※写真と本文は関係ありません。
LDAP のスレーブを設定したのですが、くだらないところで引っかかったので記録しておく。
最終的にはこんな感じでOKになりました。
プロバイダ(マスター)側設定(openldap-2.3.43-25.el5_8.1)
$ cat /etc/openldap/slapd.conf #以下抜粋
# index 関係の設定
index entryCSN,entryUUID eq
# syncprov の設定
overlay syncprov
syncprov-sessionlog 100
コンシューマ(スレーブ)側設定(openldap-2.3.43-25.el5_8.1)
$ cat /etc/openldap/slapd.conf #以下抜粋
# index 関係の設定
index entryCSN,entryUUID eq
# syncrepl 関係の設定
syncrepl rid=001
provider=ldap://192.168.1.153
type=refreshOnly
interval=00:00:03:00
searchbase="dc=fuuu,dc=example,dc=net"
scope=sub
bindmethod=simple
binddn="cn=rootdn,dc=fuuu,dc=example,dc=net"
credentials=fugafuga
どこがダメだったかというと…。
# syncrepl 関係の設定で
syncrepl rid=001
provider=ldap://192.168.1.153
type=refreshOnly
interval=00:00:03:00
searchbase="dc=fuuu,dc=example,dc=net"
scope=sub
# こんな感じでコメントしたり
# attrs="*"
bindmethod=simple
binddn="cn=rootdn,dc=fuuu,dc=example,dc=net"
credentials=fugafuga
こんな感じで、設定項目を付けたり外したりをコメントアウトでやってたんですが。どうもうまく設定ができていない。具体的にはrootdn(全ての要素にフルアクセス可)でアクセスしているはずなのにACLで制限のある要素が取得出来ない。(パスワード関係の要素はアクセス制限をかけてあるが、スレーブLDAPサーバなので全ての要素を取得したい。)
なぜダメかと、しばらく悩んだ結果。
海外のメーリングリストで『この設定は1行で…』(http://www.openldap.org/lists/openldap-software/200809/msg00156.html)というのを見かけて、実はこの設定項目複数行で設定してそうだけど、1行の設定を(行頭のスペースで前の行の続きを表すという書き方をして)複数行に書いてあるだけということに気づいたのでした。
これと同義。
syncrepl rid=001 provider=ldap://192.168.1.153 type=refreshOnly interval=00:00:03:00 searchbase="dc=fuuu,dc=example,dc=net" scope=sub# こんな感じでコメントしたりすると# attrs="*" bindmethod=simple binddn="cn=rootdn,dc=fuuu,dc=example,dc=net" credentials=fugafuga
こんな感じで、#以降がコメントになってしまって、ダメなのでした。
binddn以下がコメントになってると、anonymousでLDAP接続してアクセス制限のある項目がみえなくなるので正しい動きだったのでした。
はー、悩んだ!!