LDIFファイルを使用してOpenLDAPシステムに変更を加える方法

LDAPに追加する新しいエントリを定義する最も基本的な方法は、LDAPツールを使用して通常表示されるように、エントリ全体を単純にリストすることです。 これは、dn:標識の後に、エントリーが作成されるDN（識別名）で始まります。

上記の行では、新しいエントリのDNを構築するために、いくつかのキーと値のペアを参照しています。 setting属性値の場合、コロンとスペースを使用する必要があります。 referencingの属性/値の場合、代わりに等号を使用する必要があります。

DITにエントリを追加するための最も単純なLDIF形式では、エントリの残りはDN定義の下でこの形式を使用して単純に書き出されます。 有効なエントリを作成するには、必要なobjectClass宣言と属性を設定する必要があります。 たとえば、組織の従業員のエントリを含む組織単位を作成するには、次を使用できます。

1つのファイルに複数のエントリを追加できます。 各エントリは、少なくとも1つの完全な空白行で区切る必要があります。

ご覧のとおり、このLDIF形式は、この情報を持つエントリをLDAPツリーに照会するときに表示される形式とほぼ同じです。 エントリに逐語的に含めるものを書くことができます。

同じLDIFファイル内で他の変更を行っている場合は、2つ目の形式がうまく機能します。 OpenLDAPは、追加と変更の両方を処理できるツールを提供します。したがって、同じファイル内の他のエントリを変更する場合、新しいエントリに追加としてフラグを付けて、正しく処理されるようにすることができます。

これは上記の方法とよく似ていますが、DN仕様のすぐ下にchangetype: addを追加します。 たとえば、次のようなLDIFを使用して、ou=People,dc=example,dc=com構造をすでに含むDITにJohnSmithエントリを追加できます。

これは基本的に、DN仕様の後の追加行を除いて、これまでエントリを記述するために使用してきた形式です。 ここでは、LDAPに、変更がエントリの作成であることを伝えます。 changetypeオプションを使用しているため、このエントリはldapmodifyツールで問題なく処理でき、他のタイプの変更を同じLDIFファイルに配置できます。 changetypeオプションは、DN指定の直後に指定する必要があります。

上記のもう1つの注意点は、description属性に複数行の値を使用することです。 後続の行はスペースで始まるため、削除されたスペースで結合されます。 この例の最初の継続行には追加のスペースが含まれていますが、これは文自体の一部であり、「project」と「manager」という単語を分離しています。

最後のセクションと同様に、同じファイル内の各追加エントリは空白行で区切られています。 コメントは、行を#文字で始めることで使用できます。 コメントは独自の行に存在する必要があります。 たとえば、この同じLDIFファイルにSallyを追加する場合、次のように2つのエントリを分離できます。

LDIFファイルを作成して新しいエントリを追加する方法がわかったので、LDAPツールで実際に処理してDITに追加する必要があります。 使用するツールや引数は、上記で選択したフォームによって異なります。

単純なエントリ形式（changetype設定なし）を使用している場合は、ldapaddコマンドまたはldapmodifyコマンドを-aフラグとともに使用してエントリを指定できます。添加。 SASLメソッドを使用してLDAPインスタンスで認証する（これはこのガイドの範囲外です）か、DITの管理アカウントにバインドして必要なパスワードを入力する必要があります。

たとえば、単純なエントリセクションのエントリをnewgroups.ldifというファイルに保存した場合、ファイルを処理して新しいエントリを追加するために必要なコマンドは次のようになります。

同じ結果にldapmodify -aの組み合わせを使用することもできます。

changetype宣言でsecond形式を使用している場合は、-aフラグなしでldapmodifyコマンドを使用することをお勧めします。 このコマンドとフォーマットは他のほとんどの変更に対して機能するため、ほとんどの変更に対して使用する方がおそらく簡単です。 2つの新しいユーザー追加をnewusers.ldifというファイルに保存した場合、次のように入力することで、既存のDITに追加できます。

これにより、エントリを自由にDITに追加できます。 1つのLDIFファイルに多くのエントリを簡単に保存し、1つのコマンドでDITを作成できます。

たとえば、changetype: modifyの後にadd:コマンドを使用して属性を追加できます。 これにより、追加する属性を指定する必要があります。 次に、通常のように属性の値を設定します。 したがって、基本的な形式は次のようになります。

たとえば、アカウントにいくつかのメールアドレスを追加するには、次のようなLDIFファイルを使用できます。

2番目のエントリからわかるように、複数の追加を同時に指定できます。 mail属性では複数の値を使用できるため、これは許容されます。

これは通常どおりldapmodifyで処理できます。 変更がファイルsbrownaddmail.ldifにある場合は、次のように入力できます。

もう1つの一般的な変更は、属性の既存の値を変更することです。 これは、changetype: modifyの下のreplace:オプションを使用して実行できます。

これはadd:コマンドとほぼ同じように動作しますが、デフォルトでは、属性の既存の出現箇所をすべてエントリから削除し、後で定義された値に置き換えます。 たとえば、最後のadd:コマンドに誤った電子メールが含まれていることに気付いた場合、次のようにreplaceコマンドで変更できます。

これにより、エントリ内のmailのeveryインスタンスが置き換えられることに注意してください。 これは、エントリごとに複数回定義できる複数値属性（mailなど）にとって重要です。 属性の1つのオカレンスのみを置き換える場合は、属性delete:オプション（以下で説明）を属性add:オプション（上記で説明）と組み合わせて使用​​する必要があります。

この変更がsbrownchangemail.ldifというファイルに保存されている場合は、次のように入力してSallyのメールを置き換えることができます。

エントリから属性を削除する場合は、delete:コマンドを使用できます。 オプションの値として、削除する属性を指定します。 属性の特定のインスタンスを削除する場合は、次の行で特定のキーと値の属性の出現を指定できます。 それ以外の場合、エントリ内のその属性の出現はすべて削除されます。

たとえば、これはJohn Smithのエントリのすべての説明属性を削除します。

ただし、これは指定されたメールのみを削除します。

先にJohnに2つの電子メールアドレスを指定したため、他の電子メールアドレスはこのリクエストによって変更されないままにしておく必要があります。

これらの変更がjsmithrmdesc.ldifおよびjsmithrmextramail.ldifというファイルにある場合は、次のように入力して適用できます。

これは、同時に複数の属性変更を指定することについて話す良い機会です。 LDIFファイル内の単一のエントリの場合、-文字のみが入力された行でそれらを区切ることにより、複数の属性変更を指定できます。 セパレータに続いて、属性変更タイプを指定し、必要な属性を指定する必要があります。

たとえば、Johnの残りのメール属性を削除し、名前を「Johnny Smith」に変更し、次の内容のファイルを作成して彼の場所を追加できます。

これらすべての変更を1つのコマンドで適用するには、これまで使用してきたのと同じldapmodify形式を使用します。

システムに最初に入力したときに、サリーのユーザー名を誤って入力したとしましょう。 これはエントリのDNで使用されるため、エントリのRDNが無効になるため、単にchangetype: modifyおよびreplace:オプションに置き換えることはできません。 彼女の実際のユーザー名がsbrown200の場合、次のようなLDIFファイルを使用して、エントリのDNを変更し、途中で必要な属性を作成できます。

このコマンドでこの変更を適用できます。

これにより、完全なエントリは次のようになります。

ご覧のとおり、DNは新しい属性/値のペアを使用するように調整されています。 これを可能にするために、属性がエントリに追加されました。

上記の例で2つのことに気づいたかもしれません。 まず、deleteoldrdnというオプションを「0」に設定します。 次に、結果のエントリにはuid: sbrown20とuid: sbrown200の両方が含まれます。

エントリのDNを変更するときは、deleteoldrdnオプションを設定する必要があります。 deleteoldrdnを「0」に設定すると、LDAPは、DNで使用されている古い属性をエントリの新しい属性と一緒に保持します。 これが目的の場合もありますが、多くの場合、DNが変更された後にエントリから古い属性を完全に削除する必要があります。 代わりにdeleteoldrdnを「1」に設定することでこれを行うことができます。

もう一度間違えたとしましょう。サリーの実際のユーザー名はsbrown2です。 deleteoldrdnを「1」に設定して、名前変更後のエントリからDNで現在使用されているsbrown200インスタンスを削除できます。 最初の名前変更時にそれを維持したので、先に進み、追加のchangetype: modifyとdelete:のペアを含めて、他の漂遊ユーザー名sbrown20を取り除きます。

次のようにファイルを適用します。

この組み合わせでは、変更によって新しいユーザー名が追加されることはなく（sbrown200が削除されます）、2番目のエントリの変更により、ユーザー名の元の値（sbrown20）が削除されます。

エントリを新しい場所に移動する必要がある場合、changetype: modrdnの追加設定はnewsuperior:オプションです。 このオプションを使用する場合、エントリを移動するDITの新しい場所を指定できます。 これにより、変更中に指定された親DNの下にエントリが配置されます。

たとえば、Sallyをou=superusersエントリの下に移動したい場合は、このエントリを追加してから、次のように入力してSallyを移動できます。

これがmksuperuser.ldifというファイルに保存されているとすると、次のような変更を適用できます。

これにより、移動が行われ、コピーは行われません。

この場合、エントリのRDNを実際に変更したくないので、newrdn:の値を現在と同じ値に設定します。 必要に応じて、移動中に簡単に名前を変更することもできます。 この場合、newsuperior:設定は、エントリの状態に実際に影響を与える2番目の変更の唯一の行です。