ユーザー管理の制限と推奨事項
This page describes the optimal configurations and limitations that apply to user management in Hipchat Server.
Email addresses in directories
Email addresses are unique identifiers in Hipchat Server. Because of this, make sure you adhere to the following recommendations:
- Avoid duplicate email addresses (and usernames) across user directories.
If you're connecting to more than one user directory, email addresses (and usernames) must be unique across all directories. For example, having the email address,jsmith@example.com,in two directories can cause confusion, especially if you swap the order of the directories. Changing the directory order can change the user that a given email address refers to. - Avoid having multiple users with the same email address, even if they differ by letter case, for example, user@example.com and User@example.com. When in doubt, use all lowercase.
On this page:
LDAP への接続に関する推奨事項
LDAP ユーザー ディレクトリに接続する場合、以下の制限事項と推奨事項を検討してください。
LDAP ディレクトリのユーザーとグループの最適数
ご使用の LDAP ディレクトリへ接続することで、 LDAP ディレクトリサーバーへの接続、設定、および管理に関して強力で柔軟なサポートが得られます。最適なパフォーマンスを実現するために、バックグラウンドの同期タスクは必要なユーザーとグループを LDAP サーバーからアプリケーションのデータベースにロードし、LDAP サーバーから定期的に更新情報を取り出してデータの同期を維持します。ユーザーとグループのコピーに必要な時間は、ユーザー、グループ、およびグループのメンバーシップの数に伴って増加します。このため、以下の説明では、ユーザーとグループの最大数を推奨しています。
この推奨事項は以下の LDAP ディレクトリへの接続に影響します。
- Microsoft Active Directory
- その他のすべての LDAP ディレクトリサーバー
The following LDAP configurations are not affected:
- LDAP 認証を使用した内部ディレクトリ
- 「認証専用、最初のログイン時にユーザーをコピー」に設定された LDAP ディレクトリ
LDAP ディレクトリのユーザー、グループおよびメンバーシップの数に応じて次のソリューションのいずれかを選択してください。
お客様の環境 | 推奨事項 |
|---|---|
Up to 5000 users, 1000 groups, and 20 groups per user | 「LDAP」または「Microsoft Active Directory」のディレクトリ タイプを選択します。完全同期オプションを利用することができます。アプリケーションのデータベースはご利用の LDAP サーバのユーザとグループをすべて格納しています。 Note: Group objects do not currently affect Hipchat Server. |
上記を超える場合 | Use LDAP filters to reduce the number of users and groups visible to the synchronization task. See Reduce the number of users synchronised from LDAP to Hipchat Server. |
同期処理のパフォーマンスの調整を試みる場合、以下のような多数の要因が関与することを銘記してください。
- Size of userbase. Use LDAP filters to keep this to the minimum that suits your requirements.
- Type of LDAP server. We currently support change detection in AD, so subsequent synchronizations are much faster for AD than for other LDAP servers.
- Network topology. The further away your LDAP server is from your application server, the more latent LDAP queries will be.
- Database performance. As the synchronization process caches data in the database, the performance of your database will affect the performance of the synchronization.
冗長 LDAP には非対応
LDAP 接続では、冗長性のための複数の LDAPサーバーの構成 (一方のサーバーが停止した場合の自動フェイルオーバー) はサポートされていません。
Active Directory に接続するための具体的な注意事項
アプリケーションを Active Directory (AD) に同期している場合、同期タスクではユーザーベース全体ではなく LDAP サーバーからの変更のみがリクエストされます。これによって同期プロセスが最適化され、2番目以降のリクエストでパフィーマンスが大幅に向上します。
一方、この同期方式にはいくつかの制限事項があります。
- Externally moving objects out of scope or renaming objects causes problems in AD. If you move objects out of scope in AD, this will result in an inconsistent cache. We recommend that you do not use the external LDAP directory interface to move objects out of the scope of the sub-tree, as defined on the application's directory configuration screen. If you do need to make structural changes to your LDAP directory, manually synchronize the directory cache after you have made the changes to ensure cache consistency.
- Synchronizing between AD servers is not supported. Microsoft Active Directory does not replicate the uSNChanged attribute across instances. For that reason, we do not support connecting to different AD servers for synchronization. (You can of course define multiple different directories, each pointing to its own respective AD server.)
- Synchronizing with AD servers behind a load balancer is not supported. As with synchronizing between two different AD servers, Microsoft Active Directory does not replicate the uSNChanged attribute across instances. For that reason, we do not support connecting to different AD servers even when they are load balanced. You will need to select one server (preferably one that is local) to synchronize with instead of using the load balancer.
- You must restart the application after restoring AD from backup. On restoring from backup of an AD server, the uSNChanged timestamps are reverted to the backup time. To avoid the resulting confusion, you will need to flush the directory cache after a Active Directory restore operation.
- Obtaining AD object deletions requires administrator access. Active Directory stores deleted objects in a special container called cn=Deleted Objects. By default, to access this container you need to connect as an administrator and so, for the synchronization task to be aware of deletions, you must use administrator credentials. Alternatively, it is possible to change the permissions on the cn=Deleted Objects container. If you wish to do so, please see this Microsoft KB Article.
- AD との接続に使用されるユーザー DN はuSNChanged 属性を参照できる必要があります。 同期タスクは変更を検知するのに uSNChanged 属性を使用しているため、サブツリーのすべての LDAP について、この属性を参照するために適切な AD セキュリティ グループに属する必要があります。
Known issues and limitations of external directory synchronization
See Known issues and limitations of external directory synchronization in our knowledge base.