CentOS 7 LDAP サーバー構築 – OpenLDAP の初期設定と TLS

CentOS 7 で OpenLDAP サーバーを構築する手順です。TLS 証明書の配置、DB_CONFIG、管理者パスワード、初期 LDIF、スキーマ追加までを整理します。

OpenLDAP は設定対象が cn=config とデータベース側に分かれます。何を設定しているのかを意識しないと、後から変更箇所を追いにくくなります。

コマンドはコピペしやすい形を優先しています。ただし、BIND、OpenLDAP、Samba は既存値との重複や環境差が出やすいため、長大な設定ファイルはバックアップを取り、設定断片として確認して反映します。

この手順は CentOS 7 設定マニュアルの一部として整理しています。

参考書籍

LDAP – 設定・管理・プログラミング

LDAP / OpenLDAP の設定、管理、連携を確認したい場合の参考書籍です。古い書籍のため、価格や在庫はリンク先で確認してください。

Amazon で見る

このリンクは Amazon アソシエイトリンクです。

インストール

yum install openldap-servers openldap-clients nss-pam-ldapd samba

証明書配置

cp /var/lib/pki/server.crt /etc/openldap/certs/
cp /var/lib/pki/server.key /etc/openldap/certs/
chmod 440 /etc/openldap/certs/server.crt /etc/openldap/certs/server.key
chgrp ldap /etc/openldap/certs/server.crt /etc/openldap/certs/server.key

DB_CONFIG

cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
chown ldap:ldap /var/lib/ldap/DB_CONFIG

サービス起動

systemctl enable --now slapd
systemctl status slapd

管理者パスワードの生成

slappasswd
# 生成された {SSHA}... を以後の LDIF に指定する

初期 LDIF

管理者パスワードを cn=config とデータベース側に設定します。

mkdir -p /root/ldif

cat <<'EOF' > /root/ldif/init.ldif
dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}xxxxxxxxxxxxxxxxxxxx

dn: olcDatabase={2}hdb,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}xxxxxxxxxxxxxxxxxxxx
EOF

ldapmodify -Y EXTERNAL -H ldapi:/// -f /root/ldif/init.ldif

スキーマ追加

ldapadd -x -W -D cn=config -f /etc/openldap/schema/cosine.ldif
ldapadd -x -W -D cn=config -f /etc/openldap/schema/inetorgperson.ldif
ldapadd -x -W -D cn=config -f /etc/openldap/schema/nis.ldif
ldapadd -x -W -D cn=config -f /etc/openldap/schema/misc.ldif
ldapadd -x -W -D cn=config -f /usr/share/doc/samba-4.6.2/LDAP/samba.ldif

LDAPS の有効化

cp -a /etc/sysconfig/slapd /etc/sysconfig/slapd.bak

cat <<'EOF'
# /etc/sysconfig/slapd の該当項目を以下のように整理する
SLAPD_URLS="ldapi:/// ldap:/// ldaps:///"
EOF

systemctl restart slapd

確認

ldapsearch -Y EXTERNAL -H ldapi:/// -b cn=config dn
ss -lntp | grep -E ":389|:636"

LDAP サーバーは、認証、メール、Samba など複数のサービスの基盤になりやすい領域です。初期設定の段階で、TLS、スキーマ、管理 DN、読み取り専用 DN の役割を分けておくと後続の設計が楽になります。