OpenLDAPでTLS■OpenLDAPのTLS対応LDAPサーバとLDAPクライアントが同居の場合には特に問題にならないのですが大体のケースにおいてLDAPのサーバとクライアントは別々なことが多いです。LDAPクライアントは特定のものに限らずいろいろなサーバがLDAPを参照することが多いためです。いった場合に、OpenSSLで証明書を作成しOpenLDAPのSSL通信(TLS)に対応させることが望ましいです。実務においてもHTTPSのように外部の機関に署名してもらって証明書を発行してもらうというのはOpenLDAPの場合、いまだ見たことがありません。不特定多数からアクセスしてくるわけではなく、決まったクライアントからしかアクセスはないのでオレオレ証明書で十分と判断するところが多いのだと思います。■自己認証局の構築OpenLDAPサーバ上でCA証明書を作成します。OpenSSLのパッケージを利用しCAスクリプトを利用してCA認証局およびCA証明書を作成するところから始めます。最初にopenssl.cnfファイルを編集しサーバ証明書の有効期限に関する設定を行っておきます。forデフォルトは証明書有効期間は1年間ですが10年間に修正しておきます。つづいて以下のコマンドであらかじめCA証明書の有効期間も変更しておきます。years両者の有効期限を明確にするためにあえて違った値にしています。2000と3650は日数であり、数字に特に深い意味はなく適当に設定してます。次のコマンドを実行してCA証明書の作成に対話式に進めていきます。Updatedこれで作成されるファイルは以下の2つです。(CA証明書)これにより自己認証局が構築できました。続いてサーバ証明書の作成に移ります。秘密鍵を作成するための乱数ファイルを作成します。下記では/var/log/messagesを指定していますが、/etc/*としてもOKですし何でもOKだと思います。d37fced7395f3ea53ce18514a8d90f39乱数ファイルができましたのでこれを用いて秘密鍵を作成します。Request)を作成します。[]:[何も入力しない]ここで作成したCSRに自己認証局で署名し証明書を作成します。Updatedこれで/etc/pki/CA/certs/mycert.pemにサーバ証明書が作成されました。サーバのプライベートkeyについて起動する度にパスフレーズを聞かれるのは面倒なので以下のコマンドで外しておきます。./privte/test.key■OpenLDAPサーバの設定Slapdの設定を修正しTLS対応にします。これを適用するため以下のLDIFファイルを用意します。/etc/pki/tls/private/test.key上記LDIFファイルを以下のコマンドでLDAPに適用します。&quot;cn=config&quot;slapdの起動オプションを変更してTLS対応で起動するよう以下のファイルを編集します。/etc/sysconfig/ldapSLAPD_LDAPS=yesそしてslapdを再起動してldapsで起動しているか確認します。-4■OpenLDAPクライアントの設定クライアントの設定は/etc/openldap/ldap.confにて行います。以下のように編集します。/etc/pki/CAなお、サーバとクライアントが別筐体の場合は上記のcacert.pemファイルをクライアント側にコピーしておく必要があります。実際にldapsearchコマンドでldapsを指定し検索することができるか試してみます。-hでは単にホストのIPを指定すれば良かったのですが、ldapsでURI指定を行うため-Hオプションを使用しています。