OpenLDAP を Active Directory プロキシとして構成する

Question 1

slapd.conf ファイルにマッピングを追加する必要があります。

moduleload rwm
...
overlay rwm
rwm-map attribute uid sAMAccountName
rwm-map objectClass posixGroup group 
rwm-map objectClass posixAccount person
rwm-map objectClass memberUid member

次に、ユーザID属性の代わりにsAMAccountName.htaccess ファイルの属性:

AuthLDAPURL "ldap://breauthsrv01.xxx.de:389/OU=xxx,DC=int,DC=xxx,DC=de?uid?sub"

Answer

slapd.conf ファイルにマッピングを追加する必要があります。

moduleload rwm
...
overlay rwm
rwm-map attribute uid sAMAccountName
rwm-map objectClass posixGroup group 
rwm-map objectClass posixAccount person
rwm-map objectClass memberUid member

次に、ユーザID属性の代わりにsAMAccountName.htaccess ファイルの属性:

AuthLDAPURL "ldap://breauthsrv01.xxx.de:389/OU=xxx,DC=int,DC=xxx,DC=de?uid?sub"

Question 2

次のエラーメッセージが表示されます:

get_ava: attributeType sAMAccountName の値が不正です

sAMAccountNameこれは、属性の定義に一致ルールがないために発生しますmicrosoft.minimal.schema。簡単に言うと、OpenLDAP のスキーマ定義では、どのような種類の検索が許可されるか (存在、完全一致、部分文字列一致など) を指定できますが、この定義にはそのような検索がありません。

これを試して：

 attributetype ( 1.2.840.113556.1.4.221
   NAME 'sAMAccountName'
   EQUALITY caseIgnoreMatch
   SYNTAX '1.3.6.1.4.1.1466.115.121.1.15'
   SINGLE-VALUE )

Answer

次のエラーメッセージが表示されます:

get_ava: attributeType sAMAccountName の値が不正です

sAMAccountNameこれは、属性の定義に一致ルールがないために発生しますmicrosoft.minimal.schema。簡単に言うと、OpenLDAP のスキーマ定義では、どのような種類の検索が許可されるか (存在、完全一致、部分文字列一致など) を指定できますが、この定義にはそのような検索がありません。

これを試して：

 attributetype ( 1.2.840.113556.1.4.221
   NAME 'sAMAccountName'
   EQUALITY caseIgnoreMatch
   SYNTAX '1.3.6.1.4.1.1466.115.121.1.15'
   SINGLE-VALUE )

Question 3

ジョナサンの答えは私を正しい方向に導き、次の問題を乗り越えさせてくれました。

additional info: sAMAccountName: attribute type undefined

問題です。しかし、この属性を個人のエントリの有効な値として定義する必要があり、各個人にその属性を持つことが許可されている objectClass を与える必要があることに気付きました。すべての属性と同様に、inetOrgPerson に与えることができます。

私の microsoft.minimal.schema ファイルは次のようになります。

attributetype ( 1.2.840.113556.1.4.221
          NAME 'sAMAccountName'
          SYNTAX '1.3.6.1.4.1.1466.115.121.1.15'
          SINGLE-VALUE )

attributetype ( 1.2.840.113556.1.4.146
          NAME 'objectSid'
          SYNTAX '1.3.6.1.4.1.1466.115.121.1.40'
          SINGLE-VALUE )

objectclass ( 1.2.840.113556.1.5.6
        NAME 'securityPrincipal'
        SUP top
        AUXILIARY
        MUST (objectSid $ sAMAccountName )
        MAY () )

 #            MAY (nTSecurityDescriptor $ securityIdentifier $ supplementalCredentials $
 #                rid $ sAMAccountType $ sIDHistory $ altSecurityIdentities $ tokenGroups $
 #                    tokenGroupsNoGCAcceptable $ accountNameHistory  $
 #                                              tokenGroupsGlobalAndUniversal))

MS オプション属性を何も定義せずに置き換えているので、定義する必要はありません。

ユーザーエントリの例は次のようになります。

dn: uid=user2,ou=example,dc=aa,dc=ad,dc=example,dc=gov                                                                          
uid: user2                                                                                                              
sAMAccountName: user2                                                                                                   
objectSid: user2                                                                                                        
cn: User Two                                                                                                            
displayName: User Two                                                                                                   
givenName: User2                                                                                                        
sn: One                                                                                                                 
objectClass: inetOrgPerson                                                                                              
objectClass: securityPrincipal                                                                                          
mail: [email protected]                                                                                                 
 # password from slappasswd is 'user2'                                                                                   
userPassword: {SSHA}sjB5fmIIPTrUUammtmonP+6DdC93+P4L

Answer