LDAP 認証 - 版の履歴

Kusanaginoturugi: /* SSSD によるオンライン・オフライン認証 */ 章立てを修正(英語版準拠)

2022-10-20T03:04:06Z

SSSD によるオンライン・オフライン認証: 章立てを修正(英語版準拠)

← 古い版		2022年10月20日 (木) 12:04時点における版
258行目:		258行目:

	SSSD はシステムデーモンです。主な機能は共通フレームワークを通してリモートのリソースを識別・認証できるようにすることで、システムのキャッシュやオフラインのサポートを提供します。PAM や NSS モジュールも含まれており、将来的には D-BUS ベースのインタフェースによって拡張ユーザー情報も含める予定です。拡張ユーザーデータだけでなくローカルユーザーを保存するデータベースとしても使えます。		SSSD はシステムデーモンです。主な機能は共通フレームワークを通してリモートのリソースを識別・認証できるようにすることで、システムのキャッシュやオフラインのサポートを提供します。PAM や NSS モジュールも含まれており、将来的には D-BUS ベースのインタフェースによって拡張ユーザー情報も含める予定です。拡張ユーザーデータだけでなくローカルユーザーを保存するデータベースとしても使えます。

	==== インストール ====

	{{pkg\|sssd}} パッケージは[[公式リポジトリ]]からインストールできます。		{{pkg\|sssd}} パッケージは[[公式リポジトリ]]からインストールできます。

	==== SSSD ~~で基本的な認証を有効にする方法~~ ====		==== SSSD の設定 ====

	===== SSSD の設定 =====

	{{ic\|/etc/sssd/sssd.conf}} が存在しない場合は作成してください:		{{ic\|/etc/sssd/sssd.conf}} が存在しない場合は作成してください:
296行目:		292行目:
	最後に {{ic\|chmod 600 /etc/sssd/sssd.conf}} でパーミッションを設定してください。そうしないと sssd は起動しません。		最後に {{ic\|chmod 600 /etc/sssd/sssd.conf}} でパーミッションを設定してください。そうしないと sssd は起動しません。

	===== NSCD の設定 =====		==== NSCD の設定 ====

	sssd のキャッシュに干渉するので {{ic\|/etc/nscd.conf}} で passwd と group エントリのキャッシュを無効化します。		sssd のキャッシュに干渉するので {{ic\|/etc/nscd.conf}} で passwd と group エントリのキャッシュを無効化します。

	===== NSS の設定 =====		==== NSS の設定 ====

	以下のように {{ic\|/etc/nsswitch.conf}} を編集してください:		以下のように {{ic\|/etc/nsswitch.conf}} を編集してください:
326行目:		322行目:
	}}		}}

	===== PAM の設定 =====		==== PAM の設定 ====

	まず {{ic\|/etc/pam.d/system-auth}} を以下のように編集:		まず {{ic\|/etc/pam.d/system-auth}} を以下のように編集:
353行目:		349行目:
	}}		}}

	====== sudo の設定 ======		===== sudo の設定 =====

	{{ic\|/etc/pam.d/sudo}} を以下のように編集:		{{ic\|/etc/pam.d/sudo}} を以下のように編集:
363行目:		359行目:
	}}		}}

	====== パスワード管理 ======		===== パスワード管理 =====

	ユーザーが {{ic\|passwd}} を使って自分のパスワードを変えられるように {{ic\|/etc/pam.d/passwd}} を以下のように編集:		ユーザーが {{ic\|passwd}} を使って自分のパスワードを変えられるように {{ic\|/etc/pam.d/passwd}} を以下のように編集:

Kusanaginoturugi: /* SSSD によるオンライン・オフライン認証 */ 章立てを変更(英語版準拠)

2022-10-20T03:02:30Z

SSSD によるオンライン・オフライン認証: 章立てを変更(英語版準拠)

← 古い版		2022年10月20日 (木) 12:02時点における版
255行目:		255行目:
	}}		}}

	== SSSD によるオンライン・オフライン認証 ==		=== SSSD によるオンライン・オフライン認証 ===

	SSSD はシステムデーモンです。主な機能は共通フレームワークを通してリモートのリソースを識別・認証できるようにすることで、システムのキャッシュやオフラインのサポートを提供します。PAM や NSS モジュールも含まれており、将来的には D-BUS ベースのインタフェースによって拡張ユーザー情報も含める予定です。拡張ユーザーデータだけでなくローカルユーザーを保存するデータベースとしても使えます。		SSSD はシステムデーモンです。主な機能は共通フレームワークを通してリモートのリソースを識別・認証できるようにすることで、システムのキャッシュやオフラインのサポートを提供します。PAM や NSS モジュールも含まれており、将来的には D-BUS ベースのインタフェースによって拡張ユーザー情報も含める予定です。拡張ユーザーデータだけでなくローカルユーザーを保存するデータベースとしても使えます。

	=== インストール ===		==== インストール ====

	{{pkg\|sssd}} パッケージは[[公式リポジトリ]]からインストールできます。		{{pkg\|sssd}} パッケージは[[公式リポジトリ]]からインストールできます。

	=== SSSD で基本的な認証を有効にする方法 ===		==== SSSD で基本的な認証を有効にする方法 ====

	==== SSSD の設定 ====		===== SSSD の設定 =====

	{{ic\|/etc/sssd/sssd.conf}} が存在しない場合は作成してください:		{{ic\|/etc/sssd/sssd.conf}} が存在しない場合は作成してください:
296行目:		296行目:
	最後に {{ic\|chmod 600 /etc/sssd/sssd.conf}} でパーミッションを設定してください。そうしないと sssd は起動しません。		最後に {{ic\|chmod 600 /etc/sssd/sssd.conf}} でパーミッションを設定してください。そうしないと sssd は起動しません。

	==== NSCD の設定 ====		===== NSCD の設定 =====

	sssd のキャッシュに干渉するので {{ic\|/etc/nscd.conf}} で passwd と group エントリのキャッシュを無効化します。		sssd のキャッシュに干渉するので {{ic\|/etc/nscd.conf}} で passwd と group エントリのキャッシュを無効化します。

	==== NSS の設定 ====		===== NSS の設定 =====

	以下のように {{ic\|/etc/nsswitch.conf}} を編集してください:		以下のように {{ic\|/etc/nsswitch.conf}} を編集してください:
326行目:		326行目:
	}}		}}

	==== PAM の設定 ====		===== PAM の設定 =====

	まず {{ic\|/etc/pam.d/system-auth}} を以下のように編集:		まず {{ic\|/etc/pam.d/system-auth}} を以下のように編集:
353行目:		353行目:
	}}		}}

	===== sudo の設定 =====		====== sudo の設定 ======

	{{ic\|/etc/pam.d/sudo}} を以下のように編集:		{{ic\|/etc/pam.d/sudo}} を以下のように編集:
363行目:		363行目:
	}}		}}

	===== パスワード管理 =====		====== パスワード管理 ======

	ユーザーが {{ic\|passwd}} を使って自分のパスワードを変えられるように {{ic\|/etc/pam.d/passwd}} を以下のように編集:		ユーザーが {{ic\|passwd}} を使って自分のパスワードを変えられるように {{ic\|/etc/pam.d/passwd}} を以下のように編集:

Kusanaginoturugi: /* クライアントのセットアップ */ 章立てを変更(英語版準拠)

2022-10-20T03:01:15Z

クライアントのセットアップ: 章立てを変更(英語版準拠)

← 古い版		2022年10月20日 (木) 12:01時点における版
142行目:		142行目:
	次に、[[公式リポジトリ]]から {{pkg\|nss-pam-ldapd}} を[[インストール]]します。		次に、[[公式リポジトリ]]から {{pkg\|nss-pam-ldapd}} を[[インストール]]します。

	=== ~~NSS の設定~~ ===		=== オンライン認証 ===

			==== NSS の設定 ====
	NSS は様々なソースを設定データベースとして管理するシステムファリシティです。例えば、{{ic\|/etc/passwd}} は {{ic\|passwd}} データベースの {{ic\|file}} タイプのソースであり、ユーザーアカウントが保存されます。		NSS は様々なソースを設定データベースとして管理するシステムファリシティです。例えば、{{ic\|/etc/passwd}} は {{ic\|passwd}} データベースの {{ic\|file}} タイプのソースであり、ユーザーアカウントが保存されます。

157行目:		159行目:
	これでクライアント側で {{ic\|getent passwd}} を実行すると LDAP ユーザーが確認できるはずです。		これでクライアント側で {{ic\|getent passwd}} を実行すると LDAP ユーザーが確認できるはずです。

	=== PAM の設定 ===		==== PAM の設定 ====
	PAM の設定は大まかに言って {{ic\|pam_unix.so}} が書かれているところ全てに {{ic\|pam_ldap.so}} も記述するだけです。Arch は {{pkg\|pambase}} に移行しているため、編集が必要な箇所は減っています。pam の設定に関する詳細は [https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Managing_Smart_Cards/PAM_Configuration_Files.html RedHat のドキュメント] によくまとまっています。[http://arthurdejong.org/nss-pam-ldapd nss-pam-ldapd] の上流のドキュメントも読むと良いでしょう。		PAM の設定は大まかに言って {{ic\|pam_unix.so}} が書かれているところ全てに {{ic\|pam_ldap.so}} も記述するだけです。Arch は {{pkg\|pambase}} に移行しているため、編集が必要な箇所は減っています。pam の設定に関する詳細は [https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Managing_Smart_Cards/PAM_Configuration_Files.html RedHat のドキュメント] によくまとまっています。[http://arthurdejong.org/nss-pam-ldapd nss-pam-ldapd] の上流のドキュメントも読むと良いでしょう。

216行目:		218行目:
	}}		}}

	==== ログイン時にホームフォルダを作成 ====		===== ログイン時にホームフォルダを作成 =====

	ログイン時にホームフォルダを作成したい場合 (例: ホームフォルダを共有するのに NFS を使わない場合)、{{ic\|/etc/pam.d/system-login}} を編集して {{ic\|pam_mkhomedir.so}} を ''session'' セクションの "sufficient" アイテムの上に追加してください。ssh, xdm, kdm, gdm などから tty にログインしたときにホームフォルダが作成されるようになります。同じように {{ic\|/etc/pam.d/su}} や {{ic\|/etc/pam.d/su-l}} などのファイルも編集することで、{{ic\|su}} や {{ic\|su --login}} でもホームフォルダの作成を有効にできます。ssh ログインの場合はホームフォルダを作成して欲しくないときは {{ic\|system-login}} などのかわりに {{ic\|system-local-login}} を編集してください。		ログイン時にホームフォルダを作成したい場合 (例: ホームフォルダを共有するのに NFS を使わない場合)、{{ic\|/etc/pam.d/system-login}} を編集して {{ic\|pam_mkhomedir.so}} を ''session'' セクションの "sufficient" アイテムの上に追加してください。ssh, xdm, kdm, gdm などから tty にログインしたときにホームフォルダが作成されるようになります。同じように {{ic\|/etc/pam.d/su}} や {{ic\|/etc/pam.d/su-l}} などのファイルも編集することで、{{ic\|su}} や {{ic\|su --login}} でもホームフォルダの作成を有効にできます。ssh ログインの場合はホームフォルダを作成して欲しくないときは {{ic\|system-login}} などのかわりに {{ic\|system-local-login}} を編集してください。
238行目:		240行目:
	}}		}}

	==== sudo の有効化 ====		===== sudo の有効化 =====

	LDAP ユーザーから sudo を使うようにするには、{{ic\|/etc/pam.d/sudo}} を編集します。sudoers もあわせて編集する必要があります。		LDAP ユーザーから sudo を使うようにするには、{{ic\|/etc/pam.d/sudo}} を編集します。sudoers もあわせて編集する必要があります。

Kusanaginoturugi: 関連記事を追加(英語版に追従)

2021-05-15T01:58:20Z

関連記事を追加(英語版に追従)

← 古い版		2021年5月15日 (土) 10:58時点における版
5行目:		5行目:
	{{Related\|OpenLDAP}}		{{Related\|OpenLDAP}}
	{{Related\|LDAP ホスト}}		{{Related\|LDAP ホスト}}
			{{Related\|アイデンティティ管理}}
	{{Related articles end}}		{{Related articles end}}

Kusakata: カテゴリ変更

2019-02-28T15:54:17Z

カテゴリ変更

← 古い版		2019年3月1日 (金) 00:54時点における版
1行目:		1行目:
	[[Category:ネットワーク]]		[[Category:ネットワーク]]
	[[Category:~~セキュリティ~~]]		[[Category:認証]]
	[[en:LDAP authentication]]		[[en:LDAP authentication]]
	{{Related articles start}}		{{Related articles start}}

Kusakata.bot: 文字列「http://wiki.debian.org/」を「https://wiki.debian.org/」に置換

2018-02-06T14:43:54Z

文字列「http://wiki.debian.org/」を「https://wiki.debian.org/」に置換

← 古い版		2018年2月6日 (火) 23:43時点における版
379行目:		379行目:
	== 参照 ==		== 参照 ==
	* [http://arthurdejong.org/nss-pam-ldapd/setup nss-pam-ldapd パケットの公式ページ]		* [http://arthurdejong.org/nss-pam-ldapd/setup nss-pam-ldapd パケットの公式ページ]
	* Debian Wiki の PAM と NSS のページ: [~~http~~://wiki.debian.org/LDAP/NSS 1] [~~http~~://wiki.debian.org/LDAP/PAM 2]		* Debian Wiki の PAM と NSS のページ: [https://wiki.debian.org/LDAP/NSS 1] [https://wiki.debian.org/LDAP/PAM 2]
	* [https://www.fatofthelan.com/technical/using-ldap-for-single-authentication/ Using LDAP for single authentication]		* [https://www.fatofthelan.com/technical/using-ldap-for-single-authentication/ Using LDAP for single authentication]
	* [http://www.cs.dixie.edu/ldap/ Heterogeneous Network Authentication Introduction]		* [http://www.cs.dixie.edu/ldap/ Heterogeneous Network Authentication Introduction]

Kusakata: 同期

2017-08-23T12:16:19Z

同期

← 古い版		2017年8月23日 (水) 21:16時点における版
343行目:		343行目:
	password optional pam_permit.so		password optional pam_permit.so

			session required pam_mkhomedir.so skel=/etc/skel/ umask=0077
	session required pam_limits.so		session required pam_limits.so
	session required pam_unix.so		session required pam_unix.so

Kusakata: 同期

2017-01-03T04:47:08Z

同期

← 古い版		2017年1月3日 (火) 13:47時点における版
4行目:		4行目:
	{{Related articles start}}		{{Related articles start}}
	{{Related\|OpenLDAP}}		{{Related\|OpenLDAP}}
	{{~~Related3\|LDAP Hosts~~\|LDAP ホスト}}		{{Related\|LDAP ホスト}}
	{{Related articles end}}		{{Related articles end}}

11行目:		11行目:
	このガイドでは LDAP ディレクトリから Arch Linux を認証できるように設定します。LDAP ディレクトリはローカル (同一のコンピュータにインストール) でもネットワーク (中央認証が必要なラボ環境など) でもかまいません。		このガイドでは LDAP ディレクトリから Arch Linux を認証できるように設定します。LDAP ディレクトリはローカル (同一のコンピュータにインストール) でもネットワーク (中央認証が必要なラボ環境など) でもかまいません。

	ガイドは2つのパートに分かれています。最初のパートでは認証ディレクトリをホストする [[OpenLDAP]] サーバーをセットアップします。次のパートではクライアントコンピュータで認証を行うのに必要な NSS と PAM モジュールを設定します。既存の LDAP サーバーが存在して Arch の認証を設定したいだけの場合、2番目のパートまでスキップしてください。		ガイドは2つのパートに分かれています。最初のパートでは認証ディレクトリをホストする [[OpenLDAP]] サーバーをセットアップします。次のパートではクライアントコンピュータで認証を行うのに必要な NSS と PAM モジュールを設定します。既存の LDAP サーバーが存在して Arch の認証を設定したいだけの場合、[[#クライアントのセットアップ\|2番目のパート]]までスキップしてください。

	=== NSS と PAM ===		=== NSS と PAM ===
133行目:		133行目:
	$ ldapadd -D "cn=Manager,dc=example,dc=org" -W -f user_joe.ldif		$ ldapadd -D "cn=Manager,dc=example,dc=org" -W -f user_joe.ldif

	{{Note\|~~You can automatically migrate all of your local accounts (and groups, etc.) to the LDAP directory using~~ PADL Software's [http://www.padl.com/OSS/MigrationTools.html Migration Tools].}}		{{Note\|PADL Software の [http://www.padl.com/OSS/MigrationTools.html Migration Tools] を使うことでローカルアカウント (とグループなど) を全て自動的に LDAP ディレクトリに移行できます。}}

	== クライアントのセットアップ ==		== クライアントのセットアップ ==
159行目:		159行目:
	PAM の設定は大まかに言って {{ic\|pam_unix.so}} が書かれているところ全てに {{ic\|pam_ldap.so}} も記述するだけです。Arch は {{pkg\|pambase}} に移行しているため、編集が必要な箇所は減っています。pam の設定に関する詳細は [https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Managing_Smart_Cards/PAM_Configuration_Files.html RedHat のドキュメント] によくまとまっています。[http://arthurdejong.org/nss-pam-ldapd nss-pam-ldapd] の上流のドキュメントも読むと良いでしょう。		PAM の設定は大まかに言って {{ic\|pam_unix.so}} が書かれているところ全てに {{ic\|pam_ldap.so}} も記述するだけです。Arch は {{pkg\|pambase}} に移行しているため、編集が必要な箇所は減っています。pam の設定に関する詳細は [https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Managing_Smart_Cards/PAM_Configuration_Files.html RedHat のドキュメント] によくまとまっています。[http://arthurdejong.org/nss-pam-ldapd nss-pam-ldapd] の上流のドキュメントも読むと良いでしょう。

			{{Tip\|システムのローカルユーザーの UID が衝突しないようにしたい場合、{{ic\|pam_ldap.so}} 行の末尾に {{ic\|minimum_uid=10000}} などと記述します。LDAP サーバーによって返ってくる uidNumber を確認してください。}}
	{{Tip\|If you want to prevent UID clashes with local users on your system, you might want to include {{ic\|minimum_uid=10000}} or similar on the end of the {{ic\|pam_ldap.so}} lines. You will have to make sure the LDAP server returns uidNumber fields that match the restriction.}}

	{{Note\|Each facility (auth, session, password, account) forms a separate chain and the order matters. Sufficient lines will sometimes "short circuit" and skip the rest of the section, so the rule of thumb for ''auth'', ''password'', and ''account'' is ''sufficient'' lines before ''required'', but after required lines for the ''session'' section; ''optional'' can almost always go at the end. When adding your {{ic\|pam_ldap.so}} lines, do not change the relative order of the other lines without good reason! Simply insert LDAP within the chain.}}		{{Note\|Each facility (auth, session, password, account) forms a separate chain and the order matters. Sufficient lines will sometimes "short circuit" and skip the rest of the section, so the rule of thumb for ''auth'', ''password'', and ''account'' is ''sufficient'' lines before ''required'', but after required lines for the ''session'' section; ''optional'' can almost always go at the end. When adding your {{ic\|pam_ldap.so}} lines, do not change the relative order of the other lines without good reason! Simply insert LDAP within the chain.}}

Kusakata: 同期

2016-05-29T11:38:50Z

同期

← 古い版		2016年5月29日 (日) 20:38時点における版
16行目:		16行目:
	NSS (Name Service Switch の略) は設定データベースの様々なソースを設定するシステム機構です。例えば、{{ic\|/etc/passwd}} は {{ic\|passwd}} データベースの {{ic\|file}} タイプのソースです。		NSS (Name Service Switch の略) は設定データベースの様々なソースを設定するシステム機構です。例えば、{{ic\|/etc/passwd}} は {{ic\|passwd}} データベースの {{ic\|file}} タイプのソースです。

	PAM (Pluggable Authentication Module の略) は様々なプラグインを使って認証スキームを拡張するために Linux (やその他の *nix) によって使われている機構です。		[[PAM]] (Pluggable Authentication Module の略) は様々なプラグインを使って認証スキームを拡張するために Linux (やその他の *nix) によって使われている機構です。

	まとめると、NSS を設定して OpenLDAP サーバーを {{ic\|passwd}} や {{ic\|shadow}} などの設定データベースのソースとして使うようにして、それから設定したソースを使ってユーザーを認証するように PAM を設定することになります。		まとめると、NSS を設定して OpenLDAP サーバーを {{ic\|passwd}} や {{ic\|shadow}} などの設定データベースのソースとして使うようにして、それから設定したソースを使ってユーザーを認証するように PAM を設定することになります。
38行目:		38行目:

	access to *		access to *
			by self write
			by dn.base="cn=Manager,dc=example,dc=org" write
			by * read

			}}

			上記の行だけで OpenLDAP サーバーをテストすることはできますが、ACL の書き込み権限が与えられるため、uidNumber や gidNumber などのシステム属性の値をユーザーが変更できてしまいます。書き込み権限を userPassword と個人情報に関連する属性だけに留めるほうが良いでしょう。上よりもセキュアな設定は以下のようになります:

			{{hc\|slapd.conf\|2=
			access to attrs=userPassword,givenName,sn,photo
	by self write		by self write
			by anonymous auth
			by dn.base="cn=Manager,dc=example,dc=org" write
			by * none

			access to *
			by self read
	by dn.base="cn=Manager,dc=example,dc=org" write		by dn.base="cn=Manager,dc=example,dc=org" write
	by * read		by * read
72行目:		88行目:

	# Groups, example.org		# Groups, example.org
	dn: ou=~~Groups~~,dc=example,dc=org		dn: ou=Group,dc=example,dc=org
	ou: ~~Groups~~		ou: Group
	objectClass: top		objectClass: top
	objectClass: organizationalUnit		objectClass: organizationalUnit
313行目:		329行目:
	#%PAM-1.0		#%PAM-1.0

	auth sufficient pam_sss.so		auth sufficient pam_sss.so forward_pass
	auth required pam_unix.so try_first_pass nullok		auth required pam_unix.so try_first_pass nullok
	auth optional pam_permit.so		auth optional pam_permit.so
	auth required pam_env.so		auth required pam_env.so

	account [default=bad success=ok user_unknown=ignore] pam_sss.so		account [default=bad success=ok user_unknown=ignore authinfo_unavail=ignore] pam_sss.so
	account required pam_unix.so		account required pam_unix.so
	account optional pam_permit.so		account optional pam_permit.so
342行目:		358行目:
	auth required pam_nologin.so		auth required pam_nologin.so
	}}		}}

	{{Note\|Note that if you intend to use sudo with sssd, you need to recompile sudo with sssd support as it is not enabled by default.}}

	===== パスワード管理 =====		===== パスワード管理 =====

Kusakata: ページの作成:「Category:ネットワーク Category:セキュリティ en:LDAP authentication {{Related articles start}} {{Related|OpenLDAP}} {{Related3|LDAP Hosts|LDAP ホ...」

2016-01-16T05:19:29Z

ページの作成:「Category:ネットワーク Category:セキュリティ en:LDAP authentication {{Related articles start}} {{Related|OpenLDAP}} {{Related3|LDAP Hosts|LDAP ホ...」

新規ページ

[[Category:ネットワーク]]
[[Category:セキュリティ]]
[[en:LDAP authentication]]
{{Related articles start}}
{{Related|OpenLDAP}}
{{Related3|LDAP Hosts|LDAP ホスト}}
{{Related articles end}}

== イントロダクションとコンセプト ==

このガイドでは LDAP ディレクトリから Arch Linux を認証できるように設定します。LDAP ディレクトリはローカル (同一のコンピュータにインストール) でもネットワーク (中央認証が必要なラボ環境など) でもかまいません。

ガイドは2つのパートに分かれています。最初のパートでは認証ディレクトリをホストする [[OpenLDAP]] サーバーをセットアップします。次のパートではクライアントコンピュータで認証を行うのに必要な NSS と PAM モジュールを設定します。既存の LDAP サーバーが存在して Arch の認証を設定したいだけの場合、2番目のパートまでスキップしてください。

=== NSS と PAM ===
NSS (Name Service Switch の略) は設定データベースの様々なソースを設定するシステム機構です。例えば、{{ic|/etc/passwd}} は {{ic|passwd}} データベースの {{ic|file}} タイプのソースです。

PAM (Pluggable Authentication Module の略) は様々なプラグインを使って認証スキームを拡張するために Linux (やその他の *nix) によって使われている機構です。

まとめると、NSS を設定して OpenLDAP サーバーを {{ic|passwd}} や {{ic|shadow}} などの設定データベースのソースとして使うようにして、それから設定したソースを使ってユーザーを認証するように PAM を設定することになります。

== LDAP サーバーのセットアップ ==

=== インストール ===

インストールや基本的な設定については [[OpenLDAP]] の記事に書かれています。インストールが完了したら、このページに戻ってきて下さい。

=== アクセス制御の設定 ===

LDAP サーバーから (暗号化された) パスワードに誰もアクセスできないように、そしてユーザーだけが自分のパスワードを編集できるようにするため、以下を {{ic|/etc/openldap/slapd.conf}} に追加して {{ic|slapd.service}} を再起動してください:

{{hc|slapd.conf|2=
access to attrs=userPassword
by self write
by anonymous auth
by dn.base="cn=Manager,dc=example,dc=org" write
by * none

access to *
by self write
by dn.base="cn=Manager,dc=example,dc=org" write
by * read

}}

=== ベースデータで LDAP ツリーを作成 ===

以下の内容で {{ic|base.ldif}} という名前の一時ファイルを作成してください。
{{note|ドメイン名の "example" や "org" は適宜置き換えてください。}}

{{hc|base.ldif|<nowiki>
# example.org
dn: dc=example,dc=org
dc: example
o: Example Organization
objectClass: dcObject
objectClass: organization

# Manager, example.org
dn: cn=Manager,dc=example,dc=org
cn: Manager
description: LDAP administrator
objectClass: organizationalRole
objectClass: top
roleOccupant: dc=example,dc=org

# People, example.org
dn: ou=People,dc=example,dc=org
ou: People
objectClass: top
objectClass: organizationalUnit

# Groups, example.org
dn: ou=Groups,dc=example,dc=org
ou: Groups
objectClass: top
objectClass: organizationalUnit
</nowiki>}}

OpenLDAP ツリーに追加:

$ ldapadd -D "cn=Manager,dc=example,dc=org" -W -f base.ldif

データがインポートされたことをテスト:

$ ldapsearch -x -b 'dc=example,dc=org' '(objectclass=*)'

=== ユーザーの追加 ===
ユーザーを手動で追加するには、以下のような {{ic|.ldif}} ファイルを作成:
{{hc|user_joe.ldif|<nowiki>
dn: uid=johndoe,ou=People,dc=example,dc=org
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
uid: johndoe
cn: John Doe
sn: Doe
givenName: John
title: Guinea Pig
telephoneNumber: +0 000 000 0000
mobile: +0 000 000 0000
postalAddress: AddressLine1$AddressLine2$AddressLine3
userPassword: {CRYPT}xxxxxxxxxx
labeledURI: https://archlinux.org/
loginShell: /bin/bash
uidNumber: 9999
gidNumber: 9999
homeDirectory: /home/johndoe/
description: This is an example user
</nowiki>}}

{{ic|userPassword}} エントリの {{ic|xxxxxxxxxx}} は {{ic|/etc/shadow}} 内の値で置き換えるか {{ic|slappasswd}} コマンドを使って下さい。そしてユーザーを追加:

$ ldapadd -D "cn=Manager,dc=example,dc=org" -W -f user_joe.ldif

{{Note|You can automatically migrate all of your local accounts (and groups, etc.) to the LDAP directory using PADL Software's [http://www.padl.com/OSS/MigrationTools.html Migration Tools].}}

== クライアントのセットアップ ==

[[OpenLDAP]] に書かれているようにして OpenLDAP クライアントをインストールしてください。{{ic|ldapsearch}} でサーバーにクエリが送信できることを確認してください。

次に、[[公式リポジトリ]]から {{pkg|nss-pam-ldapd}} を[[インストール]]します。

=== NSS の設定 ===
NSS は様々なソースを設定データベースとして管理するシステムファリシティです。例えば、{{ic|/etc/passwd}} は {{ic|passwd}} データベースの {{ic|file}} タイプのソースであり、ユーザーアカウントが保存されます。

NSS のメインの設定ファイルである {{ic|/etc/nsswitch.conf}} を編集してください。システムデータベースとしてどのソースを使うのか NSS を設定します。{{ic|ldap}} ディレクティブを {{ic|passwd}}, {{ic|group}}, {{ic|shadow}} データベースに追加してください。ファイルは以下のようになります:

passwd: files ldap
group: files ldap
shadow: files ldap

{{ic|/etc/nslcd.conf}} を編集して {{ic|base}} と {{ic|uri}} 行をあなたの ldap サーバーの設定にあわせて変更してください。

systemd を使って {{ic|nslcd.service}} を起動します。

これでクライアント側で {{ic|getent passwd}} を実行すると LDAP ユーザーが確認できるはずです。

=== PAM の設定 ===
PAM の設定は大まかに言って {{ic|pam_unix.so}} が書かれているところ全てに {{ic|pam_ldap.so}} も記述するだけです。Arch は {{pkg|pambase}} に移行しているため、編集が必要な箇所は減っています。pam の設定に関する詳細は [https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Managing_Smart_Cards/PAM_Configuration_Files.html RedHat のドキュメント] によくまとまっています。[http://arthurdejong.org/nss-pam-ldapd nss-pam-ldapd] の上流のドキュメントも読むと良いでしょう。

{{Tip|If you want to prevent UID clashes with local users on your system, you might want to include {{ic|minimum_uid=10000}} or similar on the end of the {{ic|pam_ldap.so}} lines. You will have to make sure the LDAP server returns uidNumber fields that match the restriction.}}

{{Note|Each facility (auth, session, password, account) forms a separate chain and the order matters. Sufficient lines will sometimes "short circuit" and skip the rest of the section, so the rule of thumb for ''auth'', ''password'', and ''account'' is ''sufficient'' lines before ''required'', but after required lines for the ''session'' section; ''optional'' can almost always go at the end. When adding your {{ic|pam_ldap.so}} lines, do not change the relative order of the other lines without good reason! Simply insert LDAP within the chain.}}

まず {{ic|/etc/pam.d/system-auth}} を編集してください。このファイルは {{ic|pam.d}} 内の他のファイルからも大抵インクルードされているので、{{ic|/etc/pam.d/system-auth}} に変更を加えることで、ほとんどのファイルに変更を適用できます。{{pkg|pambase}} をアップデートすると {{ic|/etc/pam.d/system-auth}} は変化することがあります。

各セクションの一番上に sufficient の {{ic|pam_ldap.so}} を追加してください。ただし ''session'' セクションだけは例外で、optional にしておきます。
{{hc|/etc/pam.d/system-auth|
'''auth sufficient pam_ldap.so'''
auth required pam_unix.so try_first_pass nullok
auth optional pam_permit.so
auth required pam_env.so

'''account sufficient pam_ldap.so'''
account required pam_unix.so
account optional pam_permit.so
account required pam_time.so

'''password sufficient pam_ldap.so'''
password required pam_unix.so try_first_pass nullok sha512 shadow
password optional pam_permit.so

session required pam_limits.so
session required pam_unix.so
'''session optional pam_ldap.so'''
session optional pam_permit.so
}}

次に {{ic|/etc/pam.d/su}} と {{ic|/etc/pam.d/su-l}} を同じように編集してください。{{ic|su-l}} ファイルはユーザーが {{ic|su --login}} を実行したときに使われます。

各セクションの一番上に sufficient の {{ic|pam_ldap.so}} を追加して、''auth'' セクションの {{ic|pam_unix}} に {{ic|use_first_pass}} を追加してください。
{{hc|/etc/pam.d/su|
#%PAM-1.0
'''auth sufficient pam_ldap.so'''
auth sufficient pam_rootok.so
# Uncomment the following line to implicitly trust users in the "wheel" group.
#auth sufficient pam_wheel.so trust use_uid
# Uncomment the following line to require a user to be in the "wheel" group.
#auth required pam_wheel.so use_uid
auth required pam_unix.so '''use_first_pass'''
'''account sufficient pam_ldap.so'''
account required pam_unix.so
'''session sufficient pam_ldap.so'''
session required pam_unix.so
}}

ユーザーが自分のパスワードを編集できるように、{{ic|/etc/pam.d/passwd}} を編集:

{{hc|/etc/pam.d/passwd|2=
#%PAM-1.0
'''password sufficient pam_ldap.so'''
#password required pam_cracklib.so difok=2 minlen=8 dcredit=2 ocredit=2 retry=3
#password required pam_unix.so sha512 shadow use_authtok
password required pam_unix.so sha512 shadow nullok
}}

==== ログイン時にホームフォルダを作成 ====

ログイン時にホームフォルダを作成したい場合 (例: ホームフォルダを共有するのに NFS を使わない場合)、{{ic|/etc/pam.d/system-login}} を編集して {{ic|pam_mkhomedir.so}} を ''session'' セクションの "sufficient" アイテムの上に追加してください。ssh, xdm, kdm, gdm などから tty にログインしたときにホームフォルダが作成されるようになります。同じように {{ic|/etc/pam.d/su}} や {{ic|/etc/pam.d/su-l}} などのファイルも編集することで、{{ic|su}} や {{ic|su --login}} でもホームフォルダの作成を有効にできます。ssh ログインの場合はホームフォルダを作成して欲しくないときは {{ic|system-login}} などのかわりに {{ic|system-local-login}} を編集してください。

{{hc|/etc/pam.d/system-login|
...top of file not shown...
session optional pam_loginuid.so
session include system-auth
session optional pam_motd.so motd=/etc/motd
session optional pam_mail.so dir=/var/spool/mail standard quiet
-session optional pam_systemd.so
session required pam_env.so
'''session required pam_mkhomedir.so skel=/etc/skel umask=0022'''
}}

{{hc|/etc/pam.d/su-l|
...top of file not shown...
'''session required pam_mkhomedir.so skel=/etc/skel umask=0022'''
session sufficient pam_ldap.so
session required pam_unix.so
}}

==== sudo の有効化 ====

LDAP ユーザーから sudo を使うようにするには、{{ic|/etc/pam.d/sudo}} を編集します。sudoers もあわせて編集する必要があります。
{{hc|/etc/pam.d/sudo|
#%PAM-1.0
'''auth sufficient pam_ldap.so'''
auth required pam_unix.so '''try_first_pass'''
auth required pam_nologin.so
}}

また、{{ic|/etc/openldap/ldap.conf}} に以下を追加してください:
{{hc|/etc/openldap/ldap.conf|2=
sudoers_base ou=sudoers,dc=AFOLA
}}

== SSSD によるオンライン・オフライン認証 ==

SSSD はシステムデーモンです。主な機能は共通フレームワークを通してリモートのリソースを識別・認証できるようにすることで、システムのキャッシュやオフラインのサポートを提供します。PAM や NSS モジュールも含まれており、将来的には D-BUS ベースのインタフェースによって拡張ユーザー情報も含める予定です。拡張ユーザーデータだけでなくローカルユーザーを保存するデータベースとしても使えます。

=== インストール ===

{{pkg|sssd}} パッケージは[[公式リポジトリ]]からインストールできます。

=== SSSD で基本的な認証を有効にする方法 ===

==== SSSD の設定 ====

{{ic|/etc/sssd/sssd.conf}} が存在しない場合は作成してください:
{{hc|/etc/sssd/sssd.conf|2=
[sssd]
config_file_version = 2
services = nss, pam
domains = LDAP

[domain/LDAP]
cache_credentials = true

id_provider = ldap
auth_provider = ldap

ldap_uri = ldap://server1.example.org, ldap://server2.example.org
ldap_search_base = dc=example,dc=org
ldap_id_use_start_tls = true
ldap_tls_reqcert = demand
ldap_tls_cacert = /etc/openldap/certs/cacerts.pem
chpass_provider = ldap
ldap_chpass_uri = ldap://server1.example.org
entry_cache_timeout = 600
ldap_network_timeout = 2
ldap_group_member = uniquemember
}}

上記はあくまで例です。詳しくは {{ic|man sssd.conf}} を見てください。

最後に {{ic|chmod 600 /etc/sssd/sssd.conf}} でパーミッションを設定してください。そうしないと sssd は起動しません。

==== NSCD の設定 ====

sssd のキャッシュに干渉するので {{ic|/etc/nscd.conf}} で passwd と group エントリのキャッシュを無効化します。

==== NSS の設定 ====

以下のように {{ic|/etc/nsswitch.conf}} を編集してください:
{{hc|/etc/nsswitch.conf|
# Begin /etc/nsswitch.conf

passwd: files sss
group: files sss
shadow: files sss
sudoers: files sss

publickey: files

hosts: files dns myhostname
networks: files

protocols: files
services: files
ethers: files
rpc: files

netgroup: files

# End /etc/nsswitch.conf
}}

==== PAM の設定 ====

まず {{ic|/etc/pam.d/system-auth}} を以下のように編集:
{{hc|/etc/pam.d/system-auth|2=
#%PAM-1.0

auth sufficient pam_sss.so
auth required pam_unix.so try_first_pass nullok
auth optional pam_permit.so
auth required pam_env.so

account [default=bad success=ok user_unknown=ignore] pam_sss.so
account required pam_unix.so
account optional pam_permit.so
account required pam_time.so

password sufficient pam_sss.so use_authtok
password required pam_unix.so try_first_pass nullok sha512 shadow
password optional pam_permit.so

session required pam_limits.so
session required pam_unix.so
session optional pam_sss.so
session optional pam_permit.so
}}

===== sudo の設定 =====

{{ic|/etc/pam.d/sudo}} を以下のように編集:
{{hc|/etc/pam.d/sudo|
#%PAM-1.0
auth sufficient pam_sss.so
auth required pam_unix.so try_first_pass
auth required pam_nologin.so
}}

{{Note|Note that if you intend to use sudo with sssd, you need to recompile sudo with sssd support as it is not enabled by default.}}

===== パスワード管理 =====

ユーザーが {{ic|passwd}} を使って自分のパスワードを変えられるように {{ic|/etc/pam.d/passwd}} を以下のように編集:
{{hc|/etc/pam.d/passwd|2=
#%PAM-1.0
password sufficient pam_sss.so
#password required pam_cracklib.so difok=2 minlen=8 dcredit=2 ocredit=2 retry=3
#password required pam_unix.so sha512 shadow use_authtok
password required pam_unix.so sha512 shadow nullok
}}

{{ic|systemctl start sssd}} で sssd を起動して {{ic|systemctl enable sssd}} で有効化してください。

これで {{ic|getent passwd <username>}} や {{ic|id <username>}} で ldap ユーザーの詳細情報が確認できるはずです。

ユーザーを使ってログインすると、ログイン情報がキャッシュされ、ldap サーバーがオフラインだったり利用できない状態であってもキャッシュされた情報を使ってログインすることができるようになります。

== 参照 ==
* [http://arthurdejong.org/nss-pam-ldapd/setup nss-pam-ldapd パケットの公式ページ]
* Debian Wiki の PAM と NSS のページ: [http://wiki.debian.org/LDAP/NSS 1] [http://wiki.debian.org/LDAP/PAM 2]
* [https://www.fatofthelan.com/technical/using-ldap-for-single-authentication/ Using LDAP for single authentication]
* [http://www.cs.dixie.edu/ldap/ Heterogeneous Network Authentication Introduction]
* [http://readlist.com/lists/suse.com/suse-linux-e/36/182642.html Discussion on suse's mailing lists about nss-pam-ldapd]
* [https://docs.fedoraproject.org/en-US/Fedora/15/html/Deployment_Guide/chap-SSSD_User_Guide-Introduction.html Fedora's SSSD User Guide]