LDAP back_ldapを利用した場合のキャッシュ利用について

Question

###前提・実現したいこと

LDAPサーバの、"back_ldap"モジュールを使い、ldapクライアントからのクエリを
特定のLDAPサーバへとProxyし、且つ、キャッシュ・ネガティブキャッシュを持たせる
事が出来ないか調査しております。

Pcacheモジュールというのを併用することで、キャッシュが持てそうな所までは
分かったのですが、Pcacheの事について、Web上で情報の確認を行うと、

binding is not cached by pcache

と記載されておりました。

今回、ldapクライアントから、シンプルバインドさせた後に
ユーザ検索するようなケースですので、pcacheでのキャッシュ機能は
利用出来ない？と思いました。

実際に、pcacheを設定した上で、ldapプロキシにldapクエリを送信した所、
キャッシュは行われず、すべて特定の(proxy先)LDAPサーバへと
クエリが行われていました。

SSSDについても調査いたしましたが、
SSSDは特定のアプリケーション認証にLDAP認証を用いた際に
キャッシュを持たせたり出来るものと認識しているので、
今回の実現させたい事とは、マッチしておりません。

###試したこと
課題に対してアプローチしたことを記載してください

###補足情報(言語/FW/ツール等のバージョンなど)

https://lists.fedorahosted.org/archives/list/[e-mail]/thread/VCO6Q7VPYISK2W7WOPSC3CK63YYQQ4TU/

こちらのイメージがとても近いと思います。
FreeIPAの機能を使って実現が出来るのかは、よく分かっておりません。

宜しく御願いいたします。

Answer 1

検証していませんが、この bind は auth bind のことだと思います。
検索した DN と、それに紐付く属性はキャッシュするけれど、LDAP へ接続する際のログインDN／パスワードはキャッシュしないということではないでしょうか。

Comments

[t.ochiai]

アドバイスいただきありがとうございます。
一般的な事をお聞きしたいのですが、Proxy認証などにLDAP認証を利用した場合、
LDAP側でのキャッシュ・ネガティブキャッシュの実装等、知見ございましたら
教えていただけませんでしょうか？