【Java】ActiveDirectoryの参照/更新

31552 ワード

はじめに

ADのユーザーをメンテナンスする機能を提供するため、ユーザー一覧を取得したり、更新できるようにしたい。
JavaではJNDIを使ってADへアクセスできる。

ADの参照

単一ユーザーの取得

AD認証などで、ユーザーIDを指定して検索する場合は、下記URL参照。

ユーザー一覧の取得

特定のOUに所属するユーザーの一覧など、結果が複数件あることが予想される検索の場合、LDAPのページサイズを意識する必要がある。
WindowsのActive Directoryの場合、おそらく1,000件が結果の最大サイズ。
それを超える件数を取得したい場合は、ページングをしながら検索を繰り返す。

ページングしながらユーザー一覧を取得するサンプル

Hashtable<String, String> env = new Hashtable<String, String>();
env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");
env.put(Context.PROVIDER_URL, "ldap://server"); // ADサーバーのアドレス
env.put(Context.SECURITY_AUTHENTICATION, "simple");
env.put(Context.SECURITY_PRINCIPAL, "userid@domain"); // ADサーバーにログオンするためのユーザーID@ドメイン
env.put(Context.SECURITY_CREDENTIALS, "password"); // パスワード

final int PAGE_SIZE = 1000;

InitialLdapContext context = null;
try {
    context = new InitialLdapContext(env, null);

    // 検索条件の指定
    String name = "OU=aaa, DC=bbb, DC=ccc";
    String filter = "(objectCategory=user)";

    SearchControls control = new SearchControls();
    control.setSearchScope(SearchControls.SUBTREE_SCOPE);

    byte[] cookie = null;

    do {
        context.setRequestControls(new Control[] { new PagedResultsControl(PAGE_SIZE, cookie,
                Control.CRITICAL) });

        // 検索実行
        NamingEnumeration<SearchResult> results = context.search(name, filter, control);

        // 結果取得
        while (results.hasMore()) {
            SearchResult result = results.next();
            AdUserBean user = new AdUserBean(result);

            System.out.println(user);
        }

        // 次のページがあるかチェック
        cookie = null;

        if (context.getResponseControls() != null) {
            Optional<Control> found = Arrays.stream(context.getResponseControls())
                    .filter(c -> c instanceof PagedResultsResponseControl).findFirst();

            if (found.isPresent()) {
                PagedResultsResponseControl prrc = (PagedResultsResponseControl) found.get();
                cookie = prrc.getCookie();
            }
        }

    } while (cookie != null);

} finally {
    try {
        if (context != null) {
            context.close();
        }
    } catch (NamingException e) {
    }
}

AdUserBean

public class AdUserBean {

    private String cn = null;
    private String name = null;
    /** 名前 */
    private String displayName = null;
    /** ユーザーID＋ドメイン */
    private String userPrincipalName = null;
    /** LDAP識別名 */
    private String distinguishedName = null;
    /** メールアドレス */
    private String mail = null;
    /** ポケットベル */
    private String pager = null;

    /**
     * コンストラクタ
     */
    public AdUserBean() {

    }


    /**
     * コンストラクタ
     *
     * Active Directory検索結果から内容を取得する
     *
     * @param result
     * @throws NamingException
     */
    public AdUserBean(SearchResult result) throws NamingException {
        NamingEnumeration<? extends Attribute> attributes = result.getAttributes().getAll();

        while (attributes.hasMoreElements()) {
            Attribute attribute = attributes.next();
            Object value = attribute.get();

            if ("name".equals(attribute.getID())) {
                if (value instanceof String) {
                    name = (String) value;
                }

            } else if ("displayName".equals(attribute.getID())) {
                if (value instanceof String) {
                    displayName = (String) value;
                }

            } else if ("cn".equals(attribute.getID())) {
                if (value instanceof String) {
                    cn = (String) value;
                }

            } else if ("userPrincipalName".equals(attribute.getID())) {
                if (value instanceof String) {
                    userPrincipalName = (String) value;
                }

            } else if ("pager".equals(attribute.getID())) {
                if (value instanceof String) {
                    pager = (String) value;
                }

            } else if ("mail".equals(attribute.getID())) {
                if (value instanceof String) {
                    mail = (String) value;
                }

            } else if ("distinguishedName".equals(attribute.getID())) {
                if (value instanceof String) {
                    distinguishedName = (String) value;
                }

            }
        }

    }

// 以下略
}

`hasMore`と`hasMoreElements`の違い

search()メソッドの戻り値であるNamingEnumerationクラスには、普通のEnumerationクラスにあるhasMoreElementsメソッドと、独自のhasMoreメソッドの2種類がある。

while (results.hasMore()) {
    SearchResult result = results.next();
    // 略
}

hasMoreメソッドを使うと、例えばページサイズを超えた件数を取得しようとしたときにNamingExceptionがスローされる。
https://docs.oracle.com/javase/jp/11/docs/api/java.naming/javax/naming/NamingEnumeration.html

ただし、先のサンプルのようにページングしながらADを検索する場合は、コード側で指定したページサイズ＞サーバー側のページサイズとなっていてもエラーにならず、サーバー側のページサイズで検索結果が返される。

属性値の取り方

Active Directoryの属性には、単一の値を持つ項目と複数の値を持つ項目がある。
それぞれ取得方法が異なるので注意。

属性値の取得部分を抜粋

/** ポケットベル */
private String pager = null;
/** ポケットベル(その他) */
private List<String> otherPager = null;

public AdUserBean(SearchResult result) throws NamingException {
    NamingEnumeration<? extends Attribute> attributes = result.getAttributes().getAll();

    while (attributes.hasMoreElements()) {
        Attribute attribute = attributes.next();
        Object value = attribute.get();

        if ("pager".equals(attribute.getID())) {
            // ポケットベル(単一の項目)
            if (value instanceof String) {
                pager = (String) value;
            }

        } else if ("otherPager".equals(attribute.getID())) {
            // ポケットベル(その他)　(複数の項目)
            NamingEnumeration<?> values = attribute.getAll();

            while (values.hasMore()) {
                if (value instanceof String) {
                    if (otherPager == null) {
                        otherPager = new ArrayList<String>();
                    }

                    value = values.next();

                    otherPager.add((String) value);
                }
            }

        }
    }
}

ユーザー属性の変更

private static void update() throws NamingException {

    Hashtable<String, String> env = new Hashtable<String, String>();
    env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");
    env.put(Context.PROVIDER_URL, "ldap://server"); // ADサーバーのアドレス
    env.put(Context.SECURITY_AUTHENTICATION, "simple");
    env.put(Context.SECURITY_PRINCIPAL, "user@domain"); // ADサーバーにログオンするためのユーザーID@ドメイン
    env.put(Context.SECURITY_CREDENTIALS, "password"); // パスワード

    DirContext context = null;
    try {
        context = new InitialDirContext(env);

        Attributes attrs = new BasicAttributes();
        attrs.put(new BasicAttribute("pager", "123456"));
        attrs.put(new BasicAttribute("telephoneNumber", "1234567"));

        String name = "CN=username, OU=xxx, DC=yyy, DC=zzz";

        context.modifyAttributes(name, DirContext.REPLACE_ATTRIBUTE, attrs);

    } finally {
        try {
            if (context != null) {
                context.close();
            }
        } catch (NamingException e) {
        }
    }
}

modifyAttributesの引数に指定するDNは、そのユーザー(オブジェクト)が属するOUなどを正確に指定しないといけない。OUの階層を省略したりすると、「オブジェクトが見つからない」とエラーになる。

属性や検索フィルターの参考

メールアドレスは単体項目だが、電話番号は複数指定可能な項目。

Active Directory のユーザーの属性についての説明(他にも属性の種類ごとに説明ページが分かれている)
https://docs.microsoft.com/en-us/windows/win32/ad/naming-properties

Active Directory の属性一覧
https://docs.microsoft.com/en-us/windows/win32/adschema/attributes-all

LDAP の検索フィルター構文
http://software.fujitsu.com/jp/manual/manualfiles/M050000/B1WN4911/01/idmgr07/idmgr447.htm
https://www.ibm.com/support/knowledgecenter/ja/SSYJ99_8.5.0/admin-system/rbug_ldapfltrxprns.html

Author And Source

この問題について(【Java】ActiveDirectoryの参照/更新), 我々は、より多くの情報をここで見つけました https://qiita.com/vicugna-pacos/items/b38be065e235a37315e8

著者帰属：元の著者の情報は、元のURLに含まれています。著作権は原作者に属する。

Content is automatically searched and collected through network algorithms . If there is a violation . Please contact us . We will adjust (correct author information ,or delete content ) as soon as possible .

C++ AMP with Matrix Multiplication

クラスタの健全性の探索とデータの作成