フェデレーションについて

フェデレーションが有効になっている場合は、複数の ESM Module によって、複数の ESM がそれらすべてにユーザー、グループ、およびリソースに関する同じ情報があるかのように動作するよう、情報および責務の共有が試みられます。たとえば、セキュリティ情報が含まれる複数の LDAP リポジトリがあるとします。ユーザーはある LDAP リポジトリで定義され、リソース アクセス制御規則は別の LDAP リポジトリで定義されているとします。ある LDAP リポジトリからのリソース制御規則を、別の LDAP リポジトリで定義されているユーザーに適用する必要がある場合は、フェデレーションを有効にします。

他方で、フェデレーションの無効化は、複数の ESM Module に互いに独立して機能するよう指示します。フェデレーションを無効にしてある場合、ある ESM で定義されたアクセス制御規則は、その ESM で定義されたユーザーにのみ適用する必要があります。

ESF 1.13 以前の動作を維持する、"互換" フェデレーション設定もあります。互換フェデレーション モードに設定されている場合、複数の ESM Module には、何らかの相互作用がある可能性があり、場合によっては、予期しない結果がもたらされることがあります。これはデフォルトであり、既存インストールにおいて互換性のない動作が発生しないようにするための設定です。しかしながら、複数の ESM を ("階層的" に) 構成してある場合は、フェデレーションを明示的に有効または無効にすることをお勧めします。

使用する設定が不明な場合は、次のガイドラインを使用してみてください。

• 構成に 1 つの ESM しかない場合は、フェデレーションの構成について心配する必要はありません。
• 構成に複数の ESM があるが、MLDAP ESM Module を使用していないか、MLDAP ESM Module のインスタンスが 1 つしかない場合は、フェデレーションを構成する必要はありません。ただし、今後のリリースでそれが有用なことになった場合は、必要になる可能性があります。
• ある ESM でユーザーを定義し、それらのユーザーが属するグループを別の ESM で定義しますか?その場合は、フェデレーションを有効にすることをお勧めします (セキュリティ情報が統合されることが求められています)。
• ある ESM でユーザーおよび/またはグループを定義し、それらに適用するリソース アクセス規則を別の ESM で定義しますか?その場合は、フェデレーションを有効にすることをお勧めします。
• 各 ESM で定義されたリソース アクセス規則は、その ESM に認識されているユーザーおよびグループにのみ適用することを予定していますか?その場合は、フェデレーションを無効にすることをお勧めします (ESM が個別に機能することが求められています)。

上記のどれにも当てはまらない場合は、フェデレーションを無効にできる可能性が高いでしょう。