OpenLDAP

**名無しさん＠お腹いっぱい。** · 2007/08/02(木) 01:24:49

なぜないのだ、この話題？

**名無しさん＠お腹いっぱい。** · 2007/08/02(木) 04:09:08

組織論には興味ないけど
フォルダ・アイコンを入れてみたり
学校給食のレシピを入れたりすると美味しそうだ

**名無しさん＠お腹いっぱい。** · 2007/08/02(木) 07:48:24

もう落ちたけど

LDAPについて
http://pc11.2ch.net/test/read.cgi/unix/1012650811/

**名無しさん＠お腹いっぱい。** · 2007/08/09(木) 09:44:40

「オープンエルダップ」とかいうクソ野郎がいるので

なぜLだけ仲間外れにするのか。

**名無しさん＠お腹いっぱい。** · 2007/08/09(木) 09:59:16

普通「エルダップ」じゃね？
http://ja.wikipedia.org/wiki/Lightweight_Directory_Access_Protocol
http://en.wikipedia.org/wiki/Lightweight_Directory_Access_Protocol
http://e-words.jp/w/LDAP.html

**名無しさん＠お腹いっぱい。** · 2007/08/09(木) 17:20:47

正しくは

オゥペネルディ・エ・ピ

(英語は発音大事)

**名無しさん＠お腹いっぱい。** · 2007/08/09(木) 17:29:15

この「英語は発音大事」ってやつ、
何がおもしろいのかわからん。

**名無しさん＠お腹いっぱい。** · 2007/08/16(木) 12:57:34

userPassword: {crypt}xxxxyyy
となってるのに
phpLdapAdminでpasswdの確認しようとすると
{ssha}違う文字列
が出てパスワードも一致しない
どこがおかしいの？

vine linux4　phpLdapAdmin 0.9 php5
その他はvineの標準のものを入れてます
Dovecotから読み込まれてるパスワードも一致しません

同様の設定でRHEL5 phpLdapAdmin 1 dovecotで行ったら
問題なく動いています

**名無しさん＠お腹いっぱい。** · 2007/08/19(日) 07:48:25

CentOS 5 で LDAP を使った認証をしようとしています。
LDAP サーバは別途用意し、既に認証もできているのですが、
一つ疑問があります。それは /etc/ldap.conf と
/etc/openldap/ldap.conf の違いです。
たとえば参照する LDAP サーバは両者で設定しますが、
なぜ二重に設定する必要があるのでしょうか？

libnss-ldap ライブラリは /etc/ldap.conf を、
ldapsearch コマンドは /etc/openldap/ldap.conf を
見に行っているようなのですが、いつどちらが参照されるかについて
何らかの規則性があるのでしょうか？

**名無しさん＠お腹いっぱい。** · 2007/08/27(月) 12:37:58

>>9
私はauthconfigで自動設定で問題なく動いてます

**名無しさん＠お腹いっぱい。** · 2007/09/06(木) 16:34:50

authconfig-tuiでLDAP認証の設定するとき、TLSを使用に*入れて
ldapサーバのアドレスを　ldap://<servername>　にするとちゃんと認証してくれるんだが
ldaps://<servername>　にするとなんかダメなのな。

tcpdumpで通信内容覗いてみると　ldap://　でも平文では送ってないようなんだが
なんか気持ち悪いんだよな。

**名無しさん＠お腹いっぱい。** · 2007/09/08(土) 17:43:23

>>11
たぶん　LDAPS じゃなくて startTLS を使っているからだよ

**名無しさん＠お腹いっぱい。** · 2007/09/10(月) 11:17:53

Apacheのbasic認証だとaliasは効くんだが、ログインでalias使うのは無理なんかね。

dc=example,dc=com
├ ou=Account
｜　├ uid=hoge
｜　└ uid=piyo
｜　　　　（objectClassはaccount,posixaccount）
└ ou=Aliases
　　├ ou=alphaLogin
　　｜　├ uid=hoge（aliasedObjectNameはAccount配下のuid=hogeを指定）
　　｜　└ uid=piyo（aliasedObjectNameはAccount配下のuid=piyoを指定）
　　└ ou=blavoLogin
　　　　└ uid=hoge（aliasedObjectNameはAccount配下のuid=hogeを指定）
　　　　　（objectClassはalias,extensibleObject）

こんな感じでデータツリー作って、alpha.example.comにはhogeとpiyoを、
blavo.example.comにはhogeだけをログインさせるなんてことをしようと思った訳だが。

authconfigでベースDNを dc=example,dc=com じゃなくて
ou=alphaLogin,ou=Aliases,dc=example,dc=com にしてみたんだが上手くいかんかったな。
同じこと考えてる奴で上手く動かしているのがいたらどこをイジったか教えてくれんかな。

**名無しさん＠お腹いっぱい。** · 2007/09/10(月) 12:00:24

俺、あんまり詳しくないんだけど
uid=hogeが重複してるのは関係ない？

**名無しさん＠お腹いっぱい。** · 2007/09/10(月) 13:10:10

おｋ、cnでやってみるお

**名無しさん＠お腹いっぱい。** · 2007/09/10(月) 13:24:10

だめだった。

dc=example,dc=com
├ ou=Account
｜　├ uid=hoge
｜　└ uid=piyo
｜　　　　（objectClassはaccount,posixaccount）
└ ou=Aliases
　　├ ou=alphaLogin
　　｜　├ uid=hoge（aliasedObjectNameはAccount配下のuid=hogeを指定）
　　｜　└ uid=piyo（aliasedObjectNameはAccount配下のuid=piyoを指定）
　　├ ou=blavoLogin
　　｜　└ uid=hoge（aliasedObjectNameはAccount配下のuid=hogeを指定）
　　｜　　（objectClassはalias,extensibleObject）
　　└ ou=Apache
　　　　├ ou=directoryA
　　　　｜　├ uid=hoge（aliasObjectNameは以下同文）
　　　　｜　└ uid=piyo（aliasObjectNameは以下同文）
　　　　└ ou=directoryB
　　　　　　└ uid=hoge（ｒｙ

みたいにApacheのBasic認証でもuid使ってるんだがこっちは
上手くいってるんだよね。

**名無しさん＠お腹いっぱい。** · 2007/09/11(火) 09:38:26

>>13
その構成、俺もやりたかったんだが去年挫折した。
資料が殆どなくてさ、全然解らなかった。

もし解決したら是非教えて欲しい。

**名無しさん＠お腹いっぱい。** · 2007/09/11(火) 10:12:05

昨日からうんうん唸っていますが解決せず。
とりあえず@IT会議室にも放り込んでみたんだが、まだレスつかないなぁ。

もうちょい待ってダメならいよいよ日本LDAPユーザ会のMLで聞いてみるですよ。

**名無しさん＠お腹いっぱい。** · 2007/09/11(火) 11:36:12

aliasがアリアスに見えてきた

いい選手だったのにネ

**名無しさん＠お腹いっぱい。** · 2007/09/11(火) 18:34:03

ttp://sakuratan.ddo.jp/uploader/source/date51593.png

実験データさらしてみる。
ou=aliasedLogin,ou=Alias,o=Junk,c=jp をベースにして
配下にある objectClass=alias のデータでログインできれば
幸せのあまり昇天という寸法よ。クフゥ。

Apacheの方はこういう風にデータ格納してあります。
　・馬鹿力ディレクトリには伊集院と渡辺だけ
　・カーボーイディレクトリには大田と田中と野口だけ
　・DJディレクトリには伊集院と大田と田中だけ
　・staffディレクトリには渡辺と野口だけ
ってのはうまくいってる。

**名無しさん＠お腹いっぱい。** · 2007/09/12(水) 09:28:17

X
叫んでみろX
berylしてみろX
全て脱ぎ捨てろ
おーお前等歌えよー

**名無しさん＠お腹いっぱい。** · 2007/09/12(水) 09:49:01

半分俺ちゃんの備忘録になってる面があるが。

http://www.linux.or.jp/JF/JFdocs/LDAP-Implementation-HOWTO/pamnss.html　より
==========
2.1.3. Lightweight Directory Access Protocol

今回のアプリケーションでは、ユーザアカウントとユーザグループに関する情報を
クライアントに供給するために LDAP が使用されます。ユーザとグループを表わすのに
用いられる標準的な objectclass は top, posixAccount, shadowAccount, posixGroup です。

データベース上のユーザ関連のエントリは少なくとも [3] top, posixAccount, shadowAccount の
objectclass に属していなくてはなりません。グループエントリは top と posixGroup の objectclass に
属していなくてはなりません。

今回利用する pam_ldap と nss_ldap の実装がこの objectclass を参照するからです。この
objectclass は RFC 2307 に記述されているものです。

Note: 実際には、LDAP 版 NSS はここで例示しなかった objectclass も認識します。
==========

>>データベース上のユーザ関連のエントリは少なくとも [3] top, posixAccount, shadowAccount の
>>objectclass に属していなくてはなりません。グループエントリは top と posixGroup の objectclass に
>>属していなくてはなりません。

ちゅーことはobjectClass が alias だったり extensibleObject だったり uidObject なのは
ダメってことなのね。逆に言えば pam 関連イジればできるかもという可能性？

**名無しさん＠お腹いっぱい。** · 2007/09/12(水) 12:01:54

alias データの objectClass を alias と posixAccount にしてみた。
id <userName>　は通るようにはなったが、どうやら userPassword を
aliasedObjectName の先に見に行っていないようだ。うぬぬ。

**名無しさん＠お腹いっぱい。** · 2007/09/12(水) 13:41:11

host という属性が気になりはじめたお（ ^ω^）

**名無しさん＠お腹いっぱい。** · 2007/09/12(水) 14:05:09

alias 使った手段じゃ無いけど、これって解決策になってね？
　↓
ttp://blog.hide-k.net/archives/2005/12/ldap.php