X
OpenLDAP
0001名無しさん＠お腹いっぱい。垢版2007/08/02(木) 01:24:49
なぜないのだ、この話題？
0205201垢版2008/08/14(木) 12:13:05
>>204
openssl req -x509 で自己署名証明書を作成したので。
仮の CA を別にでっち上げても同じエラーでした。
なおログを見ると鍵･証明書ファイルはちゃんと読めているようです。

slapd[30909]: line 42 (TLSCACertificateFile /etc/ldap/demoCA/cacert.pem)
slapd[30909]: line 43 (TLSCertificateFile /etc/ldap/newcert.pem)
slapd[30909]: line 44 (TLSCertificateKeyFile /etc/ldap/newkey.pem)
slapd[30909]: line 45 (TLSVerifyClient never)

ldaps での接続はとりあえずおいておいて、実はバックエンドをSQL(MySQL + ODBC)
にしてから変更が反映されるまで時に間がかかるのです。数分間〜数時間、
場合によっては slapd を再起動しないと変更が反映されないこともあります。

たとえば ldapadd でエントリを追加し、ldapsearch で当該エントリを
問い合わせると１０回に２回くらい見つからないとか。
あるいはエントリを削除したあともなぜか１０回に２回くらい見つかってしまうとか。
slapd 内に何かキャッシュされているのでしょうか？
しかしキャッシュだとすると一度反映されたものがまた逆戻りということは無いはずです。

MySQL 側のログをつぶさに観察していると、
データベースへの更新 (insert/update) は即座におきています。
しかし問い合わせに対して select が発生しないことがあるようです。

なぜ slapd がバックエンドに問い合わせしないことがあるのでしょうか？
0207201垢版2008/08/14(木) 12:43:52
>>206 そうなんすか・・
ううむ、libopenssl が -1 を返す条件を
ソースからあたってみます。
0209名無しさん＠お腹いっぱい。垢版2008/09/05(金) 01:17:12
>>172
一般ユーザではLDAPのポート389が使用できないため
使用するポートを1024 以降で設定しているのに、
389ポートでアクセスしているからでは？
0210名無しさん＠お腹いっぱい。垢版2008/10/09(木) 13:22:02
どうしても下記のmodifications require authenticationというエラーが出てしまいます…_|￣|〇
何がいけないんでしょうか？

#smbldap-populate
Populating LDAP directory for domain MYGROUP (〜)
(using builtin directory structure)

adding new entry: dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <DATA> line 466.
adding new entry: ou=Users,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 12.
adding new entry: ou=Groups,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 17.
adding new entry: ou=Computers,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 22.
adding new entry: ou=Idmap,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 27.
adding new entry: uid=root,ou=Users,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 57.
adding new entry: uid=nobody,ou=Users,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 87.
adding new entry: cn=Domain Admins,ou=Groups,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 99.
adding new entry: cn=Domain Users,ou=Groups,dc=〜,dc=〜
0212名無しさん＠お腹いっぱい。垢版2008/10/09(木) 20:41:25
いやパスワードやbinddnとかちゃんと設定してるんですよ
0214名無しさん＠お腹いっぱい。垢版2008/10/10(金) 02:24:17
高圧粘着房
0215名無しさん＠お腹いっぱい。垢版2008/10/10(金) 08:08:19
>>213
どこで見れるんですか(´･ω･)?
0216名無しさん＠お腹いっぱい。垢版2008/10/10(金) 12:01:48
え？
/var/log/messeage とかsecure とか。。
0217名無しさん＠お腹いっぱい。垢版2008/10/10(金) 14:37:55
>>216
nss_ldap: failed to bind to LDAP server ldap://127.0.0.1/: Invalid credentials
というメッセージが多いです
0218名無しさん＠お腹いっぱい。垢版2008/10/23(木) 18:48:15
LDAPを使って各UNIXサーバのログインアカウントを管理した場合、
LDAPの設定でユーザ毎にサーバのログインの権利を制御することって出来ますか？

0220名無しさん＠お腹いっぱい。垢版2008/11/07(金) 02:45:03
>>216
OpenLDAPが鉄板だとは思ってないから、やってみたいとも思えないけど。
つーか、krb5とかの方がよほどかマシに思える。　まどろっこしいことには
大差無いが。
0223名無しさん＠お腹いっぱい。垢版2009/01/29(木) 01:57:10
結構OpenLDAPって使われてるはずなんだけど、いまいち盛り上がってないな。
みんな商用製品使ってんのかねー？
マルチマスターとかもっと議論されててもいいはず。
導入した人います？
0225名無しさん＠お腹いっぱい。垢版2009/02/04(水) 23:00:04
OpenLDAP から FDS への移行って大変かな？
試した方いますか?

samba schema を使っているから、簡単に移行できるか
心配で・・・
0227名無しさん＠お腹いっぱい。垢版2009/02/05(木) 00:04:34
>>225
schemaがどうしたこうしたよりも、
サーバ管理のHOWTOが全然違うからそこがネックになると思う。
例えばFDSがほとんど全ての設定をLDAP上のデータとして持つこととか。
データの移行やschemaなんかは全く問題ない。
というか問題になったら、もうそれはLDAPじゃないよ。
アクセスコントロールリストは切ったり張ったり、
さらに書き換えもする必要がある。
とにかく管理者ガイドは全て目を通してください。
サーバの能力は十分すぎるくらいだから、
ほとんどの場合移行担当者の能力がボトルネックです。
0234名無しさん＠お腹いっぱい。垢版2009/03/29(日) 17:44:00
OpenLDAPをメールの認証用に使ってる人って
アカウント追加時のディレクトリ操作とかってどうしてんだろ
うちはphp越しにLDAPアカウント追加＝＞新アカウントの存在確認＝＞Maildir・ldif・iaf等作成用の.shをphpから実行、
ってやってる
0235名無しさん＠お腹いっぱい。垢版2009/03/31(火) 20:03:09
研究室でNISが使われてるんですが
管理者の引き継ぎやマシン移行が繰り返されたために
設定があまり綺麗でない状態になってしまいました

この際にOpenLDAPに乗り換えようと思っているのですが
お勧めの入門書などありますでしょうか？
普通は公式ページのガイドとかその他の日本語リソースなんかで十分なんでしょうか
0236名無しさん＠お腹いっぱい。垢版2009/04/01(水) 02:11:59
自分はDOCの中身とマニュアルの和訳と、あとぐぐって出てきたサイトで勉強して、大体なんとかなった。
本買って読んでハマったりするよりは自力で調べつつハマるより勉強になると思ってる。
0238名無しさん＠お腹いっぱい。垢版2009/04/03(金) 15:03:56
>>235
乗り換えだけが目的ならそれで十分。
研究室ならエントリも少ないだろうから、
手作業で問題ないと思うが、
一応file形式からの移行toolがある。
0241名無しさん＠お腹いっぱい。垢版2009/04/10(金) 19:43:26
LAMって、LDAP Account Manager だよね。
独自スキーマ使えるのかな。
SambaやPAMとの連携が必須で無くて、かつ独自のLDAPスキーマがサポートされてれば素敵なんだけど。
ホームディレクトリの自動生成・自動削除は出来るみたいだけど、
登録時に何かのコマンドを実行（maildirmakeとかね）するのは出来ない…のかな。

ただ日本語対応してないのが惜しいね。
皆が皆、英語読めるワケじゃ無いからなあ。


つーかそれとは別に、PAM連携って必要？
時代に逆行してるんかもしらんけど、メールユーザはメールユーザのみで
適当に作ったVirtualUserに全部閉じ込めちまうのがシンプルに思うんだけど、世間一般はどうなんだろう。
0244名無しさん＠お腹いっぱい。垢版2009/06/10(水) 19:45:11
ldapaddするとき、LDIF内容ってこんな感じじゃないですか。
dn: cn=xxx, dc=xxx
objectClass: DUMMYOBJECT
dummyattr: dummyval


仮にDUMMYOBJECTにdummyattrがあるとして、dnにしかdummyattrがない状態でエントリを自動登録できるようなスキーマ設定ってできますか。
↓だけでDUMMYOBJECT.dummyattrを登録できちゃうような。
dn: dummyattr=hogehoge, cn=xxx, dc=xxx
objectClass: DUMMYOBJECT
0246名無しさん＠お腹いっぱい。垢版2009/06/22(月) 03:03:26
LDAPはもう時代遅れ、というか運用しにくいから普及すること無く終わると思う
せいぜい ActiveDirectory で生き残るくらいか
0249名無しさん＠お腹いっぱい。垢版2009/07/05(日) 02:08:43
NIS++とか妄想してみた
0250名無しさん＠お腹いっぱい。垢版2009/07/05(日) 17:26:41
Radius、Sun製品がある。
ADでUNIX、Linux管理できるのか？
0253名無しさん＠お腹いっぱい。垢版2009/12/27(日) 01:32:38
ユーザーの分類するのにobjcetClass使うのって正しい使い方？

mailしか使えないユーザー　objcetClass=mailResipient
sshでログインできるユーザー objcetClass=posixUser
squidにだけアクセスできるユーザー objcetClass=inetOrgPerson


0254名無しさん＠お腹いっぱい。垢版2009/12/27(日) 02:55:56
mailしか使えないというのはどういう意味ですか?
mail spoolもそのシステムには存在しないのでしょうか?
squidにだけアクセスできるというのはどういう意味ですか?
squidでユーザ認証はしますか?
0255名無しさん＠お腹いっぱい。垢版2009/12/27(日) 05:55:19
postfixのユーザー情報検索設定に　%s=mail && objcetClass = mailResipient

みたいなものを書き足せばメールアドレスだけ使えるユーザーになるのではないかと思いました
0265名無しさん＠お腹いっぱい。垢版2010/01/16(土) 17:49:45
明けましておめでとうございます。

ldapsearch -x -b 'dc=localdomain' '(&(objectClass=posixGroup)(memberUid=hoge))'
のようにして、特定のposixAccountが属するposixGroupの一覧は得られますが、
逆に、特定のposixGroupに属するposixAccountの一覧を得るにはどのようにすればよいのでしょうか？
0266名無しさん＠お腹いっぱい。垢版2010/01/16(土) 23:07:24
ちなみに下記の方法を考えました。

1. posixGroupとposixAccountの関係をきちんとツリー構造にする。
同じposixAccountのコピーだらけになってしまう点が難。aliasは（以下略

2. posixAccountのdescriptionなどにグループ名を含ませて検索に利用する。
オレオレ仕様な点が難。

もし>>41氏のまとめにヒントがありましたら、ぜひ再アップを希望致します。
0268名無しさん＠お腹いっぱい。垢版2010/01/17(日) 07:16:24
>>267
ありがとうございます。
なのですが、uidのみの一覧ではなく、uidを含むposixAccount全体の一覧を得たい感じです。

どうやらmemberof overlayという仕組みが目的に近いようです。
全く未知の分野なので暫く地下に潜ります。
失礼しました。
0269名無しさん＠お腹いっぱい。垢版2010/01/17(日) 10:14:27
for i in `上記のコマンド | sed -n '/^memberUid/p' | awk '{ print $2 }'`; do
ldapsearch -x -b 'dc=localdomain' "(&(objectClass=posixAccount)(uid=$i))"
done


0270名無しさん＠お腹いっぱい。垢版2010/02/23(火) 01:14:43
個人の自鯖ローカルでとりあえずOIDを振りたい場合、
1.3.6.1.3 Experimental
を使っておけば問題ないのでしょうか？
0271名無しさん＠お腹いっぱい。垢版2010/02/23(火) 01:38:18
あ、1.1を使えとOpenLDAP 2.2 Administrator's Guideに書いてありました。
でもバージョン2.3以降からその行が消えています。謎です。
0277名無しさん＠お腹いっぱい。垢版2010/10/02(土) 22:43:10
LPICの話題も無いんだな
0278名無しさん＠お腹いっぱい。垢版2010/10/09(土) 20:45:51
ああ、LPIC 301か。
2004年ごろにLPIC Level 3にLDAPの試験が用意されると聞いて
受験してみようと思いつつ、もう6年経ってしまった。
0280名無しさん＠お腹いっぱい。垢版2010/10/10(日) 11:51:55
>>278
この前取ったよ、301。
資格本だけじゃあ無理だった、、管理者権限とかSambaでバックアンドデータベースに
指定したときのパスワード不整合時の現象とか調べるべき最初の対応とか
実機構築しないと知りえない無理な内容が満載っだったさ・・

>>279
資格全般板にあるけど、資格本何がいい？とかこの資格取る意味あるの？とか
そんな話ばかり・・
0283名無しさん＠お腹いっぱい。垢版2010/11/11(木) 15:34:22
LDAPサーバとSambaサーバを連携させる場合について質問です。
互いに別の環境で動かす場合、ldap用のpamモジュールとnssモジュールが必要なのは
Sambaサーバが起動している環境のみですよね。
0284名無しさん＠お腹いっぱい。垢版2010/11/11(木) 16:57:44
pamとnssのモジュールは、LDAP情報を使ってログインするUNIX上で必要です。
pamは認証を、nssはユーザ情報を取り扱います。
0287名無しさん＠お腹いっぱい。垢版2011/04/28(木) 18:17:28.54
というか存在意義ありましたか?
OpenLDAPサポートする会社あるから、
なにか助けて欲しければそこに頼めばいいし。
中の人同じだしw
0291名無しさん＠お腹いっぱい。垢版2011/06/23(木) 15:33:39.62
Debian(squeeze)でldap+kerberosを利用した認証を
出来るようになりましたが、ldapのposixAccountを継
承したエントリのhost属性をチェックして、マシンへの
ログインを制限することが出来ません。

/etc/libnss-ldap.confで
pam_check_host_attr yes
pam_fileter host=<ホストのFQDN>
を記述してやれば良いのかと思ったのですが間違っ
ているのでしょうか？

LDAPサーバで、ユーザアカウントのエントリのhost
属性を、わざと間違ったものにして試してみるのです
が、ログイン出来てしまうのです。

objectClass: extensibleObject
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: person
objectClass: posixAccount
objectClass: top
cn: ***
gidNumber: ***
homeDirectory: ***
sn: ***
uid: ***
uidNumber: ***
loginShell: ***
host: <間違ったホストのFQDN>
0292名無しさん＠お腹いっぱい。垢版2011/06/23(木) 16:43:01.12
>>291
> pam_check_host_attr yes
> pam_fileter host=<ホストのFQDN>

この２つは別の機能です。

前者は、
host: !拒絶するホスト名
host: 許可するホスト名
host: *
でホスト指定できます。大文字小文字は区別しません。
比較する文字列はgethostname(2)で得られたものです。
最初の一つにマッチするか、後の２つにマッチしないと認証失敗して、
"Access denied for this host"のログを吐きます。
だから、pam_check_host_attrがyesのホストでは、
host属性がないアカウントは一切ログインできなくなります。

後者は、アカウントを検索する時のfilter指定です。
検索失敗すると"pam_ldap: ldap_search_s 〜"のログを吐きます。

これ以外にデバッグログを得る方法はありません。
(Debianのパッケージ版についてはよく知らないが、オリジナルのソースでは)
0293名無しさん＠お腹いっぱい。垢版2011/06/23(木) 16:48:36.15
>>291
> /etc/libnss-ldap.confで

上にも書いたようにDebian系はよく知らないのですが、
書く場所を間違えているということはないですか。
つまりpam_check_host_attrがyesになってないのでは?
0294291垢版2011/06/23(木) 20:26:52.44
/etc/libnss-ldap.conf
/etc/pam_ldap.conf
の両方とも

pam_filterをコメント
pam_check_host_attrをyes

にしてLDAPの当該エントリのhost属性を消去してみましたが
やはりログイン出来てしまいます。
/var/log/auth.logを見ているのですが、

ログにはpam_krb5とpam_unixのものしかでてこないのはおか
しいのでしょうか？通常pam_ldapもログに現れますか？
0296291垢版2011/06/24(金) 17:05:38.07
LDAP+gssapi(Kerberos)による認証の場合、pam_krb5で
ユーザ認証をし、pam_unixでユーザのuidやgidなどの
取得を試み、失敗したらログインさせないように動くよう
です。
KerberosにはあってLDAPに無いユーザでログインしよう
とするとgetpwnam(<ユーザ名>)で識別できなかったとい
うエラーがログに記録されます。

この時にpam_filterのチェックは行われるのかと思ったの
ですが、やってくれない。
0298291垢版2011/06/24(金) 21:11:06.78
>>297
認証時の動きを見たくて試したときの話しです。

Kerberos使わずにLDAPに認証もやらせれば出来るのですかね。
LDAPとKerberosを合わせた場合の資料が少ないのですよね。
0299名無しさん＠お腹いっぱい。垢版2011/12/14(水) 20:31:57.65
どうしてslapdなんて名前にしたんだろうな
ldapdでいいじゃん
0300名無しさん＠お腹いっぱい。垢版2012/01/04(水) 00:53:28.64
LDAP-DNS についてわかりやすいサイトｷﾎﾞﾝﾇ
0301名無しさん＠お腹いっぱい。垢版2012/01/17(火) 15:26:42.28
LDAPの何がええのん？
読み取りが高速で書き込みが低速ってのは解説記事から分かったんだけど、
だからなんなの？って思ってしまう。
DNSくらいしか使い道ないんじゃないの？
DBからLDAPに変えて大幅に成功が向上したとかっていう成功事例ってないの？
新着レスの表示
レスを投稿する

ニューススポーツなんでも実況