LDAPについて

このエントリーをはてなブックマークに追加
939 ：名無しさん＠お腹いっぱい。：2006/12/24(日) 23:14:16
OpenLDAPってそんなに問題あるの？
おれの所はSunとつきあいが長いんでSunJava Directory一辺倒だけど。
世の中OpenLDAPがデファクトになりつつあるんで流されようかなと日和って
きたんだが。SambaやWindows連携で良く使われているしさ。
940 ：名無しさん＠お腹いっぱい。：2006/12/24(日) 23:15:26
(931ですが、あまり意味がないので名無しにします)
>>938
MovableTypeとかsubversionとかみてると「やっぱりBDBか?」とおもってしまうんですよぉ。
先入観ですかねぇ。
941 ：名無しさん＠お腹いっぱい。：2006/12/24(日) 23:20:35
openldapを数百万ユーザ規模で動かしてるとこって、かなり
手を入れてるってことなのか。使い方にもよると思うけど、
何ユーザくらいで問題が出たりしてるの？数千くらいだったら
軽いかな？
942 ：名無しさん＠お腹いっぱい。：2006/12/24(日) 23:23:28
そいつらは問題出てるんですか?
spamassassinがperl5の連想配列/libbdb4.4のtieを使ってるんです。
日に万を越えるメールを処理してますが壊れたこと無いですね。
943 ：名無しさん＠お腹いっぱい。：2006/12/24(日) 23:24:59
>>941
VA LinuxがOpenLDAPだけど、
あそこはBackup復旧アプリを付けて出してるよ。
944 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 00:47:13
>>942
直接痛い目にあったわけじゃないですが、結構出てるみたいですよ。
ぐぐってみてください。
私が一番痛い目にあったのはpostfixで宛先の存在を見るようにしてて、
ハッシュが壊れたときにことごとく「ない」と応えてメールを全部叩き落しちゃったこと。
5分くらいで以上に気づいたけど、1000通くらいの被害を出しました。
壊れるタイミングは更新時だけみたい。
ユーザ数は1万弱でメール配送量は1日20000弱。ほとんどがspamですが…。
945 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 01:34:04
942です。

>>944
ごめん。それはOpenLDAPの事例だよね。
>>942ではアンカー付けなかったけど、>>940への問いかけのつもりでした。

OpenLDAPでは、自分もハッシュ壊れを体験してます。
幸い導入前の負荷テストだったので、OpenLDAPは外しました。
DefaultのBerkeley DBしか試してないけど、テストで駄目ならもう信用できないしね。
946 ：ななし：2006/12/25(月) 05:54:20
>>941
数十万エントリで2年運用しているけど
特に問題ないなぁ
947 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 07:22:28
ApacheDSとかプンディレとか使ってる人いらっしゃいますか？
948 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 09:28:28
>>947
プンディレってSun Java Directoryとは別系統なのかなあ？
ApacheDSもちょい興味あり。
949 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 10:15:05
OpenDSはJavaで書いてあるから、
Netscape直系のSun Java Directory Serverとは全く違うだろ。
Sun Java Directory Servderの"Java"には意味がないし。
950 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 11:04:19
Sunは最終的にはOpenDSでJavaDSを置き換える
つもりなのかなぁ？

ApacheDSもJavaだよね？
ちょい試してみようかな。
951 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 11:06:21
てかSunて最近何でも名前にJavaて付けるよな。
952 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 11:26:07
>>950
http://blogs.sun.com/DirectoryManager/entry/introducing_the_opends_directory_service
https://opends.dev.java.net/public/docs/OpenDS-FAQ.html
読む限りでは、置き換えるつもりらしいね。
953 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 11:38:53
ASFは結構仕事早いから、ApacheDSとプンディレ、
どっちがデファクトスタンダードになるかな…。
954 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 11:42:51
>>953

ApacheDSはもう1.0リリースされてるしね。
使ってみた人います？
955 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 11:57:51
OpenDSも社内で一年かけた上でこの夏に公開したらしいぞ。
まだまじめに評価してないけど、(すぐに飛び付くのは時間の無駄なので)
動いてはいるよ。
956 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 12:14:52
>>951
最近はオープンソース化してOpenを付けるのが流行。

プンソラ
プンディレ
プングルオン
…
957 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 13:19:40
でもLDAPクライアントになるソフトウェアに
OpenLDAPライブラリを使って書かれたものが多い
限り、OpenLDAPは捨てられないのか…。

>>956
プンソラとプンディレはよく聞くけど、
プングルオンはさすがに聞いたことないぞwww
958 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 13:25:47
プングルってなに? オープングルメオンパレード?
959 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 13:30:51
>>958
マジレスすると、OpenSSO



…だよな？？？
960 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 13:42:46
>>957
OpenLDAPのライブラリは、
基本部分は、RFC1823 "The LDAP Application Program Interface"
他にはRFCにならなかったdraft、本の少しのOpenLDAP独自拡張。
LDAP関連のRFC draft writerとOpenLDAPのmemberはかなり重なっている。

だからアプリがOpenLDAPのlibldapに依存ってことはほとんどない。
TLS使ったときに、OpenSSLをどういうprofileで使うか、
あたりは潜在的に依存していることがあるだろうけど。
961 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 14:01:16
>>960
OpenDSとかApacheDSとか丸々Javaで書かれた
LDAPシステムだと、libldap自体用意できないから、
OpenLDAPみたいなCやCXXで書かれたLDAPシステムは
捨てられないのかな？程度の意味です。

分かりにくくてごめん。
962 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 14:06:02
>>959
おお、Open Web Single Sign-On、知らなんだ。プングルオンw
963 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 14:08:43
>>961
OpenLDAP のサーバーの、Berkeley DB は悪くなくて更新のとこ、とかいう文脈で、
なぜ OpenLDAP クライアントの C++ のライブラリを捨てなきゃならんという話になるのか?
964 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 14:26:49
>>963

よくわからんが、OpenLDAPの更新の話からは
ぶったぎれてて、単純にプンディレ使うんだったら
クライアントも含めてOpenLDAP捨てて全部
プンディレに移行したいってことじゃね？
965 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 14:38:22
・LDAPはprotocolだけでなくAPIもRFCになっている。

・OpenDSはclientライブラリ作ってない
・OpenLDAPは、DSMLも喋れるJLDAPってのを書いてる
・Sun JDKは、JNDIにLDAP Service Providerを持っている

・mod_ldap, nss_ldapの需要があるからCのライブラリは誰かが維持する。
966 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 14:40:30
>>965
> ・OpenLDAPは、DSMLも喋れるJLDAPってのを書いてる

↓これ。 クライアントライブラリね。
http://www.openldap.org/jldap/overview.html

ちなみにOpenDSもDSMLをサポートしてる。(これはサーバ側)
967 ：名無しさん＠お腹いっぱい。：2006/12/25(月) 15:11:33
>>966
こんなの作ってたんだ…知らアッー！！！んかった。
968 ：名無しさん＠お腹いっぱい。：2006/12/26(火) 09:47:44
Contributed by Novell.

以前はOpenLDAPのサイトに載せていながら、
結局 Novell のところでユーザ登録しないと取得できなかったような。

com.novell.* なパッケージもあるし、ほとんどソースが変更されて無いようなので、
「OpenLDAPが書いてる」っていうより、メンテしてるぐらいかな。
969 ：名無しさん＠お腹いっぱい。：2006/12/31(日) 23:45:17
もうすぐ新年なん
970 ：名無しさん＠お腹いっぱい。：2007/01/01(月) 14:22:28
あけましておめでとうございます。

ところで、最近はLDAPのデータ管理するのって何使うのが
一般的なのでしょうか。

昔はLDAP Browser/Editorがよく使われていたような
気がするのですが、久しくメインテナンスされていないようですし…。
もしかしてphpLDAPadminみたいなWebアプリケーションとかが
主流なのでしょうか。
971 ：名無しさん＠お腹いっぱい。：2007/01/02(火) 00:23:51
>久しくメインテナンスされていないようですし
メンテされていないことの何が不満？

972 ：名無しさん＠お腹いっぱい。：2007/01/02(火) 00:50:00
>>970

LDAP Explorer。
Webアプリだけど。
973 ：名無しさん＠お腹いっぱい。：2007/01/02(火) 00:50:48
>>970

PHPあんまり好きじゃないけどphpLDAPadmin使ってる
974 ：名無しさん＠お腹いっぱい。：2007/01/02(火) 11:05:50
>>970 JXplorer
975 ：名無しさん＠お腹いっぱい。：2007/01/02(火) 11:54:13
>>970
コマンドラインならsmbldap-toolsで満足。
976 ：名無しさん＠お腹いっぱい。：2007/01/02(火) 13:03:33
>>975
よく知らないのだが、それはSamba用ではなくて？
977 ：975：2007/01/02(火) 14:06:18
>>976
smbldap-tools用の設定作るのにSambaのsmb.confが要求されるけど、実際使う時はposixAccount,
inetOrgPerson対応のアカウント管理ツールとして使える。Sambaのアカウント管理が不要ならダミーの
smb.confと適当なSID用意すれば良い。
アカウント管理以外の属性管理したいならSMBLDAP-TOOLS Addonsとかいうの入れればOK。
大量にアカウント生成したりするにはコマンドラインで処理するのが楽なので使ってる。
978 ：名無しさん＠お腹いっぱい。：2007/01/02(火) 23:04:48
>>974
同じくJXplorer。
979 ：名無しさん＠お腹いっぱい。：2007/01/16(火) 23:52:39
gqが軽めで好み
980 ：名無しさん＠お腹いっぱい。：2007/02/20(火) 17:41:45
すみません、ちょっと教えてください。
samba + winbind　でPDC作ってマシンアカウントとかも
自動登録状態だったんですけど
LDAPに変更するとマシンアカウントの登録ってどうなりますか？
あらかじめ設定しないとPCをドメイン登録できないとかってあります？
981 ：名無しさん＠お腹いっぱい。：2007/02/20(火) 21:35:19
smbldap-tools使うとか？
982 ：名無しさん＠お腹いっぱい。：2007/02/20(火) 22:03:20
>>981
いやwinbindだとWindowsのドメイン変更でマシンアカウントも
登録できるけど、LDAPだと無理っぽいのかなと。
983 ：名無しさん＠お腹いっぱい。：2007/02/21(水) 01:18:56
WinPC側でドメイン参加させたいんだったら"add machine script"
で調べてみるとか？手動でも追加できるようだし。
984 ：名無しさん＠お腹いっぱい。：2007/02/21(水) 02:17:40
>>983
ああ、そうしたスクリプトがあってLDAPの時に
WINPCでドメイン参加した時にマシンアカウントが
自動的に登録されるのかな？っていう疑問なんですよ。
可能ならどういうファイル設定なのか
985 ：名無しさん＠お腹いっぱい。：2007/02/22(木) 00:55:52
何通りか、あるみたいなんで、調べて、試すしかないかも。

ttp://www.redhat.com/docs/manuals/enterprise/RHEL-4-Manual/ja/ref-guide/s1-samba-servers.html
ttp://sakura.take-labo.jp/freebsd/net_samba.html
ttp://www.shitomi.jp/fc6/pdc.html

いいのあったら、おすえて。
986 ：名無しさん＠お腹いっぱい。：2007/02/22(木) 11:35:03
うーん、winbindではsmb.confにadd machine scriptとか
書かなくてもマシンアカウント登録されるんですよ。
つまりおれてきには登録はsambaではなくwinbindがやってるんじゃないか
と想定してるんです。
で、winbindとっぱらってLDAPだとやっぱだめなんでしょうかね。
winbindからLDAPを参照するってことかなあ？
でもLDAPへの登録はしてくれなさそうかな？
みたいな疑問が湧きました。
ともあれありがとさんです。
987 ：名無しさん＠お腹いっぱい。：2007/02/22(木) 22:51:41
「winbind」でやる方法もあるのかも、メモにそう残ってた。
まだ、出会ったことないけど。
988 ：名無しさん＠お腹いっぱい。：
smbldap-toolsをインストールして､add machine scriptにそのスクリプトを指定する。
>>985の3番目がそう。