5ちゃんねる ★スマホ版★ ■掲示板に戻る■ 全部 1- 最新50  

■ このスレッドは過去ログ倉庫に格納されています

OpenLDAP

1 :名無しさん@お腹いっぱい。:2007/08/02(木) 01:24:49
なぜないのだ、この話題?

2 :名無しさん@お腹いっぱい。:2007/08/02(木) 04:09:08
組織論には興味ないけど
フォルダ・アイコンを入れてみたり
学校給食のレシピを入れたりすると美味しそうだ

3 :名無しさん@お腹いっぱい。:2007/08/02(木) 07:48:24
もう落ちたけど

LDAPについて
http://pc11.2ch.net/test/read.cgi/unix/1012650811/

4 :名無しさん@お腹いっぱい。:2007/08/09(木) 09:44:40
「オープンエルダップ」とかいうクソ野郎がいるので

なぜLだけ仲間外れにするのか。


5 :名無しさん@お腹いっぱい。:2007/08/09(木) 09:59:16
普通「エルダップ」じゃね?
http://ja.wikipedia.org/wiki/Lightweight_Directory_Access_Protocol
http://en.wikipedia.org/wiki/Lightweight_Directory_Access_Protocol
http://e-words.jp/w/LDAP.html

6 :名無しさん@お腹いっぱい。:2007/08/09(木) 17:20:47
正しくは

オゥペネルディ・エ・ピ

(英語は発音大事)

7 :名無しさん@お腹いっぱい。:2007/08/09(木) 17:29:15
この「英語は発音大事」ってやつ、
何がおもしろいのかわからん。

8 :名無しさん@お腹いっぱい。:2007/08/16(木) 12:57:34
userPassword: {crypt}xxxxyyy
となってるのに
phpLdapAdminでpasswdの確認しようとすると
{ssha}違う文字列
が出てパスワードも一致しない
どこがおかしいの?

vine linux4 phpLdapAdmin 0.9 php5
その他はvineの標準のものを入れてます
Dovecotから読み込まれてるパスワードも一致しません

同様の設定でRHEL5 phpLdapAdmin 1 dovecotで行ったら
問題なく動いています

9 :名無しさん@お腹いっぱい。:2007/08/19(日) 07:48:25
CentOS 5 で LDAP を使った認証をしようとしています。
LDAP サーバは別途用意し、既に認証もできているのですが、
一つ疑問があります。それは /etc/ldap.conf と
/etc/openldap/ldap.conf の違いです。
たとえば参照する LDAP サーバは両者で設定しますが、
なぜ二重に設定する必要があるのでしょうか?

libnss-ldap ライブラリは /etc/ldap.conf を、
ldapsearch コマンドは /etc/openldap/ldap.conf を
見に行っているようなのですが、いつどちらが参照されるかについて
何らかの規則性があるのでしょうか?

10 :名無しさん@お腹いっぱい。:2007/08/27(月) 12:37:58
>>9
私はauthconfigで自動設定で問題なく動いてます


11 :名無しさん@お腹いっぱい。:2007/09/06(木) 16:34:50
authconfig-tuiでLDAP認証の設定するとき、TLSを使用に*入れて
ldapサーバのアドレスを ldap://<servername> にするとちゃんと認証してくれるんだが
ldaps://<servername> にするとなんかダメなのな。

tcpdumpで通信内容覗いてみると ldap:// でも平文では送ってないようなんだが
なんか気持ち悪いんだよな。

12 :名無しさん@お腹いっぱい。:2007/09/08(土) 17:43:23
>>11
たぶん LDAPS じゃなくて startTLS を使っているからだよ

13 :名無しさん@お腹いっぱい。:2007/09/10(月) 11:17:53
Apacheのbasic認証だとaliasは効くんだが、ログインでalias使うのは無理なんかね。

dc=example,dc=com
├ ou=Account
| ├ uid=hoge
| └ uid=piyo
|    (objectClassはaccount,posixaccount)
└ ou=Aliases
  ├ ou=alphaLogin
  | ├ uid=hoge(aliasedObjectNameはAccount配下のuid=hogeを指定)
  | └ uid=piyo(aliasedObjectNameはAccount配下のuid=piyoを指定)
  └ ou=blavoLogin
    └ uid=hoge(aliasedObjectNameはAccount配下のuid=hogeを指定)
     (objectClassはalias,extensibleObject)

こんな感じでデータツリー作って、alpha.example.comにはhogeとpiyoを、
blavo.example.comにはhogeだけをログインさせるなんてことをしようと思った訳だが。

authconfigでベースDNを dc=example,dc=com じゃなくて
ou=alphaLogin,ou=Aliases,dc=example,dc=com にしてみたんだが上手くいかんかったな。
同じこと考えてる奴で上手く動かしているのがいたらどこをイジったか教えてくれんかな。

14 :名無しさん@お腹いっぱい。:2007/09/10(月) 12:00:24
俺、あんまり詳しくないんだけど
uid=hogeが重複してるのは関係ない?

15 :名無しさん@お腹いっぱい。:2007/09/10(月) 13:10:10
おk、cnでやってみるお

16 :名無しさん@お腹いっぱい。:2007/09/10(月) 13:24:10
だめだった。

dc=example,dc=com
├ ou=Account
| ├ uid=hoge
| └ uid=piyo
|    (objectClassはaccount,posixaccount)
└ ou=Aliases
  ├ ou=alphaLogin
  | ├ uid=hoge(aliasedObjectNameはAccount配下のuid=hogeを指定)
  | └ uid=piyo(aliasedObjectNameはAccount配下のuid=piyoを指定)
  ├ ou=blavoLogin
  | └ uid=hoge(aliasedObjectNameはAccount配下のuid=hogeを指定)
  |  (objectClassはalias,extensibleObject)
  └ ou=Apache
    ├ ou=directoryA
    | ├ uid=hoge(aliasObjectNameは以下同文)
    | └ uid=piyo(aliasObjectNameは以下同文)
    └ ou=directoryB
      └ uid=hoge(ry

みたいにApacheのBasic認証でもuid使ってるんだがこっちは
上手くいってるんだよね。

17 :名無しさん@お腹いっぱい。:2007/09/11(火) 09:38:26
>>13
その構成、俺もやりたかったんだが去年挫折した。
資料が殆どなくてさ、全然解らなかった。

もし解決したら是非教えて欲しい。

18 :名無しさん@お腹いっぱい。:2007/09/11(火) 10:12:05
昨日からうんうん唸っていますが解決せず。
とりあえず@IT会議室にも放り込んでみたんだが、まだレスつかないなぁ。

もうちょい待ってダメならいよいよ日本LDAPユーザ会のMLで聞いてみるですよ。

19 :名無しさん@お腹いっぱい。:2007/09/11(火) 11:36:12
aliasがアリアスに見えてきた

いい選手だったのにネ

20 :名無しさん@お腹いっぱい。:2007/09/11(火) 18:34:03
ttp://sakuratan.ddo.jp/uploader/source/date51593.png

実験データさらしてみる。
ou=aliasedLogin,ou=Alias,o=Junk,c=jp をベースにして
配下にある objectClass=alias のデータでログインできれば
幸せのあまり昇天という寸法よ。クフゥ。

Apacheの方はこういう風にデータ格納してあります。
 ・馬鹿力ディレクトリには伊集院と渡辺だけ
 ・カーボーイディレクトリには大田と田中と野口だけ
 ・DJディレクトリには伊集院と大田と田中だけ
 ・staffディレクトリには渡辺と野口だけ
ってのはうまくいってる。

21 :名無しさん@お腹いっぱい。:2007/09/12(水) 09:28:17
X
叫んでみろX
berylしてみろX
全て脱ぎ捨てろ
おーお前等歌えよー

22 :名無しさん@お腹いっぱい。:2007/09/12(水) 09:49:01
半分俺ちゃんの備忘録になってる面があるが。


http://www.linux.or.jp/JF/JFdocs/LDAP-Implementation-HOWTO/pamnss.html より
==========
2.1.3. Lightweight Directory Access Protocol

今回のアプリケーションでは、ユーザアカウントとユーザグループに関する情報を
クライアントに供給するために LDAP が使用されます。ユーザとグループを表わすのに
用いられる標準的な objectclass は top, posixAccount, shadowAccount, posixGroup です。

データベース上のユーザ関連のエントリは少なくとも [3] top, posixAccount, shadowAccount の
objectclass に属していなくてはなりません。グループエントリは top と posixGroup の objectclass に
属していなくてはなりません。

今回利用する pam_ldap と nss_ldap の実装がこの objectclass を参照するからです。この
objectclass は RFC 2307 に記述されているものです。

Note: 実際には、LDAP 版 NSS はここで例示しなかった objectclass も認識します。
==========

>>データベース上のユーザ関連のエントリは少なくとも [3] top, posixAccount, shadowAccount の
>>objectclass に属していなくてはなりません。グループエントリは top と posixGroup の objectclass に
>>属していなくてはなりません。

ちゅーことはobjectClass が alias だったり extensibleObject だったり uidObject なのは
ダメってことなのね。逆に言えば pam 関連イジればできるかもという可能性?

23 :名無しさん@お腹いっぱい。:2007/09/12(水) 12:01:54
alias データの objectClass を alias と posixAccount にしてみた。
id <userName> は通るようにはなったが、どうやら userPassword を
aliasedObjectName の先に見に行っていないようだ。うぬぬ。

24 :名無しさん@お腹いっぱい。:2007/09/12(水) 13:41:11
host という属性が気になりはじめたお( ^ω^)

25 :名無しさん@お腹いっぱい。:2007/09/12(水) 14:05:09
alias 使った手段じゃ無いけど、これって解決策になってね?
 ↓
ttp://blog.hide-k.net/archives/2005/12/ldap.php

26 :名無しさん@お腹いっぱい。:2007/09/12(水) 17:07:28
>25
で上手くいきました。host で指定されていないとログインできないス。
alias じゃなくてデータ本体の host の値をいじくることで一元管理が
可能のようデスヨ。ぬふぅ

27 :名無しさん@お腹いっぱい。:2007/09/14(金) 10:48:19
アク禁喰らってた

>>26
alias上手くいかなかったかぁ。
何にも協力できなかったが、俺も実装したかったので
興味有ったんだがなぁ。


28 :名無しさん@お腹いっぱい。:2007/09/18(火) 13:48:29
どうやらクラスタ化したりした大量のマシンへのログインデータを
管理するには nisNetgroup とか使えってことらしい雰囲気。

オーム社の『LDAP -設定・管理・プログラミング』(4274065502)の6章あたり参考にして今遊んでいるですよ。
amazonのURL貼ろうとしたら長すぎて貼れないので上のISBNで検索してみるが吉。

上司から借りているんだが、こいつ3年くらい前の本だけど役に立ってる。
高いけど買うべきかもなー。

29 :名無しさん@お腹いっぱい。:2007/09/18(火) 15:15:57
余計なの削ればいいじゃん。
http://www.amazon.co.jp/dp/4274065502

30 :名無しさん@お腹いっぱい。:2007/09/18(火) 17:20:06
>29
/(^o^)\

31 :名無しさん@お腹いっぱい。:2007/09/21(金) 09:00:43
objectClass: top の存在意義がいまいち分からない

32 :名無しさん@お腹いっぱい。:2007/09/21(金) 16:40:39
ttp://sakuratan.ddo.jp/uploader/source/date52367.pdf
pdfで済まんがこいつを見てくれ これをどう思…

あ、いや。じゃねぇや。
この構築のしかただと、ログインサーバ群の数だけユーザのhostアトリビュートを
記述しなきゃいかんので面倒臭くてしょうがないから、ログインサーバ群をまとめて
処理できないもんかね。

できれば書き込むhostアトリビュートの数の最大値をクラスタの数にまで
押さえ込みたい。かといってログインサーバをクラスタごとに一つだと冗長性が
無いのが問題なのよ。エロい人助けて。

33 :名無しさん@お腹いっぱい。:2007/09/23(日) 05:41:23
LDAP サーバとの通信ができないと root でのログインすら
できなくなってしまうのですが、何が原因なのでしょうか?

nsswitch.conf で passwd/group には files ldap の順番で
記述しています。コンソールからのログインに関しては
むしろ /etc/pam.d/login のほうが重要でしょうか?

そちらには
auth sufficient pam_unix.so nullok try_first_pass
auth sufficient pam_ldap.so use_first_pass
と書いています。

なお、nsswitch.conf で files ldap を files だけにすると
これで問題なく root でログインできるようになります。
名前解決ライブラリのバグなのでしょうか?

LDAPサーバ、クライアントともに CentOS 6 を使っています。

34 :名無しさん@お腹いっぱい。:2007/09/23(日) 18:42:41
>>CentOS 6
未来人現る(;゚Д゚)

35 :名無しさん@お腹いっぱい。:2007/09/24(月) 01:06:39
>>34 CentOS 5 だった・・・・
Fedora Core 6 とごっちゃになってました。

36 :32:2007/09/26(水) 16:56:02
当方の事案は解決しました。ありがとう。

37 :32:2007/09/26(水) 18:49:26
ttp://home2.dip.jp/upload100_download.php?no=6598

とりあえず資料まとめたお。パス必須だったから OpenLDAP でおk
aliasでの制御は無理だったけど、似たような制御はこういう手段でできるみたい。

>33
ごめん、オイラじゃわかんなかった

38 :通りがかりの者:2007/10/01(月) 16:39:43
>>37
すみませんが、興味あってたどり着いた者です。
どうやってダウンロードしたらいいのですか?
DL KEYは何でしょうか?

39 :名無しさん@お腹いっぱい。:2007/10/01(月) 17:26:19
日本語理解できねぇのか?

40 :通りがかりの者:2007/10/01(月) 17:36:09
>>39
あ、そういうことでしたか。読みが雑でした。
失礼しました。

41 :名無しさん@お腹いっぱい。:2007/10/02(火) 11:26:54
んが、こんなんに興味持つ人がいるとは。
>37の後半部分にテキトーな文字列があったのは、実は同じ部局で>32を
自分が作成したと偽って提出したビッチ野郎が出たためとしておきます。
油断も隙もあったもんじゃねぇな。

ttp://sakuratan.ddo.jp/uploader/source/date53447.pdf

いくぶん詳しくまとめることができたのでドゾー

42 :名無しさん@お腹いっぱい。:2007/10/02(火) 11:31:16
ああそうだ、せっかくだからニチデンに感謝しておくか。Wordで使えるクリップアートを
提供してくれているのはドキュメント作成するときにものすごい助かったし。

今度マシン組むときも光学ドライブ買わせていただきますです。

43 :名無しさん@お腹いっぱい。:2007/10/02(火) 11:50:25
>>41
お疲れ。
LinuxやUnixサーバをAliasで管理できればもっと
楽になったんだろうけど。大分奇麗に管理されてるね。

44 :名無しさん@お腹いっぱい。:2007/10/02(火) 13:27:29
>43
pam_ldapやnss_ldapの今後の動向に期待というところです。
aliasのobjectClassもサポートしてくれればよりすっきりしますしね。
それはそれとしてshadowAccountの存在をすっかり忘れていることに
今気づく。ひょっとして後でここがアキレス腱になったりして。

実運用の承認降りたら降りたで怖いけど、ノウハウの蓄積ができそうなので
半分ワクワクもしているというダメっぷりを遺憾なく発揮しています。

45 :名無しさん@お腹いっぱい。:2007/10/03(水) 10:42:10
書き忘れてた。LDAPユーザ会MLと、特に恒川裕康氏に感謝を。
現状でもあまり活発なMLじゃないけど、日本のLDAPの第一人者の方々が
参加しているので、登録するだけでも価値はあると思いますよ。

46 :名無しさん@お腹いっぱい。:2007/10/03(水) 18:02:50
ttp://www.atmarkit.co.jp/fjava/rensai3/eclipseplgn21/eclipseplgn21_1.html

ちょっと気になる記事。

47 :名無しさん@お腹いっぱい。:2007/10/05(金) 16:51:00
FedoraDSはあんまりメジャーじゃねーのかね?

48 :名無しさん@お腹いっぱい。:2007/10/12(金) 11:42:43
1週間書き込みがないと不安になるなぁ。UNIX板でdat落ちってのは
そうそうないのは分かっているんだが、普段生息している板の癖が抜けない

49 :名無しさん@お腹いっぱい。:2007/10/14(日) 04:36:39
Becky のアドレス帳のニックネームでは、alias という属性を要求されるので
すが、少なくとも openldap-2.3.38 には存在しないようです。
Becky の実装がおかしいのでしょうか?


50 :名無しさん@お腹いっぱい。:2007/10/15(月) 09:06:11
>49
yumで入れてるなら

find /etc/openldap/schema -name \*.schema | xargs grep alias

してからもう一度ここに質問しにおいで。


51 :49:2007/10/15(月) 21:43:56
>>50
OS は Solaris9 で、ソースからコンパイルして入れてます。
ご指摘の内容は一度確認していましたが、alias がコメントアウトされている
ようで、なぜ?と思って質問しました。

ほとんどコメントアウトされているように見えましたが、唯一そうでなかった
のが misc.schema の
DESC 'NIS mail alias'
でした。さすがにこれは違いますね..。

他のコメントを見たら alias は OBJECT-CLASS として定義してあるようで..
このあたりで分からず...。もうちょっと勉強続けてみます。


52 :名無しさん@お腹いっぱい。:2007/10/17(水) 23:18:59
>33

ファイルを直接編集せずに
authconfig-tuiを使用したほうが良いとおもわれ
centos5の場合は不要なはずですが以前のOSだと
/etc/pam.d/system-authを以下のように編集する必要があり

account [default=bad success=ok user_unknown=ignore service_err=ignore system_err=ignore authinfo_unavail=ignore] /lib/security/pam_ldap.so

authinfo_unavail=ignoneが必要


53 :名無しさん@お腹いっぱい。:2007/10/17(水) 23:42:53
>41
ありがとう
ずっと探していた情報でした。
pam_filterを使うとは思いませんでした。

そういう観点ではpam_groupdnも良いかも
groupOfUniqueNamesクラスを使用するから
apacheのベーシック認証と似た感じになるし



54 :名無しさん@お腹いっぱい。:2007/10/25(木) 18:24:59
うーむ、ロダだとそのうち消えるよな。
CMSも併せてやってるんだが、ブログが形になってきたら
pdf補完したほうがいいかね、やっぱり

55 :名無しさん@お腹いっぱい。:2007/10/27(土) 11:07:02
syncreplでreadonly DNを使ってレプリケーションをしています。
この場合、コンシューマslapdに書き込みをしようとした場合、
うまくプロバイダslapdにredirectされるものなのでしょうか?
slurpdを使うときはupdatednに書いたDNを使って
マスタ側に書き込んでくれるようなのですが...。


56 :名無しさん@お腹いっぱい。:2007/11/09(金) 00:41:54
オレ思ったんだけどLAN内のみのメールアドレス管理なら
LDAP導入しなくても
LAN内のみ閲覧可能なWEBサーバディレクトリに
mail toをhtmlに書いておけばいいんじゃないのか
とか思ったりしたんだ

57 :名無しさん@お腹いっぱい。:2007/11/09(金) 09:05:34
オマエ天才だな。惚れたわ。

58 :名無しさん@お腹いっぱい。:2007/11/11(日) 18:17:27
>>56
LDAPアドレス帳検索の方が一般的なメールクライアントで対応しているので楽
あとLDAPを構築しておけば他の用途にも使える(NASのアクセス認証、WWW認証等)

その駄案はてめぇのオナニーだけにしておけ

59 :名無しさん@お腹いっぱい。:2007/11/12(月) 09:09:56
メールアドレス管理ってアドレス帳の事を言っていたのか。
意味がさっぱりわからなかったw

60 :名無しさん@お腹いっぱい。:2007/11/13(火) 23:14:16
ttp://www.atmarkit.co.jp/flinux/rensai/root02/root02a.html

よくあるLDAPサーバの構築例だと、必ずといっていいほどLDAPサーバが
DMZに置かれているのですが、何故でしょうか?
ユーザ情報を扱う以上、LAN内に置いておいた方が安全だと思うのですが。

この構造だと、LDAPサーバを乗っ取られたが最後のように思えます。
それとも、「DMZには置くが、グローバルIPは振らない」という意味でしょうか?

61 :名無しさん@お腹いっぱい。:2007/12/02(日) 13:22:21
/etc/nsswitch.conf に passwd compat ldap と書いています.
この状態でたとえば chown 0:0 myfile
などとすると,LDAP サーバに問い合わせに行きます.
そのために LDAP サーバが死んでいると root での
ファイル操作に支障をきたします.

libnss に必要のない lookup はさせないようには
できないのでしょうか?

62 :名無しさん@お腹いっぱい。:2007/12/02(日) 18:04:05
>>60
うちは、レプリカサーバを認証サーバ用にDMZに立ち上げてる。
Radiusサーバも一緒に。

認証のdelegateサービスを想定してなければ、大体はあなたの言う通りだと思う。

ただし、mail aliasをLDAPに置いて、round robinのpostfixに参照させるなど、
使い道はたくさんあると思う。apacheが/~usernameの参照に使ったり。

そもそも共通のdirectory基盤としてLDAPが出て来たんだから、
初期はより外にという状況が多かった。
今はdirectory基盤としてLDAPは当たり前なんだから、
あなたの言うような内側のみの案件がどんどん増えているんだと思う。
10年くらい前だと、内側のみならNIS/NIS+/NetInfoで十分って話だった。

63 :名無しさん@お腹いっぱい。:2007/12/02(日) 18:09:08
>>61
それchownの問題。

0は最初から数字なのに、
 0ってユーザがいなければ、数字と思う
ってロジック。アプリが引くんだからsearchしないと仕方がない。

rootって指定して、/etc/passwdには+を最後に書けば、引きにいかない。


64 :名無しさん@お腹いっぱい。:2007/12/02(日) 18:21:52
>>63
なるほど,chown の問題でしたか.
Ubuntu を使っているのですが
(すみません,Linux板にLDAP関連のスレがなかったので)
起動時に X がらみで開いたソケットのオーナーを
chown で切り替えようとするんですよ.

鯖なので X サーバ自体は入れてないんですが,
PHP 関係ののパッケージを入れて依存関係で勝手に
入ってきた x11-common っていうパッケージに含まれる
起動スクリプトがなぜか X 関係のソケットを作成しようとするようで・・・

65 :名無しさん@お腹いっぱい。:2007/12/02(日) 19:47:00
0って名前のユーザとグループ作っとけば?
rootと同じuid, gidで。

66 :名無しさん@お腹いっぱい。:2007/12/02(日) 20:59:47
>>65
いろいろと挙動を調べてみると、なぜか必要もないの
gid じゃなくて groups を調べようとしているようです。
なので group を全部舐めようとしているみたい。

67 :ID:dTDEeRzx:2007/12/04(火) 13:05:03
CentOS part 11 【RHEL Clone】
http://pc11.2ch.net/test/read.cgi/linux/1195800848/106-107

106 名前:login:Penguin[sage] 投稿日:2007/12/04(火) 11:24:32 ID:dTDEeRzx
うpだてでOpenLDAPのデータが吹っ飛んだ
BDBが壊れたかも

107 名前:login:Penguin[sage] 投稿日:2007/12/04(火) 12:18:11 ID:9Fjx+2mB
>>106
うちも消えた

/etc/openldap/schema/dnszone.schema
のパーミッションも変更されててldapが起動できなかった



オイラ達の外にもCentOS + OpenLDAPで何かう゛にゃってなった人いる?

68 :名無しさん@お腹いっぱい。:2007/12/04(火) 13:26:39
過去レス見れば分かるけどあるよ。

Netscape系のFedora Directory Serverを使える環境の人は、
そっち使った方が安心だよ。OpenLDAP壊れすぎ。

69 :名無しさん@お腹いっぱい。:2007/12/06(木) 08:43:47
>>62
レスありがとうございます。納得です。
DAPが必要な状況というのが、そもそも僕が思ってるよりも大規模なネットワークでの話だったんですね。
ActiveDirectoryと対比させて考えていたのでサッパリ分かってませんでした。

70 :名無しさん@お腹いっぱい。:2007/12/06(木) 10:05:29
そうですね。
X.500みたいな広域サービスがLDAPの元になってますから。
(X.500のディレクトリアクセスプロトコルが「DAP」)
小規模なら階層構造の必要がほとんどないですよね。

71 :名無しさん@お腹いっぱい。:2007/12/08(土) 13:20:55
OpenLDAPで管理できるユーザー数の上限はどのくらいですか?

72 :名無しさん@お腹いっぱい。:2007/12/13(木) 10:11:44
データベースが壊れたみたいなのですが
/var/lib/ldap
以下を消してもリセットされません
ldapadd
で新しくデータを入れなおししようとしても
そのエントリーはすでにある
と言われます

どうすればリセットできるのでしょうか?


73 :名無しさん@お腹いっぱい。:2007/12/13(木) 10:22:20
窓から投げ捨てろ

74 :名無しさん@お腹いっぱい。:2007/12/13(木) 11:42:27
ldapでLinuxのログイン認証する設定すると

 id <LDAPで作成されたアカウント>

でちゃんとユーザは認識されてるけど、ldapツリーの中に作成した
posixGroupはシステム側で認識しないのかな?

o=example,c=jp
  ├ ou=Groups (organizationalUnit)
  |  └ cn=ldapUsers (posixGroup gid=10000)
  └ ou=People (organizationalUnit)
      └ cn=hoge (account, posixAccount uid=10000)

てな状況です。「id hoge」すると uid は hoge(10000) って出るけど
gidやgroupsは 10000 と表示されるだけなんですな。

ちゃんとgroupaddしてやらなきゃいかんのでしょうか。

75 :74:2007/12/13(木) 11:43:55
あ、 uid=hoge は uidNumber=10000, gidNumber=10000 です。
ボーっと書いてました。すいません。

76 :名無しさん@お腹いっぱい。:2007/12/13(木) 14:18:39
まず/etc/nsswitch.confを
次にldap.confのnss_base_groupあたり

77 :74:2007/12/13(木) 15:42:27
>76
あー!ありがとうございます

nsswichを files ldap にだけして首ひねってましたわ

78 :名無しさん@お腹いっぱい。:2007/12/13(木) 16:03:58
>>77
どう訂正したか詳しく書いとけ。
後からこのスレ読んだヤツが助かるだろ。

79 :74:2007/12/13(木) 17:12:28
/etc/nsswitch の group の値を
→ group: files ldap

/etc/ldap.conf の nss_base_group のコメントアウトを解除して
→ nss_base_group ou=Groups,o=example,c=jp
(LDAPツリーの構造は >>74 参照)

とした訳ですハイ。この結果システム側がldapツリーから
グループをきちんと認識できるようになったですよ。

# chown hoge:ldapUsers /home/hoge

しても「ldapUsersなんてグループはねーよバーカバーカ」と怒られません。

80 :名無しさん@お腹いっぱい。:2007/12/26(水) 09:18:51
ここは俺のチラシの裏。
メモ
ttp://www.sailing-notes.com/2007/12/centos51openlda.html

81 :名無しさん@お腹いっぱい。:2007/12/26(水) 12:48:13
>>80
何打よその地雷(w

82 :名無しさん@お腹いっぱい。:2008/01/06(日) 10:46:41
LDAP には原理的にはスキーマさえ定義すればどんな情報でも
持たせることができますが,userPassword 属性はだけ特別な
意味を持ちますよね?たとえば slapd への接続のときには
この属性の値によって認証します.

この属性名は固定なのでしょうか?
それとも設定によっては他の属性を slapd への接続時の
認証情報として使うことができるのでしょうか?


83 :名無しさん@お腹いっぱい。:2008/01/06(日) 10:57:08
slurpd が使うレプリケーションのためのエントリを追加したいのですが,
organizationalRole として追加すると userPassword 属性がありません.
このような特殊なエントリは一般ユーザの(POSIXアカウントの)
エントリとは別にしたいのですが,どうすればいいのでしょうか?

LDAP に対する操作は主として phpldapadmin で行っています.

84 :名無しさん@お腹いっぱい。:2008/01/07(月) 09:32:16
ボクはLDAPについてはド素人なので聞き流してもらっても構わないけど、
レプリケーションするのに管理者権限ないと、

access to attrs=userPassword
by self write
by anonymous auth
by * none

とかだった場合にuserPasswordがレプリケートされなかったりしない(・ω・)?
by xxxx とか書いて特定のアカウント「xxxx」にアクセス権限つけたりできたっけか?

というかそもそも管理者dnって posixAccount と別に作れない?
cn=ldapRoot,dn=example,dn=com みたいなdnでさ。

85 :名無しさん@お腹いっぱい。:2008/01/07(月) 16:53:50
…なんかズレたレスしてるな。

ldap.conf に記述する rootdn と rootpw でLDAPプロバイダに
接続しちゃえばいいんじゃない?TLS 使って ldaps アクセスするような形で。

暗号化するとは言えルートDN使うのはよくないんだろうけど。

86 :名無しさん@お腹いっぱい。:2008/01/07(月) 20:52:23
>>82
RFC2829, Authentication Methods for LDAP
に"simple bind"での認証での記述でも、
RFC3062, LDAP Password Modify Extended Operation
でも、userPassword属性について言及してます。
ただ、必ずuserPassword属性でなければいけない(MUST)というわけではありません。
まず、userPassword属性は、
基本的に生パスワードテキストを前提としているため、
暗号化されたパスワードテキストを使う場合に、
RFC3112, LDAP Authentication Password Schema
で、authPassword属性を"simple bind"で使う場合の定義が行われています。
また、NIS schema(RFC2307)では、userPassword属性で、
暗号化されたパスワードテキストを使う場合を定義しています。
それからWindowsは違う属性を使うケースがあります。

ただし、ほとんどのLDAPサーバ実装では、
"simple bind"でどの属性を使うか固定しているので、
利用しているLDAPサーバのドキュメントを参照してください。
OpenLDAPはslapdの設定で行うことはできません。
ただしback-*を書けば可能です。

87 :名無しさん@お腹いっぱい。:2008/01/07(月) 20:58:00
>>83
organizationalRoleは、STRUCTURALクラスなので、
そのクラスのオブジェクトに属性を付加したいとなると、
その属性を持ったAUXILIARYクラスを加えることになります。
# 全てのLDAPオブジェクトは、
# ただ一つのSTRUCTURALクラスに必ず属さなければいけません。
# 加えて0以上のAUXILIARYクラスに属することが可能です。

userPassword属性だけを持ったAUXILIARYクラスは、
simpleSecurityObjectクラスです。core.schemaにあります。

88 :名無しさん@お腹いっぱい。:2008/01/07(月) 21:01:38
ちょっと訂正を。
>>86
二行目先頭: に→の

> OpenLDAPは〜はできません。

「slapd.confの設定だけでuserPassword属性以外の属性を使うこと」
back-*というのは、Cで書くサーバのaddonです。


89 :49:2008/01/08(火) 23:25:22
結構前になりますが、>>49>>51で質問した者です。

やりたいことは、uid=foo,ou=People,dc=example,dc=com に
"alias: f" を追加したいだけなのですが、以下のように 2 つ登録すれば
よいのでしょうか? 試してみたのですが、これもうまくいきません..。

# foo, People, example.com
dn: uid=foo,ou=People,dc=example,dc=com
objectClass: inetOrgPerson
objectClass: posixAccount
uid: foo
cn: foo
o: huga
uidNumber: 1000
homeDirectory: /home/foo
mail: foo@example.com
sn: dummy
gidNumber: 310

# f, People, example.com
dn: cn=f,ou=People,dc=example,dc=com
objectClass: alias
objectClass: extensibleObject
cn: f
aliasedObjectName: uid=foo,ou=People,dc=example,dc=com


90 :名無しさん@お腹いっぱい。:2008/01/09(水) 01:24:23
>>89
ぜんぜん違う。
とりあえず、Becky!作ったやつに死ねって言っといて。
aliasオブジェクトクラスって、シンボリックリンクみたいなもんだから。

91 :49:2008/01/09(水) 01:29:38
>>90
やっぱり...。orz
シンボリックっぽく使えることは確認できました。


92 :49:2008/01/09(水) 02:15:16
たびたびすみません。以下のサイトの addressbooks.schema にそのものズバリ
beckyAddressBookExtension があり、ニックネームが使えるようになりました。

ttp://hatuka.nezumi.nu/log/2003/05/ldap_attributes.html

が、LDAP アドレス帳だとニックネームからの補完が効きませんでした。Becky! のバカ..。
板違いになってきたので、この辺で失礼いたします。


93 :名無しさん@お腹いっぱい。:2008/01/09(水) 08:36:12
いや、特定のソフトに対する事例ではあるけど決して無関係ではない希ガス
LDAP関連のスレッドって少ないし、助かるわ

94 :名無しさん@お腹いっぱい。:2008/01/09(水) 13:08:11
ネットウエアのほうがシングルログオンは優秀かも?

95 :名無しさん@お腹いっぱい。:2008/01/10(木) 12:58:55
NDS?

96 :名無しさん@お腹いっぱい。:2008/01/18(金) 14:20:29
LDAPとVBの連携についてmsdn.microsoft以外に言及してるサイトって無いかな。
ADSI-VB-LDAPで認証システムを構築したいのだが

97 :41:2008/01/22(火) 15:10:29
>41のpdf流れちゃったけどまだ需要ある?

98 :名無しさん@お腹いっぱい。:2008/01/22(火) 16:25:27
あーゆーのこそまとめを作ってageといてくれ

99 :74:2008/01/22(火) 17:11:09
今さくらとcoreserverで実証している最中なのdeath-you

どっちにしろオイラはヘタレSEなので大したのはできないだろうけど、
.asiaドメインが取れるようになったら本気出す

100 :名無しさん@お腹いっぱい。:2008/01/22(火) 17:11:59
んが、中途半端にコテが残ってた
恥ずかしいから見ちゃヤだー

101 :名無しさん@お腹いっぱい。:2008/01/25(金) 16:25:33
今日はOpenLDAPのMLが活発に議論しているみたいだね

やっぱBDBは飛ぶ機能がついていたんだな

102 :名無しさん@お腹いっぱい。:2008/01/25(金) 17:05:43
どういうこと?
BDBのバグが原因?
ML読まずにカキコ

103 :名無しさん@お腹いっぱい。:2008/01/28(月) 09:04:02
LDAP-ML 247番より引用
==========
> > ちなみに、どんな問題があるのでしょう。
> > 「かなり」ということなんで結構致命的なのかと...

http://www.osstech.co.jp/techinfo/openldap
にも少し書いてありますが、
http://www.openldap.org/software/download/OpenLDAP/openldap-release/openldap-2.2.30.tgz
のCHANGESを一度読んでみてください。気を失いそうになります。

そして本当にデータを喪失した方も結構います。
==========

osstech.co.jp のページの下部に
>BerkeleyDB (BDB)のバージョンを最新の 4.5.20にし、最新パッチを適用しています。高負荷で
>データが破壊する、ハングアップする、リカバリできないなどの多くの不具合を修正しています。

という恐ろしい一文が。

104 :名無しさん@お腹いっぱい。:2008/01/28(月) 13:28:11
怖〜〜〜〜

105 :名無しさん@お腹いっぱい。:2008/01/28(月) 13:33:54
恐ろしくなったので今ldifで全部書き出して保存した

106 :名無しさん@お腹いっぱい。:2008/01/28(月) 13:39:11
え、まだbdb使っている人いるの?
規定バックエンドがそうだから仕方ないのかなあ。

107 :名無しさん@お腹いっぱい。:2008/01/28(月) 13:47:01
>>106
俺,既定のまま.
まぁユーザは内輪だけだから10人ちょっとなんだけど.
ちゃんとしたRDBを使った方がいいかなぁ.

108 :名無しさん@お腹いっぱい。:2008/01/28(月) 14:45:02
オイラの職場に導入されたのもBDB使ってる……
既に100人オーダーで使ってるが大丈夫だろうか。

csvファイルを useradd.pl とかいうスクリプトで放り込むのダリーなぁ
ldapaddさせてくれ全く

109 :名無しさん@お腹いっぱい。:2008/01/28(月) 17:52:06
>>108
> csvファイルを useradd.pl とかいうスクリプトで放り込むのダリーなぁ
> ldapaddさせてくれ全く

どういうこと?

110 :名無しさん@お腹いっぱい。:2008/01/29(火) 08:50:45
>109
ldapクライアントの知識が無い癖に誰かに吹き込まれて「LDAPでいこうガッハッハ」とか
言い出した社長のために、ソフト納入会社がperlを組んでくれたのですよ。
ldifをldapaddで放り込むのではなく、csvでデータ作成してそれをperlに与えて
エントリを作成したり修正したりせなならんのです

オイラとしては使い慣れたldapadd -x -D "cn=root,dc=example,dc=com" 〜〜 の
方がずっと使いやすいのだがにゃーと。

111 :109:2008/01/29(火) 18:57:44
つまんない愚痴かよw

マルチエントリの属性や外部データがない限りCSVで十分だろ。
知識ない人もWordで作れるし。

112 :名無しさん@お腹いっぱい。:2008/01/30(水) 00:30:39
>>110
LDAPの参考書の1行目にも「リレーショナルデータベースでは無いので〜」
と書いてあるではないか。社長の考えは間違ってないぞ。

113 :名無しさん@お腹いっぱい。:2008/01/30(水) 11:46:06
一応、LDAPのデータは「リレイション」だよ。DAPと違って、LDAPはトランザク
ションが最小限しかないから、RDBとはいいがたいけど。ただ>>112が何を言
おうとしているのかはさっぱり分からない。





114 :名無しさん@お腹いっぱい。:2008/02/06(水) 12:24:20
 LDAPはあくまでプロトコル体系でしょ。 そのデータベースはバックエンドで
一般的なRDBも使えるのは知ってる。 現に Postgresql(UNIXodbc)のバック
エンドなんてのもあるしね。 BDBの難点は、やたらバージョン更新があるのに
バージョンアップするときの互換性がないとこかな。 4.x だけでも4.0〜4.6まで
いろいろありすぎ。

 いったんLDIFに出せばいいっていう話はあるのだけど、バイナリ互換のほうが
楽でいいと思う。 バイナリ互換性を追い求めちゃいけないのかな。
Postgresql+UnixODBCだって水物っぽかった時期に触って徒労に終わったし。

115 :名無しさん@お腹いっぱい。:2008/02/06(水) 12:45:48
relation from FOLDOC

1. <mathematics> A subset of the product of two sets, R : A x B. If
(a, b) is an element of R then we write a R b, meaning a is related to
b by R. A relation may be: reflexive (a R a), symmetric (a R b => b R
a), transitive (a R b & b R c => a R c), antisymmetric (a R b & b R a
=> a = b) or total (a R b or b R a).

リレイション = 関係型データベースの「関係」
←→関数型データベース

116 :名無しさん@お腹いっぱい。:2008/02/08(金) 11:10:59
bdb使わなければ変なバグは出ないの?
bdbじゃなかったら何がお勧めなの?

117 :名無しさん@お腹いっぱい。:2008/02/08(金) 12:41:44
>116
日本語大丈夫?

118 :名無しさん@お腹いっぱい。:2008/02/28(木) 00:11:10
bdbって、4.0〜4.6まであってどれつこたらええかわからん

119 :名無しさん@お腹いっぱい。:2008/02/28(木) 00:38:18
悪いこと言わないから他のにしなよ。
マイナーバージョン違いでも平気でデータのバイナリ互換性ないしw

120 :名無しさん@お腹いっぱい。:2008/03/01(土) 22:44:42
slapd.confのbind_policyをsoftにしたらslapdの起動が凄く高速化したんですが弊害ってないんですかね?


121 :名無しさん@お腹いっぱい。:2008/03/07(金) 12:52:24
bdbさえ使わなければyumでldapのバージョン上げる度におかしなエラーに遭遇しないのかい?

122 :名無しさん@お腹いっぱい。:2008/03/07(金) 18:17:19
BDBから離れたらゆっくり眠れる保証があるんですか

123 :名無しさん@お腹いっぱい。:2008/03/07(金) 21:04:51
そういう方向の約束は難しいんだが、
・bdbバックエンドを使って、
・毎日のバックアップも取ってない
そのような人間はゆっくり眠れないはずだ、
という共通認識が出来上がっている。

バックアップはちゃんとdb_dump使わないとまずいです。
LDAPのオペレーションの方でやるか。

124 :名無しさん@お腹いっぱい。:2008/03/10(月) 11:19:06
>122
だからガノタは巣に帰れと

125 :名無しさん@お腹いっぱい。:2008/03/12(水) 13:33:09
ldapのクライアント側を変更しないでserverだけ変更することってできるの?

126 :名無しさん@お腹いっぱい。:2008/03/12(水) 15:14:04


意味が。

127 :名無しさん@お腹いっぱい。:2008/03/13(木) 02:31:59
>>125
この前サーバに張ってあった備品シールをはがした。

128 :名無しさん@お腹いっぱい。:2008/03/13(木) 02:32:47
>>127
クライアントからのリクエストには問題なく答えましたか?

129 :名無しさん@お腹いっぱい。:2008/03/13(木) 11:02:57
>>123
バックアップするなら、ldif ファイルをとる方が、バージョンアップに耐えるからいい。

130 :名無しさん@お腹いっぱい。:2008/03/27(木) 10:07:00
tokutei.asia

131 :名無しさん@お腹いっぱい。:2008/04/01(火) 00:44:47
LDAPサーバにアカウントが2つあります。

アカウント aaa uid=20000,gid=20000
アカウント bbb uid=0,gid=0

LDAP経由でアカウントaaaはログインできるのに、アカウントbbbは Login incorrectとなってログインできません。
ldapsearch ではアカウントaaa,bbbとも結果が返ってきます。

クライアントのOSは、RHEL4.6 です。
書いていて気付きました。rootでのログインを禁止していたことに。



132 :名無しさん@お腹いっぱい。:2008/04/01(火) 00:49:34
>>131
おめw

133 :名無しさん@お腹いっぱい。:2008/04/01(火) 09:13:26
ぷぎゃーw

134 :名無しさん@お腹いっぱい。:2008/04/01(火) 18:40:51
心温まるレスだな

135 :名無しさん@お腹いっぱい。:2008/04/19(土) 00:17:23
OpenLDAP に興味を持っているんですけど、
認証サーバーが一台、ログインホスト3台という環境で、
特定のユーザーが1台のホストからだけログインするような設定も可能なんですよね?

○図
認証サーバー(OpenLDAP)
 |
 +ホスト1
 +ホスト2
 +ホスト3 ← ユーザーはこのホストからだけログインさせたい。

136 :名無しさん@お腹いっぱい。:2008/04/19(土) 00:59:42
そのお題ならLDAP上にアカウント情報を置く必要ないと思うが、
どうしてもLDAP上に置くなら、
・別のbase DNにする
・pam_filterで弾く
などの方法がある。

137 :名無しさん@お腹いっぱい。:2008/04/29(火) 03:54:47
ものごっつ初歩的な質問で申し訳ないんですけど、
2.3.x 系と 2.4.x 系は何が違うか書いてあるページがあったら教えてください。
うまく探せませんでした。英語でも若干おっけーです。


138 :名無しさん@お腹いっぱい。:2008/04/29(火) 06:31:18
tar玉のCHANGESを読んで。
それから二桁目奇数は開発バージョン。

139 :名無しさん@お腹いっぱい。:2008/04/29(火) 13:24:39
>>138
万能な回答ですねw

140 :名無しさん@お腹いっぱい。:2008/05/17(土) 23:28:51
LDAPサーバ構築、頭痛い

141 :名無しさん@お腹いっぱい。:2008/05/18(日) 02:14:39
LDAPの構築ってどれくらいで「大規模」って呼ばれるんでしょ?


142 :名無しさん@お腹いっぱい。:2008/05/19(月) 00:14:32
>>141
> LDAPの構築

ここからして意味がわからん


143 :名無しさん@お腹いっぱい。:2008/05/20(火) 17:35:40
意味わかるだろ

144 :名無しさん@お腹いっぱい。:2008/05/20(火) 20:47:05
東大は3万件というがあれはNECのEDSだからなあ
1万もエントリがあれば大規模なんじゃない?

145 :名無しさん@お腹いっぱい。:2008/05/28(水) 01:27:17
エントリ一万で大規模か。基準がよくわからないが。パスワードポリシー使っている人います?色々調べたんだが中々良い文献が無いな。英語はよめん!

146 :名無しさん@お腹いっぱい。:2008/05/29(木) 07:11:17
何が知りたいの?


147 :名無しさん@お腹いっぱい。:2008/05/29(木) 11:10:02
Debian Etch で slapd 動かしてみたんだけど、

× ldapsearch -x -H ldap://localhost uid=hogehoge
× ldapsearch -x -H ldap://localhost uidNumber=1000
○ ldapsearch -x -H ldap://localhost cn=hogehoge
○ ldapsearch -x -H ldap://localhost loginShell=/bin/false

この違いはどこから来るの?フィルターとして使える、
使えないはどこで決められているのでしょうか?

148 :名無しさん@お腹いっぱい。:2008/05/29(木) 11:34:09
うぉぉ
uid=punipuni にして uid=hogehoge に戻したら検索できるようになった。
何が起こってるんだ・・・

149 :名無しさん@お腹いっぱい。:2008/05/29(木) 11:41:36
slapindex で直った・・
なんだったんだ。
俺の午前中を返せ。

150 :名無しさん@お腹いっぱい。:2008/05/29(木) 22:07:25
> 制限
> データベースの一貫性を保証したいのであれば、
> slapindex を実行している間は slapd(8) の実行を中断してください。

この辺りはちゃんと守ってますか?

151 :名無しさん@お腹いっぱい。:2008/05/29(木) 22:07:53
それからbdb(Berkley DB)を使ってませんか?

152 :名無しさん@お腹いっぱい。:2008/05/30(金) 02:00:29
ユーザ7000人のシステムでインデックスをデフォルトのままで動かしたら、処理重いよね?
nscdも使わない設計なんだけど、やばくない?


153 :名無しさん@お腹いっぱい。:2008/05/30(金) 07:55:10
ユーザ数に対しては最高でもログのオーダーだが、
アクセス数に対してはリニアオーダー。

154 :名無しさん@お腹いっぱい。:2008/05/30(金) 13:29:56
何のための slurpd だよ

155 :名無しさん@お腹いっぱい。:2008/05/30(金) 23:28:06
>>153
意味がわからん
LDAPで日本語って普通に使える?特別な設定やパッケージ必要?

156 :名無しさん@お腹いっぱい。:2008/05/31(土) 18:54:11
年中無休発狂妄想爆裂憤死寸前粘着真性キチガイ包茎池沼病気猿男(狂猿)◆QfF6cO2gD6による気違いカキコの続き:

初心者もOK! FreeBSD質問スレッド その95
http://pc11.2ch.net/test/read.cgi/unix/1210728872/706-708,710,712

706 名前:名無しさん@お腹いっぱい。[sage] 投稿日:2008/05/31(土) 16:24:19
AAとコピペばっか

707 名前:名無しさん@お腹いっぱい。[sage] 投稿日:2008/05/31(土) 16:25:33
アク禁報告を誰もしてないのが不思議w
してても無視されてるのか

708 名前:名無しさん@お腹いっぱい。[sage] 投稿日:2008/05/31(土) 16:31:15
>>704
假性ですが何か?

710 名前:名無しさん@お腹いっぱい。[sage] 投稿日:2008/05/31(土) 17:45:14
粘着キチガイ男(狂犬)をアク禁にしたらリアルに無差別殺人起こす可能性が高いからな。

712 名前:名無しさん@お腹いっぱい。[sage] 投稿日:2008/05/31(土) 17:59:51
ビビって書き込み止めたのか?と煽ってみる
--------------------------------------------------------------------------------------------
UNIX板のあちこちのスレッドを荒らしている凶悪メンヘラ・真性キチガイ猿粘着◆QfF6cO2gD6。
いつも荒らしを憎むようなレスをするが、実際に荒らしているのは自分。
気色の悪い年中無休発狂粘着真性キチガイ包茎池沼病気猿男(狂猿)◆QfF6cO2gD6があちこちのスレに
遂に理解できないような基地害カキコをし始めた!気持ちが悪い…。

157 :名無しさん@お腹いっぱい。:2008/06/03(火) 10:47:13
すいません、この辺を見ながらLDAPに挑戦しているのですが↓
http://www.atmarkit.co.jp/flinux/rensai/linuxtips/907ldapentrie.html

ldapaddを実行したら command not found て…
前項で yum install openldap-servers でインストールは済んでるんですが
他にインストール必要なものって有ったりしますか

158 :名無しさん@お腹いっぱい。:2008/06/03(火) 11:03:06
つ yum search openldap-

159 :名無しさん@お腹いっぱい。:2008/06/05(木) 01:21:03
path通してないとかいうオチじゃないよね?


160 :名無しさん@お腹いっぱい。:2008/06/12(木) 20:59:48
クライアント計算機にログインしたときは,LDAP で認証& NFS なホームを automount
できるところまで設定してます.
この状況で,さらに,www サーバにログインする際は,LDAP で認証& www サーバ上の
ディレクトリを,ホームディレクトリとしたいのですが,これは設定したらいいのでしょう?
ヒントをくださいませ.

161 :名無しさん@お腹いっぱい。:2008/06/12(木) 22:47:39
>>160
wwwサーバでautomount動かさなきゃいいだろ。
ホームをNFSマウントしなければいい。

162 :160:2008/06/13(金) 04:33:15
説明がたりなくてすみません.

www サーバとその他のサーバで,ホームディレクトリのパスが同じなら(どちらの場合も
ユーザ hoge のホームが /home/hoge だったら),うまくいくのは確認してます.
(そもそも,これは LDAP が期待した動作?ごまかしてるだけな気が)

いまは,NFS,www サーバ のユーザ hoge の$HOME は以下のように異なっています.
NFS: /home/foo/bar/hoge
www サーバ: /home/hoge
これで,www サーバに LDAP 認証でログインすると,$HOMEは NFS のホームとなっていて,
「ホームがない!」といわれて,ログイン直後のカレントディレクトリが "/" になります.
こういうとき,どう解決するのでしょうか??

163 :名無しさん@お腹いっぱい。:2008/06/13(金) 05:53:10
mount --bindするとかシンボリックリンクはるとかで解決できないかな?

ldapとは関係ない気がするけど。

164 :名無しさん@お腹いっぱい。:2008/06/13(金) 08:04:51
>>162
LDAPは何も期待してないぞ。
あんたが勝手な期待してるだけ。

OpenLDAPならshell DBで、filterする手もあるが、
どう考えてもパスを合わせた方が楽で、自然。


165 :名無しさん@お腹いっぱい。:2008/06/14(土) 16:17:47
インスコ、初期設定までして、最上位ツリーとマネージャー登録したのですが、ldapsearchでエントリが表示されず、エラーコード32が表示されています。
登録時にエラーはなかったのですが、なぜマネージャーすら表示できないんでしょうか?
slap.confはデフォルトの使ってます。

166 :名無しさん@お腹いっぱい。:2008/06/14(土) 18:26:48
よくあるのは、サーチベースを指定していない場合だけれど、どうでしょうか

167 :名無しさん@お腹いっぱい。:2008/06/15(日) 02:27:15
>>165
エラーコードの意味は調べてあるの? 調べてあるの? あるの?

168 :名無しさん@お腹いっぱい。:2008/06/16(月) 03:11:18
しつもんします
version2.3.39のopenldapでLDAPのつかいかたを学習中です

SASL/gssapi認証をためしているのですが
slapd.confのrootdnの行を
rootdn uid=ほげ,cn=<realm名>,cn=gssapi,cn=auth
としてldapmodifyなどをつかってほげがエントリを修正しようとすると
"Insufficient access (50)"のエラーになります。


...なのですがslapd.confのrootdnの行からcn=<realm名>を消して
rootdn uid=ほげ,cn=gssapi,cn=auth
とすると、ldapmodifyなどの修正は問題なく成功します

これは既定の動作なのでしょうか?
それともやっぱり何かまちがってるでしょうか?

169 :168:2008/06/16(月) 03:32:26
..slapd.confで

sasl-realm <realm名>

を設定することで期待していた動作になりました
ども お騒がせしました

170 :名無しさん@お腹いっぱい。:2008/06/18(水) 01:27:15
>>166-167
自己解決してましたがレスどうも。
ベースの設定でした。
ldap.confいじるなんて俺の数ある情報源には無かった。w
ログ見て、ベースが空欄になっているのはわかっていたのですが、まさかldap.confとは。


171 :名無しさん@お腹いっぱい。:2008/06/20(金) 09:15:09
ldapsearchならオプションで指定できるが。

172 :名無しさん@お腹いっぱい。:2008/06/21(土) 00:52:51
オプションでできるけど、いちいち指定するのがめんどい。話変わるけど、root以外でslapd起動している人います?
-u 付けてroot以外で動かしたら挙動がおかしくなったよ。各ファイルの権限も問題ないのだが。

173 :名無しさん@お腹いっぱい。:2008/06/21(土) 07:19:27
問題ないです。

174 :172:2008/06/22(日) 19:20:11
以下のようなエラーが出ています。
ldapsearchすら受付てくれない。
ログインはかなり待てばログインできます。
nss_ldap、PAMのなんかが悪いってことは解ったのですが、rootなら問題なくて、
一般ユーザで起動すると駄目っていう現象がいまいちわかりません。。。

nss_ldap: failed to bind to LDAP server ldap://xxx: Can't contact LDAP server
sshd[29793]: nss_ldap: failed to bind to LDAP server ldap://xxx: Can't contact LDAP server
sshd[29793]: nss_ldap: reconnecting to LDAP server (sleeping 4 seconds)...


175 :名無しさん@お腹いっぱい。:2008/06/22(日) 21:00:17
サーバ接続エラーがあればまずチェックすることがあるよな
172のふざけた返事から察するに本物のバカっぽいが

176 :名無しさん@お腹いっぱい。:2008/06/22(日) 21:12:16
>>174
> 一般ユーザで起動すると
< 一般ユーザでログインすると

でしょ。
rootはpam_unixにnss_fileだから。

177 :名無しさん@お腹いっぱい。:2008/06/24(火) 00:10:25
なんか、slapdが起動してなさそうなエラーですね。
かなり待てばうんぬんは、ldap→filesな感じでしょうか。

178 :172:2008/06/26(木) 01:18:36
slapdは起動しています。psで見た結果です。
新たに判明したのが、しばらく放置すれば正常に
使えます。

179 :名無しさん@お腹いっぱい。:2008/06/26(木) 01:46:37
ログは読めない人なの?
エラーコードも調べられなかったみたいだし。

180 :名無しさん@お腹いっぱい。:2008/06/26(木) 08:36:36
psで確認する程度の能力で自己解決なんてムリか
教えたって学習しないだろうから相手にするだけあほらしいよ
金払ってみてもらいなさい

181 :名無しさん@お腹いっぱい。:2008/06/30(月) 02:22:53

何様www

182 :名無しさん@お腹いっぱい。:2008/06/30(月) 11:03:28
本当のことを言われて悔しい低能さんですか?

183 :名無しさん@お腹いっぱい。:2008/07/01(火) 12:21:26
なんでここは高圧的な人が多そうなのかね

184 :名無しさん@お腹いっぱい。:2008/07/01(火) 14:17:22
タダで手取り足取り何でもかんでも教えてもらおうというクズをやさしく扱えといわれても困る

185 :名無しさん@お腹いっぱい。:2008/07/04(金) 00:55:38
それはわかるけど、口が悪い。一言多い。

186 :名無しさん@お腹いっぱい。:2008/07/04(金) 13:31:23
>>165
> エラーコード32が表示されています。

これがnoSuchObjectだって分かったのかなあ。
検索の結果がないんじゃないから、
bindしているDNがおかしいか、base DNがおかしいかどっちかって、
すぐに分かるんだけど。"Object"の意味が分かっていれば。

187 :名無しさん@お腹いっぱい。:2008/07/09(水) 03:11:40
で?

188 :名無しさん@お腹いっぱい。:2008/07/11(金) 13:51:09
現在,LDAP で MD5 パスワードを使って認証しています.
LDAP に格納されたハッシュ済みのパスワードを,
HTTP のダイジェスト認証にも使うことは可能でしょうか?




189 :名無しさん@お腹いっぱい。:2008/07/11(金) 13:59:40
>>188
いいえ

190 :名無しさん@お腹いっぱい。:2008/07/13(日) 22:04:57
先週openldapのアップデート情報更新されたみたいね。


191 :名無しさん@お腹いっぱい。:2008/07/14(月) 00:20:41
そうですね

192 :名無しさん@お腹いっぱい。:2008/07/31(木) 19:23:40
既に認証情報をMySQLで管理さているのですが
これをバックエンドとしてldap経由で活用することはできるでしょうか?

193 :名無しさん@お腹いっぱい。:2008/07/31(木) 19:36:15
man 5 slapd-sql ってやってみたらいろいろと・・・・
使ってみるか.

194 :名無しさん@お腹いっぱい。:2008/08/01(金) 02:20:17
back-sql をいろいろ試しているんだが、スキーマ定義のやり方が良くわからない。
つーか、bdbで楽しすぎてて、理解していなかったし・・・。

問題はかなりの亀レスになること。 やっぱりbdbでやるほうがまし。

195 :名無しさん@お腹いっぱい。:2008/08/01(金) 04:08:17
slapd-sql(5)
rdbms_depend
tests/data/slapd-sql.conf
読んでもその辺分からないなら、諦めた方がいいと思う。かなり前途多難。

> 既に認証情報をMySQLで管理さているのですが

程度の動機では。



196 :名無しさん@お腹いっぱい。:2008/08/01(金) 07:55:56
MySQL + ODBC をバックエンドにしてみた.
んで,いまさらながらきづいたこと・・・

基本的なスキーマですらマッピングを自分で書かなきゃならんのね…
*.schema ファイルからテーブルの定義なんかを自動生成してくれる
わけじゃないんだね.

面倒すぎて,あきらめた.

197 :名無しさん@お腹いっぱい。:2008/08/02(土) 00:02:35
fdsにしようぜ

198 :名無しさん@お腹いっぱい。:2008/08/02(土) 06:28:11
ふうむ,fdsかぁ.
漏れDebianなんだよなぁ.
と思ったら一応 apt もあるのか.
http://michele.pupazzo.org/diary/?p=290


199 :名無しさん@お腹いっぱい。:2008/08/11(月) 09:23:57
multi-valued attribute の順序が保存されるか否かについての
規定はあるのでしょうか?

RFC 4512 では multi-valued attribute について次の記述
くらいしか見当たりません。

individual values of a multi-valued attribute are not to be
independently added or deleted

OpenLDAP をはじめとする実装では以下のように記述されています。

LDAP does not guarantee the order of values in a multi-valued attribute.

200 :名無しさん@お腹いっぱい。:2008/08/11(月) 10:41:10
ないです。

201 :名無しさん@お腹いっぱい。:2008/08/13(水) 15:22:17
OpenLDAP slapd 2.4.10 で TLS を使おうとしています。
2.3 まで使っていたそのままの設定で 2.4 に移行したのですが
TLS を有効にすると起動しなくなってしまいました。
OS は Debian lenny です。

slapd.conf における設定は次のとおりです。

TLSCipherSuite HIGH:MEDIUM:+SSLv2
TLSCACertificateFile /etc/ldap/cert.pem
TLSCertificateFile /etc/ldap/cert.pem
TLSCertificateKeyFile /etc/ldap/key.pem
TLSVerifyClient never

ログにおけるエラーは次のとおりです。
Aug 13 15:08:56 hoge slapd[5510]: main: TLS init def ctx failed: -1
Aug 13 15:08:56 hoge slapd[5510]: slapd destroy: freeing system resources.

使っているのは自己署名証明書で、鍵は key.pem、証明書は cert.pem です。
これらが壊れているかと思い以下のコマンドで確認しましたが
特に問題はレポートされませんでした。

openssl x509 -in cert.pem -noout -text
openssl rsa -in key.pem -noout -text

slapd は openldap というユーザの権限で実行されるので
key.pem/cert.pem のアクセス権はそれでアクセス可能なようにしています。
どのような点を調べればいいでしょうか?

202 :名無しさん@お腹いっぱい。:2008/08/13(水) 16:39:19
SSLv2を有効にする理由は?

203 :名無しさん@お腹いっぱい。:2008/08/13(水) 17:59:06
>>201
とりあえずデバッグレベル挙げて。
どのファイルか分かるまで。

204 :名無しさん@お腹いっぱい。:2008/08/13(水) 18:04:58
あとCAが同じファイルなのは何故ですか?

205 :201:2008/08/14(木) 12:13:05
>>204
openssl req -x509 で自己署名証明書を作成したので。
仮の CA を別にでっち上げても同じエラーでした。
なおログを見ると鍵・証明書ファイルはちゃんと読めているようです。

slapd[30909]: line 42 (TLSCACertificateFile /etc/ldap/demoCA/cacert.pem)
slapd[30909]: line 43 (TLSCertificateFile /etc/ldap/newcert.pem)
slapd[30909]: line 44 (TLSCertificateKeyFile /etc/ldap/newkey.pem)
slapd[30909]: line 45 (TLSVerifyClient never)

ldaps での接続はとりあえずおいておいて、実はバックエンドをSQL(MySQL + ODBC)
にしてから変更が反映されるまで時に間がかかるのです。数分間〜数時間、
場合によっては slapd を再起動しないと変更が反映されないこともあります。

たとえば ldapadd でエントリを追加し、ldapsearch で当該エントリを
問い合わせると10回に2回くらい見つからないとか。
あるいはエントリを削除したあともなぜか10回に2回くらい見つかってしまうとか。
slapd 内に何かキャッシュされているのでしょうか?
しかしキャッシュだとすると一度反映されたものがまた逆戻りということは無いはずです。

MySQL 側のログをつぶさに観察していると、
データベースへの更新 (insert/update) は即座におきています。
しかし問い合わせに対して select が発生しないことがあるようです。

なぜ slapd がバックエンドに問い合わせしないことがあるのでしょうか?

206 :名無しさん@お腹いっぱい。:2008/08/14(木) 12:33:22
>>205
> なおログを見ると鍵・証明書ファイルはちゃんと読めているようです。
(略)

そこは設定ファイルを読み込んでるだけ。


207 :201:2008/08/14(木) 12:43:52
>>206 そうなんすか・・
ううむ、libopenssl が -1 を返す条件を
ソースからあたってみます。

208 :名無しさん@お腹いっぱい。:2008/08/14(木) 14:24:10
>>205
> openssl req -x509 で自己署名証明書を作成したので。

うーん…

209 :名無しさん@お腹いっぱい。:2008/09/05(金) 01:17:12
>>172
一般ユーザではLDAPのポート389が使用できないため
使用するポートを1024 以降で設定しているのに、
389ポートでアクセスしているからでは?

210 :名無しさん@お腹いっぱい。:2008/10/09(木) 13:22:02
どうしても下記のmodifications require authenticationというエラーが出てしまいます…_| ̄|〇
何がいけないんでしょうか?

#smbldap-populate
Populating LDAP directory for domain MYGROUP (〜)
(using builtin directory structure)

adding new entry: dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <DATA> line 466.
adding new entry: ou=Users,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 12.
adding new entry: ou=Groups,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 17.
adding new entry: ou=Computers,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 22.
adding new entry: ou=Idmap,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 27.
adding new entry: uid=root,ou=Users,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 57.
adding new entry: uid=nobody,ou=Users,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 87.
adding new entry: cn=Domain Admins,ou=Groups,dc=〜,dc=〜
failed to add entry: modifications require authentication at /usr/sbin/smbldap-populate line 498, <GEN1> line 99.
adding new entry: cn=Domain Users,ou=Groups,dc=〜,dc=〜

211 :名無しさん@お腹いっぱい。:2008/10/09(木) 15:05:30
つ modifications require authentication

212 :名無しさん@お腹いっぱい。:2008/10/09(木) 20:41:25
いやパスワードやbinddnとかちゃんと設定してるんですよ

213 :名無しさん@お腹いっぱい。:2008/10/09(木) 22:42:26
サーバ側のエラーメッセージを見ろ

214 :名無しさん@お腹いっぱい。:2008/10/10(金) 02:24:17
高圧粘着房

215 :名無しさん@お腹いっぱい。:2008/10/10(金) 08:08:19
>>213
どこで見れるんですか(´・ω・)?

216 :名無しさん@お腹いっぱい。:2008/10/10(金) 12:01:48
え?
/var/log/messeage とかsecure とか。。

217 :名無しさん@お腹いっぱい。:2008/10/10(金) 14:37:55
>>216
nss_ldap: failed to bind to LDAP server ldap://127.0.0.1/: Invalid credentials
というメッセージが多いです

218 :名無しさん@お腹いっぱい。:2008/10/23(木) 18:48:15
LDAPを使って各UNIXサーバのログインアカウントを管理した場合、
LDAPの設定でユーザ毎にサーバのログインの権利を制御することって出来ますか?



219 :名無しさん@お腹いっぱい。:2008/10/24(金) 00:47:49
nsswitch.confのpasswd欄にcompatを指定して、
+@グループ指定で制御したまえ。

220 :名無しさん@お腹いっぱい。:2008/11/07(金) 02:45:03
>>216
OpenLDAPが鉄板だとは思ってないから、やってみたいとも思えないけど。
つーか、krb5とかの方がよほどかマシに思える。 まどろっこしいことには
大差無いが。

221 :名無しさん@お腹いっぱい。:2008/11/07(金) 10:53:38
誤爆か?

ほとんどのLDAPサーバで、Kerberos 5使えるぞ。
SASLを通して。

222 :名無しさん@お腹いっぱい。:2008/11/08(土) 13:53:28
>>218
host attributeじゃだめなの?

223 :名無しさん@お腹いっぱい。:2009/01/29(木) 01:57:10
結構OpenLDAPって使われてるはずなんだけど、いまいち盛り上がってないな。
みんな商用製品使ってんのかねー?
マルチマスターとかもっと議論されててもいいはず。
導入した人います?

224 :名無しさん@お腹いっぱい。:2009/01/29(木) 02:09:26
議論すること別にないので。
いまだにradiusしかまともに喋れないVPN機とかウザイって思うくらいで。

225 :名無しさん@お腹いっぱい。:2009/02/04(水) 23:00:04
OpenLDAP から FDS への移行って大変かな?
試した方いますか?

samba schema を使っているから、簡単に移行できるか
心配で・・・

226 :名無しさん@お腹いっぱい。:2009/02/04(水) 23:11:25
あー簡単簡単
目をつぶってやれば大丈夫

227 :名無しさん@お腹いっぱい。:2009/02/05(木) 00:04:34
>>225
schemaがどうしたこうしたよりも、
サーバ管理のHOWTOが全然違うからそこがネックになると思う。
例えばFDSがほとんど全ての設定をLDAP上のデータとして持つこととか。
データの移行やschemaなんかは全く問題ない。
というか問題になったら、もうそれはLDAPじゃないよ。
アクセスコントロールリストは切ったり張ったり、
さらに書き換えもする必要がある。
とにかく管理者ガイドは全て目を通してください。
サーバの能力は十分すぎるくらいだから、
ほとんどの場合移行担当者の能力がボトルネックです。

228 :名無しさん@お腹いっぱい。:2009/03/08(日) 08:42:02
bdbさえつかわなければおかしなバグには遭遇しないのでしょうか

229 :名無しさん@お腹いっぱい。:2009/03/08(日) 11:25:49
最近bdb backendのバグも直ったんじゃないのかな。


230 :名無しさん@お腹いっぱい。:2009/03/12(木) 11:27:22
FDSのスレは別にたてないで,ここに書き込めばいいのかな

231 :名無しさん@お腹いっぱい。:2009/03/12(木) 11:57:19
いいんじゃね?
過疎スレだし。

232 :名無しさん@お腹いっぱい。:2009/03/13(金) 18:35:51
fdsいれてみたけど
http://forums.fedoraforum.org/showthread.php?t=178633
CentOSですら同じ症状でるんだが
安定するまでopenldapでいいや


233 :名無しさん@お腹いっぱい。:2009/03/13(金) 19:35:45
http://d.hatena.ne.jp/niitsuma/20071225/1202959540
fds installできました


234 :名無しさん@お腹いっぱい。:2009/03/29(日) 17:44:00
OpenLDAPをメールの認証用に使ってる人って
アカウント追加時のディレクトリ操作とかってどうしてんだろ
うちはphp越しにLDAPアカウント追加=>新アカウントの存在確認=>Maildir・ldif・iaf等作成用の.shをphpから実行、
ってやってる

235 :名無しさん@お腹いっぱい。:2009/03/31(火) 20:03:09
研究室でNISが使われてるんですが
管理者の引き継ぎやマシン移行が繰り返されたために
設定があまり綺麗でない状態になってしまいました

この際にOpenLDAPに乗り換えようと思っているのですが
お勧めの入門書などありますでしょうか?
普通は公式ページのガイドとかその他の日本語リソースなんかで十分なんでしょうか

236 :名無しさん@お腹いっぱい。:2009/04/01(水) 02:11:59
自分はDOCの中身とマニュアルの和訳と、あとぐぐって出てきたサイトで勉強して、大体なんとかなった。
本買って読んでハマったりするよりは自力で調べつつハマるより勉強になると思ってる。

237 :名無しさん@お腹いっぱい。:2009/04/01(水) 02:12:50
日本語おかしいな。自力で調べつつハマる方が、に脳内変換頼む

238 :名無しさん@お腹いっぱい。:2009/04/03(金) 15:03:56
>>235
乗り換えだけが目的ならそれで十分。
研究室ならエントリも少ないだろうから、
手作業で問題ないと思うが、
一応file形式からの移行toolがある。


239 :名無しさん@お腹いっぱい。:2009/04/03(金) 15:19:38
nisが動いてる環境と通信してldapにimportするスクリプトも
/usr/shareのどっかに入ってたな

240 :名無しさん@お腹いっぱい。:2009/04/08(水) 11:17:29
>>234
LAMかなんか使えるかな。。
Samba-LDAPのバックエンドで動いてるのがあるが、
統合認証/PAMしてないから。


241 :名無しさん@お腹いっぱい。:2009/04/10(金) 19:43:26
LAMって、LDAP Account Manager だよね。
独自スキーマ使えるのかな。
SambaやPAMとの連携が必須で無くて、かつ独自のLDAPスキーマがサポートされてれば素敵なんだけど。
ホームディレクトリの自動生成・自動削除は出来るみたいだけど、
登録時に何かのコマンドを実行(maildirmakeとかね)するのは出来ない…のかな。

ただ日本語対応してないのが惜しいね。
皆が皆、英語読めるワケじゃ無いからなあ。


つーかそれとは別に、PAM連携って必要?
時代に逆行してるんかもしらんけど、メールユーザはメールユーザのみで
適当に作ったVirtualUserに全部閉じ込めちまうのがシンプルに思うんだけど、世間一般はどうなんだろう。

242 :名無しさん@お腹いっぱい。:2009/04/10(金) 22:24:27
>>241
LAMは日本語対応・・・つか、 データの扱いをUTF-8にすれば良いだけじゃないか。



243 :名無しさん@お腹いっぱい。:2009/04/10(金) 23:13:25
>>241
何だって使う必要があるときに使えばいい。 > pam
君は使う必要がない、それだけの話。

244 :名無しさん@お腹いっぱい。:2009/06/10(水) 19:45:11
ldapaddするとき、LDIF内容ってこんな感じじゃないですか。
dn: cn=xxx, dc=xxx
objectClass: DUMMYOBJECT
dummyattr: dummyval


仮にDUMMYOBJECTにdummyattrがあるとして、dnにしかdummyattrがない状態でエントリを自動登録できるようなスキーマ設定ってできますか。
↓だけでDUMMYOBJECT.dummyattrを登録できちゃうような。
dn: dummyattr=hogehoge, cn=xxx, dc=xxx
objectClass: DUMMYOBJECT

245 :名無しさん@お腹いっぱい。:2009/06/19(金) 05:45:34
ApacheLDAPに心惹かれるぜ

246 :名無しさん@お腹いっぱい。:2009/06/22(月) 03:03:26
LDAPはもう時代遅れ、というか運用しにくいから普及すること無く終わると思う
せいぜい ActiveDirectory で生き残るくらいか

247 :名無しさん@お腹いっぱい。:2009/06/22(月) 06:58:00
じゃあLDAPに変わるナウでヤングなものは何?

248 :名無しさん@お腹いっぱい。:2009/06/23(火) 23:01:26
>>246が扱いきれないだけでは?

249 :名無しさん@お腹いっぱい。:2009/07/05(日) 02:08:43
NIS++とか妄想してみた

250 :名無しさん@お腹いっぱい。:2009/07/05(日) 17:26:41
Radius、Sun製品がある。
ADでUNIX、Linux管理できるのか?


251 :名無しさん@お腹いっぱい。:2009/07/05(日) 18:54:08
出来ないでもないだろうけど、
バージョンアップするたびに検証する必要があるな、MS製品の場合。

252 :名無しさん@お腹いっぱい。:2009/08/13(木) 21:46:40
こんばんは、紀元前です。

253 :名無しさん@お腹いっぱい。:2009/12/27(日) 01:32:38
ユーザーの分類するのにobjcetClass使うのって正しい使い方?

mailしか使えないユーザー objcetClass=mailResipient
sshでログインできるユーザー objcetClass=posixUser
squidにだけアクセスできるユーザー objcetClass=inetOrgPerson




254 :名無しさん@お腹いっぱい。:2009/12/27(日) 02:55:56
mailしか使えないというのはどういう意味ですか?
mail spoolもそのシステムには存在しないのでしょうか?
squidにだけアクセスできるというのはどういう意味ですか?
squidでユーザ認証はしますか?


255 :名無しさん@お腹いっぱい。:2009/12/27(日) 05:55:19
postfixのユーザー情報検索設定に %s=mail && objcetClass = mailResipient

みたいなものを書き足せばメールアドレスだけ使えるユーザーになるのではないかと思いました

256 :名無しさん@お腹いっぱい。:2009/12/27(日) 06:22:05
resipient()笑

257 :名無しさん@お腹いっぱい。:2009/12/27(日) 09:17:46
>>255
質問に全部答えろw
mail spoolはなくていいの?

258 :名無しさん@お腹いっぱい。:2009/12/27(日) 17:36:31
いや、そこは本題じゃないだろ
むしろ、どうして関係あるといいたいのだね?


259 :名無しさん@お腹いっぱい。:2009/12/27(日) 19:25:10
>>258
お前には聞いてないw

260 :名無しさん@お腹いっぱい。:2009/12/27(日) 20:56:53
俺はお前に聞いてるんだ
質問に全部答えろ
mail spool はどうして関係してるの?


261 :名無しさん@お腹いっぱい。:2009/12/27(日) 21:01:48
君には答えないよ。

262 :名無しさん@お腹いっぱい。:2009/12/28(月) 03:21:57
じゃぁおれが答えるよ。

263 :名無しさん@お腹いっぱい。:2009/12/28(月) 03:29:23
どうぞどうぞ

264 :名無しさん@お腹いっぱい。:2009/12/28(月) 07:38:13
はえーよw

265 :名無しさん@お腹いっぱい。:2010/01/16(土) 17:49:45
明けましておめでとうございます。

ldapsearch -x -b 'dc=localdomain' '(&(objectClass=posixGroup)(memberUid=hoge))'
のようにして、特定のposixAccountが属するposixGroupの一覧は得られますが、
逆に、特定のposixGroupに属するposixAccountの一覧を得るにはどのようにすればよいのでしょうか?

266 :名無しさん@お腹いっぱい。:2010/01/16(土) 23:07:24
ちなみに下記の方法を考えました。

1. posixGroupとposixAccountの関係をきちんとツリー構造にする。
同じposixAccountのコピーだらけになってしまう点が難。aliasは(以下略

2. posixAccountのdescriptionなどにグループ名を含ませて検索に利用する。
オレオレ仕様な点が難。

もし>>41氏のまとめにヒントがありましたら、ぜひ再アップを希望致します。

267 :名無しさん@お腹いっぱい。:2010/01/17(日) 02:33:50
ldapsearch -x -b 'dc=localdomain' '(&(objectClass=posixGroup)(cn=hoge))' memberUid


268 :名無しさん@お腹いっぱい。:2010/01/17(日) 07:16:24
>>267
ありがとうございます。
なのですが、uidのみの一覧ではなく、uidを含むposixAccount全体の一覧を得たい感じです。

どうやらmemberof overlayという仕組みが目的に近いようです。
全く未知の分野なので暫く地下に潜ります。
失礼しました。

269 :名無しさん@お腹いっぱい。:2010/01/17(日) 10:14:27
for i in `上記のコマンド | sed -n '/^memberUid/p' | awk '{ print $2 }'`; do
ldapsearch -x -b 'dc=localdomain' "(&(objectClass=posixAccount)(uid=$i))"
done




270 :名無しさん@お腹いっぱい。:2010/02/23(火) 01:14:43
個人の自鯖ローカルでとりあえずOIDを振りたい場合、
1.3.6.1.3 Experimental
を使っておけば問題ないのでしょうか?

271 :名無しさん@お腹いっぱい。:2010/02/23(火) 01:38:18
あ、1.1を使えとOpenLDAP 2.2 Administrator's Guideに書いてありました。
でもバージョン2.3以降からその行が消えています。謎です。

272 :名無しさん@お腹いっぱい。:2010/02/24(水) 00:58:07
>>270
それはExperimental RFCで定義されているOID用。
割り当てて貰うか、いいのを探すか。
>>271
よくない使い方を勧めれば削除されて当然。

273 :名無しさん@お腹いっぱい。:2010/03/22(月) 10:39:04
shelldapの説明クソワロタ

274 :名無しさん@お腹いっぱい。:2010/05/24(月) 03:24:19
OpenLDAPのLDAP構造体って、非公開データになったんだっけ?

275 :名無しさん@お腹いっぱい。:2010/05/24(月) 03:44:22
いや、そんなことありませんでした。
ソースもってきたらちゃんと書いてありました僕が馬鹿でした

276 :名無しさん@お腹いっぱい。:2010/07/15(木) 16:03:46
弟は、かゆいから掻いてたと言い訳してたけど、あの手の動きは間違いなくアレだと思った。

73 KB
■ このスレッドは過去ログ倉庫に格納されています

★スマホ版★ 掲示板に戻る 全部 前100 次100 最新50

read.cgi ver 05.04.00 2017/10/04 Walang Kapalit ★
FOX ★ DSO(Dynamic Shared Object)