ユーザーズガイド

検索

ホームWeb設定ツール認証カードを使ってLDAPサーバーで認証する(LDAP-ICカード認証)

# 認証カードを使ってLDAPサーバーで認証する(LDAP-ICカード認証)

- 概要
- LDAP-ICカード認証の基本設定をする
- SSLで通信する

## 概要

認証カードに登録されているカードIDを使って、LDAPサーバーで認証するように設定できます(LDAP-ICカード認証)。

ICカードをかざすだけで認証が完了するので、ユーザーの利便性を損なうことなく、セキュリティを強化できます。

認証カードを使って認証するには、次の手順で設定してください。

1. 本機で認証装置(ICカード認証タイプ)を使えるようにする

   - 認証装置(ICカード認証タイプ)を使うには、サービスエンジニアによる設定が必要です。詳しくは、サービス実施店にお問い合わせください。

2. LDAP-ICカード認証の基本設定をする

3. お使いの環境に応じて、次のオプション設定をする

   目的 | 参照先
   --- | ---
   LDAPサーバーとSSLで通信したい | こちら

## LDAP-ICカード認証の基本設定をする

1. 管理者モードの[ユーザー認証/部門管理]-[LDAP-ICカード認証設定]-[LDAP-ICカード認証設定]で、[LDAP-ICカード認証設定]を[使用する]に設定します(初期値：[使用しない])。

2. 管理者モードの[ユーザー認証/部門管理]-[LDAP-ICカード認証設定]-[サーバー登録]-[編集]をクリックします。

3. [第1サーバー]の[編集]をクリックして、次の設定をします。

   設定 | 説明
   --- | ---
   [LDAP-ICカード認証サーバー名称] | お使いの認証サーバーグループの名前を入力します(半角32文字以内)。 登録する認証サーバーグループに、わかりやすい名前をつけます。
   [外部認証サーバー] | LDAP-ICカード認証を連携させる外部認証サーバーグループを選びます。 LDAP-ICカード認証が成功すると、本機でユーザーを管理するために、ユーザーの認証情報が本機に登録されます。この認証情報には、ユーザー名と外部認証サーバー名が含まれます。ここで選択した外部認証サーバー名が、ユーザー名と合わせて本機に登録されます。 初期値は[選択なし]です。
   [カード情報登録設定] | LDAPサーバーに登録されていないICカードを使って本機で認証を行ったときに、LDAPサーバーへICカードの登録を行うかどうかを選びます。 [使用する]を選んだ場合、次の設定をします。 [カード情報登録先サーバー]：カード情報を登録するサーバーを指定します。[認証成功したサーバー]を選ぶと、第1サーバーと第2サーバーのうち、認証が成功したサーバーに登録します。 [ユーザー名とする属性]：ユーザー名として検索する属性を指定します。 初期値は[使用しない]です。
   [検索時のカード情報文字種] | LDAPサーバーでカードIDを検索するときの、検索文字列の変換方法を選びます。 サーバー上の検索対象となるカード属性情報が大文字または小文字に統一されている場合、検索文字列の文字種を変換することで検索速度を短縮できる場合があります。 [大文字・小文字]：カードIDを大文字と小文字に、それぞれ変換して検索します。 [大文字]：カードIDを大文字に変換して検索します。 [小文字]：カードIDを小文字に変換して検索します。 初期値は[大文字・小文字]です。
   [サーバーアドレス] | ICカードのユーザーIDを認証するLDAPサーバーのアドレスを入力します。 次のいずれかのフォーマットで入力します。 ホスト名の入力例：「host.example.com」 IPアドレス(IPv4)の入力例：「192.168.1.1」 IPアドレス(IPv6)の入力例：「fe80::220:6bff:fe10:2f16」
   [ポート番号] | 必要に応じて、LDAPサーバーのポート番号を変更します。 通常はそのままお使いいただけます。 初期値は[389]です。
   [検索ベース1]～[検索ベース3] | 認証するユーザーを検索するときの、検索の起点と範囲を設定します。 [検索ベース]：検索の起点を指定します(半角255文字以内)。 入力例：「cn=users,dc=example,dc=com」 [検索範囲]：ツリーの検索範囲を選びます。初期値は[ツリー全体]です。 [ツリー全体]を選ぶと、入力した起点から下のツリー構造も含めて検索します。[直下1階層のみ]を選ぶと、入力した起点の直下の1階層のみを検索します。この場合、起点の階層自体は検索対象に含まれません。
   [タイムアウト時間] | 必要に応じて、LDAPサーバーとの通信のタイムアウト時間を変更します。 初期値は[60]秒です。
   [認証方式] | LDAPサーバーへログインするときの、認証方式を選びます。 お使いのLDAPサーバーで採用している認証方式に合わせて選びます。 [Simple] [Digest-MD5] [GSS-SPNEGO] [NTLM v1] [NTLM v2] 初期値は[Simple]です。
   [ログイン名] | LDAPサーバーへログインして、ユーザーの検索が行えるユーザー名を入力します(全角／半角64文字以内)。 ここで入力するユーザー（名）は、LDAPサーバー内で特定の管理者グループに所属させる必要があります。
   [パスワード] | [ログイン名]に入力したユーザーのパスワードを入力します("を除く半角64文字以内)。 パスワードを入力(変更)する場合は、[パスワードを変更する]にチェックをつけてから、新しいパスワードを入力します。
   [ドメイン名] | LDAPサーバーへログインするためのドメイン名を入力します(半角64文字以内)。 [認証方式]で[GSS-SPNEGO]を選んだ場合は、Active Directoryのドメイン名を入力します。
   [referral設定] | 必要に応じて、referral機能を使うかどうかを選びます。 LDAPサーバーの環境に応じて設定してください。 初期値は[使用する]です。
   [検索属性] | ICカード情報を入力した場所に対応する属性を入力します(半角63文字以内、記号は-のみ使用可能)。 属性値は、半角英字で始める必要があります。 初期値は[uid]です。
   [ユーザー名] | 本機にログインするときのユーザー名の取得方法を選びます。 [カードIDを使用]：サーバーに、ICカード情報のみを登録している場合に選びます。ICカードにあるカードIDをユーザー名として使います。 [サーバーから取得]：サーバーに、ICカード情報以外のユーザー情報を登録している場合に選びます。サーバーから取得したユーザー名を使います。ユーザー名として検索する属性(「uid」など)を、[ユーザー名とする属性]に入力します。 [カード情報登録設定]で[使用する]を選んだ場合は[サーバーから取得]が選択され、変更できません。また、[ユーザー名とする属性]に、[カード情報登録設定]で入力した属性が表示されます。 初期値は[カードIDを使用]です。
   [検索ディレクトリサービス] | [Active Directory]を選ぶと、認証時の検索対象をユーザーに限定できます。認証時の検索対象をユーザーに限定すると、サーバー側で検索対象を判別する処理が発生するため、認証時間が遅くなる場合があります。この機能は、認証サーバーがActive Directory（Windows Server 2008以降）の場合に利用できます。 初期値は[その他]です。

4. 必要に応じて、[第2サーバー]の[編集]をクリックして、次の設定をします。

   設定 | 説明
   --- | ---
   [第2サーバー設定] | 第2サーバーを使うかどうかを選びます。 2つのサーバーをグループにすることで、サーバーがダウンしたときに、もう一方のサーバーに切換えて認証を行うことができます。 初期値は[使用しない]です。
   [ラウンドロビン機能] | 第1サーバーと第2サーバーへ交互に接続するかどうかを選びます。 [有効]を選ぶと、第1サーバーと第2サーバーに交互に接続することで、サーバーの負荷を分散することができます。 初期値は[無効]です。
   [再接続設定] | 第1サーバーに接続できないときに第2サーバーへ接続するための設定をします。ラウンドロビン機能が有効の場合は、第2サーバーに接続できないときに第1サーバーへ接続するための設定にもなります。 [ログイン毎に接続]：本機での認証時に毎回、第1サーバーへ接続します。第1サーバーがダウンしている場合は、第2サーバーへ接続します。 [指定時間毎に接続]：本機での認証時に第1サーバーがダウンしている場合、第2サーバーへ接続します。以後、[再接続時間]で設定した時間を経過するまでの間、本機での認証時に第2サーバーへ接続します。[再接続時間]で設定した時間を経過した後は、本機での認証時に再度、第1サーバーへ接続します。 初期値は[指定時間毎に接続]です。
   [カード情報登録設定] | LDAPサーバーに登録されていないICカードを使って本機で認証を行ったときに、LDAPサーバーへICカードの登録を行うかどうかを選びます。 [第1サーバーと共通]：第1サーバーと同じ設定にする場合は[有効]を選びます。第1サーバーと異なる設定にする場合は[無効]を選び、[ユーザー名とする属性]でユーザー名として検索する属性を指定します。
   第2サーバー情報 | 必要な情報を設定します。 設定内容について詳しくは、手順3をごらんください。

5. 操作パネルの[設定メニュー]-[管理者設定]-[ユーザー認証/部門管理]-[認証装置設定]-[認証方式]-[ICカード認証]-[ICカードタイプ設定]で、利用するICカードを許可した後、認証サーバーとしてLDAPサーバーを割当てます。

   - [ICカードタイプ設定]について詳しくは、こちらをごらんください。

#####

- 第1認証サーバーと第2認証サーバーの接続状態は、管理者モードの[ユーザー認証/部門管理]-[認証サーバー接続状態]-[LDAP-ICカード認証]で確認できます。[接続可能]と表示されている場合は、第1認証サーバーと第2認証サーバーのどちらも接続できます。

## SSLで通信する

本機とLDAPサーバーとの通信を、SSLで暗号化します。

お使いの環境でLDAPサーバーとの通信をSSLで暗号化している場合に設定します。

管理者モードの[ユーザー認証/部門管理]-[LDAP-ICカード認証設定]-[サーバー登録]-[編集]で、次の設定をします。

設定 | 説明
--- | ---
[SSL使用設定] | SSLで通信するときは、チェックをつけます。 初期値は[OFF](チェックなし)です。
| [ポート番号(SSL)] | 必要に応じて、SSL通信用のポート番号を変更します。 通常はそのままお使いいただけます。 初期値は[636]です。
[証明書検証強度設定] | 証明書の検証を行う場合は、検証する項目を選びます。 それぞれの項目で[確認する]を選ぶと、その項目について、証明書の検証を行います。
| [有効期限] | 証明書が有効期限内かどうかを確認します。 初期値は[確認する]です。
[CN] | 証明書のCN(Common Name)が、サーバーのアドレスと一致しているかどうかを確認します。 初期値は[確認しない]です。
[鍵使用法] | 証明書の発行者が承認した使用用途に沿って、証明書が使われているかどうかを確認します。 初期値は[確認しない]です。
[チェーン] | 証明書のチェーン(証明書のパス)に問題がないかどうかを確認します。 チェーンの確認は、本機で管理している外部証明書を参照して行います。 初期値は[確認しない]です。
[失効確認] | 証明書が失効していないかどうかを確認します。 証明書の失効確認は、以下の順番で行います。 OCSP(Online Certificate Status Protocol)サービス CRL(Certificate Revocation List) 初期値は[確認しない]です。