このサイトは、もともと作者の自分用メモとして書き始めたものです。書いてあることが全て正しいとは限りません。他の文献、オフィシャルなサイトも確認して、自己責任にて利用してください。

Dovecotの設定

LDAP連携に関係するファイル一覧

/etc/
   \_ dovecot.conf              [root:root 644] 主設定ファイル
      dovecot.d/                [root:root 755] 補助設定ファイル用ディレクトリ (新規作成)
             \_ ldapref.conf    [root:dovecotauth 640] LDAP参照定義ファイル

dovecot.conf - 主設定ファイル

Dovecot 1.0 以前のドキュメントは甚だ不足しているので、LDAP と関わりがなくても主なパラメータについては掲載する。当実装に特に深く関わるものは □地で示す。最新のディレクティブリストはオフィシャルサイト Dovecot.org の Dovecot configuration file で見られるが、1.1 からは記述法やパラメータ名が大幅に変更になっている。

ldapref.conf - LDAP参照定義ファイル

まず、今後補助設定ファイルが増えることを見込んで、補助設定ファイル用のサブディレクトリ /etc/dovecot.d/ を作成する (root:root 755)。その配下に LDAP 参照定義ファイル ldapref.conf (ファイル名は任意) を以下の要領で作成する。

設定サンプル： ldapref.conf

hosts = localhost
dn = cn=mailadmin,ou=mail,o=hoge,dc=cxm
dnpass = password
ldap_version = 3
base = ou=mail,o=hoge,dc=cxm
deref = never
scope = onelevel
 
# auth_passdb configuration.
pass_attrs = mail,userPassword
pass_filter = (&(objectClass=inetOrgPerson)(mail=%u)(!(accountStatus=disabled)))
default_pass_scheme = PLAIN-MD5
 
# auth_userdb configuration.
user_attrs = mail,homeDirectory
user_filter = (&(objectClass=inetOrgPerson)(mail=%u)(!(accountStatus=disabled)))
user_global_uid = 1025
user_global_gid = 1025

hosts

LDAPサーバを別のマシンで動かしている場合はそれなりに。スペース区切りで複数指定することも可能とあるが、フォールバック動作なのかラウンドロビン動作なのか不明。host:port による指定も可能。

dn

問い合わせ時に bind する DN。

dnpass

bind パスワード。当実装ではつまり LDAPアカウント mailadmin のパスワード。ハッシュして書いておく方法はないようだ。

ldap_version

問い合わせに使う LDAPプロトコルバージョン。

base

アカウントエントリを検索する Directory ツリー。後述の pass_filter にあるような %x 変数は使えないようだ。

deref

属性のデリファレンス (dereference = LDAP属性のシンボリックリンクのようなもの) をどういう局面で辿るか。never, searching, finding, always のいずれか。

scope

ldapsearch で言うところの -s オプションにあたるもの。base, onelevel, subtree のいずれか (one, sub といった略記法ではダメ)。特に理由のない限り onelevel にして検索負荷を軽減。

auth_passdb 用のブロック

ログイン認証用の参照定義。

pass_attrs

パスワードチェックに使用する LDAP属性。ふたつの属性が必要で、ひとつ目に user@domain.tld の得られる属性、2番目にパスワードを格納している属性を指定する。

pass_filter

このファイル最大のポイント。値は LDAPクエリフィルタ規格 に基づくフォーマットで書く。例は、「オブジェクトクラスがinetOrgPerson」且つ「mail属性がユーザ名全体と等しく」且つ「accountStatus属性がdisabledでない」エントリを検索せよ、というフィルタだ。組み込み変数 %u で表される「ユーザ名」は、POP3 ログイン時にクライアントの申告してくるアカウント名だが、dovecot.conf のauth_default_realm に補完ドメインが指定してある場合には補完後の文字列となる。例では、クライアントが `user@hoge.cxm' のカタチで名乗ることを前提にしている。この他の組み込み変数には %n, %d があり、%n はアカウントID から @domain.tld 以降を取り除いたもの (@以降がなかった時はそのまま)、%d は @ より後ろ全部。余計な Directory ツリーを探し回らせず検索を効率化するために、フィルタはできるだけ限定的にするべき。(objectClass=inetOrgPerson) を AND 条件の筆頭に書いてあるのはそのためだ。

default_pass_scheme

パスワードデータベースに格納されているパスワードの格納形式。Dovecot 0.99 でサポートされているこの他の形式は PLAIN, DIGEST-MD5, CRYPT。本稿では「事前MD5方式」を前提としているので、ここに指定すべきは PLAIN-MD5。0.99 での LDAP連携における現実的な値は LDAP-MD5 か CRYPT (「LDAP-CTYPT方式」を採用する場合) に絞られる。

auth_userdb 用のブロック

ユーザのメールボックスを特定するための参照定義。

user_attrs

データベースから取得する属性。ふたつの属性が必要で、ひとつ目に user@domain.tld の得られる属性、2番目にホームディレクトリを格納している属性を指定する。得られたホームディレクトリの値は最終的に dovecot.conf の default_mail_env パラメータに従って整形されて実用に供される。

user_filter

auth_passdb ブロックでの説明を参照のこと。

user_global_uid, user_global_gid

メールの読み取り/削除を行う際に mail プロセスが setuid/setgid する UNIX UID/GID。一般のメールユーザをバーチャルユーザとして扱う当実装では常に mailadmin の権限で行わせたいので、UNIXユーザ mailadmin の UID, GID を設定しておく。

このファイルには LDAP データ読み取り専用ユーザのパスワードが書かれているので、一般の UNIXユーザに読めないよう、パーミッションは必ず root:dovecotauth の 640 にしておかなければいけない。

サービスの起動

root# chkconfig dovecot on
root# service dovecot start

テスト

ローカル上や別のマシン上から、バーチャルメールアカウントの例えば penguin@hoge.cxm で POP3 ログインしてメールを読んでみる。テストコマンドは Qmail のページの「動作テストのためのコマンド」でいろいろと紹介している。