LDAP パス内でスペースを使用できます。引用符で囲む必要はありません。CN と DC の構文では、大文字と小文字は区別されません。

Cn=First Last,oU=user,dc=domain,DC=COM

クエリに入力する変数名では、大文字と小文字が区別されます。また、正しく動作するためには、LDAP 実装と一致している必要があります。たとえば、プロンプトで mailLocalAddress と入力したときに実行されるクエリは、maillocaladdress と入力したときとは異なります。

次のトークンを LDAP クエリ内で使用できます。

• {a} ユーザ名@ドメイン名
• {d} ドメイン
• {dn} 識別名
• {g} グループ名
• {u} ユーザ名
• {f} MAILFROM: アドレス

（注）	{f} トークンを使用できるのは、受け入れクエリのみです。

たとえば、メールを受け入れるための Active Directory LDAP サーバに対するクエリは、(|(mail={a})(proxyAddresses=smtp:{a})) になります。

（注）	作成したクエリは、[LDAP] ページの [テスト（Test）] 機能（または ldapconfig コマンドの test サブコマンド）を使用してテストすることを強く推奨します。期待したとおりの結果が返されることを確認してから、リスナーに対して LDAP 機能をイネーブルにしてください。詳細については、LDAP クエリのテストを参照してください。

エンドユーザ認証クエリとは、スパム隔離にログインするユーザを検証するためのクエリです。トークン {u} は、ユーザを示します（ユーザのログイン名を表します）。トークン {a} は、ユーザの電子メール アドレスを示します。LDAP クエリによって「SMTP:」が電子メール アドレスから除去されることはありません。ただし、AsyncOS はこの部分をアドレスから除去します。

サーバ タイプに基づいて、次のデフォルト クエリ文字列がエンドユーザ認証クエリに使用されます。

• Active Directory：(sAMAccountName={u})
• OpenLDAP：(uid={u})
• 不明またはそれ以外（Unknown or Other）：（ブランク）

デフォルトでは、プライマリ メール属性は mail です。独自のクエリとメール属性を入力できます。クエリを CLI で作成するには、ldapconfig コマンドの isqauth サブコマンドを使用します。

（注）	ユーザのログイン時に各自の電子メール アドレス全体を入力させる場合は、(mail=smtp:{a}) というクエリ文字列を使用します。

スパム通知を使用する場合は、スパム隔離のエイリアス統合クエリを使用して電子メール エイリアスを 1 つにまとめると、受信者がエイリアスごとに隔離通知を受け取ることはなくなります。たとえば、ある受信者がメール アドレス john@example.com、jsmith@example.com、および john.smith@example.com のメールを受け取るとします。エイリアス統合を使用すると、受信者が受け取るスパム通知は 1 通だけとなります。送信先は、このユーザのエイリアスすべてに送信されるメッセージのプライマリ電子メールアドレスとして選択されたアドレスです。

メッセージを統合してプライマリ電子メールアドレスに送信するには、受信者の代替電子メール エイリアスを検索するためのクエリを作成してから、受信者のプライマリ電子メールアドレスの属性を [メール属性（Email Attribute）] フィールドに入力します。

Active Directory サーバの場合、デフォルト クエリー文字列（実際の展開では異なることもあります）は (|(proxyAddresses={a})(proxyAddresses=smtp:{a})) で、デフォルトの電子メール属性は mail です。OpenLDAP サーバの場合は、デフォルトのクエリ文字列は (mail={a}) で、デフォルトのメール属性は mail です。独自のクエリとメール属性を定義することもできます。属性が複数の場合は、カンマで区切ります。入力する電子メール属性が複数ある場合は、最初の電子メール属性として、変動する可能性のある値を複数持つ属性（たとえば proxyAddresses）ではなく、値を 1 つだけ使用する一意の属性（たとえば mail）を入力することを推奨します。

クエリを CLI で作成するには、ldapconfig コマンドの isqalias サブコマンドを使用します。

• Active Directory エイリアス統合の設定例

• OpenLDAP エイリアス統合の設定例

[LDAPサーバプロファイルの追加/編集（Add/Edit LDAP Server Profile）] ページの [クエリのテスト（Test Query）] ボタン（または CLI の ldaptest コマンド）を使用して、クエリをテストします。AsyncOS に、クエリ接続テストの各ステージの詳細が表示されます。たとえば、最初のステージの SMTP 認証に成功したか失敗したか、バインド照合の返された結果が true か false か、などです。

ldaptest コマンドを、次の例のようにバッチ コマンドとして使用できます。

ldaptest LDAP.isqalias foo@cisco.com

クエリに入力する変数名では、大文字と小文字が区別されます。また、正しく動作するためには、LDAP 実装と一致している必要があります。たとえば、メール属性に mailLocalAddress と入力すると、maillocaladdress と入力する場合とは異なるクエリを実行します。

クエリをテストするには、テスト パラメータを入力して、[テストの実行（Run Test）] をクリックします。[テスト接続（Test Connection）] フィールドに結果が表示されます。エンドユーザ認証クエリが成功した場合、「成功：アクション：一致ポジティブ（Success: Action: match positive）」という結果が表示されます。エイリアス統合クエリの場合は、統合されたスパム通知用の電子メール アドレスと共に、「成功：アクション：エイリアス統合（Success: Action: alias consolidation）」という結果が表示されます。クエリが失敗すると、一致する LDAP レコードが見つからない、一致したレコードにメール属性が含まれていないなど、失敗の原因が表示されます。複数の LDAP サーバを使用している場合、Cisco コンテンツ セキュリティ アプライアンスは、LDAP サーバごとにクエリをテストします。

[LDAP サーバ プロファイルを追加（または編集）（Add (or Edit) LDAP Server Profile）] ページの [テストサーバ（Test Server(s)）] ボタン（または CLI の test サブコマンド）を使用して、LDAP サーバへの接続をテストします。複数の LDAP サーバを使用する場合は、各サーバのテストが実行されて、各サーバの結果が個別に表示されます。各 LDAP サーバでのクエリのテストも実行されて、結果が個別に表示されます。

LDAP サーバで確実にクエリを解決できるようにするには、フェールオーバー用に LDAP プロファイルを設定できます。LDAP サーバへの接続が失敗するか、またはクエリからエラーが返される場合にそうすることが適切であれば、アプライアンスはリストに指定されている次の LDAP サーバに対してクエリを試行します。

Cisco コンテンツ セキュリティ アプライアンスは、LDAP サーバ リスト内の最初のサーバへの接続を、所定の時間が経過するまで試行します。アプライアンスがリスト内の最初の LDAP サーバに接続できない場合、またはクエリからエラーが返される場合、リスト内の次の LDAP サーバへの接続が試行されます。デフォルトでは、アプライアンスは常にリスト内の最初のサーバへの接続を試行し、それ以降の各サーバへの接続を、リスト内で指定されている順に試行します。Cisco コンテンツ セキュリティ アプライアンスが確実にプライマリ LDAP サーバにデフォルトで接続するようにするには、そのサーバが LDAP サーバ リストの先頭に入力されていることを確認してください。

（注）	指定された LDAP サーバを問い合わせる試行のみがフェールオーバーします。指定された LDAP サーバに関連付けられた参照サーバまたは継続サーバを問い合わせる試行はフェールオーバーしません。

Cisco コンテンツ セキュリティ アプライアンスが 2 番目の、または後続の LDAP サーバに接続する場合、そのサーバへの接続は所定の時間が経過するまで維持されます。この時間が経過すると、アプライアンスはリスト内の最初のサーバに対して再接続を試行します。

LDAP 接続をグループ内の LDAP サーバ間に分散させるには、ロード バランシングのための LDAP プロファイルを設定します。

ロード バランシングを使用した場合、Cisco コンテンツ セキュリティ アプライアンスからの接続はリスト内の LDAP サーバに分散されます。接続に失敗したときやタイムアウトしたときは、アプライアンスは使用可能な LDAP サーバを判断して、使用可能なサーバに再接続します。アプライアンスは、管理者が設定した最大同時接続数に基づいて、同時に確立する接続の数を決定します。

リストで指定された LDAP サーバの 1 つが応答しなくなった場合は、アプライアンスからの接続の負荷は残りの LDAP サーバに分散されます。