LDAP 認証の構成

Kaspersky CyberTrace は LDAP ユーザー認証をサポートしており、Kaspersky CyberTrace Web でドメインアカウントでのユーザー認証を可能にします。このセクションでは、このタイプの認証を構成する方法について説明します。

Kaspersky CyberTrace は、ドメインコントローラが Windows を実行している場合にのみ、Active Directory の使用をサポートしています。Linux ベースのドメインコントローラで Active Directory を使用することは可能ですが、保証はされていません。

Active Directory サーバーのルート証明書は、Kaspersky CyberTrace がインストールされているオペレーティングシステムのシステムストアに配置される必要があります。

［LDAP］セクションでは、次の操作を実行できます：

• LDAP 認証の有効化
• 接続設定の指定
• LDAP サーバーへの接続のテスト
• アカウントフィルタリングの構成

LDAP 認証の有効化

LDAP 認証を有効にするには：

［LDAP is on］スイッチをクリックします。

LDAP サーバーがユーザー認証に使用されます。

LDAP 認証が有効になると、ローカルユーザーアカウントで Kaspersky CyberTrace と対話できます。

接続の設定

［LDAP］タブの［Connection settings］セクションでは、次の設定を指定できます：

• LDAP サーバーの IP アドレスまたは FQDN（完全修飾ドメイン名）、およびポート

  グローバルカタログポートを使用して LDAP サーバーに接続します：StartTLS および暗号化なしの接続にはポート 3268、TLS にはポート 3269 を使用します。

  この設定は、ファイル kl_feed_service.conf の［AuthenticationServer］→［ConnectionString］要素に保存されます。

• SSL セキュアな接続

  Kaspersky CyberTrace Web を使用して、LDAP サーバーへのセキュアな接続を使用できます。

  この設定は、ファイル kl_feed_service.conf の［AuthenticationServer］→［ConnectionString］要素の［useEncryption］属性に保存されます。

  Linux では、セキュアな接続を有効にした場合、Kaspersky CyberTrace は、/etc/ssl/certs からの証明書を使用して LDAP サーバーを認証します。

• LDAP データベースへのパス

  Kaspersky CyberTrace にアクセスできるユーザーアカウントが含まれるデータベースへのパス。

LDAP サーバーへの接続のテスト

下の手順を実行して、LDAP サーバーへの接続が確立されていることを確認します。

LDAP サーバーへの接続をテストするには：

1. ［Test connection with LDAP］をクリックします。

   ［Test connection with LDAP］ウィンドウが表示されます。

2. 次の設定を指定します：
   • テスト接続のユーザー名
   • テスト接続のユーザーパスワード
3. ［Test］をクリックします。

接続テストは、サーバーに接続するために必要な設定をすべて指定した場合にのみ実行できます。

アカウントのフィルタリング

［Accounts filtering］セクションには、管理者およびアナリストアカウントのフィルタリングルールが含まれています。

次のプロパティを構成できます：

• アカウント形式

  2 つの形式のいずれかを選択できます：

  • User Principal Name

    このオプションをオンにすると、ユーザーは、認証の実行時にメールアドレスではないユーザー名を指定する必要があります（たとえば user、user@domain.com ではない）。

  • SAM Account Name

    このオプションをオンにすると、ユーザーは、認証の実行時にユーザー名を Domain\User の形式で指定する必要があります。

• 管理者アカウントフィルター

  Active Directory の一般的な名前によって決まる管理者ロールを割り当てる必要があるユーザーを定義する LDAP ユーザーアカウントのフィルター。

  この値を指定していない場合、LDAP 認証を使用してログインし、アナリストアカウントフィルターを通過したすべてのユーザーには、アナリストロールが割り当てられます。

  この設定は、ファイル kl_feed_service.conf の［AuthenticationServers］→［AdministratorAccountsFilter］要素に保存されます。

• アナリストアカウントフィルター

  Active Directory の一般的な名前によって決まるアナリストロールを割り当てる必要があるユーザーを定義する LDAP ユーザーアカウントのフィルター。

  この値を指定していない場合、LDAP 認証を使用してログインし、管理者アカウントフィルターを通過していないすべてのユーザーには、アナリストロールが割り当てられます。

  この設定は、ファイル kl_feed_service.conf の［AuthenticationServers］→［AnalystAccountsFilter］要素に保存されます。

  例として、下の図でフィルターを構成することにより、［Admins］グループのメンバーであるユーザーに管理者ロールが割り当てられ、［Operators］または［Analysts］グループのメンバーであるユーザーにアナリストロールが割り当てられます。

  

  アカウントフィルターの例

ファイル kl_feed_service.conf の［AdministratorAccountsFilter］および［AnalystAccountsFilter］要素に値が含まれており、ログインを試行しているユーザーが指定したグループのいずれにも含まれていない場合、Kaspersky CyberTrace はエラーを返し、このユーザーの Web ユーザーインターフェイスへのアクセスを拒否します。