セキュア LDAP の接続テスト

コマンドラインから ldapsearch ユーティリティを使用して、基本的な LDAP クエリを作成します。LDAP クエリが正常に実行された場合は、LDAP クライアントと基盤となっている TLS セッションおよび TCP 接続が意図したとおりに動作しています。

ldapsearch で接続をテストするには:

1. LDAP の設定を行い、証明書をダウンロードします。手順については、1. LDAP クライアントを追加するをご覧ください。
   
   注: シンプルな環境でテストできるよう、LDAP クライアントのアクセスを承認する組織部門にはユーザーがいるようにしてください。
    
2. LDAP クエリを実行します。
   
   次のコマンドは、ldapsearch コマンドライン ツールを使用して特定のユーザーにクエリを実行する方法の例です（詳しくは、OpenLDAP lapsearch をご覧ください）。
   

   LDAPTLS_CERT={crt_file} LDAPTLS_KEY={key_file} ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} '(mail={user_email})'

   各プレースホルダを次のように置き換えます。
   
   {crt_file} : .crt ファイルの名前
   {key_file} : .key ファイルのファイル名
   {domain} : ドメイン名の各部分（例: example.com の場合は "dc=example,dc=com"）
   {user_email}: ドメイン内のユーザーのメインのメールアドレス

ldapsearch を stunnel で使用する

導入に stunnel を使用する必要がある場合は、次のコマンドを使用します。

ldapsearch -H ldap://{stunnel_host}:{stunnel_port} -b
dc={domain},dc={domain} '(mail={user_email})'

stunnel 固有のプレースホルダを次のように置き換えます。
{stunnel_host} : ネットワーク内で stunnel を実行しているマシンの IP アドレスまたはホスト名
{stunnel_port}: stunnel が動作しているポート（stunnel の設定を確認してください）

ldapsearch コマンドが正常に終了した場合

ldapsearch コマンドが正常に終了すると、ユーザーとそのメールアドレス（LDAP クライアント作成時に指定したもの）のリストが LDIF 形式で出力されます。

例:

# extended LDIF
#
# LDAPv3
# base <dc=example,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# example.com
dn: dc=example,dc=com
objectClass: top
objectClass: domain
objectClass: dcObject
dc: example

# admin-group, Groups, example.com
dn: cn=admin-group,ou=Groups,dc=example,dc=com
objectClass: top
objectClass: groupOfNames
objectClass: posixGroup
cn: admin-group
displayName: admin-group
description:
gidNumber: 12345
member: uid=admin,ou=Users,dc=example,dc=com
memberUid: admin
googleAdminCreated: FALSE

# example-user, Users, example.com
dn: uid=example-user,ou=Users,dc=example,dc=com
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
uid: example-user
googleUid: example-user
posixUid: example-user
cn: example-user
cn: FirstName LastName
sn: FirstName
displayName: FirstName LastName
givenName: FirstName
mail: [email protected]
uidNumber: 12345
gidNumber: 12345
homeDirectory: /home/example-user
loginShell: /bin/bash
gecos:

発生する可能性があるエラー

• OpenLDAP クライアントおよびライブラリが SNI のサポートなしでコンパイルされる
  
  LDAP クライアント（ここでは OpenLDAP）が SNI（Server Name Indication）をサポートしている必要があります。SNI を利用できない場合、次のようなエラーが表示されることがあります。
  
  SASL/EXTERNAL authentication started

ldap_sasl_interactive_bind_s: Unknown authentication method (-6)
 additional info: SASL(-4): no mechanism available:
  
  推奨:
  • macOS をご使用の場合、SASL はデフォルトで有効になっています。オプション「-x」を使用すると無効にできます。
  • ldapsearch に -d5 オプションを追加して、出力に次の行があるか確認します。
    
    TLS certificate verification: depth: 0, err: 18, subject: /OU=No SNI provided; please fix your client.
     

• ldapsearch でステータス 0（成功）が返されるのにユーザーが出力されない
  
  ldapsearch オプション -x（SASL 認証を使用）とクライアント証明書を指定すると、認証は成功しますがドメイン内のユーザーリストは出力されません。
  
  推奨: オプション -x を削除して、もう一度試します。

1. ldp.exe（Windows）の手順 1～11 を行ってクライアント証明書をインストールします。
2. [操作] > [接続先] に移動します。
3. 次の接続設定を入力します。
   
   名前: 接続の名前を入力します（例: Google LDAP）。
   接続ポイント: [識別名または名前付けコンテキストを選択または入力する] を選択します。
   ドメイン名を DN 形式で入力します（例: example.com の場合は dc=example,dc=com）。
   
   コンピュータ: [ドメインまたはサーバーを選択または入力する] を選択し、次のように入力します。
   ldap.google.com
   
   SSL ベースの暗号化を使用する: オン
    
4. [詳細設定] をクリックし、次の情報を入力します。
   
   資格情報を指定する: オン
   ユーザー名: 管理コンソールで生成したアクセス認証情報のユーザー名
   パスワード: 管理コンソールで生成したアクセス認証情報のパスワード
   ポート番号: 636
   プロトコル: LDAP
   簡易結合認証: オン
    
5. [OK] をクリックし、再度 [OK] をクリックします。
6. 接続に成功すると、ベース DN のディレクトリの内容が右側のパネルに表示されます。

1. OpenSSL をインストールします。
2. 証明書ファイルとキーファイルを 1 つの PKCS12 形式のファイルに変換します。コマンド プロンプトで次のように入力します。
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   出力ファイルを暗号化するためのパスワードを入力します。
    
3. [コントロール パネル] に移動します。
4. 検索ボックスで「証明書」を検索して [ユーザー証明書の管理] をクリックします。
5. [操作] > [すべてのタスク] > [インポート] に移動します。
6. [現在のユーザー] を選択し、[次へ] をクリックします。
7. [参照] をクリックします。
8. ダイアログ ボックスの右下にあるファイル形式のプルダウン メニューから、[Personal Information Exchange (*.pfx;*.p12)] を選択します。
9. 手順 2 の ldap-client.p12 ファイルを選択して [開く] をクリックし、[次へ] をクリックします。
10. 手順 2 で入力したパスワードを入力し、[次へ] をクリックします。
11. [個人] 証明書ストアを選択し、[次へ] をクリックしてから [完了] をクリックします。
12. Ldp.exe を実行します。
13. [接続] > [接続] をクリックします。
14. 次の接続情報を入力します。
    
    サーバー: ldap.google.com
    ポート: 636
    コネクションレス: オフ
    SSL: オン
     
15. [OK] をクリックします。
16. [表示]> [ツリー] を選択します。
17. ベース DN を入力します。これは DN 形式のドメイン名です（例: example.com の場合は dc=example,dc=com）。
18. [OK] をクリックします。
19. 接続に成功すると、ベース DN のディレクトリの内容が右側のパネルに表示されます。