OpenLDAP

**名無しさん＠お腹いっぱい。** · 2007/08/02(木) 01:24:49

なぜないのだ、この話題？

**名無しさん＠お腹いっぱい。** · 2009/06/23(火) 23:01:26

>>246が扱いきれないだけでは？

**名無しさん＠お腹いっぱい。** · 2009/07/05(日) 02:08:43

NIS++とか妄想してみた

**名無しさん＠お腹いっぱい。** · 2009/07/05(日) 17:26:41

Radius、Sun製品がある。
ADでUNIX、Linux管理できるのか？

**名無しさん＠お腹いっぱい。** · 2009/07/05(日) 18:54:08

出来ないでもないだろうけど、
バージョンアップするたびに検証する必要があるな、MS製品の場合。

**名無しさん＠お腹いっぱい。** · 2009/08/13(木) 21:46:40

こんばんは、紀元前です。

**名無しさん＠お腹いっぱい。** · 2009/12/27(日) 01:32:38

ユーザーの分類するのにobjcetClass使うのって正しい使い方？

mailしか使えないユーザー　objcetClass=mailResipient
sshでログインできるユーザー objcetClass=posixUser
squidにだけアクセスできるユーザー objcetClass=inetOrgPerson

**名無しさん＠お腹いっぱい。** · 2009/12/27(日) 02:55:56

mailしか使えないというのはどういう意味ですか?
mail spoolもそのシステムには存在しないのでしょうか?
squidにだけアクセスできるというのはどういう意味ですか?
squidでユーザ認証はしますか?

**名無しさん＠お腹いっぱい。** · 2009/12/27(日) 05:55:19

postfixのユーザー情報検索設定に　%s=mail && objcetClass = mailResipient

みたいなものを書き足せばメールアドレスだけ使えるユーザーになるのではないかと思いました

**名無しさん＠お腹いっぱい。** · 2009/12/27(日) 06:22:05

resipient()笑

**名無しさん＠お腹いっぱい。** · 2009/12/27(日) 09:17:46

>>255
質問に全部答えろw
mail spoolはなくていいの?

**名無しさん＠お腹いっぱい。** · 2009/12/27(日) 17:36:31

いや、そこは本題じゃないだろ
むしろ、どうして関係あるといいたいのだね?

**名無しさん＠お腹いっぱい。** · 2009/12/27(日) 19:25:10

>>258
お前には聞いてないw

**名無しさん＠お腹いっぱい。** · 2009/12/27(日) 20:56:53

俺はお前に聞いてるんだ
質問に全部答えろ
mail spool はどうして関係してるの?

**名無しさん＠お腹いっぱい。** · 2009/12/27(日) 21:01:48

君には答えないよ。

**名無しさん＠お腹いっぱい。** · 2009/12/28(月) 03:21:57

じゃぁおれが答えるよ。

**名無しさん＠お腹いっぱい。** · 2009/12/28(月) 03:29:23

どうぞどうぞ

**名無しさん＠お腹いっぱい。** · 2009/12/28(月) 07:38:13

はえーよｗ

**名無しさん＠お腹いっぱい。** · 2010/01/16(土) 17:49:45

明けましておめでとうございます。

ldapsearch -x -b 'dc=localdomain' '(&(objectClass=posixGroup)(memberUid=hoge))'
のようにして、特定のposixAccountが属するposixGroupの一覧は得られますが、
逆に、特定のposixGroupに属するposixAccountの一覧を得るにはどのようにすればよいのでしょうか？

**名無しさん＠お腹いっぱい。** · 2010/01/16(土) 23:07:24

ちなみに下記の方法を考えました。

1. posixGroupとposixAccountの関係をきちんとツリー構造にする。
同じposixAccountのコピーだらけになってしまう点が難。aliasは（以下略

2. posixAccountのdescriptionなどにグループ名を含ませて検索に利用する。
オレオレ仕様な点が難。

もし>>41氏のまとめにヒントがありましたら、ぜひ再アップを希望致します。

**名無しさん＠お腹いっぱい。** · 2010/01/17(日) 02:33:50

ldapsearch -x -b 'dc=localdomain' '(&(objectClass=posixGroup)(cn=hoge))' memberUid

**名無しさん＠お腹いっぱい。** · 2010/01/17(日) 07:16:24

>>267
ありがとうございます。
なのですが、uidのみの一覧ではなく、uidを含むposixAccount全体の一覧を得たい感じです。

どうやらmemberof overlayという仕組みが目的に近いようです。
全く未知の分野なので暫く地下に潜ります。
失礼しました。

**名無しさん＠お腹いっぱい。** · 2010/01/17(日) 10:14:27

for i in `上記のコマンド | sed -n '/^memberUid/p' | awk '{ print $2 }'`; do
ldapsearch -x -b 'dc=localdomain' "(&(objectClass=posixAccount)(uid=$i))"
done

**名無しさん＠お腹いっぱい。** · 2010/02/23(火) 01:14:43

個人の自鯖ローカルでとりあえずOIDを振りたい場合、
1.3.6.1.3 Experimental
を使っておけば問題ないのでしょうか？

**名無しさん＠お腹いっぱい。** · 2010/02/23(火) 01:38:18

あ、1.1を使えとOpenLDAP 2.2 Administrator's Guideに書いてありました。
でもバージョン2.3以降からその行が消えています。謎です。

**名無しさん＠お腹いっぱい。** · 2010/02/24(水) 00:58:07

>>270
それはExperimental RFCで定義されているOID用。
割り当てて貰うか、いいのを探すか。
>>271
よくない使い方を勧めれば削除されて当然。

**名無しさん＠お腹いっぱい。** · 2010/03/22(月) 10:39:04

shelldapの説明ｸｿﾜﾛﾀ

**名無しさん＠お腹いっぱい。** · 2010/05/24(月) 03:24:19

OpenLDAPのLDAP構造体って、非公開データになったんだっけ？

**名無しさん＠お腹いっぱい。** · 2010/05/24(月) 03:44:22

いや、そんなことありませんでした。
ソースもってきたらちゃんと書いてありました僕が馬鹿でした

**名無しさん＠お腹いっぱい。** · 2010/07/15(木) 16:03:46

弟は、かゆいから掻いてたと言い訳してたけど、あの手の動きは間違いなくアレだと思った。

**名無しさん＠お腹いっぱい。** · 2010/10/02(土) 22:43:10

LPICの話題も無いんだな

**名無しさん＠お腹いっぱい。** · 2010/10/09(土) 20:45:51

ああ、LPIC 301か。
2004年ごろにLPIC Level 3にLDAPの試験が用意されると聞いて
受験してみようと思いつつ、もう6年経ってしまった。

**名無しさん＠お腹いっぱい。** · 2010/10/09(土) 22:10:18

資格は専用の板があるんじゃないの？
なければマ板がいいんじゃない？

**名無しさん＠お腹いっぱい。** · 2010/10/10(日) 11:51:55

>>278
この前取ったよ、301。
資格本だけじゃあ無理だった、、管理者権限とかSambaでバックアンドデータベースに
指定したときのパスワード不整合時の現象とか調べるべき最初の対応とか
実機構築しないと知りえない無理な内容が満載っだったさ・・

>>279
資格全般板にあるけど、資格本何がいい？とかこの資格取る意味あるの？とか
そんな話ばかり・・

**名無しさん＠お腹いっぱい。** · 2010/10/10(日) 13:31:11

運用してもいない、し始める予定もない奴に、試験の話されても困るわけで。

**名無しさん＠お腹いっぱい。** · 2010/10/10(日) 18:00:36

>>280
別に資格なんて取らなくても仕事できるんだし、何威張ってんだ？

**名無しさん＠お腹いっぱい。** · 2010/11/11(木) 15:34:22

LDAPサーバとSambaサーバを連携させる場合について質問です。
互いに別の環境で動かす場合、ldap用のpamモジュールとnssモジュールが必要なのは
Sambaサーバが起動している環境のみですよね。

**名無しさん＠お腹いっぱい。** · 2010/11/11(木) 16:57:44

pamとnssのモジュールは、LDAP情報を使ってログインするUNIX上で必要です。
pamは認証を、nssはユーザ情報を取り扱います。

**名無しさん＠お腹いっぱい。** · 2011/04/28(木) 13:37:03.32

いつからこうなってたの?
http://www.ldap-jp.org/

**名無しさん＠お腹いっぱい。** · 2011/04/28(木) 14:20:29.15

騙されたんだよ

**名無しさん＠お腹いっぱい。** · 2011/04/28(木) 18:17:28.54

というか存在意義ありましたか?
OpenLDAPサポートする会社あるから、
なにか助けて欲しければそこに頼めばいいし。
中の人同じだしw

**名無しさん＠お腹いっぱい。** · 2011/04/28(木) 18:27:23.63

単にドメインの期限切れた後に
よそに取られただけでしょ?

**名無しさん＠お腹いっぱい。** · 2011/04/28(木) 18:32:09.61

http://web.archive.org/*/http://www.ldap-jp.org/
で見ると、
2007/03/31 前の状態
2007/12/23-2008/04/24 アクセス不可
2009/03/05 今の状態

**名無しさん＠お腹いっぱい。** · 2011/04/28(木) 18:34:26.00

つーかこっちじゃん。
http://www.ldap.jp/

**名無しさん＠お腹いっぱい。** · 2011/06/23(木) 15:33:39.62

Debian(squeeze)でldap+kerberosを利用した認証を
出来るようになりましたが、ldapのposixAccountを継
承したエントリのhost属性をチェックして、マシンへの
ログインを制限することが出来ません。

/etc/libnss-ldap.confで
pam_check_host_attr yes
pam_fileter host=<ホストのFQDN>
を記述してやれば良いのかと思ったのですが間違っ
ているのでしょうか？

LDAPサーバで、ユーザアカウントのエントリのhost
属性を、わざと間違ったものにして試してみるのです
が、ログイン出来てしまうのです。

objectClass: extensibleObject
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: person
objectClass: posixAccount
objectClass: top
cn: ***
gidNumber: ***
homeDirectory: ***
sn: ***
uid: ***
uidNumber: ***
loginShell: ***
host: <間違ったホストのFQDN>

**名無しさん＠お腹いっぱい。** · 2011/06/23(木) 16:43:01.12

>>291
> pam_check_host_attr yes
> pam_fileter host=<ホストのFQDN>

この２つは別の機能です。

前者は、
host: !拒絶するホスト名
host: 許可するホスト名
host: *
でホスト指定できます。大文字小文字は区別しません。
比較する文字列はgethostname(2)で得られたものです。
最初の一つにマッチするか、後の２つにマッチしないと認証失敗して、
"Access denied for this host"のログを吐きます。
だから、pam_check_host_attrがyesのホストでは、
host属性がないアカウントは一切ログインできなくなります。

後者は、アカウントを検索する時のfilter指定です。
検索失敗すると"pam_ldap: ldap_search_s ～"のログを吐きます。

これ以外にデバッグログを得る方法はありません。
(Debianのパッケージ版についてはよく知らないが、オリジナルのソースでは)

**名無しさん＠お腹いっぱい。** · 2011/06/23(木) 16:48:36.15

>>291
> /etc/libnss-ldap.confで

上にも書いたようにDebian系はよく知らないのですが、
書く場所を間違えているということはないですか。
つまりpam_check_host_attrがyesになってないのでは?

**291** · 2011/06/23(木) 20:26:52.44

/etc/libnss-ldap.conf
/etc/pam_ldap.conf
の両方とも

pam_filterをコメント
pam_check_host_attrをyes

にしてLDAPの当該エントリのhost属性を消去してみましたが
やはりログイン出来てしまいます。
/var/log/auth.logを見ているのですが、

ログにはpam_krb5とpam_unixのものしかでてこないのはおか
しいのでしょうか？通常pam_ldapもログに現れますか？

**名無しさん＠お腹いっぱい。** · 2011/06/24(金) 11:35:29.63

そりゃおかしいね。

**291** · 2011/06/24(金) 17:05:38.07

LDAP+gssapi(Kerberos)による認証の場合、pam_krb5で
ユーザ認証をし、pam_unixでユーザのuidやgidなどの
取得を試み、失敗したらログインさせないように動くよう
です。
KerberosにはあってLDAPに無いユーザでログインしよう
とするとgetpwnam(<ユーザ名>)で識別できなかったとい
うエラーがログに記録されます。

この時にpam_filterのチェックは行われるのかと思ったの
ですが、やってくれない。

**名無しさん＠お腹いっぱい。** · 2011/06/24(金) 17:50:41.49

>>296
> KerberosにはあってLDAPに無いユーザで

エントリがなかったら、そもそもhost属性も付けられないよね。

**291** · 2011/06/24(金) 21:11:06.78

>>297
認証時の動きを見たくて試したときの話しです。

Kerberos使わずにLDAPに認証もやらせれば出来るのですかね。
LDAPとKerberosを合わせた場合の資料が少ないのですよね。