Users Guide
拡張スキーマ Active Directory の概要
拡張スキーマソリューションを使用する場合は、Active Directory スキーマの拡張が必要です。
拡張スキーマのためのベストプラクティス
拡張スキーマはデル関連オブジェクトを使用して iDRAC と許可を結びつけます。これにより、与えられたすべての許可に基づい
て iDRAC を使用できます。デル関連オブジェクトのデフォルトのアクセスコントロールリスト（ACL）で自己管理者およびドメイ
ン管理者は iDRAC オブジェクトの許可と範囲を管理できます。
デフォルトでは、デル関連オブジェクトは親の Active Directory オブジェクトからすべての許可を継承するわけではありません。
デル関連オブジェクトの継承を有効にしている場合は、その関連オブジェクトの継承された許可が選択されたユーザーおよびグル
ープに付与されます。これは意図しない権限が iDRAC に与えられる原因となる場合があります。
拡張スキーマを安全に使用するために、デルは、拡張スキーマの実装においてデル関連オブジェクトの継承を有効にしないことを
お勧めします。
Active Directory スキーマ拡張
Active Directory データは、属
性
と
クラス
の分散データベースです。Active Directory スキーマには、データベースに追加または含め
ることができるデータのタイプを決定する規則が含まれています。データベースに格納されている
クラス
の 1 つの例がユーザークラ
スです。ユーザークラスの属性の例には、ユーザーの名、姓、電話番号などがあります。特定の要件に合わせて独自の属
性
や
クラ
ス
を追加することで、Active Directory データベースを拡張できます。Dell では、Active Directory を使用したリモート管理の認証と
承認をサポートするのに必要な変更を含むようにスキーマを拡張しました。
既存の Active Directory スキーマに追加される各属
性
または
クラス
は、固有の ID で定義される必要があります。業界全体で固有の
ID を保持するために、Microsoft は Active Directory オブジェクト識別子（OID）のデータベースを保持しているため、企業がスキー
マに拡張機能を追加したときに、それらが固有で、互いに競合しないことが保証されます。Microsoft の Active Directory でスキー
マを拡張するために、Dell はディレクトリサービスに追加される属性とクラスに対して、固有の OID、固有の名前拡張子、および
固有にリンクされた属性 ID を取得しました。
• 拡張子：dell
• ベース OID：1.2.840.113556.1.8000.1280
• RAC LinkID の範囲：12070 to 12079
iDRAC スキーマ拡張の概要
スキーマは、Association（関連づけ）、Device（デバイス）および Privilege（権限）のプロパティを含むよう、拡張されていま
す。Association（関連づけ）プロパティは、1 つまたは複数の iDRAC デバイスに特定の権限セットを持つユーザーまたはグループ
をリンクするために使用されます。このモデルは、管理者に、ネットワーク上のユーザー、iDRAC 権限、iDRAC デバイスの様々な
コンビネーションについて、複雑な手間を要することなく最大限の柔軟性を提供します。
認証と許可のために Active Directory に統合するネットワーク上の各物理 iDRAC デバイスには、少なくとも 1 つの関連オブジェク
トと 1 つの iDRAC デバイスオブジェクトを作成します。複数の関連オブジェクトを作成することができ、各関連オブジェクト
は、必要な数のユーザー、ユーザーグループ、または iDRAC デバイスオブジェクトにリンクできます。ユーザーおよび iDRAC ユー
ザーグループは、企業内のどのドメインのメンバーでもかまいません。
ただし、各関連オブジェクト（または、ユーザー、ユーザーグループ、iDRAC デバイスオブジェクト）は、1 つの権限オブジェクト
にしかリンクできません。この例では、管理者が、特定の iDRAC デバイスで各ユーザーの権限をコントロールできます。
iDRAC デバイスオブジェクトは、認証と許可を Active Directory に照会するための iDRAC ファームウェアへのリンクです。iDRAC
がネットワークに追加する際に、ユーザーが Active Directory で認証と許可を実行できるように、管理者は iDRAC とそのデバイス
オブジェクトを Active Directory 名で設定する必要があります。さらに、管理者は、ユーザーが認証できるように、少なくとも 1 つ
の関連オブジェクトに iDRAC を追加する必要があります。
次の図は、関連オブジェクトによって、認証と許可に必要な接続が提供されていることを示しています。
ユ
ーザーアカウントと権限の設定 143