第8章 証明書ベースの認証を使用したマルチサプライヤーレプリケーションの設定
2 つの Directory Server インスタンス間のレプリケーションを設定する場合、バインド DN とパスワードを使用してレプリケーションパートナーを認証する代わりに、証明書ベースの認証を使用できます。
これを行うには、新しいサーバーをレプリケーショントポロジーに追加し、証明書ベースの認証を使用して新しいホストと既存のサーバーの間にレプリケーションアグリーメントを設定します。
証明書ベースの認証には、TLS 暗号化接続が必要です。
8.1. 証明書ベースの認証による複製合意で使用するためのアカウントとバインドグループの準備
複製合意で証明書ベースの認証を使用するには、まずアカウントを準備し、クライアント証明書をこれらのアカウントの userCertificate 属性に保存します。さらに、この手順では、後で複製合意で使用するバインドグループを作成します。
この手順は、既存のホスト server1.example.com で実行します。
前提条件
- Directory Server で TLS 暗号化を有効にしています。
/root/server1.derファイルと/root/server2.derファイルにクライアント証明書を識別名エンコーディングルール (DER) 形式で保存しました。クライアント証明書の詳細と、認証局 (CA) から証明書を要求する方法については、CA のドキュメントを参照してください。
手順
ou=servicesエントリーが存在しない場合は作成します。# ldapadd -D "cn=Directory Manager" -W -H ldaps://server1.example.com -x dn: ou=services,dc=example,dc=com objectClass: organizationalunit objectClass: top ou: services
cn=server1,ou=services,dc=example,dc=comおよびcn=server1,ou=services,dc=example,dc=comなど、両方のサーバーのアカウントを作成します。# ldapadd -D "cn=Directory Manager" -W -H ldaps://server1.example.com -x dn: cn=server1,ou=services,dc=example,dc=com objectClass: top objectClass: person objectClass: inetOrgPerson sn: server1 cn: server1 userPassword: password userCertificate:< file:///root/server1.der adding new entry "cn=server1,ou=services,dc=example,dc=com" dn: cn=server2,ou=services,dc=example,dc=com objectClass: top objectClass: person objectClass: inetOrgPerson sn: server2 cn: server2 userPassword: password userCertificate:< file:///root/server2.der adding new entry "cn=server2,ou=services,dc=example,dc=com"
cn=repl_servers,dc=groups,dc=example,dc=comなどのグループを作成します。# dsidm -D "cn=Directory Manager" ldaps://server1.example.com -b "dc=example,dc=com" group create --cn "repl_servers"2 つのレプリケーションアカウントをメンバーとしてグループに追加します。
# dsidm -D "cn=Directory Manager" ldaps://server1.example.com -b "dc=example,dc=com" group add_member repl_servers "cn=server1,ou=services,dc=example,dc=com" # dsidm -D "cn=Directory Manager" ldaps://server1.example.com -b "dc=example,dc=com" group add_member repl_servers "cn=server2,ou=services,dc=example,dc=com"
