このページでは、LDAPを使用する理由と、LDAPクライアントの方法について説明します。 システムはLDAPサーバーと通信します。
これにより、ユーザーおよびグループ情報を取得するためにこのクライアントシステムが接続するLDAPサーバーを選択できます。最も重要なフィールドはLDAPサーバーのホスト名であり、ネットワーク上のLDAPサーバーのホスト名またはIPアドレスを入力する必要があります。複製されたサーバーが複数ある場合は、それらすべてをここに入力できます。
「root以外のユーザーのログイン」フィールドと「root以外のユーザーのパスワード」フィールドには、LDAPサーバーで受け入れられるユーザー名とパスワードをそれぞれ入力する必要があります。ログインは通常、 cn =Manager、dc =my-domain、dc =comのようなLDAP識別名になります。 。
このログインとパスワードはシステム上のすべてのUnixユーザーに表示されるため、通常、権限が制限されているLDAPユーザーのログインとパスワードに設定されます（読み取り専用アクセス、パスワードを表示する機能がないなど）。状況によってはパスワードを確認する必要があるため、[rootユーザーのログイン]フィールドと[rootユーザーのパスワード]フィールドは、LDAPサーバー全体への読み取りアクセス権を持つLDAPユーザー名とパスワードに設定する必要があります。この2番目のパスワードは、rootユーザーのみが読み取り可能なファイルに保存されるため、信頼できない通常のUnixユーザーからは安全です。
コンテンツ
LinuxでのLDAPの概要
LDAPは、Unixユーザー、グループ、およびその他の情報のデータベースを複数のシステム間で共有するために使用できるネットワークプロトコルです。通常、単一のLDAPサーバーにユーザーのデータベースが格納され、複数のクライアントによって照会されます。これらのクライアントがNFSエクスポートとディスクおよびネットワークファイルシステムを介してホームディレクトリもマウントする場合、ユーザーは同じユーザー名とパスワードでこれらのシステムのいずれかにログインできます。多くの点で、LDAPはNISと同様に使用され、NISクライアントとサーバーのページで説明されています。正しく構成されたLDAPクライアントを使用すると、LDAPユーザーとグループでユーザーとグループを管理できます。
LDAPクライアントのインストール要求 LDAPクライアントソフトウェアが正しくインストールされていない場合は、表示されたメッセージをクリックするだけです。
LDAPクライアントモジュール
LDAPクライアントモジュール このモジュールを使用すると、Linuxシステムを既存のLDAPサーバーのクライアントとして構成できます。これを機能させるには、まず、クライアントとして機能するために必要なパッケージ、具体的にはNSSLDAPクライアントライブラリとPAMクライアントライブラリをシステムにインストールする必要があります。実際のパッケージ名はディストリビューションによって異なりますが、DebianとUbuntuでは libnss-ldapです。 およびlibpam-ldap それぞれ。 RedhatシステムとFedoraシステムでは、どちらも nss_ldapにあります。 パッケージ。これらをインストールする最も簡単な方法は、ソフトウェアパッケージモジュールを使用して、 aptから直接インストールすることです。 またはyum 。
モジュール構成
LDAPクライアントモジュールの構成 サーバー上：
- LDAPクライアント構成ファイルを/etc/openldap/slapd.dに設定します
LDAPサーバーの選択
LDAPクライアントサーバーの構成 必要なソフトウェアをインストールしたら、次の手順に従って、システムを正しいLDAPサーバーに接続するように構成します。
- [システム]カテゴリでLDAPクライアントモジュールを開きます。以下に示すようなアイコンのページが表示されます。
- LDAPサーバー構成をクリックします 下のフォームを表示するアイコン。
- LDAPサーバーのホスト名 フィールドに、LDAPサーバーのホスト名を入力します。アドレス解決にLDAPを使用する場合（可能性は低い）、代わりにIPアドレスを入力してください。
- root以外のユーザーのログイン フィールドに、 cn =Manager、dc =my-domain、dc =com など、ユーザーに関するすべての情報を読み取る権限を持つLDAPデータベースのユーザーのDNを入力します。 。
- root以外のユーザーのパスワード フィールドに、上記のDNユーザーのパスワードを入力します。
- LDAPサーバーがSSLモードまたはカスタムポートで実行されている場合を除き、他のすべてのオプションはデフォルトのままにしておくことができます。
- 保存をクリックします ボタン。
検索ベース
LDAPクライアント検索ベース LDAPデータベースは、インターネットドメイン名と多くの点で類似した階層構造を持っています。データベース内の各ユーザーまたはその他のオブジェクトには、 cn =moroder、cn =Users、dc =my-domain、dc =com のように、階層内での位置を指定するフルネーム（DNと呼ばれる）があります。 。通常、データベース内のすべてのユーザーは、同じ親DN（ dc =my-domain、dc =com ）の下に保存されます。 前の例では。
デフォルトでは、すべての検索はグローバル検索ベースで実行されます。ただし、ほとんどのサーバーはユーザーとグループを異なるサブツリーに配置するため、UnixユーザーのベースとUnixグループのベースをそれらのサブツリーの識別名に設定する必要があります。 Base for Unixパスワードは、Base for Unixユーザーと同じDNに設定する必要があります。これは、パスワード情報がほとんどの場合、他のユーザー属性とともに保存されるためです。
システムがLDAPデータベースでユーザーとグループを見つけるには、それらを検索するDNを知っている必要があります。これを構成するには、次の手順を実行します。
- LDAP検索ベースをクリックします モジュールのメインページにあるアイコン。以下に示すフォームが表示されます。
- グローバル検索ベース フィールドに、 dc =my-domain、dc =comのようなDNを入力します その下にすべてのユーザーとグループを見つけることができます。
- 検索深度から メニューで、サブツリー全体を選択します 。
- ユーザーとグループのDNが完全に異なるツリーの下にある場合にのみ、Unixユーザーのベースに入力する必要があります。 およびUnixグループのベース セクション。
- 保存をクリックします 。
サービスの選択
LDAPクライアントサービス システムが実際にLDAPを使用してユーザーとグループを検索する前に、もう1つの手順が必要です。LDAPデータストアを使用するようにNSS（ネームサービススイッチ）を構成します。これを行うには、次の手順に従います。
- LDAPを使用するサービスをクリックします アイコン。
- 表示される表で、Unixユーザーをクリックします。 。
- 通常、最初に選択されるデータソースは1つだけです-ファイル 、これはシステムに / etc / passwdを使用するように指示します ユーザーアカウントを検索します。 2番目のデータソースから メニューで、 LDAPを選択します 。
- 保存をクリックします 。サービスリストに戻ったら、Unixシャドウパスワードと同じ手順に従います。 およびUnixグループ サービス。
すべてが構成されたら、構成の検証を使用できます モジュールのメインページのボタンをクリックして、すべてが正しくセットアップされていることを確認します。問題が報告された場合は、さまざまなオプションを使用して上記の手順のいくつかを再試行する必要があります。
LDAPブラウザ
クライアントブラウザ このページは、現在構成されているLDAPサーバーのデータを探索する簡単な方法を提供します。 LDAP検索ベースページに正しく入力できるように、階層内のどこにユーザーとグループが格納されているかを見つけるのに役立ちます。