OpenLDAP

**名無しさん＠お腹いっぱい。** · 2007/08/02(木) 01:24:49

なぜないのだ、この話題？

**名無しさん＠お腹いっぱい。** · 2007/08/02(木) 04:09:08

組織論には興味ないけど
フォルダ・アイコンを入れてみたり
学校給食のレシピを入れたりすると美味しそうだ

**名無しさん＠お腹いっぱい。** · 2007/08/02(木) 07:48:24

もう落ちたけど

LDAPについて
http://pc11.2ch.net/test/read.cgi/unix/1012650811/

**名無しさん＠お腹いっぱい。** · 2007/08/09(木) 09:44:40

「オープンエルダップ」とかいうクソ野郎がいるので

なぜLだけ仲間外れにするのか。

**名無しさん＠お腹いっぱい。** · 2007/08/09(木) 09:59:16

普通「エルダップ」じゃね？
http://ja.wikipedia.org/wiki/Lightweight_Directory_Access_Protocol
http://en.wikipedia.org/wiki/Lightweight_Directory_Access_Protocol
http://e-words.jp/w/LDAP.html

**名無しさん＠お腹いっぱい。** · 2007/08/09(木) 17:20:47

正しくは

オゥペネルディ・エ・ピ

(英語は発音大事)

**名無しさん＠お腹いっぱい。** · 2007/08/09(木) 17:29:15

この「英語は発音大事」ってやつ、
何がおもしろいのかわからん。

**名無しさん＠お腹いっぱい。** · 2007/08/16(木) 12:57:34

userPassword: {crypt}xxxxyyy
となってるのに
phpLdapAdminでpasswdの確認しようとすると
{ssha}違う文字列
が出てパスワードも一致しない
どこがおかしいの？

vine linux4　phpLdapAdmin 0.9 php5
その他はvineの標準のものを入れてます
Dovecotから読み込まれてるパスワードも一致しません

同様の設定でRHEL5 phpLdapAdmin 1 dovecotで行ったら
問題なく動いています

**名無しさん＠お腹いっぱい。** · 2007/08/19(日) 07:48:25

CentOS 5 で LDAP を使った認証をしようとしています。
LDAP サーバは別途用意し、既に認証もできているのですが、
一つ疑問があります。それは /etc/ldap.conf と
/etc/openldap/ldap.conf の違いです。
たとえば参照する LDAP サーバは両者で設定しますが、
なぜ二重に設定する必要があるのでしょうか？

libnss-ldap ライブラリは /etc/ldap.conf を、
ldapsearch コマンドは /etc/openldap/ldap.conf を
見に行っているようなのですが、いつどちらが参照されるかについて
何らかの規則性があるのでしょうか？

**名無しさん＠お腹いっぱい。** · 2007/08/27(月) 12:37:58

>>9
私はauthconfigで自動設定で問題なく動いてます

**名無しさん＠お腹いっぱい。** · 2007/09/06(木) 16:34:50

authconfig-tuiでLDAP認証の設定するとき、TLSを使用に*入れて
ldapサーバのアドレスを　ldap://<servername>　にするとちゃんと認証してくれるんだが
ldaps://<servername>　にするとなんかダメなのな。

tcpdumpで通信内容覗いてみると　ldap://　でも平文では送ってないようなんだが
なんか気持ち悪いんだよな。

**名無しさん＠お腹いっぱい。** · 2007/09/08(土) 17:43:23

>>11
たぶん　LDAPS じゃなくて startTLS を使っているからだよ

**名無しさん＠お腹いっぱい。** · 2007/09/10(月) 11:17:53

Apacheのbasic認証だとaliasは効くんだが、ログインでalias使うのは無理なんかね。

dc=example,dc=com
├ ou=Account
｜　├ uid=hoge
｜　└ uid=piyo
｜　　　　（objectClassはaccount,posixaccount）
└ ou=Aliases
　　├ ou=alphaLogin
　　｜　├ uid=hoge（aliasedObjectNameはAccount配下のuid=hogeを指定）
　　｜　└ uid=piyo（aliasedObjectNameはAccount配下のuid=piyoを指定）
　　└ ou=blavoLogin
　　　　└ uid=hoge（aliasedObjectNameはAccount配下のuid=hogeを指定）
　　　　　（objectClassはalias,extensibleObject）

こんな感じでデータツリー作って、alpha.example.comにはhogeとpiyoを、
blavo.example.comにはhogeだけをログインさせるなんてことをしようと思った訳だが。

authconfigでベースDNを dc=example,dc=com じゃなくて
ou=alphaLogin,ou=Aliases,dc=example,dc=com にしてみたんだが上手くいかんかったな。
同じこと考えてる奴で上手く動かしているのがいたらどこをイジったか教えてくれんかな。

**名無しさん＠お腹いっぱい。** · 2007/09/10(月) 12:00:24

俺、あんまり詳しくないんだけど
uid=hogeが重複してるのは関係ない？

**名無しさん＠お腹いっぱい。** · 2007/09/10(月) 13:10:10

おｋ、cnでやってみるお

**名無しさん＠お腹いっぱい。** · 2007/09/10(月) 13:24:10

だめだった。

dc=example,dc=com
├ ou=Account
｜　├ uid=hoge
｜　└ uid=piyo
｜　　　　（objectClassはaccount,posixaccount）
└ ou=Aliases
　　├ ou=alphaLogin
　　｜　├ uid=hoge（aliasedObjectNameはAccount配下のuid=hogeを指定）
　　｜　└ uid=piyo（aliasedObjectNameはAccount配下のuid=piyoを指定）
　　├ ou=blavoLogin
　　｜　└ uid=hoge（aliasedObjectNameはAccount配下のuid=hogeを指定）
　　｜　　（objectClassはalias,extensibleObject）
　　└ ou=Apache
　　　　├ ou=directoryA
　　　　｜　├ uid=hoge（aliasObjectNameは以下同文）
　　　　｜　└ uid=piyo（aliasObjectNameは以下同文）
　　　　└ ou=directoryB
　　　　　　└ uid=hoge（ｒｙ

みたいにApacheのBasic認証でもuid使ってるんだがこっちは
上手くいってるんだよね。

**名無しさん＠お腹いっぱい。** · 2007/09/11(火) 09:38:26

>>13
その構成、俺もやりたかったんだが去年挫折した。
資料が殆どなくてさ、全然解らなかった。

もし解決したら是非教えて欲しい。

**名無しさん＠お腹いっぱい。** · 2007/09/11(火) 10:12:05

昨日からうんうん唸っていますが解決せず。
とりあえず@IT会議室にも放り込んでみたんだが、まだレスつかないなぁ。

もうちょい待ってダメならいよいよ日本LDAPユーザ会のMLで聞いてみるですよ。

**名無しさん＠お腹いっぱい。** · 2007/09/11(火) 11:36:12

aliasがアリアスに見えてきた

いい選手だったのにネ

**名無しさん＠お腹いっぱい。** · 2007/09/11(火) 18:34:03

ttp://sakuratan.ddo.jp/uploader/source/date51593.png

実験データさらしてみる。
ou=aliasedLogin,ou=Alias,o=Junk,c=jp をベースにして
配下にある objectClass=alias のデータでログインできれば
幸せのあまり昇天という寸法よ。クフゥ。

Apacheの方はこういう風にデータ格納してあります。
　・馬鹿力ディレクトリには伊集院と渡辺だけ
　・カーボーイディレクトリには大田と田中と野口だけ
　・DJディレクトリには伊集院と大田と田中だけ
　・staffディレクトリには渡辺と野口だけ
ってのはうまくいってる。

**名無しさん＠お腹いっぱい。** · 2007/09/12(水) 09:28:17

X
叫んでみろX
berylしてみろX
全て脱ぎ捨てろ
おーお前等歌えよー

**名無しさん＠お腹いっぱい。** · 2007/09/12(水) 09:49:01

半分俺ちゃんの備忘録になってる面があるが。

http://www.linux.or.jp/JF/JFdocs/LDAP-Implementation-HOWTO/pamnss.html　より
==========
2.1.3. Lightweight Directory Access Protocol

今回のアプリケーションでは、ユーザアカウントとユーザグループに関する情報を
クライアントに供給するために LDAP が使用されます。ユーザとグループを表わすのに
用いられる標準的な objectclass は top, posixAccount, shadowAccount, posixGroup です。

データベース上のユーザ関連のエントリは少なくとも [3] top, posixAccount, shadowAccount の
objectclass に属していなくてはなりません。グループエントリは top と posixGroup の objectclass に
属していなくてはなりません。

今回利用する pam_ldap と nss_ldap の実装がこの objectclass を参照するからです。この
objectclass は RFC 2307 に記述されているものです。

Note: 実際には、LDAP 版 NSS はここで例示しなかった objectclass も認識します。
==========

>>データベース上のユーザ関連のエントリは少なくとも [3] top, posixAccount, shadowAccount の
>>objectclass に属していなくてはなりません。グループエントリは top と posixGroup の objectclass に
>>属していなくてはなりません。

ちゅーことはobjectClass が alias だったり extensibleObject だったり uidObject なのは
ダメってことなのね。逆に言えば pam 関連イジればできるかもという可能性？

**名無しさん＠お腹いっぱい。** · 2007/09/12(水) 12:01:54

alias データの objectClass を alias と posixAccount にしてみた。
id <userName>　は通るようにはなったが、どうやら userPassword を
aliasedObjectName の先に見に行っていないようだ。うぬぬ。

**名無しさん＠お腹いっぱい。** · 2007/09/12(水) 13:41:11

host という属性が気になりはじめたお（ ^ω^）

**名無しさん＠お腹いっぱい。** · 2007/09/12(水) 14:05:09

alias 使った手段じゃ無いけど、これって解決策になってね？
　↓
ttp://blog.hide-k.net/archives/2005/12/ldap.php

**名無しさん＠お腹いっぱい。** · 2007/09/12(水) 17:07:28

>25
で上手くいきました。host で指定されていないとログインできないス。
alias じゃなくてデータ本体の host の値をいじくることで一元管理が
可能のようデスヨ。ぬふぅ

**名無しさん＠お腹いっぱい。** · 2007/09/14(金) 10:48:19

アク禁喰らってた

>>26
alias上手くいかなかったかぁ。
何にも協力できなかったが、俺も実装したかったので
興味有ったんだがなぁ。

**名無しさん＠お腹いっぱい。** · 2007/09/18(火) 13:48:29

どうやらクラスタ化したりした大量のマシンへのログインデータを
管理するには nisNetgroup とか使えってことらしい雰囲気。

オーム社の『LDAP -設定・管理・プログラミング』（4274065502）の6章あたり参考にして今遊んでいるですよ。
amazonのURL貼ろうとしたら長すぎて貼れないので上のISBNで検索してみるが吉。

上司から借りているんだが、こいつ３年くらい前の本だけど役に立ってる。
高いけど買うべきかもなー。

**名無しさん＠お腹いっぱい。** · 2007/09/18(火) 15:15:57

余計なの削ればいいじゃん。
http://www.amazon.co.jp/dp/4274065502

**名無しさん＠お腹いっぱい。** · 2007/09/18(火) 17:20:06

>29
／(^o^)＼

**名無しさん＠お腹いっぱい。** · 2007/09/21(金) 09:00:43

objectClass: top の存在意義がいまいち分からない

**名無しさん＠お腹いっぱい。** · 2007/09/21(金) 16:40:39

ttp://sakuratan.ddo.jp/uploader/source/date52367.pdf
pdfで済まんがこいつを見てくれ　これをどう思…

あ、いや。じゃねぇや。
この構築のしかただと、ログインサーバ群の数だけユーザのhostアトリビュートを
記述しなきゃいかんので面倒臭くてしょうがないから、ログインサーバ群をまとめて
処理できないもんかね。

できれば書き込むhostアトリビュートの数の最大値をクラスタの数にまで
押さえ込みたい。かといってログインサーバをクラスタごとに一つだと冗長性が
無いのが問題なのよ。エロい人助けて。

**名無しさん＠お腹いっぱい。** · 2007/09/23(日) 05:41:23

LDAP サーバとの通信ができないと root でのログインすら
できなくなってしまうのですが、何が原因なのでしょうか？

nsswitch.conf で passwd/group には files ldap の順番で
記述しています。コンソールからのログインに関しては
むしろ /etc/pam.d/login のほうが重要でしょうか？

そちらには
auth sufficient pam_unix.so nullok try_first_pass
auth sufficient pam_ldap.so use_first_pass
と書いています。

なお、nsswitch.conf で files ldap を files だけにすると
これで問題なく root でログインできるようになります。
名前解決ライブラリのバグなのでしょうか？

LDAPサーバ、クライアントともに CentOS 6 を使っています。

**名無しさん＠お腹いっぱい。** · 2007/09/23(日) 18:42:41

>>CentOS 6
未来人現る(；ﾟДﾟ)

**名無しさん＠お腹いっぱい。** · 2007/09/24(月) 01:06:39

>>34 CentOS 5 だった・・・・
Fedora Core 6 とごっちゃになってました。

32 · 2007/09/26(水) 16:56:02

当方の事案は解決しました。ありがとう。

32 · 2007/09/26(水) 18:49:26

ttp://home2.dip.jp/upload100_download.php?no=6598

とりあえず資料まとめたお。パス必須だったから OpenLDAP でおｋ
aliasでの制御は無理だったけど、似たような制御はこういう手段でできるみたい。

>33
ごめん、オイラじゃわかんなかった

**通りがかりの者** · 2007/10/01(月) 16:39:43

>>37
すみませんが、興味あってたどり着いた者です。
どうやってダウンロードしたらいいのですか？
DL KEYは何でしょうか？

**名無しさん＠お腹いっぱい。** · 2007/10/01(月) 17:26:19

日本語理解できねぇのか？

**通りがかりの者** · 2007/10/01(月) 17:36:09

>>39
あ、そういうことでしたか。読みが雑でした。
失礼しました。

**名無しさん＠お腹いっぱい。** · 2007/10/02(火) 11:26:54

んが、こんなんに興味持つ人がいるとは。
>37の後半部分にテキトーな文字列があったのは、実は同じ部局で>32を
自分が作成したと偽って提出したビッチ野郎が出たためとしておきます。
油断も隙もあったもんじゃねぇな。

ttp://sakuratan.ddo.jp/uploader/source/date53447.pdf

いくぶん詳しくまとめることができたのでドゾー

**名無しさん＠お腹いっぱい。** · 2007/10/02(火) 11:31:16

ああそうだ、せっかくだからニチデンに感謝しておくか。Wordで使えるクリップアートを
提供してくれているのはドキュメント作成するときにものすごい助かったし。

今度マシン組むときも光学ドライブ買わせていただきますです。

**名無しさん＠お腹いっぱい。** · 2007/10/02(火) 11:50:25

>>41
お疲れ。
LinuxやUnixサーバをAliasで管理できればもっと
楽になったんだろうけど。大分奇麗に管理されてるね。

**名無しさん＠お腹いっぱい。** · 2007/10/02(火) 13:27:29

>43
pam_ldapやnss_ldapの今後の動向に期待というところです。
aliasのobjectClassもサポートしてくれればよりすっきりしますしね。
それはそれとしてshadowAccountの存在をすっかり忘れていることに
今気づく。ひょっとして後でここがアキレス腱になったりして。

実運用の承認降りたら降りたで怖いけど、ノウハウの蓄積ができそうなので
半分ワクワクもしているというダメっぷりを遺憾なく発揮しています。

**名無しさん＠お腹いっぱい。** · 2007/10/03(水) 10:42:10

書き忘れてた。LDAPユーザ会MLと、特に恒川裕康氏に感謝を。
現状でもあまり活発なMLじゃないけど、日本のLDAPの第一人者の方々が
参加しているので、登録するだけでも価値はあると思いますよ。

**名無しさん＠お腹いっぱい。** · 2007/10/03(水) 18:02:50

ttp://www.atmarkit.co.jp/fjava/rensai3/eclipseplgn21/eclipseplgn21_1.html

ちょっと気になる記事。

**名無しさん＠お腹いっぱい。** · 2007/10/05(金) 16:51:00

FedoraDSはあんまりメジャーじゃねーのかね？

**名無しさん＠お腹いっぱい。** · 2007/10/12(金) 11:42:43

１週間書き込みがないと不安になるなぁ。UNIX板でdat落ちってのは
そうそうないのは分かっているんだが、普段生息している板の癖が抜けない

**名無しさん＠お腹いっぱい。** · 2007/10/14(日) 04:36:39

Becky のアドレス帳のニックネームでは、alias という属性を要求されるので
すが、少なくとも openldap-2.3.38 には存在しないようです。
Becky の実装がおかしいのでしょうか？

**名無しさん＠お腹いっぱい。** · 2007/10/15(月) 09:06:11

>49
yumで入れてるなら

find /etc/openldap/schema -name \*.schema | xargs grep alias

してからもう一度ここに質問しにおいで。

49 · 2007/10/15(月) 21:43:56

>>50
OS は Solaris9 で、ソースからコンパイルして入れてます。
ご指摘の内容は一度確認していましたが、alias がコメントアウトされている
ようで、なぜ？と思って質問しました。

ほとんどコメントアウトされているように見えましたが、唯一そうでなかった
のが misc.schema の
DESC 'NIS mail alias'
でした。さすがにこれは違いますね..。

他のコメントを見たら alias は OBJECT-CLASS として定義してあるようで..
このあたりで分からず...。もうちょっと勉強続けてみます。

**名無しさん＠お腹いっぱい。** · 2007/10/17(水) 23:18:59

>33

ファイルを直接編集せずに
authconfig-tuiを使用したほうが良いとおもわれ
centos5の場合は不要なはずですが以前のOSだと
/etc/pam.d/system-authを以下のように編集する必要があり

account [default=bad success=ok user_unknown=ignore service_err=ignore system_err=ignore authinfo_unavail=ignore] /lib/security/pam_ldap.so

authinfo_unavail=ignoneが必要

**名無しさん＠お腹いっぱい。** · 2007/10/17(水) 23:42:53

>41
ありがとう
ずっと探していた情報でした。
pam_filterを使うとは思いませんでした。

そういう観点ではpam_groupdnも良いかも
groupOfUniqueNamesクラスを使用するから
apacheのベーシック認証と似た感じになるし

**名無しさん＠お腹いっぱい。** · 2007/10/25(木) 18:24:59

うーむ、ロダだとそのうち消えるよな。
CMSも併せてやってるんだが、ブログが形になってきたら
pdf補完したほうがいいかね、やっぱり

**名無しさん＠お腹いっぱい。** · 2007/10/27(土) 11:07:02

syncreplでreadonly DNを使ってレプリケーションをしています。
この場合、コンシューマslapdに書き込みをしようとした場合、
うまくプロバイダslapdにredirectされるものなのでしょうか?
slurpdを使うときはupdatednに書いたDNを使って
マスタ側に書き込んでくれるようなのですが...。

**名無しさん＠お腹いっぱい。** · 2007/11/09(金) 00:41:54

オレ思ったんだけどLAN内のみのメールアドレス管理なら
LDAP導入しなくても
LAN内のみ閲覧可能なWEBサーバディレクトリに
mail toをhtmlに書いておけばいいんじゃないのか
とか思ったりしたんだ

**名無しさん＠お腹いっぱい。** · 2007/11/09(金) 09:05:34

オマエ天才だな。惚れたわ。

**名無しさん＠お腹いっぱい。** · 2007/11/11(日) 18:17:27

>>56
LDAPアドレス帳検索の方が一般的なメールクライアントで対応しているので楽
あとLDAPを構築しておけば他の用途にも使える(NASのアクセス認証、WWW認証等)

その駄案はてめぇのオナニーだけにしておけ

**名無しさん＠お腹いっぱい。** · 2007/11/12(月) 09:09:56

メールアドレス管理ってアドレス帳の事を言っていたのか。
意味がさっぱりわからなかったｗ

**名無しさん＠お腹いっぱい。** · 2007/11/13(火) 23:14:16

ttp://www.atmarkit.co.jp/flinux/rensai/root02/root02a.html

よくあるLDAPサーバの構築例だと、必ずといっていいほどLDAPサーバが
DMZに置かれているのですが、何故でしょうか？
ユーザ情報を扱う以上、LAN内に置いておいた方が安全だと思うのですが。

この構造だと、LDAPサーバを乗っ取られたが最後のように思えます。
それとも、「DMZには置くが、グローバルIPは振らない」という意味でしょうか？

**名無しさん＠お腹いっぱい。** · 2007/12/02(日) 13:22:21

/etc/nsswitch.conf に passwd compat ldap と書いています．
この状態でたとえば chown 0:0 myfile
などとすると，LDAP サーバに問い合わせに行きます．
そのために LDAP サーバが死んでいると root での
ファイル操作に支障をきたします．

libnss に必要のない lookup はさせないようには
できないのでしょうか？

**名無しさん＠お腹いっぱい。** · 2007/12/02(日) 18:04:05

>>60
うちは、レプリカサーバを認証サーバ用にDMZに立ち上げてる。
Radiusサーバも一緒に。

認証のdelegateサービスを想定してなければ、大体はあなたの言う通りだと思う。

ただし、mail aliasをLDAPに置いて、round robinのpostfixに参照させるなど、
使い道はたくさんあると思う。apacheが/~usernameの参照に使ったり。

そもそも共通のdirectory基盤としてLDAPが出て来たんだから、
初期はより外にという状況が多かった。
今はdirectory基盤としてLDAPは当たり前なんだから、
あなたの言うような内側のみの案件がどんどん増えているんだと思う。
10年くらい前だと、内側のみならNIS/NIS+/NetInfoで十分って話だった。

**名無しさん＠お腹いっぱい。** · 2007/12/02(日) 18:09:08

>>61
それchownの問題。

0は最初から数字なのに、
　0ってユーザがいなければ、数字と思う
ってロジック。アプリが引くんだからsearchしないと仕方がない。

rootって指定して、/etc/passwdには+を最後に書けば、引きにいかない。

**名無しさん＠お腹いっぱい。** · 2007/12/02(日) 18:21:52

>>63
なるほど，chown の問題でしたか．
Ubuntu を使っているのですが
（すみません，Linux板にLDAP関連のスレがなかったので）
起動時に X がらみで開いたソケットのオーナーを
chown で切り替えようとするんですよ．

鯖なので X サーバ自体は入れてないんですが，
PHP 関係ののパッケージを入れて依存関係で勝手に
入ってきた x11-common っていうパッケージに含まれる
起動スクリプトがなぜか X 関係のソケットを作成しようとするようで・・・

**名無しさん＠お腹いっぱい。** · 2007/12/02(日) 19:47:00

0って名前のユーザとグループ作っとけば?
rootと同じuid, gidで。

**名無しさん＠お腹いっぱい。** · 2007/12/02(日) 20:59:47

>>65
いろいろと挙動を調べてみると、なぜか必要もないの
gid じゃなくて groups を調べようとしているようです。
なので group を全部舐めようとしているみたい。

**ID:dTDEeRzx** · 2007/12/04(火) 13:05:03

CentOS part 11 【RHEL Clone】
http://pc11.2ch.net/test/read.cgi/linux/1195800848/106-107

106 名前：login:Penguin[sage] 投稿日：2007/12/04(火) 11:24:32 ID:dTDEeRzx
うｐだてでOpenLDAPのデータが吹っ飛んだ
BDBが壊れたかも

107 名前：login:Penguin[sage] 投稿日：2007/12/04(火) 12:18:11 ID:9Fjx+2mB
>>106
うちも消えた

/etc/openldap/schema/dnszone.schema
のパーミッションも変更されててldapが起動できなかった

オイラ達の外にもCentOS + OpenLDAPで何かう゛にゃってなった人いる？

**名無しさん＠お腹いっぱい。** · 2007/12/04(火) 13:26:39

過去レス見れば分かるけどあるよ。

Netscape系のFedora Directory Serverを使える環境の人は、
そっち使った方が安心だよ。OpenLDAP壊れすぎ。

**名無しさん＠お腹いっぱい。** · 2007/12/06(木) 08:43:47

>>62
レスありがとうございます。納得です。
DAPが必要な状況というのが、そもそも僕が思ってるよりも大規模なネットワークでの話だったんですね。
ActiveDirectoryと対比させて考えていたのでサッパリ分かってませんでした。

**名無しさん＠お腹いっぱい。** · 2007/12/06(木) 10:05:29

そうですね。
X.500みたいな広域サービスがLDAPの元になってますから。
(X.500のディレクトリアクセスプロトコルが「DAP」)
小規模なら階層構造の必要がほとんどないですよね。

**名無しさん＠お腹いっぱい。** · 2007/12/08(土) 13:20:55

OpenLDAPで管理できるユーザー数の上限はどのくらいですか？