次のように,秘密鍵と公開鍵を作成します。今回はDSA形式を選択しています。この操作で作成される~/.ssh/id_dsaが秘密鍵,~/.ssh/id_dsa.pubが公開鍵です。秘密鍵は途中で入力されるパスフレーズにより暗号化された状態で保存されます。後者の公開鍵は文字通り公開するものなので,他人に見せても問題ありません。次にLDAPサーバ側での操作です。本連載の第2回でUNIXアカウントをLDAPサーバ側に登録しました。同じユーザツリーの中に公開鍵情報を登録してみましょう。次のように,公開鍵用の属性とオブジェクトクラスを追加します。変更部分はldapPublicKeyというオブジェクトクラスとsshPublicKeyという公開鍵用の属性です。この中にはid_rsa.pubやauthorized_keys2の中に1行で記録されている鍵情報をそのまま登録します。nomo@rx8ではこのエントリをLDAP上に登録します。sshuser.ldif次にsshdプロセスがLDAPサーバを検索できるよう,/usr/local/etc/sshd_configを修正しておきます。リスト3のようにLDAP関連のオプションを有効にしておきましょう。ou=group,dc=example,dc=com準備ができたら,sshdプロセスを起動させ,クライアントから接続を行ってみます。10.0.100.1-bash-3.00$このように,サーバ側にauthorized_keys2ファイルを置いていない状態でもうまく認証,接続できれば成功です。正常な場合の検索プロセスは次のようになります。sshサーバがユーザ名(sshuser)を受け取るLpkUserDNやLpkGroupDN以下からsshuserのエントリを検索もし見つかれば,sshPublicKey属性を取得し,その値を公開鍵として扱うあとは通常通り認証うまくいかない場合はLDAPサーバのログと照らし合わせたり,sshd_configのsyslog関連の設定を変更して試してみてください。その際のログはリスト4のようになります。filter="(&(objectClass=posixAccount)(objectClass=ldapPublicKey)(uid=sshuser))"という検索フィルタによって公開鍵情報が読み込まれていることがわかるはずです。メンテナンス公開鍵情報を1か所で管理できるのが今回の一番のメリットですが,SSHサーバとLDAPサーバ間のネットワークに障害が発生してしまった場合,公開鍵を参照できず,すべてのユーザがサーバにログインできない,という事態も考えられます。これに関しては途中の経路を冗長化させるなり,LDAPサーバをHAクラスタで運用することで回避できるのですが,定期的にLDAPサーバに接続し,公開鍵情報をファイルとしてダウンロードさせておくのもひとつの手でしょう。ページの都合上,エラー処理などとくに行っておらず恐縮ですが,リスト5のスクリプトを参考にしてください。このスクリプトはNet::LDAPモジュールを利用して,authorized_keys2ファイルを自動的に作成します。動作確認ができればcrontabなどに登録し,定期的にスクリプトを走らせるようにしてください。}}まとめ今回のポイントは以下の通りです。OpenSSHにLDAP認証用のパッチを当てる必要がある公開鍵用の情報は標準スキーマに登録されていないため独自で定義するサーバ数が1台や2台など小規模な環境の場合,従来より構成が複雑になってしまい,かえってトラブルを招くこともあるかもしれませんが,大規模な環境には効果抜群です。著者プロフィール中満英生(なかみつひでお)大学時代に出会ったSolarisがきっかけでUNIXの世界へ。その後ホスティングプロバイダ,データセンターで実務経験を積む傍ら,雑誌記事の執筆や技術セミナーの講師を務める。サーバ設定の他,セキュリティに関する著作や技術者エッセイも執筆経験あり。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。