複数のディレクトリの管理

ディレクトリの順序の影響

このセクションでは、ディレクトリの順序がログインや権限、ユーザーやグループの更新にどのような影響を及ぼすかをまとめます。

ログイン

ディレクトリの順序は、同じユーザーが複数のディレクトリに存在する場合のユーザーの認証に重要です。ユーザーがログインしようとすると、指定した順序でディレクトリが検索され、最初に見つかったユーザーの認証情報 (パスワード) を使用してログイン試行が検証されます。

権限

メンバーシップの集約（既定）

Confluence はメンバーシップ集約スキームを既定で使用するため、グループのメンバーシップに基づいてユーザー権限を付与する場合、ディレクトリの順序は重要ではありません。同じユーザー名が複数のディレクトリに存在する場合、アプリケーションはそのユーザー名が表示されるすべてのディレクトリのグループ メンバーシップを集約（結合）します。

例:

• Customers ディレクトリと Partners ディレクトリの2つのディレクトリに接続しています。
• ディレクトリの順序は Customers ディレクトリが最初です。
• ユーザー名 jsmith は Customers ディレクトリと Partners ディレクトリの両方に存在します。
• ユーザー jsmith は、Customers ディレクトリの G1 グループと Partners ディレクトリの G2 グループのメンバーです。
• ユーザー jsmith の権限は、ディレクトリの順序にかかわらず、G1 と G2 の両方のメンバーシップに基づきます。 

Confluence 5.7 以降にアップグレードしている管理者の場合

複数のユーザーディレクトリ （LDAP、Active Directory、クラウドなど）に属するユーザーのグループ メンバーシップを決定する方法は、Confluence 5.7 で変更されました。グループ メンバーシップは最初にユーザーが表示されるディレクトリではなく、すべて のディレクトリから集約されます。ユーザーは通常 1 つのディレクトリのみに存在するか、またはユーザー ディレクトリ間でメンバーシップが適切に同期されているため、ほとんどの場合、この変更による影響はありません。グループ メンバーシップが同期されていない一部のまれなケースでは、ユーザーが（以前は Confluence によって無視されていたユーザー ディレクトリ内のグループ メンバーである場合）この変更によって複数のスペースとページを表示する権限を得る場合があります。

メンバーシップの非集約 

次のように、REST API を使用して、Confluence に非集約メンバーシップ スキームを使用するように指示できます。

# To GET the current setting
curl -H 'Accept: application/json' -u <username> <base-url>/rest/crowd/latest/application

# To PUT the setting
curl -H 'Content-type: application/json' -X PUT -d '{"membershipAggregationEnabled":false}' -u <username> <base-url>/rest/crowd/latest/application

非集約メンバーシップを選択した場合、ディレクトリの順序が重要です。同じユーザー名が複数のディレクトリに存在する場合、アプリケーションはディレクトリの順序に基づき、そのユーザー名が表示される最初のディレクトリでのみグループメンバーシップを検索します。

例:

• Customers ディレクトリと Partners ディレクトリの2つのディレクトリに接続しています。
• ディレクトリの順序は Customers ディレクトリが最初です。
• ユーザー名 jsmith は Customers ディレクトリと Partners ディレクトリの両方に存在します。
• ユーザー jsmith は、Customers ディレクトリの G1 グループと Partners ディレクトリの G2 グループのメンバーです。
• ユーザー jsmith の権限は、G2 ではなく G1 へのメンバーシップにのみ基づきます。

ユーザーとグループを更新する

アプリケーションの管理画面からユーザーまたはグループを更新すると、アプリケーションが書き込み権限を持っている最初のディレクトリで更新が行われます。

例 1:

• Customers ディレクトリと Partners ディレクトリの2つのディレクトリに接続しています。
• アプリケーションには両方のディレクトリでの権限があります。
• ディレクトリの順序は Customers ディレクトリが最初です。
• ユーザー名 jsmith は Customers ディレクトリと Partners ディレクトリの両方に存在します。
• アプリケーションの管理画面から、ユーザー jsmith のメール アドレスを更新します。
• Partners ディレクトリではなく Customers ディレクトリで電子メールアドレスが更新されます。

例 2:

• 読み取り/書き込みLDAPディレクトリと内部ディレクトリ：あなたは2つのディレクトリを接続しています。
• ディレクトリ順序は LDAP ディレクトリが最初です。
• すべての新規ユーザーは LDAP ディレクトリに追加されます。新規ユーザーを内部ディレクトリに追加することはできません。