OpenLDAP - 版の履歴

Kusanaginoturugi: カテゴリを修正

2023-04-18T04:38:50Z

カテゴリを修正

← 古い版		2023年4月18日 (火) 13:38時点における版
1行目:		1行目:
	[[Category:ネットワーク]]		[[Category:ディレクトリサービス]]
	[[en:OpenLDAP]]		[[en:OpenLDAP]]
	[[ru:OpenLDAP]]		[[ru:OpenLDAP]]

Kusakata: 同期

2017-12-12T13:12:49Z

同期

← 古い版		2017年12月12日 (火) 22:12時点における版
78行目:		78行目:
	# chown -R ldap:ldap /etc/openldap/slapd.d		# chown -R ldap:ldap /etc/openldap/slapd.d

			{{Note\|
⚫	~~{{note\|~~ディレクトリを作成した後はインデックスを作成してください。インデックスは作成する前に slapd を停止する必要があります。
			* Berkeley DB (BDB) は使用するべきではありません。通常の slapd データベースのバックエンドとしては {{man\|8\|slapd}} の mdb バックエンドが推奨されます。OpenLDAP の Lightning Memory-Mapped Database (LMDB) ライブラリを使用してデータを保存し、Berkeley DB バックエンドを置き換えます。OpenLDAP の公式パッケージはデフォルトで mdb を使用します。
		⚫	* ディレクトリを作成した後はインデックスを作成してください。インデックスは作成する前に slapd を停止する必要があります。
	# slapindex		# slapindex
	# chown ldap:ldap /var/lib/openldap/openldap-data/*		# chown ldap:ldap /var/lib/openldap/openldap-data/*
163行目:		165行目:
	}}		}}

	{{Note\|最新~~バージョン~~の OpenLDAP は GnuTLS を使用し~~ており~~ DEFAULT TLSCipherSuite を処理できずに {{ic\|~~TLS~~ ~~init def ctx failed: -1~~}} ~~というエラーメッセージ~~を~~吐いて起動に失敗しま~~す~~。GnuTLS~~ で~~は同じようなディレクティブとして {{ic\|NORMAL}} を使い~~ます。}}		{{Note\|最新版の OpenLDAP (2.4.45) は GnuTLS ではなく OpenSSL を使用します。そのため最新版の OpenLDAP は [https://www.openssl.org/docs/man1.1.0/apps/ciphers.html#CIPHER-STRINGS DEFAULT TLSCipherSuite] を処理することができます。{{ic\|ldd /usr/bin/slapd}} を実行することで確認できます。}}

	[[Let’s Encrypt]] のような認証局により署名された SSL 証明書を用いる場合、ルート証明書データベースと中間証明書のパスを指定する必要があります。また、ユーザー {{ic\|ldap}} が読み込めるように {{ic\|.pem}} ファイルと途中のディレクトリの所有者情報を変更する必要もあるでしょう:		[[Let’s Encrypt]] のような認証局により署名された SSL 証明書を用いる場合、ルート証明書データベースと中間証明書のパスを指定する必要があります。また、ユーザー {{ic\|ldap}} が読み込めるように {{ic\|.pem}} ファイルと途中のディレクトリの所有者情報を変更する必要もあるでしょう:
178行目:		180行目:

	{{Note\|		{{Note\|
	* DEFAULT はワイルドカードです。サポートされている暗号方式やワイルドカード、オプションについては {{~~ic\|~~man ciphers}} の説明を読んでください。		* DEFAULT はワイルドカードです。サポートされている暗号方式やワイルドカード、オプションについては {{man\|1ssl\|ciphers}} の説明を読んでください。
	* ローカルの OpenSSL によってサポートされている暗号を確認するには、次を実行: {{ic\|openssl ciphers -v ALL:COMPLEMENTOFALL}}。OpenSSL コマンドを使えば実際に TLSCipherSuite によって有効になる暗号は何なのかテストできます: {{ic\|openssl ciphers -v 'DEFAULT'}}。}}		* ローカルの OpenSSL によってサポートされている暗号を確認するには、次を実行: {{ic\|openssl ciphers -v ALL:COMPLEMENTOFALL}}。OpenSSL コマンドを使えば実際に TLSCipherSuite によって有効になる暗号は何なのかテストできます: {{ic\|openssl ciphers -v 'DEFAULT'}}。}}

209行目:		211行目:

	LDAP のフロントエンドとして [[phpLDAPadmin]] も存在します。		LDAP のフロントエンドとして [[phpLDAPadmin]] も存在します。

			== ヒントとテクニック ==

			=== LDAP のバックアップ ===

			LDAP データベースと設定をバックアップすることで後で何かあったときに復元することができます。

			==== 設定のエクスポート ====
			$ slapcat -F /etc/openldap/slapd.d -n 0 -l "$(hostname)-ldap-mdb-config-$(date '+%F').ldif"

			==== データベースのエクスポート ====
			$ slapcat -l "$(hostname)-ldap-database-$(date '+%F').ldif"

	== トラブルシューティング ==		== トラブルシューティング ==

Kusakata: 同期

2017-08-23T12:11:31Z

同期

← 古い版		2017年8月23日 (水) 21:11時点における版
7行目:		7行目:
	{{Related\|LDAP ホスト}}		{{Related\|LDAP ホスト}}
	{{Related articles end}}		{{Related articles end}}
	OpenLDAP は LDAP プロトコルのオープンソースの実装です。LDAP サーバーは基本的に、データの書き込みではなくアクセスに最適化されたリレーショナルでないデータベースです。主として (メールクライアントなどの) アドレス帳や様々なサービス (ドメインコントローラをエミュレートするのに使われる Samba や、{{ic\|/etc/passwd}} を置き換える [[LDAP 認証\|Linux システム認証]]など) の認証バックエンドとして使われ、ユーザーデータを保持します。		[https://www.openldap.org/ OpenLDAP] は LDAP プロトコルのオープンソースの実装です。LDAP サーバーは基本的に、データの書き込みではなくアクセスに最適化されたリレーショナルでないデータベースです。主として (メールクライアントなどの) アドレス帳や様々なサービス (ドメインコントローラをエミュレートするのに使われる Samba や、{{ic\|/etc/passwd}} を置き換える [[LDAP 認証\|Linux システム認証]]など) の認証バックエンドとして使われ、ユーザーデータを保持します。

	{{note\|{{ic\|ldap}} で始まる OpenLDAP のコマンド ({{ic\|ldapsearch}} など) はクライアント側のユーティリティであり、{{ic\|slap}} で始まるコマンド ({{ic\|slapcat}} など) はサーバー側のユーティリティです。}}		{{note\|{{ic\|ldap}} で始まる OpenLDAP のコマンド ({{ic\|ldapsearch}} など) はクライアント側のユーティリティであり、{{ic\|slap}} で始まるコマンド ({{ic\|slapcat}} など) はサーバー側のユーティリティです。}}
54行目:		54行目:
	index dc eq		index dc eq
	}}		}}

			LDAP サーバーを使って認証したい場合、[[LDAP 認証#LDAP サーバーのセットアップ]]に書かれているようにアクセス制御の設定をしてください。

	データベースディレクトリを準備します。デフォルトの設定ファイルの名前を変更してください:		データベースディレクトリを準備します。デフォルトの設定ファイルの名前を変更してください:
	# mv /var/lib/openldap/openldap-data/DB_CONFIG.example /var/lib/openldap/openldap-data/DB_CONFIG		# cp /var/lib/openldap/openldap-data/DB_CONFIG.example /var/lib/openldap/openldap-data/DB_CONFIG

	{{Note\|OpenLDAP 2.4 から {{ic\|slapd.conf}} の設定は非推奨になりました。このバージョンから全ての設定は {{ic\|/etc/openldap/slapd.d/}} に保存されることになっています。}}		{{Note\|OpenLDAP 2.4 から {{ic\|slapd.conf}} の設定は非推奨になりました。このバージョンから全ての設定は {{ic\|/etc/openldap/slapd.d/}} に保存されることになっています。}}
153行目:		155行目:
	==== SSL を使うように slapd を設定 ====		==== SSL を使うように slapd を設定 ====
	デーモンの設定ファイル ({{ic\|/etc/openldap/slapd.conf}}) を編集して以下の行を追加することで LDAP に証明書ファイルの場所を指定してください:		デーモンの設定ファイル ({{ic\|/etc/openldap/slapd.conf}}) を編集して以下の行を追加することで LDAP に証明書ファイルの場所を指定してください:

	{{bc\|		{{bc\|
	# Certificate/SSL Section		# Certificate/SSL Section
159行目:		162行目:
	TLSCertificateKeyFile /etc/openldap/ssl/slapdkey.pem		TLSCertificateKeyFile /etc/openldap/ssl/slapdkey.pem
	}}		}}

			{{Note\|最新バージョンの OpenLDAP は GnuTLS を使用しており DEFAULT TLSCipherSuite を処理できずに {{ic\|TLS init def ctx failed: -1}} というエラーメッセージを吐いて起動に失敗します。GnuTLS では同じようなディレクティブとして {{ic\|NORMAL}} を使います。}}

	[[Let’s Encrypt]] のような認証局により署名された SSL 証明書を用いる場合、ルート証明書データベースと中間証明書のパスを指定する必要があります。また、ユーザー {{ic\|ldap}} が読み込めるように {{ic\|.pem}} ファイルと途中のディレクトリの所有者情報を変更する必要もあるでしょう:		[[Let’s Encrypt]] のような認証局により署名された SSL 証明書を用いる場合、ルート証明書データベースと中間証明書のパスを指定する必要があります。また、ユーザー {{ic\|ldap}} が読み込めるように {{ic\|.pem}} ファイルと途中のディレクトリの所有者情報を変更する必要もあるでしょう:
207行目:		212行目:
	== トラブルシューティング ==		== トラブルシューティング ==

	=== ~~Client~~ ~~Authentication Checking~~ ===		=== slapd 設定のチェック ===
			以下のコマンドで設定をチェックできます:

			$ slaptest -f /etc/openldap/slapd.conf -v

			=== クライアント認証のチェック ===
	セキュアでない認証でサーバーに接続できない場合:		セキュアでない認証でサーバーに接続できない場合:

220行目:		230行目:
	slapd を起動しても停止してしまう場合、以下を実行して "ldap" ユーザーからデータディレクトリに書き込むことができるようにしてみてください:		slapd を起動しても停止してしまう場合、以下を実行して "ldap" ユーザーからデータディレクトリに書き込むことができるようにしてみてください:

	# chown ldap:ldap /var/lib/openldap/openldap-data/*		# chown -R ldap:ldap /var/lib/openldap

	=== LDAP サーバーを起動できない ===		=== LDAP サーバーを起動できない ===

Kusakata.bot: 文字列「[[zh-cn:」を「[[zh-hans:」に置換

2017-02-09T12:10:25Z

文字列「[[zh-cn:」を「[[zh-hans:」に置換

← 古い版		2017年2月9日 (木) 21:10時点における版
2行目:		2行目:
	[[en:OpenLDAP]]		[[en:OpenLDAP]]
	[[ru:OpenLDAP]]		[[ru:OpenLDAP]]
	[[zh-cn:OpenLDAP]]		[[zh-hans:OpenLDAP]]
	{{Related articles start}}		{{Related articles start}}
	{{Related\|LDAP 認証}}		{{Related\|LDAP 認証}}

Kusakata: 同期

2017-01-03T04:43:50Z

同期

← 古い版		2017年1月3日 (火) 13:43時点における版
5行目:		5行目:
	{{Related articles start}}		{{Related articles start}}
	{{Related\|LDAP 認証}}		{{Related\|LDAP 認証}}
	{{~~Related3\|LDAP Hosts~~\|LDAP ホスト}}		{{Related\|LDAP ホスト}}
	{{Related articles end}}		{{Related articles end}}
	OpenLDAP は LDAP プロトコルのオープンソースの実装です。LDAP サーバーは基本的に、データの書き込みではなくアクセスに最適化されたリレーショナルでないデータベースです。主として (メールクライアントなどの) アドレス帳や様々なサービス (ドメインコントローラをエミュレートするのに使われる Samba や、{{ic\|/etc/passwd}} を置き換える [[LDAP 認証\|Linux システム認証]]など) の認証バックエンドとして使われ、ユーザーデータを保持します。		OpenLDAP は LDAP プロトコルのオープンソースの実装です。LDAP サーバーは基本的に、データの書き込みではなくアクセスに最適化されたリレーショナルでないデータベースです。主として (メールクライアントなどの) アドレス帳や様々なサービス (ドメインコントローラをエミュレートするのに使われる Samba や、{{ic\|/etc/passwd}} を置き換える [[LDAP 認証\|Linux システム認証]]など) の認証バックエンドとして使われ、ユーザーデータを保持します。
40行目:		40行目:
	# cp /usr/share/doc/samba/examples/LDAP/samba.schema /etc/openldap/schema		# cp /usr/share/doc/samba/examples/LDAP/samba.schema /etc/openldap/schema
	{{bc\|		{{bc\|
	include /etc/openldap/schema/core.schema
	include /etc/openldap/schema/cosine.schema		include /etc/openldap/schema/cosine.schema
	include /etc/openldap/schema/inetorgperson.schema		include /etc/openldap/schema/inetorgperson.schema
	include /etc/openldap/schema/nis.schema		include /etc/openldap/schema/nis.schema
	include /etc/openldap/schema/samba.schema		#include /etc/openldap/schema/samba.schema
	}}		}}

56行目:		55行目:
	}}		}}

	データベースディレクトリを準備します。デフォルトの設定ファイルを~~コピーして適切な所有権を設定~~してください:		データベースディレクトリを準備します。デフォルトの設定ファイルの名前を変更してください:
	# cp /~~etc~~/openldap/DB_CONFIG.example /var/lib/openldap/openldap-data/DB_CONFIG		# mv /var/lib/openldap/openldap-data/DB_CONFIG.example /var/lib/openldap/openldap-data/DB_CONFIG
	# chown ldap:ldap /var/lib/openldap/openldap-data/DB_CONFIG

	{{Note\|OpenLDAP 2.4 から {{ic\|slapd.conf}} の設定は非推奨になりました。このバージョンから全ての設定は {{ic\|/etc/openldap/slapd.d/}} に保存されることになっています。}}		{{Note\|OpenLDAP 2.4 から {{ic\|slapd.conf}} の設定は非推奨になりました。このバージョンから全ての設定は {{ic\|/etc/openldap/slapd.d/}} に保存されることになっています。}}

Kusakata: /* 次のステップ */ 内部リンク

2016-05-29T11:39:56Z

次のステップ: 内部リンク

← 古い版		2016年5月29日 (日) 20:39時点における版
201行目:		201行目:
	== 次のステップ ==		== 次のステップ ==

	これで基本的な LDAP のインストールは完了です。次はディレクトリを自分で設計してください。LDAP を何のために使うのかによって大きく変わってきます。LDAP を初めて使う場合は、まずはディレクトリを使用するクライアントサービス (PAM や [[Postfix]] など) によって推奨されている設定から始めると良いでしょう。		これで基本的な LDAP のインストールは完了です。次はディレクトリを自分で設計してください。LDAP を何のために使うのかによって大きく変わってきます。LDAP を初めて使う場合は、まずはディレクトリを使用するクライアントサービス ([[PAM]] や [[Postfix]] など) によって推奨されている設定から始めると良いでしょう。

	システム認証の方法は [[LDAP 認証]]の記事に書かれています。		システム認証の方法は [[LDAP 認証]]の記事に書かれています。

Kusakata: 同期

2016-04-10T12:08:38Z

同期

← 古い版		2016年4月10日 (日) 21:08時点における版
40行目:		40行目:
	# cp /usr/share/doc/samba/examples/LDAP/samba.schema /etc/openldap/schema		# cp /usr/share/doc/samba/examples/LDAP/samba.schema /etc/openldap/schema
	{{bc\|		{{bc\|
			include /etc/openldap/schema/core.schema
	include /etc/openldap/schema/cosine.schema		include /etc/openldap/schema/cosine.schema
	include /etc/openldap/schema/inetorgperson.schema		include /etc/openldap/schema/inetorgperson.schema
99行目:		100行目:
	* {{ic\|URI}} エントリのプロトコル (ldap または ldaps) は slapd の設定と一致しなくてはなりません。		* {{ic\|URI}} エントリのプロトコル (ldap または ldaps) は slapd の設定と一致しなくてはなりません。
	* 自己署名証明書を使う場合は、{{ic\|ldap.conf}} に {{ic\|TLS_REQCERT allow}} という行を追加してください。		* 自己署名証明書を使う場合は、{{ic\|ldap.conf}} に {{ic\|TLS_REQCERT allow}} という行を追加してください。
			* 認証局により署名された証明書を使う場合、{{ic\|ldap.conf}} に {{ic\|TLS_CACERTDIR /usr/share/ca-certificates/trust-source}} という行を追加してください。

	=== 最初のエントリを作成 ===		=== 最初のエントリを作成 ===
160行目:		162行目:
	}}		}}

	[[Let’s Encrypt]] のような認証局により署名されたSSL証明書を用いる場合、ルート証明書データベースと中間証明書のパスを指定する必要があります。また、ユーザー {{ic\|ldap}} が読み込めるように {{ic\|.pem}} ファイルと途中のディレクトリの所有者情報を変更する必要もあるでしょう。:		[[Let’s Encrypt]] のような認証局により署名された SSL 証明書を用いる場合、ルート証明書データベースと中間証明書のパスを指定する必要があります。また、ユーザー {{ic\|ldap}} が読み込めるように {{ic\|.pem}} ファイルと途中のディレクトリの所有者情報を変更する必要もあるでしょう:
	{{bc\|		{{bc\|
	# Certificate/SSL Section		# Certificate/SSL Section

Fragment: /* SSL を使うように slapd を設定 */ 署名済み証明書について追加

2016-04-08T14:37:11Z

SSL を使うように slapd を設定: 署名済み証明書について追加

@@ 158行目: / 158行目: @@
 TLSCertificateFile /etc/openldap/ssl/slapdcert.pem
 TLSCertificateKeyFile /etc/openldap/ssl/slapdkey.pem
 }}

Fragment: /* トラブルシューティング */ 項目の追加

2016-04-08T14:34:36Z

トラブルシューティング: 項目の追加

← 古い版		2016年4月8日 (金) 23:34時点における版
211行目:		211行目:

	# chown ldap:ldap /var/lib/openldap/openldap-data/*		# chown ldap:ldap /var/lib/openldap/openldap-data/*

			=== LDAP サーバーを起動できない ===

			コマンドラインからデバッグ出力を有効にしてLDAPサーバーを起動してみてください:

			# slapd -u ldap -g ldap -h ldaps://ldaservername:636 -d Config,Stats

	== 参照 ==		== 参照 ==

Fragment: 複数箇所の編集

2016-04-08T14:31:43Z

複数箇所の編集

← 古い版		2016年4月8日 (金) 23:31時点における版
158行目:		158行目:
	TLSCertificateFile /etc/openldap/ssl/slapdcert.pem		TLSCertificateFile /etc/openldap/ssl/slapdcert.pem
	TLSCertificateKeyFile /etc/openldap/ssl/slapdkey.pem		TLSCertificateKeyFile /etc/openldap/ssl/slapdkey.pem
	}}

	[[Let’s Encrypt]] のような認証局により署名されたSSL証明書を用いる場合、ルート証明書データベースと中間証明書のパスを指定する必要があります。また、ユーザー {{ic\|ldap}} が読み込めるように {{ic\|.pem}} ファイルと途中のディレクトリの所有者情報を変更する必要もあるでしょう。:
	{{bc\|
	# Certificate/SSL Section
	TLSCipherSuite DEFAULT
	TLSCertificateFile /etc/letsencrypt/live/ldap.my-domain.com/cert.pem
	TLSCertificateKeyFile /etc/letsencrypt/live/ldap.my-domain.com/privkey.pem
	TLSCACertificateFile /etc/letsencrypt/live/ldap.my-domain.com/chain.pem
	TLSCACertificatePath /usr/share/ca-certificates/trust-source
	}}		}}

199行目:		189行目:
	== 次のステップ ==		== 次のステップ ==

	これで基本的な LDAP のインストールは完了です。次はディレクトリを自分で設計してください。LDAP を何のために使うのかによって大きく変わってきます。LDAP を初めて使う場合は、まずはディレクトリを使用するクライアントサービス ([[PAM]] や [[Postfix]] など) によって推奨されている設定から始めると良いでしょう。		これで基本的な LDAP のインストールは完了です。次はディレクトリを自分で設計してください。LDAP を何のために使うのかによって大きく変わってきます。LDAP を初めて使う場合は、まずはディレクトリを使用するクライアントサービス (PAM や [[Postfix]] など) によって推奨されている設定から始めると良いでしょう。

	システム認証の方法は [[LDAP 認証]]の記事に書かれています。		システム認証の方法は [[LDAP 認証]]の記事に書かれています。
221行目:		211行目:

	# chown ldap:ldap /var/lib/openldap/openldap-data/*		# chown ldap:ldap /var/lib/openldap/openldap-data/*

	=== LDAP サーバーを起動できない ===

	コマンドラインからデバッグ出力を有効にしてLDAPサーバーを起動してみてください:

	# slapd -u ldap -g ldap -h ldaps://ldaservername:636 -d Config,Stats

	== 参照 ==		== 参照 ==