CentOS 7 LDAP サーバー構築 – OpenLDAP の初期設定と TLS

CentOS 7 は既にサポートが終了しています。このページは新規構築を推奨するものではなく、過去環境の保守、移行前調査、設定の読み解きに使うためのレガシー Linux 手順です。新規構築では、現在サポートされている Linux ディストリビューションを利用してください。

CentOS 7 サーバー管理ガイドへ戻る

CentOS 7 で OpenLDAP サーバーを構築し、基本的なディレクトリと TLS 接続を用意する手順です。現在の新規認証基盤として推奨する趣旨ではなく、既存の LDAP 環境を読み解くための確認資料です。

LDAP サーバーは、単にユーザー情報を置く箱ではありません。suffix、rootDN、アクセス制御、証明書、クライアントからの参照方法がつながって初めて認証基盤として成立します。

必要パッケージをインストールする

yum install openldap-servers openldap-clients

初期データベースを用意する

cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
chown ldap:ldap /var/lib/ldap/DB_CONFIG

slapd を起動する

systemctl enable slapd
systemctl start slapd
systemctl status slapd

管理者パスワードのハッシュを作成する

slappasswd

suffix と rootDN を設定する

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=mydomain,dc=com
-
replace: olcRootDN
olcRootDN: cn=Manager,dc=mydomain,dc=com
-
replace: olcRootPW
olcRootPW: {SSHA}xxxxxxxxxxxxxxxx

ldapmodify -Y EXTERNAL -H ldapi:/// -f base-config.ldif

TLS 証明書を配置する

cp ca.crt /etc/openldap/certs/ca.crt
cp ldap.crt /etc/openldap/certs/ldap.crt
cp ldap.key /etc/openldap/certs/ldap.key
chown ldap:ldap /etc/openldap/certs/ldap.*
chmod 600 /etc/openldap/certs/ldap.key

TLS 設定を反映する

dn: cn=config
changetype: modify
replace: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/openldap/certs/ca.crt
-
replace: olcTLSCertificateFile
olcTLSCertificateFile: /etc/openldap/certs/ldap.crt
-
replace: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/openldap/certs/ldap.key

ldapmodify -Y EXTERNAL -H ldapi:/// -f tls-config.ldif
systemctl restart slapd

確認する

ldapsearch -Y EXTERNAL -H ldapi:/// -b cn=config dn
ldapsearch -H ldaps://ldap01.mydomain.com -b dc=mydomain,dc=com

確認するポイント

suffix と rootDN がクライアント設定と一致しているか。
LDAP サーバー証明書の SAN が接続名と一致しているか。
ldapi と ldaps のどちらで管理操作しているか。
アクセス制御を後から必ず確認すること。

まとめ

OpenLDAP は設定の所在が分かりにくく、ファイルを直接編集する感覚では扱いづらい部分があります。CentOS 7 の既存環境では、cn=config、suffix、TLS、クライアント参照を分けて確認すると、構成の意図を追いやすくなります。

参考書籍

参考
書籍

参考書籍

LDAP – 設定・管理・プログラミング

LDAP / OpenLDAP の設定、管理、連携を確認したい場合の参考書籍です。古い書籍のため、価格や在庫はリンク先で確認してください。

Amazon で見る

このリンクは Amazon アソシエイトリンクです。

CentOS 7 LDAP サーバー構築 – OpenLDAP の初期設定と TLS

必要パッケージをインストールする

初期データベースを用意する

slapd を起動する

管理者パスワードのハッシュを作成する

suffix と rootDN を設定する

TLS 証明書を配置する

TLS 設定を反映する

確認する

確認するポイント

まとめ

関連する記事

参考書籍