Appendix OpenLDAP 同期レプリケーション

2023年9月13日 20:37

設定のポイント

プロバイダ側でsyncprovを有効化する。
コンシューマ側で同期に関連する設定をする。

プロバイダ側の設定：rocky9-ldap21

オーバーレイでsyncprovを有効化するだけ。

オーバーレイでsyncprovを追加する

[root@rocky9-ldap21 openldap]#
[root@rocky9-ldap21 openldap]# vi setup-syncrepl-addsyncprov.ldif
dn: cn=module{0},cn=config
objectClass: olcModulelist
cn: module
olcModulePath: /usr/lib64/openldap
olcModuleLoad: syncprov.la
[root@rocky9-ldap21 openldap]#

[root@rocky9-ldap21 openldap]#
[root@rocky9-ldap21 openldap]# ldapadd -Y EXTERNAL -H ldapi:/// -f setup-syncrepl-addsyncprov.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
adding new entry "cn=module,cn=config"

[root@rocky9-ldap21 openldap]#

[root@rocky9-ldap21 openldap]#
[root@rocky9-ldap21 openldap]# ldapsearch -LLL -Y EXTERNAL -H ldapi:/// -b "cn=module{0},cn=config"
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
dn: cn=module{0},cn=config
objectClass: olcModuleList
cn: module
cn: module{0}
olcModulePath: /usr/lib64/openldap
olcModuleLoad: {0}syncprov.la

[root@rocky9-ldap21 openldap]#

syncprovを有効化する

[root@rocky9-ldap21 openldap]#
[root@rocky9-ldap21 openldap]# vi setup-syncrepl-enablesyncprov.ldif
dn: olcOverlay=syncprov,olcDatabase={2}mdb,cn=config
objectClass: olcOverlayConfig
objectClass: olcSyncProvConfig
olcOverlay: syncprov
olcSpSessionLog: 1000
[root@rocky9-ldap21 openldap]#

[root@rocky9-ldap21 openldap]#
[root@rocky9-ldap21 openldap]# ldapadd -Y EXTERNAL -H ldapi:/// -f setup-syncrepl-enablesyncprov.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
adding new entry "olcOverlay=syncprov,olcDatabase={2}mdb,cn=config"

[root@rocky9-ldap21 openldap]#

[root@rocky9-ldap21 openldap]#
[root@rocky9-ldap21 openldap]# ldapsearch -LLL -Y EXTERNAL -H ldapi:/// -b "olcOverlay={0}syncprov,olcDatabase={2}mdb,cn=config"
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
dn: olcOverlay={0}syncprov,olcDatabase={2}mdb,cn=config
objectClass: olcOverlayConfig
objectClass: olcSyncProvConfig
olcOverlay: {0}syncprov
olcSpSessionlog: 1000

[root@rocky9-ldap21 openldap]#

コンシューマ側：rocky9-ldap22

同期レプリケーションに関わる設定をする。
typeでrefreshOnlyかrefreshAndPersistを指定する。

同期させるための設定をする

[root@rocky9-ldap22 openldap]#

[root@rocky9-ldap22 openldap]#
[root@rocky9-ldap22 openldap]# vi setup-syncrepl-enablesyncprov.ldif
dn: olcDatabase={2}mdb,cn=config
changetype: modify
add: olcSyncRepl
olcSyncRepl: rid=001
  provider=ldap://192.168.56.21:389/
  bindmethod=simple
  binddn="cn=Manager,dc=example,dc=co,dc=jp"
  credentials=password
  searchbase="dc=example,dc=co,dc=jp"
  scope=sub
  schemachecking=on
  type=refreshAndPersist
  retry="30 5 300 3"
  interval=00:00:05:00
[root@rocky9-ldap22 openldap]#
[root@rocky9-ldap22 openldap]# ldapadd -Y EXTERNAL -H ldapi:/// -f setup-syncrepl-enablesyncprov.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "olcDatabase={2}mdb,cn=config"

[root@rocky9-ldap22 openldap]#

[root@rocky9-ldap22 openldap]#
[root@rocky9-ldap22 openldap]# ldapsearch -LLL -Y EXTERNAL -H ldapi:/// -b "olcDatabase={2}mdb,cn=config"
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
dn: olcDatabase={2}mdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcMdbConfig
olcDatabase: {2}mdb
olcDbDirectory: /var/lib/ldap
olcSuffix: dc=example,dc=co,dc=jp
olcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=Manager,dc=hwdo
 main,dc=lan" write by anonymous auth by self write by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to *  by dn="cn=Manager,dc=example,dc=co,dc=jp" write by * read
olcRootDN: cn=Manager,dc=example,dc=co,dc=jp
olcRootPW: {SSHA}QBGJJEMP1rLuEqNTeoNH5oRINY+Nysph
olcDbIndex: objectClass eq,pres
olcDbIndex: ou,cn,mail,surname,givenname eq,pres,sub
olcSyncrepl: {0}rid=001 provider=ldap://192.168.56.21:389/ bindmethod=simple b
 inddn="cn=Manager,dc=example,dc=co,dc=jp" credentials={SSHA}QBGJJEMP1rLuEqNTe
 oNH5oRINY+Nysph searchbase="dc=example,dc=co,dc=jp" scope=sub schemachecking=
 on type=refreshAndPersist retry="30 5 300 3" interval=00:00:05:00

[root@rocky9-ldap22 openldap]#

動作確認

ネットワークの観点で確認

type=refreshAndPersistとしているのでコンシューマからプロバイダに対して常時TCPコネクションを張っている。

★ プロバイダ側のネットワーク状況 ★
[root@rocky9-ldap21 ~]#
[root@rocky9-ldap21 ~]# ss -ant
State     Recv-Q    Send-Q       Local Address:Port        Peer Address:Port    Process
LISTEN    0         2048               0.0.0.0:636              0.0.0.0:*
LISTEN    0         2048               0.0.0.0:389              0.0.0.0:*
ESTAB     0         0            192.168.56.21:389        192.168.56.22:41646
[root@rocky9-ldap21 ~]#

★ コンシューマ側のネットワーク状況 ★
[root@rocky9-ldap22 ~]#
[root@rocky9-ldap22 ~]# ss -ant
State     Recv-Q    Send-Q       Local Address:Port         Peer Address:Port   Process
LISTEN    0         2048               0.0.0.0:389               0.0.0.0:*
LISTEN    0         2048               0.0.0.0:636               0.0.0.0:*
ESTAB     0         0            192.168.56.22:41646       192.168.56.21:389
[root@rocky9-ldap22 ~]#

ユーザー追加

プロバイダ側でuser01を追加してみる。

★ ユーザー追加前 プロバイダ側★
[root@rocky9-ldap21 openldap]#
[root@rocky9-ldap21 openldap]# ldapsearch -LLL -x -W -D "cn=Manager,dc=example,dc=co,dc=jp" -b "dc=example,dc=co,dc=jp" uid=user01
Enter LDAP Password: ******** 
[root@rocky9-ldap21 openldap]#

★ ユーザー追加前 コンシューマ側★
[root@rocky9-ldap22 openldap]#
[root@rocky9-ldap22 openldap]# ldapsearch -LLL -x -W -D "cn=Manager,dc=example,dc=co,dc=jp" -b "dc=example,dc=co,dc=jp" uid=user01
Enter LDAP Password: ********
[root@rocky9-ldap22 openldap]#

★ プロバイダ側で追加するユーザー user01 ★
[root@rocky9-ldap21 openldap]#
[root@rocky9-ldap21 openldap]# vi setup-adduser-user01.ldif
dn: uid=user01,ou=Users,dc=example,dc=co,dc=jp
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
cn: user00
sn: example
userPassword: {SSHA}rE0zyJNP9W87MKHgicLCeYqW+ZFTeYhr
loginShell: /bin/bash
uidNumber: 1001
gidNumber: 1001
homeDirectory: /home/user01
shadowLastChange: 0
shadowMax: 0
shadowWarning: 0

dn: cn=user01,ou=Groups,dc=example,dc=co,dc=jp
objectClass: posixGroup
cn: user00
gidNumber: 1001
memberUid: user01
[root@rocky9-ldap21 openldap]#

★ プロバイダ側でユーザー追加 ★
[root@rocky9-ldap21 openldap]#
[root@rocky9-ldap21 openldap]# ldapadd -x -W -D "cn=Manager,dc=example,dc=co,dc=jp" -f setup-adduser-user01.ldif
Enter LDAP Password: ********
adding new entry "uid=user01,ou=Users,dc=example,dc=co,dc=jp"

adding new entry "cn=user01,ou=Groups,dc=example,dc=co,dc=jp"

[root@rocky9-ldap21 openldap]#

★ プロバイダ側で確認 ★
[root@rocky9-ldap21 openldap]#
[root@rocky9-ldap21 openldap]# ldapsearch -LLL -x -W -D "cn=Manager,dc=example,dc=co,dc=jp" -b "dc=example,dc=co,dc=jp" uid=user01
Enter LDAP Password: ******** 
dn: uid=user01,ou=Users,dc=example,dc=co,dc=jp
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
cn: user00
sn: example
userPassword:: e1NTSEF9ckUwenlKTlA5Vzg3TUtIZ2ljTENlWXFXK1pGVGVZaHI=
loginShell: /bin/bash
uidNumber: 1001
gidNumber: 1001
homeDirectory: /home/user01
shadowLastChange: 0
shadowMax: 0
shadowWarning: 0
uid: user01

[root@rocky9-ldap21 openldap]#

★ コンシューマ側で確認 ＝ 同期されている ★
[root@rocky9-ldap22 ~]#
[root@rocky9-ldap22 ~]# ldapsearch -LLL -x -W -D "cn=Manager,dc=example,dc=co,dc=jp" -b "dc=example,dc=co,dc=jp" uid=user01
Enter LDAP Password: ******** 
dn: uid=user01,ou=Users,dc=example,dc=co,dc=jp
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
cn: user00
sn: example
userPassword:: e1NTSEF9ckUwenlKTlA5Vzg3TUtIZ2ljTENlWXFXK1pGVGVZaHI=
loginShell: /bin/bash
uidNumber: 1001
gidNumber: 1001
homeDirectory: /home/user01
shadowLastChange: 0
shadowMax: 0
shadowWarning: 0
uid: user01

[root@rocky9-ldap22 ~]#

補足

typeを変更するには、削除するLDIFファイルを使ってolcSyncreplの定義を削除してから、設定するLDIFファイルを使って再設定する。
以下操作例ではolcSyncreplの定義を削除している。

★ 削除する設定を確認する(ここでは「olcSyncrepl: {0}rid=001～」) ★
[root@rocky9-ldap22 openldap]#
[root@rocky9-ldap22 openldap]# ldapsearch -LLL -Y EXTERNAL -H ldapi:/// -b "olcDatabase={2}mdb,cn=config"
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
dn: olcDatabase={2}mdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcMdbConfig
olcDatabase: {2}mdb
olcDbDirectory: /var/lib/ldap
olcSuffix: dc=example,dc=co,dc=jp
olcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=Manager,dc=hwdo
 main,dc=lan" write by anonymous auth by self write by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to *  by dn="cn=Manager,dc=example,dc=co,dc=jp" write by * read
olcRootDN: cn=Manager,dc=example,dc=co,dc=jp
olcRootPW: {SSHA}QBGJJEMP1rLuEqNTeoNH5oRINY+Nysph
olcDbIndex: objectClass eq,pres
olcDbIndex: ou,cn,mail,surname,givenname eq,pres,sub
olcSyncrepl: {0}rid=001 provider=ldap://192.168.56.21:389/ bindmethod=simple b
 inddn="cn=Manager,dc=example,dc=co,dc=jp" credentials=password searchbase="dc
 =example,dc=co,dc=jp" scope=sub schemachecking=on type=refreshAndPersist retr
 y="30 5 300 3" interval=00:00:05:00

[root@rocky9-ldap22 openldap]#

★ 削除用のLDIFを作成し削除する設定をコピー＆ペーストする ★
[root@rocky9-ldap22 openldap]#
[root@rocky9-ldap22 openldap]# vi setup-syncrepl-deletesyncprov.ldif
dn: olcDatabase={2}mdb,cn=config
changetype: modify
delete: olcSyncRepl  <---★ deleteにして、次の行から削除する設定をコピー＆ペーストする
olcSyncrepl: {0}rid=001 provider=ldap://192.168.56.21:389/ bindmethod=simple b
 inddn="cn=Manager,dc=example,dc=co,dc=jp" credentials=password searchbase="dc
 =example,dc=co,dc=jp" scope=sub schemachecking=on type=refreshAndPersist retr
 y="30 5 300 3" interval=00:00:05:00
[root@rocky9-ldap22 openldap]#
[root@rocky9-ldap22 openldap]# ldapmodify -Y EXTERNAL -H ldapi:/// -f setup-syncrepl-deletesyncprov.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "olcDatabase={2}mdb,cn=config"

[root@rocky9-ldap22 openldap]#
[root@rocky9-ldap22 openldap]# ldapsearch -LLL -Y EXTERNAL -H ldapi:/// -b "olcDatabase={2}mdb,cn=config"
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
dn: olcDatabase={2}mdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcMdbConfig
olcDatabase: {2}mdb
olcDbDirectory: /var/lib/ldap
olcSuffix: dc=example,dc=co,dc=jp
olcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=Manager,dc=hwdo
 main,dc=lan" write by anonymous auth by self write by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to *  by dn="cn=Manager,dc=example,dc=co,dc=jp" write by * read
olcRootDN: cn=Manager,dc=example,dc=co,dc=jp
olcRootPW: {SSHA}QBGJJEMP1rLuEqNTeoNH5oRINY+Nysph
olcDbIndex: objectClass eq,pres
olcDbIndex: ou,cn,mail,surname,givenname eq,pres,sub
                                                         <---★ olcSyncreplが消えている
 
[root@rocky9-ldap22 openldap]#

参考文献

OpenLDAP, Documentation

この記事が気に入ったらサポートをしてみませんか？