OpenLDAP 認証モジュール

タイプ

YouTrack でサードパーティ認証が有効になっているディレクトリサービスのタイプを表示します。

名前

認証モジュールの名前を格納します。この設定を使用して、このモジュールを Auth モジュールリスト内の他の認証モジュールと区別します。この名前は、ログインフォームのサポートされている認証プロバイダーのリストにも表示されます。

サーバー URL

YouTrack のログイン要求の認証に使用されるディレクトリサービスの LDAP URL を格納します。

LDAP URL は ldap://host:port/DN 形式を使用します。ユーザーアカウントが保存されているディレクトリの完全な識別名（DN）を入力します。

SSL キー

ディレクトリサービスに対する YouTrack インストールの ID を確認するために使用できる SSL キーを選択します。ディレクトリサービスでクライアント SSL 認証が必要な場合にのみ、この設定を使用する必要があります。YouTrack での鍵の管理の詳細については、SSL キーを参照してください。

アカウントをバインド

LDAP バインド要求に使用されるアカウントを決定します。詳細については、アカウントオプションのバインドを参照してください。

バインド DN

ディレクトリサービスとのバインドに使用される値を格納します。詳細については、アカウントオプションのバインドを参照してください。

フィルター

LDAP サービス内の特定のユーザーのレコードを見つける式を格納します。式の置換変数は、ログインページでユーザー名またはメールとして入力された値に置き換えられます。

このフィールドでは LDAP フィルター構文がサポートされています。これにより、必要に応じて複数の属性を追加できるようになります。

例: ユーザー名またはメールをログイン入力として受け入れるように認証を構成します。

|((sAMAccountName=%u)(userPrincipalName=%u))

LDAP 紹介

LDAP 認証モジュールがサービスからの要求を無視するか、LDAP ディレクトリ内の追加情報を見つけるための要求に従うかを決定します。

• ディレクトリサービスが、異なるパーティションの YouTrack プロファイルにマップされた属性を保存する場合、従うオプションを有効にします。

• ユーザー認証にリダイレクトの追跡が必要ない場合は、無視オプションを有効にしてパフォーマンスを向上させます。

LDAP アカウントのステータス

対応する資格情報を持つアカウントが接続されたディレクトリサービスから削除されたときに、ユーザーアカウントのステータスが YouTrack で更新されるかどうかを決定します。

• アカウントがディレクトリサービスで削除された場合、Hub アカウントは禁止され、対応する資格情報が Hub アカウントから削除されます。

• Hub アカウントは、接続されたディレクトリサービスでアカウントが復元されたときに、自動的に禁止が解除されることはありません。ステータスは YouTrack で手動で更新する必要があります。

この設定では、次のオプションを使用できます。

この設定は、認証モジュールのアカウントをバインド設定が Fixed に設定されている場合にのみ使用できます。

同期設定がオンの場合、アカウントステータスは事前定義された間隔で更新されます。それ以外の場合、アカウントステータスは、ユーザーが OpenLDAP アカウントを使用して YouTrack にログインしようとしたときにのみ同期されます。

同期

ユーザーアカウントの資格情報とグループメンバーシップをディレクトリサービスと同期する頻度を決定します。事前定義された 3 つの間隔のいずれかから選択できます。

• 毎日午前 9 時

• 3 時間ごと

• 毎時

すぐに同期ボタンをクリックして、いつでも YouTrack データベースをディレクトリサービスと手動で同期することもできます。

YouTrack プロファイルに保存される完全名、ユーザー名、メールの値は、ユーザーアカウントが最初に作成されるとき (通常は、新しいユーザーが Open LDAP アカウントを使用して YouTrack にログインするとき) に設定されます。オープン LDAP プロファイル内のこれらの属性に対する後続の変更は、YouTrack プロファイルと同期されません。これらの変更は、Open LDAP 認証情報に関連付けられた対応する属性と同期されます。この情報は、YouTrack プロファイルのアカウントのセキュリティタブの資格情報セクションに表示されます。

この同期は、属性マッピング設定で構成された属性と、グループマッピングタブで構成されたグループメンバーシップに適用されます。詳細については、属性マッピングおよびグループマッピングを参照してください。

同期がオフの場合でも、グループメンバーシップとアカウントステータスは、ログイン時にユーザーごとに同期されます。この機能の詳細については、グループマッピングを参照してください。

同期オプションは、アカウントをバインド設定が Fixed の場合にのみ使用できます。これにより、Hub はバインドアカウントの所有者に代わってディレクトリサービスを検索できるようになります。

同期機能は、認証モジュールが有効になっている場合にのみアクティブになります。

固定

固定アカウントを使用して LDAP サービスにバインドし、バインドユーザーに代わって認証するユーザーを検索します。このオプションを使用すると、LDAP 認証モジュールをセットアップしても、メールアドレスやトークンなどの識別名（DN）の一部ではないログインを使用できます。この方法は、一般に検索 + バインドまたは二段階認証とも呼ばれます。

この方法を使用するには、ディレクトリサービスで他のユーザーアカウントを検索する権限を持つディレクトリサーバー上の特別なアカウントが必要です。

LDAP バインド要求に使用するユーザーアカウントの完全な DN を入力します。このアカウントには、ディレクトリサービスで他のユーザーアカウントを検索する権限が必要です。

パスワードを設定してくださいコントロールを使用して、このアカウントのパスワードを YouTrack に保存します。バインドユーザーのパスワードは、プレーンテキスト値のハッシュとして保存されます。

動的

ログインからユーザー DN を取得し、ユーザーとして LDAP サービスに直接バインドしようとします。この方法は、一般に直接バインドとも呼ばれます。

クエリを使用して、ディレクトリサービスにバインドします。このクエリは、認証されるユーザーの識別名を検索します。式でユーザー名を参照します。この式は、置換変数を、ディレクトリサービスにユーザー名を格納する属性にマップします。選択した属性によって、フィルター文字列で使用されるクエリが決まります。

ログインページでユーザー名として入力された値は、置換変数を置き換える前にトリミングされます。ユーザーがドメインを指定すると、そのドメインは破棄されます。例: 値 WORKGROUP\smith のユーザー名は smith にトリミングされます。ドメインを指定するには、ドメイン名を静的な値として入力します。たとえば、WORKGROUP\%u

ユーザー名

必須です。Hub アカウントのユーザー名フィールドにコピーする値を格納する LDAP 属性にマップします。OpenLDAP の場合、デフォルト値は uid です。

フルネーム

Hub アカウントのフルネームフィールドにコピーする値を格納する LDAP 属性にマップします。

メール

Hub アカウントのメールフィールドにコピーする値を格納する LDAP 属性にマップします。

VCS のユーザー名

Hub アカウントの VCS のユーザー名フィールドにコピーする値を格納する LDAP 属性にマップします。

グループ

接続されたディレクトリサービスにグループメンバーシップの割り当てを格納する LDAP 属性にマップします。

この値を指定すると、ディレクトリサービスのグループメンバーシップを Hub の対応するグループにマップして同期できます。詳細については、グループマッピングを参照してください。

アカウントの有効期限が切れました

接続されたディレクトリサービスのアカウントの有効期限を格納する LDAP 属性にマップします。

アカウントが無効になっています

接続されたディレクトリサービスでユーザーアカウントが無効になった日付を格納する LDAP 属性にマップします。

ロックアウトしきい値

アカウントがロックアウトされる前にユーザーがログインに失敗した回数を格納する LDAP 属性にマップします。

ロックアウト時間

最大ロックアウトしきい値を超えたためにアカウントがブロックされた日時を格納する LDAP 属性にマップします。

ロックアウト期間

ロックアウトのしきい値を超えた後、ユーザーがアカウントへのログインをブロックされた時間を格納する LDAP 属性にマップします。

ユーザー作成

接続されたディレクトリサービスに保存されているアカウントでログインする未登録ユーザーの Hub アカウントの作成を有効にします。YouTrack は、メールアドレスを使用して、ユーザーが既存のアカウントを持っているかどうかを判断します。

すべての LDAP 認証モジュールは、ユーザーの作成を許可する必要があります。ユーザーの作成が拒否された場合、未登録のユーザーにはエラーが表示されます。

自動参加グループ

接続されたディレクトリサービスに保存されているアカウントでログインするときに、ユーザーをグループに追加します。1 つまたは複数のグループを選択できます。グループに自動参加する新しいユーザーは、このグループに割り当てられたすべての権限を継承します。

少なくとも 1 つのグループにユーザーを追加することをお勧めします。それ以外の場合、新しいユーザーには、現在すべてのユーザーグループに割り当てられているアクセス許可のみが付与されます。

接続タイムアウト

承認サービスへの接続を確立するために待機する期間を設定します。デフォルト設定は 5000 ミリ秒（5 秒）です。

読み取りタイムアウト

承認サービスからユーザープロファイルデータを読み取って取得するのを待機する期間を設定します。デフォルト設定は 5000 ミリ秒（5 秒）です。

監査

YouTrack のイベントの監査ページへのリンク。そこで、この認証モジュールに適用された変更のリストを表示できます。

サーバー URL

ldap://ldap.company.com:389/dc=company,dc=com

バインド DN

uid=%u,dc=company,dc=com

フィルター

uid=%u

サーバー URL

ldaps://ldap.company.com:636/dc=company,dc=com

バインド DN

uid=%u,dc=company,dc=com

フィルター

uid=%u