[JAVA]JNDI を使った Active Directory のアカウント作成方法

おがわみつぎ — Thu, 20 Jul 2006 18:06:00 GMT

[JAVA]JNDI を使った Active Directory のアカウント作成方法

あまり良いサンプルにめぐり合わなかったので、サンプルを公開します。
JNDI で Active Directory に接続し、検索する方法は比較的簡単ですが、アカウント作成し、パスワードの設定を行うといった場合、LDAPS を使った通信が必要になります。
LDAPS で通信を行うには Active Directory に証明局を導入する必要があります。
※推奨はエンタープライズ CA です。
証明局をインストールしたら、ルート CA と DC のマシンの証明書を、DC 上でエクスポートをし、J2SE の keytool で取り込みを行う必要があります。

import java.io.*;
import java.util.*;
import javax.naming.*;
import javax.naming.directory.*;
public class UserAdd {
  public static void main(String[] args) {
    // JNDI 環境設定用ハッシュテーブル
    Hashtable env = new Hashtable();

    // JNDI ファクトリ指定
    env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");

    // Active Directory 指定、LDAPS にてSSL
    env.put(Context.PROVIDER_URL, "ldaps://xxxxxxxx.xxx.local");

    // 認証モードをシンプルに
    env.put(Context.SECURITY_AUTHENTICATION, "simple");

    // Active Directory へのログオンアカウント、Account Operators 権限以上を持つアカウント
    env.put(Context.SECURITY_PRINCIPAL, "xxxxxx@xxx.local");

    // ログオンアカウントのパスワード
    env.put(Context.SECURITY_CREDENTIALS, "xxxxxxxx");

    // SSL 通信を行う設定
    env.put(Context.SECURITY_PROTOCOL, "ssl");

    // LDAPS で通信を行うには、Active Directory に証明局（エンタープライズCA が望ましい）をインストールし、
    // 証明局のルートCA と、Active Directory のコンピュータの証明書（ドメインコントローラの認証）を
    // J2SE のkeytool で取り込みをしておくこと
    // ルートCA とコンピュータの証明書はActive Directory 上で、mmc を起動し、「スナップインの追加」から「証明書」を追加
    // このとき、ローカルコンピュータを指定する
    // 証明書(ローカルコンピュータ)→個人→証明書にあるルートCA とコンピュータの証明書をエクスポートする
    // エクスポートするときは、Base 64 encoded X509(CER) を選択すること
    // エクスポートしたcer をkeytool コマンドで取り込む
    // keytool -import -v -trustcacerts -f xxxx.cer -keystore "D:\Program
Files\Java\jre1.5.0_07\lib\security\cacerts"
    // のように入力する
    // -keystore の指定は使用するJRE(J2SE) のパスを指定すること

    // 使用するkeystore を指定する
    String keystore = "D:\\Program Files\\Java\\jre1.5.0_07\\lib\\security\\cacerts";

    // 既定のSSL の信頼するkeystore を設定する
    System.setProperty("javax.net.ssl.trustStore", keystore);

    // LDAP へのコネクションプールを使う場合は使用する
    //env.put("com.sun.jndi.ldap.connect.pool", "true");

    // DirContext オブジェクト、LDAP への操作の基本オブジェクト
    DirContext ctx = null;

    // userAccountControl フラグ定数
    int UF_ACCOUNTDISABLE = 0x0002;       // アカウントを無効状態に
    int UF_PASSWD_NOTREQD = 0x0020;       // パスワードは必要なし
    int UF_PASSWD_CANT_CHANGE = 0x0040;   // パスワードは変更できない
    int UF_NORMAL_ACCOUNT = 0x0200;       // 通常のユーザアカウント
    int UF_DONT_EXPIRE_PASSWD = 0x10000; // パスワードを無期限にする
   int UF_PASSWORD_EXPIRED = 0x800000;   // パスワードが無効※これは使えない

    // 作成するユーザのDN
    String userName = "cn=JNDI Test,cn=users,dc=xxx,dc=local";

    try {
      // DirContext オブジェクトのインスタンス生成
      ctx = new InitialDirContext(env);

     // 作成するユーザの属性用Attributes オブジェクト
      Attributes attrs = new BasicAttributes(true);

      // Active Directory のオブジェクト種類指定
      attrs.put("objectClass", "user");

      // samAccountName 指定
      attrs.put("samAccountName", "jndi-test");

      // CN 指定
      attrs.put("cn", "JNDI Test");

      // 姓
      attrs.put("sn", "JNDI");

      // 名
      attrs.put("givenName", "Test");

      // イニシャル
      attrs.put("initials", "J.T.");

      // 表示名
      attrs.put("displayName", "JNDI Test J.T.");

      // プリンシパル名
      attrs.put("userPrincipalName", "jndi-test@xxx.local");

      // メールアドレス
      attrs.put("mail", "jndi-test@xxx.local");

      // userAccountControl フラグを通常アカウントとして指定
      attrs.put("userAccountControl", Integer.toString(UF_NORMAL_ACCOUNT));

      // パスワード、必ず\" でくくることとUnicode のバイト配列として指定
      attrs.put("unicodePwd", ("\"xxxxxxxxxxxxxxxx\"").getBytes("UTF-16LE");

      // 次回ログイン時にパスワード変更させるフラグ
      attrs.put("pwdLastSet", "0");

      // ユーザの登録
      ctx.createSubcontext(userName, attrs);

      System.out.println("Active Directory にユーザを追加");

      // セキュリティグループに作成したユーザを追加するための処理

      // 追加したいセキュリティグループ分、配列を生成
      String[] groups = new String[4];

      groups[0] = "cn=sg1,ou=test,dc=xxx,dc=local";
      groups[1] = "cn=sg2,ou=test,dc=xxx,dc=local";
      groups[2] = "cn=sg3,ou=test,dc=xxx,dc=local";
      groups[3] = "cn=sg4,ou=test,dc=xxx,dc=local";

      // オブジェクトの属性変更オブジェクト配列
      ModificationItem[] member = new ModificationItem[1];

      // セキュリティグループに属性追加するためにオブジェクトを生成
      member[0]= new ModificationItem(DirContext.ADD_ATTRIBUTE, new BasicAttribute("member", userName));

      // セキュリティグループの配列分ループ
      for(int i = 0; i < groups.length; i++)
      {
        // セキュリティグループにユーザと追加
        ctx.modifyAttributes(groups[i], member);

        System.out.println("SG: " + groups[i]);
      }

      System.out.println("セキュリティグループにユーザを追加");

      System.out.println("終了");

    } catch (AuthenticationException e) {
      e.printStackTrace();
      System.err.println(e.getMessage());
    } catch (CommunicationException e) {
      e.printStackTrace();
      System.err.println(e.getMessage());
    } catch (NamingException e) {
      e.printStackTrace();
      System.err.println(e.getMessage());
    } catch (UnsupportedEncodingException e) {
      System.err.println(e.getMessage());
      e.printStackTrace();
    }
    finally
    {
      if(ctx != null)
      {
        try {
          ctx.close();
        } catch (NamingException e) {
          System.err.println(e.getMessage());
          e.printStackTrace();
        }
      }
    }
  }
}

[JAVA]java.lang.Runtime.exec で Exit コードを取得するには

おがわみつぎ — Tue, 18 Jul 2006 15:24:00 GMT

[JAVA]java.lang.Runtime.exec で Exit コードを取得するには

Java のプログラムからコマンド（バッチなども含む）を実行し、その実行結果（ Exit コード）を取得するときに注意しなければならないことがあります。
コマンドの標準出力が 510 バイトを超えると Exit コードの取得ができません。
理由は

Java API java.lang.Runtime.exec から JNI の java_java_lang_Runtime_execInternalを呼び出す
java_java_lang_Runtime_execInternal から Win32API CreatePipe で名前なしのパイプを 512 バイト（ Win32Process_md.c にハードコーディングされている）のバッファサイズで作成
※ NULL 終端を含めないと 511 バイトまでなはずなので 1 バイト少ない計算になる、ちょっと不明
?Win32API CreateProcess で Windows ネイティブコマンドを実行し、ハンドルを取得
実行されたコマンドの標準出力などを名前なしのパイプに格納されるが、パイプのバッファがいっぱいなので出力が実行が終了していない状態
※パイプを空にしないとプロセスの実行がブロックされてしまう、これは Windows の仕様
Java API java.lang.Process.exitValue で、Exit コードをチェック
JNI 経由で 3 で取得したハンドルの Exit コードを Win32API GetExitCodeProcess でチェックするが Win32API の STILL_ACTIVE （プロセスがまだ終わっていないという定数）の値が戻る、それを JavaVM が Java API IllegalThreadStateException （こちらもプロセスがまだ終わっていないという例外）の例外を投げるという状態

という仕様になっているためで、ループをまわして終了を調べても、出力結果が 510 バイト以上になるとプロセスが終了しない状態になるから Exit コードも取得できないでタイムアウトになるという状態です。
Exit コードを取得する場合は、必ず標準出力・標準エラー出力を読み込んだ上で、exitValue をチェックするようにコーディングする必要があります。

Java 2 SDK 1.4.2 シェアードソースコード
http://javashoplm.sun.com/ECom/docs/Welcome.jsp?StoreId=5&PartDetailId=J2SDK-1.4.2-G-CS&TransactionId=try
?

※自分のための記事。。。