28.6. OpenLDAP 設定の概要
本セクションでは、OpenLDAP ディレクトリーをインストールおよび設定するための簡単な概要を説明します。詳細は、以下の URL を参照してください。
- http://www.openldap.org/doc/admin/quickstart.html: OpenLDAP Web サイトの 『Quick-Start Guide』
- http://www.tldp.org/HOWTO/LDAP-HOWTO/index.html : Linux ドキュメントプロジェクトの 『LDAP Linux HOWTO』 です。
LDAP サーバーを作成する基本的な手順は以下のとおりです。
openldap、openldap-servers、およびopenldap-clientsRPM をインストールします。/etc/openldap/slapd.confファイルを編集し、LDAP ドメインおよびサーバーを指定します。詳細は、「Editing/etc/openldap/slapd.conf」 を参照してください。- コマンドで slapd を起動します。
service ldap startLDAP の設定後に、chkconfig、/usr/sbin/ntsysv、または Services Configuration Tool を使用して、システムの起動時に LDAP が起動するように設定します。サービスの設定に関する詳細は、18章 を参照してください。 - ldapadd を使用して LDAP ディレクトリーにエントリーを追加します。
- ldapsearch を使用して、slapd が情報に正しくアクセスしているかどうかを判断します。
- この時点で、LDAP ディレクトリーが適切に機能し、LDAP 対応のアプリケーションで設定できます。
28.6.1. Editing /etc/openldap/slapd.conf
slapd LDAP サーバーを使用するには、設定ファイル
/etc/openldap/slapd.conf を変更して、正しいドメインおよびサーバーを指定します。
接尾辞 の行は、LDAP サーバーが情報を提供するドメインに名前を付け、以下から変更する必要があります。
suffix "dc=your-domain,dc=com"
完全修飾ドメイン名を反映するように編集します。以下に例を示します。
suffix "dc=example,dc=com"
rootdn エントリーは、LDAP ディレクトリーの操作に設定されたアクセス制御または管理制限パラメーターで無制限のユーザーの識別名(DN)です。rootdn ユーザーは、LDAP ディレクトリーの root ユーザーとして考えることができます。設定ファイルで、以下の例のように、rootdn 行をデフォルト値から変更します。
rootdn "cn=root,dc=example,dc=com"
ネットワーク経由で LDAP ディレクトリーを入力する場合は、rootpw 行を変更します。デフォルト値を暗号化されたパスワード文字列に置き換えます。暗号化されたパスワード文字列を作成するには、以下のコマンドを入力します。
slappasswd
プロンプトが表示されたら、を入力してパスワードを再入力します。プログラムは、生成される暗号化されたパスワードをシェルプロンプトに出力します。
次に、rootpw 行のいずれかで、新しく作成された暗号化されたパスワードを
/etc/openldap/slapd.conf にコピーし、ハッシュマーク(#)を削除します。
完了すると、この行は以下の例のようになります。
rootpw {SSHA}vv2y+i6V6esazrIv70xSSnNAJE18bb2uWarning
TLS 暗号化が有効でない限り、
/etc/openldap/slapd.conf に指定された rootpw ディレクティブを含む LDAP パスワードは、暗号化されて い ないネットワークを介して送信されます。
TLS 暗号化を有効にするには、
/etc/openldap/slapd.conf のコメントを確認し、slapd.conf の man ページを参照してください。
セキュリティーを強化するために、rootpw ディレクティブは、LDAP ディレクトリーの前にハッシュマーク(#)を追加してコメントアウトする必要があります。
/usr/sbin/slapadd コマンドラインツールをローカルで使用して LDAP ディレクトリーを入力する場合は、rootpw ディレクティブを使用する必要はありません。
重要な影響
/usr/sbin/slapadd を使用できるのは、root ユーザーのみです。ただし、ディレクトリーサーバーは
ldap ユーザーとして実行されます。したがって、ディレクトリーサーバーは、slapadd が作成したファイルを変更できません。この問題を修正するには、slapadd を使用してから、以下のコマンドを入力します。
chown -R ldap /var/lib/ldap