15.3. SSSD での LDAP フェイルオーバーの設定

必要な SSSD および Web サーバーコンポーネントをインストールします。

# yum install -y sssd \
                 sssd-dbus \
                 realmd \
                 httpd \
                 mod_session \
                 mod_ssl \
                 mod_lookup_identity \
                 mod_authnz_pam \
                 php \
                 mod_php

LDAP サーバーに対してこの VM を認証するように SSSD を設定します。LDAP サーバーが FreeIPA または Active Directory 環境の場合、realmd を使用してこのマシンをドメインに参加させることができます。

# realm join ldap.example.com

より高度なケースの場合は、システムレベル認証ガイド を参照してください。

/etc/sssd/sssd.conf ファイルの [domain/DOMAINNAME] セクションを変更し、この属性を追加します。

[domain/example.com]
...
ldap_user_extra_attrs = mail 1

/etc/sssd/sssd.conf ファイルの domain パラメーターには [domain/DOMAINNAME] セクションに一覧表示されているドメイン名のみが含まれていることを確認します。

domains = example.com

メール属性を取得するために Apache パーミッションを付与します。以下の行を /etc/sssd/sssd.conf ファイルの [ifp] セクションに追加します。

[ifp]
user_attributes = +mail
allowed_uids = apache, root

すべての変更が適切に適用されていることを確認するには、SSSD を再起動します。

$ systemctl restart sssd.service

ユーザー情報が適切に取得できるかテストします。

$ getent passwd <username>
username:*:12345:12345:Example User:/home/username:/usr/bin/bash

指定したメール属性がドメインからメールアドレスを返すことを確認します。

# dbus-send --print-reply --system --dest=org.freedesktop.sssd.infopipe \
    /org/freedesktop/sssd/infopipe org.freedesktop.sssd.infopipe.GetUserAttr \
    string:username \ 1
    array:string:mail 2

method return time=1528091855.672691 sender=:1.2787 -> destination=:1.2795 serial=13 reply_serial=2
   array [
      dict entry(
         string "mail"
         variant             array [
               string "username@example.com"
            ]
      )
   ]