manual/sudo/draft/man5/sudoers.ldap.5

   1 .\" Copyright (c) 2003-2009
   2 .\"     Todd C. Miller <Todd.Miller@courtesan.com>
   3 .\"
   4 .\" Permission to use, copy, modify, and distribute this software for any
   5 .\" purpose with or without fee is hereby granted, provided that the above
   6 .\" copyright notice and this permission notice appear in all copies.
   7 .\"
   8 .\" THE SOFTWARE IS PROVIDED "AS IS" AND THE AUTHOR DISCLAIMS ALL WARRANTIES
   9 .\" WITH REGARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OF
  10 .\" MERCHANTABILITY AND FITNESS. IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR
  11 .\" ANY SPECIAL, DIRECT, INDIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGES
  12 .\" WHATSOEVER RESULTING FROM LOSS OF USE, DATA OR PROFITS, WHETHER IN AN
  13 .\" ACTION OF CONTRACT, NEGLIGENCE OR OTHER TORTIOUS ACTION, ARISING OUT OF
  14 .\" OR IN CONNECTION WITH THE USE OR PERFORMANCE OF THIS SOFTWARE.
  15 .\" ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.
  16 .\"
  17 .\" Japanese Version Copyright (c) 2009 Yoichi Chonan
  18 .\"         all rights reserved.
  19 .\" Translated (sudo-1.7.2p1) Sat Nov 14 21:15:16 JST 2009
  20 .\"         by Yoichi Chonan <cyoichi@maple.con.ne.jp>
  21 .\"
  22 .\" $Sudo: sudoers.ldap.man.in,v 1.13 2009/06/11 20:29:12 millert Exp $
  23 .\" Automatically generated by Pod::Man 2.16 (Pod::Simple 3.05)
  24 .\"
  25 .\" Standard preamble:
  26 .\" ========================================================================
  27 .de Sh \" Subsection heading
  28 .br
  29 .if t .Sp
  30 .ne 5
  31 .PP
  32 \fB\\$1\fR
  33 .PP
  34 ..
  35 .de Sp \" Vertical space (when we can't use .PP)
  36 .if t .sp .5v
  37 .if n .sp
  38 ..
  39 .de Vb \" Begin verbatim text
  40 .ft CW
  41 .nf
  42 .ne \\$1
  43 ..
  44 .de Ve \" End verbatim text
  45 .ft R
  46 .fi
  47 ..
  48 .\" Set up some character translations and predefined strings.  \*(-- will
  49 .\" give an unbreakable dash, \*(PI will give pi, \*(L" will give a left
  50 .\" double quote, and \*(R" will give a right double quote.  \*(C+ will
  51 .\" give a nicer C++.  Capital omega is used to do unbreakable dashes and
  52 .\" therefore won't be available.  \*(C` and \*(C' expand to `' in nroff,
  53 .\" nothing in troff, for use with C<>.
  54 .tr \(*W-
  55 .ds C+ C\v'-.1v'\h'-1p'\s-2+\h'-1p'+\s0\v'.1v'\h'-1p'
  56 .ie n \{\
  57 .    ds -- \(*W-
  58 .    ds PI pi
  59 .    if (\n(.H=4u)&(1m=24u) .ds -- \(*W\h'-12u'\(*W\h'-12u'-\" diablo 10 pitch
  60 .    if (\n(.H=4u)&(1m=20u) .ds -- \(*W\h'-12u'\(*W\h'-8u'-\"  diablo 12 pitch
  61 .    ds L" ""
  62 .    ds R" ""
  63 .    ds C`
  64 .    ds C'
  65 'br\}
  66 .el\{\
  67 .    ds -- \|\(em\|
  68 .    ds PI \(*p
  69 .    ds L" ``
  70 .    ds R" ''
  71 'br\}
  72 .\"
  73 .\" Escape single quotes in literal strings from groff's Unicode transform.
  74 .ie \n(.g .ds Aq \(aq
  75 .el       .ds Aq '
  76 .\"
  77 .\" If the F register is turned on, we'll generate index entries on stderr for
  78 .\" titles (.TH), headers (.SH), subsections (.Sh), items (.Ip), and index
  79 .\" entries marked with X<> in POD.  Of course, you'll have to process the
  80 .\" output yourself in some meaningful fashion.
  81 .ie \nF \{\
  82 .    de IX
  83 .    tm Index:\\$1\t\\n%\t"\\$2"
  84 ..
  85 .    nr % 0
  86 .    rr F
  87 .\}
  88 .el \{\
  89 .    de IX
  90 ..
  91 .\}
  92 .\"
  93 .\" Accent mark definitions (@(#)ms.acc 1.5 88/02/08 SMI; from UCB 4.2).
  94 .\" Fear.  Run.  Save yourself.  No user-serviceable parts.
  95 .    \" fudge factors for nroff and troff
  96 .if n \{\
  97 .    ds #H 0
  98 .    ds #V .8m
  99 .    ds #F .3m
 100 .    ds #[ \f1
 101 .    ds #] \fP
 102 .\}
 103 .if t \{\
 104 .    ds #H ((1u-(\\\\n(.fu%2u))*.13m)
 105 .    ds #V .6m
 106 .    ds #F 0
 107 .    ds #[ \&
 108 .    ds #] \&
 109 .\}
 110 .    \" simple accents for nroff and troff
 111 .if n \{\
 112 .    ds ' \&
 113 .    ds ` \&
 114 .    ds ^ \&
 115 .    ds , \&
 116 .    ds ~ ~
 117 .    ds /
 118 .\}
 119 .if t \{\
 120 .    ds ' \\k:\h'-(\\n(.wu*8/10-\*(#H)'\'\h"|\\n:u"
 121 .    ds ` \\k:\h'-(\\n(.wu*8/10-\*(#H)'\`\h'|\\n:u'
 122 .    ds ^ \\k:\h'-(\\n(.wu*10/11-\*(#H)'^\h'|\\n:u'
 123 .    ds , \\k:\h'-(\\n(.wu*8/10)',\h'|\\n:u'
 124 .    ds ~ \\k:\h'-(\\n(.wu-\*(#H-.1m)'~\h'|\\n:u'
 125 .    ds / \\k:\h'-(\\n(.wu*8/10-\*(#H)'\z\(sl\h'|\\n:u'
 126 .\}
 127 .    \" troff and (daisy-wheel) nroff accents
 128 .ds : \\k:\h'-(\\n(.wu*8/10-\*(#H+.1m+\*(#F)'\v'-\*(#V'\z.\h'.2m+\*(#F'.\h'|\\n:u'\v'\*(#V'
 129 .ds 8 \h'\*(#H'\(*b\h'-\*(#H'
 130 .ds o \\k:\h'-(\\n(.wu+\w'\(de'u-\*(#H)/2u'\v'-.3n'\*(#[\z\(de\v'.3n'\h'|\\n:u'\*(#]
 131 .ds d- \h'\*(#H'\(pd\h'-\w'~'u'\v'-.25m'\f2\(hy\fP\v'.25m'\h'-\*(#H'
 132 .ds D- D\\k:\h'-\w'D'u'\v'-.11m'\z\(hy\v'.11m'\h'|\\n:u'
 133 .ds th \*(#[\v'.3m'\s+1I\s-1\v'-.3m'\h'-(\w'I'u*2/3)'\s-1o\s+1\*(#]
 134 .ds Th \*(#[\s+2I\s-2\h'-\w'I'u*3/5'\v'-.3m'o\v'.3m'\*(#]
 135 .ds ae a\h'-(\w'a'u*4/10)'e
 136 .ds Ae A\h'-(\w'A'u*4/10)'E
 137 .    \" corrections for vroff
 138 .if v .ds ~ \\k:\h'-(\\n(.wu*9/10-\*(#H)'\s-2\u~\d\s+2\h'|\\n:u'
 139 .if v .ds ^ \\k:\h'-(\\n(.wu*10/11-\*(#H)'\v'-.4m'^\v'.4m'\h'|\\n:u'
 140 .    \" for low resolution devices (crt and lpr)
 141 .if \n(.H>23 .if \n(.V>19 \
 142 \{\
 143 .    ds : e
 144 .    ds 8 ss
 145 .    ds o a
 146 .    ds d- d\h'-1'\(ga
 147 .    ds D- D\h'-1'\(hy
 148 .    ds th \o'bp'
 149 .    ds Th \o'LP'
 150 .    ds ae ae
 151 .    ds Ae AE
 152 .\}
 153 .rm #[ #] #H #V #F C
 154 .\" ========================================================================
 155 .\"
 156 .IX Title "SUDOERS.LDAP 5"
 157 .TH SUDOERS.LDAP 5 "June 11, 2009" "1.7.2p1" "MAINTENANCE COMMANDS"
 158 .\" For nroff, turn off justification.  Always turn off hyphenation; it makes
 159 .\" way too many mistakes in technical documents.
 160 .if n .ad l
 161 .nh
 162 .\"O .SH "NAME"
 163 .SH "Ì¾Á°"
 164 .\"O sudoers.ldap \- sudo LDAP configuration
 165 sudoers.ldap \- LDAP ¤ò»È¤Ã¤¿ sudo ¤ÎÀßÄê
 166 .\"O .SH "DESCRIPTION"
 167 .SH "ÀâÌÀ"
 168 .IX Header "DESCRIPTION"
 169 .\"O In addition to the standard \fIsudoers\fR file, \fBsudo\fR may be configured
 170 .\"O via \s-1LAP\s0.  This can be especially useful for synchronizing \fIsudoers\fR
 171 .\"O in a large, distributed environment.
 172 .\"O .PP
 173 \&\fBsudo\fR ¤Ï \fIsudoers\fR ¥Õ¥¡¥¤¥ë¤Ë¤è¤Ã¤ÆÀßÄê¤¹¤ë¤Î¤¬É¸½à¤À¤¬¡¢
 174 \&\s-1LDAP\s0 ¤òÄÌ¤·¤ÆÀßÄê¤¹¤ë¤³¤È¤â²ÄÇ½¤À¡£¤³¤ÎÊýË¡¤Ï¡¢
 175 Âçµ¬ÌÏ¤ÊÊ¬»¶´Ä¶¤Ç sudo ¤ÎÀßÄê¤òÆ±´ü¤µ¤»¤¿¤¤¾ì¹ç¤Ë¤È¤ê¤ï¤±ÊØÍø¤«¤â¤·¤ì¤Ê¤¤¡£
 176 .PP
 177 .\"O Using \s-1LDAP\s0 for \fIsudoers\fR has several benefits:
 178 sudo ¤ÎÀßÄê¤Ë \s-1LDAP\s0 ¤ò»ÈÍÑ¤¹¤ë¤È¡¢ÍÍø¤ÊÅÀ¤¬¤¤¤¯¤Ä¤«¤¢¤ë¡£
 179 .IP "\(bu" 4
 180 .\"O \&\fBsudo\fR no longer needs to read \fIsudoers\fR in its entirety.  When
 181 .\"O \&\s-1LDAP\s0 is used, there are only two or three \s-1LDAP\s0 queries per invocation.
 182 .\"O This makes it especially fast and particularly usable in \s-1LDAP\s0
 183 .\"O environments.
 184 \&\fBsudo\fR ¤Ï¤â¤Ï¤ä sudo ¤ÎÀßÄê¤ò¤Þ¤ë¤Þ¤ëÁ´ÉôÆÉ¤ß¹þ¤àÉ¬Í×¤¬¤Ê¤¤¡£
 185 \&\s-1LDAP\s0 ¤ò»ÈÍÑ¤¹¤ë¾ì¹ç¤Ï¡¢\fBsudo\fR ¤Î¼Â¹Ô¤´¤È¤Ë \s-1LDAP\s0 ¤Î¸¡º÷¤ò
 186 ¤¿¤Ã¤¿Æó²ó¤«»°²ó¹Ô¤¦¤À¤±¤Ç¤¹¤à¡£¤½¤Î¤¿¤á¡¢\s-1LDAP\s0 ´Ä¶¤Ï¼Â¹ÔÂ®ÅÙ¤¬
 187 Èó¾ï¤ËÁá¤¯¡¢¤¿¤¤¤Ø¤ó»È¤¤¾¡¼ê¤¬¤è¤¤¡£
 188 .IP "\(bu" 4
 189 .\"O \&\fBsudo\fR no longer exits if there is a typo in \fIsudoers\fR.
 190 .\"O It is not possible to load \s-1LDAP\s0 data into the server that does
 191 .\"O not conform to the sudoers schema, so proper syntax is guaranteed.
 192 .\"O It is still possible to have typos in a user or host name, but
 193 .\"O this will not prevent \fBsudo\fR from running.
 194 sudo ¤ÎÀßÄê¤Ë¥¿¥¤¥×¥ß¥¹¤¬¤¢¤Ã¤Æ¤â¡¢¤â¤¦¤½¤Î¤¿¤á¤Ë \fBsudo\fR ¤¬½ªÎ»¤·¤Æ
 195 ¤·¤Þ¤¦¤³¤È¤¬¤Ê¤¤¡£\s-1LDAP\s0 ¤Î¥Ç¡¼¥¿¤Ï¡¢sudo ÍÑ¤Î¥¹¥¡¼¥Þ¤Ë
 196 ½¾¤Ã¤Æ¤¤¤Ê¤¤¤«¤®¤ê¡¢¥µ¡¼¥Ð¡¼¤Ë¥í¡¼¥É¤Ç¤¤Ê¤¤¡£·ë²Ì¤È¤·¤Æ¡¢Àµ¤·¤¤¥·¥ó¥¿¥¯¥¹¤¬
 197 ÊÝ¾Ú¤µ¤ì¤ë¤ï¤±¤À¡£¥æ¡¼¥¶Ì¾¤ä¥Û¥¹¥ÈÌ¾¤ò¥¿¥¤¥×¥ß¥¹¤¹¤ë¤³¤È¤Ê¤é
 198 ÁêÊÑ¤ï¤é¤º¤¢¤ë¤À¤í¤¦¤¬¡¢¤½¤Î¤¿¤á¤Ë \fBsudo\fR ¤¬Æ°¤«¤Ê¤¯¤Ê¤ë¤³¤È¤Ï¤Ê¤¤¡£
 199 .IP "\(bu" 4
 200 .\"O It is possible to specify per-entry options that override the global
 201 .\"O default options.  \fI/etc/sudoers\fR only supports default options and
 202 .\"O limited options associated with user/host/commands/aliases.  The
 203 .\"O syntax is complicated and can be difficult for users to understand.
 204 .\"O Placing the options directly in the entry is more natural.
 205 ¥¨¥ó¥È¥ê¤´¤È¤Ë¥ª¥×¥·¥ç¥ó¤ò»ØÄê¤·¤Æ¡¢¥°¥í¡¼¥Ð¥ë¤Ê¥Ç¥Õ¥©¥ë¥È¡¦¥ª¥×¥·¥ç¥ó¤ò
 206 ¾å½ñ¤¤¹¤ë¤³¤È¤¬¤Ç¤¤ë¡£\fI/etc/sudoers\fR ¤Ï¥°¥í¡¼¥Ð¥ë¤Ê
 207 ¥Ç¥Õ¥©¥ë¥È¡¦¥ª¥×¥·¥ç¥ó¤È¡¢¥æ¡¼¥¶¡¢¥Û¥¹¥È¡¢¥³¥Þ¥ó¥É¡¢ÊÑ¿ÈÂÐ¾Ý¤Ë·ë¤Ó¤Ä¤¤¤¿
 208 ¸ÂÄê¤µ¤ì¤¿¥ª¥×¥·¥ç¥ó¤·¤«¥µ¥Ý¡¼¥È¤·¤Æ¤¤¤Ê¤¤¡£¤Þ¤¿¡¢\fI/etc/sudoers\fR ¤Î
 209 ¥·¥ó¥¿¥¯¥¹¤ÏÊ£»¨¤Ç¡¢¥æ¡¼¥¶¤Ë¤ÏÍý²ò¤·¤Ë¤¯¤¤¤«¤â¤·¤ì¤Ê¤¤¡£¥ª¥×¥·¥ç¥ó¤ò
 210 ¥¨¥ó¥È¥êÆâ¤ÇÄ¾ÀÜ»ØÄê¤¹¤ëÊý¤¬¡¢¤º¤Ã¤È¼«Á³¤Ç¤¢¤ë¡£
 211 .IP "\(bu" 4
 212 .\"O The \fBvisudo\fR program is no longer needed.  \fBvisudo\fR provides
 213 .\"O locking and syntax checking of the \fI/etc/sudoers\fR file.
 214 .\"O Since \s-1LDAP\s0 updates are atomic, locking is no longer necessary.
 215 .\"O Because syntax is checked when the data is inserted into \s-1LDAP\s0, there
 216 .\"O is no need for a specialized tool to check syntax.
 217 .\"O .PP
 218 \&\fBvisudo\fR ¥×¥í¥°¥é¥à¤Ï¤â¤¦É¬Í×¤¬¤Ê¤¤¡£\fBvisudo\fR ¤ÎÌò³ä¤Ï
 219 \&\fI/etc/sudoers\fR ¥Õ¥¡¥¤¥ë¤Î¥í¥Ã¥¥ó¥°¤È¥·¥ó¥¿¥¯¥¹¡¦¥Á¥§¥Ã¥¯¤Ç¤¢¤ë¡£
 220 \&\s-1LDAP\s0 ¤Î¥Ç¡¼¥¿¹¹¿·¤Ï¥¢¥È¥ß¥Ã¥¯Áàºî¤Ê¤Î¤Ç¡¢(ÌõÃí: ¤½¤ì¸Î¡¢¥Ç¡¼¥¿¤Ï
 221 ¹¹¿·¤µ¤ì¤Æ¤¤¤Ê¤¤¤«¡¢¤¹¤Ç¤Ë¹¹¿·¤µ¤ì¤¿¤«¤Î¤É¤Á¤é¤«¤Ç¤¢¤Ã¤Æ¡¢Ãæ´Ö¾õÂÖ¤¬
 222 ¤Ê¤¤¤Î¤Ç)¡¢¥í¥Ã¥¥ó¥°¤Ï¤â¤Ï¤äÉ¬Í×¤¬¤Ê¤¤¡£
 223 ¥·¥ó¥¿¥¯¥¹¤Ï¡¢¥Ç¡¼¥¿¤¬ \s-1LDAP\s0 ¤Ë¥¤¥ó¥µ¡¼¥È¤µ¤ì¤ë¤È¤
 224 ¥Á¥§¥Ã¥¯¤µ¤ì¤ë¤«¤é¡¢¥·¥ó¥¿¥¯¥¹¡¦¥Á¥§¥Ã¥¯ÍÑ¤ÎÆÃÊÌ¤Ê¥Ä¡¼¥ë¤âÌµÍÑ¤Ë¤Ê¤Ã¤Æ¤¤¤ë¡£
 225 .PP
 226 .\"O Another major difference between \s-1LDAP\s0 and file-based \fIsudoers\fR
 227 .\"O is that in \s-1LDAP\s0, \fBsudo\fR\-specific Aliases are not supported.
 228 .\"O .PP
 229 \&\s-1LDAP\s0 ¤Ë¤è¤ëÀßÄê¤È \fIsudoers\fR ¥Õ¥¡¥¤¥ë¤Ë¤è¤ëÀßÄê¤È¤Î¡¢
 230 ¤â¤¦°ì¤Ä¤ÎÂç¤¤Ê°ã¤¤¤Ï¡¢\s-1LDAP\s0 ¤Ç¤Ï \fBsudo\fR ÀìÍÑ¤Î¥¨¥¤¥ê¥¢¥¹¤¬
 231 ¥µ¥Ý¡¼¥È¤µ¤ì¤Æ¤¤¤Ê¤¤¤³¤È¤Ç¤¢¤ë¡£
 232 .PP
 233 .\"O For the most part, there is really no need for \fBsudo\fR\-specific
 234 .\"O Aliases.  Unix groups or user netgroups can be used in place of
 235 .\"O User_Aliases and RunasAliases.  Host netgroups can be used in place
 236 .\"O of HostAliases.  Since Unix groups and netgroups can also be stored
 237 .\"O in \s-1LDAP\s0 there is no real need for \fBsudo\fR\-specific aliases.
 238 .\"O .PP
 239 ¤¿¤¤¤Æ¤¤¤Î¾ì¹ç¡¢\fBsudo\fR ÀìÍÑ¤Î¥¨¥¤¥ê¥¢¥¹¤Ï¼Â¤Î¤È¤³¤íÉ¬Í×¤¬¤Ê¤¤¡£
 240 User_Aliases ¤ä Runas_Aliases ¤ÎÂå¤ï¤ê¤Ë¡¢Unix ¤Î¥°¥ë¡¼¥×¤ä¥æ¡¼¥¶¤Î
 241 ¥Í¥Ã¥È¥°¥ë¡¼¥×¤¬»ÈÍÑ¤Ç¤¤ë¡£¤Þ¤¿¡¢Host_Aliases ¤ÎÂå¤ï¤ê¤Ë¤Ï¡¢¥Û¥¹¥È¤Î
 242 ¥Í¥Ã¥È¥°¥ë¡¼¥×¤¬»È¤¨¤ë¡£\s-1LDAP\s0 ¤Ë¤Ï Unix ¤Î¥°¥ë¡¼¥×¤ä¥Í¥Ã¥È¥°¥ë¡¼¥×¤â
 243 ³ÊÇ¼¤Ç¤¤ë¤Î¤Ç¡¢\fBsudo\fR ÀìÍÑ¤Î¥¨¥¤¥ê¥¢¥¹¤¬¤É¤¦¤·¤Æ¤âÉ¬Í×¤È¤¤¤¦¤ï¤±¤Ç¤Ï
 244 ¤Ê¤¤¤Î¤À¡£
 245 .PP
 246 .\"O Cmnd_Aliases are not really required either since it is possible
 247 .\"O to have multiple users listed in a sudoRole.  Instead of defining
 248 .\"O a Cmnd_Alias that is referenced by multiple users, one can create
 249 .\"O a sudoRole that contains the commands and assign multiple users
 250 .\"O to it.
 251 Cmnd_Aliases ¤â¤Þ¤Ã¤¿¤¯É¬Í×¤¬¤Ê¤¤¡£°ì¤Ä¤Î sudoRole ¥¨¥ó¥È¥ê¤Ë
 252 Ê£¿ô¤Î¥æ¡¼¥¶¤òÅÐÏ¿¤Ç¤¤ë¤«¤é¤À¡£Ê£¿ô¤Î¥æ¡¼¥¶¤¬»²¾È¤¹¤ë Cmnd_Alias ¤ò
 253 ÄêµÁ¤¹¤ëÂå¤ï¤ê¤Ë¡¢Ê£¿ô¤Î¥³¥Þ¥ó¥É¤ò´Þ¤à sudoRole ¥¨¥ó¥È¥ê¤ò°ì¤ÄºîÀ®¤·¤Æ¡¢
 254 ¤½¤³¤ËÊ£¿ô¤Î¥æ¡¼¥¶¤ò³ä¤êÅö¤Æ¤ì¤Ð¤è¤¤¡£
 255 .IP "[\fBÌõÃí\fR]:" 8
 256 .IX Item "footnote1"
 257 ¸¶Ê¸¤ÎÃø¼Ô¤Ï¡¢sudo ÀßÄê¤ÎÃ±°Ì¤È¤Ê¤ë \f(CW\*(C`objectClass\*(C'\fR
 258 Â°À¤¬ \f(CW\*(C`sudoRole\*(C'\fR ¤Î LDAP ¥¨¥ó¥È¥ê¤Î¤¦¤Á¡¢
 259 \&\fI/etc/sudoers\fR ¤Î³Æ¥æ¡¼¥¶ÀßÄê¤ËÁêÅö¤¹¤ë¤â¤Î¤ò¡Öa sudoRole¡×¤È
 260 ¸Æ¤ó¤Ç¤¤¤ë¡£ÌõÊ¸¤Ç¤Ï¡ÖsudoRole ¥¨¥ó¥È¥ê¡×¤È¤·¤¿¡£
 261 .\"O .Sh "SUDOers \s-1LDAP\s0 container"
 262 .Sh "\s-1LDAP\s0 ¤Î SUDOers ¥³¥ó¥Æ¥Ê"
 263 .IX Subsection "SUDOers LDAP container"
 264 .\"O The \fIsudoers\fR configuration is contained in the \f(CW\*(C`ou=SUDOers\*(C'\fR \s-1LDAP\s0
 265 .\"O container.
 266 .\"O .PP
 267 \&\s-1LDAP\s0 ¤Ç¤Ï sudo ¤ÎÀßÄê¤Ï \f(CW\*(C`ou=SUDOers\*(C'\fR ¥³¥ó¥Æ¥Ê¤Î
 268 ²¼¤ËÇÛÃÖ¤µ¤ì¤Æ¤¤¤ë¡£
 269 .IP "[\fBÌõÃí\fR]:" 8
 270 .IX Item "footnote2"
 271 ¥³¥ó¥Æ¥Ê¤È¤Ï¡¢¥Ç¡¼¥¿¤ò³ÊÇ¼¤¹¤ë¤¿¤á¤Ë¤Ç¤Ï¤Ê¤¯¡¢²¼°Ì¤Î¥¨¥ó¥È¥ê¤ò
 272 ¤Þ¤È¤á¤Æ¤ª¤¯¤¿¤á¤ËÂ¸ºß¤¹¤ë¾å°Ì¥¨¥ó¥È¥ê¤ò¸À¤¦¡£¤¿¤È¤¨¤Ð¡¢
 273 OpenLDAP ÍÑ¤Î \f(CW\*(C`ou=SUDOers\*(C'\fR ¥³¥ó¥Æ¥Ê¤Ê¤é¡¢¤³¤ó¤Ê¤Õ¤¦¤Ë¤Ê¤ë
 274 (sudo Æ±º¤Î README.LDAP ¤«¤é°úÍÑ)¡£
 275 .PP
 276 .Vb 4
 277 \&          dn: ou=SUDOers,dc=example,dc=com
 278 \&          objectClass: top
 279 \&          objectClass: organizationalUnit
 280 \&          ou: SUDOers
 281 .Ve
 282 .PP
 283 .\"O Sudo first looks for the \f(CW\*(C`cn=default\*(C'\fR entry in the SUDOers container.
 284 .\"O If found, the multi-valued \f(CW\*(C`sudoOption\*(C'\fR attribute is parsed in the
 285 .\"O same manner as a global \f(CW\*(C`Defaults\*(C'\fR line in \fI/etc/sudoers\fR.  In
 286 .\"O the following example, the \f(CW\*(C`SSH_AUTH_SOCK\*(C'\fR variable will be preserved
 287 .\"O in the environment for all users.
 288 .\"O .PP
 289 sudo ¤Ï¤Þ¤ººÇ½é¤Ë SUDOers ¥³¥ó¥Æ¥ÊÇÛ²¼¤Ë \f(CW\*(C`cn=default\*(C'\fR ¤Î
 290 ¥¨¥ó¥È¥ê¤òÁÜ¤¹¡£¸«¤Ä¤«¤Ã¤¿¾ì¹ç¤Ï¡¢Ê£¿ô²ó»ØÄê²ÄÇ½¤Ê
 291 \&\f(CW\*(C`sudoOption\*(C'\fR Â°À¤¬¡¢\fI/etc/sudoers\fR ¤Î¥°¥í¡¼¥Ð¥ë¤Ê
 292 \&\f(CW\*(C`Defaults\*(C'\fR ¹Ô¤ÈÆ±¤¸¤ä¤êÊý¤Ç²òÀÏ¤µ¤ì¤ë¡£
 293 °Ê²¼¤ÎÎã¤Ç¤Ï¡¢´Ä¶ÊÑ¿ô \f(CW\*(C`SSH_AUTH_SOCK\*(C'\fR ¤¬
 294 ¤¹¤Ù¤Æ¤Î¥æ¡¼¥¶¤Î´Ä¶¤ËÊÝÂ¸¤µ¤ì¤ë¤³¤È¤Ë¤Ê¤ë¡£
 295 .PP
 296 .Vb 6
 297 \&    dn: cn=defaults,ou=SUDOers,dc=example,dc=com
 298 \&    objectClass: top
 299 \&    objectClass: sudoRole
 300 \&    cn: defaults
 301 \&    description: Default sudoOption\*(Aqs go here
 302 \&    sudoOption: env_keep+=SSH_AUTH_SOCK
 303 .Ve
 304 .PP
 305 .\"O The equivalent of a sudoer in \s-1LDAP\s0 is a \f(CW\*(C`sudoRole\*(C'\fR.  It consists of
 306 .\"O the following components:
 307 \&\s-1LDAP\s0 ¤Ë¤ª¤¤¤Æ \fI/etc/sudoers\fR ¤Î¸Ä¡¹¤Î¡Ö¥æ¡¼¥¶ÀßÄê¡×¤Ë
 308 ÁêÅö¤¹¤ë¤Î¤Ï¡¢
 309 \&\f(CW\*(C`sudoRole\*(C'\fR ¥¨¥ó¥È¥ê¤Ç¤¢¤ë¡£
 310 ¤½¤ì¤Ï°Ê²¼¤Î¹½À®Í×ÁÇ¤«¤é¤Ç¤¤Æ¤¤¤ë¡£
 311 .IP "\fBsudoUser\fR" 4
 312 .IX Item "sudoUser"
 313 .\"O A user name, uid (prefixed with \f(CW\*(Aq#\*(Aq\fR), Unix group (prefixed with
 314 .\"O a \f(CW\*(Aq%\*(Aq\fR) or user netgroup (prefixed with a \f(CW\*(Aq+\*(Aq\fR).
 315 ¼¡¤Î¤¦¤Á¤Î¤¤¤Å¤ì¤«¡£¥æ¡¼¥¶Ì¾¡¢uid (\f(CW\*(Aq#\*(Aq\fR ¤¬Æ¬¤ËÉÕ¤¯)¡¢
 316 Unix ¥°¥ë¡¼¥×Ì¾ (\f(CW\*(Aq%\*(Aq\fR ¤¬Æ¬¤ËÉÕ¤¯)¡¢
 317 ¥æ¡¼¥¶¤Î¥Í¥Ã¥È¥°¥ë¡¼¥×Ì¾ (\f(CW\*(Aq+\*(Aq\fR ¤¬Æ¬¤ËÉÕ¤¯)¡£
 318 .IP "\fBsudoHost\fR" 4
 319 .IX Item "sudoHost"
 320 .\"O A host name, \s-1IP\s0 address, \s-1IP\s0 network, or host netgroup (prefixed
 321 .\"O with a \f(CW\*(Aq+\*(Aq\fR).
 322 .\"O The special value \f(CW\*(C`ALL\*(C'\fR will match any host.
 323 ¼¡¤Î¤¦¤Á¤Î¤¤¤Å¤ì¤«¡£¥Û¥¹¥ÈÌ¾¡¢\s-1IP\s0 ¥¢¥É¥ì¥¹¡¢¥Í¥Ã¥È¥ï¡¼¥¯¥¢¥É¥ì¥¹¡¢
 324 ¥Û¥¹¥È¤Î¥Í¥Ã¥È¥°¥ë¡¼¥×Ì¾ (\f(CW\*(Aq+\*(Aq\fR ¤¬Æ¬¤ËÉÕ¤¯)¡£
 325 \&\f(CW\*(C`ALL\*(C'\fR ¤È¤¤¤¦ÆÃÊÌ¤ÊÃÍ¤Ï¤¤¤«¤Ê¤ë¥Û¥¹¥È¤Ë¤â¥Þ¥Ã¥Á¤¹¤ë¡£
 326 .IP "\fBsudoCommand\fR" 4
 327 .IX Item "sudoCommand"
 328 .\"O A Unix command with optional command line arguments, potentially
 329 .\"O including globbing characters (aka wild cards).
 330 .\"O The special value \f(CW\*(C`ALL\*(C'\fR will match any command.
 331 .\"O If a command is prefixed with an exclamation point \f(CW\*(Aq!\*(Aq\fR, the
 332 .\"O user will be prohibited from running that command.
 333 Unix ¤Î¥³¥Þ¥ó¥É¡£¥³¥Þ¥ó¥É¥é¥¤¥ó°ú¿ô¤òÉÕ¤±¤Æ¤â¤è¤¯¡¢glob Ê¸»ú
 334 (¥ï¥¤¥ë¥É¥«¡¼¥É¤È¤â¸À¤¦) ¤ò´Þ¤ó¤Ç¤¤¤Æ¤â¤è¤¤¡£\f(CW\*(C`ALL\*(C'\fR ¤È¤¤¤¦
 335 ÆÃÊÌ¤ÊÃÍ¤Ï¡¢¤¤¤«¤Ê¤ë¥³¥Þ¥ó¥É¤Ë¤â¥Þ¥Ã¥Á¤¹¤ë¡£¥³¥Þ¥ó¥É¤Ë
 336 ´¶Ã²Éä \f(CW\*(Aq!\*(Aq\fR ¤òÀÜÆ¬¼¤È¤·¤ÆÉÕ¤±¤ë¤È¡¢¥æ¡¼¥¶¤Ë
 337 ¤½¤Î¥³¥Þ¥ó¥É¤Î¼Â¹Ô¤ò¶Ø¤¸¤ë¤³¤È¤Ë¤Ê¤ë¡£
 338 .IP "\fBsudoOption\fR" 4
 339 .IX Item "sudoOption"
 340 .\"O Identical in function to the global options described above, but
 341 .\"O specific to the \f(CW\*(C`sudoRole\*(C'\fR in which it resides.
 342 Æ¯¤¤Ï¡¢Á°½Ò¤Î¥°¥í¡¼¥Ð¥ë¥ª¥×¥·¥ç¥ó¤ÈÆ±¤¸¤À¤¬¡¢¤½¤ì¤¬Â°¤·¤Æ¤¤¤ë
 343 \&\f(CW\*(C`sudoRole\*(C'\fR ¥¨¥ó¥È¥ê¤ËÂÐ¤·¤Æ¤Î¤ß¸ú²Ì¤¬¤¢¤ë¡£
 344 .IP "\fBsudoRunAsUser\fR" 4
 345 .IX Item "sudoRunAsUser"
 346 .\"O A user name or uid (prefixed with \f(CW\*(Aq#\*(Aq\fR) that commands may be run
 347 .\"O as or a Unix group (prefixed with a \f(CW\*(Aq%\*(Aq\fR) or user netgroup (prefixed
 348 .\"O with a \f(CW\*(Aq+\*(Aq\fR) that contains a list of users that commands may be
 349 .\"O run as.
 350 .\"O The special value \f(CW\*(C`ALL\*(C'\fR will match any user.
 351 ÊÑ¿ÈÂÐ¾Ý¤È¤Ê¤ë¥æ¡¼¥¶Ì¾¤«¡¢uid (\f(CW\*(Aq#\*(Aq\fR ¤¬Æ¬¤ËÉÕ¤¯)¡£
 352 ¤¢¤ë¤¤¤Ï¡¢ÊÑ¿ÈÂÐ¾Ý¥æ¡¼¥¶¤ò¥ê¥¹¥È¤Ë´Þ¤à Unix ¤Î¥°¥ë¡¼¥×Ì¾¤«
 353 (\f(CW\*(Aq%\*(Aq\fR ¤¬Æ¬¤ËÉÕ¤¯)¡¢¥æ¡¼¥¶¤Î¥Í¥Ã¥È¥°¥ë¡¼¥×Ì¾
 354 (\f(CW\*(Aq+\*(Aq\fR ¤¬Æ¬¤ËÉÕ¤¯)¡£ÆÃÊÌ¤ÊÃÍ \f(CW\*(C`ALL\*(C'\fR ¤Ï¡¢
 355 ¤¤¤«¤Ê¤ë¥æ¡¼¥¶¤Ë¤â¥Þ¥Ã¥Á¤¹¤ë¡£
 356 .IP "\fBsudoRunAsGroup\fR" 4
 357 .IX Item "sudoRunAsGroup"
 358 .\"O A Unix group or gid (prefixed with \f(CW\*(Aq#\*(Aq\fR) that commands may be run as.
 359 .\"O The special value \f(CW\*(C`ALL\*(C'\fR will match any group.
 360 .\"O .PP
 361 ÊÑ¿ÈÂÐ¾Ý¤È¤Ê¤ë Unix ¥°¥ë¡¼¥×Ì¾ ¤« gid (\f(CW\*(Aq#\*(Aq\fR ¤¬Æ¬¤ËÉÕ¤¯)¡£
 362 ÆÃÊÌ¤ÊÃÍ \f(CW\*(C`ALL\*(C'\fR ¤Ï¤¤¤«¤Ê¤ë¥°¥ë¡¼¥×¤Ë¤â¥Þ¥Ã¥Á¤¹¤ë¡£
 363 .PP
 364 .\"O Each component listed above should contain a single value, but there
 365 .\"O may be multiple instances of each component type.  A sudoRole must
 366 .\"O contain at least one \f(CW\*(C`sudoUser\*(C'\fR, \f(CW\*(C`sudoHost\*(C'\fR and \f(CW\*(C`sudoCommand\*(C'\fR.
 367 .\"O .PP
 368 ¾åµ¤Î³Æ¹½À®Í×ÁÇ¤¬´Þ¤àÃÍ¤Ï°ì¸Ä¤Ç¤¢¤ë¤Ù¤¤À¤¬¡¢Æ±¤¸¥¿¥¤¥×¤Î¹½À®Í×ÁÇ¤¬
 369 Ê£¿ô²ó¸½¤ì¤Æ¤â¤è¤¤¡£sudoRole ¥¨¥ó¥È¥ê¤Ï  \f(CW\*(C`sudoUser\*(C'\fR¡¢
 370 \&\f(CW\*(C`sudoHost\*(C'\fR¡¢\f(CW\*(C`sudoCommand\*(C'\fR ¤ò
 371 ¾¯¤Ê¤¯¤È¤â°ì¸Ä¤Å¤Ä´Þ¤ó¤Ç¤¤¤Ê¤±¤ì¤Ð¤Ê¤é¤Ê¤¤¡£
 372 .PP
 373 .\"O The following example allows users in group wheel to run any command
 374 .\"O on any host via \fBsudo\fR:
 375 .\"O .PP
 376 °Ê²¼¤ÎÎã¤Ç¤Ï¡¢wheel ¥°¥ë¡¼¥×¤Î¥æ¡¼¥¶¤Ë \fBsudo\fR ·ÐÍ³¤Ç¤¤¤«¤Ê¤ë¥Û¥¹¥È¤Ç¤â
 377 Ç¤°Õ¤Î¥³¥Þ¥ó¥É¤Î¼Â¹Ô¤òµö²Ä¤·¤Æ¤¤¤ë¡£
 378 .PP
 379 .Vb 7
 380 \&    dn: cn=%wheel,ou=SUDOers,dc=example,dc=com
 381 \&    objectClass: top
 382 \&    objectClass: sudoRole
 383 \&    cn: %wheel
 384 \&    sudoUser: %wheel
 385 \&    sudoHost: ALL
 386 \&    sudoCommand: ALL
 387 .Ve
 388 .\"O .Sh "Anatomy of \s-1LDAP\s0 sudoers lookup"
 389 .Sh "\s-1LDAP\s0 ¤ò»È¤Ã¤Æ sudo ¤ÎÀßÄê¤ò»²¾È¤¹¤ë¤È¤¤Î¾ÜºÙ"
 390 .IX Subsection "Anatomy of LDAP sudoers lookup"
 391 .\"O When looking up a sudoer using \s-1LDAP\s0 there are only two or three
 392 .\"O \&\s-1LDAP\s0 queries per invocation.  The first query is to parse the global
 393 .\"O options.  The second is to match against the user's name and the
 394 .\"O groups that the user belongs to.  (The special \s-1ALL\s0 tag is matched
 395 .\"O in this query too.)  If no match is returned for the user's name
 396 .\"O and groups, a third query returns all entries containing user
 397 .\"O netgroups and checks to see if the user belongs to any of them.
 398 \&\s-1LDAP\s0 ¤ò»È¤Ã¤Æ sudo ¤ÎÀßÄê¤ò»²¾È¤¹¤ë¤È¤¡¢LDAP ¤ÎÌä¤¤¹ç¤ï¤»¤Ï
 399 \&\fBsudo\fR ¤Î¼Â¹Ô¤´¤È¤Ë¤¿¤Ã¤¿Æó²ó¤«»°²ó¹Ô¤ï¤ì¤ë¤À¤±¤Ç¤¢¤ë¡£
 400 °ì²óÌÜ¤ÎÌä¤¤¹ç¤ï¤»¤Ï¡¢¥°¥í¡¼¥Ð¥ë¡¦¥ª¥×¥·¥ç¥ó¤ò²òÀÏ¤¹¤ë¤¿¤á¤Ë¹Ô¤ï¤ì¤ë¡£
 401 Æó²óÌÜ¤ÎÌä¤¤¹ç¤ï¤»¤Ï¡¢\fBsudo\fR ¤ò¼Â¹Ô¤¹¤ë¥æ¡¼¥¶¤Î¥æ¡¼¥¶Ì¾¤ä
 402 ½êÂ°¥°¥ë¡¼¥×¤ËÂÐ±þ¤¹¤ë¥¨¥ó¥È¥ê¤ò¸«¤Ä¤±¤ë¤¿¤á¤À (ÆÃÊÌ¤Ê¥¿¥° \s-1ALL\s0 ¤¬
 403 ²¿¤Ë¤Ç¤â¥Þ¥Ã¥Á¤¹¤ë¤Î¤Ï¡¢¤³¤Î¾ì¹ç¤âÆ±ÍÍ¤Ç¤¢¤ë)¡£
 404 ¥æ¡¼¥¶Ì¾¤ä¥°¥ë¡¼¥×¤ËÂÐ±þ¤¹¤ë¥¨¥ó¥È¥ê¤¬ÆÀ¤é¤ì¤Ê¤«¤Ã¤¿¾ì¹ç¤Ï¡¢
 405 »°²óÌÜ¤ÎÌä¤¤¹ç¤ï¤»¤¬¹Ô¤ï¤ì¡¢¥æ¡¼¥¶¤Î¥Í¥Ã¥È¥°¥ë¡¼¥×¤ò´Þ¤ó¤Ç¤¤¤ë
 406 ¤¹¤Ù¤Æ¤Î¥¨¥ó¥È¥ê¡¼¤ò¼èÆÀ¤·¤Æ¡¢ÌäÂê¤Î¥æ¡¼¥¶¤¬¤½¤Î¤É¤ì¤«¤ËÂ°¤·¤Æ¤¤¤Ê¤¤¤«¤ò
 407 ¥Á¥§¥Ã¥¯¤¹¤ë¡£
 408 .\"O .Sh "Differences between \s-1LDAP\s0 and non-LDAP sudoers"
 409 .Sh "\s-1LDAP\s0 ¤È non-LDAP ¤Î sudo ÀßÄê¤ÎÁê°ãÅÀ"
 410 .IX Subsection "Differences between LDAP and non-LDAP sudoers"
 411 .\"O There are some subtle differences in the way sudoers is handled
 412 .\"O once in \s-1LDAP\s0.  Probably the biggest is that according to the \s-1RFC\s0,
 413 .\"O \&\s-1LDAP\s0 ordering is arbitrary and you cannot expect that Attributes
 414 .\"O and Entries are returned in any specific order.  If there are
 415 .\"O conflicting command rules on an entry, the negative takes precedence.
 416 .\"O This is called paranoid behavior (not necessarily the most specific
 417 .\"O match).
 418 .\"O .PP
 419 LDAP ¤ò»ÈÍÑ¤¹¤ë¾ì¹ç¡¢sudo ¤ÎÀßÄê¤Î½èÍýÊýË¡¤Ë \fI/etc/sudoers\fR ¤Î¾ì¹ç¤È¤Ï
 420 ÈùÌ¯¤Ê°ã¤¤¤¬¤¤¤¯¤Ä¤«¤¢¤ë¡£¤¿¤Ö¤óºÇÂç¤Î°ã¤¤¤Ï¡¢\s-1RFC\s0 ¤Ë½ñ¤¤¤Æ¤¢¤ë¤È¤ª¤ê¡¢
 421 \&\s-1LDAP\s0 ¤Î½ç½ø¤Å¤±¤ÏÉÔÄê¤Ê¤Î¤Ç¡¢Â°À¤ä¥¨¥ó¥È¥ê¤¬²¿¤é¤«¤Î
 422 ·è¤Þ¤Ã¤¿½ç½ø¤ÇÊÖ¤µ¤ì¤ë¤³¤È¤ò´üÂÔ¤Ç¤¤Ê¤¤¤È¤¤¤¦¤³¤È¤À¤í¤¦¡£¤¿¤À¤·¡¢
 423 ¤¢¤ë¥¨¥ó¥È¥ê¡¼¤Ë¥³¥Þ¥ó¥É¤Ë´Ø¤·¤ÆÁêÈ¿¤¹¤ë¥ë¡¼¥ë¤¬¤¢¤ë¾ì¹ç¤Ï¡¢ÈÝÄê¤¹¤ëÊý¤¬
 424 Í¥Àè¤µ¤ì¤ë¡£¤³¤ì¤Ï¥Ñ¥é¥Î¥¤¥¢ÅªÆ°ºî¤È¸À¤ï¤ì¤ë¤â¤Î¤À (¤â¤Ã¤È¤â¡¢¤½¤ì¤¬
 425 °ìÈÖÌÀ¼¨Åª¤Ê¥Þ¥Ã¥Á¤À¤È¤Ï¤«¤®¤é¤Ê¤¤¤Î¤À¤¬)¡£
 426 .PP
 427 .\"O Here is an example:
 428 .\"O .PP
 429 Îã¤òµó¤²¤Æ¤ß¤è¤¦¡£
 430 .PP
 431 .Vb 5
 432 .\"O \&    # /etc/sudoers:
 433 .\"O \&    # Allow all commands except shell
 434 \&    # /etc/sudoers ¤Î¾ì¹ç:
 435 \&    # shell °Ê³°¤Î¤¹¤Ù¤Æ¤Î¥³¥Þ¥ó¥É¤òµö²Ä¤¹¤ë
 436 \&    johnny  ALL=(root) ALL,!/bin/sh
 437 .\"O \&    # Always allows all commands because ALL is matched last
 438 \&    # ¼¡¤ÎÀßÄê¤Ï¡¢ALL ¤¬ºÇ¸å¤Ë¥Þ¥Ã¥Á¤¹¤ë¤Î¤Ç¡¢¾ï¤Ë¤¹¤Ù¤Æ¤Î¥³¥Þ¥ó¥É¤ò
 439 \&    # µö²Ä¤¹¤ë¤³¤È¤Ë¤Ê¤ë
 440 \&    puddles ALL=(root) !/bin/sh,ALL
 441 \&
 442 .\"O \&    # LDAP equivalent of johnny
 443 .\"O \&    # Allows all commands except shell
 444 \&    # ¾åµ¤Î johnny ¤ËÁêÅö¤¹¤ë LDAP ¤Î¥¨¥ó¥È¥ê:
 445 \&    # shell °Ê³°¤Î¤¹¤Ù¤Æ¤Î¥³¥Þ¥ó¥É¤òµö²Ä¤¹¤ë
 446 \&    dn: cn=role1,ou=Sudoers,dc=my\-domain,dc=com
 447 \&    objectClass: sudoRole
 448 \&    objectClass: top
 449 \&    cn: role1
 450 \&    sudoUser: johnny
 451 \&    sudoHost: ALL
 452 \&    sudoCommand: ALL
 453 \&    sudoCommand: !/bin/sh
 454 \&
 455 .\"O \&    # LDAP equivalent of puddles
 456 .\"O \&    # Notice that even though ALL comes last, it still behaves like
 457 .\"O \&    # role1 since the LDAP code assumes the more paranoid configuration
 458 \&    # ¾åµ¤Î puddles ¤ËÁêÅö¤¹¤ë LDAP ¤Î¥¨¥ó¥È¥ê:
 459 \&    # ALL ¤¬ºÇ¸å¤Ë»ØÄê¤µ¤ì¤Æ¤¤¤ë¤¬¡¢LDAP ¤Î¥³¡¼¥É¤Ï¤è¤ê¥Ñ¥é¥Î¥¤¥¢Åª¤Ê
 460 \&    # ÀßÄê¤Ë¤Ê¤Ã¤Æ¤¤¤ë¤¿¤á¡¢¤³¤ì¤â¤Þ¤¿ role1 ¤ÈÆ±¤¸¤è¤¦¤ËÆ°ºî¤¹¤ë
 461 \&    # ¤³¤È¤ËÃí°Õ¤·¤Æ¤Û¤·¤¤
 462 \&    dn: cn=role2,ou=Sudoers,dc=my\-domain,dc=com
 463 \&    objectClass: sudoRole
 464 \&    objectClass: top
 465 \&    cn: role2
 466 \&    sudoUser: puddles
 467 \&    sudoHost: ALL
 468 \&    sudoCommand: !/bin/sh
 469 \&    sudoCommand: ALL
 470 .Ve
 471 .PP
 472 .\"O Another difference is that negations on the Host, User or Runas are
 473 .\"O currently ignorred.  For example, the following attributes do not
 474 .\"O behave the way one might expect.
 475 .\"O .PP
 476 ¤â¤¦°ì¤Ä¤ÎÁê°ã¤Ï¡¢Host¡¢User¡¢Runas ¤Ë¤Ä¤¤¤Æ¤ÎÈÝÄê¤Ï¡¢¸½ºß¤Î¤È¤³¤í
 477 Ìµ»ë¤µ¤ì¤ë¤È¤¤¤¦¤³¤È¤À¡£¤¿¤È¤¨¤Ð¡¢°Ê²¼¤Ëµó¤²¤ë¤è¤¦¤ÊÂ°À¤Ï´üÂÔ¤É¤ª¤ê¤Ë
 478 Æ°ºî¤·¤Ê¤¤¡£
 479 .PP
 480 .Vb 3
 481 .\"O \&    # does not match all but joe
 482 .\"O \&    # rather, does not match anyone
 483 \&    # joe °Ê³°¤ÎÁ´°÷¤È¥Þ¥Ã¥Á¤·¤Ê¤¤¤É¤³¤í¤«¡¢
 484 \&    # Ã¯¤Ë¤â¥Þ¥Ã¥Á¤·¤Ê¤¤
 485 \&    sudoUser: !joe
 486 \&
 487 .\"O \&    # does not match all but joe
 488 .\"O \&    # rather, matches everyone including Joe
 489 \&    # joe °Ê³°¤ÎÁ´°÷¤È¥Þ¥Ã¥Á¤·¤Ê¤¤¤É¤³¤í¤«¡¢
 490 \&    # joe ¤ò´Þ¤àÁ´°÷¤Ë¥Þ¥Ã¥Á¤·¤Æ¤·¤Þ¤¦
 491 \&    sudoUser: ALL
 492 \&    sudoUser: !joe
 493 \&
 494 .\"O \&    # does not match all but web01
 495 .\"O \&    # rather, matches all hosts including web01
 496 \&    # web01 °Ê³°¤Î¤¹¤Ù¤Æ¤È¥Þ¥Ã¥Á¤·¤Ê¤¤¤É¤³¤í¤«¡¢
 497 \&    # web01 ¤ò´Þ¤à¤¹¤Ù¤Æ¤Î¥Û¥¹¥È¤Ë¥Þ¥Ã¥Á¤·¤Æ¤·¤Þ¤¦
 498 \&    sudoHost: ALL
 499 \&    sudoHost: !web01
 500 .Ve
 501 .\"O .Sh "Sudoers Schema"
 502 .Sh "sudo ÍÑ¤Î¥¹¥¡¼¥Þ"
 503 .IX Subsection "Sudoers Schema"
 504 .\"O In order to use \fBsudo\fR's \s-1LDAP\s0 support, the \fBsudo\fR schema must be
 505 .\"O installed on your \s-1LDAP\s0 server.  In addition, be sure to index the
 506 .\"O \&'sudoUser' attribute.
 507 .\"O .PP
 508 \&\fBsudo\fR ¤Î \s-1LDAP\s0 ¥µ¥Ý¡¼¥È¤òÍøÍÑ¤¹¤ë¤¿¤á¤Ë¤Ï¡¢
 509 ¤ª»È¤¤¤Î \s-1LDAP\s0 ¥µ¡¼¥Ð¤Ë \fBsudo\fR ÍÑ¤Î¥¹¥¡¼¥Þ¤ò
 510 ¥¤¥ó¥¹¥È¡¼¥ë¤·¤Ê¤±¤ì¤Ð¤Ê¤é¤Ê¤¤¡£¤µ¤é¤Ë¡¢'sudoUser' Â°À¤Îº÷°ú¤â
 511 É¬¤ººîÀ®¤¹¤ë¡£
 512 .PP
 513 .\"O Three versions of the schema: one for OpenLDAP servers (\fIschema.OpenLDAP\fR),
 514 .\"O one for Netscape-derived servers (\fIschema.iPlanet\fR), and one for
 515 .\"O Microsoft Active Directory (\fIschema.ActiveDirectory\fR) may
 516 .\"O be found in the \fBsudo\fR distribution.
 517 .\"O .PP
 518 ¤¿¤Ö¤ó¡¢\fBsudo\fR ¤ÎÇÛÉÛÊªÃæ¤Ë»°¼ïÎà¤Î¥¹¥¡¼¥Þ¤¬Æþ¤Ã¤Æ¤¤¤ë¤È»×¤¦¡£
 519 ¤¹¤Ê¤ï¤Á OpenLDAP ¥µ¡¼¥ÐÍÑ (\fIschema.OpenLDAP\fR)¡¢
 520 Netscape ¥Ç¥£¥ì¥¯¥È¥ê¥µ¡¼¥Ð¤ÎÎ®¤ì¤òµâ¤à¥µ¡¼¥ÐÍÑ (\fIschema.iPlanet\fR)¡¢
 521 Microsoft Active Directory ÍÑ (\fIschema.ActiveDirectory\fR) ¤Î
 522 ¥¹¥¡¼¥Þ¤Ç¤¢¤ë¡£
 523 .PP
 524 .\"O The schema for \fBsudo\fR in OpenLDAP form is included in the \s-1EXAMPLES\s0
 525 .\"O section.
 526 OpenLDAP ÍÑ¤Î·Á¼°¤Ë¤·¤¿ \fBsudo\fR ¤Î¥¹¥¡¼¥Þ¤Ë¤Ä¤¤¤Æ¤Ï¡¢
 527 °Ê²¼¤Î¡ÖÍÑÎã¡×¥»¥¯¥·¥ç¥ó¤Ë¤âµºÜ¤·¤Æ¤ª¤¤¤¿¡£
 528 .\"O .Sh "Configuring ldap.conf"
 529 .Sh "ldap.conf ¤ÎÀßÄê"
 530 .IX Subsection "Configuring ldap.conf"
 531 .\"O Sudo reads the \fI/etc/ldap.conf\fR file for LDAP-specific configuration.
 532 .\"O Typically, this file is shared amongst different LDAP-aware clients.
 533 .\"O As such, most of the settings are not \fBsudo\fR\-specific.  Note that
 534 .\"O \&\fBsudo\fR parses \fI/etc/ldap.conf\fR itself and may support options
 535 .\"O that differ from those described in the \fIldap.conf\fR\|(5) manual.
 536 .\"O .PP
 537 sudo ¤Ï LDAP ¤Ë´Ø¤¹¤ëÀßÄê¤òÃÎ¤ë¤¿¤á¤Ë \fI/etc/ldap.conf\fR ¤òÆÉ¤ß¹þ¤à¡£
 538 ÄÌÎã¡¢¤³¤Î¥Õ¥¡¥¤¥ë¤Ï¡¢LDAP ¤ËÂÐ±þ¤·¤Æ¤¤¤ë¤µ¤Þ¤¶¤Þ¤Ê¥¯¥é¥¤¥¢¥ó¥È¤Î
 539 ´Ö¤Ç¶¦Í¤µ¤ì¤Æ¤¤¤ë¡£¤½¤ì¸Î¡¢ÀßÄê¤ÎÂçÉôÊ¬¤Ï \fBsudo\fR ÀìÍÑ¤Ç¤Ï¤Ê¤¤¡£
 540 Ãí°Õ¤¹¤Ù¤¤Ï¡¢\fBsudo\fR ¤Ï \fI/etc/ldap.conf\fR ¤òÆÈ¼«¤Ë²òÀÏ¤·¤Æ¤ª¤ê¡¢
 541 \&\fIldap.conf\fR\|(5) ¤Î¥Þ¥Ë¥å¥¢¥ë¤ÇÀâÌÀ¤µ¤ì¤Æ¤¤¤ë¤â¤Î¤È¤Ï
 542 °Û¤Ê¤ë¥ª¥×¥·¥ç¥ó¤ò¥µ¥Ý¡¼¥È¤·¤Æ¤¤¤ë¤³¤È¤¬¤¢¤ë¤È¤¤¤¦¤³¤È¤À¡£
 543 .PP
 544 .\"O Also note that on systems using the OpenLDAP libraries, default
 545 .\"O values specified in \fI/etc/openldap/ldap.conf\fR or the user's
 546 .\"O \&\fI.ldaprc\fR files are not used.
 547 .\"O .PP
 548 ¤â¤¦¤Ò¤È¤ÄÃí°Õ¤·¤Æ¤Û¤·¤¤¤Î¤Ï¡¢OpenLDAP ¥é¥¤¥Ö¥é¥ê¤ò»È¤Ã¤Æ¤¤¤ë
 549 ¥·¥¹¥Æ¥à¤Ç¤Ï¡¢ \fI/etc/openldap/ldap.conf\fR ¤ä¥æ¡¼¥¶¤Î \fI.ldaprc\fR
 550 ¥Õ¥¡¥¤¥ë¤Ç»ØÄê¤·¤Æ¤¤¤ë¥Ç¥Õ¥©¥ë¥ÈÃÍ¤¬»ÈÍÑ¤µ¤ì¤Ê¤¤¤³¤È¤Ç¤¢¤ë¡£
 551 .PP
 552 .\"O Only those options explicitly listed in \fI/etc/ldap.conf\fR that are
 553 .\"O supported by \fBsudo\fR are honored.  Configuration options are listed
 554 .\"O below in upper case but are parsed in a case-independent manner.
 555 ¤¹¤Ê¤ï¤Á¡¢\fI/etc/ldap.conf\fR ¤ËÌÀ¼¨Åª¤ËµºÜ¤µ¤ì¡¢¤«¤Ä \fBsudo\fR ¤Ç
 556 ¥µ¥Ý¡¼¥È¤µ¤ì¤Æ¤¤¤ë¥ª¥×¥·¥ç¥ó¤Î¤ß¤¬»ÈÍÑ¤µ¤ì¤ë¡£ÀßÄê¥ª¥×¥·¥ç¥ó¤ò
 557 °Ê²¼¤ËÂçÊ¸»ú¤ÇÎóµó¤¹¤ë¤¬¡¢²òÀÏ¤µ¤ì¤ë¤È¤¤ÏÂçÊ¸»ú¾®Ê¸»ú¤Ï¶èÊÌ¤µ¤ì¤Ê¤¤¡£
 558 .IP "\fB\s-1URI\s0\fR ldap[s]://[hostname[:port]] ..." 4
 559 .IX Item "URI ldap[s]://[hostname[:port]] ..."
 560 .\"O Specifies a whitespace-delimited list of one or more URIs describing
 561 .\"O the \s-1LDAP\s0 server(s) to connect to.  The \fIprotocol\fR may be either \fBldap\fR
 562 .\"O or \fBldaps\fR, the latter being for servers that support \s-1TLS\s0 (\s-1SSL\s0)
 563 .\"O encryption.  If no \fIport\fR is specified, the default is port 389 for
 564 .\"O \&\f(CW\*(C`ldap://\*(C'\fR or port 636 for \f(CW\*(C`ldaps://\*(C'\fR.  If no \fIhostname\fR is specified,
 565 .\"O \&\fBsudo\fR will connect to \fBlocalhost\fR.  Only systems using the OpenSSL
 566 .\"O libraries support the mixing of \f(CW\*(C`ldap://\*(C'\fR and \f(CW\*(C`ldaps://\*(C'\fR URIs.
 567 .\"O The Netscape-derived libraries used on most commercial versions of
 568 .\"O Unix are only capable of supporting one or the other.
 569 ÀÜÂ³¤¹¤ë°ì¸Ä°Ê¾å¤Î \s-1LDAP\s0 ¥µ¡¼¥Ð ¤Î URI ¤ò¡¢¶õÇò (whitespace) ¤Ç
 570 ¶èÀÚ¤Ã¤¿¥ê¥¹¥È¤Î·Á¤Ç»ØÄê¤¹¤ë¡£¥×¥í¥È¥³¥ë¤Ï \fBldap\fR ¤È \fBldaps\fR ¤Î
 571 ¤É¤Á¤é¤Ç¤â¤è¤¤¡£¸å¼Ô¤Ï \s-1TLS\s0 (\s-1SSL\s0) °Å¹æ²½¤ËÂÐ±þ¤·¤Æ¤¤¤ë
 572 ¥µ¡¼¥Ð¤Î¾ì¹ç¤Ç¤¢¤ë¡£¥Ý¡¼¥È¤ò»ØÄê¤·¤Ê¤¤¤È¤¤Î¥Ç¥Õ¥©¥ë¥È¤Ï¡¢
 573 \&\f(CW\*(C`ldap://\*(C'\fR ¤Ç¤Ï 389 ÈÖ¥Ý¡¼¥È¡¢
 574 \&\f(CW\*(C`ldaps://\*(C'\fR ¤Ç¤Ï 636 ÈÖ¥Ý¡¼¥È¤Ç¤¢¤ë¡£\fIhostname\fR ¤ò
 575 °ì¤Ä¤â»ØÄê¤·¤Ê¤¤¤È¡¢
 576 \&\fBsudo\fR ¤Ï \fBlocalhost\fR ¤ËÀÜÂ³¤¹¤ë¤³¤È¤Ë¤Ê¤ë¡£
 577 OpenSSL ¥é¥¤¥Ö¥é¥ê¤ò»ÈÍÑ¤·¤Æ¤¤¤ë¥·¥¹¥Æ¥à¤Î¤ß¤¬¡¢\f(CW\*(C`ldap://\*(C'\fR ¤È
 578 \f(CW\*(C`ldaps://\*(C'\fR Î¾Êý¤Î URI ¤òº®¤¼¤Æ»È¤¦¤³¤È¤ËÂÐ±þ¤·¤Æ¤¤¤ë¡£
 579 ¤¿¤¤¤Æ¤¤¤Î¾¦ÍÑ Unix ¤Ç¤Ï Netscape Í³Íè¤Î¥é¥¤¥Ö¥é¥ê¤¬»ÈÍÑ¤µ¤ì¤Æ
 580 ¤¤¤ë¤¬¡¢¤½¤¦¤·¤¿¥é¥¤¥Ö¥é¥ê¤Ï¤É¤Á¤é¤«°ìÊý¤ËÂÐ±þ¤¹¤ë¤³¤È¤·¤«¤Ç¤¤Ê¤¤¡£
 581 .IP "\fB\s-1HOST\s0\fR name[:port] ..." 4
 582 .IX Item "HOST name[:port] ..."
 583 .\"O If no \fB\s-1URI\s0\fR is specified, the \fB\s-1HOST\s0\fR parameter specifies a
 584 .\"O whitespace-delimited list of \s-1LDAP\s0 servers to connect to.  Each host
 585 .\"O may include an optional \fIport\fR separated by a colon (':').  The
 586 .\"O \&\fB\s-1HOST\s0\fR parameter is deprecated in favor of the \fB\s-1URI\s0\fR specification
 587 .\"O and is included for backwards compatibility.
 588 \&\fBURI\fR ¥Ñ¥é¥á¡¼¥¿¤¬»ØÄê¤µ¤ì¤Æ¤¤¤Ê¤¤¾ì¹ç¤Ï¡¢
 589 \&\fB\s-1HOST\s0\fR ¥Ñ¥é¥á¡¼¥¿¤Ç»ØÄê¤¹¤ë¶õÇò (whitespace) ¤Ç
 590 ¶èÀÚ¤Ã¤¿¥ê¥¹¥È¤¬¡¢ÀÜÂ³¤¹¤ë \s-1LDAP\s0 ¥µ¡¼¥Ð¤Ç¤¢¤ë¡£
 591 ³Æ¥Û¥¹¥È¤Ë¤Ï¥³¥í¥ó (':') ¤ËÂ³¤±¤Æ¡¢¥Ý¡¼¥ÈÈÖ¹æ¤ò½ñ¤¤¤Æ¤â¤è¤¤¡£
 592 \fB\s-1HOST\s0\fR ¥Ñ¥é¥á¡¼¥¿¤ÏÈó¿ä¾©¤Ç¤¢¤ê¡¢\fB\s-1URI\s0\fR ¤Ç
 593 »ØÄê¤¹¤ëÊý¤¬Ë¾¤Þ¤·¤¤¡£¤³¤Î¥Ñ¥é¥á¡¼¥¿¤¬¤¢¤ë¤Î¤Ï¡¢¸åÊý¸ß´¹¤Î¤¿¤á¤Ç¤¢¤ë¡£
 594 .IP "\fB\s-1PORT\s0\fR port_number" 4
 595 .IX Item "PORT port_number"
 596 .\"O If no \fB\s-1URI\s0\fR is specified, the \fB\s-1PORT\s0\fR parameter specifies the
 597 .\"O default port to connect to on the \s-1LDAP\s0 server if a \fB\s-1HOST\s0\fR parameter
 598 .\"O does not specify the port itself.  If no \fB\s-1PORT\s0\fR parameter is used,
 599 .\"O the default is port 389 for \s-1LDAP\s0 and port 636 for \s-1LDAP\s0 over \s-1TLS\s0
 600 .\"O (\s-1SSL\s0).  The \fB\s-1PORT\s0\fR parameter is deprecated in favor of the \fB\s-1URI\s0\fR
 601 .\"O specification and is included for backwards compatibility.
 602 \fB\s-1URI\s0\fR ¥Ñ¥é¥á¡¼¥¿¤¬»ØÄê¤µ¤ì¤º¡¢\fB\s-1HOST\s0\fR ¥Ñ¥é¥á¡¼¥¿¤Ç¤â
 603 ¥Ý¡¼¥È¤¬»ØÄê¤µ¤ì¤Æ¤¤¤Ê¤¤¤È¤¤Ï¡¢\fB\s-1PORT\s0\fR ¥Ñ¥é¥á¡¼¥¿¤¬
 604 \&\s-1LDAP\s0 ¥µ¡¼¥Ð¤ËÀÜÂ³¤¹¤ë¤È¤¤Î¥Ç¥Õ¥©¥ë¥È¤Î¥Ý¡¼¥È¤ò»ØÄê¤¹¤ë¡£
 605 \&\fB\s-1PORT\s0\fR ¥Ñ¥é¥á¡¼¥¿¤¬»ÈÍÑ¤µ¤ì¤Æ¤¤¤Ê¤¤¾ì¹ç¡¢¥Ç¥Õ¥©¥ë¥È¤Î¥Ý¡¼¥È¤Ï
 606 \&\s-1LDAP\s0 ¤Ç¤Ï 389 ÈÖ¡¢\s-1LDAP\s0 over \s-1TLS\s0 (\s-1SSL\s0) ¤Ç¤Ï
 607 636 ÈÖ¤Ç¤¢¤ë¡£\fB\s-1PORT\s0\fR ¥Ñ¥é¥á¡¼¥¿¤ÏÈó¿ä¾©¤Ç¤¢¤ê¡¢
 608 \&\fB\s-1URI\s0\fR ¤Ç»ØÄê¤¹¤ëÊý¤¬Ë¾¤Þ¤·¤¤¡£¤³¤Î¥Ñ¥é¥á¡¼¥¿¤¬¤¢¤ë¤Î¤Ï¡¢
 609 ¸åÊý¸ß´¹¤Î¤¿¤á¤Ç¤¢¤ë¡£
 610 .IP "\fB\s-1BIND_TIMELIMIT\s0\fR seconds" 4
 611 .IX Item "BIND_TIMELIMIT seconds"
 612 .\"O The \fB\s-1BIND_TIMELIMIT\s0\fR parameter specifies the amount of time, in seconds,
 613 .\"O to wait while trying to connect to an \s-1LDAP\s0 server.  If multiple \fB\s-1URI\s0\fRs or
 614 .\"O \&\fB\s-1HOST\s0\fRs are specified, this is the amount of time to wait before trying
 615 .\"O the next one in the list.
 616 \&\fB\s-1BIND_TIMELIMIT\s0\fR ¥Ñ¥é¥á¡¼¥¿¤Ï¡¢\s-1LDAP\s0 ¥µ¡¼¥Ð¤Ë
 617 ÀÜÂ³¤·¤è¤¦¤È¤¹¤ë¤È¤¤ÎÂÔ¤Á»þ´Ö¤òÉÃ¿ô¤Ç»ØÄê¤¹¤ë¡£\fB\s-1URI\s0\fR ¤ä
 618 \&\fB\s-1HOST\s0\fR ¤¬Ê£¿ô»ØÄê¤µ¤ì¤Æ¤¤¤ë¾ì¹ç¤Ï¡¢¤½¤Î»þ´Ö¤À¤±ÂÔ¤Ã¤Æ¤«¤é¡¢
 619 ¥ê¥¹¥ÈÃæ¤Î¼¡¤Î¥µ¡¼¥Ð¤ËÀÜÂ³¤ò»î¤ß¤ë¤³¤È¤ò°ÕÌ£¤¹¤ë¡£
 620 .IP "\fB\s-1TIMELIMIT\s0\fR seconds" 4
 621 .IX Item "TIMELIMIT seconds"
 622 .\"O The \fB\s-1TIMELIMIT\s0\fR parameter specifies the amount of time, in seconds,
 623 .\"O to wait for a response to an \s-1LDAP\s0 query.
 624 \&\fB\s-1TIMELIMIT\s0\fR ¥Ñ¥é¥á¡¼¥¿¤Ï¡¢\s-1LDAP\s0 »²¾È¤ËÂÐ¤·¤Æ±þÅú¤¬
 625 ÊÖ¤Ã¤Æ¤¯¤ë¤Þ¤Ç¤ÎÂÔ¤Á»þ´Ö¤òÉÃ¿ô¤Ç»ØÄê¤¹¤ë¡£
 626 .IP "\fB\s-1SUDOERS_BASE\s0\fR base" 4
 627 .IX Item "SUDOERS_BASE base"
 628 .\"O The base \s-1DN\s0 to use when performing \fBsudo\fR \s-1LDAP\s0 queries.  Typically
 629 .\"O this is of the form \f(CW\*(C`ou=SUDOers,dc=example,dc=com\*(C'\fR for the domain
 630 .\"O \&\f(CW\*(C`example.com\*(C'\fR.
 631 \&\fBsudo\fR ¤¬ \s-1LDAP\s0 »²¾È¤ò¹Ô¤¦¤È¤¤Ë»ÈÍÑ¤¹¤ë¥Ù¡¼¥¹ \s-1DN\s0 ¤ò
 632 »ØÄê¤¹¤ë¡£¥É¥á¥¤¥ó¤¬ \f(CW\*(C`example.com\*(C'\fR ¤Ê¤é¤Ð¡¢
 633 \&\f(CW\*(C`ou=SUDOers,dc=example,dc=com\*(C'\fR ¤È¤¤¤¦·Á¤Ë¤Ê¤ë¤Î¤¬ÉáÄÌ¤Ç¤¢¤ë¡£
 634 .IP "\fB\s-1SUDOERS_DEBUG\s0\fR debug_level" 4
 635 .IX Item "SUDOERS_DEBUG debug_level"
 636 .\"O This sets the debug level for \fBsudo\fR \s-1LDAP\s0 queries.  Debugging
 637 .\"O information is printed to the standard error.  A value of 1 results
 638 .\"O in a moderate amount of debugging information.  A value of 2 shows
 639 .\"O the results of the matches themselves.  This parameter should not
 640 .\"O be set in a production environment as the extra information is
 641 .\"O likely to confuse users.
 642 \&\fBsudo\fR ¤¬ \s-1LDAP\s0 »²¾È¤ò¤¹¤ë¤È¤¤Î¥Ç¥Ð¥Ã¥°¥ì¥Ù¥ë¤ò·è¤á¤ë¡£
 643 ¥Ç¥Ð¥Ã¥¯¾ðÊó¤Î½ÐÎÏÀè¤ÏÉ¸½à¥¨¥é¡¼¤Ç¤¢¤ë¡£ÃÍ¤ò 1 ¤Ë¤¹¤ë¤È¡¢
 644 Â¿¤«¤é¤º¾¯¤Ê¤«¤é¤º¤Û¤É¤Û¤É¤Î¥Ç¥Ð¥Ã¥¯¾ðÊó¤¬É½¼¨¤µ¤ì¤ë¡£ÃÍ¤ò 2 ¤Ë¤¹¤ë¤È¡¢
 645 ¥Þ¥Ã¥Á¤Î·ë²Ì¤½¤Î¤â¤Î¤â½ÐÎÏ¤µ¤ì¤ë¡£¼ÂÍÑ´Ä¶¤Ç¤Ï¡¢¤³¤Î¥Ñ¥é¥á¡¼¥¿¤ò
 646 ÀßÄê¤¹¤ë¤Ù¤¤Ç¤Ï¤Ê¤¤¡£¥æ¡¼¥¶¤¬Í¾·×¤Ê¾ðÊó¤Ëº®Íð¤·¤«¤Í¤Ê¤¤¤«¤é¤À¡£
 647 .IP "\fB\s-1BINDDN\s0\fR \s-1DN\s0" 4
 648 .IX Item "BINDDN DN"
 649 .\"O The \fB\s-1BINDDN\s0\fR parameter specifies the identity, in the form of a
 650 .\"O Distinguished Name (\s-1DN\s0), to use when performing \s-1LDAP\s0 operations.
 651 .\"O If not specified, \s-1LDAP\s0 operations are performed with an anonymous
 652 .\"O identity.  By default, most \s-1LDAP\s0 servers will allow anonymous access.
 653 \&\fB\s-1BINDDN\s0\fR ¥Ñ¥é¥á¡¼¥¿¤Ï¡¢Ã¯¤ÎÌ¾Á°¤Ç \s-1LDAP\s0 ¤ÎÁàºî¤ò¹Ô¤¦¤«¤ò¡¢
 654 ¼±ÊÌÌ¾ (\s-1DN\s0) ¤ò»È¤Ã¤Æ»ØÄê¤¹¤ë¡£¤³¤ì¤¬»ØÄê¤µ¤ì¤Æ¤¤¤Ê¤¤¾ì¹ç¡¢
 655 \&\s-1LDAP\s0 ¤ÎÁàºî¤Ï anonymous ¤ÎÌ¾Á°¤Ç¼Â¹Ô¤µ¤ì¤ë¡£
 656 \&\s-1LDAP\s0 ¥µ¡¼¥Ð¤Ï¡¢¤¿¤¤¤Æ¤¤¥Ç¥Õ¥©¥ë¥È¤Ç anonymous ¤Ë¤è¤ë¥¢¥¯¥»¥¹¤ò
 657 µö²Ä¤·¤Æ¤¤¤ë¤â¤Î¤Ç¤¢¤ë¡£
 658 .IP "\fB\s-1BINDPW\s0\fR secret" 4
 659 .IX Item "BINDPW secret"
 660 .\"O The \fB\s-1BINDPW\s0\fR parameter specifies the password to use when performing
 661 .\"O \&\s-1LDAP\s0 operations.  This is typically used in conjunction with the
 662 .\"O \&\fB\s-1BINDDN\s0\fR parameter.
 663 \&\fB\s-1BINDPW\s0\fR ¥Ñ¥é¥á¡¼¥¿¤Ï¡¢\s-1LDAP\s0 ¤ÎÁàºî¤ò¹Ô¤¦¤È¤¤Ë
 664 »ÈÍÑ¤¹¤ë¥Ñ¥¹¥ï¡¼¥É¤ò»ØÄê¤¹¤ë¡£ÄÌÎã¡¢¤³¤Î¥Ñ¥é¥á¡¼¥¿¤Ï¡¢\fB\s-1BINDDN\s0\fR
 665 ¥Ñ¥é¥á¡¼¥¿¤ÈÁÈ¤ß¹ç¤ï¤»¤Æ»ÈÍÑ¤¹¤ë¡£
 666 .IP "\fB\s-1ROOTBINDDN\s0\fR \s-1DN\s0" 4
 667 .IX Item "ROOTBINDDN DN"
 668 .\"O The \fB\s-1ROOTBINDDN\s0\fR parameter specifies the identity, in the form of
 669 .\"O a Distinguished Name (\s-1DN\s0), to use when performing privileged \s-1LDAP\s0
 670 .\"O operations, such as \fIsudoers\fR queries.  The password corresponding
 671 .\"O to the identity should be stored in \fI/etc/ldap.secret\fR.
 672 .\"O If not specified, the \fB\s-1BINDDN\s0\fR identity is used (if any).
 673 \&\fB\s-1ROOTBINDDN\s0\fR ¥Ñ¥é¥á¡¼¥¿¤Ï¡¢sudo ÀßÄê¤Î»²¾È¤Î¤è¤¦¤Ê
 674 ÆÃ¸¢Åª¤Ê \s-1LDAP\s0 Áàºî¤ò¤¹¤ë¤È¤¡¢Ã¯¤ÎÌ¾Á°¤Ç¹Ô¤¦¤«¤ò¼±ÊÌÌ¾ (\s-1DN\s0) ¤ò
 675 »È¤Ã¤Æ»ØÄê¤¹¤ë¡£¤½¤ÎÌ¾Á°¤ËÂÐ±þ¤¹¤ë¥Ñ¥¹¥ï¡¼¥É¤Ï \fI/etc/ldap.secret\fR ¤Ë
 676 ½ñ¤¹þ¤ó¤Ç¤ª¤¯¤Ù¤¤À¡£¤³¤ì¤¬»ØÄê¤µ¤ì¤Æ¤¤¤Ê¤¤¾ì¹ç¤Ï¡¢\fB\s-1BINDDN\s0\fR ¤Ç
 677 »ØÄê¤·¤¿Ì¾Á°¤¬ (¤â¤·¡¢¤¢¤ë¤Ê¤é¤Ð) »ÈÍÑ¤µ¤ì¤ë¡£
 678 .IP "\fB\s-1LDAP_VERSION\s0\fR number" 4
 679 .IX Item "LDAP_VERSION number"
 680 .\"O The version of the \s-1LDAP\s0 protocol to use when connecting to the server.
 681 .\"O The default value is protocol version 3.
 682 ¥µ¡¼¥Ð¤ËÀÜÂ³¤¹¤ë¤È¤¤Ë»ÈÍÑ¤¹¤ë \s-1LDAP\s0 ¥×¥í¥È¥³¥ë¤Î¥Ð¡¼¥¸¥ç¥ó¡£
 683 ¥Ç¥Õ¥©¥ë¥È¤ÎÃÍ¤Ï¡¢¥×¥í¥È¥³¥ë¥Ð¡¼¥¸¥ç¥ó 3 ¤Ç¤¢¤ë¡£
 684 .IP "\fB\s-1SSL\s0\fR on/true/yes/off/false/no" 4
 685 .IX Item "SSL on/true/yes/off/false/no"
 686 .\"O If the \fB\s-1SSL\s0\fR parameter is set to \f(CW\*(C`on\*(C'\fR, \f(CW\*(C`true\*(C'\fR or \f(CW\*(C`yes\*(C'\fR, \s-1TLS\s0
 687 .\"O (\s-1SSL\s0) encryption is always used when communicating with the \s-1LDAP\s0
 688 .\"O server.  Typically, this involves connecting to the server on port
 689 .\"O 636 (ldaps).
 690 \&\fB\s-1SSL\s0\fR ¥Ñ¥é¥á¡¼¥¿¤¬
 691 \&\f(CW\*(C`on\*(C'\fR, \f(CW\*(C`true\*(C'\fR, \f(CW\*(C`yes\*(C'\fR ¤Ë
 692 ¤Ê¤Ã¤Æ¤¤¤ë¤È¡¢\s-1LDAP\s0 ¥µ¡¼¥Ð¤ÈÄÌ¿®¤¹¤ëºÝ¤Ë¡¢¾ï¤Ë
 693 \&\s-1TLS\s0 (\s-1SSL\s0) ¤Î°Å¹æ²½¤ò»ÈÍÑ¤¹¤ë¤³¤È¤Ë¤Ê¤ë¡£ÄÌÎã¡¢¤½¤ì¤Ï
 694 636 ÈÖ¥Ý¡¼¥È (ldaps) ¤òÄÌ¤·¤Æ¥µ¡¼¥Ð¤ËÀÜÂ³¤¹¤ë¤³¤È¤Ç¤¢¤ë¡£
 695 .IP "\fB\s-1SSL\s0\fR start_tls" 4
 696 .IX Item "SSL start_tls"
 697 .\"O If the \fB\s-1SSL\s0\fR parameter is set to \f(CW\*(C`start_tls\*(C'\fR, the \s-1LDAP\s0 server
 698 .\"O connection is initiated normally and \s-1TLS\s0 encryption is begun before
 699 .\"O the bind credentials are sent.  This has the advantage of not
 700 .\"O requiring a dedicated port for encrypted communications.  This
 701 .\"O parameter is only supported by \s-1LDAP\s0 servers that honor the \f(CW\*(C`start_tls\*(C'\fR
 702 .\"O extension, such as the OpenLDAP server.
 703 \&\fB\s-1SSL\s0\fR ¥Ñ¥é¥á¡¼¥¿¤ò \f(CW\*(C`start_tls\*(C'\fR ¤ËÀßÄê¤¹¤ë¤È¡¢
 704 \&\s-1LDAP\s0 ¥µ¡¼¥Ð¤Ø¤ÎÀÜÂ³¤òÊ¿Ê¸¤Ç³«»Ï¤·¤Æ¤«¤é¡¢¥Ð¥¤¥ó¥ÉÁàºî¤Î¤¿¤á¤Ë
 705 Ç§¾Ú¾ðÊó¤òÁ÷¿®¤¹¤ëÁ°¤Ë \s-1TLS\s0 ¤Î°Å¹æ²½¤ò»Ï¤á¤ë¤³¤È¤Ë¤Ê¤ë¡£
 706 ¤³¤ì¤Ë¤Ï¡¢°Å¹æ²½¤µ¤ì¤¿ÄÌ¿®¤Î¤¿¤á¤ËÀìÍÑ¤Î¥Ý¡¼¥È¤òÉ¬Í×¤È¤·¤Ê¤¤¤È¤¤¤¦
 707 Ä¹½ê¤¬¤¢¤ë¡£¤³¤Î¥Ñ¥é¥á¡¼¥¿¤ò¥µ¥Ý¡¼¥È¤·¤Æ¤¤¤ë¤Î¤Ï¡¢
 708 OpenLDAP ¥µ¡¼¥Ð¤Î¤è¤¦¤Ê \f(CW\*(C`start_tls\*(C'\fR ³ÈÄ¥¤ËÂÐ±þ¤·¤Æ¤¤¤ë
 709 \&\s-1LDAP\s0 ¥µ¡¼¥Ð¤Î¤ß¤Ç¤¢¤ë¡£
 710 .IP "\fB\s-1TLS_CHECKPEER\s0\fR on/true/yes/off/false/no" 4
 711 .IX Item "TLS_CHECKPEER on/true/yes/off/false/no"
 712 .\"O If enabled, \fB\s-1TLS_CHECKPEER\s0\fR will cause the \s-1LDAP\s0 server's \s-1TLS\s0
 713 .\"O certificated to be verified.  If the server's \s-1TLS\s0 certificate cannot
 714 .\"O be verified (usually because it is signed by an unknown certificate
 715 .\"O authority), \fBsudo\fR will be unable to connect to it.  If \fB\s-1TLS_CHECKPEER\s0\fR
 716 .\"O is disabled, no check is made.
 717 \&\fB\s-1TLS_CHECKPEER\s0\fR ¤¬
 718 \&\f(CW\*(C`on\*(C'\fR, \f(CW\*(C`true\*(C'\fR, \f(CW\*(C`yes\*(C'\fR ¤Ë
 719 ¤Ê¤Ã¤Æ¤¤¤ë¤È¡¢
 720 \&\s-1LDAP\s0 ¥µ¡¼¥Ð¤Î \s-1TLS\s0 ¾ÚÌÀ½ñ¤¬Í¸ú¤«¤É¤¦¤«¥Á¥§¥Ã¥¯¤¬¹Ô¤ï¤ì¤ë¡£
 721 \&\s-1LDAP\s0 ¥µ¡¼¥Ð¤Î¾ÚÌÀ½ñ¤¬Í¸ú¤Ç¤¢¤ë¤³¤È¤ò³ÎÇ§¤Ç¤¤Ê¤¤¾ì¹ç (¤¿¤¤¤Æ¤¤¤Ï¡¢
 722 ½ðÌ¾¤·¤Æ¤¤¤ëÇ§¾Ú¶É¤¬Ì¤ÃÎ (unknown) ¤Ç¤¢¤ë¤³¤È¤¬ÍýÍ³¤À)¡¢\fBsudo\fR ¤Ï
 723 ¤½¤Î¥µ¡¼¥Ð¤ËÀÜÂ³¤¹¤ë¤³¤È¤¬¤Ç¤¤Ê¤¤¡£
 724 \&\fB\s-1TLS_CHECKPEER\s0\fR ¤¬ \f(CW\*(C`off\*(C'\fR ¤Ê¤É¤Î¾ì¹ç¤Ï¡¢
 725 ¥Á¥§¥Ã¥¯¤¬¹Ô¤ï¤ì¤Ê¤¤¡£
 726 .IP "\fB\s-1TLS_CACERTFILE\s0\fR file name" 4
 727 .IX Item "TLS_CACERTFILE file name"
 728 .\"O The path to a certificate authority bundle which contains the certificates
 729 .\"O for all the Certificate Authorities the client knows to be valid,
 730 .\"O e.g. \fI/etc/ssl/ca\-bundle.pem\fR.
 731 .\"O This option is only supported by the OpenLDAP libraries.
 732 Ç§¾Ú¶É¤Î¾ÚÌÀ½ñ¤ò°ì¤Ä¤Ë¤Þ¤È¤á¤¿¥Õ¥¡¥¤¥ë¤Î¥Ñ¥¹¡£¤¿¤È¤¨¤Ð¡¢
 733 \&\fI/etc/ssl/ca\-bundle.pem\fR ¤È¤¤¤Ã¤¿¥Õ¥¡¥¤¥ë¤Ç¤¢¤ê¡¢Í¸ú¤Ç¤¢¤ë¤È
 734 ¥¯¥é¥¤¥¢¥ó¥È¤¬Ç§¼±¤·¤Æ¤¤¤ë¤¹¤Ù¤Æ¤ÎÇ§¾Ú¶É¤Î¾ÚÌÀ½ñ¤¬¤½¤³¤ËÆþ¤Ã¤Æ¤¤¤ë¡£
 735 ¤³¤Î¥ª¥×¥·¥ç¥ó¤ò¥µ¥Ý¡¼¥È¤·¤Æ¤¤¤ë¤Î¤Ï¡¢OpenLDAP ¥é¥¤¥Ö¥é¥ê¤À¤±¤Ç¤¢¤ë¡£
 736 .IP "\fB\s-1TLS_CACERTDIR\s0\fR directory" 4
 737 .IX Item "TLS_CACERTDIR directory"
 738 .\"O Similar to \fB\s-1TLS_CACERTFILE\s0\fR but instead of a file, it is a
 739 .\"O directory containing individual Certificate Authority certificates,
 740 .\"O e.g. \fI/etc/ssl/certs\fR.
 741 .\"O The directory specified by \fB\s-1TLS_CACERTDIR\s0\fR is checked after
 742 .\"O \&\fB\s-1TLS_CACERTFILE\s0\fR.
 743 .\"O This option is only supported by the OpenLDAP libraries.
 744 \&\fB\s-1TLS_CACERTFILE\s0\fR ¤Ë»÷¤Æ¤¤¤ë¤¬¡¢¥Õ¥¡¥¤¥ë¤Ç¤Ï¤Ê¤¯¡¢¤¿¤È¤¨¤Ð
 745 \&\fI/etc/ssl/certs\fR ¤È¤¤¤Ã¤¿¥Ç¥£¥ì¥¯¥È¥ê¤Ç¤¢¤ê¡¢Ç§¾Ú¶É¤Î¾ÚÌÀ½ñ¤¬
 746 1 Ç§¾Ú¶É 1 ¥Õ¥¡¥¤¥ë¤Î·Á¤Ç¤½¤³¤ËÆþ¤Ã¤Æ¤¤¤ë¡£\fB\s-1TLS_CACERTDIR\s0\fR ¤Ç
 747 »ØÄê¤·¤¿¥Ç¥£¥ì¥¯¥È¥ê¤Ï¡¢\fB\s-1TLS_CACERTFILE\s0\fR ¤Î¸å¤Ç¥Á¥§¥Ã¥¯¤µ¤ì¤ë¡£
 748 ¤³¤Î¥ª¥×¥·¥ç¥ó¤ò¥µ¥Ý¡¼¥È¤·¤Æ¤¤¤ë¤Î¤Ï¡¢OpenLDAP ¥é¥¤¥Ö¥é¥ê¤À¤±¤Ç¤¢¤ë¡£
 749 .IP "\fB\s-1TLS_CERT\s0\fR file name" 4
 750 .IX Item "TLS_CERT file name"
 751 .\"O The path to a file containing the client certificate which can
 752 .\"O be used to authenticate the client to the \s-1LDAP\s0 server.
 753 .\"O The certificate type depends on the \s-1LDAP\s0 libraries used.
 754 ¥¯¥é¥¤¥¢¥ó¥È¤Î¾ÚÌÀ½ñ¤¬Æþ¤Ã¤Æ¤¤¤ë¥Õ¥¡¥¤¥ë¤Î¥Ñ¥¹¡£¤³¤Î¾ÚÌÀ½ñ¤Ï¡¢
 755 \&\s-1LDAP\s0 ¥µ¡¼¥Ð¤ËÂÐ¤·¤Æ¥¯¥é¥¤¥¢¥ó¥È¤ÎÇ§¾Ú¤ò¤¹¤ë¤È¤¤Ë»ÈÍÑ¤Ç¤¤ë¡£
 756 ¾ÚÌÀ½ñ¤Î¥¿¥¤¥×¤Ï¡¢ÍøÍÑ¤¹¤ë \s-1LDAP\s0 ¥é¥¤¥Ö¥é¥ê¤Ë¤è¤Ã¤Æ°Û¤Ê¤Ã¤Æ¤¤¤ë¡£
 757 .Sp
 758 OpenLDAP:
 759     \f(CW\*(C`tls_cert /etc/ssl/client_cert.pem\*(C'\fR
 760 .Sp
 761 .\"O Netscape-derived:
 762 Netscape Í³Íè:
 763     \f(CW\*(C`tls_cert /var/ldap/cert7.db\*(C'\fR
 764 .Sp
 765 .\"O When using Netscape-derived libraries, this file may also contain
 766 .\"O Certificate Authority certificates.
 767 Netscape Í³Íè¤Î¥é¥¤¥Ö¥é¥ê¤ò»È¤¦¾ì¹ç¤Ï¡¢¤³¤Î¥Õ¥¡¥¤¥ë¤ËÇ§¾Ú¶É¤Î¾ÚÌÀ½ñ¤â
 768 Æþ¤ì¤ë¤³¤È¤¬¤Ç¤¤ë¡£
 769 .IP "\fB\s-1TLS_KEY\s0\fR file name" 4
 770 .IX Item "TLS_KEY file name"
 771 .\"O The path to a file containing the private key which matches the
 772 .\"O certificate specified by \fB\s-1TLS_CERT\s0\fR.  The private key must not be
 773 .\"O password-protected.  The key type depends on the \s-1LDAP\s0 libraries
 774 .\"O used.
 775 \&\fB\s-1TLS_CERT\s0\fR ¤Ç»ØÄê¤·¤¿¾ÚÌÀ½ñ¤ËÂÐ±þ¤¹¤ëÈëÌ©¸°¤¬Æþ¤Ã¤Æ¤¤¤ë
 776 ¥Õ¥¡¥¤¥ë¤Î¥Ñ¥¹¡£¤³¤ÎÈëÌ©¸°¤Ï¥Ñ¥¹¥ï¡¼¥É¤Ç¥×¥í¥Æ¥¯¥È¤µ¤ì¤Æ¤¤¤Æ¤Ï¤Ê¤é¤Ê¤¤¡£
 777 ¸°¤Î¥¿¥¤¥×¤ÏÍøÍÑ¤¹¤ë \s-1LDAP\s0 ¥é¥¤¥Ö¥é¥ê¤Ë¤è¤Ã¤Æ°Û¤Ê¤Ã¤Æ¤¤¤ë¡£
 778 .Sp
 779 OpenLDAP:
 780     \f(CW\*(C`tls_key /etc/ssl/client_key.pem\*(C'\fR
 781 .Sp
 782 .\"O Netscape-derived:
 783 Netscape Í³Íè:
 784     \f(CW\*(C`tls_key /var/ldap/key3.db\*(C'\fR
 785 .IP "\fB\s-1TLS_RANDFILE\s0\fR file name" 4
 786 .IX Item "TLS_RANDFILE file name"
 787 .\"O The \fB\s-1TLS_RANDFILE\s0\fR parameter specifies the path to an entropy
 788 .\"O source for systems that lack a random device.  It is generally used
 789 .\"O in conjunction with \fIprngd\fR or \fIegd\fR.
 790 .\"O This option is only supported by the OpenLDAP libraries.
 791 \&\fB\s-1TLS_RANDFILE\s0\fR ¤Ï¡¢random ¥Ç¥Ð¥¤¥¹¤ò»ý¤Ã¤Æ¤¤¤Ê¤¤¥·¥¹¥Æ¥à¤Î
 792 ¤¿¤á¤Ë¥¨¥ó¥È¥í¥Ô¡¼¡¦¥½¡¼¥¹¤Î¥Ñ¥¹¤ò»ØÄê¤¹¤ë¡£¤³¤ì¤ÏÄÌÎã¡¢\fIprngd\fR ¤ä
 793 \&\fIegd\fR ¤ÈÁÈ¤ß¹ç¤ï¤»¤Æ»ÈÍÑ¤¹¤ë¤â¤Î¤Ç¤¢¤ë¡£¤³¤Î¥ª¥×¥·¥ç¥ó¤ò
 794 ¥µ¥Ý¡¼¥È¤·¤Æ¤¤¤ë¤Î¤Ï¡¢
 795 OpenLDAP ¥é¥¤¥Ö¥é¥ê¤À¤±¤Ç¤¢¤ë¡£
 796 .IP "\fB\s-1TLS_CIPHERS\s0\fR cipher list" 4
 797 .IX Item "TLS_CIPHERS cipher list"
 798 .\"O The \fB\s-1TLS_CIPHERS\s0\fR parameter allows the administer to restrict
 799 .\"O which encryption algorithms may be used for \s-1TLS\s0 (\s-1SSL\s0) connections.
 800 .\"O See the OpenSSL manual for a list of valid ciphers.
 801 .\"O This option is only supported by the OpenLDAP libraries.
 802 ´ÉÍý¼Ô¤Ï \fB\s-1TLS_CIPHERS\s0\fR ¥Ñ¥é¥á¡¼¥¿¤Ë¤è¤Ã¤Æ¡¢
 803 \&\s-1TLS\s0 (\s-1SSL\s0) ÀÜÂ³¤Ë»ÈÍÑ²ÄÇ½¤Ê°Å¹æ¥¢¥ë¥´¥ê¥º¥à¤ò¸ÂÄê¤¹¤ë
 804 ¤³¤È¤¬¤Ç¤¤ë¡£Í¸ú¤Ê°Å¹æ¤Î¥ê¥¹¥È¤Ë¤Ä¤¤¤Æ¤Ï OpenSSL ¤Î¥Þ¥Ë¥å¥¢¥ë¤ò
 805 »²¾È¤·¤Æ¤Û¤·¤¤¡£¤³¤Î¥ª¥×¥·¥ç¥ó¤ò¥µ¥Ý¡¼¥È¤·¤Æ¤¤¤ë¤Î¤Ï¡¢OpenLDAP ¥é¥¤¥Ö¥é¥ê
 806 ¤À¤±¤Ç¤¢¤ë¡£
 807 .IP "\fB\s-1USE_SASL\s0\fR on/true/yes/off/false/no" 4
 808 .IX Item "USE_SASL on/true/yes/off/false/no"
 809 .\"O Enable \fB\s-1USE_SASL\s0\fR for \s-1LDAP\s0 servers that support \s-1SASL\s0 authentication.
 810 \&\s-1LDAP\s0 ¥µ¡¼¥Ð ¤¬ \s-1SASL\s0 Ç§¾Ú¤ò¥µ¥Ý¡¼¥È¤·¤Æ¤¤¤ë¤Ê¤é¡¢
 811 \&\fB\s-1USE_SASL\s0\fR ¤òÍ¸ú¤Ë¤¹¤ë¡£
 812 .IP "\fB\s-1SASL_AUTH_ID\s0\fR identity" 4
 813 .IX Item "SASL_AUTH_ID identity"
 814 .\"O The \s-1SASL\s0 user name to use when connecting to the \s-1LDAP\s0 server.
 815 .\"O By default, \fBsudo\fR will use an anonymous connection.
 816 \&\s-1LDAP\s0 ¥µ¡¼¥Ð¤ËÀÜÂ³¤¹¤ë¤È¤¤Ë»ÈÍÑ¤¹¤ë \s-1SASL\s0 ¥æ¡¼¥¶Ì¾¡£
 817 ¥Ç¥Õ¥©¥ë¥È¤Ç¤Ï¡¢
 818 \&\fBsudo\fR ¤Ï anonymous ÀÜÂ³¤ò»ÈÍÑ¤¹¤ë¡£
 819 .IP "\fB\s-1ROOTUSE_SASL\s0\fR on/true/yes/off/false/no" 4
 820 .IX Item "ROOTUSE_SASL on/true/yes/off/false/no"
 821 .\"O Enable \fB\s-1ROOTUSE_SASL\s0\fR to enable \s-1SASL\s0 authentication when connecting
 822 .\"O to an \s-1LDAP\s0 server from a privileged process, such as \fBsudo\fR.
 823 \&\fB\s-1ROOTUSE_SASL\s0\fR ¤òÍ¸ú¤Ë¤¹¤ë¤È¡¢\fBsudo\fR ¤Î¤è¤¦¤Ê
 824 ÆÃ¸¢Åª¤Ê¥×¥í¥»¥¹¤«¤é \s-1LDAP\s0 ¥µ¡¼¥Ð¤ËÀÜÂ³¤¹¤ë¤È¤¤Ë
 825 \&\s-1SASL\s0 Ç§¾Ú¤¬²ÄÇ½¤Ë¤Ê¤ë¡£
 826 .IP "\fB\s-1ROOTSASL_AUTH_ID\s0\fR identity" 4
 827 .IX Item "ROOTSASL_AUTH_ID identity"
 828 .\"O The \s-1SASL\s0 user name to use when \fB\s-1ROOTUSE_SASL\s0\fR is enabled.
 829 \&\fB\s-1ROOTUSE_SASL\s0\fR ¤¬Í¸ú¤Ê¤È¤»ÈÍÑ¤¹¤ë \s-1SASL\s0 ¥æ¡¼¥¶Ì¾¡£
 830 .IP "\fB\s-1SASL_SECPROPS\s0\fR none/properties" 4
 831 .IX Item "SASL_SECPROPS none/properties"
 832 .\"O \&\s-1SASL\s0 security properties or \fInone\fR for no properties.  See the
 833 .\"O \&\s-1SASL\s0 programmer's manual for details.
 834 \&\s-1SASL\s0 ¥»¥¥å¥ê¥Æ¥£¡¦¥×¥í¥Ñ¥Æ¥£¡£¥×¥í¥Ñ¥Æ¥£¤Ê¤·¤Î¤È¤¤Ï \fInone\fR ¤ò
 835 »ØÄê¤¹¤ë¡£¾ÜºÙ¤Ë¤Ä¤¤¤Æ¤Ï¡¢\s-1SASL\s0 ¥×¥í¥°¥é¥Þ¡¼¥º¡¦¥Þ¥Ë¥å¥¢¥ë¤ò¸«¤ë¤³¤È¡£
 836 .IP "\fB\s-1KRB5_CCNAME\s0\fR file name" 4
 837 .IX Item "KRB5_CCNAME file name"
 838 .\"O The path to the Kerberos 5 credential cache to use when authenticating
 839 .\"O with the remote server.
 840 .\"O .PP
 841 ¥ê¥â¡¼¥È¡¦¥µ¡¼¥Ð¤ËÂÐ¤·¤ÆÇ§¾Ú¤ò¤¹¤ë¤È¤¤Ë»ÈÍÑ¤¹¤ë Kerberos 5
 842 »ñ³Ê¾ÚÌÀ¥¥ã¥Ã¥·¥å¤Î¥Ñ¥¹¡£
 843 .PP
 844 .\"O See the \f(CW\*(C`ldap.conf\*(C'\fR entry in the \s-1EXAMPLES\s0 section.
 845 ¡ÖÍÑÎã¡×¥»¥¯¥·¥ç¥ó¤Ë¤¢¤ë \f(CW\*(C`ldap.conf\*(C'\fR ¤Î¤¯¤À¤ê¤â
 846 »²¾È¤·¤Æ¤Û¤·¤¤¡£
 847 .\"O .Sh "Configuring nsswitch.conf"
 848 .Sh "nsswitch.conf ¤ÎÀßÄê"
 849 .IX Subsection "Configuring nsswitch.conf"
 850 .\"O Unless it is disabled at build time, \fBsudo\fR consults the Name
 851 .\"O Service Switch file, \fI/etc/nsswitch.conf\fR, to specify the \fIsudoers\fR
 852 .\"O search order.  Sudo looks for a line beginning with \f(CW\*(C`sudoers\*(C'\fR: and
 853 .\"O uses this to determine the search order.  Note that \fBsudo\fR does
 854 .\"O not stop searching after the first match and later matches take
 855 .\"O precedence over earlier ones.
 856 .\"O .PP
 857 ¥Ó¥ë¥É»þ¤ËÌµ¸ú¤Ë¤·¤Ê¤¤¤«¤®¤ê¡¢\fBsudo\fR ¤Ï¥Í¡¼¥à¥µ¡¼¥Ó¥¹¡¦¥¹¥¤¥Ã¥Á¡¦
 858 ¥Õ¥¡¥¤¥ë \fI/etc/nsswitch.conf\fR ¤òÄ´¤Ù¤Æ¡¢sudo ¤ÎÀßÄê¤ò
 859 »²¾È¤¹¤ë½çÈÖ¤ò·è¤á¤ë¡£¤¹¤Ê¤ï¤Á¡¢\fI/etc/nsswitch.conf\fR ¤Ë
 860 \&\f(CW\*(C`sudoers\*(C'\fR: ¤È¤¤¤¦Ê¸»úÎó¤Ë»Ï¤Þ¤ë¹Ô¤òÃµ¤·¡¢
 861 ¤½¤Î¹Ô¤Ë¤è¤Ã¤Æ»²¾È½ç¤ò·èÄê¤¹¤ë¤Î¤Ç¤¢¤ë¡£
 862 µ¤¤ò¤Ä¤±¤Æ¤Û¤·¤¤¤Î¤Ï¡¢\fBsudo\fR ¤Ï»²¾ÈÃæ¡¢¥Þ¥Ã¥Á¤¹¤ë¹àÌÜ¤Ë°ìÅÙ½Ð²ñ¤Ã¤¿¤«¤é¤È
 863 ¸À¤Ã¤Æ¡¢¤½¤³¤Ç»²¾È¤ò½ª¤ï¤ê¤Ë¤·¤Ê¤¤¤³¤È¤À¡£¤·¤«¤â¡¢¸å¤Ç¥Þ¥Ã¥Á¤·¤¿¤â¤Î¤¬
 864 Á°¤Ë¥Þ¥Ã¥Á¤·¤¿¤â¤Î¤è¤ê¤âÍ¥Àè¤µ¤ì¤ë¤Î¤Ç¤¢¤ë¡£
 865 .PP
 866 .\"O The following sources are recognized:
 867 .\"O .PP
 868 °Ê²¼¤Î»²¾È¸µ¤¬Í¸ú¤Ç¤¢¤ë¡£
 869 .PP
 870 .Vb 2
 871 .\"O \&    files       read sudoers from F</etc/sudoers>
 872 .\"O \&    ldap        read sudoers from LDAP
 873 \&    files       \fI/etc/sudoers\fR ¤«¤é sudo ¤ÎÀßÄê¤òÆÉ¤ß¹þ¤à
 874 \&    ldap        LDAP ¤«¤é sudo ¤ÎÀßÄê¤òÆÉ¤ß¹þ¤à
 875 .Ve
 876 .PP
 877 .\"O In addition, the entry \f(CW\*(C`[NOTFOUND=return]\*(C'\fR will short-circuit the
 878 .\"O search if the user was not found in the preceding source.
 879 .\"O .PP
 880 ¤Ê¤ª¡¢\f(CW\*(C`[NOTFOUND=return]\*(C'\fR ¤Îµ½Ò¤¬¤¢¤ë¤È¡¢Àè¹Ô¤¹¤ë»²¾È¸µ¤Ë
 881 ¥æ¡¼¥¶¤¬¸«¤Ä¤«¤é¤Ê¤«¤Ã¤¿¾ì¹ç¡¢»²¾È¤òÃæÃÇ¤¹¤ë¤³¤È¤Ë¤Ê¤ë¡£
 882 .PP
 883 .\"O To consult \s-1LDAP\s0 first followed by the local sudoers file (if it
 884 .\"O exists), use:
 885 .\"O .PP
 886 ºÇ½é¤Ë \s-1LDAP\s0 ¤ò»²¾È¤·¡¢¤½¤Î¸å¤Ç (¤â¤·Â¸ºß¤¹¤ë¤Ê¤é¤Ð) ¥í¡¼¥«¥ë¥Þ¥·¥ó¾å¤Î
 887 sudoers ¥Õ¥¡¥¤¥ë¤òÄ´¤Ù¤ë¤Ë¤Ï¡¢¼¡¤Î¤è¤¦¤Ë»ØÄê¤¹¤ë¡£
 888 .PP
 889 .Vb 1
 890 \&    sudoers: ldap files
 891 .Ve
 892 .PP
 893 .\"O The local \fIsudoers\fR file can be ignored completely by using:
 894 .\"O .PP
 895 ¥í¡¼¥«¥ë¥Þ¥·¥ó¾å¤Î \fIsudoers\fR ¥Õ¥¡¥¤¥ë¤ò¤Þ¤Ã¤¿¤¯Ìµ»ë¤¹¤ë¤Ë¤Ï¡¢
 896 ¼¡¤Î¤è¤¦¤Ë¤¹¤ë¡£
 897 .PP
 898 .Vb 1
 899 \&    sudoers: ldap
 900 .Ve
 901 .PP
 902 .\"O If the \fI/etc/nsswitch.conf\fR file is not present or there is no
 903 .\"O sudoers line, the following default is assumed:
 904 .\"O .PP
 905 \&\fI/etc/nsswitch.conf\fR ¥Õ¥¡¥¤¥ë¤¬Â¸ºß¤·¤Ê¤«¤Ã¤¿¤ê¡¢Â¸ºß¤·¤Æ¤â sudoers ¤Î
 906 ¹Ô¤¬¤Ê¤«¤Ã¤¿¤ê¤·¤¿¾ì¹ç¤Ï¡¢¼¡¤Î¥Ç¥Õ¥©¥ë¥ÈÀßÄê¤¬»ÈÍÑ¤µ¤ì¤ë¡£
 907 .PP
 908 .Vb 1
 909 \&    sudoers: files
 910 .Ve
 911 .PP
 912 .\"O Note that \fI/etc/nsswitch.conf\fR is supported even when the underlying
 913 .\"O operating system does not use an nsswitch.conf file.
 914 ´ðÈ×¤È¤Ê¤ë¥ª¥Ú¡¼¥ì¡¼¥Æ¥£¥ó¥°¡¦¥·¥¹¥Æ¥à¤¬ nsswitch.conf ¥Õ¥¡¥¤¥ë¤ò
 915 »ÈÍÑ¤·¤Ê¤¤¾ì¹ç¤Ç¤â¡¢\fBsudo\fR ¤Ï \fI/etc/nsswitch.conf\fR ¤ò
 916 ¥µ¥Ý¡¼¥È¤·¤Æ¤¤¤ë¤³¤È¤ËÃí°Õ¤·¤Æ¤Û¤·¤¤¡£
 917 .\"O .Sh "Configuring netsvc.conf"
 918 .Sh "netsvc.conf ¤ÎÀßÄê"
 919 .IX Subsection "Configuring netsvc.conf"
 920 .\"O On \s-1AIX\s0 systems, the \fI/etc/netsvc.conf\fR file is consulted instead of
 921 .\"O \&\fI/etc/nsswitch.conf\fR.  \fBsudo\fR simply treats \fInetsvc.conf\fR as a
 922 .\"O variant of \fInsswitch.conf\fR; information in the previous section
 923 .\"O unrelated to the file format itself still applies.
 924 .\"O .PP
 925 \&\s-1AIX\s0 ¥·¥¹¥Æ¥à¤Ç¤Ï¡¢\fI/etc/nsswitch.conf\fR ¤Ç¤Ï¤Ê¤¯¡¢
 926 \&\fI/etc/netsvc.conf\fR ¥Õ¥¡¥¤¥ë¤òÄ´¤Ù¤Ë¤¤¤¯¡£\fBsudo\fR ¤È¤·¤Æ¤Ï¡¢
 927 \fInetsvc.conf\fR ¤ò \fInsswitch.conf\fR ¤Î¥Ð¥ê¥¨¡¼¥·¥ç¥ó¤È¤·¤Æ
 928 °·¤¦¤À¤±¤À¡£¤½¤ì¸Î¡¢¾å¤Î¥»¥¯¥·¥ç¥ó¤Îµ½Ò¤Î¤¦¤Á¡¢¥Õ¥¡¥¤¥ë¤Î½ñ¼°¤Ë
 929 ´Ø·¸¤Î¤Ê¤¤¤â¤Î¤Ï¡¢¤³¤³¤Ç¤âÅö¤Æ¤Ï¤Þ¤ë¤³¤È¤Ë¤Ê¤ë¡£
 930 .PP
 931 .\"O To consult \s-1LDAP\s0 first followed by the local sudoers file (if it
 932 .\"O exists), use:
 933 .\"O .PP
 934 ºÇ½é¤Ë \s-1LDAP\s0 ¤ò»²¾È¤·¡¢¤½¤Î¸å¤Ç (¤â¤·Â¸ºß¤¹¤ë¤Ê¤é¤Ð) ¥í¡¼¥«¥ë¥Þ¥·¥ó¾å¤Î
 935 sudoers ¥Õ¥¡¥¤¥ë¤òÄ´¤Ù¤ë¤Ë¤Ï¡¢¼¡¤Î¤è¤¦¤Ë»ØÄê¤¹¤ë¡£
 936 .PP
 937 .Vb 1
 938 \&    sudoers = ldap, files
 939 .Ve
 940 .PP
 941 .\"O The local \fIsudoers\fR file can be ignored completely by using:
 942 .\"O .PP
 943 ¥í¡¼¥«¥ë¥Þ¥·¥ó¾å¤Î \fIsudoers\fR ¥Õ¥¡¥¤¥ë¤ò¤Þ¤Ã¤¿¤¯Ìµ»ë¤¹¤ë¤Ë¤Ï¡¢
 944 ¼¡¤Î¤è¤¦¤Ë¤¹¤ë¡£
 945 .PP
 946 .Vb 1
 947 \&    sudoers = ldap
 948 .Ve
 949 .PP
 950 .\"O To treat \s-1LDAP\s0 as authoratative and only use the local sudoers file
 951 .\"O if the user is not present in \s-1LDAP\s0, use:
 952 .\"O .PP
 953 \&\s-1LDAP\s0 ¤òÀµ¼°¤Î»²¾È¸µ¤È¸«¤Ê¤·¡¢\s-1LDAP\s0 ¤Ë¥æ¡¼¥¶¤¬
 954 ¸«¤Ä¤«¤é¤Ê¤«¤Ã¤¿¤È¤¤Î¤ß¡¢¥í¡¼¥«¥ë¤Î sudoers ¤ò»ÈÍÑ¤¹¤ë¡£
 955 .PP
 956 .Vb 1
 957 \&    sudoers = ldap = auth, files
 958 .Ve
 959 .PP
 960 .\"O Note that in the above example, the \f(CW\*(C`auth\*(C'\fR qualfier only affects
 961 .\"O user lookups; both \s-1LDAP\s0 and \fIsudoers\fR will be queried for \f(CW\*(C`Defaults\*(C'\fR
 962 .\"O entries.
 963 .\"O .PP
 964 ¾åµ¤ÎÎã¤Ë¤ª¤¤¤Æ¡¢\f(CW\*(C`auth\*(C'\fR ½¤¾þ»Ò¤¬±Æ¶Á¤òµÚ¤Ü¤¹¤Î¤Ï¡¢
 965 ¥æ¡¼¥¶¤ò¾È¹ç¤¹¤ë¤È¤¤À¤±¤Ç¤¢¤ë¤³¤È¤ËÃí°Õ¤·¤Æ¤Û¤·¤¤¡£
 966 \&\f(CW\*(C`Defaults\*(C'\fR ¥¨¥ó¥È¥ê¤Ë¤Ä¤¤¤Æ¤Ï¡¢\s-1LDAP\s0 ¤È
 967 \&\fIsudoers\fR ¤ÎÎ¾Êý¤¬»²¾È¤µ¤ì¤ë¡£
 968 .PP
 969 .\"O If the \fI/etc/netsvc.conf\fR file is not present or there is no
 970 .\"O sudoers line, the following default is assumed:
 971 .\"O .PP
 972 \&\fI/etc/netsvc.conf\fR ¥Õ¥¡¥¤¥ë¤¬Â¸ºß¤·¤Ê¤«¤Ã¤¿¤ê¡¢Â¸ºß¤·¤Æ¤â sudoers ¤Î
 973 ¹Ô¤¬¤Ê¤«¤Ã¤¿¤ê¤·¤¿¾ì¹ç¤Ï¡¢¼¡¤Î¥Ç¥Õ¥©¥ë¥ÈÀßÄê¤¬»ÈÍÑ¤µ¤ì¤ë¡£
 974 .PP
 975 .Vb 1
 976 \&    sudoers = files
 977 .Ve
 978 .\"O .SH "FILES"
 979 .SH "¥Õ¥¡¥¤¥ë"
 980 .\"O .IX Header "FILES"
 981 .ie n .IP "\fI/etc/ldap.conf\fR" 24
 982 .el .IP "\fI/etc/ldap.conf\fR" 24
 983 .IX Item "/etc/ldap.conf"
 984 .\"O \&\s-1LDAP\s0 configuration file
 985 \&\s-1LDAP\s0 ¤ÎÀßÄê¥Õ¥¡¥¤¥ë
 986 .ie n .IP "\fI/etc/nsswitch.conf\fR" 24
 987 .el .IP "\fI/etc/nsswitch.conf\fR" 24
 988 .IX Item "/etc/nsswitch.conf"
 989 .\"O determines sudoers source order
 990 sudo ¤ÎÀßÄê¤Î»²¾È¸µ¤Î½çÈÖ¤ò·è¤á¤ë
 991 .ie n .IP "\fI/etc/netsvc.conf\fR" 24
 992 .el .IP "\fI/etc/netsvc.conf\fR" 24
 993 .IX Item "/etc/netsvc.conf"
 994 .\"O determines sudoers source order on \s-1AIX\s0
 995 \&\s-1AIX\s0 ¤Ç sudo ¤ÎÀßÄê¤Î»²¾È¸µ¤Î½çÈÖ¤ò·è¤á¤ë
 996 .\"O .SH "EXAMPLES"
 997 .SH "ÍÑÎã"
 998 .IX Header "EXAMPLES"
 999 .\"O .Sh "Example ldap.conf"
1000 .Sh "ldap.conf ¤Î°ìÎã"
1001 .IX Subsection "Example ldap.conf"
1002 .Vb 10
1003 .\"O \&  # Either specify one or more URIs or one or more host:port pairs.
1004 .\"O \&  # If neither is specified sudo will default to localhost, port 389.
1005 \&  # URI ¤« host:port ¤ÎÁÈ¤ß¹ç¤ï¤»¤ò°ì¤Ä°Ê¾å»ØÄê¤¹¤ë¡£
1006 \&  # ¤É¤Á¤é¤â»ØÄê¤µ¤ì¤Æ¤¤¤Ê¤¤¾ì¹ç¡¢sudo ¤Ï localhost ¤È 389 ÈÖ
1007 \&  # ¥Ý¡¼¥È¤ò»ÈÍÑ¤¹¤ë¡£
1008 \&  #
1009 \&  #host          ldapserver
1010 \&  #host          ldapserver1 ldapserver2:390
1011 \&  #
1012 .\"O \&  # Default port if host is specified without one, defaults to 389.
1013 \&  # host ¤¬¥Ý¡¼¥È¤Ê¤·¤Ç»ØÄê¤µ¤ì¤Æ¤¤¤ë¾ì¹ç¤Î¥Ý¡¼¥ÈÈÖ¹æ¡£
1014 \&  # ¥Ç¥Õ¥©¥ë¥È¤Ï 389 ¤Ç¤¢¤ë¡£
1015 \&  #port          389
1016 \&  #
1017 .\"O \&  # URI will override the host and port settings.
1018 \&  # URI ¤Î»ØÄê¤Ï¡¢host ¤È port ¤Ë¤è¤ë»ØÄê¤ËÍ¥Àè¤¹¤ë¡£
1019 \&  uri            ldap://ldapserver
1020 \&  #uri            ldaps://secureldapserver
1021 \&  #uri            ldaps://secureldapserver ldap://ldapserver
1022 \&  #
1023 .\"O \&  # The amount of time, in seconds, to wait while trying to connect to
1024 .\"O \&  # an LDAP server.
1025 \&  #  LDAP ¥µ¡¼¥Ð¤ËÀÜÂ³¤·¤è¤¦¤È¤·¤Æ¤¤¤ë¤È¤¤Î¡¢ÉÃÃ±°Ì¤ÎÂÔ¤Á»þ´Ö¡£
1026 \&  bind_timelimit 30
1027 \&  #
1028 .\"O \&  # The amount of time, in seconds, to wait while performing an LDAP query.
1029 \&  # LDAP ¤Î»²¾È¤ò¹Ô¤Ã¤Æ¤¤¤ë¤È¤¤Î¡¢ÉÃÃ±°Ì¤ÎÂÔ¤Á»þ´Ö¡£
1030 \&  timelimit 30
1031 \&  #
1032 .\"O \&  # must be set or sudo will ignore LDAP
1033 \&  # É¬¤ºÀßÄê¤¹¤ë¤³¤È¡£¤µ¤â¤Ê¤¤¤È¡¢sudo ¤Ï LDAP ¤òÌµ»ë¤¹¤ë¤³¤È¤Ë¤Ê¤ë¡£
1034 \&  sudoers_base   ou=SUDOers,dc=example,dc=com
1035 \&  #
1036 .\"O \&  # verbose sudoers matching from ldap
1037 \&  # LDAP ¤ò»²¾È¤·¤¿¤È¤¡¢sudo ÀßÄê¤Î¥Þ¥Ã¥Á¥ó¥°¤Ë¤Ä¤¤¤Æ¾ÜºÙ¾ðÊó¤ò
1038 \&  # É½¼¨¤¹¤ë¡£
1039 \&  #sudoers_debug 2
1040 \&  #
1041 .\"O \&  # optional proxy credentials
1042 \&  # LDAP ¤ÎÁàºî¤ò¹Ô¤¦¼Ô¤ÎÇ§¾Ú¾ðÊó (ÀßÄê¤¹¤ë¡¢¤·¤Ê¤¤¤ÏÇ¤°Õ)¡£
1043 \&  #binddn        <who to search as>
1044 \&  #bindpw        <password>
1045 \&  #rootbinddn    <who to search as, uses /etc/ldap.secret for bindpw>
1046 \&  #
1047 .\"O \&  # LDAP protocol version, defaults to 3
1048 \&  # LDAP ¥×¥í¥È¥³¥ë¤Î¥Ð¡¼¥¸¥ç¥ó¡£¥Ç¥Õ¥©¥ë¥È¤Ï 3 ¤Ç¤¢¤ë¡£
1049 \&  #ldap_version 3
1050 \&  #
1051 .\"O \&  # Define if you want to use an encrypted LDAP connection.
1052 .\"O \&  # Typically, you must also set the port to 636 (ldaps).
1053 \&  # LDAP ÀÜÂ³¤ò°Å¹æ²½¤·¤¿¤¤¤Ê¤é¡¢on ¤Ë¤¹¤ë¡£
1054 \&  # ÄÌÎã¡¢¥Ý¡¼¥È¤ò 636 (ldaps) ¤Ë¤¹¤ë¤³¤È¤âÉ¬Í×¡£
1055 \&  #ssl on
1056 \&  #
1057 .\"O \&  # Define if you want to use port 389 and switch to
1058 .\"O \&  # encryption before the bind credentials are sent.
1059 .\"O \&  # Only supported by LDAP servers that support the start_tls
1060 .\"O \&  # extension such as OpenLDAP.
1061 \&  # ¥Ý¡¼¥È 389 ¤ò»ÈÍÑ¤·¡¢¥Ð¥¤¥ó¥ÉÁàºî¤Î¤¿¤á¤ËÇ§¾Ú¾ðÊó¤¬
1062 \&  # Á÷¿®¤µ¤ì¤ëÁ°¤Ë¡¢°Å¹æ²½¥»¥Ã¥·¥ç¥ó¤ËÀÚ¤êÂØ¤¨¤¿¤¤¾ì¹ç¤ËÀßÄê¤¹¤ë¡£
1063 \&  # ¤³¤ì¤ò¥µ¥Ý¡¼¥È¤·¤Æ¤¤¤ë¤Î¤Ï¡¢OpenLDAP ¤Î¤è¤¦¤Ê start_tls ³ÈÄ¥¤Ë
1064 \&  # ÂÐ±þ¤·¤Æ¤¤¤ë LDAP ¥µ¡¼¥Ð¤À¤±¤Ç¤¢¤ë¡£
1065 \&  #ssl start_tls
1066 \&  #
1067 .\"O \&  # Additional TLS options follow that allow tweaking of the
1068 .\"O \&  # SSL/TLS connection.
1069 \&  # °Ê²¼¤Î TLS ¥ª¥×¥·¥ç¥ó¤òÉÕ¤±¤ë¤³¤È¤Ç SSL/TLS ÀÜÂ³¤òÈùÄ´À°¤Ç¤¤ë¡£
1070 \&  #
1071 .\"O \&  #tls_checkpeer yes # verify server SSL certificate
1072 .\"O \&  #tls_checkpeer no  # ignore server SSL certificate
1073 \&  #tls_checkpeer yes # ¥µ¡¼¥Ð¤Î SSL ¾ÚÌÀ½ñ¤ò³ÎÇ§¤¹¤ë¡£
1074 \&  #tls_checkpeer no  # ¥µ¡¼¥Ð¤Î SSL ¾ÚÌÀ½ñ¤ò³ÎÇ§¤·¤Ê¤¤¡£
1075 \&  #
1076 .\"O \&  # If you enable tls_checkpeer, specify either tls_cacertfile
1077 .\"O \&  # or tls_cacertdir.  Only supported when using OpenLDAP.
1078 \&  # tls_checkpeer ¤òÍ¸ú¤Ë¤¹¤ë¤È¤¤Ï¡¢ tls_cacertfile ¤«
1079 \&  # tls_cacertdir ¤Î¤É¤Á¤é¤«¤ò»ØÄê¤¹¤ë¤³¤È¡£tls_cacertfile ¤ä
1080 \&  # tls_cacertdir ¤Ï OpenLDAP »ÈÍÑ»þ¤Î¤ß»È¤¨¤ë¡£
1081 \&  #
1082 \&  #tls_cacertfile /etc/certs/trusted_signers.pem
1083 \&  #tls_cacertdir  /etc/certs
1084 \&  #
1085 .\"O \&  # For systems that don\*(Aqt have /dev/random
1086 .\"O \&  # use this along with PRNGD or EGD.pl to seed the
1087 .\"O \&  # random number pool to generate cryptographic session keys.
1088 .\"O \&  # Only supported when using OpenLDAP.
1089 \&  # /dev/random ¤¬¤Ê¤¤¥·¥¹¥Æ¥à¤Ç¤Ï¡¢²¼µ¤ÎÀßÄê¤ò PRNGD¡¢¤¢¤ë¤¤¤Ï
1090 \&  # EGD.pl ¤È°ì½ï¤Ë»ÈÍÑ¤¹¤ì¤Ð¡¢°Å¹æ¥»¥Ã¥·¥ç¥óÍÑ¤Î¸°¤òÀ¸À®¤¹¤ë¤¿¤á¤Î
1091 \&  # Íð¿ô¥×¡¼¥ë¤Î¼ï¤ò¶¡µë¤Ç¤¤ë¡£¤³¤Î¥ª¥×¥·¥ç¥ó¤¬»È¤¨¤ë¤Î¤Ï¡¢
1092 \&  # OpenLDAP ¤ò»ÈÍÑ¤·¤Æ¤¤¤ë¤È¤¤À¤±¤Ç¤¢¤ë¡£
1093 \&  #
1094 \&  #tls_randfile /etc/egd\-pool
1095 \&  #
1096 .\"O \&  # You may restrict which ciphers are used.  Consult your SSL
1097 .\"O \&  # documentation for which options go here.
1098 .\"O \&  # Only supported when using OpenLDAP.
1099 \&  # »ÈÍÑ¤¹¤ë°Å¹æ¤ò¸ÂÄê¤¹¤ë¤³¤È¤¬¤Ç¤¤ë¡£¤É¤Î°Å¹æ¤¬»È¤¨¤ë¤«¤Ë
1100 \&  # ¤Ä¤¤¤Æ¤Ï¡¢SSL ¤ÎÊ¸½ñ¤ò»²¾È¤·¤Æ¤Û¤·¤¤¡£¤³¤Î¥ª¥×¥·¥ç¥ó¤¬
1101 \&  # »È¤¨¤ë¤Î¤Ï¡¢OpenLDAP ¤ò»ÈÍÑ¤·¤Æ¤¤¤ë¤È¤¤À¤±¤Ç¤¢¤ë¡£
1102 \&  #
1103 \&  #tls_ciphers <cipher\-list>
1104 \&  #
1105 .\"O \&  # Sudo can provide a client certificate when communicating to
1106 .\"O \&  # the LDAP server.
1107 .\"O \&  # Tips:
1108 .\"O \&  #   * Enable both lines at the same time.
1109 .\"O \&  #   * Do not password protect the key file.
1110 .\"O \&  #   * Ensure the keyfile is only readable by root.
1111 \&  # sudo ¤Ï LDAP ¥µ¡¼¥Ð¤È¸ò¿®¤¹¤ë¤È¤¤Ë¡¢¥¯¥é¥¤¥¢¥ó¥È¤Î¾ÚÌÀ½ñ¤ò
1112 \&  # Äó¼¨¤¹¤ë¤³¤È¤¬¤Ç¤¤ë¡£
1113 \&  # Ãí°Õ:
1114 \&  #   * Î¾Êý¤Î¹Ô¤òÆ±»þ¤ËÍ¸ú¤Ë¤¹¤ë¤³¤È¡£
1115 \&  #   * ¥¡¼¥Õ¥¡¥¤¥ë¤ò¥Ñ¥¹¥ï¡¼¥É¤Ç¥×¥í¥Æ¥¯¥È¤·¤Æ¤Ï¤¤¤±¤Ê¤¤¡£
1116 \&  #   * ¥¡¼¥Õ¥¡¥¤¥ë¤¬ÆÉ¤á¤ë¤Î¤Ï root ¤À¤±¤Ë¤¹¤ë¤Î¤òËº¤ì¤º¤Ë¡£
1117 \&  #
1118 .\"O \&  # For OpenLDAP:
1119 \&  # OpenLDAP ¤Î¾ì¹ç:
1120 \&  #tls_cert /etc/certs/client_cert.pem
1121 \&  #tls_key  /etc/certs/client_key.pem
1122 \&  #
1123 .\"O \&  # For SunONE or iPlanet LDAP, tls_cert and tls_key may specify either
1124 .\"O \&  # a directory, in which case the files in the directory must have the
1125 .\"O \&  # default names (e.g. cert8.db and key4.db), or the path to the cert
1126 .\"O \&  # and key files themselves.  However, a bug in version 5.0 of the LDAP
1127 .\"O \&  # SDK will prevent specific file names from working.  For this reason
1128 .\"O \&  # it is suggested that tls_cert and tls_key be set to a directory,
1129 .\"O \&  # not a file name.
1130 .\"O \&  #
1131 .\"O \&  # The certificate database specified by tls_cert may contain CA certs
1132 .\"O \&  # and/or the client\*(Aqs cert.  If the client\*(Aqs cert is included, tls_key
1133 .\"O \&  # should be specified as well.
1134 .\"O \&  # For backward compatibility, "sslpath" may be used in place of tls_cert.
1135 \&  # SunONE ¤ä iPlanet LDAP ¤Î¾ì¹ç:
1136 \&  # ¤³¤Á¤é¤Î¾ì¹ç¤Ï¡¢tls_cert ¤ä tls_key ¤Ç»ØÄê¤¹¤ë¤Î¤Ï¡¢
1137 \&  # ¥Ç¥£¥ì¥¯¥È¥ê¤Ç¤â¤è¤¯¡¢cert ¤ä key ¥Õ¥¡¥¤¥ë¤½¤Î¤â¤Î¤Î¥Ñ¥¹¤Ç¤â¤è¤¤¡£
1138 \&  # Á°¼Ô¤Î¾ì¹ç¡¢¥Ç¥£¥ì¥¯¥È¥êÃæ¤Î¥Õ¥¡¥¤¥ë¤Ï¡¢´ûÄê¤ÎÌ¾Á° (¤¿¤È¤¨¤Ð¡¢
1139 \&  # cert8.db ¤È key4.db) ¤Ç¤Ê¤±¤ì¤Ð¤Ê¤é¤Ê¤¤¡£¤â¤Ã¤È¤â¡¢¥Õ¥¡¥¤¥ë¤Î
1140 \&  # ¥Ñ¥¹¤ò»ØÄê¤·¤¿¾ì¹ç¤Ï¡¢¥Ð¡¼¥¸¥ç¥ó 5.0 ¤Î LDAP SDK ¤Ë¤Ï¥Ð¥°¤¬
1141 \&  # ¤¢¤ë¤Î¤Ç¡¢¥Õ¥¡¥¤¥ëÌ¾¤Ë¤è¤Ã¤Æ¤Ï¤¦¤Þ¤¯Æ°ºî¤·¤Ê¤¤¤³¤È¤¬¤¢¤ë¡£
1142 \&  # ¤³¤ÎÍýÍ³¤«¤é¡¢tls_cert ¤ä tls_key ¤Ë¤Ï¡¢¥Õ¥¡¥¤¥ëÌ¾¤Ç¤Ï¤Ê¤¯¡¢
1143 \&  # ¥Ç¥£¥ì¥¯¥È¥ê¤ò»ØÄê¤¹¤ëÊý¤ò¤ªÁ¦¤á¤¹¤ë¡£
1144 \&  #
1145 \&  # tls_cert ¤Ç»ØÄê¤·¤¿¾ÚÌÀ½ñ¤Î¥Ç¡¼¥¿¥Ù¡¼¥¹¤Ë¤Ï¡¢Ç§¾Ú¶É¤Î¾ÚÌÀ½ñ¤È
1146 \&  # ¥¯¥é¥¤¥¢¥ó¥È¤Î¾ÚÌÀ½ñ¤¬¡¢¤É¤Á¤é¤«°ìÊý¤À¤±Æþ¤Ã¤Æ¤¤¤Æ¤â¤è¤¯¡¢
1147 \&  # Î¾ÊýÆþ¤Ã¤Æ¤¤¤Æ¤â¤è¤¤¡£¥¯¥é¥¤¥¢¥ó¥È¤Î¾ÚÌÀ½ñ¤¬Æþ¤Ã¤Æ¤¤¤ë¾ì¹ç¤Ï¡¢
1148 \&  # tls_key ¤â»ØÄê¤¹¤ë¤Ù¤¤Ç¤¢¤ë¡£
1149 \&  # ¸åÊý¸ß´¹¤Î¤¿¤á¡¢tls_cert ¤Î¤«¤ï¤ê¤Ë sslpath ¤ò»È¤¦¤³¤È¤â¤Ç¤¤ë¡£
1150 \&  #tls_cert /var/ldap
1151 \&  #tls_key /var/ldap
1152 \&  #
1153 .\"O \&  # If using SASL authentication for LDAP (OpenSSL)
1154 \&  # LDAP ¤Ë SASL Ç§¾Ú¤ò»ÈÍÑ¤¹¤ë¾ì¹ç (OpenSSL)
1155 \&  # use_sasl yes
1156 \&  # sasl_auth_id <SASL username>
1157 \&  # rootuse_sasl yes
1158 \&  # rootsasl_auth_id <SASL username for root access>
1159 \&  # sasl_secprops none
1160 \&  # krb5_ccname /etc/.ldapcache
1161 .Ve
1162 .\"O .Sh "Sudo schema for OpenLDAP"
1163 .Sh "OpenLDAP ÍÑ¤Î Sudo ¤Î¥¹¥¡¼¥Þ"
1164 .IX Subsection "Sudo schema for OpenLDAP"
1165 .\"O The following schema is in OpenLDAP format.  Simply copy it to the
1166 .\"O schema directory (e.g. \fI/etc/openldap/schema\fR), add the proper
1167 .\"O \&\f(CW\*(C`include\*(C'\fR line in \f(CW\*(C`slapd.conf\*(C'\fR and restart \fBslapd\fR.
1168 .\"O .PP
1169 ²¼µ¤Î¥¹¥¡¼¥Þ¤Ï OpenLDAP ÍÑ¤Î·Á¼°¤Ë¤Ê¤Ã¤Æ¤¤¤ë¡£¤³¤Î¥¹¥¡¼¥Þ¤ò¥Õ¥¡¥¤¥ë¤Ë
1170 ¥³¥Ô¡¼¤·¤Æ¥¹¥¡¼¥ÞÍÑ¤Î¥Ç¥£¥ì¥¯¥È¥ê (¤¿¤È¤¨¤Ð¡¢
1171 \&\fI/etc/openldap/schema\fR) ¤ËÆþ¤ì¡¢Å¬ÀÚ¤Ê \f(CW\*(C`include\*(C'\fR ¹Ô¤ò
1172 \&\f(CW\*(C`slapd.conf\*(C'\fR¤ËÄÉ²Ã¤·¤Æ¤«¤é¡¢\fBslapd\fR ¤ò¥ê¥¹¥¿¡¼¥È¤¹¤ë
1173 ¤À¤±¤Ç¤è¤¤¡£
1174 .PP
1175 .Vb 6
1176 \& attributetype ( 1.3.6.1.4.1.15953.9.1.1
1177 \&    NAME \*(AqsudoUser\*(Aq
1178 \&    DESC \*(AqUser(s) who may  run sudo\*(Aq
1179 \&    EQUALITY caseExactIA5Match
1180 \&    SUBSTR caseExactIA5SubstringsMatch
1181 \&    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
1182 \&
1183 \& attributetype ( 1.3.6.1.4.1.15953.9.1.2
1184 \&    NAME \*(AqsudoHost\*(Aq
1185 \&    DESC \*(AqHost(s) who may run sudo\*(Aq
1186 \&    EQUALITY caseExactIA5Match
1187 \&    SUBSTR caseExactIA5SubstringsMatch
1188 \&    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
1189 \&
1190 \& attributetype ( 1.3.6.1.4.1.15953.9.1.3
1191 \&    NAME \*(AqsudoCommand\*(Aq
1192 \&    DESC \*(AqCommand(s) to be executed by sudo\*(Aq
1193 \&    EQUALITY caseExactIA5Match
1194 \&    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
1195 \&
1196 \& attributetype ( 1.3.6.1.4.1.15953.9.1.4
1197 \&    NAME \*(AqsudoRunAs\*(Aq
1198 \&    DESC \*(AqUser(s) impersonated by sudo\*(Aq
1199 \&    EQUALITY caseExactIA5Match
1200 \&    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
1201 \&
1202 \& attributetype ( 1.3.6.1.4.1.15953.9.1.5
1203 \&    NAME \*(AqsudoOption\*(Aq
1204 \&    DESC \*(AqOptions(s) followed by sudo\*(Aq
1205 \&    EQUALITY caseExactIA5Match
1206 \&    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
1207 \&
1208 \& attributetype ( 1.3.6.1.4.1.15953.9.1.6
1209 \&    NAME \*(AqsudoRunAsUser\*(Aq
1210 \&    DESC \*(AqUser(s) impersonated by sudo\*(Aq
1211 \&    EQUALITY caseExactIA5Match
1212 \&    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
1213 \&
1214 \& attributetype ( 1.3.6.1.4.1.15953.9.1.7
1215 \&    NAME \*(AqsudoRunAsGroup\*(Aq
1216 \&    DESC \*(AqGroup(s) impersonated by sudo\*(Aq
1217 \&    EQUALITY caseExactIA5Match
1218 \&    SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
1219 \&
1220 \& objectclass ( 1.3.6.1.4.1.15953.9.2.1 NAME \*(AqsudoRole\*(Aq SUP top STRUCTURAL
1221 \&    DESC \*(AqSudoer Entries\*(Aq
1222 \&    MUST ( cn )
1223 \&    MAY ( sudoUser $ sudoHost $ sudoCommand $ sudoRunAs $ sudoRunAsUser $
1224 \&          sudoRunAsGroup $ sudoOption $ description )
1225 \&    )
1226 .Ve
1227 .\"O .SH "SEE ALSO"
1228 .SH "»²¾È"
1229 .IX Header "SEE ALSO"
1230 \&\fIldap.conf\fR\|(5), \fIsudoers\fR\|(5)
1231 .\"O .SH "CAVEATS"
1232 .SH "·Ù¹ð"
1233 .IX Header "CAVEATS"
1234 .\"O The way that \fIsudoers\fR is parsed differs between Note that there
1235 .\"O are differences in the way that LDAP-based \fIsudoers\fR is parsed
1236 .\"O compared to file-based \fIsudoers\fR.  See the \*(L"Differences between
1237 .\"O \&\s-1LDAP\s0 and non-LDAP sudoers\*(R" section for more information.
1238 LDAP ¤ò»ÈÍÑ¤¹¤ë \fBsudo\fR ¤ÎÀßÄê¤È \fIsudoers\fR ¥Õ¥¡¥¤¥ë¤Ë¤è¤ë
1239 \&\fBsudo\fR ¤ÎÀßÄê¤Ç¤Ï¡¢ÀßÄê¤ò²òÀÏ¤¹¤ë»ÅÊý¤ËÁê°ã¤¬¤¢¤ë¤Î¤Ç¡¢Ãí°Õ¤·¤Æ
1240 ¤Û¤·¤¤¡£¾Ü¤·¤¯¤Ï¡¢¡Ö\s-1LDAP\s0 ¤È non-LDAP ¤Î sudo ÀßÄê¤ÎÁê°ãÅÀ¡×¤Î
1241 ¥»¥¯¥·¥ç¥ó¤ò»²¾È¤¹¤ë¤³¤È¡£
1242 .\"O .SH "BUGS"
1243 .SH "¥Ð¥°"
1244 .IX Header "BUGS"
1245 .\"O If you feel you have found a bug in \fBsudo\fR, please submit a bug report
1246 .\"O at http://www.sudo.ws/sudo/bugs/
1247 \&\fBsudo\fR ¤Ë¥Ð¥°¤òÈ¯¸«¤·¤¿¤È»×¤Ã¤¿¤é¡¢²¼µ¥Ú¡¼¥¸¤Ë¥¢¥¯¥»¥¹¤·¤Æ¡¢
1248 ¥Ð¥°¥ì¥Ý¡¼¥È¤òÄó½Ð¤·¤Æ¤¤¤¿¤À¤¤¿¤¤¡£
1249 .br
1250 http://www.sudo.ws/sudo/bugs/
1251 .\"O .SH "SUPPORT"
1252 .SH "¥µ¥Ý¡¼¥È"
1253 .IX Header "SUPPORT"
1254 .\"O Limited free support is available via the sudo-users mailing list,
1255 .\"O see http://www.sudo.ws/mailman/listinfo/sudo\-users to subscribe or
1256 .\"O search the archives.
1257 ¤¢¤ëÄøÅÙ¤ÎÌµÎÁ¥µ¥Ý¡¼¥È¤¬ sudo-users ¥á¡¼¥ê¥ó¥°¥ê¥¹¥È¤òÄÌ¤·¤ÆÍøÍÑ¤Ç¤¤ë¡£
1258 ¹ØÆÉ¤ä¥¢¡¼¥«¥¤¥Ö¤Î¸¡º÷¤Ë¤Ï¡¢²¼µ URL ¤ò¤´Í÷¤Ë¤Ê¤ë¤³¤È¡£
1259 .br
1260 http://www.sudo.ws/mailman/listinfo/sudo\-users
1261 .\"O .SH "DISCLAIMER"
1262 .SH "ÌÈÀÕ"
1263 .IX Header "DISCLAIMER"
1264 .\"O \&\fBsudo\fR is provided ``\s-1AS\s0 \s-1IS\s0'' and any express or implied warranties,
1265 .\"O including, but not limited to, the implied warranties of merchantability
1266 .\"O and fitness for a particular purpose are disclaimed.  See the \s-1LICENSE\s0
1267 .\"O file distributed with \fBsudo\fR or http://www.sudo.ws/sudo/license.html
1268 .\"O for complete details.
1269 \&\fBsudo\fR ¤Ï¡Ö¸½¾õ¤Î¤Þ¤Þ¡×Äó¶¡¤µ¤ì¤ë¡£ÌÀ¼¨Åª¤Ê¡¢¤¢¤ë¤¤¤ÏÌÛ¼¨Åª¤Ê
1270 ¤¤¤«¤Ê¤ëÊÝ¾Ú¤â¡¢¾¦ÉÊÀ¤äÆÃÄêÌÜÅª¤Ø¤ÎÅ¬¹çÀ¤Ë¤Ä¤¤¤Æ¤ÎÌÛ¼¨Åª¤ÊÊÝ¾Ú¤ò´Þ¤á¡¢
1271 ¤Þ¤¿¤½¤ì¤Î¤ß¤Ë»ß¤Þ¤é¤º¡¢¤³¤ì¤òÈÝÇ§¤¹¤ë¡£¾ÜºÙ¤ÊÁ´Ê¸¤Ë¤Ä¤¤¤Æ¤Ï¡¢
1272 \&\fBsudo\fR ¤È°ì½ï¤ËÇÛÉÛ¤µ¤ì¤Æ¤¤¤ë \s-1LICENSE\s0 ¥Õ¥¡¥¤¥ë¤ä
1273 ²¼µ Web ¥Ú¡¼¥¸¤ò¤´Í÷¤¤¤¿¤À¤¤¿¤¤¡£
1274 .br
1275 http://www.sudo.ws/sudo/license.html