openldap：アクセスが不十分です

Question

私はOpenLdapについて質問し、ldiffをインポートしています。私はWindowsで動作するOpenldapを持っています。

私のslapd.conf：

database mdb 
suffix  "dc=aaa,dc=com" 
rootdn  "cn=Manager,dc=aaa,dc=com" 
# Cleartext passwords, especially for the rootdn, should 
# be avoid. See slappasswd(8) and slapd.conf(5) for details. 
# Use of strong authentication encouraged. 
rootpw secret 

# The database directory MUST exist prior to running slapd AND 
# should only be accessible by the slapd and slap tools. 
# Mode 700 recommended. 
directory ./data 
searchstack 20 
# Indices to maintain 
index mail pres,eq 
index objectclass pres 
index default eq,sub 
index sn eq,sub,subinitial 
index telephonenumber 
index cn 

私は、Apache Active Directoryを使用して私の接続を表示することができます。

私はdc = aaa、dc = comを見ることができます。

ldifファイルをインポートしようとしています。上部に

、それが含まれています

dn: cn=ab3java,cn=schema,cn=config 
objectClass: olcSchemaConfig 
cn: ab3java 

私は

ldapmodify -a -x -D "cn=Manager,dc=aaa,dc=com" -w secret -H ldap:// -f ab3java.ldif 

を実行すると、私は次のエラーを取得する：

adding new entry "cn=ab3java,cn=schema,cn=config" 
ldap_add: Insufficient access (50) 

私は、LDAPブラウザでのcn = configのを見ることができません。

お知らせください。どうすれば正しいアクセス権を得ることができますか？

よろしく、オンライン構成データベースにサーバーを移行せずに可能ではない何をしたい B.

Answer 1

。あなたのサーバはおそらく、オンライン構成データベースを使用するように設定されていないでしょう。/etc/openldap/slapd.dの下にあるファイルではなく、slapd.confをどのように使って設定するのかを見てください。 slapd.dとslapd.confの両方を使うことができるので、チェックする必要があります。 openldapがオンライン設定を使用するように設定されていない場合、サーバの稼働中は設定を変更できません。 /etc/openldap/slapd.confを編集してサーバーを再起動する必要があります。

openldapに複数のバックエンドデータベースを持つことができます。それぞれに独自の接尾辞とアクセス制御があります。上記の例でアクセス制御を定義したデータベースは、以下にアクセスできるデータベースはdc=aaa,dc=comです。更新しようとしているデータベースの接尾辞はcn=configです。 openldapが独自の設定を保存するデータベースです（オンライン設定オプションで設定されている場合）。したがって、提供された資格情報は一致しません。

一般に、openldapを実行する優れた方法であるため、オンライン構成データベースを使用することをお勧めします。 cn=configデータベースの詳細については、http://www.zytrax.com/books/ldap/ch6/slapd-config.htmlを参照してください。このマニュアルには、静的構成からオンライン構成への移行方法に関する情報も含まれています。

通常、openldap構成データベースは、ldapサーバーが実行されているマシンのrootユーザーのみがアクセスできるように保護されています。

これは、openldap /etc/openldap/slapd.d/cn=config/olcDatabase={0}config.ldifの設定ファイルを調べることで確認できます。このような行があるはずです：

olcAccess: {0} 
    to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" 
    manage 
    by * none 

これは、構成データベースへのアクセス権を持っている人だけが、ローカルシステム上のrootユーザになることを意味します。 rootのユーザーIDとパスワードを追加することはできますが、それはLDAPサーバーをリモートからの攻撃だけにします。