1.3. 暗号化接続に必要な LDAPS または STARTTLS
ネットワーク経由で暗号化されていないパスワードを送信するのを防ぐために、サーバーへの接続時に LDAPS または STARTTLS 暗号化を使用できるように Directory Server を設定できます。
1.3.1. コマンドラインを使用して、LDAPS または STARTTLS で暗号化された接続のみを受け入れるように Directory Server を設定する リンクのコピーリンクがクリップボードにコピーされました!
デフォルトでは、Directory Server はバインド DN と暗号化されていない接続を介したパスワードを使用した認証を許可します。これはセキュリティーリスクです。証明書ベースの認証や SASL などの別のセキュアなメカニズムを使用できないとします。この場合は、TLS または STARTTLS を使用してサーバーに対して認証する際に暗号化された接続を要求するように Directory Server を設定できます。
バインド操作のセキュアな接続を必要とするのは、認証されたバインドにのみ適用されます。匿名および認証されていないバインドなどのパスワードのないバインド操作は、標準の接続で続行できます。
前提条件
- レプリカ合意などの既存のサーバー間の接続がセキュアなバインドを使用するように設定している。
手順
nsslapd-require-secure-binds設定パラメーターをonに設定します。dsconf <instance_name> config replace nsslapd-require-secure-binds=on
# dsconf <instance_name> config replace nsslapd-require-secure-binds=onCopy to Clipboard Copied! Toggle word wrap Toggle overflow オプション: LDAPS を使用する場合は、プレーンテキストの LDAP ポートを無効にします。
dsconf <instance_name> security disable_plain_port
# dsconf <instance_name> security disable_plain_port Disabling plaintext ldap port - you must have ldaps configured: Type 'Yes I am sure' to continue: Yes I am sureCopy to Clipboard Copied! Toggle word wrap Toggle overflow インスタンスを再起動します。
dsctl <instance_name> restart
# dsctl <instance_name> restartCopy to Clipboard Copied! Toggle word wrap Toggle overflow
この機能を有効にすると、すべての接続に必要です。たとえば、これには、レプリカ合意、同期、データベースのチェーンが含まれます。
1.3.2. Web コンソールを使用して、LDAPS または STARTTLS で暗号化した接続のみを受け入れるように Directory Server を設定 リンクのコピーリンクがクリップボードにコピーされました!
デフォルトでは、Directory Server はバインド DN と暗号化されていない接続を介したパスワードを使用した認証を許可します。これはセキュリティーリスクです。証明書ベースの認証や SASL などの別のセキュアなメカニズムを使用できないとします。この場合は、TLS または STARTTLS を使用してサーバーに対して認証する際に暗号化された接続を要求するように Directory Server を設定できます。
バインド操作のセキュアな接続を必要とするのは、認証されたバインドにのみ適用されます。匿名および認証されていないバインドなどのパスワードのないバインド操作は、標準の接続で続行できます。
前提条件
- レプリカ合意などの既存のサーバー間の接続がセキュアなバインドを使用するように設定している。
- Web コンソールでインスタンスにログインしている。
手順
-
に移動し、 Require Secure Connectionsオプションを選択し、 をクリックします。 -
オプション: LDAPS を使用する場合は、
に移動し、 LDAP Portを0に設定してプレーンテキストの LDAP ポートを無効にします。 をクリックします。 -
右上隅の をクリックし、
Restart Instanceを選択します。
この機能を有効にすると、すべての接続に必要です。たとえば、これには、レプリカ合意、同期、データベースのチェーンが含まれます。