web-dev-qa-db-ja.com

FreeRadiusを介してuserPasswordを検索するようにopenLDAPを設定するにはどうすればよいですか？

Ubuntu12.04とOpenLDAP2.4.28-1.1ubuntu4.5を実行しています。 userPassword属性が{SHA1}ハッシュであるLDAPにユーザーを入力しています。ユーザーはSSH経由でログインし、Webアプリケーションに対して認証することができます。

ここで、追加のメカニズムとして、（OTPサーバーからの）RADIUS認証をLDAPサーバーに追加したいと思います。このようにして、ユーザーはRadiusの「ワンタイムパスワード」を介して認証できますが、すべてのPOSIX属性はLDAPからプルダウンされます。これは可能ですか？メカニズムは何と呼ばれていますか？

linuxauthenticationopenldapfreeradius
1
Server Fault

Openldap 2.4はSASLパスワードパストラフ認証をサポートしています（ http://www.openldap.org/doc/admin24/security.html ）。

この機能により、認証プロセスをsaslauthdデーモンに委任し、openldapの他の属性を管理できます。

この機能では、実際のuserPassword値を文字列 "{SASL} username @ realm"に置き換える必要があるため、同じユーザーにSHA1パスワードとSASL認証を使用することはできません。さらに、SASLはバックエンド認証方法としてPAMを使用できます。

PAMには、フリーラジアス認証を使用できるモジュールがあります。認証の完全なチェーンは次のようになります。

OpenLDAPサーバー-> saslauthd->半径のあるpamモジュール-> Freeradiusサーバー

この問題を解決するには、他に2つの方法があります。

  • webアプリケーションがPAM認証をサポートしている場合は、freeradius認証とldap認証の両方を使用するpamモジュールを作成します

  • WebアプリケーションがRadius認証をサポートしている場合は、OpenLDAPをバックエンドとして使用してfreeradiusを構成します

SSHは、すでにPAMおよびRadius認証（最後はpamモジュールを使用）をサポートしています。

1
NoNoNo