THIS IS A TEST INSTANCE. ALL YOUR CHANGES WILL BE LOST!!!!
...
top
Geronimo はディレクトリー・サービスとして Apache Directory Server を利用しています。これは Apache Directory Project に含まれています。Geronimo は ApacheDS プロジェクトの内、以下の２つのプロジェクトを実装しています。
- ApacheDS Core
すべてのバックエンドのサブ・システムを含むサーバーのコア部分です。プロトコルに依存し、seda を利用して LDAP リクエストのサービスを行います。コアには JNDI プロバイダー、インターセプター・フレームワーク、インターセプター・サービス、スキーマ・サブ・システムとデータベース・サブ・システムを含みます。
- ApacheDS Shared
コアと maven プラグインとのプロジェクトの循環的依存性を排除するものです。一般的にモジュールを横断的に共有するどのようなコードもここで実行することによって、他のモジュールに依存しないようになります。
これら２つのプロジェクトの詳細については、以下の ApacheDS プロジェクトの URL を参照してください。
http://directory.apache.org/subprojects/apacheds/projects/index.html
今時点では、Geronimo は LDAP の参照機能のみを持っていて、編集することはできません。これは次の Geronimo のリリースで機能追加が計画されています。ldapbrowser/editor、jxplorer や gq などの外部 LDAP クライアントを利用して Geronimo のディレクトリー・サーバーの構成の編集を行ってください。
この文章は以下のセクションから構成されています。
...
LDAP サーバーの始動
今回の Geronimo のリリースでは、Apache Directory v0.92 が配布物の中にすでに含まれていますが、デフォルトでは始動していません。コマンド・ラインでデプロイヤー・ツールを利用するか、Geronimo 管理コンソールを通じて始動することができます。
管理コンソールを利用して、左側の navigation メニューにある System Modules をクリックし、org.apache.geronimo.configs/directory という名前のコンポーネントを Installed System Modules ポートレットから探し出してください。各コンポーネントの現在の状況と利用可能なコマンドが表示されています。
既に述べたように、このコンポーネントはデフォルトでは停止しています。Start をクリックすると、このサービスが利用できるようになります。
また、もし貴方が Geronimo のカスタム・バージョンを自身でビルドしているなら、Geronimo プラグインを通じて Apache Directory を後からインストールすることができます。
LDAP サンプル・アプリケーション
貴方に都合が良いように、サンプル・アプリケーションとデプロイメント・プランを zip ファイルにまとめました。
以下の URL からサンプル・アプリケーションをダウンロードしてください。
zip ファイルを展開すると ldap-sample-app が作られます。このディレクトリーが <ldap_home> として参照されます。
ここでは、貴方がすでに LDAP クライアントをインストールし、ディレクトリー・サーバーへの .ldif ファイルのエクスポート/インポートができるものとします。
ソース・コード
SVN からこのサンプルのソースコードをチェックアウトすることができます。
svn checkout http://svn.apache.org/repos/asf/geronimo/samples/trunk/samples/ldap-sample-app
LDAP エントリーの追加
Geronimo が起動し、ディレクトリー・サービスが始動していることを確認してください。LDAP クライアントを始動し、接続プロファイルを以下の値で作成してください。
Host: | <localhost> |
Port: | 10389 |
Base DN: | ou=system |
User DN: | uid=admin,ou=system |
Password: | secret |
Geronimo ディレクトリー・サーバーへ接続すると、初期構成が表示されます。この構成はバックアップとして ldif ファイルをエクスポートできます。LDAP クライアントによってエクスポート/インポート手順には違いがあります。例えば、ldapsearch ツールを利用した初期構成のエクスポートは以下のコマンドで実行されます。
ldapsearch -h localhost -p 10389 -b "ou=system" -D "uid=admin,ou=system" -w secret -x "(objectclass=)"*
初期構成のエクスポートをすると、以下の例のような内容をもつ ldif ファイルが得られます。
...
次に、サンプル・アプリケーションの実行に必要なエントリーをインポートします。サンプル・アプリケーションに、そのエントリーのサンプルの .ldif ファイルが含まれています。このファイルは <ldap_home>/ldap-sample.ldif にあります。ldapmodify ツールでデータをインポートするには、以下のコマンドを実行してください。
ldapmodify -h localhost -p 10389 -D "uid=admin,ou=system" -w secret -x -a -f <ldap_home>/ldap-sample.ldif
以下の例に、ldap-sample.ldif ファイルの内容を示します。
...
ファイルをインポートすると、５つのエントリーが無事追加されたことが通知されます。
LDAP レルムのデプロイ
LDAP サンプル・アプリケーションには、アプリケーション自身のデプロイ前にデプロイしておく必要のあるセキュリティ・レルムがあります。このレルムは <ldap_home>/ldap_realm.xml にあり、以下のような内容です。
...
このデプロイメント・プランは、Geronimo に対してすべての接続や検索に LDAP データベースが必要であることが記述されています。また、このプランではすべてのログイン処理についても login-attempts.log というログファイルに記録するように記述されています。
ldap-realm.xml をデプロイするために、以下のコマンドを <geronimo_home>/bin ディレクトリーから実行してください。
java -jar deployer.jar --user system --password manager deploy <ldap_home>/ldap-realm.xml
デプロイすると、以下のような確認メッセージが表示されるでしょう。
...
詳しくは 1.1.3.3.3. LDAPレルム セクションを参照してください。
デプロイメント・プラン
デプロイメント・プランは <ldap_home>/WEB-INF ディレクトリーにあります。geronimo-web.xml は Geronimo 固有のデプロイメント・プランです。何のセキュリティ・レルムを使うのかの詳細が記述され、セキュリティ構成における一意のエレメントを使った Geronimo 固有のネーム・スペースと同様に、ユーザー・ロールのマッピングが記述されます。一般的な他の種類のアプリケーションでは、まさにセキュリティというわけではありませんが、デプロイメント・プランにはそのプランの主たるネーム・スペースが与えられ、モジュールの一意名（任意です）、親モジュール構成 ID（これも任意です）、コンテキスト・ルートが記述されます。以下に例として Geronimo 仕様のデプロイメント・プランを示します。
...
デプロイメント・プランの最初の部分はわかりやすいのですが、セキュリティ構成は手が込んでいます。 <security-realm-name> は <security> 要素内の一連の <realms> 要素の定義に利用されています。
web.xml のセキュリティ・ロール（security roles）の記述によって、geronimo-web.xml はユーザーやグループがどの Geronimo セキュリティー・レルムに所属しているかを割り当てます。ログインしていないユーザーには、<default-principal> 要素によって定義された realm が付与されます。
本プロジェクトには 内容管理者（content-administrator） と ゲスト（guest） という２つの principal があります。ともに GeronimoGroupPrincipal と GeronimoUserPrincipal の２つの要素を持っています。principal には designated-run-as フラグがオンになっている要素がものがあり、これらは web.xml によって run-as ロールが付与されます。
これらのロール・マッピングは LDAP サーバーに実際に定義されているロール（どのユーザーがどのグループに所属するか）によって上書きされることに注意してください。結局レルムは、アプリケーションのデプロイメント・プランがどの検証方法を用いるかを定義しています。とはいえ、今回の例では XML スキーマ に従って principal とロール・マッピングを定義する必要があります。
以下にファイル位置によるセキュリティ制限を追加した web.xml デプロイメント記述の例（また、<ldap_home>/WEB-INF ディレクトリーに位置していること）を示します。
...
サンプル・アプリケーションのパッケージ
すべての要素が一意になっていて、ウェブ・アプリケーション・アーカイブ (.war) にサンプル・アプリケーションにパッケージされる必要があります。コマンド・ライン・ウィンドウを開き、<ldap_home> ディレクトリーに移動し、以下のコマンドを実行してください。
jar -cvf ldap-demo.war
このコマンドで <ldap_home> にあるすべてのファイルをパッケージします。.war ファイル内に必要はありませんが、ldap-realm.xml と ldap-sample.ldif ファイルも含まれます。
アプリケーションのデプロイとテスト
LDAP サンプル・アプリケーションをデプロイするために、Geronimo サーバーが始動していることを確認してください。コマンド・ライン・ウィンドウを開き、<geronimo_home>/bin ディレクトリーに移動し、以下のコマンドを実行してください。
java -jar deployer.jar --user system --password manager deploy <ldap_home>/ldap-demo.war
ウェブ・アプリケーションのデプロイが成功すると、以下に似たようなメッセージが表示されるでしょう。
...
LDAP アプリケーションのテストは、ウェブ・ブラウザーを開き、以下の URL へ接続してください。
http://localhost:8080/LDAP_Sample
LDAP サンプル・アプリケーションの Welcome ページが表示されます。
Protect をクリックして、LDAP ディレクトリー・サーバーの認証を受けてください。
ユーザー名に system パスワードに manager を入力して Login をクリックしてください。ここで入力するユーザー名とパスワードは Geronimo ウェブ・コンソールへの接続時に利用するものと同じで、ディレクトリー・サーバーのデータベースに保存されています。ログインすると、以下のような画面が表示されます。
ここでは、前に LDAP レルムに与えたセキュリティ構成に基づいて LDAP ディレクトリー・サーバーでユーザー名とパスワードの検証が行われます。さて次は、welcome ページに戻り、Forbidden をクリックしてください。以下のような 403 - Forbidden HTTP エラーが表示されるでしょう。
利用しているウェブ・コンテナー (Jetty または Tomcat) に応じて、この画面は少し違うかもしれません。
この例でさらなるテストをするには、ldap-sample.ldif に与えられている違うユーザで試してみてください。LDAP クライアントを利用して、違うグループのユーザーを追加/削除してください。変更はすぐに反映されます。（ウェブ・ブラウザーを閉じる必要があるかもしれません）