Synology DSM LDAP 연동 개요
Synology DSM은 LDAP 디렉토리 서비스 클라이언트를 기본 제공합니다.
설정 화면에서 서버 주소와 Base DN 몇 가지만 입력하면 LDAP 사용자가 NAS에 로그인할 수 있습니다.
연동 후 가능한 것들:
- LDAP 계정으로 DSM 관리자 패널 로그인
- 공유 폴더 권한을 LDAP 그룹 단위로 부여
- File Station에서 LDAP 사용자 홈 디렉토리 접근
- SMB/NFS 마운트 시 LDAP 인증
사전 확인: LDAP 구조가 맞는지 점검
Synology 연동 전에 LDAP에서 아래 조건을 충족하는지 확인합니다.
ADM="cn=readonly,dc=ldap,dc=example,dc=com"
PW="readonly_password"
BASE="dc=ldap,dc=example,dc=com"
# posixAccount 사용자가 있는지
docker exec openldap ldapsearch -x -H ldaps://localhost:636 \
-D "$ADM" -w "$PW" \
-b "ou=people,$BASE" \
"(objectClass=posixAccount)" uid uidNumber gidNumber | head -20
# groupPosixAux 그룹이 있는지
docker exec openldap ldapsearch -x -H ldaps://localhost:636 \
-D "$ADM" -w "$PW" \
-b "ou=Groups,$BASE" \
"(objectClass=groupPosixAux)" cn gidNumber memberUid | head -20양쪽 다 결과가 나오면 준비 완료입니다.
DSM LDAP 클라이언트 설정
접속 경로
DSM 관리자 패널 > 제어판 > 도메인/LDAP > LDAP 탭
프로파일 선택
“서버 유형”에서 사용자 지정(Custom)을 선택합니다.
Synology의 기본 프로파일(OpenLDAP, IBM Lotus Domino 등)은 고정된 속성 이름을 사용하는데, 커스텀 스키마를 쓰거나 표준 속성 이름이 다를 때 직접 매핑해야 합니다.
기본 연결 설정
| 항목 | 값 |
|---|---|
| 서버 주소 | ldaps://ldap.example.com |
| 포트 | 10636 |
| Base DN | dc=ldap,dc=example,dc=com |
| 암호화 | SSL/TLS |
| 바인드 DN | cn=readonly,dc=ldap,dc=example,dc=com |
| 바인드 비밀번호 | (읽기 전용 계정 비밀번호) |
사용자 매핑 (passwd 섹션)
DSM이 LDAP에서 사용자를 어떻게 읽을지 매핑합니다.
| DSM 필드 | LDAP 속성 | 설명 |
|---|---|---|
| Filter | (objectClass=posixAccount) | 사용자 검색 필터 |
| uid | uid | 로그인 아이디 |
| uidNumber | uidNumber | 시스템 사용자 번호 |
| gidNumber | gidNumber | 기본 그룹 번호 |
| userPassword | userPassword | 비밀번호 (해시) |
| gecos | cn | 표시 이름 |
| homeDirectory | homeDirectory | 홈 디렉토리 |
| loginShell | loginShell | 셸 |
Filter를 (objectClass=posixAccount)로 설정하면 LDAP에서 posixAccount가 있는 엔트리만 가져옵니다.
퇴직자 계정이 있다면 여기에 추가 필터를 넣을 수 있습니다:(&(objectClass=posixAccount)(hrEmploymentStatus=active))
그룹 매핑 (group 섹션)
그룹 연동에서 핵심은 Filter에 groupPosixAux를 쓰는 것입니다.
| DSM 필드 | LDAP 속성 | 설명 |
|---|---|---|
| Filter | (objectClass=groupPosixAux) | 그룹 검색 필터 |
| cn | cn | 그룹 이름 |
| gidNumber | gidNumber | 그룹 번호 |
| memberUid | memberUid | 멤버 uid 목록 |
왜 groupPosixAux 필터인가
표준 posixGroup을 쓰지 않고 groupPosixAux를 만든 이유가 여기서 실용적으로 증명됩니다.
Synology는 그룹 멤버를 memberUid(uid 문자열 목록)로 확인합니다.groupOfNames만 있으면 member(DN)만 있고 memberUid가 없어서 Synology가 멤버를 인식하지 못합니다.groupPosixAux가 memberUid를 추가해 주므로 Synology도 그룹 멤버를 정확히 읽습니다.
LDAPS 인증서 처리
Self-Signed 인증서를 쓰면 Synology가 신뢰하지 않아 연결이 실패합니다.
방법 1: CA 인증서 신뢰 등록 (권장)
DSM > 제어판 > 보안 > 인증서 > 추가 > “중간 인증서 가져오기”
또는 DSM > 보안 > 신뢰할 수 있는 CA 인증서에 ca.crt를 업로드합니다.
방법 2: TLS 검증 비활성화
LDAP 설정 화면에서 “SSL 인증서 확인 안 함”을 체크합니다.
내부 네트워크 전용이라면 이 방법도 실용적입니다.
연동 테스트
설정을 저장하면 DSM이 LDAP에 바인드를 시도합니다.
사용자 목록 확인
제어판 > 사용자 계정 > 탭 “도메인/LDAP 사용자”
LDAP의 ou=people 아래 사용자들이 보이면 성공입니다.
그룹 목록 확인
제어판 > 그룹 > 탭 “도메인/LDAP 그룹”
dept-dev, dept-marketing 등 그룹이 보이면 그룹 연동도 완료입니다.
공유 폴더 권한 설정
LDAP 그룹으로 NAS 공유 폴더 접근을 제어합니다.
예시: 부서별 폴더 권한
/volume1/
├── shared/ ← status-active 그룹: 읽기/쓰기
├── dev/ ← dept-dev 그룹: 읽기/쓰기
│ role-admin 그룹: 읽기/쓰기
├── marketing/ ← dept-marketing 그룹: 읽기/쓰기
└── hr/ ← role-hr 그룹: 읽기/쓰기
role-admin 그룹: 읽기/쓰기DSM > 파일 스테이션 > 공유 폴더 오른쪽 클릭 > 속성 > 권한 탭 >
“도메인/LDAP 그룹”에서 그룹 선택 후 권한 설정.
이렇게 설정하면:
- 입사 → LDAP에서 해당 부서 그룹(
dept-dev)에 멤버 추가만 하면 폴더 접근 자동 부여 - 퇴직 →
hrEmploymentStatus: resigned+sambaAcctFlags: [D ]처리만 하면 모든 접근 차단
홈 디렉토리 설정
각 사용자의 개인 폴더를 자동 생성하려면:
DSM > 제어판 > 사용자 계정 > 고급 > “사용자 홈 서비스 활성화”
활성화하면 LDAP 사용자가 처음 로그인할 때 /volume1/homes/uid/ 디렉토리가 자동 생성됩니다.
SMB(Samba) 파일 공유와의 차이
Synology NAS는 자체적으로 SMB 서버를 내장하고 있어 별도의 Samba 서버 없이도 Windows 파일 공유가 가능합니다.
| 방식 | Synology 내장 SMB | 별도 Samba 서버 |
|---|---|---|
| 설치 복잡도 | 낮음 (DSM 설정만) | 높음 |
| LDAP 연동 | DSM 클라이언트로 연동 | smb.conf + sambaSamAccount 필요 |
| 유연성 | DSM 버전에 종속 | 자유로운 설정 |
| NT 해시 | 불필요 | sambaNTPassword 필수 |
Synology DSM을 쓴다면 05편에서 다룬 sambaNTPassword는 Synology 인증에는 필요하지 않습니다.
별도 Samba 서버(Linux 서버에 smbd 설치)를 쓸 때만 NT 해시가 필요합니다.
연동 후 구조 정리
LDAP 서버 (OpenLDAP)
│
├── LDAPS 10636
│ │
│ ├── Synology NAS DSM ─→ 로그인 인증 + 그룹 권한
│ ├── Samba 서버 ─→ SMB 파일 공유 인증
│ └── 그룹웨어 ─→ SSO 로그인
│
└── LDAP 10389 (내부 관리용)다음 편에서는 LDAP 데이터 백업, 로그 관리, 헬스체크 자동화 — 운영을 안정적으로 유지하는 실전 설정을 다룹니다.
