6.7. ドメイン固有の LDAP バックエンドを使用する director の設定

手順

1. デプロイメントの heat テンプレートで、KeystoneLDAPDomainEnable フラグを true に設定します。これにより、identity 設定グループ内の keystone に domain_specific_drivers_enabled オプションが設定されます。
2. tripleo-heat-templates に KeystoneLDAPBackendConfigs パラメーターを設定して、LDAP バックエンド設定の仕様を追加します。その後、必要な LDAP オプションを指定できます。

3. keystone_domain_specific_ldap_backend.yaml 環境ファイルのコピーを作成します。

   $ cp /usr/share/openstack-tripleo-heat-templates/environments/services/keystone_domain_specific_ldap_backend.yaml /home/stack/templates/

4. /home/stack/templates/keystone_domain_specific_ldap_backend.yaml 環境ファイルを編集して、デプロイメントに適した値を設定します。たとえば、以下のパラメーターは、testdomain という名前の keystone ドメイン向けの LDAP 設定を作成します。

       parameter_defaults:
         KeystoneLDAPDomainEnable: true
         KeystoneLDAPBackendConfigs:
           testdomain:
             url: ldaps://192.0.2.250
             user: cn=openstack,ou=Users,dc=director,dc=example,dc=com
             password: RedactedComplexPassword
             suffix: dc=director,dc=example,dc=com
             user_tree_dn: ou=Users,dc=director,dc=example,dc=com
             user_filter: "(memberOf=cn=OSuser,ou=Groups,dc=director,dc=example,dc=com)"
             user_objectclass: person
             user_id_attribute: cn

   注記

   keystone_domain_specific_ldap_backend.yaml 環境ファイルには、次の非推奨の書き込みパラメーターが含まれています。

   • user_allow_create
   • user_allow_update
   • user_allow_delete

   これらのパラメーターの値はデプロイメントに影響を与えないため、安全に削除できます。

5. (オプション) 環境ファイルにドメインをさらに追加します。以下に例を示します。

       KeystoneLDAPBackendConfigs:
         domain1:
           url: ldaps://domain1.example.com
           user: cn=openstack,ou=Users,dc=director,dc=example,dc=com
           password: RedactedComplexPassword
           ...
         domain2:
           url: ldaps://domain2.example.com
           user: cn=openstack,ou=Users,dc=director,dc=example,dc=com
           password: RedactedComplexPassword
           ...

   これにより、domain1 と domain2 という名前の 2 つのドメインが指定され、各ドメインには、異なる LDAP ドメインが独自の設定で適用されます。