8.2. Identity Management の匿名 LDAP バインド

デフォルトでは、Identity Management (IdM) は、LDAP ディレクトリーへの未認証接続である匿名バインドを許可します。realmd などのレガシーユーティリティーや古い RHEL クライアントでは、クライアントの登録時にドメイン設定を検出する匿名バインドを有効にする必要があります。しかし、匿名バインドは、特定の設定またはディレクトリー値を公開できます。

IdM 389 Directory Server インスタンスの nsslapd-allow-anonymous-access 属性を変更することで、ディレクトリーの可視性を制御できます。

以下は nsslapd-allow-anonymous-access 属性の有効な値です。

nsslapd-allow-anonymous-access 属性の値を rootdse に変更すると、ディレクトリーデータにアクセスせずにルート DSE およびサーバー設定へのアクセスを許可します。

Red Hat では、属性を off に設定して匿名バインドを完全に拒否すると、外部クライアントによるサーバー設定のチェックもブロックするため、この設定は推奨していません。LDAP および web クライアントはドメインクライアントに限られるわけではないため、こうしたクライアントは匿名で接続を行ってルートの DSE ファイルを読み取り接続情報を取得します。