安装并配置Open LDAP


称为 轻量级目录访问协议的 LDAP 是一种用于访问目录中已知企业内的X.500服务容器的协议。那些熟悉Windows Server Administration的人可以将LDAP视为与Active Directory非常相似。它甚至是一个广泛使用的将Windows工作站交织在OpenLDAP CentOS企业中的概念。另一方面,CentOS Linux工作站可以共享资源并参与Windows域的基本功能。

在CentOS上将LDAP作为目录服务器代理,目录系统代理或DSA部署(这些首字母缩写全部都是一样的),这与在NDS中使用目录树结构的旧版Novell Netware安装类似。

LDAP简史

LDAP基本上被创建为访问具有企业资源的X.500目录的有效方式。X.500和LDAP都具有相同的特征,并且非常相似,因此LDAP客户端可以使用一些帮助程序访问X.500目录。虽然LDAP也有自己的名为 slapd 的目录服务器。 LDAPDAP 之间的主要区别在于,轻量级版本旨在通过TCP进行操作。

虽然 DAP 使用全OSI模型。随着互联网,TCP / IP和以太网在当今网络中的出现,在特定传统计算模型之外使用DAP和原生X.500企业目录进行目录服务植入是很少见的。

与CentOS Linux的openldap一起使用的主要组件是 -

openldap LDAP 支持库
openldap-server LDAP服务器
openldap-clients LDAP客户端实用程序
openldap-devel OpenLDAP的开发库
compay-openldap OpenLDAP共享库
slapd OpenLDAP的目录服务器守护进程
slurpd 用于跨企业域的LDAP复制

- 为企业命名时,最好使用 .local TLD。 在分离在线和内部域基础架构时,使用 .net.com 可能会造成困难。想象一下,公司内部使用 acme.com 进行外部和内部操作的额外工作。因此,将Internet资源称为 acme.comacme.net 可能是明智的做法。然后,本地网络企业资源被描述为 acme.local 。这将需要配置DNS记录,但将以简单,口才和安全性付费。

在CentOS上安装Open LDAP

YUM 安装openldap,openldap-servers,openldap-clients和migrationstools 。

[root@localhost]# yum -y install openldap openldap-servers openldap-clients
migration tools
Loaded plugins: fastestmirror, langpacks
updates
| 3.4 kB  00:00:00
updates/7/x86_64/primary_db
| 2.2 MB  00:00:05
Determining fastest mirrors
(1/2): extras/7/x86_64/primary_db
| 121 kB  00:00:01
(2/2): base/7/x86_64/primary_db
| 5.6 MB  00:00:16
Package openldap-2.4.40-13.el7.x86_64 already installed and latest version
Resolving Dependencies
--> Running transaction check
---> Package openldap-clients.x86_64 0:2.4.40-13.el7 will be installed
---> Package openldap-servers.x86_64 0:2.4.40-13.el7 will be installed
--> Finished Dependency Resolution
base/7/x86_64/group_gz
| 155 kB  00:00:00

Dependencies Resolved

===============================================================================
===============================================================================
Package                                Arch
Version                             Repository                        Size
===============================================================================
===============================================================================
Installing:
openldap-clients                    x86_64
2.4.40-13.el7                    base                                 188 k
openldap-servers                    x86_64
2.4.40-13.el7                    base                                 2.1 M  

Transaction Summary
===============================================================================
===============================================================================
Install  2 Packages

Total download size: 2.3 M
Installed size: 5.3 M
Downloading packages:

Installed:
openldap-clients.x86_64 0:2.4.40-13.el7                                       
openldap-servers.x86_64 0:2.4.40-13.el7                                       
Complete!
[root@localhost]#
linux

现在,让我们开始启用 slapd 服务 -

[root@centos]# systemctl start slapd
[root@centos]# systemctl enable  slapd

在这一点上,让我们确保在 /etc/openldap 中有我们的 openldap 结构。

root@localhost]# ls /etc/openldap/
certs  check_password.conf  ldap.conf  schema  slapd.d
[root@localhost]#

然后确保我们的slapd服务正在运行。



root@centos]# netstat -antup | grep slapd
tcp        0      0 0.0.0.0:389            0.0.0.0:*              LISTEN      1641/slapd
tcp6       0      0 :::389                 :::*                   LISTEN      1641/slapd

[root@centos]#

接下来,我们来配置我们的 Open LDAP 安装。

确保我们的系统 ldap 用户已经创建。

[root@localhost]# id ldap
uid=55(ldap) gid=55(ldap) groups=55(ldap)
[root@localhost]#

生成我们的LDAP凭证。

[root@localhost]# slappasswd  
New password:  
Re-enter new password:  
{SSHA}20RSyjVv6S6r43DFPeJgASDLlLoSU8g.a10

[root@localhost]#

我们需要保存slappasswd的输出。

配置Open LDAP

步骤1 - 为域配置LDAP并添加管理用户。

首先,我们要建立我们的openLDAP环境。以下是用于 ldapmodify 命令的模板。

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=vmnet,dc=local
dn: olcDatabase = {2}hdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=ldapadm,dc=vmnet,dc=local
dn: olcDatabase = {2}hdb,cn=config
changetype: modify
replace: olcRootPW
olcRootPW: <output from slap

使用ldapmodify命令对/etc/openldap/slapd.d/cn=config/olcDatabase = {1} monitor.ldif进行更改。

[root@localhost]# ldapmodify -Y EXTERNAL -H ldapi:/// -f /home/rdc/Documents/db.ldif  
SASL/EXTERNAL authentication started
SASL username: gidNumber = 0+uidNumber = 0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "olcDatabase = {2}hdb,cn=config"
modifying entry "olcDatabase = {2}hdb,cn=config"
modifying entry "olcDatabase = {2}hdb,cn=config"

[root@localhost cn=config]#

我们来检查一下修改后的LDAP配置。

root@linux1 ~]# vi /etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif

[root@centos]# cat /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{2\}hdb.ldif
# AUTO-GENERATED FILE - DO NOT EDIT!! Use ldapmodify.
# CRC32 a163f14c
dn: olcDatabase = {2}hdb
objectClass: olcDatabaseConfig
objectClass: olcHdbConfig
olcDatabase: {2}hdb
olcDbDirectory: /var/lib/ldap
olcDbIndex: objectClass eq,pres
olcDbIndex: ou,cn,mail,surname,givenname eq,pres,sub
structuralObjectClass: olcHdbConfig
entryUUID: 1bd9aa2a-8516-1036-934b-f7eac1189139
creatorsName: cn=config
createTimestamp: 20170212022422Z
olcSuffix: dc=vmnet,dc=local
olcRootDN: cn=ldapadm,dc=vmnet,dc=local
olcRootPW:: e1NTSEF1bUVyb1VzZTRjc2dkYVdGaDY0T0k =
entryCSN: 20170215204423.726622Z#000000#000#000000
modifiersName: gidNumber = 0+uidNumber = 0,cn=peercred,cn=external,cn=auth
modifyTimestamp: 20170215204423Z

[root@centos]#

如您所见,我们的LDAP企业修改是成功的。

接下来,我们要为OpenLDAP创建一个自签名SSL证书。这将确保企业服务器和客户端之间的通信。

第2步 - 为OpenLDAP创建自签名证书。

我们将使用 openssl 创建一个自签名的ssl证书。转到下一章, 使用openssl创建LDAP SSL证书, 以获得与OpenLDAP保护通信的说明。然后,当配置SSL证书时,我们将完成我们的OpenLDAP企业配置。

步骤3 - 配置OpenLDAP以与证书一起使用安全通信。

使用以下信息在 vim 中创建一个 certs.ldif 文件- __

dn: cn=config
changetype: modify
replace: olcTLSCertificateFile
olcTLSCertificateFile: /etc/openldap/certs/yourGeneratedCertFile.pem

dn: cn=config
changetype: modify
replace: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/openldap/certs/youGeneratedKeyFile.pem

接下来,再次使用 ldapmodify 命令将更改合并到OpenLDAP配置中。

[root@centos rdc]# ldapmodify -Y EXTERNAL  -H ldapi:/// -f certs.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber = 0+uidNumber = 0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "cn=config"

[root@centos]#

最后,我们来测试我们的OpenLADP配置。

[root@centos]# slaptest -u
config file testing succeeded
[root@centos]#

第4步 - 设置slapd数据库。

cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG &&
chown ldap:ldap /var/lib/ldap/*

更新OpenLDAP架构。

添加余弦和nis LDAP模式。

ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif

最后,创建企业模式并将其添加到当前的OpenLDAP配置中。

以下是一个名为vmnet的域名。 local 使用名为 ldapadm 的LDAP管理员。

dn: dc=vmnet,dc=local
dc: vmnet
objectClass: top
objectClass: domain

dn: cn=ldapadm ,dc=vmnet,dc=local
objectClass: organizationalRole
cn: ldapadm
description: LDAP Manager

dn: ou = People,dc=vmnet,dc=local
objectClass: organizationalUnit
ou: People

dn: ou = Group,dc=vmnet,dc=local
objectClass: organizationalUnit
ou: Group

最后,将其导入当前的OpenLDAP模式。

[root@centos]# ldapadd -x -W -D "cn=ldapadm,dc=vmnet,dc=local" -f ./base.ldif
Enter LDAP Password:
adding new entry "dc=vmnet,dc=local"

adding new entry "cn=ldapadm ,dc=vmnet,dc=local"

adding new entry "ou=People,dc=vmnet,dc=local"

adding new entry "ou=Group,dc=vmnet,dc=local"

[root@centos]#

第5步 - 设置OpenLDAP Enterprise用户。

打开 vim 或你最喜欢的文本编辑器并复制下面的格式。这是为“vmnet.local”LDAP域中名为“entacct”的用户设置的。

dn: uid=entacct,ou=People,dc=vmnet,dc=local
objectClass: top
objectClass: account
objectClass: posixAccount
objectClass: shadowAccount
cn: entacct
uid: entacct
uidNumber: 9999
gidNumber: 100
homeDirectory: /home/enyacct
loginShell: /bin/bash
gecos: Enterprise User Account 001
userPassword: {crypt}x
shadowLastChange: 17058
shadowMin: 0
shadowMax: 99999
shadowWarning: 7

现在,将上述文件保存到OpenLdap架构中。

[root @ centos]#ldapadd -x -W -D“cn = ldapadm,dc = vmnet,dc = local”-f entuser.ldif
输入LDAP密码:
添加新条目“uid = entacct,ou = People,dc = vmnet,dc = local”

[根@的centos]

在用户可以访问LDAP Enterprise之前,我们需要分配一个密码,如下所示 -

ldappasswd -s password123 -W -D "cn=ldapadm,dc=entacct,dc=local" -x "uid=entacct
,ou=People,dc=vmnet,dc=local"

-s 指定用户的密码

-x 是应用更新密码的用户名

-D 是*可分辨名称“,以对LDAP模式进行身份验证。

最后,在登录到企业帐户之前,让我们来检查我们的 OpenLDAP 条目。

[root@centos rdc]# ldapsearch -x cn=entacct -b dc=vmnet,dc=local
# extended LDIF
#
# LDAPv3
# base <dc=vmnet,dc=local> with scope subtree
# filter: cn=entacct
# requesting: ALL
#
# entacct, People, vmnet.local
dn: uid=entacct,ou=People,dc=vmnet,dc=local
objectClass: top
objectClass: account
objectClass: posixAccount
objectClass: shadowAccount
cn: entacct
uid: entacct
uidNumber: 9999
gidNumber: 100
homeDirectory: /home/enyacct
loginShell: /bin/bash
gecos: Enterprise User Account 001
userPassword:: e2NyeXB0fXg=
shadowLastChange: 17058
shadowMin: 0
shadowMax: 99999
shadowWarning: 7

/etc/passwd/etc/groups 转换为OpenLDAP身份验证需要使用迁移工具。这些都包含在 migrationtools 包中。然后,安装到 /usr/share/migrationtools

[root@centos openldap-servers]# ls -l /usr/share/migrationtools/
total 128
-rwxr-xr-x. 1 root root  2652 Jun  9  2014 migrate_aliases.pl
-rwxr-xr-x. 1 root root  2950 Jun  9  2014 migrate_all_netinfo_offline.sh
-rwxr-xr-x. 1 root root  2946 Jun  9  2014 migrate_all_netinfo_online.sh
-rwxr-xr-x. 1 root root  3011 Jun  9  2014 migrate_all_nis_offline.sh
-rwxr-xr-x. 1 root root  3006 Jun  9  2014 migrate_all_nis_online.sh
-rwxr-xr-x. 1 root root  3164 Jun  9  2014 migrate_all_nisplus_offline.sh
-rwxr-xr-x. 1 root root  3146 Jun  9  2014 migrate_all_nisplus_online.sh
-rwxr-xr-x. 1 root root  5267 Jun  9  2014 migrate_all_offline.sh
-rwxr-xr-x. 1 root root  7468 Jun  9  2014 migrate_all_online.sh
-rwxr-xr-x. 1 root root  3278 Jun  9  2014 migrate_automount.pl
-rwxr-xr-x. 1 root root  2608 Jun  9  2014 migrate_base.pl

第6步 - 最后,我们需要允许访问slapd服务,以便它可以处理请求。

firewall-cmd --permanent --add-service=ldap
firewall-cmd --reload

配置LDAP客户端访问

配置LDAP客户机访问需要在客户机上安装以下软件包:openldap,open-ldap clients和nss_ldap。

为客户端系统配置LDAP身份验证比较容易一些。

第1步 - 安装依赖包 -

# yum install -y openldap-clients nss-pam-ldapd

步骤2 - 使用 authconfig 配置LDAP身份 验证

authconfig --enableldap --enableldapauth --ldapserver=10.25.0.1 --
ldapbasedn="dc=vmnet,dc=local" --enablemkhomedir --update

第3步 - 重新启动nslcd服务。

systemctl restart  nslcd