OpenLDAPのクライアント設定をしたので、そのときのメモ。
一番簡単なのは、authconfigというコマンドでLDAPを使う方法です。このときに、LDAPサーバのIPアドレスやLDAPでのドメイン名を聞かれるので、あらかじめ調べておく必要があります。このコマンドを使うことにより、次の4つのファイルが更新されます。
* /etc/nsswitch.conf
* /etc/ldap.conf
* /etc/openldap/ldap.conf
* /etc/pam.d/system-auth
せっかくなので、各ファイルのどこが更新されるかわかるように、手作業での設定方法も簡単に説明しておきます。
/etc/nsswitch.confでは、アカウント情報やパスワード情報をどこからとるかという設定をするので、次の項目でldapを追加しておかなければなりません。
passwd: files ldap
shadow: files ldap
group: files ldap
/etc/ldap.conf
設定ファイルである/etc/ldap.confを編集して、ユーザーの組織と検索ベースを反映させます。
host 127.0.0.1
base dc=sssg,dc=org
一応、TLSを使っていなかったり、MD5を使っていたりする場合は、次のような設定も追加しておいた方がいいかもしれません。
ssl no
pam_password md5
/etc/openldap/ldap.confにも同じ設定をしないとOpenLDAP系のツールがうまく動作しません。
host 127.0.0.1
base dc=sssg,dc=org
最後はPAM用設定ファイル/etc/pam.d/system-authです。次のような感じになります。
auth required /lib/security/$ISA/pam_env.so
auth sufficient /lib/security/$ISA/pam_unix.so likeauth nullok
auth sufficient /lib/security/$ISA/pam_ldap.so use_first_pass
auth required /lib/security/$ISA/pam_deny.so
account required /lib/security/$ISA/pam_unix.so broken_shadow
account sufficient /lib/security/$ISA/pam_succeed_if.so uid < 100 quiet
account [default=bad success=ok user_unknown=ignore] /lib/security/$ISA/pam_ldap.so
account required /lib/security/$ISA/pam_permit.so
password requisite /lib/security/$ISA/pam_cracklib.so retry=3
password sufficient /lib/security/$ISA/pam_unix.so nullok use_authtok md5 shadow
password sufficient /lib/security/$ISA/pam_ldap.so use_authtok
password required /lib/security/$ISA/pam_deny.so
session required /lib/security/$ISA/pam_limits.so
session required /lib/security/$ISA/pam_unix.so
session optional /lib/security/$ISA/pam_ldap.so
auth sufficient /lib/security/pam_ldap.so use_first_pass
設定が終わったら、nscd（Name Service Cache Daemon）を起動しておくと、アクセスが高速になります。ただし、検索結果のキャッシュを有効にしているだけなので、これを起動させなくてもLDAPの動作に支障はありません。
# cd start
# chkconfig nscd on