openLDAPにおけるクライアントの最終ログイン時間

Question

現在社内システムにてcentos6を基本としたサーバをいくつか運用しています。

各社員のサーバへのSSHのアクセスをLDAPにて運用するため、
現在Openldapの設定を行っております。

クライアントがLDAP認証を行った時の、
Last login時間を管理者が把握できるようにしたいと考えています。

【過去90日間非アクティブなアカウントは無効化するか、削除するよう】
という仕様があるためです。

しなしながらldapログを毎日確認し、全クライアントのチェックをするのは
大変なので、各クライアント毎のLast login timeのみを自動で得られるようにしたいのです。

上記のような情報はldapコマンドで得ることができる or 設定等はありますでしょうか。

LDAPサーバの概要は以下になります。
CentOS 6.9
openldap-2.4.40-16.el6.x86_64
openldap-clients-2.4.40-16.el6.x86_64
openldap-servers-2.4.40-16.el6.x86_64
ppolicyをoverlayしています。

Answer 1

LDAPサーバーの syslog から "BIND dn=" を抽出するか、overlay accesslog で LDAP内部データベースに記録して、ldapsearch で検索する方法が考えられます。

(参考)
https://www.openldap.org/doc/admin24/overlays.html#Access%20Logging
http://www.atmarkit.co.jp/ait/articles/1001/20/news107_3.html