보안 LDAP 연결 테스트

명령줄에서 ldapsearch 유틸리티를 사용하여 기본 LDAP 쿼리를 실행합니다. LDAP 쿼리에 성공하면 LDAP 클라이언트, 기반 TLS 세션, TCP 연결이 정상적으로 작동하고 있다는 뜻입니다.

ldapsearch로 연결을 테스트하려면 다음 단계를 따르세요.

1. LDAP 클라이언트 추가의 안내에 따라 LDAP 구성을 만들고 인증서를 다운로드합니다.

   참고: 테스트 환경을 간소화하려면 LDAP 클라이언트 액세스를 승인하는 조직 단위에 사용자가 한 명 이상 있어야 합니다.

2. LDAP 쿼리를 실행합니다. 이 예에서는 특정 사용자를 쿼리합니다 (자세한 내용은 OpenLDAP ldapsearch 참고).

   LDAPTLS_CERT={crt_file} LDAPTLS_KEY={key_file} ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} '(mail={user_email})'

   다음과 같이 자리표시자를 바꿉니다.

   • {crt_file} .crt 파일의 이름
   • {key_file} .key 파일의 파일 이름
   • {domain} 도메인 이름의 각 부분입니다. 예를 들어 example.com은 'dc=example,dc=com'이 됩니다.
   • {user_email} 도메인에 있는 사용자의 기본 이메일 주소입니다.

ldapsearch 사용에 관한 참고사항

• BindDN 값이 제공되지 않으면 ldapsearch는 키와 인증서를 사용하여 검색을 승인합니다.
• BindDN 값이 관리 콘솔에서 생성한 LDAP 사용자 이름인 경우 ldapsearch는 관리 콘솔에 구성된 LDAP 클라이언트의 권한을 사용합니다.

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {ldap_access_credentials_username} -W '(mail={user_email})

• BindDN 값이 Workspace 사용자의 이메일 주소 또는 LDAP 고유 이름인 경우 ldapsearch는 해당 사용자의 사용자 인증 정보를 사용하여 권한에 따라 검색합니다.

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {workspace_username@domain} -W '(mail={user_email})'

stunnel과 함께 ldapsearch 사용

배포에 stunnel을 사용해야 하는 경우 다음 단계를 따르세요.

1. 관리 콘솔에서 액세스 사용자 인증 정보를 생성하여 ldapsearch에 필요한 사용자 이름과 비밀번호를 생성합니다.
2. 다음 명령어를 사용하세요.

   ldapsearch -x -D "{username}" -w {password} -H ldap://{stunnel_host}:{stunnel_port} -b dc={domain},dc={domain} '(mail={user_email})'

   다음과 같이 자리표시자를 바꿉니다.

   • {username} 관리 콘솔에서 생성된 사용자 인증 정보의 사용자 이름
   • {password} 관리 콘솔에서 생성된 사용자 인증 정보의 비밀번호
   • {stunnel_host} : 네트워크에서 stunnel을 실행하는 머신의 IP 주소 또는 호스트 이름입니다.
   • {stunnel_port}: stunnel이 실행 중인 포트(stunnel 구성 확인)
   • {user_email} 도메인에 있는 사용자의 기본 이메일 주소

ldapsearch 명령어의 성공적인 시나리오

ldapsearch 명령어가 성공적으로 출력되면 LDAP 클라이언트를 만들 때 지정된 이메일이 있는 사용자가 LDIF 형식으로 나열됩니다.

예를 들면 다음과 같습니다.

# extended LDIF
#
# LDAPv3
# base <dc=example,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# example.com
dn: dc=example,dc=com
objectClass: top
objectClass: domain
objectClass: dcObject
dc: example

# admin-group, Groups, example.com
dn: cn=admin-group,ou=Groups,dc=example,dc=com
objectClass: top
objectClass: groupOfNames
objectClass: posixGroup
cn: admin-group
displayName: admin-group
description:
gidNumber: 12345
member: uid=admin,ou=Users,dc=example,dc=com
memberUid: admin
googleAdminCreated: FALSE

# example-user, Users, example.com
dn: uid=example-user,ou=Users,dc=example,dc=com
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
uid: example-user
googleUid: example-user
posixUid: example-user
cn: example-user
cn: FirstName LastName
sn: FirstName
displayName: FirstName LastName
givenName: FirstName
mail: example-user@example.com
uidNumber: 12345
gidNumber: 12345
homeDirectory: /home/example-user
loginShell: /bin/bash
gecos:

발생할 수 있는 오류

• OpenLDAP 클라이언트 및/또는 라이브러리가 SNI 지원 없이 컴파일됨
  
  LDAP 클라이언트 (이 경우 OpenLDAP)에서 SNI (서버 이름 표시)를 지원해야 합니다. SNI를 사용할 수 없는 경우 다음과 유사한 오류가 표시될 수 있습니다.
  
  SASL/EXTERNAL authentication started

ldap_sasl_interactive_bind_s: Unknown authentication method (-6)
additional info: SASL(-4): no mechanism available:
  
  권장사항:
  • MacOS를 사용하는 경우 SASL이 기본적으로 사용 설정되어 있으나 '-x' 옵션을 사용하여 우회할 수 있습니다.
  • ldapsearch에 -d5 옵션을 추가하고 출력에서 다음 줄을 확인합니다.
    
    TLS certificate verification: depth: 0, err: 18, subject: /OU=No SNI provided; please fix your client.
    

• ldapsearch가 상태 0 (성공)을 반환하지만 사용자가 출력되지 않음
  
  클라이언트 인증서와 함께 ldapsearch 옵션 -x (SASL 인증 사용)를 지정하면 인증은 성공하지만 도메인의 사용자가 나열되지 않습니다.
  
  권장사항: 옵션 -x를 삭제하고 다시 시도하세요.

1. ldp.exe (Windows)의 1~11단계를 따라 클라이언트 인증서를 설치합니다.
2. Action(액션) > Connect to(연결)…로 이동합니다.
3. 다음 연결 설정을 입력합니다.
   
   이름: 연결 이름을 입력합니다(예: Google LDAP).
   연결 지점: '식별 이름 또는 명명 컨텍스트 선택 또는 입력'
   DN 형식으로 도메인 이름을 입력합니다(예: example.com의 경우 dc=example,dc=com).
   
   컴퓨터: '도메인 또는 서버 선택 또는 입력'
   ldap.google.com
   
   SSL 기반 암호화 사용: 선택됨
   
4. 고급…을 클릭하고 다음 세부정보를 입력합니다.
   
   사용자 인증 정보 지정: 선택
   사용자 이름: 관리 콘솔의 액세스 사용자 인증 정보 사용자 이름
   비밀번호: 관리 콘솔의 액세스 사용자 인증 정보 비밀번호
   포트 번호: 636
   프로토콜: LDAP
   단순 바인드 인증: 선택
   
5. OK(확인)를 클릭한 후 OK(확인)를 다시 클릭합니다.
6. 연결에 성공하면 기본 DN의 디렉토리 내용이 오른쪽 창에 표시됩니다.

1. OpenSSL을 설치합니다.
2. 인증서 및 키 파일을 하나의 PKCS12 형식 파일로 변환합니다. 명령 프롬프트에서 다음을 입력합니다.
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   출력 파일을 암호화할 비밀번호를 입력합니다.
   
3. 제어판으로 이동합니다.
4. 검색창에 '인증서'를 검색하고 사용자 인증서 관리를 클릭합니다.
5. Action(조치) > All Tasks(모든 할 일) > Import(가져오기)…로 이동합니다.
6. Current User(현재 사용자)를 선택하고 Next(다음)를 클릭합니다.
7. Browse(둘러보기)…를 클릭합니다.
8. 대화상자의 오른쪽 하단에 있는 file type(파일 형식) 드롭다운에서 Personal Information Exchange (*.pfx;*.p12)를 선택합니다.
9. 2단계에서 ldap-client.p12 파일을 선택하고 열기를 클릭한 다음 다음을 클릭합니다.
10. 2단계에서 입력한 비밀번호를 입력하고 Next(다음)를 클릭합니다.
11. 개인 인증서 저장소를 선택하고 다음을 클릭한 다음 마침을 클릭합니다.
12. Ldp.exe를 실행합니다.
13. 연결 > 연결…로 이동합니다.
14. 다음 연결 세부정보를 입력합니다.
    
    서버: ldap.google.com
    포트: 636
    비연결: 선택 해제
    SSL: 선택
    
15. 확인을 클릭합니다.
16. View(보기) > Tree(트리)로 이동합니다.
17. 기본 DN을 입력합니다. DN 형식의 도메인 이름(예: example.com의 경우 dc=example,dc=com)입니다.
18. OK(확인)를 클릭합니다.
19. 연결에 성공하면 기본 DN의 디렉토리 내용이 오른쪽 창에 표시됩니다.