☰

OpenLDAP で SSL または STARTTLS の使用を (適切に) 強制するにはどうすればよいですか?

tag-icon • tag-icon ssl openldap starttls
OpenLDAP で SSL または STARTTLS の使用を (適切に) 強制するにはどうすればよいですか?

私は OpenLDAP (Apple Open Directory のバリアントですが、それは問題ではありません) を SSL (ポート 636 の ldaps) と STARTTLS (ポート 389) の両方で動作するように構成することに成功しました。

ただし、クライアントが暗号化なしで接続することは依然として可能であり、私はそれを無効にしようとしています。確かに、私は OpenLDAP について非常に限られた知識しかありません。

これに基づいてこの答えそしてこのチュートリアル、試してみました

dn: olcDatabase={1}bdb,cn=config
changetype: modify
add: olcSecurity
olcSecurity: tls=1

これをLDAPに適用した後、STARTTLSなしでの接続の試みは確かに拒否されました。しかし、認証できなくなり、

LDAP: error code 50 - Insufficient Access Rights

匿名アクセスは機能しますが、ユーザーの認証をテストすると、上記と同じエラーが発生します。

変更を元に戻すと（olcSecurity エントリを削除すると）、すべてが正常に戻ります。

私の変更がアクセス許可に影響を与えたようですが、これがどのように関連しているか、何が間違っているのかわかりません。

関連情報