ページ)ユーザー情報や組織情報などを一元的に管理するディレクトリサーバは、企業システムの中で重要な役割を果たしています。オープンソースの「OpenLDAP」によるディレクトリサーバの構築方法を解説した前連載に続き、その運用方法を紹介していきます。公開[菊池研自,伊藤忠テクノソリューションズ株式会社]今回は、追加モジュールとして提供される監査ログを説明した後、これまでに紹介したログを一覧にまとめます。その後、OpenLDAPサーバを管理するうえで大切な、syslogへ送付されるログの基本的な読み方を説明していきます。OpenLDAPサーバの監査ログ(Auditlogモジュール)監査ログは、OpenLDAPサーバにモジュールを追加することで利用可能となる機能であり、指定したバックエンドデータベースに対して行われたすべての変更操作を、ファイルへと記録します。同じ追加モジュールであるアクセスログ(Accesslogモジュール)が、記録する操作を選択して別のバックエンドデータベースへ保存するのに対し、監査ログは、すべての変更操作をテキストファイルへと記録する点が異なります。本連載で対象としているCentOSにバンドルされるOpenLDAPサーバ(openldap-serversパッケージ)には、監査ログモジュールが含まれていません。5.3以降、監査ログなどのオーバレイ機能は、openldap-servers-overlaysパッケージとして、別途、提供されています。監査ログは、OpenLDAPサーバのコンパイル時にも、デフォルトでは含まれないモジュールです。この機能を利用するには、コンパイルの過程で「--enable-auditlog=yes」、または「--enable-overlays=yes」など、明示的にコンパイルオプションを指定する必要があります(注1)。--enable-auditlog=yes注1:「enable-auditlog」は監査ログモジュールのみ、「enable-overlays」はすべての追加モジュールを含めてコンパイルすることを指定するオプションです。監査ログの出力ここでは、監査ログを出力するディレクトリを「var/openldap-auditlog」として準備します。var/openldap-auditlogslapd.confには、記録対象とするバックエンドデータベースのセクションにて、次の設定を行います。auditlog」以下に指定可能なディレクティブは、出力先ファイルを指定する「auditlog」だけです。/usr/local/openldap-2.4.21/var/openldap-auditlog/my-domain.com.log←監査ログを記録するファイルを指定slapd.confの変更後は、OpenLDAPサーバを再起動し設定を反映させます。Format)形式で変更操作が記録されていきます。監査ログには、どの操作にも共通して次の3行が最初に記録されます。操作その後は、追加、変更といった操作に応じて、ユーザー属性や運用属性が追加されます。最終行には再び、どの操作にも共通して次の1行が記録されます。記録時のUNIXタイム次の出力例は、あるエントリを追加したときに記録された監査ログの内容です。DBのログ関連ディレクティブをまとめます。運用時の管理、または動作状況のデバックに用いると便利なログ。loglevelディレクティブで出力内容(出力量)を調整し、syslogに送付し記録する。デバック時、導入時など、loglevelディレクティブで指定した内容を、syslogに加え、さらにファイルにも重複して出力したい場合に利用すると便利。監査目的で、指定したバックエンドデータベースに行われた特定の操作を、別のバックエンドデータベースに記録する。ldapsearchでの検索や一定期間を経過したログの自動削除が可能。監査目的で、指定したバックエンドデータベースに行われたすべての変更操作を、指定したファイルにLDIF形式で記録する。DBが動作するうえで必要なトランザクションログファイル。DBへの変更が記録される。set_lg_dirでトランザクションログファイルの出力先ディレクトリを、set_lg_maxでサイズが指定可能。DB_LOG_AUTOREMOVE」フラグを利用して自動削除が可能。ログ関連のディレクティブ一覧syslogが記録するログの必要性OpenLDAPサーバはさまざまなログを出力でき、目的に応じて使い分けることができますが、OpenLDAPサーバの動作状況を把握するうえで有効な情報は、一般にsyslogへ送付されます。OpenLDAPサーバ側でloglevelディレクティブを“0”としない限り、“0”以外のどのレベルであっても、最低限必要と思われる情報はsyslogへ送付されます。このためOpenLDAPサーバの管理者は、運用中に何かがおかしいと感じたとき、syslogが出力するログファイルを真っ先に確認することになるでしょう。これ以降、loglevelディレクティブにOpenLDAPコミュニティでの推奨値である「256」(16進数で「0x100」、文字列で「stats」)が指定されていることを前提に、syslogに送付されるログの基本的な読み方を説明していきます。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。