CentOS 8 389 Directory Server 構築 #2 – 初期データ登録の確認

CentOS 8 は既に通常の CentOS Linux としてはサポートが終了しています。このページは新規構築を推奨するものではなく、過去環境の保守、移行前調査、設定の読み解きに使うためのレガシー Linux 手順です。新規構築では、現在サポートされているディストリビューションを利用してください。

CentOS 8 サーバー管理ガイドへ戻る

CentOS 8 の 389 Directory Server に、base DN、OU、グループ、ユーザーなどの初期データを登録する場合の考え方を扱います。LDAP サーバーは導入しただけでは使えず、ディレクトリツリーとして何をどこに置くかを決める必要があります。

初期データ登録では、DN の階層、uidNumber / gidNumber、posixGroup、ユーザーの homeDirectory などを後から説明できる形にしておくことが重要です。既存環境を読む場合も、なぜその OU 構成になっているのかを確認します。

登録前に決めること

• base DN をどのドメイン名に対応させるか。
• ユーザー、グループ、サービスアカウントをどの OU に置くか。
• uidNumber と gidNumber の採番範囲をどう分けるか。
• Linux ログイン用途とアプリケーション参照用途を混在させるか分けるか。
• SSSD、Samba、Postfix など後続連携で参照しやすい DN にするか。

base DN を登録する

dn: dc=example,dc=local
objectClass: top
objectClass: dcObject
objectClass: organization
o: example
dc: example

ldapadd -x -D "cn=Directory Manager" -W -f base.ldif
ldapsearch -x -b dc=example,dc=local "(objectClass=*)" dn

OU を登録する

OU は細かく分けすぎると運用が複雑になります。最初は People、Groups、Services など、用途が説明しやすい単位にしておくと、後続のアクセス制御や検索条件も扱いやすくなります。

dn: ou=People,dc=example,dc=local
objectClass: organizationalUnit
ou: People

dn: ou=Groups,dc=example,dc=local
objectClass: organizationalUnit
ou: Groups

ldapadd -x -D "cn=Directory Manager" -W -f ou.ldif

グループを登録する

Linux 認証や SSSD と連携する場合は、posixGroup と gidNumber の扱いを決めておきます。後から番号体系を変えると、ファイル所有者やアプリケーション側の参照に影響することがあります。

dn: cn=developers,ou=Groups,dc=example,dc=local
objectClass: posixGroup
cn: developers
gidNumber: 10000

ユーザーを登録する

ユーザーを Linux ログインに使う場合は、posixAccount、uidNumber、gidNumber、homeDirectory、loginShell を確認します。アプリケーション参照だけのユーザーなら、必要な属性は別になる場合があります。

dn: uid=user01,ou=People,dc=example,dc=local
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
cn: User One
sn: One
uid: user01
uidNumber: 10000
gidNumber: 10000
homeDirectory: /home/user01
loginShell: /bin/bash

登録結果を確認する

ldapsearch -x -b dc=example,dc=local "(uid=user01)"
ldapsearch -x -b dc=example,dc=local "(cn=developers)"
ldapsearch -x -b dc=example,dc=local "(objectClass=posixAccount)" uid uidNumber gidNumber homeDirectory

初期データ設計の注意点

• OU を細かく分けすぎない。
• uidNumber / gidNumber の採番ルールを決める。
• Linux ログイン用途か、アプリケーション参照用途かを分ける。
• 後続の SSSD、Samba、Postfix 連携で参照しやすい DN にする。
• Directory Manager で日常運用を続けず、用途別の BIND DN を用意する。

まとめ

389 Directory Server の初期データ登録は、LDIF を流し込むだけではありません。base DN、OU、ユーザー、グループの階層を決め、Linux 認証やアプリケーション連携で使いやすい形にしておくことが重要です。CentOS 8 の既存環境を確認する場合も、DN 構成、採番ルール、後続連携の前提を分けて見ます。

関連する記事

参考書籍

関連記事

CentOS 8 389 Directory Server – IPv4 で接続できるか確認する CentOS 8 389 Directory Server – 旧セットアップ方式を読む CentOS 8 389 Directory Server – 特定インスタンスを削除する CentOS 8 389 Directory Server 構築 #1 – 導入と TLS 証明書の登録 CentOS 8 389 Directory Server 構築 #3 – BIND ユーザーとアクセス制御の確認 CentOS 8 389 Directory Server と Samba – LDAP スキーマ連携の確認 CentOS 8 389 Directory Server と Postfix – メールエイリアス LDAP 連携 CentOS 8 Samba 構築 – LDAP passdb とファイル共有