メインコンテンツへ移動

LDAP連携ガイド

利用シナリオ​

LDAP（Lightweight Directory Access Protocol）ログインは、ディレクトリサービスに基づく認証方式です。有効化すると、ユーザーはドメインアカウントおよびパスワードを利用してHAPプラットフォームにログインできます。

前提条件​

  1. HAPサーバーがドメインサーバーへアクセス可能であること
  2. ドメインへログイン可能なアカウント・パスワード

手順​

パラメータの入力​

  1. HAPシステムで Org Admin ＞ Misc. に入り、LDAPログインを有効にします。下図を参照してください。 image-20250117162458721

  2. 設定パラメータ - サーバー設定 image-20250117162532357 image-20250121142400252

    • ユーザーディレクトリ種別：Microsoft ADを利用する場合はMicrosoft Active Directoryを選択します。他はライブラリが異なりますが、機能はほぼ同等です。
    • サーバーIP：ドメインサーバーのIP。例：192.168.1.1
    • ポート：デフォルトは389、セキュア接続は636。アドレス例：ldap://192.168.1.1:389 または ldaps://192.168.1.1:636
    • アカウント：ドメインユーザーの DN（distinguishedName） 属性値を記入します（例：CN=packli,OU=Dev,CN=Users,DC=hap,DC=local）。ユーザー名（例：packli, admin, user1）は入力不可です。
    • パスワード：ドメインのパスワード
    • アカウント検索範囲：DN範囲またはDNグループで検索を選択できます。
    • BaseDN：DN属性値を入力します（例：CN=Users,DC=hap,DC=local）。このDN配下のユーザーのみ検索対象となり、範囲外のユーザーはログインできません。未入力の場合、デフォルトはRoot DN（例：DC=hap,DC=local）。
    • DN/グループ名：複数のDNグループが設定可能です。1つ目の入力欄にグループDN値、2つ目にグループの別名を記入します。 例：グループDN値：CN=dev-Group1,OU=Dev,DC=hap,DC=local、グループ名：ldap開発グループ。 ※この機能利用時はDN種別がグループとなります。ログインユーザーがいずれかグループに属していない場合、ログインできません。

  3. 設定パラメータ - アカウントマッピング image-20250117162556239 image-20250121145811894 image-20250121142625152

    • ユーザーアカウント：ドメインユーザーのUser SamAccountNameログオンでログインアカウントと照合します。デフォルトはsAMAccountNameです。たとえばsAMAccountNameがpeterの場合、LDAPログイン時もpeterとなります。
    • メールアドレス：ドメインユーザーのメールアドレス（デフォルトはmail）を記入します。ユーザー作成や検索に使用されます。
    • チェックボックス：上記フィールドでシステムアカウントを照合できない場合、新規アカウントを作成します。
      • YES：ドメインアカウントがいかなる紐付けもない、またはドメインメールがHAPシステム上に存在しない場合は、新規HAPアカウントを作成します。
      • NO：ドメインアカウントが紐付いていれば同一ユーザーと見なします。または、ドメインメールがHAPシステムに存在すれば同一ユーザーと見なします。ドメインアカウントが紐付いていれば（インターフェース同期や単一連携）、ドメインメールがHAPアカウントのメールアドレスに自動的に上書きされます。

  4. 設定パラメータ - 情報同期 image-20250117162619644

    image-20250117162619644image-20250117162619644
    • ユーザー名：ドメインユーザー名とのマッピング。デフォルトはdisplayNameで、HAPの従業員情報「氏名」と連携します。
    • 部署：ドメインユーザー部署とのマッピング。デフォルトはdepartmentで、HAPの従業員情報「部署」と連携します。
    • 役職：ドメインユーザー役職とのマッピング。デフォルトはtitleで、HAPの従業員情報「役職」と連携します。
    • 電話番号：ドメインユーザーの主電話番号とのマッピング。デフォルトはtelephoneNumberで、HAP従業員情報の「勤務先電話番号」（個人携帯番号ではありません）と連携します。

  5. 保存
    保存操作では、サーバー設定のサーバーIP疎通性とアカウントパスワードの正当性を検証します。

    • 保存後、長時間応答がなければ、IP接続がブロックされている可能性があります。
    • 保存後すぐに「接続失敗」と表示される場合、アカウントまたはパスワード認証に失敗しています。
    • 入力したユーザーアカウントがドメインDN属性でない場合、保存に失敗する可能性があります。

ログインテスト​

  1. LDAPユーザーアカウントsAMAccountNameまたは設定済みの他の一意な属性値を入力します。 image-20250117163225501

  2. ログイン成功後、アカウントが正しくマッピングされているか確認します。 image-20250117163343730

  3. ログイン失敗時のトラブルシューティング
    通常は「ユーザー名またはパスワードに誤りがあります」とのみ表示されます。

    • プライベートデプロイ
      プラットフォーム管理者がHAPにログインし、右上のアバターをクリック：Platform Mgt ＞ Ops Mgt ＞ Log を選択。サービス名がssoのログを取得し、エラーの詳細原因を確認します。

    • SaaS版
      プラットフォーム管理者にログの閲覧を依頼してください。

ssoログに出る主なエラー​

  1. アカウントまたはパスワード誤り

    • アカウントが存在しない場合：ssoログにNo users foundが記録されます。
    • パスワード誤り：ssoログにerror authenticate ERROR: xxx: {"lde_message":"80090308: LdapErr: DSID-0C090446, comment: AcceptSecurityContext error, data 52e, v2580\u0000","lde_dn":null}と記録されます。

  2. 検索範囲エラー

    • 指定したDN範囲にユーザーが存在しない場合、ssoログにNo users foundと表示されます。
    • DNグループ配下にユーザーやグループが見つからない場合、ssoログにcheckIsUserMemberOf ERROR: dn group illegal, find Group xxx: falseと出ます。

  3. LDAP設定の保存失敗

    • 設定で入力したアカウントがドメインDN属性でない場合、ssoログにLDAPError [InvalidCredentialsError]: 80090308: LdapErr: DSID-0C090446, comment: AcceptSecurityContext error, data 52e, v2580と表示されます。