- PR -

.htaccessの設定でActiveDirectory認証

1
投稿者投稿内容
もも
ベテラン
会議室デビュー日: 2007/07/01
投稿数: 78
投稿日時: 2008-10-01 15:57
Linux5（Apache2.2）の.htaccessに、別マシンのActiveDirectory（以下AD）でユーザーの一元管理をする設定を行っています。
ADにいるユーザー（testuser）でログインを試みても、ログインすることができず、Apacheのログに以下のよう記載がなされてました。
原因及び解決方法が皆目見当がつかず困っています。
どなたか、ご存じの方がいらっしゃいましたら、ご教示いただければと存じます。

■Apacheログ
auth_ldap authenticate: user testuser authentication failed; URI /~input/ [LDAP: ldap_simple_bind_s() failed][Can't contact LDAP server], referer: http://test.com/index.html


■.htaccessの設定
AuthType Basic
AuthName input
AuthLDAPBindDN hogehogeID@test.local
AuthLDAPBindPassword ADマシンPASSWORD
AuthBasicProvider ldap
AuthzLDAPAuthoritative off
AuthLDAPURL ldap://ADマシンIP.test.local:389/?sAMAccountName?sub?(objectClass=user)
Require valid-user


■AD登録内容（例：ADマシンログインユーザー）
CN=hogehoge,CN=Users,DC=test,DC=local
F/A
ぬし
会議室デビュー日: 2006/03/18
投稿数: 312
お住まい・勤務地: Tokyo
投稿日時: 2008-10-01 18:50
Can't contact LDAP serverというエラーなのですから、
接続に失敗しているのだと思います。

怪しいのは、
ldap://ADマシンIP.test.local:389/
というIPアドレスともホスト名ともつかない記述かなと。

ldap://ADマシンIP:389/
ではないでしょうか？

あと、AuthLDAPURLにはBaseDN指定しなくてもいいんでしたっけ？


[ メッセージ編集済み 編集者: F/A 編集日時 2008-10-01 18:52 ]
もも
ベテラン
会議室デビュー日: 2007/07/01
投稿数: 78
投稿日時: 2008-10-02 09:15
F/A様

ご返答ありがとうございました。
ご指摘のように記述が間違っておりました。
ldap://ADマシンIP:389/dc=test,dc=local?sAMAccountName?sub?(objectClass=user)
と設定しなければならなかったようです。

ここでもうひとつ疑問がありまして、以下２つのバインドユーザーにはどういうユーザーを設定すべきなのかが、今ひとつわかりません。
現在は、ADマシンにログインするAD管理者＆マシン管理者のユーザーを設定しております。
できることなら必要最低限の権限をもったユーザーを設定したいのです。
こちらの疑問にもお答えいただけると幸いです。

もし別スレッドを立てたほうが良い場合もご指摘願います。

AuthLDAPBindDN hogehogeID@test.local
AuthLDAPBindPassword ADマシンPASSWORD
F/A
ぬし
会議室デビュー日: 2006/03/18
投稿数: 312
お住まい・勤務地: Tokyo
投稿日時: 2008-10-02 21:00
> 現在は、ADマシンにログインするAD管理者＆マシン管理者のユーザーを設定しております。
> できることなら必要最低限の権限をもったユーザーを設定したいのです。

管理者権限の無い、普通ユーザでよかったはずですがあまり自信はないです。
Windowsスレッドの方がいい回答が得られるかもしれませんね。


もも
ベテラン
会議室デビュー日: 2007/07/01
投稿数: 78
投稿日時: 2008-10-03 09:00
F/A様

ご返答、アドバイスありがとうございます。
＞管理者権限の無い、普通ユーザでよかったはずですがあまり自信はないです。
普通ユーザで実験したところ、ActiveDirectory認証がなされるのを確認致しました。
しかし、バインドユーザの権限が与える影響について情報がないのが、不安の種です・・

＞Windowsスレッドの方がいい回答が得られるかもしれませんね。
そうですね。ありがとうございます。
不安なので、Windowsスレッドのほうにも掲載してみます。
ありがとうございました。
1

スキルアップ／キャリアアップ（JOB@IT）