LDAPサーバの構築【Samba4内蔵LDAPデータベース】

###前提・実現したいこと
Samba4ADDCを構成し、さらに内蔵のLDAPデータベース(LDB)を利用しようと考えています。LDBのデータベース(DIT)を設計するにあたって、デフォルトの「Userエントリー」にユーザアカウントのパスワードを含む詳細な情報を登録しようと考えています。また、その上で登録した情報を他のノードから伸びるエントリー(別エントリー)にぶら下げることができないかと考えています。こうすることで、パスワードなどユーザ情報に変更があった場合、「Userエントリー」のみ修正することで、関係するエントリー情報を一括で修正しようと考えています。イメージとしてはRDBの「マッピング」に近いと思います。
また、この運用方法は複数の業務を兼務するユーザのホームディレクトリの参照先問題を解決するために考えました。

「Sambaのすべて」「LDAP/OpenLDAPによるユーザ管理」などの専門書や「OSSTech」さんのPDFなどを色々と参考にし、「別名エントリ」を利用すれば上記の仕様を満たせるのではないかと考えたのですが、情報が多くありません。

具体的な質問内容は
LDAPの「別名エントリ」の設定を教えてください
になるのですが、上記の運用方法が正しいかも自身がありません。

LDAPの効率的な運用方法と合わせて、「別名エントリ」および上記の仕様を満たす方法をご教授して頂きたいと思います。

どうぞよろしくお願いします。

行動規範の内容に同意します

回答2件

ベストアンサー

質問の内容を理解できていないので、わかる範囲で回答します。

samba4にパッケージされているLDAPについては触ったことがないので、通常のLDAPにおけるエイリアスの作成方法になりますが、オブジェクトを作成するという点では大した差異はないと思います。

以下のようなオブジェクトを作成すればよいのではないでしょうか

dn: "エイリアスオブジェクト名"
objectclass: alias
objectclass: extensibleobject
ou (or uid,cn など適宜設定): "エイリアスオブジェクトの識別名"
aliasedobjectname: "参照先のオブジェクト名"

質問の内容は以下と認識していますが合っていますか?

Usersオブジェクト以下にADアカウントの情報が格納されている。
別業務でもこのLDAPを参照したく、別名のオブジェクト識別名で参照したい。

投稿2016/04/28 00:39

over

総合スコア4309

KAPPA

2016/04/28 04:05

コメント、またご回答ありがとうございます。「objectclass: alias 」なんてものがあるのですね！知りませんでした。実際、運用に適しているかどうかは分からないのですが、これを糸口に再度自分で調査していきたいと思います。ありがとうございました。また、質問の意図は以下のようになります。 jp--co--example-----「Userエントリ」 #--- + | +---group1---user ←--| #エイリアス +　　　　　　　　　　　　　| +---group2---user　　　←--| #エイリアス >Usersオブジェクト以下にADアカウントの情報が格納されている。はい、その通りの考えです。 >別業務でもこのLDAPを参照したく、別名のオブジェクト識別名で参照したい。正確には、一つのLDAPデータベース中に複数の業務DIT(大元のDN:example.co.jpは同じ)が形成されているが、各業務に携わるユーザアカウント情報を「Usersオブジェクト」以下のエントリから参照したい。ということです。また、SambaのLDAPも一般のLDAPもほとんど変わりません。分かりづらい説明になってしまい申し訳ありません。「objectclass: alias」を教えて頂いただけでも大変助かりましたが、また何か補足でご教授して頂けるようなご見識がありましたらどうぞよろしくお願いします。

over

2016/04/28 06:24

すいません。私の理解が追いついていません。 > Userエントリー」のみ修正することで、関係するエントリー情報を一括で修正しようと考えています。上記とありますが、このような手法で修正を望んでいるため、別名エントリとしたいとかご教示頂けると理解が追いつくかもしれません。ご提示頂いたコメントからはエイリアスにする必要性が感じられなく、また当該データの修正にはWindowsサーバツールを用いることが出来ないのでは?と感じています。

KAPPA

2016/05/13 05:57

返信が遅くなってしまい、大変申し訳ありません。 sambaおよびLDAPの構成で分からないことが多く、手探りで進めている状況です。 >エイリアスにする必要性が感じられなくご指摘の通りかもしれません。というのは、当方も何が最適なのか分からないため明確に判断することができません。ただ、イメージとしてはユーザのアカウント情報(名前やID、所属)が変更になった場合、大元である「Userエントリ」のみを修正すれば、他のエントリで共有されている同ユーザのアカウント情報を修正しないで済むようになるのではと考えた結果です。ひとまず、色々とご指摘してくださいましたover様をベストアンサーにしたいと思います。ありがとうございました。

行動規範の内容に同意します