アルプスシステムインテグレーション株式会社[ALSI(アルシー)]
キーワード検索
キーワード
製品名
カテゴリ
含まないキーワード
カテゴリ検索
+
+
+
+
+
+
+
+
+
+
+
+
+
+
+
+
+
よく検索されるキーワード
FAQ
タイトル
1000以上のActiveDirectoryユーザと連携する場合の注意点
No.950  日付:2016-03-06 10:00:00
質問 1000以上のActiveDirectoryユーザと連携する場合の注意点を教えてください。

回答
  InterSafe WebFilter(ISWF)にてActive Directory(AD)連携を
  行う時、ADに1000件以上のユーザが存在する場合には、以下の
  ような問題が発生することがあります。
  
  ①グループ特定方式を「ユーザのDNからグループ階層を特定する」にし、
    連携情報更新をした際、1000件以降のユーザの所属OUがISWF側の
    グループとして作成されずに結果的に認証に失敗する場合がある。
    ※グループ特定方式が「グループ毎にユーザ抽出条件を指定する」の
        場合は該当しません。
 
  ②管理画面の[サーバ管理]-[認証設定]-[LDAPユーザ同期へ](※)の
    未登録アカウント一覧に、1000件分のユーザしか表示されずにISWFにユーザが
    登録できない。
    ※Ver7.0までは、[システム管理]-[認証設定]-[LDAP同期設定へ]です。

【補足】
  グループ特定方式が「ユーザのDNからグループ階層を特定する」
  「グループ毎にユーザ抽出条件を指定する」のどちらでもユーザが
  所属するグループがISWFにすでにグループとして存在する場合は、
  未登録ユーザに表示されていなくても認証は可能です。
 
  それぞれの処理では、ISWFからADに対しクエリーが実行されますが、
  この際、AD側の設定(MaxPageSize)によりクエリーの最初の1000件
  のみが ISWFに返るため、上記の現象が発生します。

 これらの現象を回避する方法は、下記の2つがあります。

【回避方法】
  
  ●その1:ISWFのOVER_MAXPAGESIZE=TRUEを設定する。(①の対処)
   
    <インストールディレクトリ>/conf/proxy.inf
    [LDAP]セクション
    OVER_MAXPAGESIZE=TRUE
    上記は隠しキーでデフォルトの設定は FALSE です。

    設定変更後は、反映のため、ISWFの全サービスの再起動を行ってください。
    ※この設定は再読み込みコマンドでも反映が可能です。
      <インストールディレクトリ>/bin/amsdata -reload 
    
    ▼変更による影響
    ・ユーザの有無に関わらず検索ベース配下全てのOUをグループとして作成します。
      (FALSEの場合は、検索ベース配下のOUの内、ユーザが所属しているOUだけを
  グループとして作成します。)
    ・[サーバ管理]-[認証設定]-[LDAPサーバ同期へ]の画面が非表示(リンクが無効)になります。
  ユーザ登録はCSV一括登録から可能です。
    (Ver8.0 Build0820にて、IE7、IE9で非表示にならない事象が確認されております。
  この事象は以降のバージョンで修正されています。)

   これらの影響を与えたくない場合は、その2をご検討ください。 
    
  ●その2:ADのMaxPagesizeを変更する。(①②共通の対処)
    
    ADのサーバにて、以下コマンドを使用しMaxPageSizeの変更を行います。 
    
    1)"ファイル名を指定して実行"より下記を入力し、[OK]をクリックします。
        NTDSUTIL 

    2)起動後、以下のコマンドを実行します。 
        LDAP policies 
   
    3)以下コマンド(コロン以降)でドメインコントローラに接続します。 
        ldap policy: Connections 
        server connections: Connect to Server ホスト名
   
    4)quitコマンドで前の画面に戻り、Show Valuesコマンドで現在の値を確認します。
        MaxPageSizeが一度に取得できるユーザ数です。 
        server connections: quit 
        ldap policy: show values 

       ---------------略 
      MaxActiveQueries   20 
      MaxPageSize        1000 
      MaxQueryDuration   120 
         ---------------略 
   
    5)以下コマンドで、この値をユーザ数に合わせて変更します。(例8000)
        ldap policy: Set Maxpagesize to 8000 

    6)以下コマンドで、値をコミットさせます。 
        ldap policy: Commit Changes 

    7)値が変更されたかどうか、確認します。 
        ldap policy: show values 

        ---------------略 
        MaxActiveQueries   20 
        MaxPageSize        8000 
        MaxQueryDuration   120 
        ---------------略
対象製品 InterSafe WebFilter
対象バージョン 7.0 , 8.0、8.5 , 9.0 対象ビルド  
一般情報
アンケートにご協力ください