Tools前書き使用可能なツールと、LDAPが必要とする情報と方法を十分に把握していない場合、LDAPシステムを管理するのは困難に思えます。このガイドでは、OpenLDAPチームが開発したLDAPツールを使用して、LDAPディレクトリサーバーと対話する方法を示します。開始するには、OpenLDAPがインストールおよび構成されているシステムにアクセスできる必要があります。OpenLDAPサーバーのセットアップ方法を学ぶことができますhttps://www.digitalocean.com/community/tutorials/how-to-install-and-configure-openldap-and-phpldapadmin-on-an-an-ubuntu-14-04-サーバー[こちら]。LDAPディレクトリサービスを使用する際に使用される基本的な用語に精通している必要があります。[このガイド]を使用して、これらのトピックをさらに理解することができます。ツールのインストール上記の前提条件では、LDAPシステムに既にアクセスできることを前提としていますが、このガイドで説明されているOpenLDAPツールがインストールされていない場合があります。+`リポジトリからインストールできます。次のように入力して、ローカルパッケージインデックスを更新し、インストールします。+`を使用して適切なファイルを取得できます。次を入力してインストールします。openldap-clients正しいパッケージをインストールしたら、以下に進みます。LDAPインスタンスへの接続OpenLDAPツールのほとんどは非常に柔軟性が高く、いくつかの異なる役割のシステムと対話するための簡潔なコマンド構造を犠牲にしています。このため、ユーザーは、LDAPサーバーへの接続に最低限必要なものを表すためだけに、さまざまな引数を選択する必要があります。このセクションでは、実行する操作の種類に応じて、サーバーに接続するために必要な引数の構築に焦点を当てます。サーバーの指定OpenLDAPツールでは、操作ごとに認証方法とサーバーの場所を指定する必要があります。+」フラグを使用します。.ローカルサーバーと通信している場合は、サーバーのドメイン名またはIPアドレスを省略できます(スキームを指定する必要があります)。+`スキームを使用することをお勧めします(これは非推奨の方法であることに注意してください。OpenLDAPプロジェクトでは、代わりに通常のLDAPポートでSTARTTLSアップグレードを使用することをお勧めします。SSLでは「+636」)を想定しています。非標準のポートを使用している場合は、コロンとポート番号を末尾に追加する必要があります。+`プロトコルを使用できます。これは、より安全で、一部の管理タスクに必要です。+`スキームはローカル接続を必要とするため、ここでサーバー名を指定する必要はありません。LDAPサーバー構成内でソケットファイルの場所を変更した場合は、アドレスの一部として新しいソケットの場所を指定する必要があります。匿名バインドLDAPでは、要求を許可するためのアクセスレベルをサーバーが決定できるように、クライアントが自身を識別する必要があります。これは、「バインディング」と呼ばれるLDAPメカニズムを使用して機能します。これは、基本的に、リクエストを既知のセキュリティエンティティに関連付けるための単なる用語です。LDAPが認識する認証には3つの異なるタイプがあります。クライアントが使用できる認証の最も一般的なタイプは、「匿名」バインドです。これはほとんど認証の欠如です。LDAPサーバーは、特定の操作を誰でもアクセスできるように分類できます(通常、デフォルトでは、公開DITは匿名ユーザーに対して読み取り専用として構成されます)。匿名バインドを使用している場合、これらの操作は利用可能です。OpenLDAPツールはデフォルトでSASL認証を想定しています(これについては後で説明します)。+`引数を指定する必要があります。サーバー仕様と組み合わせると、これは次のようになります。-x追加の引数を指定せずに入力すると、次のようになります。1これは、ツールが検索したものを見つけられなかったことを示しています。クエリパラメータを提供しなかったため、これは予期されていますが、匿名バインドがサーバーによって受け入れられたことを示しています。簡単な認証LDAPサーバーに対する認証の2番目の方法は、単純なバインドを使用することです。シンプルバインドは、LDAPサーバー内のエントリを使用して要求を認証します。エントリのDN(識別名)は、認証のユーザー名として機能します。エントリ内の属性は、リクエスト中に提供する必要があるパスワードを定義します。単純な認証を使用して認証するには、ルート、ベース、またはサフィックスエントリと呼ばれる、他のすべてのエントリが配置されるDIT階層の最上位にある親要素を知る必要があります。バインドするDNを知っている必要があります。通常、LDAPサーバーのインストール中に、初期DNがセットアップされ、rootDNと呼ばれる管理エントリーとパスワードで構成されます。開始時に、これはバインド用に構成された唯一のDNになります。DIT以外の特別な「メタ」エントリを照会して、知っているDITルートエントリに関する情報を取得できます(これはルートDSEと呼ばれます)。次のように入力して、DIT名のこのエントリを照会できます。namingContextsLDAPサーバーは、知っているルートエントリを返します。これは次のようになります。LDAPルートエントリの結果dn:namingContexts:強調表示された領域は、DITのルートです。これを使用して、バインドするエントリを検索できます。objectClassを使用します。これを使用して、このクラスでエントリを検索できます。dnこれにより、このクラスを使用するエントリのリストが表示されます。通常、1つのみがあります。simpleSecurityObject検索結果dn:これは、バインドできるrootDNアカウントです。サーバーのインストール中に、このアカウントのパスワードを設定しておく必要があります。[このガイド]に従ってパスワードをリセットできます。バインドの実行エントリとパスワードを取得したら、リクエスト中に単純なバインドを実行して、LDAPサーバーに対して自分自身を認証できます。」フラグを指定する必要があります。」コマンドを使用してパスワードを指定する必要があります。+`オプションを使用するとパスワードの入力を求められます。rootDNにバインドするリクエストの例は次のようになります。-W匿名バインドと同じ結果が得られ、資格情報が受け入れられたことを示します。エントリにバインドすると、多くの場合、匿名バインドでは利用できない追加の権限が付与されます。rootDNにバインドすると、アクセス制御に関係なく、DIT全体への読み取り/書き込みアクセスが可能になります。SASL認証SASLは、単純な認証およびセキュリティレイヤーの略です。これは、特定の実装に結び付けられていない柔軟な認証システムを提供するために、プロトコルに認証方法を接続するためのフレームワークです。wikipediaページをチェックして、利用可能なさまざまな方法を確認できます。LDAPサーバーは、おそらく、可能なSASLメカニズムのサブセットのみをサポートします。許可されるメカニズムを確認するには、次のように入力します。supportedSASLMechanisms表示される結果は、接続に使用したスキームによって異なります。+`スキームを使用している場合、選択肢のリストが拡張される可能性があります。PLAINほとんどのSASL認証方法の設定には時間がかかることがあるため、ここでは詳細を詳しく説明しません。+`メソッドについて話す必要があります。+`メカニズムは、認証とセキュリティが接続に関連付けられた他の手段によって処理されることを示します。SSLとともに使用して、暗号化と認証を提供できます。`インターフェースで使用されます。+`はUnixソケットを使用するため、リクエストを開始したユーザーを取得し、特定の操作の認証に使用できます。LDAPが構成に使用するDITは、このメカニズムを使用してrootユーザーを認証し、LDAPの読み取りと変更を行います。これらのリクエストは次のようになります。+`ルートエントリで始まるDITに保持されるLDAP構成を変更するために使用されます。.ldaprcファイルのセットアップこれまで主にコマンドラインで接続情報を指定してきました。構成ファイルに一般的な接続値をいくつか入力することで、入力を節約できます。+`にあるユーザーの設定ファイルに変更を追加します。テキストエディタでこの名前のファイルを作成して開きます。*:検索を開始するエントリを指定するために使用されるデフォルトのベースDN。コマンドラインで別の検索ベースが提供されている場合、これは上書きされます(これについては次のセクションで説明します)。*:LDAPサーバーに到達できるアドレス。+」)に続いてサーバーの名前とポートを含める必要があります。サーバーが同じマシン上にある場合は名前を省略でき、選択したスキームのデフォルトポートでサーバーが実行されている場合はポートを省略できます。*:これは、バインドするデフォルトのLDAPエントリを指定します。これは、使用するアクセスの「アカウント」情報を提供するために使用されます。コマンドラインでパスワードを指定する必要があります。これにより、単純な認証情報が処理されます。+`をチェックしてSASL資格情報を設定するためのオプションを確認してください。`を使用してバインドしています。cn=admin,dc=example,dc=comこれを使用して、非SASL認証を指定し、adminエントリに関連付けられたパスワードを提供するだけで、基本的な検索を実行できます。これにより、指定したデフォルトのベースDNの完全なサブツリー検索が提供されます。-wこれは、LDAPユーティリティを使用する際の「定型」接続オプションを短縮するのに役立ちます。このガイドでは、明確にするためにコマンドに接続情報を含めますが、コマンドを実行するときに、構成ファイルで指定した部分を削除できます。ldapsearchを使用してDITおよびルックアップエントリをクエリするLDAPサーバーの認証方法と指定方法についての理解が深まったので、実際に使用できるツールについてもう少し話を始めましょう。ほとんどの例では、LDAPサーバーをホストする同じサーバーでこれらの操作を実行していると想定しています。これは、スキームの後にホスト仕様が空白になることを意味します。」用であると想定します。