Open Source Solution Technology
2008年12月3日（水） 13時30分～16時30分

LPICレベル3技術解説セミナー「301 Core Exam」受験のための勉強法
OpenLDAP編

オープンソース・ソリューション・テクノロジ株式会社
代表取締役 チーフアーキテクト 小田切耕司

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

目 次
1. 講師紹介、OSSTech社紹介
2. LDAP概念と設計入門
3. LDAP構築／設定入門
4. LPIC例題解説
5. やってはいけないOpenLDAPサーバ構築
6. LPIC勉強法:OpenLDAP編まとめ

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

講師紹介
オープンソース・ソリューション・テクノロジ
会社紹介

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

講師著作紹介


＠ＩＴ やってはいけないSambaサーバ構築：2008年版
日経コミュニケーション2007年11/15号から３回連載
Windows管理者に送るSamba活用の道しるべ
技術評論社 Software Design 2006年7月号
¾
¾
¾



2006年5月 翔泳社 開発の現場 vol.005
¾
¾
¾



¾
¾

巻頭企画
［新規／移行］LDAPディレクトリサービス導入計画
http://www.gihyo.co.jp/magazines/ldap-se

2006年5月 IDG月刊Windows Server World 2006年3月、4月号¾¾



オープンソース案件指南帖
総論編：オープンソースの基礎知識
http://www.shoeisha.com/mag/kaihatsu/

2006年5月 技術評論社 LDAP Super Expert¾



ネットワーク運用／管理 五輪書（ごりんのしょ）「壱：地の巻」Sambaファイルサーバ
http://www.gihyo.co.jp/magazines/SD/contents/200607

3月号：Shall we Samba?【お手軽導入編】
4月号：Shall We Samba? 【超本格運用編】

2005年10月 日経BP社 セキュアなSambaサーバの作り方¾

http://itpro.nikkeibp.co.jp/linux/extra/mook/mook12/index.shtml

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

オープンソース・ソリューション・テクノロジ株式会社
2006年9月に設立
z OSに依存しないOSSのソリューションを中心に提供
z Linuxだけでなく、SolarisやFreeBSDへも対応！
z Samba、LDAPなどによる認証統合ソリューションを提供
z 製品パッケージ提供
z 製品サポート提供
z 技術コンサルティング提供z

http://www.osstech.co.jp
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

会社概要
会社名

オープンソース・ソリューション・テクノロジ株式会社

英語表記

Open Source Solution Technology Corporation

社名略称

OSSTech（ｵｰｴｽｴｽﾃｯｸ）または OSSテクノロジ

業務内容

・ソフトウエアの企画、開発、販売およびサポート
・システムの導入に関するコンサルティング
・ソフトウエアに関する教育、研修、支援

役 員

代表取締役
技術取締役

オフィス

〒141-0022
東京都品川区東五反田1-10-7 ｱｲｵｽ五反田ビル
Tel & FAX : 03-5422-9373

小田切 耕司武田 保真

Webページ http://www.osstech.co.jp/
設立
２００６年９月
資本金
１０８０万円

所属 ・Linuxコンソーシアム 理事
団体等 ・LPI-Japanビジネス・パートナー

・デル(株)
・(株)野村総合研究所
・サン・マイクロシステムズ(株)主要 ・ｷﾔﾉﾝITｿﾘｭｰｼｮﾝｽﾞ(株)取引先 ・(株)バッファロー
および ・(株)大塚商会
ﾊﾟｰﾄﾅｰ ・日本電信電話(株)・日本電気(株)様・伊藤忠ﾃｸﾉｿﾘｭｰｼｮﾝｽﾞ(株)・新日鉄ｿﾘｭｰｼｮﾝｽﾞ(株)・(株)日立ｼｽﾃﾑｱﾝﾄﾞｻｰﾋﾞｽ・ミラクル・リナックス株式会社

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

LPIC-3 Core「301 Core Exam」： 出題範囲
z 主題 301: 概念、アーキテクチャおよび設計z 主題 302: インストールおよび開発
z 主題 303: 設定
z 主題 304: 使用法(運用について）z 主題 305: 統合と移行
z 主題 306: キャパシティプランニング

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

Open Source Solution Technology

Part 1.
LDAP概念と設計入門

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

主題 301: 概念 LDAPとは?
z

ディレクトリサービスを利用するための規約の1つ(RFCで定義)
–
–
–

z

高機能だが運用負荷や開発コストが高かったITU- T 勧告のX.500 ディレクトリ・サービ
スを「90 ％の機能を10 ％のコストで実現する」ために設計

商用LDAP製品も多数存在––zディレクトリサービスとは、キーを基に関連情報を取り出す仕組み
ユーザ管理、電話帳、リソース管理などに利用

Sun Java Directory Server, Red Hat Directory Server, Novell eDirectoryなど
MS Active DirectoryもLDAP準拠（認証はKerberos）

オープンソースソフト–

OpenLDAPz–

Linux ディストリビューションに同梱されるオープンソースのLDAP

Red Hat / Fedora Directory Serverz かつてのNetscape Directory ServerをOSSにしたもの(RHは有償、Fedoraは無償）–

Apache Directory Serverz Apacheプロジェクトが進めるJavaで書かれたDS

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

LDAP概念を勉強のための参考書
z LDAPハンドブック– ディレクトリ・サービス標準プロト

コル– 出版社: ソフトリサーチセンター(2002/03)– 発売日： 2002/03

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

LDAPとRDBMSの違い
z LDAPはﾈｯﾄﾜｰｸﾌﾟﾛﾄｺﾙ、SQLは言語

用途
構造
スキーマ

更新
分散
操作
検索手法

LDAP

RDBMS

検索性能重視、頻繁な更新には向かない
木構造（行や列といった概念はない）
既存の登録済みスキーマ(ObjectClass)を利用するのが一般的
トランザクションの概念はない(トランザクション機能を持った製品もある）
大量更新には向かないので１時間に数件といった更新頻度のものに利用するツリーの枝単位で分散配置が可能
LDAP（ネットワークプロトコル）で操作
プロトコルは単純
木の枝葉をたどるイメージ

検索だけでなく頻繁な更新も重視
表構造（行や列が存在）
ユーザが業務に合わせて個別に設計し、利用する
トランザクションの概念あり
１秒間に何十、何百もの更新に耐えられる設計となっている
キーの範囲で分散配置が可能
SQL（プログラム言語）で操作
複雑な操作が可能
表の行を走査するイメージ

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

LDAP概念に関する勘違い
z RDBMSは永続的なユーザ情報を蓄えるために使う、

LDAPは管理情報を集約するために使う（社員DBはRDMS、全社認証システムはLDAP）
z LDAPは検索重視となっているが、RDBより必ずしも早い
わけではないz LDAPはスケールアウト型負荷分散がやりやすいから
z 更新がすぐに反映されるとは限らない– ユーザ追加やパスワード変更がすぐにされないことがある(だからWindowsはパスワードをキャッシュする）
z マルチマスターの利用は要注意– トランザクションやロックの概念が弱い– uid,gidの自動割り振りをLDAPでやると危険
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

負荷分散方法１：レプリケーションz

同じ内容のサーバを複数用意する– サーバを増やすだけでスケールアウトする– 負荷分散装置やldap.confで負荷を分散– １つのサーバが持つデータ量は同じなので規模が大きくなると更新性能が低下– Syncreplではサブツリーだけを複製することも可能(slave)(slave)(master)

グループA

グループB

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

負荷分散方法２：リファラルz サブツリー単位でサーバを分散する– ldap.confでbaseツリーを変える（負荷分散というよりも管理分散）– １サーバがもつデータ量が減るので更新性能も上がる– referralが返ったら別なサーバを見に行くのはプログラム側の責任

分散管理(referral)
東京本社
ＬＤＡＰサーバ
大阪支社
ＬＤＡＰサーバ

本社社員
支社社員
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

DIT(Directory information Tree)の概念
z 概念として組織構造をあげる書籍が多いが．．．

会社

営業部

技術部

営業一課

開発１課

人事部

開発２課

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

DIT(Directory information Tree)の概念
z 実構造としては管理単位で分ける
dc=company,dc=com

ou=Users

ou=Groups

ou=Computers

uid=odagiri

cn=salescn=techCopyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

DIT(Directory information Tree)の設計
z 組織構造にマッピングしないこと、管理対象で分ける
dc=company,dc=com
ou=Users
ou=Tokyouid=odagiri
ou=osaka
uid=takeda
ou=Groups
cn=techcn=salesou=Computers

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

DIT(Directory information Tree)の設計
z 組織構造にマッピングしないこと、管理対象で分ける
dc=company,dc=com
ou=Tokyoou=Users
uid=odagiri
ou=Groups
cn=techou=Computers
ou=osaka
ou=Users

uid=takeda

ou=Groups

cn=salesCopyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

LDAPで何ができるか？
z Linuxユーザの統合管理(Mail,FTP,Telnet,Proxy,sshなど）
z Samba/Windowsユーザの統合管理
z Webサーバ（Apache）のアクセス制御
z 電話帳、メールアドレス帳
z PKI（公開キー）の保管場所として
z LDAPのスキーマはむやみに拡張しない

本当に必要か精査する

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

OpenLDAPが標準で提供するスキーマ(1)zzz

標準提供のスキーマを見ればLDAP何ができるかわかる
core.schema– LDAPの核となるスキーマ、以下のRFCで定義されたスキーマが定義されている。
z RFC 2252/2256 (LDAPv3)z RFC 1274 (uid/dc)
z RFC 2079 (URI)z RFC 2247 (dc/dcObject)z RFC 2587 (PKI)z RFC 2589 (Dynamic Directory Services)z RFC 2377 (uidObject)– これだけでは何もできないが、CNやOUなど他のスキーマを使うための基本部分が定義されている。
cosine.schema– X.500やX.400で規定されたアトリビュートなど以下のようなものが定義されている。
z RFC1274で定義されるhost,manager, documentIdentifierなど
z DNSレコードであるAレコード、MXレコード、NXレコード、SOAレコード、CNAMEレコ
ード– これらからDNSレコードの格納先としてLDAPサービスが利用できることがわかる。

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

OpenLDAPが標準で提供するスキーマ(2)
z

z
z

z

z

z

inetorgperson.schema¾ インターネット、特にメールアドレス帳のためのスキーマで、以下のようなものが定義される。
¾ メールアドレス、社員番号、オフィスと自宅住所、会社と自宅の電話番号、写真、
misc.schema¾ mailLocalAddressやnisMailAliasなどメールサーバが使うスキーマが定義される。
nis.schema¾ posixAccountやposixGroupなどLinux/UNIXのユーザ認証統合に必須なスキーマが定義される。
¾ NISをLDAPに置き換えるのに必要なスキーマも定義されている。
samba.schema¾ このスキーマはOpenLDAPではなく、Sambaパッケージによって提供されるが、Samba
を使ってWindows/Linux/UNIXのユーザ認証統合に必須なスキーマが定義される。
¾ WindowsドメインをSambaに置き換えるのに必要なスキーマも定義されている。
java.schema¾ javaClassName, javaCodebaseなどJava Object (RFC 2713)を扱うためのスキーマが定義される。
corba.schema¾ corbaIor、corbaRepositoryIdなどCorba Object (RFC 2714) を扱うためのスキーマが定義される。

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

アドレス帳の設定例
dn: uid=odagiri, ou=Users, dc=osstech,dc=co,dc=jp
dn: uid=ユーザ名,ou=Users,dc=ドメイン名,dc=co,dc=jp
objectClass: posixAccountobjectClass: inetOrgPerson
cn: ユーザ名
sn: 名字givenname: 名前
mail: メールアドレス
o: 会社名ou: 所属title: 役職
employeeNumber: 社員番号
telephoneNumber: 電話番号
facsimileTelephoneNumber: FAX番号
mobile: 携帯電話
st: 都道府県
l: 市区
street: 番地
postalAddress: 番地
postOfficeBox: ビル名
postalCode: 郵便番号
homePostalAddress: 自宅住所
homePhone: 自宅電話

objectClass: posixAccountobjectClass: inetOrgPerson
cn: odagiri
sn: 小田切
givenname: 耕司
mail: odagiri@osstech.co.jp
o: オープンソース・ソリューション・テクノロジ株式会社
ou: 技術部
title: チーフアーキテクト
employeeNumber: 1
telephoneNumber: 03-1234-5678
facsimileTelephoneNumber: 03-8765-4321
mobile: 090-5432-1234
st: 東京都
l: 品川区西五反田
street: 2-6-3
postalAddress: 2-6-3
postOfficeBox: 東洋ビル
postalCode: 107-0052
homePostalAddress: 神奈川県藤沢市藤沢123-45
homePhone: 0466-23-4567

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

Part 2.
LDAP構築／設定入門

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

主題 302: インストールおよび開発


勉強方法としては、configure ; make によるインストールをやっておくこと。

configureのオプションも確認しておくこと
OpenLDAPをコンパイルするのに必要なライブラリ¾ BDB（今はLDBM、GDBMはほとんど使われないが、SQLを始めどんな
バックエンドDBが使えるか知っておくこと）¾ OpenSSL（TLSライブラリとして使われる）
z 通信の暗号化¾ Cyrus SASLz 安全な認証方式¾ Kerberos(MITかHeimdal)z 安全な認証z Kerberos認証のためのスキーマもLDAPに格納

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

OpenLDAP勉強のための参考書
z OpenLDAP入門– オープンソースではじめるディレクトリサービス– 出版社: 技術評論社– 発売日： 2003/07
z 入門LDAP/OpenLDAP– ディレクトリサービス導入・運用ガイド– 出版社: 秀和システム– 発売日： 2007/10
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

インストール：実システムでの注意

OpenLDAPはどんどん新しくなるので、書籍の情報では古いことがある。
¾ www.openldap.org のドキュメントを読むしかない

実際の業務システムでは、configure ; make でインストールし
ないこと。



業務システムではRPMやDEB、PKGなどOS標準のパッケージ管理システ
ムを使うことコンパイルするのに必要なライブラリは、OS標準のものを使うのが一般的だがBDBだけはOpenLDAP専用のものを使った方が良い。
¾ Red Hat のRPMはBDBだけはOS標準を使わないようにSPECファイルが書かれているので、これを参考にすると良い。



9 上記理由からRed HatではOpenLDAPのBDBリカバリに

db_recover は使わない ！ slapd_db_recover を使う

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

主題 303: 設定 LDAPによる認証統合
Sambaサーバ

Windowsサーバ

LDAPサーバ

Linux / Unix
・メールサーバ・Proxyサーバ
・FTPサーバなど

ユーザ情報
グループ情
報

WindowsユーザもLinux/Unix/Macユーザも同じアカウント/パスワードでリソースが利用可能
共有フォル
ダ
共有プリン
タ

共有フォル
ダ
共有プリン
タ

Windows端末

Unix/Linux/Mac端末

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

主題 303: 設定 LDAPの設定
z LDAPサーバとしての設定– slapd.confの設定
z LDAPクライアントとしての設定– NSS設定– PAM設定– ldap.conf設定

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

•LDAPクライアントとしての設定
z

NSS（ネーム・サービス・スイッチ）機能––

z

システムのユーザ名、グループ名、ホスト名の解決方法を設定/etc/nsswitch.confで、各種情報の取得先を指定可能

ＰＡＭ認証機構––

アプリケーション毎の認証方法を設定/etc/pam.d/の中でアプリケーションごとの認証ルールを指定可能

file NIS LDAP DNS
情報取得(NSSWITCH)

login

su

ssh

ftp

ユーザ認証(PAM)

Linux OS
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

ネームサービススイッチ機能z

LDAPを認証で使用するには/etc/nsswitch.confを以下のように変更passwd:group:
shadow:hosts:

files
files
files
files

ldap
ldap
ldap
dns wins/lib/libnss_ldap.so.2が呼ばれる。
z /lib/libnss_wins.so.2 を使うとWINS(Windows Internet
Name Service)を使って名前解決可能z

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

プラグマブル認証機能z/etc/pam.d/system-authに以下を設定

z/etc/pam.d/sshdなどに以下を設定

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

OpenLDAPサーバの設定• 設定ファイル
• サーバ：/etc/openldap/slapd.conf
クライアント：
NSS,PAM用：/etc/ldap.conf
ldapaddなどの管理コマンド用:/etc/openldap/ldap.conf• OpenLDAP 管理者ガイド
http://www.ldap.jp/doc
http://www5f.biglobe.ne.jp/~inachi/openldap/• Red Hat Enterprise Linux 4 リファレンスガイド
http://www.redhat.com/docs/manuals/enterprise/RHEL-4Manual/ja/pdf/rhel-rg-ja.pdf

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

/etc/slapd.confﾊﾟﾗﾒｰﾀ(1)z suffix ベース・サフィックスを指定する

通常はﾄﾞﾒｲﾝ名をﾍﾞｰｽに指定例） suffix dc=osstech,dc=co,dc=jp
suffix "ou=sales,ou=yokohama,o=company,c=jp"
CN=commonName
L=localityName
ST=stateOrProvinceName
O=organizationName
OU=organizationalUnitName
C=countryName
STREET=streetAddress
DC=domainComponent
UID=userid

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

/etc/slapd.confﾊﾟﾗﾒｰﾀ(2)z rootdn

LDAPサーバの管理者のDN(Distinguished Name：識別名)を指定する。
なお管理者DNを含むユーザDNには、英大文字、英子文字の区別はない。
管理者DNの例）–

zrootdn "cn=Manager,dc=osstech,dc=co,dc=jp"

rootpw
LDAPサーバの管理者パスワードを設定する。
–––

そのままのパスワードを指定するか暗号化したものを設定する
例）secret1234というパスワードをSSHAハッシュする# slappasswd -s secret1234 -h {SSHA}
rootdnをLDAPに登録されているユーザを指定し、LDAPの中にパスワードが格納されていれば、rootpwを指定する必要はない。

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

/etc/slapd.confﾊﾟﾗﾒｰﾀ(3)zinclude––z

database–z

LDAPのデータを格納するのに使用するバックエンド・データベースを指定。

directory––z

与えたファイルから追加の設定情報を読み込む。
通常はスキーマ定義ファイルを読み込むために使用する例) include /etc/openldap/schema/samba.schema

databaseファイルを格納するディレクトリを指定
例）directory /var/lib/ldap

index
–

作成する索引の属性とタイプを指定する。
z 例1) uid,gidに関してequal（等値）検索用の索引を作成

index uidNumber,gidNumber eq
z 例2) mail（メールアドレス）、surname（名字）に関して、equal検索用とsubinitial（前方一致）の索引を作成
index mail,surname
eq,subinitial
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

/etc/slapd.confﾊﾟﾗﾒｰﾀ(4)zSlapd.confの例：サフィックスを"dc=osstech,dc=co,dc=jp"、管理者ＤＮを"cn=Manager,dc=osstech,dc=co,dc=jp"、管理者パスワードをsecret1234
include /etc/openldap/schema/core.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/nis.schema
database bdb
directory /var/lib/ldap
suffix "dc=osstech,dc=co,dc=jp“
rootdn "cn=Manager,dc=osstech,dc=co,dc=jp“
rootpw secret1234
index objectClass,uidNumber,gidNumber,memberUid eq
index cn,mail,surname,givenname
eq,subinitial
index uidpres,eqindex rid
eqz

設定が終了したら、OpenLDAPデーモンを起動させる。
# service ldap restartz※Red Hat系

システム起動時に自動的に動くように以下を設定# chkconfig ldap on※Red Hat系

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

Part 3.
LPIC例題解説

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜問題１＞
replog方式およびsyncrepl方式を使ったシングル・マスターとマルチ・スレーブ構成
におけるOpenLDAPの特徴に関して正しい記述をすべてあげなさい。
①
②
③
④
⑤
⑥
⑦

LDAPへの書き込み要求はマスターおよびすべてのスレーブLDAP書き込み
完了でリターンする。
LDAPへの書き込み要求はマスターLDAPのみの書き込み完了でリターンし、スレーブLDAPへの書き込みは保証しない。
LDAPへの書き込み要求はマスターおよび1台のスレーブLDAP書き込み完了
でリターンする。2台目以降のスレーブLDAPへの書き込みは保証しない。
マスターのrootdnで指定したユーザDNはスレーブのデータを更新できる権限が必要である。
マスターのrootdnで指定したユーザDNはスレーブのデータを更新不可とするべきである。
スレーブを更新すると自動的にマスターに更新が伝搬される。
スレーブを更新するとエラー（referral)が返るのでクライアントの責任でマスターを更新しなければならない。

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜解説１＞z LDAPの書き込みはスレーブへの反映を待たずに完了することに注意しましょう。
z シングルマスターの場合、マスターのrootdnを含めてす
べてのユーザでスレーブは更新不可としておかないと、マスターのrootdnでスレーブを更新できてしまいマスタ
ー／スレーブ間で不整合が起きてしまいます。
z ユーザアプリケーションは直接スレーブを更新することはできません。
z スレーブサーバーからマスターサーバーへ更新が伝搬されることはないのでエラー（referral)が返ってきたらア
プリケーションの責任でマスターを更新します。
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜問題２＞
OpenLDAPの複製方式を答えなさい。
① 複製はマスターサーバー側からスレーブサーバー側
へ更新が伝搬することで行われる。
② 複製はスレーブサーバー側からマスターサーバー側
へ更新を検索してスレーブ自身で更新することで行われる。

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜解説２＞① replog方式の複製はマスターサーバー側から更新差分ログを使ってスレーブサーバー側へ更新が伝搬することで行われます。
また更新ログを使って行うため複製はスレーブが多いと複製遅延が発生しやすくなります。
② syncrepl方式の複製はスレーブサーバー側からマスターサーバー側へ更新内容を検索してスレーブ自身で更新することで行われます。
スレーブサーバーから検索する方式のため、replog方式よりも複製遅延が少なくなります。
今後replog方式はサポートされなくなりますので、新規サーバで利用するのは出来る限り避け、syncrepl方式を利用しましょう。
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜問題３＞
ユーザ情報（NSS）と認証機構（PAM）でLDAPを利用する時、LDAPサーバーがマスタ（IPアドレス：192.168.0.1)とスレーブ（IPアドレス：192.168.0.2)の2台構成の場合、マスター障害時にスレーブにアクセス出来るようにする設定はどれか？
① /etc/nsswitch.confにpasswd: "ldap 192.168.0.1 192.168.0.2"と記述② /etc/ldap.conf(※)にhost 192.168.0.1 192.168.0.2と1行で記述③ /etc/ldap.conf(※)に
host 192.168.0.1
host 192.168.0.2と２行で記述④ /etc/openldap/ldap.confにhost 192.168.0.1 192.168.0.2と1行で記述⑤ /etc/openldap/ldap.confに
host 192.168.0.1
host 192.168.0.2と２行で記述(※)/etc/ldap.confはRed Hat系の場合、
Debian (Ubuntu) では /etc/libnss-ldap.conf に相当
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜解説３＞z LDAPをNSS(Name Service Switch)とPAM(Pluggable
Authentication Module)で利用する場合の設定ファイルは/etc/ldap.confになります。
（Debian系 (Ubuntuなど) では NSS は /etc/libnss-ldap.conf,
PAM は /etc/pam_ldap.conf です。）
z この中にマスターとスレーブを指定する場合、hostパラメータに１行で記述します。
この場合、1つ目のサーバーに接続できない場合、２つ目のサーバーへ接続します。
z ２行記述すると２台のサーバーの情報を連結することになります。
z /etc/nsswitch.confはNSSで使うLDAPモジュール名を指定するのみでサーバーアドレスは指定しません。
z /etc/openldap/ldap.confはldapsearchなどのLDAP管理コマンドの設定ファイルとなります。
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜問題４＞LDAPサーバーとクライアント間の通信を暗号化するLDAPSで利用されるLDAPサーバーのポート
番号は次のうちのどれか。

① 389
② 391
③ 631
④ 636

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜解説４＞z OpenLDAPでは、LDAPの暗号化機能として、LDAPS(LDAPover TLS)を利用することができます。LDAPSを利用する場合、
LDAPサーバーがクライアントの接続を待ち受けるポートは636となります。（TLS≒SSL v3）
z OpenLDAPでTLSを利用するためには、OpenLDAPのコンパイル
時にOpenSSLライブラリを適切な場所にインストールしておき、
configureの--with-tlsオプションが有効になるようにしておかなけ
ればなりません。
z なお、現在ではStartTLSと呼ばれる暗号化の方法がOpenLDAPを含む多くのLDAP製品で利用可能になっています。StartTLSを利用すると、LDAPサーバーのポートは通常の389番のままで、クライアント、サーバー間のセッション確立の際にネゴシエーションを行い、暗号化が可能な場合は、暗号化通信を利用することができるようになります。
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

z

OpenLDAPのreplog機能を使ったマスターサーバーとスレー
ブサーバを構築します。
z slapd.confの(ア)～(キ)に入るパラメータを①～⑬から選びなさい。
z 同じパラメータを何度使っても構いませんし、別な記号の場
所に同じパラメータが入っても構いません。
z なおアクセス制御はパスワードのみ管理者にアクセス可能にし、他のフィールドは誰でも参照可能とします。
z slapd.confは一部のみを掲載しており、すべてではありませ ① dc=example,dc=co,dc=jp② cn=manager,dc=example,dc=co,dc=jp
んが、access行はすべて掲載しています。
③ cn=replica,dc=example,dc=co,dc=jp<マスターサーバーの設定：master.example.co.jpのslapd.conf> ④ mstpwd
suffix "dc=example,dc=co,dc=jp"⑤ slvpwd
rootdn "cn=Manager,dc=example,dc=co,dc=jp"⑥ attrs=userPassword
by anonymous authrootpw mstpwd
by * noneaccess to (ア)⑦ attrs=userPassword
access to (イ)by dn="cn=manager,dc=example,dc=co,dc=jp" write
replica uri="(ウ)"by anonymous authbinddn="(エ)"by * none
bindmethod=simple⑧ attrs=userPassword
credentials=(オ)by dn="cn=manager,dc=example,dc=co,dc=jp" readby anonymous auth
<スレーブサーバーの設定：slave.example.co.jpのslapd.conf>by * none
suffix "dc=example,dc=co,dc=jp"⑨ * by * readrootdn "(カ)"⑩ * by dn="cn=replica,dc=example,dc=co,dc=jp" readrootpw slvpwd⑪* by dn="cn=manager,dc=example,dc=co,dc=jp" write
access to (キ)access to (ク)updateref "(ケ)"＜問題５＞
replogサーバの構築⑫ ldap://master.example.co.jp⑬ ldap://slave.example.co.jp

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜正解＞(ア)-⑥, (イ)-⑨, (ウ)-⑬, (エ)-③, (オ)-⑤, (カ)-③,(キ)-⑥（または⑧も正解）, (ク)-⑨, (ケ)-⑫
z
z

z

z

z

replog方式でマスター／スレーブサーバーを構築する時の注意点はマスターのrootdnでスレーブが更新できてはいけない、ということに注意しましょう。
よってマスターとスレーブのrootdnは同一にしない方が良く、rootdn “(カ)”に② cn=manager,dc=example,dc=co,dc=jp は入れてはいけません。
③ cn=replica,dc=example,dc=co,dc=jp の専用の
DNを指定します。
replogではマスターからスレーブに更新に行きますのでreplica uri=“(ウ)”にスレーブのURIを指定し、rootdn "(カ)"とbinddn="(エ)"は同じスレーブのrootdnを指定し、パスワードの(オ)はスレーブのrootdnパスワード⑤を指定します。
access行は上から順に評価されますので(ア)に⑨ *by * readを入れてはいけません。
（誰でもすべてをreadできようになってしまいます）⑥を記述し、制限をかけてから、(イ)に⑨を記述します。
replog方式でのrootdnはそのサーバの全データの更新権限がありますから明示的にwrite権限を与える必要はありませんので(ア)に⑦⑧を指定する必
要はありません。

zzz(キ)(ク)は(ア)(イ)と同じ値で構いません。
なぜなら通常マスターサーバーのrootdnも認証でしかUserPasswordにアクセスしないからです。しかし、⑧のように明示的にread権を与えても構わないですが、⑦のように更新権は与えてはいけません。
スレーブは更新できないですから、アプリケーショ
ンが更新しにきた場合はマスターのURIを通知できるようにupdateref "(ケ)"にはマスターのURIを指定します。
なおこのような設定をしたreplog方式ではLDAPデータベースの中に（スレーブサーバにcn=manager
でアクセスにくる可能性があるため）②
cn=manager,dc=example,dc=co,dc=jpのエントリは登録する必要がありますが、（マスターサーバにcn=replicaでアクセスにくることはないので）③ cn=replica,dc=example,dc=co,dc=jpのエントリは登録する必要がありません。

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

z

＜問題６＞
syncreplサーバの構築

OpenLDAPのsyncrepl機能を使ったマスターサーバーとスレーブサーバーを構築します。
z slapd.confの(ア)～(キ)に入るパラメータを①～⑬から選びなさい。
z 同じパラメータを何度使っても構いませんし、別な記号の場 ① dc=exsample,dc=co,dc=jp② cn=manager,dc=exsample,dc=co,dc=jp
所に同じパラメータが入っても構いません。
z なおアクセス制御はパスワードのみ管理者にアクセス可能 ③ cn=replica,dc=exsample,dc=co,dc=jp④ mstpwdにし、他のフィールドは誰でも参照可能とします。
⑤ slvpwd
z slapd.confは一部のみを掲載しておりすべてではありません ⑥ attrs=userPassword
が、access行のみすべて掲載しています。
by anonymous authz ただし、LDAPデータベースの中にby * none⑦ attrs=userPassword② cn=manager,dc=example,dc=co,dc=jp
by dn="cn=manager,dc=exsample,dc=co,dc=jp"
はエントリとして登録されていますが、
write③ cn=replica,dc=example,dc=co,dc=jp
by anonymous authは登録されていないものとします。
by * none⑧ attrs=userPassword
by dn="cn=replica,dc=exsample,dc=co,dc=jp"<マスターサーバーの設定：master.example.co.jpのslapd.conf>write
suffix "dc=example,dc=co,dc=jp"
by anonymous authrootdn "cn=Manager,dc=example,dc=co,dc=jp"
by * none
rootpw mstpwd⑨ attrs=userPassword
by dn="cn=replica,dc=exsample,dc=co,dc=jp" readaccess to (ア)by anonymous authaccess to (イ)by * none
overlay syncprov⑩ * by * read
⑪ * by dn="cn=replica,dc=exsample,dc=co,dc=jp" read
⑫ * by dn="cn=manager,dc=exsample,dc=co,dc=jp"
write⑬ ldap://master.example.co.jp
ldap://slave.example.co.jp
Copyright © 2008 Open Source Solution Technology ⑭
Corporation
All Rights Reserved.

＜問題６＞
syncreplサーバの構築<スレーブサーバーの設定：slave.example.co.jpのslapd.conf>
suffix "dc=example,dc=co,dc=jp"
rootdn "(ウ)"rootpw (エ)① dc=exsample,dc=co,dc=jp
access to (オ)② cn=manager,dc=exsample,dc=co,dc=jp
access to (カ)③ cn=replica,dc=exsample,dc=co,dc=jp
syncrepl rid=1④ mstpwd⑤ slvpwd
provider="(キ)"⑥ attrs=userPassword
type=refreshAndPersist
by anonymous authretry="5 10 30 +"by * nonesearchbase="(ク)"⑦ attrs=userPassword
by dn="cn=manager,dc=exsample,dc=co,dc=jp"
scope=subwrite
schemachecking=off
by anonymous authbinddn="(ケ)"by * none⑧
attrs=userPassword
bindmethod=simple
by dn="cn=replica,dc=exsample,dc=co,dc=jp" write
credentials=(コ)by anonymous authupdateref "(サ)"by * none⑨ attrs=userPassword
by dn="cn=replica,dc=exsample,dc=co,dc=jp" readby anonymous authby * none⑩ * by * read
⑪ * by dn="cn=replica,dc=exsample,dc=co,dc=jp" read
⑫ * by dn="cn=manager,dc=exsample,dc=co,dc=jp"
write⑬ ldap://master.example.co.jp⑭ ldap://slave.example.co.jp

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜正解＞(ア)-⑥, (イ)-⑩, (ウ)-②（または③）, (エ)-④（上記が③の時は⑤）(オ)-⑥,(カ)-⑩,(キ)-⑬,(ク)-①,(ケ)-②,(コ)-④,(サ)-⑬zsyncrepl方式でもマスター／スレーブサーバーを構築する時の注意点はマスターのrootdnを含めすべてのユーザDNでスレーブが更新できてはいけない、ということになります。

z

しかし、syncrepl方式ではスレーブのrootdnでスレーブ
データを更新できないようにupdaterefがあると誰も更新できない機能が入っています。

z

このため、マスターとスレーブのrootdnを同一にしても問題ありませんし、replogと同じように変えても構いません。

zよって(ウ)(エ)に
rootdn "cn=Manager,dc=example,dc=co,dc=jp“
rootpw mstpwdという組み合わせにしても構いませんし、
rootdn "replica,dc=exsample,dc=co,dc=jp“
rootpw slvpwdの組み合わせでも構いません。

z

ただし、マスターとスレーブのrootdnを同一にする
場合はLDAPデータベースの中に
cn=manager,dc=example,dc=co,dc=jpのエントリは登録する必要がありませんが、マスターとスレーブのrootdnを別にする場合はLDAPデー
タベースの中に
cn=manager,dc=example,dc=co,dc=jpのエントリを登録する必要があります。
（スレーブに cn=manager,dc=example,dc=co,dc=jp
でアクセスできないため）

z

この問題では
cn=replica,dc=example,dc=co,dc=jpのエントリは登録されていないとなっているため(ケ)に③をいれることはできません。

z

もし、登録されているのなら、マスターのrootdnでアクセスするよりも参照専用の
cn=replica,dc=example,dc=co,dc=jp
を（ケ）に入れる方が良いでしょう。

z

しかし、この場合access to (オ)に⑨を指定する必要がでてきます。

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜問題７＞
OpenLDAPのバックアップ／リストアについて正し
い文をすべて選びなさい。
①slapcatコマンドを使えばLDAPサーバーの起動中／停止中に関わらずバックアップできる。
②slapcatで取り出したのデータは他のLDAP製品に
ldapaddしてデータリストアできる。
③replogのスレーブサーバーでマスターサーバーとのデータ不整合が起きた場合、マスターサーバーからデー
タをslapcatして取り出し、スレーブサーバーへslapaddすると不整合が解消できる。
④syncreplのスレーブサーバーのデータが消失した場合、データディレクトリを空にして、スレーブを起動すれば自動的にマスターからオンラインでコピーされる。
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜解説７＞① LDAPサーバーの起動中に実行したslapcatコマンドの結果はメモリ上のデータがディスクに書き出されていない可能性があり内容が保証されません。 LDAPサーバーを停止させてから実行しま
しょう。
（最新版のOpenLDAPではバックエンドにBDB、HDBを使った場合はオンラインでslapcatしても問題ない、となっていますが、LDBMなど他のバックエンドでは保証されていません）② slapcatで得られたデータは上位ツリーから順番に出力される保証がないため、ldapaddの入力として利用することはできません。
③ slapaddは原則LDAPデータが空の状態で行います。 データが入っている状態で不整合解消のために使ってはいけません。なぜならば例えばマスターで削除されて、スレーブに残ってしまっているデータにマスターのデータをslapaddしてもスレーブの上にデータが残ったままになってしまうからです。
正しくはreplogのエラーログを参照し、エラー原因を取り除いてから .rejの拡張子を持ったリジェ
クトファイルをslurpd -o -r でOne-Shotモードで再実行します。
④ syncreplはスレーブからマスターを検索する方式のためスレーブのデータが破壊されてなくなってしまったらデータディレクトリを空にして再起動するだけで自動的にマスターからコピーされて復元できます。
replogの場合は、マスターから差分をコピーする方式のため、 スレーブのデータが消失したら復元する手だてがありませんので マスターを停止させて（コピー中に更新されると困るため）スレー
ブへ手動でコピーする必要があります。
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜問題８＞
OpenLDAPでreplog方式のマスターサーバーとスレーブサーバ
ーがすでに構築して運用している状態で、スレーブサーバーをもう１台追加しようと思います。
手順として正しいものを選びなさい。
① マスターサーバーを停止し、スレーブサーバーにマスターデータ
を手動コピーし、スレーブサーバーを起動後、マスターのslapd.confを修正の後、マスターを起動する。
② マスターサーバーを起動したまま、スレーブサーバーにマスターデータを手動でコピーし、スレーブサーバーを起動する。
③ マスターサーバーを起動したまま、スレーブサーバーを設定して起動すれば自動的にマスターデータがコピーされ、スレーブサー
バーができあがる。

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜解説９＞
z replog方式はマスターサーバーから差分のみを転送する方式ですからスレーブサーバーを起動する前に既存のマスターサーバ
ーのデータをコピーしておく必要があります。
z コピー中にデータ更新されると不整合が起きますので必ずマスターサーバーは停止させてオフラインでコピーしましょう。
z コピーはデータをscpしてもslapcat/slapaddの組み合わせでも構いません。
(マスターを止める必要があるのでマスターからのldapsearch/ldapaddは使えません。
１台目のスレーブは止めなくて良いので、そちらから
ldapsearch/ldapaddすることはできます）

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜問題１０＞OpenLDAPでsyncrepl方式のマスターサーバーとスレーブサーバ
ーがすでに構築して運用している状態で、スレーブサーバーをもう１台追加しようと思います。
手順として正しいものを選びなさい。

①マスターサーバーを停止し、スレーブサーバーにマスタ
ーデータをコピーし、 スレーブサーバーを起動後、マスターのslapd.confを修正の後、マスターを起動する。
②マスターサーバーを起動したまま、スレーブサーバーに
マスターデータをコピーし、スレーブサーバーを起動後、マスターのslapd.confを修正の後、マスターを起動する。
③マスターサーバーを起動したまま、スレーブサーバーを設定して起動すれば自動的にマスターデータがコピーされ、スレーブサーバーができあがる。
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

＜解説１０＞z syncrepl方式はスレーブサーバー側から差分を転送する方式ですからスレーブサーバのデータが空の状態で起動しても、既存のマスターサーバーのデータは自動的にすべてコピーしてくれます。
z スレーブの追加でマスターを止める必要もなく簡単にスレーブサ
ーバーを追加できるのがsyncreplの利点です。
z ただし、データが大量にあって初期複製に時間がかかる場合はマスターサーバーを停止させてオフラインでコピーしても構いません。
z この場合コピーはデータをscpするかslapcat/slapaddを使います。
（ldapsearch/ldapaddではデフォルトでentryCSNなどの制御情報がコピーされないので使わないほうが良いでしょう）
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

Part 4.
やってはいけないOpenLDAPサーバ構築

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

Webの情報を鵜呑みにしないこと！
z LDAP（OpenLDAPやRedHatDS,ApacheDS）に関する情報はとても少ない。特に日本語は少ない
z 本当に正しい（推奨）設定に関する情報が少ない
z OpenLDAPの品質は近年急速に良くなった
z ディストリビューションに含まれるOpenLDAPのバージョンに注意が必要z 心配なら有償サポートやLDAPユーザ会メーリングリストなどに聞きましょう

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

やってはいけないOpenLDAPサーバ構築
バージョンの古いOpenLDAPは使うな！
z replog(slurpd)は使うな！
z マスターとスレーブのrootdnは同じにするな！
z TLSを使おう（SSLじゃあないんだよ）
z

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

バージョンの古いOpenLDAPは使うな！
zz

OpenLDAP 2.2以前はサポート終了
OpenLDAP 2.3.40以前は複製が抜ける、BDBアクセスでデッドロックなどのバグあり
OpenLDAP
2.0

OpenLDAP
2.1

OpenLDAP
2.2

OpenLDAP
2.3

OpenLDAP 2.4

初期リリース

2000年8月

2002年6月

2003年12月

2005年6月

2007年10月

最終リリース

2002年9月

2004年4月

2005年11月

2008年7月

2008年11月

最新版

2.0.272.1.302.2.302.3.432.4.13サポートの有無

× 終了

× 終了

× 終了

○ サポート中○ サポート中

採用Linux

RHEL3(2.0.27)
2002/9RHEL4(2.2.13)
2004/6RHEL5(2.3.27)
2006/8

Fedora10(2.4.12)
2008/11

推奨複製方式

replogreplogsyncrepl

syncrepl

replogCopyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

replog(slurpd)は使うな！
z replogは運用が大変– エラーリカバリは手操作– スレーブの追加時にマスターを止める必要あり– スレーブ故障後の修復でもマスターを止める必要あり– スレーブ台数が多いと性能劣化
z syncreplは運用が楽– エラーリカバリは自動– スレーブの追加時にマスターを止める必要なし– スレーブ故障後の修復でもマスターを止める必要なし

データを空にして再起動すれば自動修復– syncreplはOpenLDAP 2.2.30 / 2.3.41以降が安全
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

マスターとスレーブのrootdnは同じにするな！
z replog方式はマスターからスレーブを更新するのでマスターとスレーブで同じrootdnを使うと危険z 以下の設定ではスレーブが破壊される可能性がある– スレーブにupdateref があればOpenLDAP 2.1以降は大丈夫
OpenLDAP2.0ではupdateref があっても壊れる＜マスター設定＞
suffix "dc=example,dc=jp"
rootdn "cn=Manager,dc=example,dc=jp"
rootpw secret＜スレーブ設定＞
suffix "dc=example,dc=jp"
rootdn "cn=Manager,dc=example,dc=jp"
rootpw secret

replica uri=ldap://slave.example.co.jp※updaterefの設定が足りない！
binddn="cn=Manager,dc=example,dc=jp"
bindmethod=simple
credentials=secret

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

マスターとスレーブのrootdnは同じにするな！
z replog方式の推奨＜マスター設定＞＜スレーブ設定＞

suffix "dc=example,dc=jp"
rootdn "cn=Manager,dc=example,dc=jp"
rootpw secretsuffix "dc=example,dc=jp"
rootdn "cn=replica,dc=example,dc=jp"
replicarootpw himitu

replica uri=ldap://slave.example.jp
binddn="cn=replica,dc=example,dc=jp"
replicabindmethod=simple
credentials=himitu

updateref ldap://master.example.jp
updatedn "cn=replica,dc=example,dc=jp"
replicaz syncrepl方式の推奨＜マスター設定＞
suffix "dc=example,dc=jp"
rootdn "cn=Manager,dc=example,dc=jp"
rootpw secret＜スレーブ設定＞
suffix "dc=example,dc=jp"
rootdn "cn=replica,dc=example,dc=jp"
replicarootpw himitu
syncrepl rid=1
provider="ldap://master.example.jp"
binddn="cn=replica,dc=example,dc=jp"
replicabindmethod=simple
credentials=himitu

updateref
ldap://master.example.jp
Copyright © 2008 Open Source Solution Technology
Corporation
All Rights Reserved.

TLSを使おう（SSLじゃあないんだよ）
z Mac OS XをLDAPクライアント（LDAP認証）にするにはOpenLDAPでTLSかSASLの設定が必要
z 暗号なしのSimple認証はMac OS Xでは受け付けないz セキュリティ強化のためにはTLSを使った方が良い
z OpenLDAPはSSLではなく、TLSをサポート– 正確にはSSLとTLSは違う– OpenLDAPはOpenSSLで実装されており、OpenSSL
はSSLとTLSの両方をサポートしているのでOpenLDAPはSSLと思われているが正確にはTLSを使う
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

実は知らないと困るBDBコマンドとパラメータz 現在OpenLDAPの推奨バックエンドはBDBなので、BDBのチューニングやコマンドを知ることも重要z slapd.confz checkpoint <更新量> <間隔>
z cache size <エントリ数>z DB_CONFIGz cachesizez DB_LOG_AUTOREMOVE
z lg_max
z db_recover (slapd_db_recover)コマンド
予期しないアプリケーション、データベース、またはシステムの障害が発生した後、データベースを整合性のある状態に復元します。
z db_verify (slapd_db_verify)コマンド
ファイルおよびファイル内に含まれるデータベースの構造を検証します。
z db_archive(slapd_db_archive)
不要になったログファイルを表示したり、削除する

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

Part 5.
LPIC勉強法
OpenLDAP編まとめ

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

LPICのための勉強方法
z

z

z

z

LDAP概要– DIT,ObjectClass,Schema– マスター／スレーブやプロバイダー／コンシューマー、リファラルの正しい理解– LDAPの本質を理解すること、検索専用とか検索が早いなどは本質ではない– 負荷分散と冗長化
OpenLDAPの導入– configureオプションの理解、自分でmakeしてみること– BDBやSASL,SSL,Kerberosを理解すること
OpenLDAP構築– 複製の仕組みの理解– セキュリティに対する考慮
OpenLDAP運用– バックアップ/リカバリ
Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.

実システム構築での注意点
DITは複雑にしない、組織にマッピングしない、管理者にあわせる
z 自分でconfigure,makeはしない
z OS標準のBDBは使わない
z 複製の仕組みの理解
z セキュリティに対する考慮
z TLS通信やSASL GSSAPI機構による認証
z rootdnと複製dnを分ける
z プログラム毎に使用するdnを分ける
z 細かなアクセス制御z

Copyright © 2008 Open Source Solution Technology Corporation All Rights Reserved.