☰

ldapsearchは結果を返しますが、getentは返しません

tag-icon • tag-icon centos openldap ldap
ldapsearchは結果を返しますが、getentは返しません

新しい CentOS 7 サーバーをセットアップしており、LDAP 認証をセットアップする必要があります。つまり、他の GNU/Linux サーバーに使用しているユーザーを認証するサーバーが既に存在します。

たとえば、Windows では を使用して DC のホスト名と IP を照会できますnltest /dclist:X.Y。これにより、正しいことを確認できる DC サーバーのリストが返されます。

ldapsearchCentOS 7 サーバーを使用してこれらの DC サーバーへの接続をテストすると、正常に動作します。

ldapsearch -H ldap://<DCSERVER> -D <user>@X.Y -w

出力は DN 情報を含む長い情報リストです。

ただし、を使用するとgetent passwd出力はなく、/var/log/messages にエラーが表示されます。

Nov 24 16:09:37 XXXXXXXX nslcd[22440]: [16e9e8] <passwd(all)> ldap_result() failed: Operations error: 000004DC: LdapErr: DSID-0C09072B, comment: In order to perform this operation a successful bind must be completed on the connection., data 0, v2580

getent password他の CentOS 6 サーバーでは正常に動作しますが、それらのサーバーでは BeyondTrust を使用しており、これを移行したいと考えています。また、インストール時の管理者ではありませんでした。

関連する設定ファイル:

/etc/openldap/ldap.conf含まれるもの:

#
# LDAP Defaults
#

# See ldap.conf(5) for details
# This file should be world readable but not world writable.

#BASE   dc=example,dc=com
#URI    ldap://ldap.example.com ldap://ldap-master.example.com:666

#SIZELIMIT      12
#TIMELIMIT      15
#DEREF          never

TLS_CACERTDIR /etc/pki/tls/certs

# Turning this off breaks GSSAPI used with krb5 when rdns = false
SASL_NOCANON    on
URI ldap://<DCSERVER>
BASE DC=X,DC=Y

/etc/nsswitch.conf内容:

#
# /etc/nsswitch.conf
#
# An example Name Service Switch config file. This file should be
# sorted with the most-used services at the beginning.
#
# The entry '[NOTFOUND=return]' means that the search for an
# entry should stop if the search in the previous entry turned
# up nothing. Note that if the search failed due to some other reason
# (like no NIS server responding) then the search continues with the
# next entry.
#
# Valid entries include:
#
#       nisplus                 Use NIS+ (NIS version 3)
#       nis                     Use NIS (NIS version 2), also called YP
#       dns                     Use DNS (Domain Name Service)
#       files                   Use the local files
#       db                      Use the local database (.db) files
#       compat                  Use NIS on compat mode
#       hesiod                  Use Hesiod for user lookups
#       [NOTFOUND=return]       Stop searching if not found so far
#

# To use db, put the "db" in front of "files" for entries you want to be
# looked up first in the databases
#
# Example:
#passwd:    db files nisplus nis
#shadow:    db files nisplus nis
#group:     db files nisplus nis

passwd:     files ldap
shadow:     files ldap
group:      files ldap
#initgroups: files

#hosts:     db files nisplus nis dns
hosts:      files dns

# Example - obey only what nisplus tells us...
#services:   nisplus [NOTFOUND=return] files
#networks:   nisplus [NOTFOUND=return] files
#protocols:  nisplus [NOTFOUND=return] files
#rpc:        nisplus [NOTFOUND=return] files
#ethers:     nisplus [NOTFOUND=return] files
#netmasks:   nisplus [NOTFOUND=return] files

bootparams: nisplus [NOTFOUND=return] files

ethers:     files
netmasks:   files
networks:   files
protocols:  files
rpc:        files
services:   files sss

netgroup:   files sss

publickey:  nisplus

automount:  files sss
aliases:    files nisplus

/etc/nslcd.conf含まれるもの:

# This is the configuration file for the LDAP nameservice
# switch library's nslcd daemon. It configures the mapping
# between NSS names (see /etc/nsswitch.conf) and LDAP
# information in the directory.
# See the manual page nslcd.conf(5) for more information.

# The user and group nslcd should run as.
uid nslcd
gid ldap

# The uri pointing to the LDAP server to use for name lookups.
# Multiple entries may be specified. The address that is used
# here should be resolvable without using LDAP (obviously).
#uri ldap://127.0.0.1/
#uri ldaps://127.0.0.1/
#uri ldapi://%2fvar%2frun%2fldapi_sock/
# Note: %2f encodes the '/' used as directory separator
uri ldap://<DCSERVER>

# The LDAP version to use (defaults to 3
# if supported by client library)
#ldap_version 3

# The distinguished name of the search base.
base DC=X,DC=Y

# The distinguished name to bind to the server with.
# Optional: default is to bind anonymously.
#binddn cn=proxyuser,dc=example,dc=com

ご協力をよろしくお願いいたします。

答え1

不一致があります: sssd ログを確認すると、sssd デーモンを使用しています。ただし、ファイルで設定する必要があります:

/etc/sssd/sssd.conf

/etc/nslcd.conf にはありません (pam-ldapd デーモンには適しています)。

さらに：

  1. sssd.conf と nslcd.conf の構文は大きく異なります。
  2. /etc/nsswitch.conf では、sssd デーモンは 'sss' キー ('ldap' ではない) で参照されます。

答え2

これを完全に解決することはできませんでした。

しかし、検査の結果/var/log/sssd/sssd_DOMAIN.log、SSS は動作しているものの、DN が不適切に指定されていることに問題がある可能性があることが判明しました。

(Tue Nov 25 16:21:16 2014) [sssd[be[LDI.LAN]]] [sdap_process_result] (0x2000): Trace: ldap_result found nothing!
(Tue Nov 25 16:21:16 2014) [sssd[be[LDI.LAN]]] [sdap_process_result] (0x2000): Trace: sh[0x7fc9553ddde0], connected[1], ops[0x7fc9553ed2c0], ldap[0x7fc9553d0cb0]
(Tue Nov 25 16:21:16 2014) [sssd[be[LDI.LAN]]] [sdap_process_message] (0x4000): Message type: [LDAP_RES_SEARCH_RESULT]
(Tue Nov 25 16:21:16 2014) [sssd[be[LDI.LAN]]] [sdap_get_generic_ext_done] (0x0400): Search result: Operations error(1), 000004DC: LdapErr: DSID-0C090724, comment: In order to perform this operation a successful bind must be completed on the connection., data 0, v23f0

最終的に、Beyond Trust のオープンソース PBIS を使用することにしました。数分で動作しました。

http://www.beyondtrust.com/Resources/OpenSourceDocumentation/

関連情報