-
サーバ構築のデージーネットTOP
-
OSS情報
-
OSS紹介
-
LDAPサーバでパスワード管理の課題を解決〜OpenLDAP〜
LDAPサーバでパスワード管理の課題を解決〜OpenLDAP〜
パスワード管理の課題
一般的に、さまざまなサービス利用する際、各サーバごとに設定された個別のユーザIDとパスワードの認証が必要となります。最近は、一人の人が使うサービスやツールが増加し、たくさんのユーザIDとパスワードを覚えなければならないといった問題があります。さらに、総当たり攻撃を防ぐために、複雑なパスワードを設定することが求められています。加えて、安全のためにサービスごとに異なるパスワードを都度登録することが好ましいとされています。ユーザは、こうした個別のパスワードを覚え、それぞれにログイン処理を行う必要があるのです。
LDAPサーバとは
LDAPサーバとは、LDAPに対応したディレクトリサービスを提供するサーバのことをいいます。ディレクトリサービスとは、ネットワークの中にあるユーザーIDやパスワードなどの情報を一元管理し、必要な時にクライアントに対し情報の検索・追加・削除・変更などの機能を提供するサービスです。つまりLDAPサーバは、一元管理された情報をLDAPを使ってやり取りするサーバのことを指します。
LDAPサーバでユーザIDやパスワードを一元管理することで、各サーバごとで行っていた認証をLDAPの認証だけで済ませることができます。そのため、ユーザは多くのパスワードを覚えることが不要になり、ログインの度に発生する手間も軽減されます。
またこのように、1度のユーザIDとパスワードの認証により、組織（管理ドメイン）を超えて様々なシステムの認証を行えるようにする技術を、シングルサインオンといいます。LDAPサーバは、シングルサインオンのシステムのパスワード管理のためにも使われています。
LDAPサーバのOpenLDAPとは
OpenLDAPとは、オープンソースのLDAPサーバソフトウェアです。OpenLDAPは、LDAPプロトコルの実装のテストベットとなっていて、事実上のLDAPの標準です。SuSE Linux、debian、Ubuntuなど、様々なディストリビューションにも標準で採用されています。
OpenLDAPはオープンソースソフトウェアのため、無償で入手できるというメリットがあります。そのため、初めてディレクトリサーバを利用する際の実験的な用途としても使用できます。
OpenLDAPには、3つの要素があります。
- LDAPサーバ（slapd）
- LDAPユーティリティ
- LDAPライブラリ
多くのアプリケーションが、OpenLDAPの提供するLDAPライブラリを使い、LDAPサーバと連携できるように作成されています。特に、インターネットサービスプロバイダなどの利用負荷が高い環境において利用できる信頼性があります。
OpenLDAPについて学ぶには
デージーネットでは、15年以上のLDAPの利用経験があります。そうした利用経験を書籍として公開しています。より詳しい情報が必要な場合には、ぜひ書籍をご参照下さい。ここでは、LDAPに関連するデージーネットの書籍についてそれぞれ紹介します。
ネットワークサーバ構築ガイドシリーズ
CentOS 7で作るネットワークサーバ構築ガイド
「RedHat 7.3で作るネットワークサーバ構築ガイド（2002年; 秀和システム）」をスタートに、最新の「CentOS 7で作るネットワークサーバ構築ガイド 1804対応 第2版 (2018年）」まで。
デージーネットでは、長年、ネットワークサーバ構築ガイドシリーズの執筆に携わっています。これらの書籍にはOpenLDAPを取り上げているだけではなく、各種サービスソフトウェアのLDAP連携についても紹介しています。
入門LDAP/OpenLDAPディレクトリサービス導入・運用ガイド
デージーネットでは、他社に先駆けてLDAPの入門書を出版しています。
入門LDAP/OpenLDAP 第1版
2007年に第1版として出版されました。OpenLDAP2.2の入門書として、5年に渡り販売されました。
入門LDAP/OpenLDAP 第2版
2012年に第2版として出版されました。OpenLDAP2.4の入門書として、設定ディレクトリやphpLDAPadminを使ったGUI対応などまで解説の範囲を広げました。2017年まで5年に渡って販売されました。
入門LDAP/OpenLDAP 第3版
2017年11月に第3版として出版されました。OpenLDAP2.4の入門書としてGUIを使った管理の解説が充実しました。また、RADIUSとの連携、LDAPプログラミングの事例、Microsoft Active Directoryなど、さらに内容が充実しています。
デージーネットの取り組み
LDAPサーバの構築
デージーネットでは、インターネットサービスプロバイダ、大学、企業向けのシステム構築でOpenLDAPを使った構築サービスを提供しています。LDAPサーバは、システムの利用にあたって認証のために使うことが多く、停止してしまうと非常に影響の大きなサービスです。そのため、OpenLDAPのレプリケーション機能やHAクラスタなどを使って、無停止で運用できるシステムを構築しています。
「認証サーバ構築サービス」ページへ
LDAP連携システムの構築
デージーネットでは、単純にLDAPサーバを構築するだけではなく、LDAP認証を使ったシステム全体の設計から構築まで、多くの経験を持っています。LDAP認証とは、ネットワーク内の複数のサーバーで登録しているユーザIDやパスワードを、1ユーザのアカウントの情報として一元管理することで、LDAPサーバのみを参照する方法です。特にインターネットサービスプロバイダでは、メールサーバ、WWWサーバ、FTPサーバ、RADIUSサーバなど、一つの認証データベースを様々なサービスと接続し、LDAP認証を使ったシステムを構築しています。（詳しくは「アプリケーションとの連携」ページをご覧ください）
「LDAPのアプリケーション連携」ページへ
LDAP管理ソフトウェアの開発
LDAPを使ったシステムの構築では、管理者がLDAP上のデータをどうように管理するかを考慮する必要があります。デージーネットは、phpLDAPadminなどのオープンソースのGUI管理ツールを推奨しています。
しかし、実際に業務で使うには、もっと直感的的に使えるインタフェースが望まれることが少なくありません。そのため、デージーネットでは、業務に合わせたLDAP管理ソフトウェアの開発も行っています。
そして、そのうちのいくつかをオープンソースソフトウェアとして公開しています。例えば、postLDAPadminは、デージーネットで開発したメールサービス用のLDAP管理ソフトウェアです。postLDAPadminを使うことで、LDAPのディレクトリ名や属性などをまったく意識することなく、ユーザーやメール転送の管理をWebインターフェース上で簡単に行うことができます。
「postLDAPadmin」OSS紹介ページへ
OpenLDAPの構築事例
OpenLDAPのミラーモードでLDAPサーバを二重化しました。認証システムの冗長構成が求められていましたが、冗長化ソフトウェアの導入はコスト面で問題がありました。OpenLDAPの柔軟性を活用し、OpenLDAP標準機能であるミラーモードを使う事で、特別な冗長化ソフトウェアを使わずに、認証システムを冗長化しました。
リモートアクセスの管理などで利用しているLDAPサーバをリプレースしました。これまで利用してきた製品から、OpenLDAPへ移行することでライセンス費用を抑え、代わりにサーバを冗長化することが可能となりました。
LDAPサーバをサービス無停止で提供するため、PacemakerとDRBDを利用したHAクラスタでLDAPクラスタを構築しました。
ケーブルテレビの契約ユーザ向けのLDAPサーバのリプレースを行いました。これまで使用してきた389 Directory ServerからOpenLDAPへリプレースしようとしましたが、設定上、うまくいかないことがあり、新サーバでも389 Directory Serverを採用することになりました。旧389 Directory Serverで利用していたLDAPのデータもすべて移行しました。
関連情報
389 Directory Serverは、LDAPサーバのもう1つの実装です。Red Hat社が出資するFedoraプロジェクトによって開発・管理されています。389 Directory ServerとOpenLDAPは、の2つを比較した際、389 Directory Serverの方がより高速であるという特徴があります。RedHat Enterprise Linux 8/CentOS 8では、OpenLDAPに替わり、389 Directory Serverが採用されています。
LDAPサーバは、企業内では特にユーザ情報の管理や認証の基盤として使用されています。しかし、OSSのLDAPサーバのソフトウェアには、LDAPのデータを管理するためのGUIが付属しておらず、標準ではコマンドラインの操作が必要です。ここでは、LDAPサーバのデータを管理するためのOSSを紹介します。
デモのお申込み
もっと使い方が知りたい方へ
OpenLDAPの操作方法や操作性をデモにてご確認いただけます。使い方のイメージを把握したい、使えるか判断したい場合にご活用下さい。OpenLDAPのデモをご希望の方は、下記よりお申込みいただけます。
「OpenLDAP」OSS情報
- slapdの冗長化と拡張機能
- slapdは、様々な用途で利用できるLDAPサーバです。ここでは、slapdのシステム構成や拡張APIについて紹介します。
- LDAPサーバの連携
- LDAPは、様々なアプリケーションと連携することができます。ここでは、デージーネットが連携した実績のあるアプリケーションを紹介します。
- OpenLDAPサーバ インストール・構築方法
- RedHat Enterprise Linux、CentOS、Debian、UbuntuなどのLinuxディストリビューションでは、OpenLDAPはパッケージとして提供されています。ここでは、ソースコードからのインストール方法について解説します。
