NextcloudでLDAPとActive Directory認証を設定する方法

Nextcloudへのサインインに組織と同じディレクトリアカウントを使用する必要がある場合は、組み込みのLDAPユーザーおよびグループバックエンドを有効にし、LDAPまたはActive Directory（AD）に接続するように構成してください。最も安全な設定は、検索専用のディレクトリアカウント、暗号化された転送、意図的に制限されたユーザー範囲、および展開前のテストログインを使用することです。

以下の手順は、2026年10月7日に確認されたNextcloud 35管理者マニュアルに基づいています。Nextcloudのリリースバージョンやホスティングパッケージによっては、コントロールのラベルや配置が異なる場合があります。インターフェース画像は、ドキュメントに記載されている設定を視覚的に説明するものであり、実際のサーバーの動作を示すものではありません。ご使用のバージョンのラベルと管理者マニュアルをご参照ください。

NextcloudがLDAPまたはActive Directoryを使用する場合、何が変わりますか？

Nextcloudはディレクトリに対して認証済みユーザーを確認するため、ユーザーは別途ローカルのNextcloudパスワードを用意することなく、LDAPまたはADの認証情報でサインインできます。LDAPバックエンドはディレクトリグループも公開できます。Nextcloudはディレクトリ情報を読み取るだけで、ディレクトリアカウントの管理、編集、削除は行いません。これらのアカウントとグループメンバーシップは、引き続きLDAP管理者の責任となります。

これは、組織が既にアカウントを一元管理している場合に便利です。ただし、依存関係が追加されます。Nextcloudはディレクトリにアクセスし、TLS証明書を検証できる必要があります。ディレクトリの障害、ネットワークルール、または証明書の問題によってディレクトリへのサインインが中断される可能性があるため、統合の設定中は、テスト済みのNextcloud管理者アカウントとサーバーへの動作可能なパスを確保しておいてください。

接続前に準備すべきことは何ですか？

• ディレクトリエンドポイント: LDAP または AD ホスト名、許可された暗号化接続方法、およびそのポート。Nextcloud はldaps://directory.example.com、 のような LDAPS ホスト名を受け入れます。ポート 636 は通常の LDAPS のデフォルトです。
• 検索アカウント： Nextcloudが必要とする検索を実行するためのディレクトリ権限を持つ、専用のサービスアカウントです。検索に必要なアクセス権限のみを使用してください。パスワードは保護された管理インターフェースに保管し、チケットや公開ログに貼り付けないでください。
• 基本識別名 (DN):検索対象のディレクトリサブツリー。例: dc=example,dc=com。メールアドレスのドメインから推測するのではなく、ディレクトリ管理者に正しい DN を問い合わせてください。
• スコープとテストID：表示対象とする人物とグループを決定し、許可するテストアカウントを1つ、可能であれば除外するアカウントを1つ特定します。
• PHP LDAP サポート:手動でインストールしたサーバーの場合は、Nextcloud を提供する PHP ランタイムで LDAP PHP 拡張機能が有効になっていることを確認してください。多くの Linux ディストリビューションでは、これを としてパッケージ化していますphp-ldap。ターンキーインストールでは、必要なモジュールが既にバンドルされている場合があります。その場合は、パッケージのドキュメントを参照してください。

ディレクトリ用に承認されているLDAPSまたはTLSで保護された別のLDAPトランスポートを使用してください。Nextcloudホストに発行証明書チェーンをインストールし、PHPのLDAPライブラリがそれを信頼していることを確認してください。本番環境で証明書の検証を無効にすることで証明書エラーを解決しないでください。

LDAPバックエンドを有効にして、サーバーの詳細を入力するにはどうすればよいですか？

1. Nextcloud管理者アカウントでサインインしてください。アプリを開き、LDAPユーザーおよびグループバックエンドが有効になっていない場合は有効にしてください。
2. 管理設定を開き、「LDAPユーザーとグループ」バックエンドセクションを選択します。「サーバー」タブから開始してください。新しい構成では、他のタブが使用可能になる前に、サーバーテストが正常に完了する必要がある場合があります。
3. ディレクトリホストを入力してください。暗号化されたLDAPS接続の場合、一般的な値は ですldaps://directory.example.com。Nextcloudが自動的に検出しない場合は、正しいポート番号を入力してください。一般的なLDAPSポートは636です。組織で別のセキュアなLDAP構成を使用している場合は、ディレクトリチームの設定に従ってください。
4. 検索アカウントの完全なユーザーDNとパスワードを入力してください。Nextcloudのマニュアルでは、この目的には専用のLDAPシステムユーザーを使用することを推奨しています。ディレクトリが匿名検索を明示的に許可している場合のみ、認証情報を空欄のままにしてください。
5. ベースDNを入力してください（例：）dc=example,dc=com。ユーザーまたはグループが別々のブランチに存在する場合は、基本接続が確立された後、詳細設定でベースツリーを絞り込むことができます。

Nextcloudはポート番号やベースDNなどの値を自動検出でき、セットアッププロセスでは一般的なActive Directoryの設定を認識できます。検出結果はあくまで出発点として捉え、表示されたベースDNと返されたユーザーが意図したディレクトリ範囲と一致していることを確認してください。

どのユーザーを一覧表示でき、どのユーザーがログインできるか？

これらは関連していますが、それぞれ独立した設定です。[ユーザー]タブでは、Nextcloudのユーザー一覧に表示されるディレクトリユーザーを制御します。[ログイン属性]タブでは、Nextcloudがサインイン時にユーザーが入力した名前と比較するディレクトリ属性を制御します。ユーザーが検出可能になったからといって、ログイン属性が意図どおりに設定されているとは限りません。

「ユーザー」タブで、Nextcloud が検出したオブジェクトクラスとユーザーフィルターから始めます。ディレクトリグループへのアクセスを制限する場合は、グループ選択またはディレクトリがサポートする生の LDAP クエリを使用します。たとえば、AD スタイルのフィルターは次のようになります(&(objectCategory=person)(objectClass=user)(memberOf=CN=Nextcloud Users,OU=Groups,DC=example,DC=com))。グループ DN とベースを実際のディレクトリの値に置き換えてください。この例をそのまま貼り付けないでください。

ログイン属性で、組織が意図するログイン識別子を選択します。Active Directory の場合、これは通常アカウント名属性ですsAMAccountName。組織によっては、メールアドレスによるサインインも許可している場合があります。ポリシーと一致するように選択し、スタッフが使用する正確なユーザー名形式をテストしてください。グループ タブで、Nextcloud で利用可能にするディレクトリ グループを選択します。グループの検出とログインの許可は、必ずしも同じ範囲ではありません。

テスト前に詳細設定を変更すべきでしょうか？

通常は変更する必要はありません。まず、基本的な接続とディレクトリの範囲を確認してください。「詳細設定」タブには、接続、ディレクトリ、特殊属性、プロファイルに関するオプションが含まれています。ご使用の環境に必要な設定のみを変更してください。

IDマッピングには特に注意してください。Nextcloudは、各LDAPユーザーに安定した内部ユーザー名を割り当てます。これは通常、ディレクトリのUUIDから派生したもので、そのIDをディレクトリのエントリにマッピングします。内部ユーザー名は、ホームフォルダ名やサービスURLに使用できます。アカウントのマッピング後にUUIDまたは内部ユーザー名のルールを変更すると、Nextcloudがユーザーを異なるユーザーとして扱い、既存のファイルへのアクセスが複雑になる可能性があります。これらの値は本番環境に移行する前に決定し、稼働中のサーバーでLDAPマッピングをクリアしないでください。

初回展開時には、LDAPパスワード変更操作のためにディレクトリ権限と暗号化されたトランスポートを明示的に設定していない限り、LDAPパスワード変更を有効にしないでください。Nextcloudのドキュメントには、書き込み権限やTLSなど、パスワード変更に関する追加要件が記載されています。通常のLDAP認証では、検索アカウントにユーザーパスワードを変更する権限を与える必要はありません。

接続をテストして保存するにはどうすればよいですか？

1. 「サーバー」タブで「構成のテスト」を選択します。テストでは、フォームに現在入力されている値が使用されます。Nextcloudによると、最初に保存する必要はありません。
2. テストが成功したら、設定を保存します。Nextcloudのドキュメントには、設定はアクティブにする必要があると警告されています。設定が無効になっていると、他の値が正しくても「パスワードが間違っています」という誤った結果が表示される可能性があります。テストが成功すると、通常は自動的にアクティブになります。
3. Nextcloudのユーザーページを開き、想定どおりのディレクトリユーザーとグループが表示されていることを確認してください。結果を、意図したアクセス範囲と比較してください。
4. 許可されたアカウントを使用して実際にサインインをテストし、許可リストを設定している場合は除外されたアカウントがサインインできないことを確認してください。想定されるグループが共有に使用できること、およびアカウントの表示名とメールアドレスが正しいことを確認してください。

テストが失敗した場合、またはユーザーが表示されない場合はどうなりますか？

コマンドライン診断のために、Nextcloud は LDAP バックエンドアプリが有効になっている場合に LDAP コマンドを提供します。occ ldap:show-configコマンドを実行して構成 ID を見つけ、次に を実行してテストします。 をサーバーに表示されている ID にocc ldap:test-config s01置き換えてくださいs01。一般的な Linux インストールでは、コマンドは次のようになります。

sudo -E -u www-data php /var/www/nextcloud/occ ldap:test-config s01

インストール環境に合わせて、Webサーバーのユーザー名とNextcloudのパスを調整してください。診断出力は機密情報として扱ってください。設定の詳細からディレクトリ構造が特定される可能性があります。

最終展開チェック

• Nextcloudサーバーは、組織が承認した暗号化されたトランスポートを使用してLDAPエンドポイントにアクセスできます。
• サービスアカウントは必要なものだけを検索でき、証明書の検証も正常に完了します。
• 表示されるユーザーリストとログインフィルターは、意図したアクセスグループと一致しています。
• 許可されたテストアカウントは、予定されている識別子を使用してサインインできますが、除外されたアカウントは拒否されます。
• 内部ユーザー名とUUIDの動作は、ユーザーが本番データの保存を開始する前に確定されます。
• ローカル管理者アカウントと、文書化された復旧手順は引き続き利用可能です。

これらのチェックにより、テスト対象のディレクトリパスとアカウントで統合が正しく機能することが確認できます。フィルタ、証明書、グループ構造、またはLDAPサーバーアドレスを変更した後は、再度チェックしてください。リリース固有の正確なラベルについては、NextcloudのLDAP認証マニュアル、PHPモジュールのガイダンス、およびLDAP occコマンドのリファレンスを参照してください。