第4章 LDAP を使用し、TLS 認証を必要とする SSSD の設定

暗号化されていない通信を使用することは安全ではないため、ldap_id_use_start_tls のデフォルト値は TLS を適用するために true に設定されています。

この値を false に設定すると、TLS 暗号化が無効になり、暗号化されていない ldap:// を経由するアイデンティティー検索が強制されます。これにより、システムは中間者 (MITM) 攻撃の危険にさらされます。中間者攻撃では、攻撃者が LDAP 検索結果 (UID や GID の値など) を傍受して改ざんし、ユーザーになりすまして不正なアクセス権を取得する可能性があります。

id_provider = ldap で暗号化されていない通信を選択する前に、環境が信頼されていることを確認してください。id_provider = ad および id_provider = ipa は、SASL および GSSAPI を介して暗号化された接続を維持することに注意してください。