uid のほうが適した属性です。

​

OpenDJ の例

OpenDJ Control Panel を使用すると、各ユーザーの属性一覧を取得できます。この一覧は、Auth0 で認証する際に、どの属性をユーザー名として使用するか判断するのに役立ちます。

この例では、John の cn は johndoe で、mail フィールドは [e-mail] に設定されています。organization でユーザーにユーザー名 (cn) を使って認証させたい場合は、LDAP_USER_BY_NAME の設定を (cn={0}) にします。一方、ユーザーにメールアドレスを使って認証させる場合は、(mail={0}) に設定してください。

​

詳しく見る

• AD/LDAP Connector のシステム要件
• AD/LDAP Connector のインストールと設定
• クライアント証明書を使用した AD/LDAP Connector の認証設定
• Kerberos を使用した AD/LDAP Connector の認証設定
• AD/LDAP Connector 設定のインポートとエクスポート