AlmaLinux 9でLDAPの設定をやろうとしてみたら、浦島太郎状態で七転八倒したので、引っかかったところだけをざっくりメモ

389dsの初期設定

このへんを眺めながら、サーバを作って、memberof, referential-integrity などのプラグインを有効にし、Let's EncryptでTLS証明書を取ってldapsを話せるようにする。

sudoers用のLDAP設定を作る

こんな感じのldifでsudoers用のOUおよびそれに対するACI(アクセス許可リスト)を作る

dn: ou=sudoers,dc=(どめいん)
objectClass: top
objectClass: organizationalUnit
ou: sudoers
aci: (targetattr="cn || sudoUser || sudoHost || sudoCommand || sudoRunAs || su
 doRunAsUser || sudoRunAsGroup || sudoOption || sudoNotBefore || sudoNotAfter
 || sudoOrder || nsUniqueId || description || objectClass")(targetfilter="(obj
 ectClass=sudoRole)")(version 3.0; acl "Enable anyone sudoRole read"; allow (r
 ead, search, compare)(userdn="ldap:///anyone");)

あとはsudoerのエントリをそれっぽく書く

dn: cn=%staff,ou=sudoers,dc=(どめいん)
objectClass: top
objectClass: sudoRole
cn: %staff
sudoUser: %staff
sudoHost: ALL
sudoCommand: ALL

そして、対応するグループを作ってユーザを突っ込む

dsidm -b dc=(どめいん) (インスタンス名) posixgroup create --cn staff --gidNumber (GID)
dsidm -b dc=(どめいん) (インスタンス名) group add_member staff uid=(ユーザ名),ou=people,dc=(どめいん)

ちなみに、ユーザの作成は直接ldifを書かずに、こんな感じでdsidmでやることを想定

dsidm -b dc=(どめいん) (インスタンス名) user create --uid (ログイン名) --cn "(フルネーム)" --displayName "(フルネーム)" --homeDirectory "/home/(ログイン名)" --uidNumber -1 --gidNumber (Primary GID)
dsidm -b dc=(どめいん) (インスタンス名) account reset_password uid=(ログイン名),ou=people,dc=(どめいん)

クライアント側の設定

sssd.conf は、世の中の他のソフトのパッケージと違い、雛型もなければ自動生成するコマンドとかもないので、涙目になりながらでっちあげる。なお、パーミッションは 600 にしておかないと sssd が起動してくれない。

[sssd]
services = nss, pam, sudo
domains = default

[domain/default]
id_provider = ldap
ldap_uri = ldaps://(さーばー)
ldap_search_base = dc=(どめいん)
ldap_schema = rfc2307bis
sudo_provider = ldap
ldap_sudo_search_base = ou=sudoers,dc=(どめいん)
enumerate = true

ポイントは、ldap_schema = rfc2307bis、これがないと、上記で作ったsudoers用のsupplemental groupをsssdがちゃんと認識してくれない。

memberUID をちゃんと管理するldifを書けばいいんだろうけど、やり方分からん

また、enumerate = true を入れておくと、getent passwdとかでユーザリストを見られるようになる。この辺はポリシー次第。

/etc/openldap/ldap.confにも、URIとBASEを適当に設定する。

あとは、authselectによろしく設定してもらう。

dnf -y install sssd-ldap
authselect select sssd with-sudo --force
systemctl restart sssd