ご存知の通り、LDAPでは、ディレクトリをエントリするのに厳密な階層構造が要求されます。FirstClassでは、ユーザグループに組織単位(OU)を割り当てることで、この階層化を行うことができます。
FirstClassディレクトリサービスの使用を考えている場合は、必ず以下の点をご確認してください。
・所属する組織の階層に合致するユーザグループを組織単位に割り当てていること。
組織単位が割り当てられていないグループだけに所属するディレクトリエントリは、FirstClassディレクトリのツリー表示のルート階層に配置されます。
・組織単位の各階層をグループに割り当てる際は、論理性と一貫性を保つようにすること。
FirstClassディレクトリサービスは、先に受け取った情報から、順次ツリー表示を作成します。したがって、一貫性のない階層情報を持つエントリが後から発生しても、そのエントリは無視されます。
・ユーザまたは公開メールリストが所属するユーザグループを正しい階層順にし、最上層のグループを最初に作成すること。
ユーザグループに権限を設定する場合は、階層による制約が起こることに注意してください。FirstClassサーバ側では、グループが登録された順番にユーザ権限が適用されます。一方、FirstClassディレクトリサービス側では、ディレクトリのツリー表示順に権限が適用されます。この2つの違いによって、矛盾が起こる可能性があります。
必要に応じて(例えば、権限を与えるためだけに作られた、組織の階層と一致しないグループがあるなど)、このグループに組織単位を割り当てないようにして、矛盾が起こらないようにすることができます。そうすれば、FirstClassディレクトリサービスはこのグループを無視するようになります。
例
下の図は、ある会社の管理者グループの階層構造を表しています。
ある社員(深田理沙)が人事課で働いているとします。彼女が所属するユーザグループは、[ユーザ情報]フォームで次の順番に登録されています。
[All Users]グループ
[Regular Users]グループ
[人事部]グループ
[人事課]グループ
[人事部]グループに割り当てる組織単位は、[人事課]グループに割り当てる組織単位(OU)より上位の階層にあるようにします。[All Users]グループと[Regular Users]グループはFirstClassディレクトリサービスが無視しますので、これらのグループに組織単位を割り当てる必要はありません。
FirstClassディレクトリのルートDN(ルート識別名)は、以下のように設定されます。
ou=総務グループ,o=株式会社○○,c=JP
その結果、深田理沙のDN(識別名)は以下のようになります
cn=深田理沙 ,ou=人事課,ou=人事部,ou=総務グループ,o=株式会社○○,c=JP
| ||