Red Hat Summit第15章 匿名バインドの無効化
ユーザーが認証情報を指定せずに Directory Server への接続を試みた場合、この操作は anonymous bind (匿名バインド) と呼ばれます。匿名バインドは、ユーザーに最初の認証を要求しないため、ディレクトリー内の電話番号の検索など、検索と読み取り操作が簡素化されます。ただし、アカウントのないユーザーがデータにアクセスできるため、匿名バインドはセキュリティーリスクとなる可能性もあります。
警告
デフォルトでは、匿名バインドは Directory Server で検索および読み取り操作に対して有効になります。これにより、ユーザーエントリーだけでなく、ルート Directory Server エントリー (DSE) などの設定エントリーへの不正アクセスが可能になります。
15.1. コマンドラインでの匿名バインドの無効化
セキュリティーを強化するには、匿名バインドを無効にします。
手順
nsslapd-allow-anonymous-access設定パラメーターをoffに設定します。#
dsconf -D "cn=Directory Manager" ldap://server.example.com config replace nsslapd-allow-anonymous-access=off
検証
ユーザーアカウントを指定せずに検索を実行します。
#
ldapsearch -H ldap://server.example.com -b "dc=example,dc=com" -xldap_bind: Inappropriate authentication (48) additional info: Anonymous access is not allowed
