「Active Directoryと連携して、Active Directoryユーザー認証！」syslog-ng Store Box活用連載企画vol.7

2020年6月12日公開
2024年12月10日更新
syslog-ng Store Box
Active Directory LDAP SSB syslog-ng Agent for Windows Syslogサーバーシスログサーバーナレッジベースログ保存ログ管理ログ管理ブログ

SSB 検索画面

螺子です。今回の記事は外部のLDAP(Microsoft Active Directory)データベースを使用してユーザーを認証する方法のについて紹介します。

SSBのユーザーアカウント制御は、既存のActive Directoryと連携してSSBへのアクセスを制御をすることができます。

今回は、Active Directoryと連携して、Active DirectoryのユーザーでSSBへのアクセス認証およびアクセス権の設定を行ってみます。

これまでの連載記事：

目次：

LDAPユーザー認証の有効化
DN(Distinguished Name)の確認方法
ローカルユーザーの確認
権限の割り当て
LDAPユーザーでのアクセス

LDAPユーザー認証の有効化

[AAA]>[Settings]ページに移動し、[Authentication settings]の[User database]セクションで[LDAP]を選択し、必要なフィールドを入力します。

ここでは、以下の値を入力し、選択しています。

Address: 10.0.2.116 (Active DirectoryサーバーのIPアドレス)
Port: 389 (デフォルトポート)
Base DN: DC=jtc-i,DC=corp
Bind DN: CN=Administrator,CN=Users,DC=jtc-i,DC=corp
Type: [Active Directory]を選択
Enable nested groups: ☑
Encryption: [Disabled]を選択

図1 SSB LDAPサーバー設定

フィールド入力後、[Commit]をクリックして設定を保存してから、[Test]ボタンをクリックします。Active Directoryサーバーへの接続が成功すると以下のメッセージウィンドウが表示されます。

図2 SSB 接続成功メッセージ

DN(Distinguished Name)の確認方法

[Base DN]および[Bind DN]を調べるには、Windowsのコマンドプロンプトでdsqueryコマンドなどを利用します。

dsqueryコマンド例：

C:Windowssystem32>dsquery user -name Administrator
"CN=Administrator,CN=Users,DC=jtc-i,DC=corp"

図3 Windowsコマンドプロンプト dsqueryコマンド実行例

ローカルユーザーの確認

LDAP認証を有効にすると、自動的に”admin”を除くすべてのローカルユーザーは無効になり、SSBのローカルユーザーでSSBにアクセスは出来なくなります。

以下のように、ローカルユーザー([AAA]>[Local Users]ページ)のリストが表示されなくなり、”NOTE: LDAP authentication backend selected, local users not shown.”のメッセージが表示されます。

LDAP認証を有効にする前：

図4 SSB LDAP認証を有効にする前のローカルユーザー画面

LDAP認証を有効にした後：

図5 SSB LDAP認証を有効にした後のローカルユーザー画面

権限の割り当て

次に、[AAA]>[Access Control]に移動して、SSBへのアクセスを許可するActive Directory用のユーザーグループを追加します。このユーザーグループ名はActive Directoryのグループ名と同じ名前にする必要があります。これにより、Active Directoryグループのメンバーに対してSSBへのアクセス権を設定できるようにします。

[AAA]>[Access Control]で、Active Directoryグループを追加するには、[+]ボタンをクリックします。
[Group]フィールドに追加するActive Directoryグループの名前を入力します。オートコンプリート機能により、文字を入力すると選択可能なグループのリストが表示されます。