openLADP 後藤航太

研究のテーマを openLDAPにしました。 　前回の発表では「情報セキュリティ」について説明しましたが、 　まだ具体的な研究内容を決めていませんでした。 　今回からはopenLDAPを使ってディレクトリサービス導入・運用を 　研究課題としてやっていきたいです。 　まずはLDAPサーバを構築し、データ登録を行ってみます。 　今後、アドレス帳、Linuxユーザ認証をはじめ、様々なアプリケーションで 　LDAPの機能を利用していきたいと思います。 　まだ勉強を始めたばかりなので、わからないことやうまく説明できない所 　がありますので、ご了承ください。

openLDAPとは ディレクトリとは LDAPは、Lightweight Directoy Access Protocolの略です。 LDAPは、RFC1777などで定義されているインターネット標準のプロトコルで、 TCP/IP上でディレクトリサービスを提供するためのプロトコルであるとされ います。 ディレクトリとは コンピュータの世界、それも特にLinuxやUNIXでディレクトリという言葉は ファイルを管理するための構造を指します。 Windowsではフォルダと呼ばれているファイルを格納する場所のことを、 LinuxやUNIXではディレクトリと呼ばれています。 しかし、LDAPでいうディレクトリは、このファイルの管理とはまったく関係 がありません。

LDAPの歴史 LDAPは、もともとX.500ディレクトリアクセスプロトコル（DAP）を改良して作ら れたプロトコルです。　X.500は、1988年にCCITTのX.500シリーズ勧告で 国際規格として採用されたもので、ISO国際標準として規定されました。 このプロトコルは世界中の情報を集めたディレクトリサービスを実現しようと するものでしたが、残念ながら普及することはありませんでした。 大変多くのコンピュータリソースを必要としたことが、その原因と考えられて います。そのため、X.500はHeavy weightなプロトコルであったと言われています。 これに対して、LDAPはTCP/IP上で軽快（Lightweight）に動作することを目的 として作成されたディレクトリサービスです。 軽快な造りでありながら、X.500の重要な機能の多くを引き継いでいます。

LDAPの特徴 LDAPは次のような特徴を持つデータベースとなっています。 X.500の機能のほとんどを持ちながら、非常に軽い実装である。 読み込み・検索・更新などの処理を行うことができる。 書き込み・更新よりも、読み込み・検索が速くなるように最適化されている。 豊富な検索機能を持っている。 様々なアプリケーションをサポートできる豊富な機能を持っている。 格納するデータの型を自由に定義・拡張できる。 データの複製機能を持っていて、信頼性の高いシステムを構築することができる。

LDAPで管理するもの① LDAPは、RDB（リレーショナルデータベース）ではありません。 このことは、用途を考える上で非常に重要です。リレーションデータベースで ないことは、次のようなことを意味します。 データの相関関係（リレーショナル）を管理していない。 トランザクションの概念を持っていない。 したがって、LDAPは、業務データなどと動的で複雑な関係を処理する必要 のある分野には不向きです。LDAPでは、データの相関関係ではなく、 物（オブジェクト）を管理しようとします。そのため、次のような分野に向いて います。 住所録や人名録など、人というオブジェクトを管理するサービス 資産管理サービスなど、物というオブジェクトを管理するサービス メールや認証情報など、人や物に付随するサービスの情報

LDAPで管理するもの② したがって、LDAPは、業務データなどと動的で複雑な関係を処理する必要 物（オブジェクト）を管理しようとします。そのため、次のような分野に向いて います。 住所録や人名録など、人というオブジェクトを管理するサービス 資産管理サービスなど、物というオブジェクトを管理するサービス メールや認証情報など、人や物に付随するサービスの情報 このことは、LDAP上で管理するデータの配置を計画するときにも非常に重 要です。　LDAPでは物（オブジェクト）を管理するのだという大前提を忘れる と、非常に管理しにくいデータ構造になってしまいます。

LDAP機能 問い合わせ 更新 LDAPには、認証、問い合わせ、更新などの機能が定義されています。 要素です。 　認証 認証には、バインド（bind）と解放（unbind）の2つの操作があります。 サーバにアクセスする場合には、まずはバインド処理を行わければなりませ ん。そして、LDAPの処理が完了したら解放の処理を行います。 問い合わせ LDAPでは、問い合わせとして比較（compare）と検索(search)の2つの方法を 利用することができる 比較（compare） 　指定したエントリの属性に、特定の値が入っているかどうかを調べ、結果を返す処 　理です。 検索(search) 　様々な検索条件を指定して、それに合致するエントリの情報を取り出します。 更新 LDAPでは、更新の操作として、追加（add）、削除(delete)、変更(modify)、 DNの変更（modifyDN）の4つの操作を行うことができます。これらの操作は、 特定のDNを指定して、そのDNに対して行います。

LDAPサーバ稼動までの手順 LDAPサーバをインストールする。 LDAPサーバの起動に必要な最小限の設定を行う。 要があります。 LDAPサーバをインストールする。 LDAPサーバの起動に必要な最小限の設定を行う。 基本的なディレクトリ構造を設定する。 使用するアプリケーションに合わせて、スキーマを設定する。 使用する属性に合わせてインデックス、アクセス制御の設定を行う。

開発環境について 研究で使うOSはLinux（Vine Linux）を使用します。 ・Berkeley　DB（アプリケーション組み込み型のデータベースライブラリ ） ・OpenSSL　（SSLプロトコル・TLSプロトコルのオープンソースな実装です ）　 　　この2つのソフトウェアはOpenLDAPに必要なため 　・OpenLDAPは安全版“openldap-stable-20070110.tgz”です。 　今後、新たにソフトウェアなどが必要になるので随時説明をします。

基本設定 OpenLDAPでＬＤＡＰ機能を提供するサーバはslapdです。 設定ファイルは/usr/local/etc/openldap/slapd.confです。 slapd.confは標準的にはrootユーザでしか読み書きできな いように設定されています。 これは、ファイルの中にＬＤＡＰへのアクセスの時に用い るパスワードなどが保管されているからです。 そのため、ファイルの編集はrootユーザで行います。

　　　　　　　　インストール直後のslapd.conf # # See slapd.conf(5) for details on configuration options. # This file should NOT be world readable. # include /usr/local/etc/openldap/schema/core.schema # Define global ACLs to disable default read access. # Do not enable referrals until AFTER you have a working directory # service AND an understanding of referrals. #referral ldap://root.openldap.org pidfile /usr/local/var/run/slapd.pid argsfile /usr/local/var/run/slapd.args # Load dynamic backend modules: # modulepath /usr/local/libexec/openldap # moduleload back_bdb.la # moduleload back_ldap.la # moduleload back_ldbm.la # moduleload back_passwd.la # moduleload back_shell.la # Sample security restrictions # Require integrity protection (prevent hijacking) # Require 112-bit (3DES or better) encryption for updates # Require 63-bit encryption for simple bind # security ssf=1 update_ssf=112 simple_bind=64 # Sample access control policy: # Root DSE: allow anyone to read it # Subschema (sub)entry DSE: allow anyone to read it # Other DSEs: # Allow self write access # Allow authenticated users read access

　　　# Allow anonymous users to authenticate # Directives needed to implement policy: # access to dn.base=“” by * read # access to dn.base=“cn=Subschema” by * read # access to * # by self write # by users read # by anonymous auth # # if no access controls are present, the default policy # allows anyone and everyone to read anything but restricts # updates to rootdn. (e.g., “access to * by * read”) # # rootdn can always read and write EVERYTHING! ####################################################################### # BDB database definitions ####################################################################### database 　bdb suffix “dc=my-domain,dc=com" rootdn "cn=Manager,dc=my-domain,dc=com" # Cleartext passwords, especially for the rootdn, should # be avoid. See slappasswd(8) and slapd.conf(5) for details. # Use of strong authentication encouraged. rootpw secret # The database directory MUST exist prior to running slapd AND # should only be accessible by the slapd and slap tools. # Mode 700 recommended. directory /usr/local/var/openldap-data # Indices to maintain index objectClass eq

インストール直後のslapd.confに最初に定義されているのは、最も基本的なLDAPの設定です。（コメントを除いたもの） ①　include /usr/local/etc/openldap/schema/core.schema ②　pidfile /usr/local/var/run/slapd.pid ③　argsfile /usr/local/var/run/slapd.args ④　database 　bdb ⑤　suffix “dc=my-domain,dc=com" ⑥　rootdn "cn=Manager,dc=my-domain,dc=com“ ⑦　rootpw 　　　　 secret ⑧　directory /usr/local/var/openldap-data ⑨　index 　　　　objectClass eq これらの値のうち、必ず修正があるのは、⑤～⑦です。 ⑦はルートDNのパスワードの設定で、必ず設定する必要がある。

それぞれの設定について①～④ ①include ③ argsfile ④database 　　　それぞれの設定について①～④ ①include LDAPのデータベースで利用する属性を定義するスキーマファイルを読み込 みます。使用する属性に合わせて、適切なスキーマファイルを読み込む必 要があります。 ②pidfile Slapdのプロセス番号を保管するファイルを指定します。このファイルは起動 スクリプトなどで使用します。 ③ argsfile Slapdが起動された引数の情報を保管するファイルを指定します。 ④database LDAPのデータを管理するデータベースを指定します。通常の用途では、 Bdbまたはhdbを使います。Bdbは、Berkeley DBを使って作成されるデータ ベースです。

それぞれの設定について⑤～⑨ ⑤suffix ⑥rootdn ⑦rootpw ⑧directory ⑨index 　　　それぞれの設定について⑤～⑨ ⑤suffix 　　LDAPデータの識別名を設定します。 ⑥rootdn LDAPディレクトリ管理者のDN（ルートDN）を設定します。 ⑦rootpw ルートDNのパスワードを設定します。 ⑧directory データベースを保管するディレクトリを指定します。 ⑨index インデックスを管理すべき属性を指定します。LDAPサーバはデータの保管 の時に、ここで指定した属性に対して検索を高速化するための特別なデータ （インデックス）を作成します。

⑤～⑦の設定を変更しました。 ① include /usr/local/etc/openldap/schema/core.schema ②　pidfile /usr/local/var/run/slapd.pid ③　argsfile /usr/local/var/run/slapd.args ④　database 　bdb ⑤　suffix 　　“dc=designet,dc=jp" ⑥　rootdn 　　"cn=Manager,dc=designet,dc=jp“ ⑦　rootpw 　　　　　{SSHA}RMznXWk4awbjnzkne8u2hvSIHyvOW28v 　 　　 ⑧　directory /usr/local/var/openldap-data ⑨　index 　　　　objectClass eq 　　　　　　　　　　　　　　　　　基本設定は終了

今後の予定 ＬＤＡＰデータの管理 ＬＤＡＰスキーマ 安全性と性能 ＬＤＡＰエントリ検索・表示・追加・削除・修正 　ＬＤＡＰエントリ検索・表示・追加・削除・修正 ＬＤＡＰスキーマ 　オブジェクトクラスの定義・標準スキーマ・独自スキーマ 安全性と性能 　ＬＤＡＰサーバの性能を引き出す方法 　ＬＤＡＰサーバに対するセキュリティ 　データの保全の方法

参考資料 ＬＤＡＰ/ＯｐｅｎＬＤＡＰ ディレクトリサービス導入・運用ガイド Vｉｎｅ Ｌｉｎｕｘサーバ 参考書 参考サイト 参考書　 ＬＤＡＰ/ＯｐｅｎＬＤＡＰ　ディレクトリサービス導入・運用ガイド Vｉｎｅ　Ｌｉｎｕｘサーバ 参考サイト http://www.openldap.org/ http://www.asi.co.jp/techinfo/unix/ldap.html http://www.oracle.com/technology/software/products/berkeley-db/index.html http://www.infoscience.co.jp/technical/openssl/

御静聴ありがとうございました。 　　　　　　　　　　　　　　　終