2. クイックスタート¶

ここでは Unicorn ID Manager を設定して起動するところまでの一連の流れを説明いたします。前提として、 Unicorn ID Manager は /opt/osstech をプレフィックスとする環境にインストールされていることとして説明いたします。また、ここでは LDAP サーバーをデータストア (バックエンド) とする設定を行いますので、予め LDAP サーバーを準備してください。

また、Unicorn ID Managerは基本的にApache HTTP サーバーを前段に配置する構成で利用します。予め httpd と mod_ssl をインストールしておいてください。

HTTPDサーバーのTLS設定にサーバー証明書が必要になります。 Unicorn ID Managerではインストール時に自己証明書の生成を行いますが、本番サーバーなどでは適切な認証局が発行した証明書を利用するようにしてください。

2.1. 設定ファイルの準備¶

Unicorn ID Manager の設定ファイル /opt/osstech/etc/unicornidm/unicornidm.conf を以下の内容で編集します。なお、必要であれば、このファイルのバックアップをとってください。

[__main__]
targets                       = Target1
allowed_hosts                 = uidm.example.com
use_x_forwarded_host          = yes
client_ip_address_http_header = X-Forwarded-For

[target:Target1]
backends                = ldap1
authentication_backends = ldap1
displayName             = ターゲット1

[backend:ldap1]
type               = ldap
uris               = ldap://ldap1/
bind_user          = cn=Manager,dc=example,dc=com
bind_password_file = /opt/osstech/etc/unicornidm/secrets/ldap1.password
suffix             = dc=example,dc=com
suffix_user        = ou=Users,%(suffix)s
suffix_group       = ou=Groups,%(suffix)s
filter_user        = (&(objectClass=posixAccount)(uid=*))
filter_group       = (&(objectClass=posixGroup)(cn=*))

[client]
server_url              = https://localhost/
admin_name              = tool-admin
admin_password_file     = /opt/osstech/etc/unicornidm/secrets/tool-admin.password
uid                     = unicornidm
gid                     = unicornidm
timezone                = Asia/Tokyo

注釈

ここではUnicorn ID ManagerのFQDNを uidm.example.com と仮定しています。 arrowed_hosts の値は実際の接続に利用するFQDNを設定してください。 arrowed_hosts で指定されたホスト名以外では接続できません。

また、 LDAP サーバーへの接続に必要な /opt/osstech/etc/unicornidm/secrets/ldap1.password を準備する必要があります。このファイルの中身は BIND DN のパスワードです。たとえば、以下のコマンドで作成できます。

# install -m 0600 -o unicornidm <(echo -n PASSWORD) /opt/osstech/etc/unicornidm/secrets/ldap1.password

警告

パスワードファイル(ここではldap1.password)には改行を含まないよう注意してください。改行が含まれていると認証に失敗することがあります。

注釈

ここでは、 LDAP サーバーへの接続情報が以下のとおりであることを前提とします。

接続先:: ldap://ldap1/
BIND DN:: cn=Manager,dc=example,dc=com
BIND password file:: /opt/osstech/etc/unicornidm/secrets/ldap1.password
Suffix:: dc=example,dc=com
User Suffix:: ou=Users,dc=example,dc=com
Group Suffix:: ou=Groups,dc=example,dc=com
User Filter:: (&(objectClass=posixAccount)(uid=*))
Group Filter:: (&(objectClass=posixGroup)(cn=*))

警告

ここでは Unicorn ID Manager を unicornidm というユーザーで動作させることを前提としています。

2.2. テンプレートファイルの準備¶

バックエンドである LDAP サーバーのテンプレートファイルを /opt/osstech/etc/unicornidm/templates/ldap1.py として、以下の内容で作成します。

警告

このテンプレートファイルのファイル名は unicornidm.conf で指定したバックエンド名に .py をつけたファイル名である必要があります。 Unicorn ID Managerは起動時に unicornidm.conf に存在するすべてのバックエンドに対して、テンプレートファイルを検索し、テンプレートファイルの存在しないバックエンドがあった場合は、起動に失敗します。

User = {
    "objectClass": [
        "top",
        "person",
        "organizationalPerson",
        "inetOrgPerson",
        "posixAccount",
    ],
    "uid": userName,
    "cn": userName,
    "uidNumber": default(uidNumber),
    "gidNumber": default(gidNumber, 100),
    "loginShell": default(loginShell, "/bin/bash"),
    "homeDirectory": default(unixHomeDirectory, "/home/%(userName)s"),
    "sn": familyName,
    "givenName": givenName,
    "userPassword": password,
    "mail": mail,
    "description": default(description),
    "displayName": default(displayName, "%(familyName)s %(givenName)s"),
}

Group = {
    "objectClass": [
        "top",
        "posixGroup",
        ],
    "cn": groupName,
    "gidNumber": default(gidNumber),
    "description": default(description),
}

2.3. Apache HTTP サーバーの準備¶

前段となるApaceh HTTP サーバーを準備します。以下はApacheの設定ファイル内の適切な箇所に以下の設定を追記してください。

<Location "/unicornidm/user">
  Require all granted
</Location>

<Location "/unicornidm/admin">
  Require all granted
</Location>

 ProxyPass /unicornidm http://localhost:8081/unicornidm
 ProxyPassReverse /unicornidm http://localhost:8081/unicornidm

Apache HTTP サーバーの設定ファイルの例も参考にしてください。

次に /opt/osstech/etc/unicornidm/uwsgi.conf を編集します。なお、必要であれば、このファイルのバックアップをとってください。

# ******************** Configuration with Apache HTTPD proxy ********************
# If you want to use it, please remove '#' of each line below and
# comment out above section
[uwsgi]
http-socket    = 127.0.0.1:8081
workers        = 1
threads        = 4
uid            = unicornidm
gid            = apache
http-timeout   = 600
# http://uwsgi-docs.readthedocs.io/en/latest/Options.html#log-x-forwarded-for
log-x-forwarded-for = true

デフォルトでは設定ファイルの下部にコメントアウトされていますので、既存の設定をコメントアウトし、Apacheと連携するための設定をコメントインしてください。

Apache HTTP サーバーと Unicorn ID Manager の連携設定は以上です。

2.4. Unicorn ID Manager の起動¶

以下のコマンドで Unicorn ID Manager を起動します。

# systemctl start osstech-unicornidm

以下のコマンドで前段となる Apache HTTP サーバーを起動します。

# systemctl start httpd

注釈

実行前に SELinux が Permissive か Disabled でかつファイヤーウォールが適切に設定されていることを確認してください。

警告

osstech-unicornidm は一度起動してから設定ファイルのチェック等を行う関係上、起動した5秒後ほどで終了することがあります。

osstech-unicornidm の起動確認は数秒経ったのを確認してから systemctl status osstech-unicornidm を行うか、 /opt/osstech/var/log/unicornidm/uwsgi.log を確認し、WSGI app 0 (mountpoint='') ready ... というログが出力されるのを確認するようにしてください。

また /opt/osstech/var/log/unicornidm/uwsgi.log は、起動に失敗した際のログ情報が出力されます。起動失敗時の原因特定などにもお役立てください。

2.5. 管理者の作成¶

Unicorn ID Manager に管理者としてログインするため、管理者を作成します。パスワードの入力を求められるので、登録する管理者のパスワードを入力してください。ここでは、管理者の名前を test-admin としています。

# /opt/osstech/sbin/unicornidm-tool admin add test-admin -r SuperAdministrator
Password:
Repeat for confirmation:

2.6. Web ブラウザーからアクセス¶

Unicorn ID Manager に Web ブラウザーからアクセスします。アクセスする URL は以下です。なお、ここでは Unicorn ID Manager のインストールされたサーバーのホスト名が uidm.example.com であることを前提としています。

https://uidm.example.com/unicornidm/admin/

警告

URL のホスト名は Unicorn ID Manager をインストールしたサーバーのホスト名を指定してください (IP アドレスではアクセスできません) 。

アクセスすると、ログイン画面が表示されます。ここに管理者の作成で作成した管理者の名前とパスワードを入力します。

2.7. unicornidm-toolの準備¶

unicornidm-tool の利用の準備をします。

2.7.1. パスワードファイルの作成¶

下記のコマンドなどを利用して /opt/osstech/etc/unicornidm/secrets/tool-admin.password ファイルを作成してください。

# install -m 0600 -o unicornidm <(echo -n PASSWORD) /opt/osstech/etc/unicornidm/secrets/tool-admin.password

注釈

エディタ等を用いて直接ファイルを編集しても大丈夫です。その際は行末に改行が含まれないよう注意してください。

注釈

ここで設定するパスワードはUnicorn ID Manager が内部で利用するものなので、100桁や200桁のランダムな文字列を設定してください。

警告

ここでのファイル名は設定ファイルの準備で client セクション内 admin_password_file に指定したファイル名と一致するようにしてください。

2.7.2. unicornidm-tool用管理者の作成¶

unicornidm-tool が利用する管理者アカウントを作成します。管理者名には設定ファイルの準備で client セクション内 admin_name に指定した名前を利用します。(ここではtool-admin)

# cat /opt/osstech/etc/unicornidm/secrets/tool-admin.password | /opt/osstech/sbin/unicornidm-tool admin add tool-admin -r SuperAdministrator

2.7.3. unicornidm-toolの動作確認¶

下記のコマンドでユーザー一覧が取得できれば unicornidm-tool の設定は完了です。

# /opt/osstech/sbin/unicornidm-tool user list Target1 --refresh
userName,uidNumber,gidNumber,loginShell,unixHomeDirectory,familyName,givenName,mail,displayName,ldap1
test-user,1002,100,/bin/bash,/home/test-user,test,user,test@example.com,test user,Exists

Page: 1/1
Total: 2

注釈

unicornidm-tool コマンドを利用することで Unicorn ID Manager の様々な操作を行うことが出来ます。詳細は unicornidm-tool(8) をご参照ください。