LDAP 가입과 파일 접근은 다른 단계

LDAP는 사용자와 그룹 같은 디렉터리 정보를 조회하고 인증에 이용하는 프로토콜입니다. NAS를 LDAP 클라이언트로 연결하면 외부 계정 정보를 DSM의 권한 관리에 사용할 수 있습니다. NAS에 LDAP Server 패키지를 설치해 계정을 제공하는 것과 연결 방향이 반대입니다.

Base DN은 검색을 시작할 디렉터리 기준 위치이고, Bind DN은 연결할 때 인증에 사용하는 계정의 구별 이름입니다. 둘을 같은 값으로 넣는 항목이 아닙니다. LDAP에 가입되거나 계정 목록이 보인다는 사실과 SMB 파일 서비스로 로그인할 수 있다는 사실도 따로 확인합니다.

DSM 업데이트 번호까지 확인할 기능

DSM 6.2는 Domain/LDAP의 LDAP 탭에서 Enable LDAP Client를 켜는 방식이고, 현재 DSM 7.4 도움말은 Join 마법사를 사용합니다. LDAP 서버 인증서 검증은 DSM 7.1.1-42962 Update 8, 7.2.1-69057 Update 7, 7.2.2-72806 Update 3에 각각 추가된 기록이 있습니다. DSM 7이라는 큰 버전만으로 같은 옵션이 있다고 단정하지 않습니다.

이 추가 기록은 C2 Identity Edge Server의 인증서 검증을 지원하지 않으며, 당시에는 검증 설정을 DSM 구성 백업이나 Hyper Backup Entire System Backup에 담을 수 없다고 명시합니다. DSM 7.3-81180은 이 설정의 백업과 복원을 추가하되 내보내는 시스템과 가져오는 시스템 모두 DSM 7.3 이상이어야 한다고 설명합니다.

주소와 인증 및 사용자 매핑 입력

현재 Join 화면에서 LDAP 서버 주소와 이를 찾을 수 있는 DNS를 입력한 뒤 Bind DN 또는 LDAP 관리 계정, 비밀번호, 암호화 방식과 Base DN을 지정합니다. 서버 인증서 검증을 쓰면 인증서가 유효해야 가입할 수 있습니다. 서버 인증서 검증과 일부 서비스가 요구하는 클라이언트 인증서 업로드는 역할이 다른 설정입니다.

Synology LDAP Server 등에 맞는 Standard 프로필과 별도 속성을 연결하는 Custom 프로필을 구분합니다. 사용자와 그룹 식별에는 정수로 해석되는 UID/GID가 필요하며, 비정수 속성을 변환하는 HASH() 매핑도 도움말에 설명돼 있습니다. 그룹 멤버 속성은 RFC 2307의 memberUid와 RFC 2307bis의 member가 다릅니다. 조직의 스키마를 확인하지 않은 상태에서 필터와 속성 이름을 임의로 바꾸지 않습니다.

SMB 접근에 필요한 인증 방식 확인

구형 LDAP 안내는 Samba schema와 올바른 sambaNTPassword가 있는 구성을 설명합니다. SMB Service 4.15.13-4209는 DSM 7.3 이상 조건으로 Kerberos keytab 가져오기와 RFC 2307 LDAP 지원을 추가했습니다. Samba schema가 없는 이 경로에서는 Kerberos 인증만 지원하므로, 과거 조건을 모든 최신 구성의 필수조건으로 확대하지 않습니다.

현재 Kerberos 도움말은 AD 가입 시 keytab 자동 가져오기, LDAP 가입 시 수동 가져오기를 구분합니다. LDAP용 keytab은 .keytab 확장자와 최대 500 KB 조건이 있으며 새 파일은 기존 파일을 덮어씁니다. 파일만 올려서는 끝나지 않고 KDC와 DNS도 준비돼야 합니다. DSM 7.4는 LDAP 가입 화면에 지원되는 SMB 인증 방식을 표시하도록 바뀌었습니다.

UID 충돌과 평문 인증의 주의점

UID/GID shifting은 로컬 계정과의 번호 충돌을 피하기 위해 값을 1,000,000만큼 옮기는 기능입니다. 고유한 숫자 식별자를 제공하는 비시놀로지 LDAP 서버에만 적용되는 조건을 갖습니다. 기존 파일의 소유자와 권한이 관련되므로 사용자 이름이 같다는 이유만으로 번호 변경을 공통 해결책으로 적용하지 않습니다.

오래된 도움말에 CIFS plain text password authentication이 있어도 이를 기본 권장안으로 사용하지 않습니다. 공식 문서도 비밀번호가 암호화되지 않은 형태로 전달될 수 있다고 경고합니다. 실제 서버와 패키지가 제공하는 인증 방식을 확인하고, 연결 오류를 피하려고 인증서 검증이나 전송 보호를 먼저 끄는 방식으로 처리하지 않습니다.

연결과 권한 및 보존 상태를 따로 점검

가입 후 Test, LDAP User 또는 LDAP Group의 Update LDAP Data로 연결 상태와 계정 목록을 확인합니다. 이후 실제로 필요한 DSM 로그인, SMB 인증과 공유 폴더 읽기 및 쓰기를 나눠 검사합니다. 목록 갱신 주기, 중첩 그룹과 폴더 권한도 함께 확인해야 가입 성공만으로 남는 접근 문제를 놓치지 않습니다.

인증서 검증 설정이 복원되는 버전 조건과 실제로 복원된 상태를 따로 기록합니다. keytab과 클라이언트 인증서 및 관리 비밀번호는 공개 원고나 화면에 넣지 않습니다. 특정 LDAP 제품의 스키마와 KDC 구성은 별도 검증 대상이며, 이 설명만으로 모든 서버와 단말 조합의 연결을 보장하지 않습니다.