

LDAPサーバの設定でsudoできるコマンドを制御したいのですが、手順がわかりません。  
ブログ記事等をみたのですがsudoresのスキーマを読み込むことで、LDAPサーバがsudoの制御ができるようになるのでしょうか。

現状はLDAPサーバでユーザとグループを作成して、登録したユーザでクライアントに接続できるところまでは確認できています。

具体的な手順がわからず、何をすればLDAPサーバでsudoの管理ができるようになるのでしょうか。

※openLDAPのバージョンは2.4.40です。


CC BY-SA 4.0
2022-12-23T07:25:21.867
92976
2022-12-24T04:24:04.757
2022-12-24T04:24:04.757
3060
56176
question
linux ldap
openLDAP で sudo のポリシーを管理する手順が分からない


OSが書いていませんが、Linuxであると前提します。具体的な手順は、適当なLinuxで`man
sudoers.ldap`と実行すると表示されます。もし、日本語のmanを入れていない場合は[こちら](https://linuxjm.osdn.jp/html/sudo/man5/sudoers.ldap.5.html)を見てください。

詳しくは上にmanページを見て欲しいのですが、既にLDAPサーバーが存在し、/etc/ldap.conf等が設定済みとした場合、だいたい次のような流れになります。

  1. LDAPサーバーにsudoersのスキーマを読み取らせる。
  2. LDAPでsudoers用のOU(通常はou=SUDOers)を作成する。
  3. LDAPで上記のOU配下にsudoersのエントリーを作成する。(どのような設定がどのようなLDAPレコードになるかはmanページに説明あり)
  4. /etc/ldap.conf(もしかしたら/etc/ldap/ldap.confかも)で`sudoers_base ou=SUDOers,dc=...(LDAPサーバーのベースDN)`を追加する。指定するOUは2.で作成したOU。
  5. /etc/nsswitch.confに`sudores: ldap files`を追加する。/etc/sudoersを無視させたいなら`sudores: ldap`とする。(ここは`passwd: ladp filse`等と書いたのと同じ)

これで、sudoがLDAPを見に行くようになります。


CC BY-SA 4.0
2022-12-23T13:13:14.857
92981
2022-12-23T13:18:44.077
2022-12-23T13:18:44.077
7347
7347
92976
answer