Red Hat Training
A Red Hat training course is available for Red Hat Enterprise Linux
23.2.6. 複数のアイデンティティーマッピングルールを 1 つに結合
複数の ID マッピングルールを 1 つのルールに結合するには、個々のマッピングルールの前に | (or) 文字を追加し、括弧 () で区切ります。以下に例を示します。
$ ipa certmaprule-add ad_cert_for_ipa_and_ad_users \ --maprule='(|(ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500}))' \ --matchrule='<ISSUER>CN=AD-ROOT-CA,DC=ad,DC=example,DC=com' \ --domain=ad.example.com
上記の例では、
--maprule
オプションのフィルター定義には、以下の基準が含まれます。
ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500}
は、「IdM での証明書マッピングルールの追加」 の説明のとおりに、IdM ユーザーアカウントの ipacertmapdata 属性の値に、スマートカードの発行先および発行者をリンクさせるフィルターです。altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500}
は、スマートカード証明書から発行先および発行者を、AD ユーザーアカウントの altSecurityIdentities の値にリンクするフィルターです。これは、「ユーザー証明書をユーザーアカウントにマッピングするように AD が設定されている場合に、証明書マッピングの設定」 で説明されています。--domain=ad.example.com
オプションを追加すると、指定した証明書にマッピングされたユーザーが、ローカルのidm.example.com
ドメインだけでなく、ad.example.comad.example.com
ドメイン内でも検索されます。
--maprule
オプションのフィルターの定義では、論理演算子 | (or) が使用できるため、複数の基準を指定できます。この場合、ルールは、1 つ以上の基準を満たすユーザーアカウントをすべてマップします。
$ ipa certmaprule-add ipa_cert_for_ad_users \ --maprule='(|(userCertificate;binary={cert!bin})(ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500})(altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500}))' \ --matchrule='<ISSUER>CN=Certificate Authority,O=REALM.EXAMPLE.COM' \ --domain=idm.example.com --domain=ad.example.com
上記の例では、
--maprule
オプションのフィルター定義には、以下の基準が含まれます。
userCertificate;binary={cert!bin}
は、証明書全体を含むユーザーエントリーを返すフィルターです。AD ユーザーについては、このタイプのフィルターの作成については、「AD ユーザーエントリーに証明書やマッピングデータが含まれていない場合に、証明書マッピングの設定」 で詳細に説明されています。ipacertmapdata=X509:<I>{issuer_dn!nss_x500}<S>{subject_dn!nss_x500}
は、「IdM での証明書マッピングルールの追加」 の説明のとおりに、IdM ユーザーアカウントのipacertmapdata
属性の値に、スマートカードの発行先および発行者をリンクさせるフィルターです。altSecurityIdentities=X509:<I>{issuer_dn!ad_x500}<S>{subject_dn!ad_x500}
は、スマートカード証明書から発行先および発行者を、AD ユーザーアカウントのaltSecurityIdentities
の値にリンクするフィルターです。これは、「ユーザー証明書をユーザーアカウントにマッピングするように AD が設定されている場合に、証明書マッピングの設定」 で説明されています。
--maprule
オプションのフィルターの定義では、論理演算子 | (or) が使用できるため、複数の基準を指定できます。この場合、ルールは、1 つ以上の基準を満たすユーザーアカウントをすべてマップします。