Dotaz: OpenLDAP + TLS

[jan.rok]

Dobrý den, pokouším se cvičně konfigurovat LDAP podle článku, a narazil jsem na to, že se mi slapd nespustí pokud mám nastaveno TLS: /etc/ldap/slapd.conf
...
TLSCertificateFile /etc/ldap/cert/servercrt.pem
TLSCertificateKeyFile /etc/ldap/cert/serverkey.pem
TLSCACertificateFile /etc/ldap/cert/cacert.pem
...
Dále:
~# ls /etc/ldap/cert -l
-rw-r--r-- 1 root root 3093 2007-11-27 15:19 cacert.pem
-rw-r--r-- 1 root root 3093 2007-11-27 15:17 servercrt.pem
-rw------- 1 root root 1526 2007-11-27 15:16 serverkey.pem

Chyba je:
slapd[3026]: main: TLS init def ctx failed: -1
slapd[3026]: slapd destroy: freeing system resources.
slapd[3026]: slapd stopped.

Nevím, co s tím, na webu jsem o tom našel nějaké rady, ale nepomohlo mi to. Bez TLS vše funguje. Je to na Debianu4. S LDAP začínám. Poraďte prosím, na co bych se měl zaměřit. Díky, JR

Odpovědi

[CentrinO]

Jen strelim od boku ale snad alspon trochu spravne:
nemel by soubory s certifikaty vlastnit user openldap (v debianu 4.0) ci ldap (debian 3.X). Protoze podle me takhle je slapd nema pravo precist - spousti se jako NEprivilegovany uzivatel.
Na cvicnem serveru jsem koukal a mam to tam tak a funkci.

Snad je tento prispevek alspon trochu uzitecny.

[timeos]

Toto na problem s pristupovymi pravami k certifikatom nevyzera. Skor to vidim na zly tvar certifikatov. Viac sa o tom neda povedat kedze nevidim obsah aspon niektorych

[Jan Kundrát (jkt)]

Jak uz predrecnici zminili, pravdepodobne bezis slapd pod non-root uzivatelem (coz je dobre). Certifikat a klic by mely patrit danemu uzivateli (ono vubec cely /etc/ldap).

[jan.rok]

Skutečně to bylo v právech: /etc/ldap měl jen root. Díky všem, teď můžu pokračovat dál a narážet na další problémy JR