보안 LDAP 연결 테스트

명령줄에서 ldapsearch 유틸리티를 사용하여 기본 LDAP 쿼리를 실행하세요. LDAP 쿼리에 성공하면 LDAP 클라이언트, 기반 TLS 세션, TCP 연결이 정상적으로 작동하고 있다는 뜻입니다.

ldapsearch를 사용하여 연결을 테스트하려면 다음 안내를 따르세요.

1. LDAP 클라이언트 추가의 안내에 따라 LDAP 구성을 만들고 인증서를 다운로드합니다.

   참고: 테스트 환경을 단순화하려면 LDAP 클라이언트 액세스를 승인할 조직 단위에 한 명 이상의 사용자가 있어야 합니다.

2. LDAP 쿼리를 실행합니다. 이 예에서는 특정 사용자를 쿼리합니다 (자세한 내용은 OpenLDAP ldapsearch 참고).

   LDAPTLS_CERT={crt_file} LDAPTLS_KEY={key_file} ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} '(mail={user_email})'

   다음과 같이 자리표시자를 바꿉니다.

   • {crt_file} .crt 파일의 이름
   • {key_file} .key 파일의 파일 이름
   • {domain} 도메인 이름의 각 부분입니다. 예를 들어 example.com은 'dc=example,dc=com'이 됩니다.
   • {user_email} 도메인에 있는 사용자의 기본 이메일 주소입니다.

ldapsearch 사용 관련 참고사항

• BindDN 값이 제공되지 않으면 ldapsearch는 키와 인증서를 사용하여 검색을 승인합니다.
• BindDN 값이 관리 콘솔에서 생성한 LDAP 사용자 이름인 경우 ldapsearch는 관리 콘솔에 구성된 LDAP 클라이언트의 권한을 사용합니다.

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {ldap_access_credentials_username} -W '(mail={user_email})

• BindDN 값이 Workspace 사용자의 이메일 주소 또는 LDAP 고유 이름인 경우 ldapsearch는 해당 사용자의 사용자 인증 정보를 사용하여 권한에 따라 검색합니다.

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {workspace_username@domain} -W '(mail={user_email})'

stunnel과 함께 ldapsearch 사용하기

배포 시 stunnel을 사용해야 하는 경우 다음 단계를 따르세요.

1. 관리 콘솔에서 액세스 사용자 인증 정보를 생성하여 ldapsearch에 필요한 사용자 이름과 비밀번호를 생성합니다.
2. 다음 명령어를 사용하세요.

   ldapsearch -x -D "{username}" -w {password} -H ldap://{stunnel_host}:{stunnel_port} -b dc={domain},dc={domain} '(mail={user_email})'

   다음과 같이 자리표시자를 바꿉니다.

   • {username} 관리 콘솔에서 생성된 사용자 인증 정보의 사용자 이름
   • {password} 관리 콘솔에서 생성된 사용자 인증 정보의 비밀번호
   • {stunnel_host} : 네트워크에서 stunnel을 실행하는 시스템의 IP 주소 또는 호스트 이름
   • {stunnel_port} : stunnel이 실행 중인 포트(stunnel 구성 확인)
   • {user_email} 도메인에 있는 사용자의 기본 이메일 주소

ldapsearch 명령어 실행 완료 시나리오

ldapsearch 명령어가 제대로 실행되면 LDAP 클라이언트를 만들 때 지정한 이메일을 사용하는 사용자가 LDIF 형식으로 표시됩니다.

예를 들면 다음과 같습니다.

# extended LDIF
#
# LDAPv3
# base <dc=example,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# example.com
dn: dc=example,dc=com
objectClass: top
objectClass: domain
objectClass: dcObject
dc: example

# admin-group, Groups, example.com
dn: cn=admin-group,ou=Groups,dc=example,dc=com
objectClass: top
objectClass: groupOfNames
objectClass: posixGroup
cn: admin-group
displayName: admin-group
description:
gidNumber: 12345
member: uid=admin,ou=Users,dc=example,dc=com
memberUid: admin
googleAdminCreated: FALSE

# example-user, Users, example.com
dn: uid=example-user,ou=Users,dc=example,dc=com
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
uid: example-user
googleUid: example-user
posixUid: example-user
cn: example-user
cn: FirstName LastName
sn: FirstName
displayName: FirstName LastName
givenName: FirstName
mail: example-user@example.com
uidNumber: 12345
gidNumber: 12345
homeDirectory: /home/example-user
loginShell: /bin/bash
gecos:

발생할 수 있는 오류

• OpenLDAP 클라이언트 또는 라이브러리가 SNI 지원 없이 컴파일됨
  
  LDAP 클라이언트 (이 경우 OpenLDAP)에는 SNI (서버 이름 확인) 지원이 필요합니다. SNI를 사용할 수 없는 경우 다음과 유사한 오류가 표시될 수 있습니다.
  
  SASL/EXTERNAL authentication started

ldap_sasl_interactive_bind_s: Unknown authentication method (-6)
additional info: SASL(-4): no mechanism available:
  
  권장사항:
  • MacOS를 사용하는 경우 SASL이 기본적으로 사용 설정되어 있으나 '-x' 옵션을 사용하여 우회할 수 있습니다.
  • ldapsearch에 -d5 옵션을 추가하고 출력에서 다음 행을 확인하세요.
    
    TLS certificate verification: depth: 0, err: 18, subject: /OU=No SNI provided; please fix your client.
    

• ldapsearch에서 상태 0 (성공)을 반환했지만 사용자가 출력되지 않음
  
  클라이언트 인증서를 사용하여 ldapsearch 옵션 -x (SASL 인증 사용)를 지정하면 인증에는 성공하더라도 도메인의 사용자가 표시되지 않습니다.
  
  권장사항: -x 옵션을 삭제하고 다시 시도하세요.

1. ldp.exe (Windows)의 1~11단계에 따라 클라이언트 인증서를 설치합니다.
2. Action > Connect to…로 이동합니다.
3. 다음 연결 설정을 입력합니다.
   
   Name(이름): 연결 이름(예: Google LDAP)을 입력합니다.
   Connection Point(연결 포인트): 'Select or type a Distinguished Name or Naming Context(고유 이름 또는 명명 컨텍스트를 선택하거나 입력)'
   도메인 이름을 DN 형식(예: example.com의 경우 dc=example,dc=com)으로 입력합니다.
   
   Computer(컴퓨터): 'Select or type a domain or server(도메인 또는 서버를 선택하거나 입력)'
   ldap.google.com
   
   Use SSL-based Encryption(SSL 기반 암호화 사용): 선택
   
4. 고급...을 클릭하고 다음 세부정보를 입력합니다.
   
   사용자 인증 정보 지정: 선택됨
   사용자 이름: 관리 콘솔의 액세스 사용자 인증 정보 사용자 이름
   비밀번호: 관리 콘솔의 액세스 사용자 인증 정보 비밀번호
   포트 번호: 636
   프로토콜: LDAP
   단순 바인드 인증: 선택됨
   
5. 확인을 클릭한 후 확인을 다시 클릭합니다.
6. 연결에 성공하면 기본 DN의 디렉터리 내용이 오른쪽 창에 표시됩니다.

1. OpenSSL을 설치합니다.
2. 인증서 및 키 파일을 하나의 PKCS12 형식 파일로 변환합니다. 명령 프롬프트에 다음 명령어를 입력합니다.
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   출력 파일을 암호화할 비밀번호를 입력합니다.
   
3. 제어판으로 이동합니다.
4. 검색창에서 'certificate'를 검색한 다음 Manage user certificates를 클릭합니다.
5. Action > All Tasks > Import…로 이동합니다.
6. Current User(현재 사용자)를 선택하고 Next(다음)를 클릭합니다.
7. Browse(둘러보기)…를 클릭합니다.
8. 대화상자의 오른쪽 하단에 있는 file type(파일 형식) 드롭다운에서 Personal Information Exchange (*.pfx;*.p12)를 선택합니다.
9. 2단계에서 변환한 ldap-client.p12 파일을 선택하고 Open(열기)을 클릭한 후 Next(다음)를 클릭합니다.
10. 2단계에서 입력한 비밀번호를 입력하고 Next를 클릭합니다.
11. Personal 인증서 저장소를 선택하고 Next를 클릭한 다음 Finish를 클릭합니다.
12. Ldp.exe를 실행합니다.
13. Connection(연결) > Connect(연결)...로 이동합니다.
14. 다음 연결 세부정보를 입력합니다.
    
    Server(서버): ldap.google.com
    Port(포트): 636
    Connectionless(비연결): 선택 해제
    SSL: 선택
    
15. 확인을 클릭합니다.
16. 보기 > 트리로 이동합니다.
17. 기본 DN을 입력합니다. DN 형식의 도메인 이름입니다. (예: example.com의 경우 dc=example,dc=com)
18. 확인을 클릭합니다.
19. 연결에 성공하면 기본 DN의 디렉터리 내용이 오른쪽 창에 표시됩니다.