読者の皆さんの多くはリモートメンテナンスのために,各サーバでsshデーモンを動作させているはずです。telnetではなくsshにすればそれだけで安心安全,というわけではありません。共通鍵認証ではそれぞれの通信自体は暗号化されているとはいえ,近年では総当たり攻撃のターゲットとなっているケースも非常に多くセキュリティ的に安心できるものではないためです。皆さんはちゃんとRSAやDSAによる公開鍵認証を利用されていますか?公開鍵認証のメリットは,共通鍵認証と比較して,より安全な認証を実現することができる点にあります。その一方,クライアント側には秘密鍵ファイルと多くの場合はパスフレーズが,サーバ側には公開鍵ファイルが必要になるため,デメリットとしてユーザ数が多いとそれらの管理も煩雑になることが挙げられます。管理対象のサーバが100台あるとすれば,あるユーザの入社時,退職時には100台のサーバの公開鍵情報を追加,削除しなければなりません。これらの作業はシェルスクリプトなどで半自動化されているのが望ましいのですが,LDAPサーバを有効活用することで,さらにその手間を軽減させることができます。公開鍵情報をそのままLDAP上に登録しておき,sshdプロセスがLDAP上の公開鍵情報を参照してくれれば良いのです。この方式であれば,入社時にはLDAPサーバに対して鍵をldapadd,退職時には同様にldapdeleteするだけで非常に作業が楽になります。OpenSSHのインストールsshデーモンと聞いて皆さんが真っ先に思いつくのはOpenSSHでしょう。OpenBSD向けのソフトウェアでしたが,さまざまなプラットフォームに移植されており,SSHサーバを実現するためのデファクトスタンダードであると言って過言ではありません。本稿執筆時のOpenSSHの最新バージョンは4.7p1です。バージョンが上がるにつれ,さまざまな機能が追加されているのですが,ソース中からgrepしてみればわかるとおり,最新版も実はそれだけでLDAP認証に対応しているわけではありません。公開鍵をLDAP上に格納し,それをsshdプロセスから参照させるためにはパッチが必要となります。http://dev.inversepath.com/trac/openssh-lpkより最新のパッチをダウンロードしてください。執筆時の最新バージョンはopenssh-lpk-4.6p1-0.3.9.patchでしたが,4.7p1にも問題なく適用することができました(図1⁠)⁠。install今回は便宜上,--with-ldapオプションのみ利用していますので,必要に応じてその他のオプションを有効にしてください。インストール後,lddコマンドでバイナリのライブラリ依存を確認し,LDAPライブラリがうまくリンクされていれば成功です。パッチが当たっているかはデフォルトの設定ファイルからも確認することもできます。/usr/local/etc/sshd_configなお,ディストリビューションによってはLDAP対応OpenSSHが配布されている場合があります。ldapのような形でバイナリパッケージを作成することができます。詳細については上記パッチ配布サイトのドキュメントを参照してみてください。後々のメンテナンスを考えるとパッケージからの導入をお勧めします。今回の目標は,ユーザの公開鍵情報をLDAP上に格納し,sshdプロセスにそれを参照させることです。過去の記事でも述べましたように,LDAP上に何らかの値を登録する際には,そのデータ用のスキーマという箱のようなものが必要になります。userPasswordやtelephoneNumberなどの属性は多くのソフトウェアから参照されるため,標準のスキーマに含まれているのですが,OpenLDAPの公開鍵用のスキーマは一般的なものではありませんので,ユーザ自身で準備する必要があります。ゼロから作成する必要はありません。先ほどのサイトでパッチとともにスキーマファイルが配布されているので,ありがたくそのまま利用させて頂くことにしましょう。http://dev.inversepath.com/trac/openssh-lpkよりopenssh-lpk_openldap.schemaをダウンロードし,/etc/openldap/schema以下に保存しておきます。/etc/openldap/slapd.confでは,このファイルを参照できるようリスト1の構文を追加しておき,slapdプロセスを再起動させておきましょう。/etc/openldap/schema/openssh-lpk_openldap.schemaなお,LDAPスキーマに関しては,日本LDAPユーザ会の太田さんがわかりやすい資料を作成されています。LDAPユーザ会メーリングリストの投稿数はまだそれほど多くないのですが,まだの方はぜひメーリングリストにも参加してみてください。データを登録してみます。普段ssh接続に使用している公開鍵ファイル,つまりサーバ側で通常authorized_keys2という名前で保存されているファイルを用意してください。通常であれば皆さんはクライアント側の~/.ssh/id_rsa.pubまたは~/.ssh/id_dsa.pubというファイルを公開鍵として使用されているはずです。公開鍵認証を使用されていない読者の方もいらっしゃるでしょうから,今回は公開鍵の作成から行っていくこととしましょう。著者プロフィール中満英生(なかみつひでお)大学時代に出会ったSolarisがきっかけでUNIXの世界へ。その後ホスティングプロバイダ,データセンターで実務経験を積む傍ら,雑誌記事の執筆や技術セミナーの講師を務める。サーバ設定の他,セキュリティに関する著作や技術者エッセイも執筆経験あり。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。