先日、SSSD+LDAPネタを連投しましたが、ローカルアカウントとLDAPの２つのデータにおいて、少々変わった挙動がありましたのでメモっておきます。 今回の話はローカルユーザー／ローカルグループどちらも対象なのですが、発見時の操作がグループだったのと、作成・削除がよりシンプルなのでグループメインで説明していきます。OSはCentOS7です。 問題点 とある環境でGIDを指定せずに groupadd した時、新規グループのGIDは、ローカルグループ・LDAPグループの両方の中から、利用中の最大GID+1 で登録されました。 別の環境で同様に groupadd すると、GIDは 1000番で登録されました。 この違いを探るのに最初はディストリビューションの違いを疑いましたが、軽く調べているうちに nslcd の場合は最大GID+1 を、SSSD+LDAPの場合は 1000番以降で使われていない

SSSDを触り始めた理由である、nslcd+nscd と結局どっちがエェねんという疑問をまとめていきます。 SSSD といっぱいタイピングしていると ssh が sssh になってしまう病気にかかるので要注意です。 関連記事 認証システムSSSD+LDAP+SUDOの構築手順 SSSD+LDAP+SSH連携の設定 システムの用途 nslcd（Name Service LDAP Connection Daemon） はその名の通りLDAPとの接続を担うだけなので、キャッシュ担当の nscd (Name Service Cache Daemon) がいないと毎回LDAPに接続することになり、不健康となるためセットで使うのが基本です。 SSSDは認証管理＋キャッシュの役割を併せ持つので、デーモンとしては１つになります。LDAP以外の様々な認証機能を使えるのも強みですね。 LDAP周りだけでいえば

古いOpenSSHだと、OpenSSH-LPKというパッチを当ててコンパイルすることでSSHとLDAPを連携していましたが、v6.2 からは AuthorizedKeysCommand という設定で連携できるようになりました。 それを使って SSSD と連携してみたり、ついでに nslcd でのおさらいもしておきます。 関連記事 認証システムSSSD+LDAP+SUDOの構築手順 SSSDとnslcd+nscdの比較 SSSD+SSH+LDAPの設定 認証システムSSSD+LDAP+SUDOの構築手順 の通りにSSSDが構築済みとします。 その内容で必要なポイントは以下２点です。 [sssd] の services に ssh が入っている [ssh] の空設定が存在する アンコメント or 追記します。

特に真新しいわけでもないけど、SSSD(System Security Services Daemon) についてメモ。SSSDは主にリモートの認証システムの利用と、その認証データのキャッシュを目的とします。 キッカケはLDAP連携において 現在利用中の nslcd+nscd との優位性が気になったからで、その辺は分けて書いておきます。ここではSSSDとLDAPの連携、そしてSUDOが使えるようにするための構築手順になります。 関連記事 SSSD+LDAP+SSH連携の設定 SSSDとnslcd+nscdの比較

Quantum周りのたった１つの問題に１週間以上ハマって絶望するも、 絞りだすような勘で生還してブログ再開！！ 今回はなんとっ！KeystoneデータをLDAPで管理するという一風変わった情報をお届けします！ LDAPを採用した理由 どうしてわざわざLDAPにしたのか、というと、 まず、既にLDAPが存在し、他の複数のソフトウェアのアカウント管理に用いていたため、OpenStackも同様に既存のLDAPユーザでログインしたかった、というのが１つ。 次に、LDAPユーザから削除された（例えば退職したとか）場合に、そのユーザが管理していたVMを自動的に（もしくは一括して）削除できるようにすることで、VMをより管理しやすくしたかったから。Horizonの表示上は見えませんが、実は novadb.instances テーブルには user_id が保存されているし、nova-manage vm l