wangbin
  • wangbin
  • 2020-08-15
  • IT

OpenLDAP(1):搭建OpenLDAP

一. 简介

搭了各种服务，每个服务都要创建一遍账号，改密码也是一样要挨个改一遍，有些麻烦。

那有没有个工具，我只创建一次账号，修改一次密码，所有搭建服务的账号密码也跟着改呢？

答案是有，这就是OpenLDAP。

二. OpenLDAP

OpenLDAP是轻型目录访问协议（Lightweight Directory Access Protocol， LDAP）的自由和开源的实现，可以这样讲，市面上只要你能够想像得到的所有工具软件，全部都支持LDAP协议。

三. 安装

install_openldap.sh

yum install -y openldap openldap-*
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
systemctl start slapd
systemctl enable slapd

这样就安装完成了

默认ldap端口389，ldaps是636端口

所以可以使用下面命令检查安装是否成功

netstat -antup| grep -E "389|636"

命令返回389、636端口服务信息，则安装完成

三. 配置

OpenLDAP的配置非常不容易理解，这儿我还是主要介绍安装步骤吧

https://blog.csdn.net/weixin_41004350/article/details/89521170

主要看的这个来的

创建管理员密码

slappasswd -s 123456

密码: {SSHA}6ev+kE01VpB/SwCpheXbIzKSNTpUHUn9

记住这个密码，后面要用这个

/etc/openldap/slapd.d

配置文件路径/etc/openldap/slapd.d，下面目前有两个

  1. cn=config 文件夹
  2. cn=config.ldif

cn=config文件夹下

  1. cn=schema 文件夹
  2. olcDatabase={0}config.ldif
  3. olcDatabase={1}monitor.ldif
  4. cn=schema.ldif
  5. olcDatabase={-1}frontend.ldif
  6. olcDatabase={2}hdb.ldif

我们新增的配置都要通过ldapadd、ldapmodify、ldapdelete这些ldap专门的工具来操作，不能手动修改这个目录下的文件

changepwd.ldif

首先我们修改cn=config/olcDatabase={0}config文件

dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}6ev+kE01VpB/SwCpheXbIzKSNTpUHUn9

# 这里解释一下这个文件的内容：
# 第一行执行配置文件，这里就表示指定为 cn=config/olcDatabase={0}config 文件。你到/etc/openldap/slapd.d/目录下就能找到此文件
# 第二行 changetype 指定类型为修改
# 第三行 add 表示添加 olcRootPW 配置项
# 第四行指定 olcRootPW 配置项的值
# 在执行下面的命令前，你可以先查看原本的olcDatabase={0}config文件，里面是没有olcRootPW这个项的，执行命令后，你再看就会新增了olcRootPW项，而且内容是我们文件中指定的值加密后的字符串

执行命令

ldapadd -Y EXTERNAL -H ldapi:/// -f changepwd.ldif

提示
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "olcDatabase={0}config,cn=config"

导入基本Schema

在LDAP中,Schema用来指定一个目录中所包含的对象（objects）的类型（objectClass）,以及每一个类型（objectClass）中必须提供的属性（Atrribute）和可选的属性。可将Schema理解为面向对象程序设计中的类，通过类定义一个具体的对象。

暂时先不太过计较这些，我们执行下面命令就好

ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/collective.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/corba.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/duaconf.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/dyngroup.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/java.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/misc.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/openldap.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/pmi.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/ppolicy.ldif

changedomain.ldif

changedomain.ldif

dn: olcDatabase={1}monitor,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=admin,dc=wangbin,dc=io" read by * none

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=wangbin,dc=io

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=admin,dc=wangbin,dc=io

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootPW
olcRootPW: {SSHA}6ev+kE01VpB/SwCpheXbIzKSNTpUHUn9

dn: olcDatabase={2}hdb,cn=config
changetype: modify
add: olcAccess
olcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=admin,dc=wangbin,dc=io" write by anonymous auth by self write by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to * by dn="cn=admin,dc=wangbin,dc=io" write by * read

先不要想太多，这儿只要修改其中2点为自己的

  1. dc=wangbin,dc=io，改为你自己的例如dc=xxx,cd=com
  2. olcRootPW，改为你们的密码

执行命令

ldapmodify -Y EXTERNAL -H ldapi:/// -f changedomain.ldif

启用memberof功能

add-memberof.ldif

dn: cn=module{0},cn=config
cn: modulle{0}
objectClass: olcModuleList
objectclass: top
olcModuleload: memberof.la
olcModulePath: /usr/lib64/openldap

dn: olcOverlay={0}memberof,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcMemberOf
objectClass: olcOverlayConfig
objectClass: top
olcOverlay: memberof
olcMemberOfDangling: ignore
olcMemberOfRefInt: TRUE
olcMemberOfGroupOC: groupOfUniqueNames
olcMemberOfMemberAD: uniqueMember
olcMemberOfMemberOfAD: memberOf

refint1.ldif

dn: cn=module{0},cn=config
add: olcmoduleload
olcmoduleload: refint

refint2.ldif

dn: olcOverlay=refint,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcOverlayConfig
objectClass: olcRefintConfig
objectClass: top
olcOverlay: refint
olcRefintAttribute: memberof uniqueMember  manager owner

不多说，创建上面三个文件，然后执行下面命令就好

# 顺序不能错
ldapadd -Q -Y EXTERNAL -H ldapi:/// -f add-memberof.ldif
ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint1.ldif
ldapadd -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif

至此配置完成

四. 操作数据库

现在开始给数据库增加数据了

可以理解OpenLDAP的数据库为文件夹，一层一层的，到最后的文件，文件夹和文件都有自己的属性

base.ldif

dn: dc=wangbin,dc=io
objectClass: top
objectClass: dcObject
objectClass: organization
o: wangbin organization
dc: wangbin

dn: cn=admin,dc=wangbin,dc=io
objectClass: organizationalRole
cn: admin

dn: ou=People,dc=wangbin,dc=io
objectClass: organizationalUnit
ou: People

dn: ou=Group,dc=wangbin,dc=io
objectClass: organizationalRole
cn: Group

同样不需要多说，你需要操作的是

  1. 修改dc=wangbin,dc=io为你的dc=xxx,dc=com
  2. o: wangbin organization为你的xxx organization
  3. dc: wangbin修改为你的dc: xxx

执行命令

ldapadd -x -D cn=admin,dc=wangbin,dc=io -W -f base.ldif

提示输入密码:123456

这样就创建了这几个文件夹

  1. io/wangbin/admin
  2. io/wangbin/People
  3. io/wangbin/Group

五. 总结

OpenLDAP的配置很复杂，暂时可以先不用管那么多，按照上面来先用起来再说，后面有需要再慢慢理解

参考：

  1. https://blog.csdn.net/weixin_41004350/article/details/89521170