sssd+LDAP環境でSSH接続に失敗する

###前提・実現したいこと
・環境
OS：CentOS6
sshd：sssd 1.13.3

sssdを利用して、Linuxの認証情報としてLDAPに登録されているユーザー情報を参照できるようにしたいです。
また、その環境にSSHを用いて遠隔から接続できるようにしたいです。
※ LDAPサーバーはlocalhostではなく、別サーバーとして稼働しています。

###発生している問題・エラーメッセージ
SSHで接続した歳に、下記のエラーメッセージが
/var/log/sssd/sssd_[hogehoge].log
に出力され、うまく接続ができません。

[sdap_sys_connect_done] (0x0100): Executing START TLS
[sssd[be[localhost]]] [sdap_connect_done] (0x0080): START TLS result: Protocol error(2), unsupported extended operation
[sssd[be[localhost]]] [sdap_connect_done] (0x0080): ldap_install_tls failed: [Connect error] [

該当のエラーメッセージが発生する原因および解決法がわかる方が
おられれば、ご教授頂きたいです。

###試したこと
id [ユーザー名]やgetent passwd [ユーザー名]
を実行して、LDAPに登録されているユーザーの情報が取得できることは確認できています。

また、ローカルユーザーでサーバーにログイン後、
su - [ユーザー名]
でLDAPに登録されているユーザーになれることも確認できています。
唯一、SSH接続時のみ、上記のようなエラーが原因なのか、うまく接続できないようです。

また、LDAPサーバーに対して、
sssdクライアントから、ldapsearchコマンドの実行などが可能なことも確認できています。
※ ldaoへのバインドは可能。

###補足情報
エラーメッセージから察するに、LDAPへ接続する歳にTLS接続をしようとして
失敗しているように思います。
例えば、（セキュリティ上どうかは置いておいて）TLS接続を無効にするような
設定などができれば、解消するのかな、とは思うのですが・・・

###補足情報２
■ /etc/sssd/sssd.conf
sssd.confの内容です。

[sssd]
config_file_version = 2
services = nss, pam, ssh
domains = localhost
[domain/localhost]
debug_level = 6

id_provider = ldap
auth_provider = ldap

ldap_uri = ldap://ldap1.example.com/
ldap_search_base = dc=example,dc=com
entry_cache_timeout = 600
ldap_network_timeout = 2
ldap_id_use_start_tls = False

TaichiYanagiya

2017/03/29 16:05

/etc/sssd/sssd.conf の設定内容を教えてください。

行動規範の内容に同意します

回答2件

ベストアンサー

/etc/sssd/sssd.conf の情報、ありがとうございます。
設定は問題ないと思うのですが、man sssd-ldap によると、認証のときは StartTLS または LDAPS が必須とのことです。
ldapsearch コマンドなどで "-Z" オプション付き(StartTLS)で LDAPサーバーに接続できますでしょうか。

If you want to authenticate against an LDAP server either TLS/SSL or LDAPS is required.
sssd does not support authentication over an unencrypted channel.

ただ、su - のときの認証は成功しているのですよね？
その際、START TLS 成功のログが出ていますでしょうか。

[sssd[be[localhost]]] [sdap_connect_done] (0x0080): START TLS result: Success(0), (null)

su と sshd の認証方式の違いを調べると何かわかるかもしれません。
PAM(pam_sss)を使っているのかどうか、など。

投稿2017/03/30 03:10

TaichiYanagiya

総合スコア12173

Reiku

2017/04/07 07:46

回答ありがとうございます。 TLS接続が必須ということがわかりましたので、 TLS接続をする方針で、サーバー/クライアントをそれぞれ設定したところ、うまくいきました。少し詰まったのは、OpenLDAPの証明書設定ですね・・・ OpenSSLで証明書を作って設定していたのですが、どうもうまくいかず（ネットで調べると大体この方法が上がってくるので。。）よくよく見てみると、OpenLDAPはバージョンによって、OpenSSLをサポートしていない（？）みたいなことが書いてありました。（参考：https://access.redhat.com/documentation/ja-JP/Red_Hat_Enterprise_Linux/6/html/Deployment_Guide/ch-Directory_Servers.html）何かしら方法があるのかもですが、諦めてmoznssで証明書の諸々の設定をしたところうまくいきました。。いろいろとありがとうございました。

行動規範の内容に同意します