LDAPインターフェイスの既知の制限

LDAPインターフェイスは、BIND、UNBIND、SEARCHのLDAP操作を行うために設計された軽量なツールです。これらの基本機能をLDAPサーバーに依存せずに実行できますが、現在のLDAPサーバーで提供されるすべての高度な機能がサポートされるわけではありません。したがって、LDAPサーバーをLDAPインターフェイスに置き換える前に、その機能と制限を慎重に評価してください。

ここでは、一般的な問題と既知の制限を紹介します。ただし、考えられるすべてのシナリオをカバーしているわけではありません。LDAPインターフェイスをLDAP先進化計画に組み入れる前に、OktaセールスチームまたはCSMと連携することをお勧めします。

検索と属性のリファレンス

  • memberOfとuniqueMemberの処理時間は、グループメンバーの総数および検索操作を実行する管理者ロールに応じて長くなる可能性があります。より制限されたロールを持つユーザーの場合、検索の処理に要する時間が長くなります。
  • 検索結果の数は1ページあたり1000件に制限されます。大規模な結果セットでは、Simple Pagination Control（RFC 2696）が必要になります。
  • LDAPインターフェイスは、memberOfを仮想操作属性として定義します。これは、次の場合にのみ返されます。
    • memberOfが要求された属性である場合、または
    • すべての操作属性の要求に「+」が使用されている場合

  • LDAPインターフェイスで使用できる属性は、完全なLDAPスキーマのサブセットのみを表しており、名前に矛盾がある可能性があります。また、カスタムOktaプロパティはLDAPインターフェイススキーマに反映されません。

    利用できるLDAPインターフェイススキーマを確認するには、次を使ってLDAPインターフェイス検索を実行します。

    属性 値

    ベースDN

    		 cn=schema

    スコープ

    BASE

    フィルター

    objectclass=subschema

    要求する属性

    ldapSyntaxes matchingRules attributeTypes objectClasses

    または、「+」またはすべてのユーザー属性を使用します。

  • サポートされないスキーマ属性が検索クエリに使用されている場合、検索結果は返されません。

暗号化

  • TLS 1.2のみがサポートされます。
  • LDAPインターフェイスは、暗号化された接続を使用する2つの方法、LDAPSとStartTLSをサポートします。LDAPインターフェイスを使用するには、いずれかの方法で接続を暗号化する必要があります。暗号化されていない接続で受信した操作は、すべて直ちに拒否されます。

認証（BIND）

  • UnixまたはLinuxベースのPAM認証はサポートされません。

  • samAccountNameはアプリのサインイン値として使用できないため、失敗します。OktaユーザーIDを指定する必要があります。

  • Okta Verify多要素認証とLDAPインターフェイスを併用する場合、レポートされるIPアドレスはクライアントIPではなく、アプリサーバーIPです。これは、LDAPを通じたクライアントIP転送の制限によるものです。