第8章 LDAP 認証チュートリアル

Red Hat Enterprise Linux および Fedora プラットフォームでは、標準の dnf パッケージ管理ユーティリティーを使用して 389 Directory Server をインストールします。コマンドプロンプトに以下のコマンドを入力します (マシンの管理者権限が必要です)。

sudo dnf install 389-ds

389 ディレクトリーサーバーパッケージをインストールした後、以下のコマンドを実行してディレクトリーサーバーを設定します。

sudo setup-ds-admin.pl

このスクリプトは対話型で、389 Directory Server の基本設定を指定するように求められます。スクリプトが完了すると、バックグラウンドで 389 Directory Server が自動的に起動します。

以下のコマンドを入力して、389 Management Console を起動します。

389-console

ログインダイアログが表示されます。User ID および Password フィールドに LDAP ログインクレデンシャルを入力し、Administration URL フィールドのホスト名をカスタマイズして 389 管理サーバーインスタンスに接続します (ポート 9830 は 389 管理サーバーインスタンスのデフォルトポートです)。

左側のペインで、Directory Server アイコンを見つけます。

ルートノード YourDomain (通常はホスト名にちなんで命名され、次のスクリーンショットの localdomain のように表示) を展開して、DIT を表示します。

Directory Server Console で、Directory タブをクリックし、YourDomain ノード下で People ノードを見つけます (以下のスクリーンショットでは YourDomain は localdomain として表示されてます)。

以下のように User タブのフィールドを入力します。

Step 3 から Step 6 に従って、ユーザー Jane Doe を追加します。

Step 5.e で、新規ユーザーの User ID に janedoe を使用し、パスワードフィールドにはパスワード secret を使用します。

Step 3 から Step 6 に従って、ユーザー Camel Rider を追加します。

Step 5.e で、新規ユーザーの User ID に crider を使用し、パスワードフィールドにはパスワード secret を使用します。

以下のように General タブのフィールドを入力します。

Create New Group ダイアログの左側のペインで Members タブを選択します。

Search フィールドで、ドロップダウンメニューから Users を選択し、Search ボタンをクリックします。

Step 2 から Step 10 に従って、manager ロールを追加します。

Step 4 で Group Name フィールドに manager を入力します。

Step 8 で、Jane Doe を選択します。

Step 2 から Step 10 に従って、viewer ロールを追加します。

Step 4 で Group Name フィールドに viewer を入力します。

Step 8 で、Camel Rider を選択します。

Step 2 から Step 10 に従って、ssh ロールを追加します。

Step 4 で Group Name フィールドに ssh を入力します。

Step 8 で、John Doe、Jane Doe、および Camel Rider のすべてのユーザーを選択します。

ターミナルウインドウに以下のコマンドを入力して、Karaf コンテナーを起動します。

./bin/fuse

例8.1「スタンドアロンの JAAS レルム」 を ldap-module.xml にコピーします。

<?xml version="2.0" encoding="UTF-8"?>
<blueprint xmlns="http://www.osgi.org/xmlns/blueprint/v1.0.0"
  xmlns:jaas="http://karaf.apache.org/xmlns/jaas/v1.0.0"
  xmlns:ext="http://aries.apache.org/blueprint/xmlns/blueprint-ext/v1.0.0">

  <jaas:config name="karaf" rank="200">
    <jaas:module className="org.apache.karaf.jaas.modules.ldap.LDAPLoginModule"
                 flags="required">
      initialContextFactory=com.sun.jndi.ldap.LdapCtxFactory
      connection.url=ldap://localhost:389
      connection.username=cn=Directory Manager
      connection.password=DIRECTORY_MANAGER_PASSWORD
      connection.protocol=
      user.base.dn=ou=People,dc=localdomain
      user.filter=(&amp;(objectClass=inetOrgPerson)(uid=%u))
      user.search.subtree=true
      role.base.dn=ou=Groups,dc=localdomain
      role.name.attribute=cn
      role.filter=(uniquemember=%fqdn)
      role.search.subtree=true
      authentication=simple
    </jaas:module>
  </jaas:config>
</blueprint>

ldap-module.xml ファイルで以下の設定をカスタマイズする必要があります。

新しい LDAP モジュールをデプロイするには、ldap-module.xml を Karaf コンテナーの deploy/ ディレクトリー (ホットデプロイ) にコピーします。

LDAP モジュールは自動的にアクティベートされます。

以下のコマンドを入力し、ID jdoe を使用して実行中のコンテナーインスタンスにログインします。

./client -u jdoe -p secret

コンテナーのリモートコンソールに正常にログインする必要があります。コマンドコンソールで、jaas: と入力した後に [Tab] キーを押します (コンテンツ補完を使用)。

jdoe@root()> jaas:
Display all 31 possibilities? (31 lines)?
jaas:cancel
jaas:group-add
...
jaas:whoami

jdoe がすべての jaas コマンド (admin と一致) にアクセスできることが確認できるはずです。

以下のコマンドを入力し、ID janedoe を使用して実行中のコンテナーインスタンスにログインします。

./client -u janedoe -p secret

コンテナーのリモートコンソールに正常にログインする必要があります。コマンドコンソールで、jaas: と入力した後に [Tab] キーを押します (コンテンツ補完を使用)。

janedoe@root()> jaas:
Display all 25 possibilities? (25 lines)?
jaas:cancel
jaas:group-add
...
jaas:users

janedoe がほぼすべての jaas コマンド (manager と一致) にアクセスできることが確認できるはずです。

以下のコマンドを入力し、ID crider を使用して実行中のコンテナーインスタンスにログインします。

./client -u crider -p secret

コンテナーのリモートコンソールに正常にログインする必要があります。コマンドコンソールで、jaas: と入力した後に [Tab] キーを押します (コンテンツ補完を使用)。

crider@root()> jaas:
jaas:manage
jaas:realm-list
jaas:realm-manage
jaas:realms
jaas:user-list
jaas:users

crider は 5 つの jaas コマンド (viewer と一致) のみにアクセスできることが確認できるはずです。

Karaf コンソールから以下のコマンドを入力し、ログレベルを DEBUG に引き上げます。

log:set DEBUG

Karaf ログインをリアルタイムで確認します。

log:tail

ログリストからエスケープするには、Ctrl-C を入力します。