セキュア LDAP の接続テスト

コマンドラインから ldapsearch ユーティリティを使用して、基本的な LDAP クエリを作成します。LDAP クエリが正常に実行された場合は、LDAP クライアントと基盤となっている TLS セッションおよび TCP 接続が意図したとおりに動作しています。

ldapsearch で接続をテストするには:

1. LDAP クライアントを追加するの手順に沿って、LDAP 設定を作成し、証明書をダウンロードします。

   注: シンプルな環境でテストできるよう、LDAP クライアントのアクセスを承認する組織部門にはユーザーがいるようにしてください。

2. LDAP クエリを実行します。この例では、特定のユーザーにクエリを実行します（詳しくは、OpenLDAP ldapsearch をご覧ください）。

   LDAPTLS_CERT={crt_file} LDAPTLS_KEY={key_file} ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} '(mail={user_email})'

   プレースホルダを次のように置き換えます。

   • {crt_file}: .crt ファイルの名前
   • {key_file}: .key ファイルのファイル名
   • {domain} ドメイン名の各部分。たとえば、example.com は「dc=example,dc=com」になります。
   • {user_email}: ドメイン内のユーザーのメインのメールアドレス。

ldapsearch の使用に関する注意事項

• BindDN 値が指定されていない場合、ldapsearch は鍵と証明書を使用して検索を承認します。
• BindDN 値が 管理コンソールで生成した LDAP ユーザー名の場合、ldapsearch は管理コンソールで構成された LDAP クライアントの権限を使用します。

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {ldap_access_credentials_username} -W '(mail={user_email})

• BindDN 値が Workspace ユーザーのメールアドレスまたは LDAP 識別名の場合、ldapsearch はそのユーザーの認証情報を使用して、権限に基づいて検索を行います。

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {workspace_username@domain} -W '(mail={user_email})'

ldapsearch を stunnel で使用する

導入に stunnel を使用する必要がある場合は、次の手順を行います。

1. 管理コンソールで アクセス認証情報を生成し、ldapsearch に必要なユーザー名とパスワードを生成します。
2. 次のコマンドを使用します。

   ldapsearch -x -D "{username}" -w {password} -H ldap://{stunnel_host}:{stunnel_port} -b dc={domain},dc={domain} '(mail={user_email})'

   プレースホルダを次のように置き換えます。

   • {username}: 管理コンソールで生成された認証情報のユーザー名
   • {password}: 管理コンソールで生成された認証情報のパスワード
   • {stunnel_host} : ネットワーク内で stunnel を実行しているマシンの IP アドレスまたはホスト名。
   • {stunnel_port} : stunnel が動作しているポート（stunnel の設定を確認してください）
   • {user_email} ドメイン内のユーザーのメインのメールアドレス

ldapsearch コマンドが正常に終了した場合

ldapsearch コマンドが正常に終了すると、ユーザーとそのメールアドレス（LDAP クライアント作成時に指定したもの）のリストが LDIF 形式で出力されます。

次に例を示します。

# extended LDIF
#
# LDAPv3
# base <dc=example,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# example.com
dn: dc=example,dc=com
objectClass: top
objectClass: domain
objectClass: dcObject
dc: example

# admin-group, Groups, example.com
dn: cn=admin-group,ou=Groups,dc=example,dc=com
objectClass: top
objectClass: groupOfNames
objectClass: posixGroup
cn: admin-group
displayName: admin-group
description:
gidNumber: 12345
member: uid=admin,ou=Users,dc=example,dc=com
memberUid: admin
googleAdminCreated: FALSE

# example-user, Users, example.com
dn: uid=example-user,ou=Users,dc=example,dc=com
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
uid: example-user
googleUid: example-user
posixUid: example-user
cn: example-user
cn: FirstName LastName
sn: FirstName
displayName: FirstName LastName
givenName: FirstName
mail: example-user@example.com
uidNumber: 12345
gidNumber: 12345
homeDirectory: /home/example-user
loginShell: /bin/bash
gecos:

発生する可能性のあるエラー

• OpenLDAP クライアントおよびライブラリが SNI のサポートなしでコンパイルされる
  
  LDAP クライアント（ここでは OpenLDAPOpenLDAP）が SNI（Server Name Indication）をサポートしている必要があります。SNI を利用できない場合、次のようなエラーが表示されることがあります。
  
  SASL/EXTERNAL authentication started

ldap_sasl_interactive_bind_s: Unknown authentication method (-6)
additional info: SASL(-4): no mechanism available:
  
  推奨事項:
  • macOS をご使用の場合、SASL はデフォルトで有効になっています。オプション「-x」を使用すると無効にできます。
  • ldapsearch に -d5 オプションを追加して、出力に次の行があるか確認します。
    
    TLS certificate verification: depth: 0, err: 18, subject: /OU=No SNI provided; please fix your client.
    

• ldapsearch でステータス 0（成功）が返されるのにユーザーが出力されない
  
  ldapsearch オプション -x（SASL 認証を使用）とクライアント証明書を指定すると、認証は成功しますがドメイン内のユーザーリストは出力されません。
  
  推奨事項: オプション -x を削除して、もう一度お試しください。

1. ldp.exe（Windows）の手順 1 ～ 11 を行ってクライアント証明書をインストールします。
2. [操作] > [接続先] に移動します。
3. 次の接続設定を入力します。
   
   名前: 接続の名前を入力します（例: Google LDAP）。
   接続ポイント: [識別名または名前付けコンテキストを選択または入力する]
   ドメイン名を DN 形式で入力します（例: example.com の場合は dc=example,dc=com）。
   
   コンピュータ: [ドメインまたはサーバーを選択または入力する]
   ldap.google.com
   
   SSL ベースの暗号化を使用する: オン
   
4. [Advanced...] をクリックし、次の詳細を入力します。
   
   Specify credentials: チェックされている
   Username: 管理コンソールで生成したアクセス認証情報のユーザー名
   Password: 管理コンソールで生成したアクセス認証情報のパスワード
   Port Number: 636
   Protocol: LDAP
   Simple bind authentication: チェックされている
   
5. [OK] をクリックし、再度 [OK] をクリックします。
6. 接続に成功すると、ベース DN のディレクトリの内容が右側のパネルに表示されます。

1. OpenSSL をインストールします。
2. 証明書ファイルとキーファイルを 1 つの PKCS12 形式のファイルに変換します。コマンド プロンプトで次のように入力します。
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   出力ファイルを暗号化するためのパスワードを入力します。
   
3. [コントロール パネル] に移動します。
4. 検索ボックスで「証明書」を検索して [ユーザー証明書の管理] をクリックします。
5. [操作] > [すべてのタスク] > [インポート] に移動します。
6. [現在のユーザー] を選択し、[次へ] をクリックします。
7. [Browse] をクリックします。
8. ダイアログ ボックスの右下にあるファイル形式のプルダウン メニューから、[Personal Information Exchange (*.pfx;*.p12)] を選択します。
9. 手順 2 の ldap-client.p12 ファイルを選択して [開く] をクリックし、[次へ] をクリックします。
10. 手順 2 で入力したパスワードを入力し、[次へ] をクリックします。
11. [個人] 証明書ストアを選択し、[次へ] をクリックしてから [完了] をクリックします。
12. Ldp.exe を実行します。
13. [接続] > [接続] をクリックします。
14. 次の接続情報を入力します。
    
    サーバー: ldap.google.com
    ポート: 636
    コネクションレス: オフ
    SSL: オン
    
15. [OK] をクリックします。
16. [表示] > [ツリー] を選択します。
17. ベース DN を入力します。これは DN 形式のドメイン名です。（例: example.com の場合は dc=example,dc=com）。
18. [OK] をクリックします。
19. 接続に成功すると、ベース DN のディレクトリの内容が右側のパネルに表示されます。