雑多な記録

This page is read only. You can view the source, but not change it. Ask your administrator if you think this is wrong.
====== 管理ノード ======


===== OpenLDAPのインストールと初期設定 =====

（UFWを使用している場合）LDAPサーバ用のポートを開放
<code>
$ sudo ufw allow 389
</code>

ソフトウェアのインストール

<code>
$ sudo apt install slapd ldap-utils
</code>

以下を聞かれるので設定
  * Administrator password: 任意

初期設定

<code>
$ sudo dpkg-reconfigure slapd
</code>

  * Omit OpenLDAP server Configuration?: No
  * DNS domain name: cluster.home.arpa
    * プライベートLAN内のドメイン名は hogehoge.home.arpa が推奨されている、らしい
    * クラスタ計算機のドメインなので、ここでは cluster.home.arpha としておく
  * Organization name: Computer cluster
    * このドメインが何を表すかの覚書。好きな名前にしてよろしい
  * Administration password: インストール時に入力したもの
  * Do you want the database to be removed when slapd is purged?: No
    * slapdをアンインストールしたときにデータベースを残すかどうか。 
  * Move old database?: Yes
    * 古いデータベースを別名にして残すかどうか。

ちゃんと設定されたか確認

<code>
$ sudo slapcat
dn: dc=cluster,dc=home,dc=arpa
objectClass: top
objectClass: dcObject
objectClass: organization
o: Computer Cluster
dc: cluster
structuralObjectClass: organization
entryUUID: d1780672-e166-1040-9b15-8729bd3fc447
creatorsName: cn=admin,dc=cluster,dc=home,dc=arpa
createTimestamp: 20260511092330Z
entryCSN: 20260511092330.169937Z#000000#000#000000
modifiersName: cn=admin,dc=cluster,dc=home,dc=arpa
modifyTimestamp: 20260511092330Z
</code>


===== 基本構造作成 =====

組織単位を作成し、LDAPに追加する。

<code>
$ nano base.ldif
</code>

<file - base.ldif>
dn: ou=people,dc=cluster,dc=home,dc=arpa
objectClass: organizationalUnit
ou: people

dn: ou=groups,dc=cluster,dc=home,dc=arpa
objectClass: organizationalUnit
ou: groups

dn: ou=hosts,dc=cluster,dc=home,dc=arpa
objectClass: organizationalUnit
ou: hosts
</file>

<code>
$ ldapadd -x -D cn=admin,dc=cluster,dc=home,dc=arpa -W -f base.ldif
</code>

ちゃんと設定されたか確認。

<code>
$ sudo slapcat
dn: dc=cluster,dc=home,dc=arpa
objectClass: top
objectClass: dcObject
objectClass: organization
o: Computer Cluster
dc: cluster
structuralObjectClass: organization
entryUUID: d1780672-e166-1040-9b15-8729bd3fc447
creatorsName: cn=admin,dc=cluster,dc=home,dc=arpa
createTimestamp: 20260511092330Z
entryCSN: 20260511092330.169937Z#000000#000#000000
modifiersName: cn=admin,dc=cluster,dc=home,dc=arpa
modifyTimestamp: 20260511092330Z

dn: ou=people,dc=cluster,dc=home,dc=arpa
objectClass: organizationalUnit
ou: people
structuralObjectClass: organizationalUnit
entryUUID: e7553b08-e167-1040-867b-8d36242c18d8
creatorsName: cn=admin,dc=cluster,dc=home,dc=arpa
createTimestamp: 20260511093116Z
entryCSN: 20260511093116.348516Z#000000#000#000000
modifiersName: cn=admin,dc=cluster,dc=home,dc=arpa
modifyTimestamp: 20260511093116Z

dn: ou=groups,dc=cluster,dc=home,dc=arpa
objectClass: organizationalUnit
ou: groups
structuralObjectClass: organizationalUnit
entryUUID: e755e2c4-e167-1040-867c-8d36242c18d8
creatorsName: cn=admin,dc=cluster,dc=home,dc=arpa
createTimestamp: 20260511093116Z
entryCSN: 20260511093116.352854Z#000000#000#000000
modifiersName: cn=admin,dc=cluster,dc=home,dc=arpa
modifyTimestamp: 20260511093116Z

</code>



===== ユーザーの追加 =====

ユーザーの初期パスワードを設定する。

<code>
$ slappasswd
New password: 
Re-enter new password: 
{SSHA}9VhiMfY0h9+SiAzqqCRIYGnKedgMUfH5
</code>

ユーザー情報の作成。

<code>
$ nano user.ldif
</code>
<file - user.ldif>
dn: cn=taro,ou=groups,dc=cluster,dc=home,dc=arpa
objectClass: posixGroup
cn: taro
gidNumber: 10000

dn: uid=taro,ou=people,dc=cluster,dc=home,dc=arpa
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
cn: Taro Yamada
sn: Yamada
uid: taro
uidNumber: 10000
gidNumber: 10000
homeDirectory: /home/taro
loginShell: /bin/bash
userPassword: {SSHA}9VhiMfY0h9+SiAzqqCRIYGnKedgMUfH5
</file>

<code>
$ ldapadd -x -D cn=admin,dc=cluster,dc=home,dc=arpa -W -f user.ldif
</code>

ちゃんと登録されているか確認
<code>
$ sudo slapcat
</code>

正しく登録されていれば、今まで入力した情報がすべて表示されます。

以下で述べるLDAPユーザの自動homeディレクトリ作成機能を利用しないなら、手動で作成する。
<code>
$ sudo mkdir /home/taro
$ sudo chown 10000:10000 /home/taro
</code>


===== ユーザーの削除 =====

<code>
$ ldapdelete -x -W -D "cn=admin,dc=cluster,dc=home,dc=arpa" 'cn=taro,ou=groups,dc=cluster,dc=home,dc=arpa'
$ ldapdelete -x -W -D "cn=admin,dc=cluster,dc=home,dc=arpa" 'uid=taro,ou=people,dc=cluster,dc=home,dc=arpa'
</code>


===== ホストの追加 =====

LDIFファイルは必要な分だけ書いてください。

<file - hosts.ldif>
dn: cn=kanri,ou=hosts,dc=cluster,dc=home,dc=arpa
objectClass: top
objectClass: ipHost
objectClass: device
cn: kanri
ipHostNumber: 192.168.0.1

dn: cn=node10,ou=hosts,dc=cluster,dc=home,dc=arpa
objectClass: top
objectClass: ipHost
objectClass: device
cn: node10
ipHostNumber: 192.168.0.10

dn: cn=node11,ou=hosts,dc=cluster,dc=home,dc=arpa
objectClass: top
objectClass: ipHost
objectClass: device
cn: node11
ipHostNumber: 192.168.0.11
</file>

登録

<code>
$ ldapadd -x -D "cn=admin,dc=cluster,dc=home,dc=arpa" -W -f hosts.ldif
</code>

確認

<code>
$ getent hosts
</code>
====== LDAPクライアント ======

  * 最近はLDAPクライアントとしてSSSDが推奨されているらしいが、設定が面倒なので昔ながらのNSLCDを使う。
  * 管理ノード、計算ノードで行う。

<code>
$ sudo apt install libnss-ldapd libpam-ldapd
</code>

  * LDAP server URI: ldap://192.168.0.1/
  * LDAP server search base: dc=cluster,dc=home,dc=arpa
  * Name services to configure: passwd, group, shadow, hosts （スペースキーでチェックを入れられます）

<code>
$ sudo pam-auth-update
</code>
  * 「LDAP Authentication」を有効化（通常は自動で有効化済み）
  * Create home directory on login を有効化

<code>
$ sudo systemctl restart nslcd nscd
</code>

ユーザーが見えるか確認

<code>
$ getent passwd taro
taro:x:10000:10000:Taro Yamada:/home/taro:/bin/bash
</code>

<code>
$ id taro
</code>
  * uidとgidが見えます。


ユーザーに切り替えるには

<code>
$ su - taro
</code>



=== おまけ ===

ラズパイ5で組んだクラスタマシンで実行すると、追加したtaroのログインに失敗します。

<code>
$ su - taro
Password: 
su: Authentication failure
</code>

/var/log/syslogを見ると
<code>
$ cat /var/log/syslog
（略）
2026-05-14T16:16:19.302517+09:00 kanri kernel: audit: type=1400 audit(1778742979.300:545): apparmor="DENIED" operation="connect" class="file" profile="unix-chkpwd" name="/att/unix-chkpwd/run/nslcd/socket" pid=16833 comm="unix_chkpwd" requested_mask="wr" denied_mask="wr" fsuid=0 ouid=0
</code>
となっていたので、AppArmorを修正しました。

<code>
$ sudo nano /etc/apparmor.d/unix-chkpwd
</code>
<file>
（略）
  include if exists <local/unix-chkpwd>

  /att/unix-chkpwd/run/nslcd/socket rw,   #この行を追加
}
</file>
<code>
$ sudo apparmor_parser -r /etc/apparmor.d/unix-chkpwd
</code>



====== 参考資料 ======

  * https://server-network-note.net/2022/11/openldap-client-ubuntu22-04lts-server/
  * https://zenn.dev/iasl/articles/1d35c87a66ee35