LDAP Linux HOWTO: 追加情報と補足

6. 追加情報と補足

この節には、ディレクトリへの問合せに使える Netscape のアドレス帳 (Address Book)についての情報があります。また、バージョン 4.5 以上の Netscape Navigator と LDAP サーバを使ってローミングアクセスを実現する方法について詳しく説明します。OpenLDAP のメーリングリストでは、ローミングアクセスについて多くの議論がありました。それはこの機能がうまく実現できないためです。大部分の人々は Netscape Navigator がダウンロードとアップロードするのに LDAP サーバを使うのを好みません。したがって、これを読んでローミングアクセスが思うように動作しないということがわかっても気にしないでください。多くの人々が既にこの状況を経験しているのです。ここでこの機能を紹介する目的は、LDAP プロトコルの可能性についてのアイデアを人々により多く与えるためです。最後には、 slapd プロセスを安全に中断する方法や slapd のログについての情報があります。

6.1 ローミングアクセス

[訳注] この節の説明は基本的に OpenLDAP 1.2.x に基づいています。 OpenLDAP 2.0.x では属性やオブジェクトクラスの拡張方法などが変更になっています。

ローミングアクセスの目的は、ネット上のどこにいても Netscape Navigator と LDAP サーバを用いて、ブックマーク、設定、メールフィルタなどを取り出せるようにすることです。これは非常に便利な機能です。あなたがどこで Web にアクセスしようとも、そこで使うブラウザにはあなた自身の設定があるのです。もしあなたが旅行に出た先で、あなたのローカルブックマークに登録してある相場のサイトにアクセスしたい場合も心配ありません。ブックマークや設定ファイルは LDAP サーバにアップロードされ、後であなたがどこにいようともブックマークや設定ファイルをすべて取り出せます。

[訳注] 残念ながら Netscape 6 ではローミングアクセス機能が無くなりました。

ローミングアクセスを実現するには次のステップに従う必要があります。

属性記述ファイルを変更する
オブジェクトクラス記述ファイルを変更する
プロファイルを格納するための LDIF ファイルを作成する
ローミングアクセスサーバとして LDAP サーバを使うように Netscape Navigator を設定する
新しい設定で LDAP サーバを再起動する

属性ファイルの変更

slapd.at.conf (これは slapd.conf に取り込まれるファイルで、通常 /usr/local/etc/openldap にあります)に与えられている属性の一覧に次の新しい属性を追加する必要があります。


attribute       nsLIPtrURL              ces 
attribute       nsLIPrefs               ces 
attribute       nsLIProfileName         cis 
attribute       nsLIData                bin 
attribute       nsLIElementType         cis 
attribute       nsLIServerType          cis 
attribute       nsLIVersion             cis 
attribute       nsServerPort            cis

[訳注] OpenLDAP 2.0.x の場合、/usr/local/etc/openldap/schema/ に適当なファイルを用意して次の定義を追加し、それを slapd.conf に取り込むようにします。


attributetype ( 2.16.840.1.113730.3.1.70
        NAME 'serverRoot'
        EQUALITY caseIgnoreMatch
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.15 )

attributetype ( 2.16.840.1.113730.3.1.76
        NAME 'serverHostName'
        EQUALITY caseExactIA5Match
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 2.16.840.1.113730.3.1.280
        NAME 'nsServerPort'
        EQUALITY caseExactIA5Match
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 2.16.840.1.113730.3.1.399
        NAME 'nsLIPtrURL'
        EQUALITY caseExactIA5Match
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 2.16.840.1.113730.3.1.400
        NAME 'nsLIPrefs'
        EQUALITY caseExactIA5Match
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )

attributetype ( 2.16.840.1.113730.3.1.401
        NAME 'nsLIProfileName'
        EQUALITY caseIgnoreMatch
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.15 )

attributetype ( 2.16.840.1.113730.3.1.402
        NAME 'nsLIData'
        EQUALITY bitStringMatch
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.40 )

attributetype ( 2.16.840.1.113730.3.1.403
        NAME 'nsLIElementType'
        EQUALITY caseIgnoreMatch
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.15 )

attributetype ( 2.16.840.1.113730.3.1.404
        NAME 'nsLIServerType'
        EQUALITY caseIgnoreMatch
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.15 )

attributetype ( 2.16.840.1.113730.3.1.405
        NAME 'nsLIVersion'
        EQUALITY integerMatch
        SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 )

オブジェクトクラスファイルの変更

slapd.oc.conf (これは slapd.conf に取り込まれるファイルで、普通 /usr/local/etc/openldap にあります)に次の新しいクラスを追加する必要があります。


objectclass nsLIPtr 
    requires 
        objectclass 
    allows 
        nsliptrurl, 
        owner 

objectclass nsLIProfile 
    requires 
        objectclass, 
        nsliprofilename 
    allows 
        nsliprefs, 
        uid, 
        owner 

objectclass nsLIProfileElement 
    requires 
        objectclass, 
        nslielementtype 
    allows 
        owner, 
        nslidata, 
        nsliversion 

objectclass nsLIServer 
    requires 
        objectclass, 
        serverhostname 
    allows 
        description, 
        cn, 
        nsserverport, 
        nsliservertype, 
        serverroot

[訳注] OpenLDAP 2.0.x の場合、/usr/local/etc/openldap/schema/ に適当なファイルを用意して次の定義を追加し、それを slapd.conf に取り込むようにします。


objectclass ( 2.16.840.1.113730.3.2.74
        NAME 'nsLIPtr'
        SUP top
        MUST objectClass
        MAY ( nsLIPtrURL $ owner ) )

objectclass ( 2.16.840.1.113730.3.2.75
        NAME 'nsLIProfile'
        SUP top
        MUST ( objectClass $ nsLIProfileName )
        MAY ( nsLIPrefs $ uid $ owner ) )

objectclass ( 2.16.840.1.113730.3.2.76
        NAME 'nsLIProfileElement'
        SUP top
        MUST ( objectClass $ nsLIElementType )
        MAY ( owner $ nsLIData $ nsLIVersion ) )

objectclass ( 2.16.840.1.113730.3.2.77
        NAME 'nsLIServer'
        SUP top
        MUST ( objectClass $ serverHostName )
        MAY ( cn $ description $ nsLIServerType $
              nsServerPort $ serverRoot ) )

LDIF ファイルの作成

[訳注] このステップに入る前に slapd.conf の設定をしておきましょう。まず OpenLDAP 1.2.x の場合 `lastmod on' にして運用属性 modifyTimestamp が自動的に管理されるようにしなければなりません。さらに、次のアクセス権を設定して slapd を再起動してください。

  OpenLDAP 1.2.x の場合：
    access to dn=".*,ou=Roaming,o=myOrg,c=NL" by dnattr=owner write
    access to attr=userpassword by * none by self write

  OpenLDAP 2.0.x の場合：
    access to dn=".*,ou=Roaming,o=myOrg,c=NL"
        by dnattr=owner write
    access to attr=userpassword
        by self write
        by anonymous auth
        by dn="cn=Manager,o=myOrg,c=NL" write
        by * none
    access to *
        by self write
        by anonymous auth

次に LDIF ファイルを作成する必要があります。Netscape のローミンングアクセス機能を使ってみたい各ユーザ用に、プロファイルエントリを追加します。以下に、プロファイルエントリを持つ LDIF ファイルの簡単な例を示します。


dn: o=myOrg,c=NL
objectClass: top
objectClass: organization
o: myOrg

dn: ou=People,o=myOrg,c=NL
objectClass: top
objectClass: organizationalUnit
ou: People

dn: cn=seallers,ou=People,o=myOrg,c=NL
userPassword: myPassword
objectClass: top
objectClass: person
cn: seallers
sn: seallers

dn: ou=Roaming,o=myOrg,c=NL
objectClass: top
objectClass: organizationalUnit
ou: Roaming

dn: nsLIProfileName=seallers,ou=Roaming,o=myOrg,c=NL
objectClass: top 
objectClass: nsLIProfile 
nsLIProfileName: seallers
owner: cn=seallers,ou=People,o=myOrg,c=NL

[訳注] もちろん、LDIF ファイルを作成するだけではなくて、これを実際に ldapadd などを使ってディレクトリに格納してください。

Netscape Navigator の設定

次のステップは、LDAP サーバに対してローミングアクセスが可能となるように Netscape Navigator を設定することです。

メニュー「編集」→「設定」→「ローミングユーザ」を選択します。

まず、このプロファイルでローミングアクセスを可能にしなければなりません。当該のチェックボックスをクリックします。

ユーザ名のボックスに適切な値、たとえば seallers を入力します。

「設定」ウィンドウの左側にある「ローミングユーザ」オプションの矢印をプルダウンして、ローミングアクセスのサブオプションを表示します。

「サーバ情報」をクリックして「LDAP ディレクトリサーバ」オプションを有効にし、ボックスに次のような情報を入力します。
Address: ldap://myHost/nsLIProfileName=$USERID,ou=Roaming,o=myOrg,c=NL User DN: cn=$USERID,ou=People,o=myOrg,c=NL

重要：Netscape は、ブラウザを実行する前に、あなたが選択したプロファイルの名前で $USERID を自動的に置き換えます。したがって、あなたがプロファイル seallers を選択していれば $USERID は seallers に置き換わり、プロファイル gonzales を選択していれば $USERID は gonzales に置き換わります。プロファイルについてよく知らなければ、 Netscape Comunicator パッケージについてくる Profile Manager アプリケーションを起動してください。これは、同じマシン上で複数ユーザが安全にブラウザを扱えるよう設計されたアプリケーションであり、個々のユーザが自分だけのブラウザ設定を保有できます。

[訳注] 訳者が確認したところでは、$USERID はローミングユーザの設定で入力したユーザ名で置き換わるようです。

LDAP サーバの再起動

最終ステップは、サーバの再起動です。LDAP サーバを安全に終了させる方法については LDAP サーバを終了する方法、再び起動する方法については LDAP サーバの実行を参照してください。

[訳注] 訳者が確認したところでは、ここで再起動する必要があるのは LDAP サーバではなくて Netscape です。

6.2 Netscape のアドレス帳

LDAP サーバが実行していれば、いろいろなクライアント(たとえば ldapsearch コマンドラインユーティリティ)で LDAP サーバにアクセスできます。非常に興味深いクライアントに Netscape のアドレス帳があります。これは Netscape のバージョン 4.x から利用できるようになっていますが、LDAP サーバと安全にやりとりするためには 4.5 以上のものを使う必要があります。

[訳注] 残念ながら Netscape 6 では LDAP サーバへのアクセス機能が無くなりました。

アドレス帳を使えるようにするには次のようにしてください。

Netscape Navigator の起動 -> Communicator メニューの選択 -> アドレス帳(Address Book)

Netscape のアドレス帳には、デフォルトの LDAP ディレクトリが既にいくつか登録されています。あなたの LDAP ディレクトリも登録する必要があります！

ファイル(File)メニューの選択 -> 新しいディレクトリ(New Directory)

あなたのサーバの情報を入力します。たとえば次のように設定します。

Description : TUDelft
LDAP Server : dutedin.et.tudelft.nl
Server Root : o=TUDelft, c=NL

デフォルトの LDAP ポートは 389 であり、サーバ側でこのオプションを変更しているのでない限りポートを変更しないでください。

これで、ボックス Show Names Containing を使ってあなたのサーバに簡単な問合せができますし、Search ボタンで複雑な問合せもできるようになっています。

6.3 LDAP Migration Tools

LDAP Migration Tools は、設定ファイル(configuration files)を LDIF フォーマットに変換する Perl スクリプト集です。このスクリプト集は PADL Software Ltd によって提供されていて、利用する前にライセンス条項に目をとおしておくことを勧めますが、とにかくフリーです。ユーザの認証に LDAP サーバを利用しようとしているなら、このツールは非常に有用です。 Migration Tools は、NIS やパスワードのアーカイブを LDIF に変換し、それらのファイルと互換のある情報を LDAP サーバで使えるようにします。また、ユーザ、グループ、hosts, aliases, netgroups, networks, protocols, RPC そして既存のネームサービス(NIS、フラットファイル、NetInfo)のサービスを LDIF フォーマットに移行するのにも、この Perl スクリプト集を適用してください。LDAP Migration Tools のダウンロードとさらなる情報を入手するには、次のアドレスに行ってください。

http://www.padl.com/tools.html

このパッケージには README ファイルが付いていて、スクリプトファイルの名前は機能を表しています。まずは README ファイルに目をとおして、その後にスクリプトの適用を開始してください。

6.4 LDAP を用いた認証

PAM (Pluggable Authentication Modules)という機構を用いて、LDAP はユーザを認証できます。UNIX が登場した当時からユーザの認証は、ユーザがパスワードを入力し、その入力されたパスワードが /etc/passwd に格納されている暗号化された正式なパスワードに該当するかをシステムが検査することにより行われてきました。

これは初期のことであり、その後、多くのユーザの認証が一般的になりました。その中には /etc/passwd をより複雑にしたものや、スマートカードというハードウェアデバイスもありました。このような認証の問題は、新しい認証方式が開発されるたびに、その新しい認証方法をサポートするために認証が必要なプログラム(login, ftpd など)のすべてを書き換えなければならないことです。 PAM は、認証方式から独立してプログラムを開発する手段を提供します。このようなプログラムは、実行時に認証を行うために接続する「認証モジュール」を必要とします。

LDAP のための認証モジュールは次のアドレスから tar ball の形式で入手できます。

http://www.padl.com/pam_ldap.html

ここでは、既に Linux ディストリビューションに PAM が用意されているものとします。もし PAM が用意されていなければ http://www.kernel.org/pub/linux/libs/pam を参照してください。実際のところ、さまざまな Linux ディストリビューションでの PAM の標準設定はそれぞれ違っています。普通、PAM の設定ファイルは /etc/pam.d/ ディレクトリに存在します。このディレクトリには、マシンで実行する各サービスごとに一つのファイルがあります。たとえば、Linux のブートアップの後でユーザのログイン処理に LDAP サーバを使いたいなら、(この段落の最初に説明してあるように)あなたの Linux で PAM を使えるようにし、LDAP PAM モジュールをインストールし、/etc/pam.d/ ディレクトリにある login という PAM 設定ファイルを編集して次のような内容にします。


#%PAM-1.0
auth       required     /lib/security/pam_securetty.so
auth       required     /lib/security/pam_nologin.so
auth       sufficient   /lib/security/pam_ldap.so
auth       required     /lib/security/pam_unix_auth.so try_first_pass
account    sufficient   /lib/security/pam_ldap.so
account    required     /lib/security/pam_unix_acct.so
password   required     /lib/security/pam_cracklib.so
password   required     /lib/security/pam_ldap.so
password   required     /lib/security/pam_pwdb.so use_first_pass
session    required     /lib/security/pam_unix_session.so

[訳注] pam_ldap は認証を行うだけなので、uid, gid, ホームディレクトリなどの読出しも LDAP でできるように NSS (Name Service Switch)のモジュール nss_ldap をインストールしておく必要があるでしょう。nss_ldap も PADL Software の Web サイトから入手できます。また、ディレクトリ内のエントリの作成には、前述の LDAP Migration Tools を使うとよいでしょう。

6.5 グラフィカルな LDAP ツール

Kldap

Kldap は KDE のために書かれたグラフィカルな LDAP クライアントです。Kldap はよいインタフェースを持ち、ディレクトリに格納された情報ツリーをすべて参照できます。次の Web サイトで、このアプリケーションのスクリーンショットのチェックとダウンロードができます。

http://www.mountpoint.ch/oliver/kldap

GQ という簡潔なインタフェースを備えたグラフィカル LDAP クライアントもあります。これは GNOME のために書かれたものです。GQ は KDE でも動作しますし、 Kldap も GNOME で動かせます。次の Web サイトで、ダウンロードやさらなる情報を取得できます。

http://biot.com/gq/

6.6 Logs

slapd はログを生成するのに syslog(8) 機能を用います。syslog(8) 機能のデフォルトユーザは LOCAL4 ですが、LOCAL0, LOCAL1 から LOCAL7 までのどれかにすることもできます。

ログを生成をできるようにするには、たいていは /etc ディレクトリにある syslog.conf ファイルを編集しなければなりません。

次のような行を追加します。


local4.*     /usr/adm/ldalog

この設定では syslog 機能にデフォルトユーザ LOCAL4 を使います。この行の構文を知らなければ、syslog, syslog.conf, syslogd の man ページを見てください。デフォルトユーザを変更したり、生成するログのレベルを指定するには、slapd を起動するときに次のオプションを指定します。

-s syslog-level

このオプションは、syslog(8) 機能にどのレベルのデバッグ情報を出力するかを slapd に伝えます。このレベルはメッセージの重大度を述べていて、次に(高いほうから低いほうに)あげるキーワードのいずれかである：emerg, alert, crit, err, warning, notice, info, debug. たとえば次のように指定します。 slapd -f myslapd.conf -s debug
[訳注] この説明は何かの勘違いのようです。実際にはどのデバッグ情報を出力するかを数値で指定します。指定する数値については slapd.conf の loglevel オプションを参照してください。

-l syslog-local-user

syslog(8) 機能のローカルユーザを指定します。値には LOCAL0, LOCAL1 など LOCAL7 まで指定できます。デフォルトは LOCAL4 です。しかし、このオプションは syslog(8) 機能でローカルユーザをサポートするシステムでのみ許されます。

さて、生成されたログを見てみてください。このログは、問合せ、更新、バインドなどで起きる問題を解決するのに大きな助けとなります。

次のページ前のページ目次へ