Page History

概要

Yellowfinには、管理コンソールから構成可能な認証方法が二つあり、それは「Yellowfin認証」または、「LDAP認証」です。Yellowfin認証とは、ユーザーの資格情報（ユーザーID、およびパスワード）はYellowfinに保存され、システムへのユーザーログインを認証するために確認されます。LDAP認証とは、Yellowfinは認証をするために、外部のディレクトリ（LDAP）や、データベースを参照します。ユーザーは、自身のユーザーIDとパスワードを入力することで（または、シングルサインオンから渡されることで）、YellowfinはLDAPディレクトリを使用して、これらの詳細情報を認証します。

LDAPを使用することで、Yellowfinへのアクセスは外部から制御可能になり、組織全体に渡り、シンプルで素早くなります。ユーザーは、既存のイントラネットのパスワードをYellowfinへのログインに使用することができ、特定のLDAPグループのユーザーを含めたり、排除したりすることで、レポートへのアクセスを制限することができます。さらに、LDAPディレクトリ内で削除やロックアウトをしたユーザーは、自動的にYellowfinにも反映されます。これは、Yellowfinが、手動でのユーザー管理を最小化するために、すべてのログインリクエストを、ディレクトリを介して認証しなくてはいけないからです。

LDAPの準備

YellowfinにLDAPパラメーターを設定する前に、以下の手順を完了しなくてはいけません。

• • Active Directoryに、ユーザーグループフォルダーを作成します。
  • YellowfinインスタンスでLDAP認証を有効化します。
  • Yellowfinサーバと、LDAPサーバ間の接続を確立します。
  • LDAPユーザーのデフォルトYellowfinロールを定義します。

Active Directoryでの設定

1. ドメインコントローラーにドメインを設定します。
2. このドメインを含めたフォルダーを作成し、Yellowfinへのアクセスを許可するユーザーやグループを追加します。

デフォルトロールの定義

Yellowfinで自動的にユーザーを使用できるようにするためには、ユーザーにロールを割り当てなくてはいけません。このロールは、Yellowfin「デフォルト」ロールとして定義されます。ロール項目で、ひとつのロールをデフォルトとして定義します。

1. 「管理コンソール」＞「ロール」に移動します。

2. デフォルトに設定するロールを選択します。

3. ロール詳細の項目で、「デフォルトロール」にチェックを入れて、「保存」します。

注意：ユーザーにデフォルトロールが設定されていない場合、ユーザーはYellowfinに正しく設定されず、プロセスは失敗します。

LDAP認証の有効化

Yellowfinインスタンスで、LDAP認証機能を有効化しなくてはいけません。

1. 「システム構成」ページに移動します。（「レフトサイドメニュー」＞「管理コンソール」＞「システム構成」）
2. 「認証」アイコンをクリックします。
   
   
   
   
3. 「認証方法」項目を展開し、「LDAP認証」を選択します。
   
   
   
   
4. 「LDAP設定」項目が表示されます。設定詳細を入力します。項目内容の詳細については、以下で説明しています。
5. 設定詳細の入力が完了したら、「テスト接続」をクリックして、接続の確認をします。
6. 接続が確立されたら、画面右上の「保存」ボタンをクリックして、これを保存します。

Yellowfin LDAP構成

LDAPディレクトリのユーザーを設定して、LDAP認証に使用するためには、システム構成ページで必要な属性を定義しなくてはいけません。Yellowfinに設定が必要な属性は、以下の通りです。

上述の項目を定義すると、Yellowfinは、ユーザーが初めてYellowfinへのログインを試みた際に、自動的にユーザーを設定します。

注意：LDAP内のユーザー数が、購入したライセンス数を超過した場合は、新しいユーザーはシステムに設定されません。

例

説明

上記の設定は、以下のように動作します。

• LDAP Host 192.168.4.241に、ポート389を使用して接続します。
• ユーザーは、cn=Users,dc=i4,dc=localから検索されます。
• ユーザーは、cn=Yellowfin Users,cn=Users,dc=i4,dc=localのメンバーである場合、Yellowfinへアクセスすることができます。
• ユーザー検索は、提供されたbindパスワードに基づき認証されるユーザー「admin」を使用して実行されます。
• ユーザーは、employeeIDをログインIDに使用し、Yellowfinはユーザーの名、姓、および電子メールアドレスを、それぞれLDAPディレクトリ属性のgivenName、LastName、およびuserPrincipalNameからロードします。

注意：ユーザーがLDAPディレクトリ内に存在しない場合は、標準的なYellowfinユーザーとして、ユーザー名を検索します。

YellowfinのセキュリティとLDAP

LDAP認証を有効化すると、「LDAP」と呼ばれる新しいグループオプションがグループ管理画面に表示されます。これは、LDAPディレクトリからのグループ参照して、標準的なYellowfinグループとして使用します。Yellowfinグループは、LDAPとYellowfinグループとの混ぜ合わせを含め、様々なソースを基に作成することができます。この場合、新しいグループにはLDAPグループを含めることも、排除することもできます。

1. 「LDAPグループの追加」ドロップダウンを開きます。
2. LDAPグループの一覧が表示されます。Yellowfinグループのメンバーを作成するために使用するグループを選択します。
3. 「追加」をクリックし、YellowfinグループにLDAPグループのメンバーを追加します。

LDAPグループに基づくロール

Yellowfinアプリケーションでは、ユーザーのロールを、関連付けられたLDAPグループ一覧内のグループメンバーシップにより、動的に決定することができます。これにより、ユーザーのロールをYellowfinではなく、LDAPサーバーに集約して定義することができます。Yellowfinは、LDAPユーザーがログインする度に、適切なロールを決定します。

LDAPグループをYellowfinロールに関連付けるには、以下の手順に従います。

1. まずは、LDAP設定ページで、この機能を有効にします。「管理」＞「システム構成」＞「認証」ページに移動し、「LDAP設定」項目を展開します（「認証方法」で忘れずに「LDAP認証」を選択してください）。
2. LDAP設定項目で、「LDAPグループをYellowfinのロールにマッピングする」を有効にします。
   
   
   
   
3. 変更を保存します。
4. 管理コンソールに移動し、ロール項目を展開して、LDAPグループを関連付けるロールを選択します。
   
   
   
   
5. ロール詳細ページで、「LDAPグループの紐付け」項目までスクロールします（これは、LDAP設定でLDAPグループをYellowfinのロールにマッピングする項目を有効にすることで表示されます）。
6. 選択したロールに関連付けるLDAPグループを追加します。
   
   
   
   
7. 設定内容を保存します。
8. これで、追加したLDAPグループのユーザーは、Yellowfinログイン時に、こちらで直接定義されたすべてのロール権限を継承することになります。

注意：

• LDAP グループをYellowfinのロールにマッピングする、が無効の場合、Yellowfinは、新規Yellowfinユーザーセッションのために保存されたロールを継続して使用します。
• ログインに成功する度に、ユーザーのロールはYellowfinリポジトリ内で更新されます。再ログインをするユーザーが複数のロール関連グループ、またはどのグループのメンバーでもない場合、Yellowfinはそのユーザーのセッションに対して、最後に更新されたロールを使用します。
• （Yellowfinに初めてログインする）新規LDAPユーザーが、ロール関連グループのメンバーでない場合や、複数のLDAPグループのメンバーの場合、このユーザーのアクセスは許可されません。
• Yellowfinインターフェース内でユーザーに明示的なロールが与えられている場合、このユーザーがログインし、かつロール関連LDAPグループのメンバーである場合、これは上書きされます。ユーザーが、ロール関連グループのメンバーでない場合は、明示的に与えられたロールが保持されます。