烂泥：OpenLDAP安装与配置
- 一、OpenLDAP简介
- 二、初始化环境
- 三、安装OpenLDAP
- 四、配置OpenLDAP
- 4.1 配置OpenLDAP管理员密码
- 4.2 修改olcDatabase={2}hdb.ldif文件
- 4.3 修改olcDatabase={1}monitor.ldif文件
- 4.4 配置OpenLDAP数据库
- 4.5 导入基本Schema
- 4.6 修改migrate_common.ph文件
- 五、添加用户及用户组
- 六、导入用户及用户组到OpenLDAP数据库
- 七、查询OpenLDAP的相关信息
- 八、把OpenLDAP用户加入到用户组
- 九、开启OpenLDAP日志访问功能
- 十、修改OpenLDAP默认监听端口
- 十一、使用ldapadmin工具查看
本文由ilanniweb微信公众号提供友情赞助，首发于烂泥行天下
jenkins技术分享QQ群：571981257
目前公司内部有多个系统，而每个系统都有自己的一套用户认证。每次新进或离职一位同事，我们这边OPS运维组的小伙伴们，都要在每个系统上去添加用户，搞得小伙伴们很不爽。
为了让OPS运维组的小伙伴们，从这个繁琐的工作中解放出来，同时也为了统一管理所有系统的用户认证，我们决定启用ldap。这样每个系统的用户认证全部通过ldap来进行，而每个系统的权限就使用各自系统的权限管理即可。
一、OpenLDAP简介
在安装OpenLDAP之前，我们首先来介绍下LDAP。
LDAP是一款轻量级目录访问协议（Lightweight Directory Access Protocol，简称LDAP），属于开源集中账号管理架构的实现，且支持众多系统版本，被广大互联网公司所采用。
LDAP提供并实现目录服务的信息服务，目录服务是一种特殊的数据库系统，对于数据的读取、浏览、搜索有很好的效果。目录服务一般用来包含基于属性的描述性信息并支持精细复杂的过滤功能，但OpenLDAP目录服务不支持通用数据库的大量更新操作所需要的复杂的事务管理或回滚策略等。
LDAP具有两个标准，分别是X.500和LDAP。OpenLDAP是基于X.500标准的，而且去除了X.500复杂的功能并且可以根据自我需求定制额外扩展功能，但与X.500也有不同之处，例如OpenLDAP支持TCP/IP协议等，目前TCP/IP是Internet上访问互联网的协议。
OpenLDAP可以直接运行在更简单和更通用的TCP/IP或其他可靠的传输协议层上，避免了在OSI会话层和表示层的开销，使连接的建立和包的处理更简单、更快，对于互联网和企业网应用更理想。
OpenLDAP目录中的信息是以树状的层次结构来存储数据（这很类同于DNS），最顶层即根部称作“基准DN”，形如“dc=mydomain,dc=org”或者“o=mydomain.org”，前一种方式更为灵活也是Windows AD中使用的方式。在根目录的下面有很多的文件和目录，为了把这些大量的数据从逻辑上分开，OpenLDAP像其它的目录服务协议一样使用OU（Organization Unit，组织单元），可以用来表示公司内部机构，如部门等，也可以用来表示设备、人员等。同时OU还可以有子OU，用来表示更为细致的分类。
OpenLDAP中每一条记录都有一个唯一的区别于其它记录的名字DN（Distinguished Name）,其处在“叶子”位置的部分称作RDN(用户条目的相对标识名)。如dn:cn=tom,ou=animals,dc=ilanni,dc=com中cn即为RDN，而RDN在一个OU中必须是唯一的。
OpenLDAP默认以Berkeley DB作为后端数据库，BerkeleyDB数据库主要以散列的数据类型进行数据存储，如以键值对的方式进行存储。
BerkeleyDB是一类特殊的面向查询进行优化、面向读取进行优化的数据库，主要用于搜索、浏览、更新查询操作，一般对于一次写入数据、多次查询和搜索有很好的效果。BerkeleyDB不支持事务型数据库(MySQL、MariDB、Oracle等)所支持的高并发的吞吐量以及复杂的事务操作。
PS：本次实验是基于centos7，OpenLDAP使用2.4.44版本。
二、初始化环境
初始化环境，如下：
ntpdate -u ntp.api.bz && sed -i ‘/SELINUX/s/enforcing/disabled/’ /etc/selinux/config && setenforce 0&& systemctl disable firewalld.service && systemctl stop firewalld.service && shutdown -r now
环境初始化完毕后，我们就可以安装OpenLDAP。
三、安装OpenLDAP
使用如下命令安装OpenLDAP：
yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel migrationtools
查看OpenLDAP版本，使用如下命令：
slapd -VV
OpenLDAP安装完毕后，接下来我们开始配置OpenLDAP。
四、配置OpenLDAP
OpenLDAP配置比较复杂牵涉到的内容比较多，接下来我们一步一步对其相关的配置进行介绍。
注意:从OpenLDAP2.4.23版本开始所有配置数据都保存在/etc/openldap/slapd.d/中，建议不再使用slapd.conf作为配置文件。
4.1 配置OpenLDAP管理员密码
设置OpenLDAP的管理员密码:
slappasswd -s 123456
上述加密后的字段保存下，等会我们在配置文件中会使用到。
4.2 修改olcDatabase={2}hdb.ldif文件
修改olcDatabase={2}hdb.ldif文件,对于该文件增加一行
olcRootPW: {SSHA}dXgO/Ipy5SQiKFZ0u7m79Xo7uzKIr038，然后修改域信息：
olcSuffix: dc=ilanni,dc=com
olcRootDN: cn=root,dc=ilanni,dc=com
注意：其中cn=root中的root表示OpenLDAP管理员的用户名，而olcRootPW表示OpenLDAP管理员的密码。
实际修改如下：
vim /etc/openldap/slapd.d/cn=config/olcDatabase\=\{2\}hdb.ldif
olcSuffix: dc=ilanni,dc=com
olcRootDN: cn=root,dc=ilanni,dc=com
olcRootPW: {SSHA}dXgO/Ipy5SQiKFZ0u7m79Xo7uzKIr038
4.3 修改olcDatabase={1}monitor.ldif文件
修改olcDatabase={1}monitor.ldif文件，如下：
vim /etc/openldap/slapd.d/cn=config/olcDatabase\=\{1\}monitor.ldif
olcAccess: {0}to * by dn.base=”gidNumber=0+uidNumber=0,cn=peercred,cn=extern
al,cn=auth” read by dn.base=”cn=root,dc=ilanni,dc=com” read by * none
注意：该修改中的dn.base是修改OpenLDAP的管理员的相关信息的。
验证OpenLDAP的基本配置，使用如下命令：
slaptest -u
通过上图，我们可以很明显的看出OpenLDAP的基本配置是没有问题。
启动OpenLDAP服务，使用如下命令：
systemctl enable slapd
systemctl start slapd
systemctl status slapd
OpenLDAP默认监听的端口是389，下面我们来看下是不是389端口，如下：
netstat -antup | grep 389
通过上图，我们可以很明显的看出OpenLDAP确实是监听的是389端口。
4.4 配置OpenLDAP数据库
OpenLDAP默认使用的数据库是BerkeleyDB，现在来开始配置OpenLDAP数据库，使用如下命令：
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
chown ldap:ldap -R /var/lib/ldap
chmod 700 -R /var/lib/ldap
ll /var/lib/ldap/
注意：/var/lib/ldap/就是BerkeleyDB数据库默认存储的路径。
4.5 导入基本Schema
导入基本Schema，使用如下命令：
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
4.6 修改migrate_common.ph文件
migrate_common.ph文件主要是用于生成ldif文件使用，修改migrate_common.ph文件，如下：
vim /usr/share/migrationtools/migrate_common.ph +71
$DEFAULT_MAIL_DOMAIN = “ilanni.com”;
$DEFAULT_BASE = “dc=ilanni,dc=com”;
$EXTENDED_SCHEMA = 1;
到此OpenLDAP的配置就已经全部完毕，下面我们来开始添加用户到OpenLDAP中。
五、添加用户及用户组
默认情况下OpenLDAP是没有普通用户的，但是有一个管理员用户。管理用户就是前面我们刚刚配置的root。
现在我们把系统中的用户，添加到OpenLDAP中。为了进行区分，我们现在新加两个用户ldapuser1和ldapuser2，和两个用户组ldapgroup1和ldapgroup2，如下：
添加用户组，使用如下命令：
groupadd ldapgroup1
groupadd ldapgroup2
添加用户并设置密码，使用如下命令：
useradd -g ldapgroup1 ldapuser1
useradd -g ldapgroup2 ldapuser2
echo ‘123456’ | passwd –stdin ldapuser1
echo ‘123456’ | passwd –stdin ldapuser2
把刚刚添加的用户和用户组提取出来，这包括该用户的密码和其他相关属性，如下：
grep “:10[0-9][0-9]” /etc/passwd > /root/users
grep “:10[0-9][0-9]” /etc/group > /root/groups
cat users
cat groups
根据上述生成的用户和用户组属性，使用migrate_passwd.pl文件生成要添加用户和用户组的ldif，如下：
/usr/share/migrationtools/migrate_passwd.pl /root/users > /root/users.ldif
/usr/share/migrationtools/migrate_group.pl /root/groups > /root/groups.ldif
cat users.ldif
cat groups.ldif
注意：后续如果要新加用户到OpenLDAP中的话，我们可以直接修改users.ldif文件即可。
六、导入用户及用户组到OpenLDAP数据库
配置openldap基础的数据库，如下：
cat > /root/base.ldif << EOF
dn: dc=ilanni,dc=com
o: ilanni com
dc: ilanni
objectClass: top
objectClass: dcObject
objectclass: organization
dn: cn=root,dc=ilanni,dc=com
cn: root
objectClass: organizationalRole
description: Directory Manager
dn: ou=People,dc=ilanni,dc=com
ou: People
objectClass: top
objectClass: organizationalUnit
dn: ou=Group,dc=ilanni,dc=com
ou: Group
objectClass: top
objectClass: organizationalUnit
EOF
导入基础数据库，使用如下命令：
ldapadd -x -w “123456” -D “cn=root,dc=ilanni,dc=com” -f /root/base.ldif
导入用户到数据库，使用如下命令：
ldapadd -x -w “123456” -D “cn=root,dc=ilanni,dc=com” -f /root/users.ldif
导入用户组到数据库，使用如下命令：
ldapadd -x -w “123456” -D “cn=root,dc=ilanni,dc=com” -f /root/groups.ldif
查看BerkeleyDB数据库文件，使用如下命令：
ll /var/lib/ldap/
可以很明显的看到此时BerkeleyDB数据库文件中多了cn.bdb、sn.bdb、ou.bdb等数据库文件。
七、查询OpenLDAP的相关信息
用户和用户组全部导入完毕后，我们就可以查询OpenLDAP的相关信息。
查询OpenLDAP全部信息，使用如下命令：
ldapsearch -x -b “dc=ilanni,dc=com” -H ldap://127.0.0.1
查询添加的OpenLDAP用户信息，使用如下命令：
ldapsearch -LLL -x -D ‘cn=root,dc=ilanni,dc=com’ -w “123456” -b ‘dc=ilanni,dc=com’ ‘uid=ldapuser1’
查询添加的OpenLDAP用户组信息，使用如下命令：
ldapsearch -LLL -x -D ‘cn=root,dc=ilanni,dc=com’ -w “123456” -b ‘dc=ilanni,dc=com’ ‘cn=ldapgroup1’
注意：上述截图，我们可以很明显的看到ldapgroup1用户组中，目前没有任何成员。
八、把OpenLDAP用户加入到用户组
尽管我们已经把用户和用户组信息，导入到OpenLDAP数据库中了。但实际上目前OpenLDAP用户和用户组之间是没有任何关联的。
如果我们要把OpenLDAP数据库中的用户和用户组关联起来的话，我们还需要做另外单独的配置。
现在我们要把ldapuser1用户加入到ldapgroup1用户组，需要新建添加用户到用户组的ldif文件，如下：
cat > add_user_to_groups.ldif << “EOF”
dn: cn=ldapgroup1,ou=Group,dc=ilanni,dc=com
changetype: modify
add: memberuid
memberuid: ldapuser1
EOF
执行如下命令：
ldapadd -x -w “123456” -D “cn=root,dc=ilanni,dc=com” -f /root/add_user_to_groups.ldif
查询添加的OpenLDAP用户组信息，如下：
ldapsearch -LLL -x -D ‘cn=root,dc=ilanni,dc=com’ -w “123456” -b ‘dc=ilanni,dc=com’ ‘cn=ldapgroup1’
通过上图，我们可以很明显的看出ldapuser1用户已经加入到ldapgroup1用户组了。
九、开启OpenLDAP日志访问功能
默认情况下OpenLDAP是没有启用日志记录功能的，但是在实际使用过程中，我们为了定位问题需要使用到OpenLDAP日志。
新建日志配置ldif文件，如下：
cat > /root/loglevel.ldif << “EOF”
dn: cn=config
changetype: modify
replace: olcLogLevel
olcLogLevel: stats
EOF
导入到OpenLDAP中，并重启OpenLDAP服务，如下：
ldapmodify -Y EXTERNAL -H ldapi:/// -f /root/loglevel.ldif
systemctl restart slapd
修改rsyslog配置文件，并重启rsyslog服务，如下：
cat >> /etc/rsyslog.conf << “EOF”
local4.* /var/log/slapd.log
EOF
systemctl restart rsyslog
查看OpenLDAP日志，如下：
tail -f /var/log/slapd.log
十、修改OpenLDAP默认监听端口
在前面的文章中，我们已经介绍了OpenLDAP默认监听的端口是389.如果我们现在要修改OpenLDAP监听端口的话，我们可以修改/etc/sysconfig/slapd文件。例如我们现在把OpenLDAP监听的端口修改为4567，可以进行如下操作：
vim /etc/sysconfig/slapd
SLAPD_URLS=”ldapi://0.0.0.0:4567/ ldap://0.0.0.0:4567/”
重启OpenLDAP服务，如下：
systemctl restart slapd.service
netstat -tunlp
通过上图，我们可以很明显的看出OpenLDAP的默认监听端口已经被修改为4567。
十一、使用ldapadmin工具查看
在大多数情况下，我们对OpenLDAP的操作都是在Windows下进行的。而在Windows下连接OpenLDAP的客户端工具，我使用最多的是ldapadmin。
ldapadmin的使用很简单，下载我就不介绍了，可以自行google(不baidu)。
下面我这边截图一张，简单介绍下，如下：
其中host填写OpenLDAP的主机地址，port填写OpenLDAP的监听端口，base填写的OpenLDAP的DN。
在Account部分中的Username填写的是管理员，password填写的是管理员的密码。
注意：Username部分不像，我们平时使用的系统一样填写一个root，在此我们要填写完整的RDN。
到此有关OpenLDAP的安装与配置就已经全部介绍完毕。下一篇文章我们会介绍，如何配置web页面让让OpenLDAP用户自助修改其密码。
烂泥：OpenLDAP安装与配置相关推荐
- OpenLDAP安装、配置和管理笔记
目录是一个为查询.浏览和搜索而优化的专业分布式数据库,它成树状结构组织数据,就好象Linux/Unix系统中的文件 目录一样.目录数据库和关系数据库不同,它有优异的读性能,但写性能差,并且没有事务处理 ...
- 烂泥：虚拟化KVM安装与配置
本文首发于烂泥行天下. 最近打算把公司的服务器全部做成虚拟化,一是跟有效的利用了服务器,二也是对自己是一个学习的机会. KVM的安装与配置步骤如下: 1. 查看是否支持虚拟化 2. 安装kvm及其所需 ...
- 烂泥：vcenter5.5无AD下的安装与配置
本文由ilanniweb提供友情赞助,首发于烂泥行天下 想要获得更多的文章,可以关注我的微信ilanniweb. 公司现在的虚拟化使用的基本上都是vsphere,目前大约有7台物理机,为了更好的管理虚 ...
- 烂泥：学习Nagios（三）： NRPE安装及配置
本文首发于烂泥行天下 在前两篇文章中,我们介绍了有关nagios的安装与配置,文章为<烂泥:学习Nagios(一):Nagios安装>.<烂泥:学习Nagios(二):Nagios配 ...
- openLDAP的编译安装以及配置
一．环境 CentOS-7-x86_64-1511 二．软件 openldap-2.4.44.tgz db-5.1.29.tar.gz 三．准备 1. 关闭selinux: 2. 打开防火墙tcp 3 ...
- CentOS 6.9下OpenLDAP 的安装与配置
LDAP 基础教程 LDAP 全称轻量级目录访问协议(英文:Lightweight Directory Access Protocol),是一个运行在 TCP/IP 上的目录访问协议.LDAP实现提供 ...
- OpenLDAP的安装和配置(含TLS和复制）
2019独角兽企业重金招聘Python工程师标准>>> ##环境## 操作系统: CentOS 6.4 x86_64 OpenLDAP: 2.4.x ##安装## 从yum源安装 & ...
- 烂泥：Postfix邮件服务器搭建之软件安装与配置
本文由ilanniweb提供友情赞助,首发于烂泥行天下 想要获得更多的文章,可以关注我的微信ilanniweb Postfix邮件服务器的搭建需要使用到几个软件,分别是cyrus-sasl.postf ...
- Linux 安装并配置 OpenLDAP 新编（1）快速入门指南
Linux 安装并配置 OpenLDAP 新编(1)快速入门指南 快速入门,仅用于学习和本地开发,不要直接在生产环境中实施! 获取软件 官方的快速入门指南中,2.4-2.6的三个版本都只讲解了源代码编 ...
最新文章
- 关于c++深拷贝与浅拷贝
- java链式结构_(Java)单链表Java语言链式结构实现(数据结构四)
- 从ipa文件中导出图片
- Python之struct介绍及详解（与C/C++通信结构体的交互）
- Vuejs 事件监听
- 帆软关于排名公式、分组排名问题开窗函数
- Socket编程---聊天室终极版-私聊群聊
- 神经网络求解二阶常微分方程
- jQuery 键盘快捷键
- 【简答题】JavaWeb必问10道简答题
- java date the type is ambiguous_一个java ambiguous method 的问题
- 小猫钓鱼（纸牌游戏）-c语言
- Android开发自定义短视频系统源码全局悬浮按钮
- 倍福PLC--C#实现ADS通信超时重传设定
- Android 蒲公英APP更新
- 基于RSA算法实现软件注册码原理初讨
- 《C++面试宝典》V1.0 冲刺大厂~持续更新(12)
- MathType7的最新版的介绍
- latex中的字体族，\texttt{}是什么
- 佳能Canon imageRUNNER C2570 打印机驱动