CentOS上OpenLDAP Server使用cn=config方式配置

LDAPworm

翻譯自How to Configure OpenLDAP server in Red Hat Enterprise Linux 7 using cn=config method ?

環(huán)境

  • CentOS 7
  • openldap-2.4

問題

  • 使用slapd工具在CentOS上安裝與配置OpenLDAP Server
  • 使用olc方式如何配置OpenLDAP Server

操作

  1. 安裝openldap包
yum install -y openldap openldap-clients openldap-servers

LDAP默認的配置目錄是/etc/openldap/slapd.d

[root@rhel7 ~]# cd /etc/openldap/slapd.d/
[root@rhel7 slapd.d]# ls -l
drwxr-x---. 4 ldap ldap 4096 Aug  3 22:49 cn=config
-rw-------. 1 ldap ldap  589 Aug  2 23:39 cn=config.ldif
[root@rhel7 slapd.d]# cd cn\=config
[root@rhel7 cn=config]# ls -l
drwxr-x---. 2 ldap ldap 4096 Aug  3 22:11 cn=schema
-rw-------. 1 ldap ldap  378 Aug  2 22:21 cn=schema.ldif
-rw-------. 1 ldap ldap  552 Aug  3 20:42 olcDatabase={0}config.ldif
-rw-------. 1 ldap ldap  443 Aug  2 22:21 olcDatabase={-1}frontend.ldif
-rw-------. 1 ldap ldap  562 Aug  2 22:21 olcDatabase={1}monitor.ldif
drwxr-x---. 2 ldap ldap   65 Aug  3 22:53 olcDatabase={2}hdb.ldif
  1. 設置olcSuffix,設置domain。只需要更新下文件olcDatabase={2}hdb.ldif中的olcSuffix
[root@rhel7 cn=config]# vi /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{2\}hdb.ldif
olcSuffix: dc=example,dc=com
  1. 推薦先創(chuàng)建一個專用的具有所有權限的賬號，用它來更新LDAP的數據庫。需要更新文件olcDatabase={2}hdb.ldif中的olcRootDN和olcRootPW
[root@rhel7 cn=config]# vi /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{2\}hdb.ldif
olcRootDN: cn=Manager,dc=example,dc=com
olcRootPW: redhat
  1. 同時設置config數據庫的管理員賬號
    這里設置的密碼很簡單，請在生產環(huán)境下將密碼設置復雜些 
[root@rhel7 cn=config]# vi olcDatabase\=\{0\}config.ldif
olcRootDN: cn=config
olcRootPW: secret
  1. 使用slaptest命令去驗證配置
[root@rhel7 cn=config]# slaptest -u
config file testing succeeded

如果報ldif_read_file: checksum error這樣的錯誤，是因為計算文件的CRC32碼來自動校驗（文件中前兩行中帶有校驗碼），需要更新校驗碼

  • 刪除掉報錯的文件的前兩行 
    # AUTO-GENERATED FILE - DO NOT EDIT!! Use ldapmodify.
# CRC32 3e515b74
  • 安裝crc32工具（perl-Archive-Zip） 
    [root@rhel7 cn=config]# yum install perl-Archive-Zip -y
  • 計算新文件的CRC32碼 
    [root@rhel7 cn=config]# crc32 <(cat olcDatabase\=\{2\}hdb.ldif)
509f92c7
  • 將計算的CRC32碼更新到文件中，添加到文件的前兩行 
    # AUTO-GENERATED FILE - DO NOT EDIT!! Use ldapmodify.
# CRC32 509f92c7
  1. 如果配置驗證成功，啟動openldap server
$ systemctl start slapd
  1. 創(chuàng)建ldap server的基礎結構
$ cat base.ldif
dn: dc=example,dc=com
objectClass: dcObject
objectClass: organization
o: example.com

dn: ou=users,dc=example,dc=com
objectClass: organizationalUnit
objectClass: top
ou: users

dn: ou=groups,dc=example,dc=com
objectClass: organizationalUnit
objectClass: top
ou: groups
  1. 使用ldapadd命令向LDAP目錄導入基礎結構
$ ldapadd -x -D "cn=Manager,dc=example,dc=com" -w redhat -f base.ldif
adding new entry "dc=example,dc=com"
adding new entry "ou=users,dc=example,dc=com"
adding new entry "ou=groups,dc=example,dc=com"
  1. 使用ldapsearch命令驗證基礎結構是否成功導入
$ ldapsearch -x -D 'cn=Manager,dc=example,dc=com' -b dc=example,dc=com -w redhat
  1. 在向ldap結構中添加users和groups之前，先使用ldapadd導入schema，以免出現“object class not defined"的報錯
$ ldapadd -Y EXTERNAL -H ldapi:// -f /etc/openldap/schema/cosine.ldif 
$ ldapadd -Y EXTERNAL -H ldapi:// -f /etc/openldap/schema/nis.ldif 
$ ldapadd -Y EXTERNAL -H ldapi:// -f /etc/openldap/schema/inetorgperson.ldif
  1. 向ldap結構中添加users和groups
  • Users
    • 使用slappasswd命令獲取需要的密碼 
      # slappasswd -s test
{SSHA}5rMM/3f8Ki13IyarGTtwzieoTu7KMgwc
    • 使用ldif文件和上面的hashed密碼創(chuàng)建users.ldif 
      $ cat users.ldif
dn: uid=testuser,ou=users,dc=example,dc=com
uid: testuser
cn: testuser
objectClass: shadowAccount
objectClass: top
objectClass: person
objectClass: inetOrgPerson
objectClass: posixAccount
userPassword: {SSHA}5rMM/3f8Ki13IyarGTtwzieoTu7KMgwc
shadowLastChange: 17016
shadowMin: 0
shadowMax: 99999
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 1000
gidNumber: 1000
homeDirectory: /home/testuser
sn: testuser
mail: testuser@example.com

dn: uid=testuser1,ou=users,dc=example,dc=com
uid: testuser1
cn: testuser1
objectClass: shadowAccount
objectClass: top
objectClass: person
objectClass: inetOrgPerson
objectClass: posixAccount
userPassword: {SSHA}5rMM/3f8Ki13IyarGTtwzieoTu7KMgwc
shadowLastChange: 17016
shadowMin: 0
shadowMax: 99999
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 1001
gidNumber: 1001
homeDirectory: /home/testuser1
sn: testuser1
mail: testuser1@example.com
  • Groups
    創(chuàng)建groups.ldif 
    $ cat groups.ldif
dn: cn=testuser,ou=groups,dc=example,dc=com
objectClass: posixGroup
objectClass: top
cn: testuser
userPassword: {crypt}x
gidNumber: 1000

dn: cn=testuser1,ou=groups,dc=example,dc=com
objectClass: posixGroup
objectClass: top
cn: testuser1
userPassword: {crypt}x
gidNumber: 1001
  1. 使用ldapadd命令添加users和groups
$ ldapadd -x -D cn=Manager,dc=example,dc=com -f users.ldif -w redhat
$ ldapadd -x -D cn=Manager,dc=example,dc=com -f groups.ldif -w redhat
  1. 使用ldapsearch命令來驗證users和groups創(chuàng)建是否成功
$ ldapsearch -x -D cn=Manager,dc=example,dc=com -b dc=example,dc=com -w redhat

OpenLDAP的操作

  1. 添加數據
 $ cat user3.ldif
dn: uid=testuser3,ou=users,dc=example,dc=com
uid: testuser3
cn: testuser3
objectClass: shadowAccount
objectClass: top
objectClass: person
objectClass: inetOrgPerson
objectClass: posixAccount
userPassword: {SSHA}5rMM/3f8Ki13IyarGTtwzieoTu7KMgwc
shadowLastChange: 17016
shadowMin: 0
shadowMax: 99999
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 1000
gidNumber: 1000
homeDirectory: /home/testuser
sn: testuser3
mail: testuser@example.com
$ ldapadd -x -D 'cn=Manager,dc=example,dc=com' -w redhat -f user3.ldif
  1. 查詢數據
$ ldapsearch -x -b 'dc=example,dc=com'
$ ldapsearch -x -b 'dc=example,dc=com' 'sn=testuser3'
  1. 修改數據
# 方法一：交互式
$ ldapmodify -x -D 'cn=Manager,dc=example,dc=com' -w redhat
dn: uid=testuser3,ou=users,dc=example,dc=com
changetype: modify
replace: sn
sn: Test User 3
-
add: description
description: add attribute

# 方法二：配置文件式
$ cat modify.ldif
dn: uid=testuser3,ou=users,dc=example,dc=com
changetype: modify
replace: sn
sn: Test User 3
-
delete: description
$ ldapmodify -x -D 'cn=Manager,dc=example,dc=com' -w redhat -f modify.ldif
  1. 刪除數據
$ ldapdelete -x -D 'cn=Manager,dc=example,dc=com' -w redhat uid=testuser3,ou=users,dc=example,dc=com
  1. 數據導出
# 方法一：用查詢導出
$ ldapsearch -x -b 'dc=example,dc=com' > export.ldif
# 方法二：導出命令
$ slapcat -l export.ldif

打開OpenLDAP日志

  1. 更新日志級別
$ cat loglevel.ldif 
dn: cn=config
changetype: modify
replace: olcLogLevel
olcLogLevel: stats

$ ldapmodify -Y EXTERNAL -H ldapi:/// -f loglevel.ldif
$ systemctl restart slapd
  1. 修改rsyslog配置文件
$ touch /var/log/slapd.log
$ echo local4.* /var/log/slapd.log >> /etc/rsyslog.conf
$ systemctl restart rsyslog
  1. 查看openldap日志
$ tail -f /var/log/slapd.log

容器化部署

$ docker run --name ldap_core -p 389:389 -p 636:636 --env LDAP_ORGANISATION="example.com" --env LDAP_DOMAIN="example.com" --env LDAP_ADMIN_PASSWORD="redhat" --detach osixia/openldap
$ docker run --name ldap_web -p 80:80 -p 443:443 --link ldap_core:ldap_core --env PHPLDAPADMIN_LDAP_HOSTS=ldap_core --detach osixia/phpldapadmin

同時還有Openshift的openldap容器openshift/openldap-2441-centos7

工具

  1. 瀏覽ldap目錄列表的工具ldapbrowser
最后編輯于 ：
?著作權歸作者所有,轉載或內容合作請聯(lián)系作者
【社區(qū)內容提示】社區(qū)部分內容疑似由AI輔助生成，瀏覽時請結合常識與多方信息審慎甄別。
平臺聲明：文章內容（如有圖片或視頻亦包括在內）由作者上傳并發(fā)布，文章內容僅代表作者本人觀點，簡書系信息發(fā)布平臺，僅提供信息存儲服務。

友情鏈接更多精彩內容