☰

ppolicy を使用した Openldap

tag-icon • tag-icon linux authentication ldap openldap
ppolicy を使用した Openldap

shadowAccount 属性を使用している OpenLDAP バージョン 2.4 が動作しています。ppolicy オーバーレイを有効にしたいと考えています。

私は、OpenLDAP と ppolicy の使い方slapd.conf に変更を加え、パスワード ポリシーをインポートしました。

再起動すると OpenLDAP は正常に動作し、ldapsearch を実行するとパスワード ポリシーが表示されます。ユーザー オブジェクトは以下のようになります。

# extended LDIF
#
# LDAPv3
# base <dc=xxxxx,dc=in> with scope subtree
# filter: uid=testuser
# requesting: ALL
#

# testuser, People, xxxxxx.in
dn: uid=testuser,ou=People,dc=xxxxx,dc=in
uid: testuser
cn: testuser
objectClass: account
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
shadowMax: 90
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 569
gidNumber: 1005
homeDirectory: /data/testuser
userPassword:: xxxxxxxxxxxxx
shadowLastChange: 15079

パスワードポリシーは以下の通りです。

# default, policies, xxxxxx.in
dn: cn=default,ou=policies,dc=xxxxxx,dc=in
objectClass: top
objectClass: device
objectClass: pwdPolicy
cn: default
pwdAttribute: userPassword
pwdMaxAge: 7776002
pwdExpireWarning: 432000
pwdInHistory: 0
pwdCheckQuality: 1
pwdMinLength: 8
pwdMaxFailure: 5
pwdLockout: TRUE
pwdLockoutDuration: 900
pwdGraceAuthNLimit: 0
pwdFailureCountInterval: 0
pwdMustChange: TRUE
pwdAllowUserChange: TRUE
pwdSafeModify: FALSE

この後何をすればいいのか分からない。シャドウアカウント属性はパスワード ポリシーに置き換えられます。

答え1

shadowAccount属性はパスワード ポリシーとは関係ありません。パスワード ポリシー (それ自体はドラフト RFC に基づいており、明日変更されるか完全に廃止される可能性があります) はサーバーによって管理されます。シャドウ スタッフは LDAP クライアントによって管理されます。たとえば、パスワード ポリシーにより、サーバーはサーバー側でパスワードの履歴と品質を強制できますが、クライアントはそれらを処理する必要がありますshadowAccount。

関連情報