コメントの送付先: jndi@java.sun.com

目次

1. はじめに
2. 適合性
3. 環境プロパティー
4. 名前
5. 属性
6. URL
7. Java オブジェクト
8. スキーマ
9. 例外
10. API マッピング
11. 連合
12. イベントの通知
13. SASL 認証
14. SSL および Start TLS
15. 接続プール
16. セキュリティーについて

1. はじめに

このドキュメントでは、LDAP サービスプロバイダの機能について説明します。主に、LDAP サービスプロバイダの動作を中心に説明します。詳細は、「LDAP サービスプロバイダに対する JNDI 実装側のガイドライン」を参照してください。例および使用方法については、JNDI チュートリアルを参照してください。

LDAP サービスプロバイダには、LDAP アクセスの基本機能が実装されます。多数の一般的な LDAP コントロールのサポート、RMI オブジェクトと CORBA オブジェクトの格納および読み込みに対するサポートなどを基本プロバイダに追加するには、「ブースターパック」をインストールします。「ブースターパック」は、JNDI の Web サイトからダウンロードできます。

2. 適合性

3. 環境プロパティー

3.1 JNDI プロパティー

3.2 LDAP 固有のプロパティー

3.3 SASL 固有のプロパティー

3.4 プロバイダ固有のプロパティー

このプロパティーを使用して、初期コンテキストインスタンスを作成するときに、プールされた接続を使用する必要があることを指定します。この値が「true」の場合、接続を作成するためのパラメータ (connection request と呼ばれる) が、接続プール設定で規定される基準に一致すれば、プロバイダはプールされた接続を使用します。このプロパティーが設定されていない場合、または他の値に設定されている場合、あるいは接続要求が基準に一致しない場合、プロバイダはプールされた接続を使用しません。接続プールの詳細は、「接続プール」を参照してください。

次に例を示します。

env.put("com.sun.jndi.ldap.connect.pool", "true");

LDAP プロバイダに、初期コンテキストの作成時にプールされた接続を使用するように指示します。

注 - Java 2 SDK、v 1.4.1 より前のシステムでは、接続プールはサポートされていません。そのため、このプロパティーは無視されます。

このプロパティーの値は、接続タイムアウトのミリ秒数を示す整数を文字列で表現したものです。LDAP プロバイダがこの値の期間中に接続を確立できないと、接続の試行は中止されます。整数は 0 より大きい必要があります。0 以下の整数を指定した場合は、TCP などのネットワークプロトコルのタイムアウト値が使用されます。

このプロパティーが指定されない場合は、接続が確立されるのを待機するか、または基本となるネットワークのタイムアウトまで待機します。

次に例を示します。

env.put("com.sun.jndi.ldap.connect.timeout", "500");

0.5 秒以内に接続が確立されない場合、LDAP サービスプロバイダによる接続試行が中止されます。

接続のために接続プールが要求されている場合、プール内のすべての接続が使用され、かつ最大プールサイズに到達しているときの、接続の最大待機時間がこのプロパティーにより決定されます。このような状況下で、このプロパティーの値がゼロ以下に設定されている場合、プロバイダは接続が可能になるまで無限に待機することになります。 それ以外の値に設定されている場合は、プロバイダは最大待機時間を超えた時点で、待機を中断します。詳細は、「接続プール」を参照してください。

注 - Java 2 SDK の v 1.4 より前のシステムでは、接続タイムアウトが SDK でサポートされないため、このプロパティーは無視されます。

com.sun.jndi.ldap.read.timeout

4. 名前

getNameParser() 呼び出しから返された名前パーサーによってパーサーが返されます。このパーサーは、文字列名を受け取ると RFC 2253 に基づいて文字列名を解析し、コンポーネントに渡します。

5. 属性

一部の LDAP サーバーでは、属性値に対して言語の優先順位を指定するときに、属性の部分型、属性名の類語、および言語コードを使用することができます。この場合、LDAP サーバーから返された属性名は、要求した属性名と異なることがあります。

LDAP では、属性名の大文字小文字が区別されます。このため、パラメータとして JNDI 操作に渡す属性のまとまりを作成するときは、大文字小文字が区別される属性クラスを使用することをお勧めします。次に例を示します。

        Attributes attrs = new BasicAttributes(true); // ignoreCase=true

属性値を使用するときは、String および byte[] のどちらの場合も、その属性値の構文と形式の情報が必要です。属性値の構文と形式は、これらの情報が定義されているスキーマドキュメントで確認できます。

属性を JNDI 呼び出しに引数として渡すときは、その属性は LDAP ディレクトリに適用されているすべてのスキーマに準拠していなければなりません。 特に、新しい LDAP を作成するときは (Context.bind、Context.rebind、または DirContext.createSubcontext を使用するときなど)、通常 objectClass 属性が必要です。

6. URL

6.1 使用法

URL は、次の方法で使用できます。
 

URL の使用法	サポート	備考
LDAP URL と LDAPS URL を使用して LDAP サービスプロバイダを設定する	はい
URL を InitialDirContext メソッドに名前として渡す	はい
LDAP 紹介で URL を使用する	はい	LDAP/LDAPS URL のスコープコンポーネントはサポートされる。属性、フィルタ、および拡張コンポーネントは無視される
URL が、list、listBindings、および search 列挙の名前として返される	はい
連合された名前空間に URL をリンクする	はい

注 - Java 2 SDK、v. 1.4.2 より前のシステムでは、LDAP サービスプロバイダは LDAPS URL を認識することも返すこともない。

6.2 LDAP サービスの自動検出

たとえば、URL ldap:///dc=example,dc=com が指定されている場合、サービスプロバイダは DNS SRV レコードで _ldap._tcp.example.com を探そうと試みます。プロバイダがこのようなレコードを検出した場合、このレコードから LDAP サーバーのホスト名とポートを抽出し、これらを使用します。プロバイダがこれらのレコードを使用する順序は、インターネット文書 draft-ietf-ldapext-locate-08.txt で説明するアルゴリズムに従います。

LDAP サービスの DNS SRV レコードを検出する場合、LDAP サービスプロバイダは基本プラットフォームに設定された DNS サービスを使用します (たとえば、Solaris または Linux では、DNS クライアント設定は /etc/resolv.conf ファイルから読み込まれる)。基本プラットフォームに DNS が設定されていない場合、LDAP サービスプロバイダは DNS サーバーのホスト名とポートに localhost と 53 を使用します。DNS サービスが使用できない場合、または DNS サービスに LDAP サービスの SRV レコードがない場合、LDAP サービスプロバイダはホスト名に localhost を使用し、ポートにはプレーンな接続の場合は 389 を、SSL 接続の場合は 636 を使用します。

注 1:Java 2 SDK、v 1.4.1 より前のシステムでは、ホスト名とポートが指定されない場合、常にデフォルトの localhost と 389 が使用され、DNS を使用する試みは行われません。

注 2:Java 2 SDK、v 1.4.2 より前のシステムでは、SSL の使用とは関係なく、デフォルトのポートは常に 389 です。

7. Java オブジェクト

例については、JNDI チュートリアルを参照してください。

8. スキーマ

9. 例外

10. API マッピング

11. 連合

LDAP サービスプロバイダでは、複合名は「強く区分されている」とみなされます。つまり、複合名の最初のコンポーネントが識別名として処理され、残りのコンポーネントは次のネームシステムの名前として処理されます。たとえば、次の例では、次のネームシステムのルートのリストを出力しています。このネームシステムは、LDAP コンテキストを超えて連合されています。次に、マルチコンポーネントの複合名を使用して名前が参照されます。

// List the root of the nns, 
// Note use of the trailing slash to indicate traversal into the nns
NamingEnumeration enum = ctx.list("cn=objects,ou=Sales/");

// A composite name lookup
Object obj = ctx.lookup("cn=objects,ou=Sales/some/x/y/z");

12. イベントの通知

* 持続的検索コントロールは、「IETF インターネットドラフト draft-ietf-ldapext-psearch-03.txt で定義されています。

13. SASL 認証

LDAP サービスプロバイダでは、次の SASL 機構がサポートされます。

• EXTERNAL (RFC 2222)。この機構は、SSL/TSL や IPsec などの外部ソースから認証情報を取得する。
• DIGEST-MD5 (RFC 2831) は、ダイジェスト認証用。
• GSSAPI (RFC 2222) は、Kerberos V5 認証用。

14. SSL および Start TLS

14.1 SSL

SSL が使用され、ポートが指定されていない場合、デフォルトポートとして 636 が使用されます。

注 - Java 2 SDK、v 1.4.1 より前のシステムでは、SSL の使用とは関係なく、デフォルトのポートは常に 389 です。

14.2 TLS の起動

注 - 接続プールは、Java 2 SDK、v 1.4.1 以降のリリースでのみサポートされます。

15.1 概要

LDAP サービスプロバイダは、以前に使用された接続のプールを維持することで接続プールをサポートします。LDAP プロバイダが接続を必要とする場合は常に (およびアプリケーションからプールが要求されている場合)、プールから接続を取得します。既存の接続が使用できる場合は、これが使用されます。既存の接続が使用できない場合、新しい接続が作成され、使用されます。プロバイダが接続を終了すると、接続はアイドルのマークが付けられ、再利用できます。

アプリケーションは、初期コンテキストコンストラクタに渡される環境プロパティーにプロパティー com.sun.jndi.ldap.connect.pool を追加して、接続プールを要求します。アプリケーションは、「コンテキスト別」にプールを使用するか否かを、環境プロパティーにこのプロパティーを使用するかどうかによって指定することができます。初期コンテキストに渡される LDAP/LDAPS の両 URL の参照処理に、プールされた接続を使用するかどうかも、同じ機構を使用して制御されます。たとえば、プロバイダが参照を処理する場合に、環境プロパティーにこのプロパティーが含まれているとき、プロバイダは参照にプールされた接続を使用します。

次のコード例では、新しい初期コンテキストと、ここから導出されるすべてのコンテキストに接続プールを使用するように要求しています。

Hashtable env = new Hashtable();
env.put("com.sun.jndi.ldap.connect.pool", "true");
env.put(Context.PROVIDER_URL, url);
env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");
DirContext ctx = new InitialDirContext(env);
...

プロパティー com.sun.jndi.ldap.connect.pool の追加のみが必要です。 これ以外のアプリケーションの変更は必要ありません。

LDAP プロバイダは、アプリケーションからの情報を元に接続が使用されているかどうかを追跡します。アプリケーションのコンテキストハンドルが開いている場合、そのアプリケーションが接続を使用しているものと見なします。したがって、LDAP プロバイダがプールされた接続を正しく管理するためには、コンテキストが不要になれば必ずアプリケーションで Context.close() を呼び出すようにする必要があります。

無効な接続は自動的に検出され、プールから削除されます。コンテキストが無効な接続により終了する確率は、接続プールを使用しているかどうかにかかわらず同じです。

15.2 プールを使用しない場合

15.3 グローバル設定

接続プールは、ランタイム起動時にいくつかのシステムプロパティーにより設定されます。設定に使用されるのは環境プロパティーではなく「システム」プロパティーであり、システムプロパティーはすべての接続プール要求に適用されることに注意してください。

次にシステムプロパティーの概要を示します。以降ではシステムプロパティーについて詳細に説明します。

次のプールされた接続の例では、最大プールサイズを 20、優先的なプールサイズを 10、アイドルタイムアウトを 5 分に設定しています。

# java -Dcom.sun.jndi.ldap.connect.pool.maxsize=20 \
       -Dcom.sun.jndi.ldap.connect.pool.prefsize=10 \
       -Dcom.sun.jndi.ldap.connect.pool.timeout=300000 \
    YourProgram

15.3.1 プールの結果

SSL 接続をプールする場合、com.sun.jndi.ldap.connect.pool.protocol システムプロパティーに文字列「ssl」を追加します。たとえば、プレーン接続と SSL 接続をプールする場合は、システムプロパティーを文字列「plain ssl」に設定します。

DIGEST-MD5 接続をプールする場合、com.sun.jndi.ldap.connect.pool.authentication システムプロパティーに文字列「DIGEST-MD5」を追加します。たとえば、認証タイプが anonymous、simple、および DIGEST-MD5 の接続をプールする場合は、このシステムプロパティーを文字列「none simple DIGEST-MD5」に設定します。

15.3.2 接続のプール方法

15.3.3 プールカスタムソケットファクトリ接続

    public class CustomSocketFactory extends SocketFactory
                implements Comparator<SocketFactory> { 
       :
       :
       public int compare(SocketFactory sf1, SocketFactory sf2) {
	   :
	   :
	   // do whatever comparison that's required
       }
    }

ソケットファクトリクラスが Comparator インタフェースを実装しない場合、ソケットファクトリクラスの接続はプールできません。この Comparator インタフェースの実装要件は、LDAP サービスプロバイダが実装を認識していない別のソケットファクトリの接続を比較する場合、必ず LDAP サービスプロバイダが必要なチェックを行うことです。

15.3.4 プールのサイズ

「初期サイズ」は、LDAP サービスプロバイダが最初にプールを作成するときに作成する、接続 ID 別の接続数です (アプリケーションから、当該の接続 ID に対してプールされた接続を最初に要求されたときの接続数と同じ)。プール内の各接続の認証は、接続が使用される時点で実行されます。デフォルトでは、初期プールサイズは 1 ですが、システムプロパティー com.sun.jndi.ldap.connect.pool.initsize を使用して変更することができます。通常、このサイズはアプリケーションの起動時に、一定の数のサーバー接続をプールに確保するために使用されます。

「最大プールサイズ」は、LDAP サービスプロバイダが同時に維持できる接続 ID 別の最大接続数です。このサイズには、使用中の接続とアイドル状態の接続が関係します。プールサイズがこの数に達した場合、プール内の接続が削除されるまで (つまり物理的な接続が切断されるまで)、対応する接続 ID の接続が新規に作成されることはありません。プールサイズが最大に達し、プール内のすべての接続が使用中の場合、プール内の接続がアイドル状態になるか削除されるまで、そのプールの接続に対するアプリケーションの要求は拒絶されます。最大プールサイズを 0 にすると、最大サイズがなくなります。プールされた接続への要求があれば、プールされた既存のアイドル状態の接続か、新規に作成されプールされた接続が使用されます。

「優先的プールサイズ」は、LDAP サービスプロバイダが維持する必要のある接続 ID 別の優先的接続数です。このサイズには、使用中の接続とアイドル状態の接続が関係します。アプリケーションがプールされた接続の使用を要求し、プールサイズが優先的サイズよりも小さい場合、LDAP プロバイダはアイドル状態の接続が利用できるかどうかにかかわらず、新しく接続を作成し、新しくプールされた接続を使用します。アプリケーションが接続を共有するすべてのコンテキストで Context.close() を呼び出してプールされた接続の使用を終了した時点で、プールのサイズが優先的サイズよりも大きい場合、LDAP プロバイダはプールされた接続を切断し、プールから削除します。優先的プールサイズを 0 にすると、優先的サイズがなくなります。プールされた接続への要求があれば、アイドル状態の接続が使用できない場合に限り、接続が新規に作成されます。

最大プールサイズは初期プールサイズおよび優先的プールサイズよりも優先されることに注意してください。たとえば、優先的プールサイズを最大プールサイズよりも大きく設定しても、実際には最大プールサイズに設定されます。

15.3.5 アイドル接続

15.4 コンテキスト別設定

15.4.1 プールの有効化

このプロパティーを省略した場合、コンテキストで接続プールが使用されません。

15.4.2 接続タイムアウト

このプロパティーが指定されていない場合、LDAP プロバイダはプールされた接続が利用できるまで無限に待機します。 また新しい接続を作成するときにはデフォルトの TCP タイムアウトが有効になるのを待機します。

このプロパティーは、アイドル状態のプール接続の削除に関連するシステムプロパティー com.sun.jndi.ldap.connect.pool.timeout とは異なることに注意してください。

permission java.net.SocketPermission "host[:port]", "connect";

コンテキストメソッドに渡された java.naming.factory.initial プロパティーおよび URL 文字列名に指定されている各ホストまたはポートに対して、割り当てられます。

permission java.net.SocketPermission "host[:port]", "connect,accept";

Serializable オブジェクトを使用して格納された References および javaCodebase 属性の URL 文字列に指定されている各ホストまたはポートに対して、割り当てられます。

permission java.lang.RuntimePermission "setFactory"

permission javax.security.auth.AuthPermission "createLoginContext.appClassName";
permission javax.security.auth.AuthPermission "doAsPrivileged";

ログインして doAsPrivileged メソッドを呼び出そうとしているアプリケーションクラス用のアクセス権です。

permission java.net.SocketPermission "host[:port]", "connect";

Kerberos Key Distribution Center (KDC) のホスト/ポート用のアクセス権です。

permission javax.security.auth.kerberos.ServicePermission "krbtgt/realm@realm", "initiate";
permission javax.security.auth.kerberos.ServicePermission "ldap/fully-qualified-hostname@realm", "initiate";

LDAP サービスと KDC の範囲とホスト用のアクセス権です。