LDAP (Lightweight Directory Access Protocol)サーバのインストールについて
紹介していきます。現在LDAPを扱うソフトウェアとしては、OpenLDAP,SunJava Systems
Directory Server, Novell eDirectory,Active Directory, IBM Directory Serverなどがあります。
他にもアプライアンス製品としても色々なメーカーから売り出されています。
　今回はオープンソースであるOpenLDAPを使って行きます。商用製品よりオープンソースを
扱うことで、LDAPの動きの詳細を理解できると思います。
現在よくldapが用いられるのは

・システムユーザ認証
・DNSのホスト管理
・radiusサーバのデータ管理
・sambaユーザの認証
・apacheユーザ認証
・MS Outlookのアドレス帳
・Netscapeのアドレス帳、ブックマーク
・Netcapeの証明書発行
・MTA(postfix,sendmail,qmail)の複数メールホストやホールバックホスト・アカウント管理
・POP/IMAPユーザのユーザ認証
他にもかなりたくさんあると思います

[先にインストールするべきソフト]
●openssl(インストールはこちら参照)
※トランスポート層(OSI4層)の
　セキュリティライブラリが必要

●kerberos
※openldapはSASL/GSSAPI認証メカニズムを使うには
　HeimdalかMIT Kerberos Vが必要
※今回はインストールしないが強力な認証サービスが必要な場
合はKerberosようなものを入れることが推奨されている。

●Cyrus SASL
※OpenLDAPクライアントもサーバーもこれらのライブラリが必
要　OSによってはもともと入っている。FedoraCoreやRHELなど

http://asg.web.cmu.edu/sasl/sasl-library.html
から最新版のをダウンロード

[root@solaris ldap]# gzip -dc cyrus-sasl-2.1.21.tar.gz|tar xf -
[root@solaris ldap]# cd cyrus-sasl-2.1.21
[root@solaris cyrus-sasl-2.1.21]# ./configure --with-openssl=/usr/local/ssl ￥
--with-gnu-ld 2>&1|tee configure.log;

のようにエラーが出る場合があるかもしれません。
linuxでコンパイルする場合はほとんどないとは思いますが。
見つからないといわれるヘッダ見つけれるように
環境変数入れてconfigureしなおしておきましょう。
[root@solaris ldap]# CPPFLAGS="-I/usr/local/ssl/include \
-I/usr/local/ssl/include/openssl" export CPPFLAGS;
[root@solaris ldap]# rm config.cache
再度configureを前述と同じようにしておく

[root@solaris cyrus-sasl-2.1.21]# make install 2>&1|tee make_install.log

/usr/local/lib/sasl2にpluginがインストールされるので
LD_LIBRARY_PATHに追加しておきましょう。
後はデフォルトの/usr/local/libに入ります。

●BerkleyDB(インストールはこちら)
※slapdがDBDを使ってprimaryデータベースとして動きます。
　 DBD4.2以上をインストールする必要があります。

●TCP WRAPPERインストールはこちら
※openldapはサポートするので使えるようにしておく



【準備】
http://www.openldap.org/software/download/
から最新版のopenldapをダウンロード

[インストール]
[root@solaris ldap]# gunzip -c openldap-2.3.11.tgz| tar xvf -
[root@solaris ldap]# cd openldap-2.3.11

--enable-ipv6           enable IPv6 support [auto]
--with-cyrus-sasl       with Cyrus SASL support [auto]
--enable-crypt        enable crypt(3) passwords [no]
--enable-spasswd      enable (Cyrus) SASL passwordverification [no]
--enable-wrappers     enable tcp wrapper support [no]
--enable-ldap         enable ldap backend no|yes|mod [no]

をつけてコンパイルできるようにしたい

[root@solaris openldap-2.3.11]# CPPFLAGS="-I/usr/local/BerkeleyDB.4.2/include \
-I/usr/local/include \
-I/usr/local/ssl/include \
-I/usr/local/ssl/openssl \
-I/usr/sfw/include" export CPPFLAGS;
[root@solaris openldap-2.3.11]# LD_LIBRARY_PATH=$LD_LIBRARY_PATH:/usr/local/BerkeleyDB.4.2/lib \
export LD_LIBRARY_PATH;
[root@solaris openldap-2.3.11]# LDFLAGS="-L/var/tmp/cyrus-sasl-2.1.21/lib \
-L/usr/local/BerkeleyDB.4.2/lib \
-L/usr/local/lib" export LDFLAGS;
[root@solaris openldap-2.3.11]#CC=gcc export CC

Linuxでコンパイルする場合はCPPFLAGS,LD_LIBRARY_PATH,LDFLAGSを設定しなくても
configureるはず。
solarisの場合は上記のように通さないといかない場合があります。


[root@solaris openldap-2.3.11]# ./configure \
--enable-crypt \
--enable-spasswd \
--enable-wrappers \
--enable-ldap \
--with-gnu-ld 2>&1|tee configure.log
※GNU LDを使わない場合は--with-gnu-ldはいらない
　 GNU LDはshutilsを入れていると入っています。

[root@solaris openldap-2.3.11]# make depend2>&1|tee make_depend.log
[root@solaris openldap-2.3.11]# make 2>&1|teemake.log

少々時間かかります

[root@solaris openldap-2.3.11]# make test 2>&1|teemake_test.log

※tcp_wrpperを組み込んでいるので
　make testする前に/etc/hosts.allowファイルに「slapd:all:allow」
　を入れておかないと失敗します。

↓このように

うまくいくと結構時間はかかります。

[root@solaris openldap-2.3.11]# make install 2>&1|tee make_install.log

[設定]
[root@solaris openldap]# vi slapd.conf

rootpwのパスワードをsecretでhashをcryptとする場合
# slappasswd -h {crypt} -s secret
{CRYPT}AqwoXi3kgeqUw
{CRYPT}, {MD5}, {SMD5}, {SSHA}, {SHA}のいずれかを指定する

[ログ出力の設定]
openldapのログはlocal4のファシリティでsyslogdに渡されます。
なのでsyslogの設定を変更しておきます。

# vi /etc/syslog.conf

<linux>
local4.* /var/log/slapd.log

<solaris>
local4.debug /var/log/slapd.log

※solarisでは*が使えないのでdebugとしておきましょう。
　TAB必ず記述します。スペースではありません。

# touch /var/log/slapd.log
# chmod ldap:ldap /var/logl/slapd.log
# pkill -HUP syslogd

[起動]
[root@solaris openldap]# /usr/local/libexec/slapd -f /usr/local/openldap/etc/slapd.conf
[root@solaris openldap]# ps -ef |grep slapd

うまく起動しない場合はslapd -d 128などとしてデバッグオプションをつけることで
起動ができない原因を見つけることができます。

例えばRHELの標準でついているldap-serverを使用する場合は
/etc/openldap/cacertsディレクトリがないために起動ができないときなど
すぐに見つけることができます。

もしログファイルにslapd起動時に下記のようなwarningが出る場合

出る場合は

#cp /usr/local/etc/openldap/DB_CONFIG.example $PREFIX/var/openldap-data/DB_CONFIG

をしておくことでwarningがなくなります。

[root@solaris openldap]# ldapsearch -x -b '' -s base '(objectclass=*)' namingContexts

・全属性の検索
[05:51pm root@solaris openldap]# ldapsearch -h localhost -x -b '' -s base '(objectclass=*)' '*' '+'
※-h ldapサーバの指定
  -x SASLの代わりにシンプル認証
　-b デフォルトではなくstartポイントを指定する
　-s ベースオブジェクトの指定

これでひとまず起動確認はできる。
インストールはこれで終了になる。

基本的なldap関連コマンドの使い方。

[ldapadd]
# ldapadd -x -h localhost -D "cn=Manager,dc=testdom,dc=jp" -w secret -f test.ldif
-x：SASLで暗号化しない
-h：ldapサーバ指定
-D：bind DN
-w：パスワード-Wでプロンプト表示で入力
-f：登録するldifファイルの指定

[ldapcompare]
# ldapcompare -x "uid=test,ou=People,dc=testdom,dc=jp" uidNumber:10000
　ldapcompare [options] DN <attr:value|attr::b64value>
-x：SASLで暗号化しない
結果が「true」か「false」で帰ってくる
[ldapdelete]
# ldapdelete -x uid=test,ou=People,dc=testdom,dc=jp -D "cn=Manager,dc=testdom,dc=jp" -w secret
　ldapdelete -x DN -D binddn -w password

[ldapmodify]
# ldapmodify -x -D "cn=Manager,dc=testdom,dc=jp" -w secret -f testuser.ldif
　ldapmodify -x -D binddn -w password -f file
[ldapmodrdn]
# ldapmodrdn -x -r -f rnd.ldif -D "cn=manager,dc=testdom,dc=jp" -w secret
-r：古いrdnは消す
rdn.ldifファイルには

のように変更前と変更後を記述しておきます。
[ldappasswd]
# ldappasswd -x -D "cn=Manager,dc=testdom,dc=jp" -w secret \ "uid=test,ou=People,dc=testdom,dc=jp" -a test -s test
-w：binddnのパスワード
-a：古いパスワード,-Aとするとプロンプトで入力
-s：古いパスワード、-Sとするとプロンプトで入力

実際に一般ユーザが自分のパスワードを変更するときは
$ ldappasswd -x -D 'uid=test,ou=people,dc=testdom,dc=jp' \
-W 'uid=test,ou=people,dc=testdom,dc=jp' -S

[ldapsearch]
# ldapsearch -x -L -b ou=people,dc=testdom,dc=jp uid=test
-L：ldifv1フォーマットで出力
-b：ベースDN名
uid=testは検索条件

[ldapwhoami]
# ldapwhoami -x -D "cn=manager,dc=testdom,dc=jp" -w secret

以上でldapサーバのインストールを終了します。

[クライアント設定]
クライアントの設定をする場合は
・ldap.confの作成
# vi /etc/ldap.conf

[GUIツール]

ldap関連コマンドは非常に長くて複雑です。
そこでGUIツールとして

LDAP Browser/Editor
GQ
phpldapadmin

というものが存在します。
こちらはコマンドラインの意味が分かっていればGNUは非常に便利にです。

●LDAP Browser/Editor
素人向けのツールではないかもしれませんが
いちいちコマンドラインで長いコマンドを打たなくても
LDAPの仕組みさえ分かっていれば、非常に使いやすいです。

ダウンロードして解凍し、lbe.batで起動。

起動したらldapサーバへのコネクションの設定をします。

NEWボタンをクリック

・セッション名を決定(任意)


・接続先の設定

全て入力したら「Save」をクリック

・接続

決定した接続名を選択し「Connect」

・接続したら成功

コマンドが全て「Edit」メニューから実行可能です。




使い方は非常に簡単です。
一度実際に使ってみればすぐにldapのデータを編集することが実感できると思います。

サンプルとしてapacheのユーザ認証ldapを使う!

[データベースの登録]
・トップツリーの登録
# vi top.ldif

# ldapadd -x -D "cn=Manager,dc=testdom,dc=jp" -w secret -f top.ldif

※-x saslを使わない
　-D rootdn名
　-w 認証で使うパスワード
　-f ファイルを指定

topツリーの登録が済んだら次はアカウント情報を
登録します。testというユーザを追加します。

# vi test.ldif

# ldapadd -x -D "cn=Manager,dc=testdom,dc=jp" -w secret -f test.ldif

※userPasswordは
# slappasswd -h {MD5} -s test
パスワードtestをMD5にすることができます。

group名を登録します。

# vi testgroup.ldif

# ldapadd -x -D "cn=Manager,dc=testdom,dc=jp" -w secret -f testgroup.ldif

[確認]
# ldapsearch -x -L -b "ou=people,dc=testdom,dc=jp" uid=test

[root@localhost ~]#  ldapsearch -x -b "ou=group,dc=testdom,dc=jp" cn=test -L

[apacheの設定]

特にaprとapr-utilがないとldap関連のモジュールが
組み込めないので
http://apr.apache.org/
からダウンロードして入れておく。
[apr]
# ./configure --enable-profile \
 --enable-threads \
 --with-gnu-ld \
 --with-devrandom 2>&1|tee configure.log

# make 2>&1|tee make.log
# make install 2>&1|tee make_install.log
※/usr/local/aprにインストールされます

[apr-util]
# ./configure --with-apr=/usr/local/apr \
 --with-ldap-include=/usr/local/include \
 --with-ldap-lib=/usr/local/lib \
 --with-berkeley-db=/usr/local/BerkeleyDB.4.2 2>&1|tee
configure.log
# make 2>&1|tee make.log
# make install 2>&1|tee make_install.log

両方をインストールしたら
LD_LIBRARY_PATHに/usr/local/apr/lib
を追加しておきましょう。

apacheにmod_auth_ldapを組み込んで
apacheの認証をldapを使えるようにする。

# CPPFLAGS=-I/usr/local/apr/inlude export CPPFLAGS

※事前にBerkeleyDB,OpenSSLやGNU関連は
全てインストールしているものとする。
当然openldapも上記のようにインストールしている。

 
[mod_auth_ldap]
#openldap使ってない場合はSUNからSDKをとってこないとダメ
です。
#今回はopenldap使ってるのでいりません。
#まずはldap SDKを入れておく。
#http://wwws.sun.com/software/download/app_dev.html#sdks
#からSun ONE Directory SDK for C 5.08ダウンロード

http://www.muquit.com/muquit/software/mod_auth_ldap/mod_auth_ldap_apache2.html
からmod_auth_ldapダウンロード

# tar zxf modauthldap_apache2.tar.gz
# cd modauthldap_apache2
# ./configure --with-apxs=/usr/local/apache2/bin/apxs \
 --with-ldap-dir=/usr/local 2>&1|tee configure.log

※iplanetのSDK使ってる場合は--with-ldap-dir=/usr/local/iplanet
もつけましょう。
※linuxのパッケージに含まれているものであれば--with-ldap-dir=/usr

/usr/local/apache2/bin/httpd -l
でmod_so.cがロードされているか確認しましょう。
されていれば次のステップに、されていなければこちらを参考
にDSOサポートで
apacheをコンパイルしなおしましょう。

# make 2>&1|tee make.log

openldapでTLS使ってる場合は

のようなwarningが出ますが無視してかまいません。

# make install 2>&1|tee make_install.log
この時も同じく

がでますが無視してかまいません。
これでmod_auth_ldapのインストールは終了です。


[apacheの設定]

すでにhttpd.confの設定ファイルには

が記入されてロードされている状態になっています。


# mkdir /var/tmp/apache2/htdocs/foo
# chown www:www /var/tmp/apache2/htdocs/foo
# vi /usr/local/apache2/conf/httpd.conf

http://www.muquit.com/muquit/software/mod_auth_ldap/mod_auth_ldap_apache2.html#directives
に全部のディレクティブの説明があります。


[動作確認]
実際にhttp://webserver/foo/
にアクセスして見ます。

ログファイルに以下のような出力が出て認証が成功することが
分かります。

access_log

error_log

apacheのユーザ認証をldapで行うのは非常に簡単です。
また、OpenLDAPではなくSunJava Directory Serverを使用した場合でも
設定方法は全く一緒です。