OSS Fan ～OSSでLinuxサーバ構築～

このエントリーをはてなブックマークに追加

CentOS 5.8のLinuxユーザ・グループをLDAPで一元管理

カテゴリ：OSSセットアップ | ソフトウェア：OpenLDAP | タグ：
最終更新日：2020/11/27 | 公開日：2012/04/24

目次

構成

サーバ構成

OSバージョン

CentOS release 5.8 x86_64

パッケージ一覧

libtool-ltdl-1.5.22-7.el5_4.x86_64.rpm ・・・openldap-serversが依存
openldap-servers-2.3.43-25.el5.x86_64.rpm ・・・OpenLDAPサーバ本体
openldap-clients-2.3.43-25.el5.x86_64.rpm ・・・ldapsearch等のコマンドを提供

クライアント構成

OSバージョン

CentOS release 5.8 x86_64

ソフトウェア一覧

openldap-clients-2.3.43-25.el5.x86_64.rpm ・・・ldapsearch等のコマンドを提供

環境構築

インストール

　OpenLDAPのCentOS 5.8へのインストールと初期設定に従ってインストールを行った状態で 以下の設定を行ってください。

設定

ユーザアカウント登録用のオブジェクト作成

　まずはユーザアカウントを登録するためのオブジェクトを作成します。 アカウント登録のために作成するLDIF(LDAP Data Interchange Format)ファイルは /tmp/ldap_work ディレクトリに格納することにします。 viエディタで以下の通りファイルを新規に作成します。 

# cd /tmp/
# mkdir ldap_work
# cd ldap_work/
# vi base.ldif
ファイル名：/tmp/ldap_work/base.ldif 
dn: dc=ranonet,dc=net
objectClass: dcObject
objectClass: organization
dc: ranonet
o: ranonet

dn: cn=Manager,dc=ranonet,dc=net
objectClass: organizationalRole
cn: Manager

dn: ou=People,dc=ranonet,dc=net
objectClass: organizationalUnit
ou: People

dn: ou=Group,dc=ranonet,dc=net
objectClass: organizationalUnit
ou: Group

　作成したLDIFファイルを使用してオブジェクトを作成します。 

# ldapadd -f base.ldif -x -D "cn=Manager,dc=ranonet,dc=net" -W
Enter LDAP Password: 　←パスワードを入力
adding new entry "dc=ranonet,dc=net"

adding new entry "cn=Manager,dc=ranonet,dc=net"

adding new entry "ou=People,dc=ranonet,dc=net"

adding new entry "ou=Group,dc=ranonet,dc=net"

LDAP移行ツールの設定

　アカウント登録のLDIFファイルはゼロから作成しても良いのですが、 移行ツールを使用することでLinuxの登録情報から生成することができます。 始めはこの方が簡単なので移行ツールを利用します。 まずは移行ツールの設定を行います。 

# cd /usr/share/openldap/migration/
# vi migrate_common.ph
ファイル名：/usr/share/openldap/migration/migrate_common.ph 
※以下、該当箇所のみ変更※
$DEFAULT_MAIL_DOMAIN = "padl.com";
$DEFAULT_BASE = "dc=padl,dc=com";
　　　↓変更
$DEFAULT_MAIL_DOMAIN = "ranonet.net";
$DEFAULT_BASE = "dc=ranonet,dc=net";

Linuxユーザ・グループの作成

　LDAP移行ツールでLDIFファイルを生成するために、Linux上に移行対象となるグループとユーザを作成します。 ユーザにはパスワードも設定します。 まずはグループを作成します。作成するグループは admin と user とします。 

# groupadd admin
# groupadd user
# tail /etc/group
sshd:x:74:
ecryptfs:x:101:
rpcuser:x:29:
nfsnobody:x:65534:
xfs:x:43:
haldaemon:x:68:
avahi-autoipd:x:102:
ldap:x:55:
admin:x:500:　←追加されたことを確認
user:x:501:　←追加されたことを確認

　続いてユーザを作成します。作成するユーザは user1(adminグループ所属) と user2(userグループ所属) とします。 

# useradd -g admin user1
# useradd -g user user2
# tail /etc/passwd
smmsp:x:51:51::/var/spool/mqueue:/sbin/nologin
sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
rpcuser:x:29:29:RPC Service User:/var/lib/nfs:/sbin/nologin
nfsnobody:x:65534:65534:Anonymous NFS User:/var/lib/nfs:/sbin/nologin
xfs:x:43:43:X Font Server:/etc/X11/fs:/sbin/nologin
haldaemon:x:68:68:HAL daemon:/:/sbin/nologin
avahi-autoipd:x:100:102:avahi-autoipd:/var/lib/avahi-autoipd:/sbin/nologin
ldap:x:55:55:LDAP User:/var/lib/ldap:/bin/false
user1:x:500:500::/home/user1:/bin/bash　←追加されたことを確認
user2:x:501:501::/home/user2:/bin/bash　←追加されたことを確認

　作成したユーザにパスワードを設定します。 

# passwd user1
Changing password for user user1.
New UNIX password: 　←パスワードを入力
BAD PASSWORD: it is based on a dictionary word
Retype new UNIX password: 　←パスワードを再入力
passwd: all authentication tokens updated successfully.

# passwd user2
Changing password for user user2.
New UNIX password: 　←パスワードを入力
BAD PASSWORD: it is WAY too short
Retype new UNIX password: 　←パスワードを再入力
passwd: all authentication tokens updated successfully.

アカウント登録用LDIFファイルの作成

　追加したユーザとグループの設定ファイルから必要な行だけを切り出します。 これをLDAP移行ツールに入力してLDIFファイルを生成します。 

# cd /tmp/ldap_work/
# vi group
ファイル名：/tmp/ldap_work/group 
admin:x:500:
user:x:501:

# vi passwd
ファイル名：/tmp/ldap_work/passwd 
user1:x:500:500::/home/user1:/bin/bash
user2:x:501:501::/home/user2:/bin/bash

　上記で作成したユーザとグループの定義ファイルをLDAP移行ツールに入力し、LDIFファイルを生成します。 

# /usr/share/openldap/migration/migrate_group.pl group > group.ldif
# /usr/share/openldap/migration/migrate_passwd.pl passwd > passwd.ldif

　生成されたLDIFファイルの中身は以下の通りです。 移行ツールを使わずに、始めからこのファイルを作成しても良いです。

ファイル名：/tmp/ldap_work/group.ldif 
dn: cn=admin,ou=Group,dc=ranonet,dc=net
objectClass: posixGroup
objectClass: top
cn: admin
userPassword: {crypt}x
gidNumber: 500

dn: cn=user,ou=Group,dc=ranonet,dc=net
objectClass: posixGroup
objectClass: top
cn: user
userPassword: {crypt}x
gidNumber: 501
ファイル名：/tmp/ldap_work/passwd.ldif 
dn: uid=user1,ou=People,dc=ranonet,dc=net
uid: user1
cn: user1
objectClass: account
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
userPassword: {crypt}$1$XOLX4gC/$DhexWfiWqCehaZjYIErKH.
shadowLastChange: 15453
shadowMin: 0
shadowMax: 99999
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 500
gidNumber: 500
homeDirectory: /home/user1

dn: uid=user2,ou=People,dc=ranonet,dc=net
uid: user2
cn: user2
objectClass: account
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
userPassword: {crypt}$1$TDVGIGO1$MxYs12.XodOPQ7o.B1Syt0
shadowLastChange: 15453
shadowMin: 0
shadowMax: 99999
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 501
gidNumber: 501
homeDirectory: /home/user2

Linuxユーザ・グループの削除

　必要なLDIFファイルが作成できたので、グループとユーザは削除します。 

# userdel -r user1
# userdel -r user2

# groupdel admin
# groupdel user

アカウントをLDAPへ登録

　生成したLDIFファイルを利用してLDAPにLinuxアカウントを登録します。 

# ldapadd -f passwd.ldif -x -D "cn=Manager,dc=ranonet,dc=net" -W
Enter LDAP Password: 　←パスワードを入力
adding new entry "uid=user1,ou=People,dc=ranonet,dc=net"

adding new entry "uid=user2,ou=People,dc=ranonet,dc=net"

# ldapadd -f group.ldif -x -D "cn=Manager,dc=ranonet,dc=net" -W
Enter LDAP Password: 　←パスワードを入力
adding new entry "cn=admin,ou=Group,dc=ranonet,dc=net"

adding new entry "cn=user,ou=Group,dc=ranonet,dc=net"

設定ファイル

　/etc/group
　/etc/gshadow
　/etc/ldap.conf
　/etc/nsswitch.conf
　/etc/passwd
　/etc/shadow
　/tmp/ldap_work/base.ldif
　/tmp/ldap_work/group
　/tmp/ldap_work/group.ldif
　/tmp/ldap_work/passwd
　/tmp/ldap_work/passwd.ldif

クライアント設定

インストール

　LDAPを操作（検索、追加、削除など）するためのコマンドラインユーティリティ （クライアント）のパッケージ1つをインストールします。 DVDドライブにCentOS 5のDVD-ROMをセットし、以下のコマンドを実行します。

# mount /dev/cdrom /media/cdrom
# cd /media/cdrom/CentOS/
# rpm -ihv openldap-clients-2.3.43-25.el5.x86_64.rpm
Preparing...                ########################################### [100%]
   1:openldap-clients       ########################################### [100%]
# cd /
# umount /media/cdrom

設定

LDAPクライアントの設定

　ログインする際にLinuxユーザとグループに関する情報は /etc/passwd と /etc/group だけでなく LDAPサーバへも問い合わせるように変更します。 ローカルのpasswdファイルとgroupファイルを優先し、そこに記述されていない情報をLDAPサーバに 確認するようにします。設定には認証設定ツールが提供されているので、これを利用することで LDAPやNSSなど必要な設定を一通り書き換えてくれます。 

# authconfig-tui


                lqqqqqqqqqqqqqqqqu Authentication Configuration tqqqqqqqqqqqqqqqqqk
                x                                                                 x
                x  User Information        Authentication                         x
                x  [ ] Cache Information   [*] Use MD5 Passwords                  x
                x  [ ] Use Hesiod          [*] Use Shadow Passwords               x
                x  [*] Use LDAP            [*] Use LDAP Authentication            x
                x  [ ] Use NIS             [ ] Use Kerberos                       x
                x  [ ] Use Winbind         [ ] Use SMB Authentication             x
                x                          [ ] Use Winbind Authentication         x
                x                          [ ] Local authorization is sufficient  x
                x                                                                 x
                x            lqqqqqqqqk                      lqqqqqqk             x
                x            x Cancel x                      x Next x             x
                x            mqqqqqqqqj                      mqqqqqqj             x
                x                                                                 x
                x                                                                 x
                mqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqj


                       lqqqqqqqqqqqqqqqqqu LDAP Settings tqqqqqqqqqqqqqqqqqk
                       x                                                   x
                       x          [ ] Use TLS                              x
                       x  Server: ldap://192.168.0.10/____________________ x
                       x Base DN: dc=ranonet,dc=net_______________________ x
                       x                                                   x
                       x         lqqqqqqk                  lqqqqk          x
                       x         x Back x                  x Ok x          x
                       x         mqqqqqqj                  mqqqqj          x
                       x                                                   x
                       x                                                   x
                       mqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqqj

ユーザのホームディレクトリの作成

　LDAPに登録されている情報に基づいてLinuxへログインしようとすると、 ログイン先の/homeディレクトリに該当ユーザのホームディレクトリが 存在しないという警告が出力されてしまいます。 確かにLDAPに登録した情報にはホームディレクトリに関する情報がありますが、 LDAPを参照するクライアントPCにはホームディレクトリを作成していません。 ログイン自体はできるのですが、何かと不便ですので、ログイン時に自動で ホームディレクトリを作成するように設定します。 viエディタでPAMの設定ファイルを編集します。 

# cd /etc/pam.d/
# vi system-auth-ac
ファイル名：/etc/pam.d/system-auth-ac 
※ファイルの末尾に追記※
（前略）
session     required      pam_unix.so
session     optional      pam_ldap.so
session     optional      pam_mkhomedir.so skel=/etc/skel umask=022　←追記

動作テスト

　『クライアント設定』で設定したLinuxに対してTera Termでログインします。 その際にLDAPサーバに登録した user1 もしくは user2 を指定してログインします。 ログインできれば成功です。

関連記事

▲setupのメニューに戻る▲