1 ：
名無しさん＠お腹いっぱい。 ：
02/07/30 19:56 もうNISの時代はおわったのか。
2 ：
名無しさん＠お腹いっぱい。 ：02/07/30 19:58
Webアプリケーションが流行れば流行るほど、LDAPかなんらかのDBが主流になるのかな
PAM と LDAP,Kerberos はレイヤが違うと思われ。
LDAPに移行したいだけど，FreeBSDって対応してます？
>>4 /usr/ports/security/pam_ldap なんてのがあるみたい。
使った事無いからちゃんと動くかどうか知らんが。
うごくよん．
7 ：
名無しさん＠お腹いっぱい。 ：02/07/30 22:35
>>6 SQLは単にデータベースとしての仕掛けだから、認証方式という論点からは
ズレちゃうような。LDAPサーバのバックエンドとしてSQL(mysql? postges?)
が居るというのならわかるけど。
>>7 >LDAPサーバのバックエンド
あぁ．．．そのつもりなんだ．
やっぱ，中にはAccessで一元的に管理してぇとか言う人が居るんだよね．
9 ：
名無しさん＠お腹いっぱい。 ：02/07/31 01:25
iPlanet Directory Server とopenLDAPは同じ形式なんだろうか。
10 ：
名無しさん＠お腹いっぱい。 ：02/07/31 02:30
APOP, HMAC はアルゴリズム知ってます。
11 ：
名無しさん＠お腹いっぱい。 ：02/07/31 03:49
NIS+は確実に死ぬな。（もう死んでるか
指紋認証でログインするシステムを誰かハックしてください。
13 ：
名無しさん＠Ｅｍａｃｓ ：02/07/31 10:05
>>12 指紋認証っつっても各社それぞれ判断基準が違うから何とも言えない。
>>8 SQL喋るRDBがバックエンドのLDAPサーバって俺も欲しいな。
Accessつーか、SQLでtableいじりてーよ。
>>11 NIS+ clientでも認証付きでtable entryいじれて、
あれはあれで良くできているよ。
LDAP(の現状の実装)だと、一般ユーザに変更させるときには、
サーバにloginさせたり、Web interface作ったりうざい。
>>13 本人を無理やり連れてくるってのはどうよ？
つまり本人をクラックするってことなんだけど。
16 ：
名無しさん＠Ｅｍａｃｓ ：02/07/31 10:36
FreeBSD4.6Rからはpam_sshとかいうのが使えるらしい。
17 ：
名無しさん＠お腹いっぱい。 ：02/07/31 11:17
>>14 RDBMSがバックエンドのLDAP serverって既にあるんではないのか？
作るのも簡単そうだし。
>>17 あるんなら教えてくれ。探してもない。作ったらくれ。
>>16 パスワードの代わりに ssh の秘密鍵を暗号化してあるパスフレーズを入力する。
それで秘密鍵が読めれば login できて、
ログインシェルの前に自動で ssh-agent が動いて鍵を覚えてくれる。
なので、そこから別のホストにログインするのも(public key
authentication できるようになっていれば)何も入力しなくてよい。
21 ：
名無しさん＠お腹いっぱい。 ：02/07/31 15:32
あげー
qmail環境でqmail-popまたは、vpopmailでNISをかって認証をしたいんだけど、
もうNISはマジでやめておこう。今からそれを採用するのはヤバイだろ。
NISの何がやばいのか解説キボンヌ。
>>24 23はauto_homeとか使ってないんでしょう。
ユーザー認証だけならLDAPでいこうとする気はわかるけど。
>>23 は NIS と NIS+ を混同してると思われ。
NIS+ は End Of Life
しかし、NIS はバリバリ現役。
>>22 OSなんなの?
Solarisとかなら、/etc/nsswitch.conf書き換えるだけじゃないの?
qmail-getpw.cとか読んでもそうとしかおもえんが…
>>26 何百台でdatabase共用しようと思うと、NISじゃ無理だよ。
nispopulateで同期する時は、map全体を転送ちゃうからscaleしない。
数台ならNISで充分、わざわざNIS+勉強する意義なし。
>>27 はいsolarisでございます。
nsswitch.confで/etc/passwdよりもnisのpassswdを優先させたらいいのか？
chechpasswordの認証は直接/etc/passwdを参照しているとおもっていたから…。
聞くより実行。さっそく試してみます。
あー、でもやっぱり明日にしよーっと！
>>26 そうだね。だからSunは10年ブリに新たな認証方式として、NIS+の変わりになるLDAPを採用した。
iPlanetなどでも力はいってるね。
>>27 やっぱり/etc/nsswitch.confを書き換えたところで、qmailのpop認証とかsmtp-auth認証は
chechpasswdを使っているから無理だった。
いま思えばやはり当たり前の事。
27はqmailのユーザー認証はなに使っているの？
>>30 何で当たり前なの? checkpasswordのsource読んでみた?
getentで、/etc/nsswitch.confが有効になっているか調べてみたら?
/etc/init.d/nscd stop; /etc/init.d/nscd startもした?
NIS+→LDAP移行中
NIS はまだまだ必要。多分これからも必要。
LDAP、updateがもうちっと分散指向になればな～。
LDAPって騒がれてるのは、知ってるんですが、
35 ：
仕様書無しさん ：02/08/01 12:47
>>33 まぁ LDAP が想定してるのはあくまで「ディレクトリサービス」ですからねぇ。
>>31 もちろんNISは動いてますよ。ただcheckpasswordのソースは私は見ましたが 理解できる程cを理解していません。
もうちょとcheckpasswordをしらべますが、NISは関係ないとおもうんですけど。(/etc/passwdを参照する単なるプログラムだと理解しているのですが
>>38 違うって言ってるだろ、アフォ!
NISが動いてるかじゃなくて、
libnslがNISを参照してるかgetentで調べんだよ、この低能!
ああ、とうとう怒らせてしまったな。。
>>39 そのへん教えてくれませんか？(libnsl
>>41 とーにーかーくー、getentでNISにしかないpasswd entry引いてみろ。
その次にDES認証モードで運用しているかどうかも調べろ。
DES認証モードならば、(以下続く
>>42 レスありがとうございます。
getent passwd
全部でます。
getent passwd [ユーザー名]
でます。
solarisなのでDES認証です。
>>43 > solarisなのでDES認証です。
じゃあ、-DHASGETSPNAMつけて、checkpasswordをcompileしないと。
ちなみにSolarisはDES認証なしでも運用可能な。
# DES認証時/shadow password利用時には、
# getpwent(3)では、password fieldをget出来ない。(変な仕様だ…)
kerberos はアメリカの輸出規制どーなったんですか。
47 ：
名無しさん＠お腹いっぱい。 ：02/08/03 18:36
age
もしかしたら
>>43 は、
passwd fieldの暗号化にDESを使っていることと、
NIS+のDES認証モードの区別ついてないのかな…
NIS+の話？
>>49 >>38 の場合は、+は余計だった。
NISにもNIS+にもDES認証モードがある。
NFSにもDES認証モードがある。SunOSの場合、同じ鍵対を使う。
51 ：
名無しさん＠Ｅｍａｃｓ ：02/08/06 10:04
52 ：
名無しさん＠お腹いっぱい。 ：02/08/09 08:55
認証に指を差し込む穴に指を入れさせる。
pc3鯖、落ちてる？
>52
55 ：
名無しさん＠お腹いっぱい。 ：02/08/18 01:22
この前PDC環境をSolarisとSambaで構築しました。
>>55 NTクライアントでちょっと凝ったことするとsmbdがコア吐いてたり。
ついでに管理者が弱音を吐いたり。
くそぉ・・・NIS+ サポート打ち切りかよ・・・
60 ：
not 58 ：02/08/21 07:45
Solaris 9でnisclientを実行すると、
******** ******** WARNING ******** ********
NIS+ might not be supported in a future release. Tools to aid
the migration from NIS+ to LDAP are available in the Solaris 9
operating environment. For more information, visit
http://www.sun.com/directory/nisplus/transition.html ******** ******** ******* ******** ********
って出てきます。5年はサポートが続くそうです。
まあ付属のLDAPでいいけどさ。credも使えるし。
NIS+とほとんどかわんね─よ。
>>58 Multi-paltformになった利点の方が大きい。
61 ：
名無しさん＠お腹いっぱい。 ：02/08/21 13:47
ここは質問スレッドではないのかもしれませんが
62 ：
名無しさん＠お腹いっぱい。 ：02/09/15 03:18
なるほど。質問者に教えられました。ありがとう。たしかに61の言うとうりの参照方法なら不可能なのかな。（今日は遅いので明日調べてみます）
63 ：
not 58 ：02/09/15 04:49
>>61 shadowマップはどうなってるの? (man -s 5 shadow)
nsswitch.confは大丈夫? (ypmatchと違い、getentは常にnsswitch.confを反映する)
>>62 > 何の為にあるのか謎。
nsswitch.{files,nis,nisplus,ldap}は、nsswitch.conf用のsample。
# cp -p /etc/nsswitch.{ldap,conf}
すれば、name serviceはLDAPを参照するようになる。(稼働していればね)
いじょ
>63
>>64 LDAP はプロトコルってことを理解している?
62,63さん、ありがとうございます.
67 ：
61 & 66 ：02/09/16 13:25
61です.66が長くなったので分けて続けます.
結局私に考えつく方法として次の3つだけです.
(a)はちょっと怖くてやりたくない.
少し調べてみると、/var/yp/Makefileにshadowのエントリがあるのは
71 ：
not 58 ：02/09/17 13:24
>>70 おめー長げ─よ。
> このLinuxのMakefileのshadowのところを見てshadow部分を
> 書き加えて後ほどやってみます。(進捗あったら報告します)
NIS(YP)の場合、shadow mapを作る、これが唯一の方法。
> 63>> shadowマップはどうなってるの? (man -s 5 shadow)
> (Solaris 8/sparcでman -s 4 shadowで)調べると、(一部抜粋します)
> username:password:lastchg: min:max:warn: inactive:expire:flag
> でした.
知ってるって。オマエサンのYP serverがどうなってるか聞いたの。
shadow mapがないなら、出来なかったのは当然。
> もし出来ても(NIS clientでpassword expirationがチェックされる
> ようになっても)ypcat shadowで皆が他人のpassword expiration date
> や、password last change dateなどをお互い知りたい放題に
> なってしまうのであまり好ましいとは思えませんが.
NIS(YP)はそういうもの。(均一なアクセス権)
DES認証モードで運用したときのNISとNIS+の違い、
NIS+のper entryなowner, group, access rights(ugow+rcmd)等を調べて。
(そんなこと気にするのなら当然DES認証モードで運用してるよね?)
72 ：
not 58 ：02/09/17 13:34
>>68 > /etc/nsswitch.confにもshadowの行を付け加えて、
大体いいところを攻めてるんだけど、
マニュアル、ドキュメントをちゃんと読んでないっぽい。
nsswitch.conf(5)より、
passwd getpwnam(3C), getspnam(3C)
です。
NIS+移行passwd, shadowのtable(map)は統合され、
Solarisのname service(libnsl)では、
passwd table(map)として統一して扱うようになりました。
// 二つに分かれていたのは、歴史的経緯から来る実装上の問題だから。
// APIはまだ二つに分かれてるんだけどね…
// libnslのコード見たければ、Sunがglibcに寄贈した奴を見て。
NISのマニュアルと徹底的に読むことをおすすめする。
ちゃんと理解していないとLinuxの設定の方で辛いと思う。
73 ：
名無しさん＠お腹いっぱい。 ：02/09/19 17:33
>65
>>73 いちいちageて下らね～こと書くヴァカ発見
76 ：
61,66-70 ：02/09/25 20:38
>71さん、>72さんありがとうございます。
77 ：
61,66-70 ：02/09/25 20:40
1-c)
78 ：
61,66-70 ：02/09/25 20:41
(3)nis-serverで
79 ：
61,66-70 ：02/09/25 20:42
ただしgetentだと
80 ：
61,66-70 ：02/09/25 20:42
(c)けれどもnis-clientにloginするとやはりshadowの内容は
>>79 #include <stdio.h>
#include <shadow.h>
int main(int argc, char *argv[]) {
int i;
for (i = 1; i < argc; i++) {
struct spwd *sp = getspnam(argv[i]);
if (sp == NULL) {
perror("getspnam");
exit(1);
}
printf("%s;%s;%l;%l;%l;%l;%l;%l;%x\n",
sp->sp_namp, sp->sp_pwdp, sp->sp_lstchg,
sp->sp_min, sp->sp_max, sp->sp_warn,
sp->sp_inact, sp->sp_expire, sp->sp_flag);
}
return 0;
}
とりあえず実行してみれ。
82 ：
61,66-70,76-80 ：02/10/14 20:28
>>81 さん 遅くなりました．
とりあえず実行してみました(コンパイルではerrorもwarningもでない)
が標準出力になにも出ませんし、ファイルも出来ません．
% ./yptest
% ./yptest hoge
getspnam: Bad file number (hogeがなんであってもこうなるようです.
yptestは81でもらったソースをコンパイルして出来た実行ファイル．
gcc3.0.2, 64bit Solaris 8(sparc), NIS serverでもNIS clientでも同じ
結果)
なんだかレベルにちょっと断層があるようなのでじっくり(理解してから)
やってみます．まずはシステムコールって何?あたりから…
嘘言ってました．-Wallつけると標準エラー出力にでます。warning
84 ：
名無しさん＠お腹いっぱい。 ：02/10/14 23:28
>>69 いっそ期限が切れたら cron でスクリプト回してパスワード潰してしまうんでは駄目？
>84さん、ありがとうございます．
86 ：
not 58 ：02/10/15 21:40
>>83 < #include <stdlib.h>
< printf("%s;%s;%ld;%ld;%ld;%ld;%ld;%ld;%x\n",
な。(Compileしてなかった)
rootでも取得できなければ、libraryになにか問題があると思う。
ypcatでは取得できているみたいなので。
ltrace/strace(Linux), truss(Solaris)で調べてみてちょ
87 ：
名無しさん＠お腹いっぱい。 ：02/10/15 22:09
>>86 さん
# gcc -Wall -o yptest yptest.c
yptest.c: In function `main':
yptest.c:17: warning: long int format, int arg (arg 4)
yptest.c:17: warning: long int format, int arg (arg 5)
yptest.c:17: warning: long int format, int arg (arg 6)
yptest.c:17: warning: long int format, int arg (arg 7)
yptest.c:17: warning: long int format, int arg (arg 8)
yptest.c:17: warning: long int format, int arg (arg 9)
# ./yptest
# ./yptest "なにを書いても"
getspnam: Bad file number
もちろん一般ユーザーでも結果は同じです。実行はNIS server上。
ちなみにSolaris 8にtruss, straceは有りました。
ltraceは無いみたいです。
かなり分かっていない感じなので精進してから再トライします。
System call = OS API? 出直します。
88 ：
名無しさん＠お腹いっぱい。 ：02/10/16 10:57
>>87 man getspnam | head -4
Standard C Library Functions getspnam(3C)
システムコールじゃない
89 ：
not 58 ：02/10/16 21:08
>>87 > # ./yptest "なにを書いても"
> getspnam: Bad file number
file descriptorがおかしいって事だからなんか変。
とりあえず、
# truss ./yptest root
>> 89さん
91 ：
not 58 ：02/10/19 10:33
>>90 > # ./yptest root
> root;Fn1m.j9izt0.w;-1;-1;-1;-1;-1;-1;0
そりゃ、あかんやん。YP shadow map読めて/読んでないよ。
nsswitch.confを
shadow: nis files
でも駄目なの? (なんでfilesを先に書く?)
>>91 さん
あかんです。確かに。
nis filesにして(OSもrebootして)試してみましたがyptestの結果は
変わりませんでした。
files nisにしている理由はSolaris8の
NIS用nsswitch.confテンプレート(/etc/nsswitch.nis)がそうだったから
というだけです。今はNIS serverで/etc/passwd, shadowから直接
NIS mapを作っているので、NISでrootも配っているんです。
files nisにすると全てのhostsのrootパスワードがNIS serverと同じに
なってしまいます。
web siteなどを調べると、NISで配るmapのためのファイルは/var/ypなどに
コピーして(passwd, shadowから)rootを除いて(/var/yp/Makefileを
いじって)運用した方がよいと書いてありますがそこまでは
まだやっていません。
本題の方はもう少し自分で調べて試してみます。進捗あったらまた報告します。
（＾＾）
ネットワーク再構築テスト
95 ：
名無しさん＠お腹いっぱい。 ：03/04/16 09:46
nis から ldap に移行したいと思っておるが、
（＾＾）
あぼーん
99 ：
名無しさん＠お腹いっぱい。 ：03/04/21 16:04
>>96 NIS -> LDAP なんてことするのは Solaris8 or 9 以外にはちと考えにくい
あぼーん
102 ：
名無しさん＠お腹いっぱい。 ：03/06/17 10:59
>>86 禿同
はなし変わるけど、携帯ゲーム機"プレイステーションポータブル(PSP)
このPSPは、新規格UMD(ユニバーサルメディアディスク)というディスクを利用しており、そのサイズは直径6cmととても小さい(CDの半分程度)。 容量は1.8GBとなっている。
画面は4.5インチのTFT液晶で、480px x 272px(16:9)。MPEG4の再生やポリゴンも表示可能。外部端子として、USB2.0とメモリースティックコネクタが用意されているという。
この際、スク・エニもGBAからPSPに乗り換えたらどうでしょう。スク・エニの場合、PSPの方が実力を出しやすいような気がするんですが。
任天堂が携帯ゲーム機で圧倒的なシェアをもってるなら、スク・エニがそれを崩してみるのもおもしろいですし。かつて、PS人気の引き金となったFF７のように。
いきなりこんな事書いてｽﾏｿ‥
GBAと比べてみてどうなんですかね？（シェアのことは抜きで）
あぼーん
105 ：
名無しさん＠お腹いっぱい。 ：03/08/12 16:25
Kerberosに関して、比較的最近のUNIX/Linuxでの取り扱いについてまとめた本って、
あぼーん
>>105 設定HOWTO本が知りたいなら、はっきりとそう言った方がいい。
それじゃ何を必要としているのかわからん。
108 ：
名無しさん＠お腹いっぱい。 ：03/08/12 17:27
Howto本だけだと意味もわからずできてしまいそうで恐いです。
あぼーん
あぼーん
あぼーん
いきなり質問なのですが、Windows Server 2003の
>>114 もうちょっと説明しろ。
bind operationのchainingで何とかなると思う。
しかしSolarisのPAMは、bindで認証しないからチョトやっかいだ。
iPlanet Directory Serverに全部やらせるのなら実績山ほどあるぞ。
ただし、Windows clientにplugin入れないと駄目だけどね。
本当に認証だけで、NSSはやらないのなら、
Active Directoryにradius喋らせるだけで十分かも。
LDAPスレの方が反応いいかも…
>>115 すんません。LDAP関連は手がけるの初めてなモノで、まだ手応えがよくわかってないんです。
既存のActiveDirectory（ちかじかWindows2003Serverへ移行予定）の中に
Sun ONE Web Serverを設置する予定なのですが、
代理店からSun ONE Directory Serverでないと認証できないと言われてしまいました。
で、ActiveDirectoryとSun ONE Directory Serverの連携という話になるんですが、
Webサーバ上ではBasic認証程度しかしないので、IDとパスワードの同期ができれば十分なのです。
『SolarisによるLDAP実践ガイド』読んでると暗澹たる気分になるし、
Sun ONE Identity Synchronization for Windowsは
代理店に扱うかどうかも不明とか言われて途方にくれてます。
>>116 > 代理店からSun ONE Directory Serverでないと認証できないと言われてしまいました。
認証のクライアントは何?
> Sun ONE Directory Serverでないと認証できない
Schemaも知らない馬鹿営業の話真に受けていても…
>>117 > 認証のクライアントは何?
認証のクライアントというのはエンドユーザの事でしょうか？
それならWindowsXP&IEです（ひょっとするとLinux&Mozillaがあるかも…）
現在は以下のような環境を想定してます。
ActiveDirectory<-??->Sun ONE Directory <-LDAP-> Sun ONE Web <-> クライアントPC
> Schemaも知らない馬鹿営業の話真に受けていても…
まー反論できない私もアレですんで…（苦笑）
119 ：
DESからMD5への移行 ：03/09/26 18:24
古いホストで DES でハッシュされた /etc/passwd を使っています。
chageとかでパスワードの更新を促すとか。
>>119 そういうPAMモジュールはしらないけど、
>>119 > 全てのユーザのMD5ハッシュ済みパスワードがたまった時点で移行したいのですが、
その都度変更して大丈夫じゃない?
最近の*BSDや*Linuxは、DEC, MD5混在してても問題なし。
>121の指はまだDECを憶えているようだ。泣ける。
DES はハッシュじゃないと思うのだが。
そうだね
126 ：
名無しさん＠お腹いっぱい。 ：03/10/07 14:45
passwd ファイルと shadow ファイルの x と * と ! は何を意味するのでしょうか？
128 ：
名無しさん＠お腹いっぱい。 ：03/10/07 15:00
>>127 ごめんなさい。わかりました。
When the asterisk is there, nothing can match it.
An exclamation mark means a password (or account) is locked via
usermod(8). Also, a single exclamation marks means that a account is not
allowed for logins. So a double exclamation makes sure that if it was
unlocked, it would still have an invalid passwd.
129 ：
名無しさん＠お腹いっぱい。 ：03/10/16 20:01
バックエンドのデータベースエンジンに格納されている
131 ：
名無しさん＠お腹いっぱい。 ：03/10/17 04:29
>>130 が～ん、漏れも Debian 使いです…
そんなパッケージがあったとは…ありがとう。
認証を全部Kerberosにしたいのですが、Kerberosできるメールクライアントってどんなのがあるのでしょうか。
pam使え。
134 ：
名無しさん＠お腹いっぱい。 ：04/09/01 12:34
Plan9があれば、こんなKerberosみたいなゴテゴテした仕組みは
135 ：
名無しさん＠お腹いっぱい。 ：04/09/01 13:58
うちのサーバは人を信用してるから認証なし
136 ：
名無しさん＠お腹いっぱい。 ：04/09/01 16:18
>>134 そういえば、Kerberosって日本ではなかなか普及しないねぇ。
まあ、あんな面倒なもの使いたいなんて思わないからなぁ。
RADIUSとか･･･････認証違いか･･･
>>137 WindowsとMac OS Xは、Kerberosを重要視し始めましたよ。
しかも運用はGUIDベース。
OSのあらゆるサービスがkerberos認証に基づく分散コンポーネントで
>>140 一行目はKerberos V5ベタベタに聞こえるけど、そうではない。
142 ：
くそAD ：04/09/10 14:38:10
Postfix へ POP Before SMTP として、Courier-IMAP + DRACを使う。
courierをauthpamにして、pamでldapを参照するようにする。
144 ：
くそAD ：04/09/13 11:35:26
>> 143
>>144 > > ldapsでsimple bind、でいいんじゃないですか?
> この場合、pam_passwordはclearで良いのでしょうか？
Simple bindにすれば、指定しなくていい。(全てサーバ任せ)
nss_ldapのときは必須だけどね。ここちゃんと理解してね。
さらにパスワード変更するなら、
client側でpassword modifyオペレーションが利用できればいい。
# ActiveDirectoryはOK
> ActiveDirectory はクリアテキストでは格納されていないようだと
> 業者が言っておりました。
されてるよ。じゃないとchallenge & response使えないし。
けどそんなこと意識する必要ないのがbind。
> （あまりあてにならない業者のようでしたが）
まあ、あなたも分からないわけだから…
> Win2003 Server は手に入れたのですが、ユーザのエントリに
> posixAccount のオブジェクトクラスを追加する方法がまだ
> 分からずにいてテストできない状態です。
ldap関係のCUI .exeが付いているでしょ。ldapaddとか。
ActiveDirectoryの参考書読んだら?
147 ：
くそAD ：04/09/13 13:16:58
いろいろありがとうございます。
>>147 > LDAP側から見たものが見つからなくて
ないよ。
Windowsで閉じている限りは以下の操作でOKです、ってのばかり。
padl.comのlink集がお勧め。MSDNも必読。
microsoft.ext.schema microsoft.schema microsoft.std.schema
も目を通しておいた方がいい。
後はSSLなしで運用してみて、etherealでsnoop。
149 ：
くそAD ：04/09/13 17:30:50
>>148 > Windowsで閉じている限りは以下の操作でOKです、ってのばかり。
やっぱり・・・
> padl.comのlink集がお勧め。MSDNも必読。
padl.com のリンクはいいですね。
その他、いろいろ良い情報ありがとうございます。
助かりました。
150 ：
名無しさん＠お腹いっぱい。 ：04/09/13 23:30:03
ユーザーデーターはLDAP-SSL,認証はKerberosコレ、漢仕様。
Kerberos、きちんと運用できれば便利なんだろうけどねぇ…
PAMあれば、Kerberos運用は簡単。
154 ：
名無しさん＠お腹いっぱい。 ：2005/05/11(水) 03:14:00
Solaris9(sparc) + nss_ldap-238(gcc,GNUmakeでbuild)で環境構築中、
>>154 nss_ldapは置き換える必要がないと思うがどうか?
何のために置き換えようとしているの?
>>145 は俺なんだけどこの記述が誤解させちゃったかな?
>>143 とかLDAPスレとか読んでね。
# Solarisのpam_ldapは、OpenLDAPのpam_ldapと違う処理をする。
# simple bind op.じゃなくて、クライアント側でdecrypt check。
# nss_ldapは普通。接続設定方法だけ独自。
156 ：
名無しさん＠お腹いっぱい。 ：2005/05/11(水) 22:14:37
大規模サイトで、LDAPが流行っているようですが､
LDAPスレにありますが、OpenLDAPは駄目駄目です。
>>155 Solarisのldapclientコマンドで設定すると、
- いくつかの設定ファイルが自動的に書き換えられてしまう
- いくつかのデーモンが勝手に起動する
ので、/var/ldap/ldap_client_fileを作るのが目的なのに、
副作用がありそうで、その影響範囲が見えないことを懸念してまつ。
# -vオプションを付ければ処理を全て表示してくれる？
本番運用系のサーバを順次、nss/pam対応しようと思ってるんだけど、
何らかの副作用で、sendmailのメール配送に影響出たりすると、
目も当てられないので…。
その点、PADLのnss_ldapはldapclientのような
ブラックボックス化された部分が無く、
シンプルで分かりやすいので、置き換えたかったわけです。
Solaris純正は情報も少ないし…(docs.sun.comくらい？)
pamの違いは理解してまつ。
LDAPを認証サーバとして使った経験はあるので。
むしろ「userPasswordを読んで比較」だと、
「それじゃ単なるDBじゃん！」とツッコミたくなるよね。
そのへん純正pamは、ちとイケテナイなぁ、と。
>> 157
160 ：
155 ：2005/05/12(木) 08:09:53
161 ：
158 ：2005/05/12(木) 08:55:06
FreeBSD でLDAPしようと思うと、LDAPに何を使うのがいいでしょうか？
164 ：
ななし ：2005/05/16(月) 00:15:01
>>162 openldapの話は規模によると思います。
大規模系ですか？
165 ：
名無しさん＠お腹いっぱい。 ：2005/06/03(金) 11:56:35
kerberosを使ってるマシン(Fedore Core 4)に誰かがsshでログイン中、チケットキャッシュが
167 ：
名無しさん＠お腹いっぱい。 ：2006/01/26(木) 00:07:15
debian sargeでPostfixでSMTP AUTH + PAMやりたいのに、なんで
>>166 Kerberosを良く勉強するか、心配するのは止めて寝なさい。
>>167 どう設定してもPAM認証を行ってくれないってことはないです。
Cyrus SASL 2を使いなさい。
保守
>>168 ってこことかLDAPのスレでよくみるな。
171 ：
名無しさん＠お腹いっぱい。 ：2006/07/26(水) 13:18:48
● 細木数子 × 恫喝 × 島倉千代子の弱み
細木数子のブレーンが必死だ。 親しい芸能関係者を呼んで、「 お金はいくらでも出すから
島倉のスキャンダルを教えてくれ 」 と頼んでるらしい。 細木と島倉といえば、 マスコミでは
島倉の危機を救った命の恩人のようだが、実際は細木が島倉を食い物にしたと噂されてる。
その真相を島倉にしゃべられたくないため、 先日、 羽田空港で二人がばったり会った際に、
島倉に「 余計なことをしゃべるな 」とクギを刺したようだ。細木といえば、若い頃は暴力団の
幹部の女だったとか、いろいろ黒い噂のある人物だ。たいていのスキャンダルなら「 力 」と
「 金 」で封じ込めると思うが、何か焦ってるのだろうか。
細木の話によると「 島倉千代子はかって１２億円の借金があったが、その借金を細木がマネｰ
ジャーや送り迎えをしながら協力した 」そうだ。それなのに「 借金を返済したとたんに事務所を
移転して音沙汰なし 」とか。 これが本当であれば島倉千代子も恩知らずといえそうだが、これ
に対しては逆に 「 細木数子が島倉千代子から金を騙し取っていたので 島倉側は細木数子に
対して怒りを覚えてる 」 という情報もあるようだ。 いつまでも返済できない借金を所属レコード
会社のコロムビアに借金を肩代わりしてもらうことで、別の事務所に移籍して細木数子の魔の
手から逃れたとか。細木数子といえば、実弟のマルチまがい商法疑惑やら悪徳霊感商法疑惑
やらの黒い噂も流れている。 たたけばいくらでも埃の出る身だろうが、 視聴率を稼いでいる今
は大丈夫かもしれない。
http://www.nazotoki.com/obatyan.html
>>171 $ cat /etc/pam.d/shimakura
auth required pam_hosogi.so
account required pam_hosogi.so
password required pam_hosogi.so
session required pam_hosogi.so
$
↑悪い設定例
173 ：
名無しさん＠お腹いっぱい。 ：2007/04/20(金) 10:47:51
落ちそうだからageとくよ
今ようやく、krb5/heimdal を穿り出してる（SAMBA-ADSからSPNEGO関連）
とりあえず LDAP と samba で Windows と UNIX の
SambaでADに参加するのは簡単。
UNIX的にはPAM化した方がよくね？
ま、Kerberos の仕組みを理解してない
>>178 ・kerberos は チケット発行してもらうKDC。
・kerberos対応アプリケーション(GSSAPIライブラリつかったもん)では、
ユーザが取得したチケットを確認して、kdcに問い合わせる。
・レルムに属する資源検索はDNSでも可能になってる。（88/tcpとは限らん）
・昔は、DESを使う。今は3DES/AES、 何でもござれ。
それ以外に何か理解する必要があっただろうか。
実装面での脆弱性とかは、気にしても仕方ない。
それと、KRBとActiveDirectoryとは基礎は同じでも、拡張部分があって
同一に扱うのは無理がある。 Samba4.0あたりでは、独自のKRB実装を入れて
AD拡張部分を埋める。
背伸びしすぎw
AD,は、エラーが出てもなにが原因かわからないことが多くてやだ。
Sambaの出バグオプション、 -d10 とかすると、なにやら出過ぎて困るね。
9とか8とか小さくすればいいんじゃね？
nsswitch.conf
185 ：
電脳プリオン ：2011/12/11(日) 22:02:41.87 BE:162163744-2BP(1960)
今は何の時代？
レスないな
187 ：
名無しさん＠お腹いっぱい。 ：2014/10/05(日) 11:48:03.78
お試しモードでインストールせずにＤＶＤから起動して