1. Ldap服务介绍
LDAP 全称轻量级目录访问协议&＃xff08;英文&＃xff1a;Lightweight Directory Access Protocol&＃xff09;&＃xff0c;是一个运行在 TCP/IP 上的目录访问协议。目录是一个特殊的数据库&＃xff0c;它的数据经常被查询&＃xff0c;但是不经常更新。其专门针对读取、浏览和搜索操作进行了特定的优化。目录一般用来包含描述性的&＃xff0c;基于属性的信息并支持精细复杂的过滤能力。比如 DNS 协议便是一种最被广泛使用的目录服务。
LDAP 中的信息按照目录信息树结构组织&＃xff0c;树中的一个节点称之为条目&＃xff08;Entry&＃xff09;&＃xff0c;条目包含了该节点的属性及属性值。条目都可以通过识别名 dn 来全局的唯一确定1&＃xff0c;可以类比于关系型数据库中的主键。比如 dn 为 uid&＃61;ada,ou&＃61;People,dc&＃61;xinhua,dc&＃61;org 的条目表示在组织中一个名字叫做 Ada Catherine 的员工&＃xff0c;其中 uid&＃61;ada 也被称作相对区别名 rdn。
一个条目的属性通过 LDAP 元数据模型&＃xff08;Scheme&＃xff09;中的对象类&＃xff08;objectClass&＃xff09;所定义&＃xff0c;下面的表格列举了对象类 inetOrgPerson&＃xff08;Internet Organizational Person&＃xff09;中的一些必填属性和可选属性。
下面是一个典型的 LDAP 目录树结构&＃xff0c;其中每个节点表示一个条目。在下一节中&＃xff0c;我们将按照这个结构来配置一个简单的 LDAP 服务。
1.1 OpenLDAP 的安装和配置
#第一步:需要切换到 root 账号来安装 OpenLDAP 相关程序包&＃xff0c;并启动服务
[root&＃64;ldap ~]# yum install -y openldap-servers openldap-clients
[root&＃64;ldap ~]# cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
[root&＃64;ldap ~]# chown ldap. /var/lib/ldap/DB_CONFIG
[root&＃64;ldap ~]# systemctl enable slapd
Created symlink from /etc/systemd/system/multi-user.target.wants/slapd.service to /usr/lib/systemd/system/slapd.service.
[root&＃64;ldap ~]# systemctl start slapd
#第二步:我们使用 slappasswd 命令来生成一个密码&＃xff0c;并使用 LDIF&＃xff08;LDAP 数据交换格式&＃xff09;文件将其导入到 LDAP 中来配置管理员密码&＃xff1a;
[root&＃64;ldap ~]# slappasswd
New password:
Re-enter new password:
{SSHA}E2L9nvHzas&＃43;TYf3PW4KQmn7VyveLehqP
[root&＃64;ldap ~]# cat chrootpw.ldif
# specify the password generated above for "olcRootPW" section
dn: olcDatabase&＃61;{0}config,cn&＃61;config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}E2L9nvHzas&＃43;TYf3PW4KQmn7VyveLehqP
[root&＃64;ldap ~]# ldapadd -Y EXTERNAL -H ldapi:/// -f chrootpw.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber&＃61;0&＃43;uidNumber&＃61;0,cn&＃61;peercred,cn&＃61;external,cn&＃61;auth
SASL SSF: 0
modifying entry "olcDatabase&＃61;{0}config,cn&＃61;config"
1.2 导入一些基本的 Schema
#第三步骤:我们需要向 LDAP 中导入一些基本的 Schema。这些 Schema 文件位于 /etc/openldap/schema/ 目录中&＃xff0c;定义了我们以后创建的条目可以使用哪些属性
[root&＃64;ldap ~]# ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber&＃61;0&＃43;uidNumber&＃61;0,cn&＃61;peercred,cn&＃61;external,cn&＃61;auth
SASL SSF: 0
adding new entry "cn&＃61;cosine,cn&＃61;schema,cn&＃61;config"[root&＃64;ldap ~]# ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber&＃61;0&＃43;uidNumber&＃61;0,cn&＃61;peercred,cn&＃61;external,cn&＃61;auth
SASL SSF: 0
adding new entry "cn&＃61;nis,cn&＃61;schema,cn&＃61;config"[root&＃64;ldap ~]# ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber&＃61;0&＃43;uidNumber&＃61;0,cn&＃61;peercred,cn&＃61;external,cn&＃61;auth
SASL SSF: 0
adding new entry "cn&＃61;inetorgperson,cn&＃61;schema,cn&＃61;config"
1.3 配置 LDAP 的顶级域
#第四步&＃xff0c;我们需要配置 LDAP 的顶级域&＃xff08;以 dc&＃61;zhizhangyi,dc&＃61;com 为例&＃xff09;及其管理域&＃xff1a;
[root&＃64;ldap ~]# slappasswd
New password:
Re-enter new password:
{SSHA}gzeqpWcDsQqCQNxx2V3oZDrq7XrXEGqe
[root&＃64;ldap ~]# cat chdomain.ldif
# replace to your own domain name for "dc&＃61;***,dc&＃61;***" section
# specify the password generated above for "olcRootPW" section
dn: olcDatabase&＃61;{1}monitor,cn&＃61;config
changetype: modify
replace: olcAccess
olcAccess: {0}to * by dn.base&＃61;"gidNumber&＃61;0&＃43;uidNumber&＃61;0,cn&＃61;peercred,cn&＃61;external,cn&＃61;auth"read by dn.base&＃61;"cn&＃61;Manager,dc&＃61;zhizhangyi,dc&＃61;com" read by * nonedn: olcDatabase&＃61;{2}hdb,cn&＃61;config
changetype: modify
replace: olcSuffix
olcSuffix: dc&＃61;zhizhangyi,dc&＃61;comdn: olcDatabase&＃61;{2}hdb,cn&＃61;config
changetype: modify
replace: olcRootDN
olcRootDN: cn&＃61;Manager,dc&＃61;zhizhangyi,dc&＃61;comdn: olcDatabase&＃61;{2}hdb,cn&＃61;config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}gzeqpWcDsQqCQNxx2V3oZDrq7XrXEGqedn: olcDatabase&＃61;{2}hdb,cn&＃61;config
changetype: modify
add: olcAccess
olcAccess: {0}to attrs&＃61;userPassword,shadowLastChange by dn&＃61;"cn&＃61;Manager,dc&＃61;zhizhangyi,dc&＃61;com" write by anonymous auth by self write by * none
olcAccess: {1}to dn.base&＃61;"" by * read
olcAccess: {2}to * by dn&＃61;"cn&＃61;Manager,dc&＃61;zhizhangyi,dc&＃61;com" write by * read
#导入
[root&＃64;ldap ~]# ldapmodify -Y EXTERNAL -H ldapi:/// -f chdomain.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber&＃61;0&＃43;uidNumber&＃61;0,cn&＃61;peercred,cn&＃61;external,cn&＃61;auth
SASL SSF: 0
modifying entry "olcDatabase&＃61;{1}monitor,cn&＃61;config"modifying entry "olcDatabase&＃61;{2}hdb,cn&＃61;config"modifying entry "olcDatabase&＃61;{2}hdb,cn&＃61;config"modifying entry "olcDatabase&＃61;{2}hdb,cn&＃61;config"modifying entry "olcDatabase&＃61;{2}hdb,cn&＃61;config"
1.4 创建组织和角色
#第五步&＃xff0c;在上述基础上&＃xff0c;我们来创建一个叫做 zhizhangyi News Agency 的组织&＃xff0c;并在其下创建一个 Manager 的组织角色&＃xff08;该角色内的用户具有管理整个 LDAP 的权限&＃xff09;和 People 和 Group 两个组织单元&＃xff1a;
[root&＃64;ldap ~]# vim basedomain.ldif
# replace to your own domain name for "dc&＃61;***,dc&＃61;***" section
dn: dc&＃61;zhizhangyi,dc&＃61;com
objectClass: top
objectClass: dcObject
objectclass: organization
o: zhizhangyi News Agency
dc: zhizhangyidn: cn&＃61;Manager,dc&＃61;zhizhangyi,dc&＃61;com
objectClass: organizationalRole
cn: Managerdn: ou&＃61;People,dc&＃61;zhizhangyi,dc&＃61;com
objectClass: organizationalUnit
ou: Peopledn: ou&＃61;Group,dc&＃61;zhizhangyi,dc&＃61;com
objectClass: organizationalUnit
ou: Group
[root&＃64;ldap ~]# ldapadd -x -D cn&＃61;Manager,dc&＃61;zhizhangyi,dc&＃61;com -W -f basedomain.ldif
Enter LDAP Password:
adding new entry "dc&＃61;zhizhangyi,dc&＃61;com"adding new entry "cn&＃61;Manager,dc&＃61;zhizhangyi,dc&＃61;com"adding new entry "ou&＃61;People,dc&＃61;zhizhangyi,dc&＃61;com"adding new entry "ou&＃61;Group,dc&＃61;zhizhangyi,dc&＃61;com"
通过以上的所有步骤&＃xff0c;我们就设置好了一个 LDAP 目录树&＃xff1a;其中基准 dn dc&＃61;zhizhangyi,dc&＃61;com 是该树的根节点
其下有一个管理域 cn&＃61;Manager,dc&＃61;zhizhangyi,dc&＃61;com 和两个组织单元 ou&＃61;People,dc&＃61;zhizhangyi,dc&＃61;com 及 ou&＃61;Group,dc&＃61;zhizhangyi,dc&＃61;com。
接下来&＃xff0c;我们来创建一个叫作 Ada Catherine 的员工并将其分配到 Secretary 组来验证上述配置是否生效。
[root&＃64;ldap ~]# slappasswd
New password:
Re-enter new password:
{SSHA}0ViaPfcyL9LkfV3xcSaXl/GuSrNcfViy
[root&＃64;ldap ~]# cat ldapuser.ldif
# create new
# replace to your own domain name for "dc&＃61;***,dc&＃61;***" section
dn: uid&＃61;ada,ou&＃61;People,dc&＃61;zhizhangyi,dc&＃61;com
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
uid: ada
cn: Ada Catherine
sn: Catherine
userPassword: {SSHA}0ViaPfcyL9LkfV3xcSaXl/GuSrNcfViy
loginShell: /bin/bash
uidNumber: 1000
gidNumber: 1000
homeDirectory: /home/users/adadn: cn&＃61;Secretary,ou&＃61;Group,dc&＃61;zhizhangyi,dc&＃61;com
objectClass: posixGroup
cn: Secretary
gidNumber: 1000
memberUid: secretary
[root&＃64;ldap ~]# ldapadd -x -D cn&＃61;Manager,dc&＃61;zhizhangyi,dc&＃61;com -W -f ldapuser.ldif
Enter LDAP Password:
adding new entry "uid&＃61;ada,ou&＃61;People,dc&＃61;zhizhangyi,dc&＃61;com"adding new entry "cn&＃61;Secretary,ou&＃61;Group,dc&＃61;zhizhangyi,dc&＃61;com"
#我们也可以使用 ldapsearch 命令来查看 LDAP 目录服务中的所有条目信息&＃xff1a;
[root&＃64;ldap ~]# ldapsearch -x -b "dc&＃61;zhizhangyi,dc&＃61;com" -H ldap://127.0.0.1
#如果要删除一个条目&＃xff0c;可以按下面的命令操作&＃xff1a;
[root&＃64;ldap ~]# ldapdelete -x -W -D &＃39;cn&＃61;Manager,dc&＃61;zhizhangyi,dc&＃61;com&＃39; "uid&＃61;ada,ou&＃61;People,dc&＃61;zhizhangyi,dc&＃61;com"
1.5 使用 phpLDAPadmin 来管理 LDAP 服务
通过 LDIF 文件可以在终端上管理起整个 LDAP&＃xff0c;但是我们都喜欢图形化界面。phpLDAPadmin 正是一个可以通过浏览器来管理 LDAP 服务的 Web 工具。
在安装 phpLDAPadmin 之前&＃xff0c;要确保服务器上已经启动了 Apache httpd 服务及 PHP 2。准备就绪后&＃xff0c;我们按下面的操作来安装和配置 phpLDAPadmin&＃xff1a;
[root&＃64;ldap ~]# yum -y install epel-release
[root&＃64;ldap ~]# yum --enablerepo&＃61;epel -y install phpldapadmin
[root&＃64;ldap ~]# vim /etc/phpldapadmin/config.php
# line 397: uncomment, line 398: comment out
$servers->setValue(&＃39;login&＃39;,&＃39;attr&＃39;,&＃39;dn&＃39;);
// $servers->setValue(&＃39;login&＃39;,&＃39;attr&＃39;,&＃39;uid&＃39;);
[root&＃64;ldap ~]# cat /etc/httpd/conf.d/phpldapadmin.conf
#
# Web-based tool for managing LDAP servers
#Alias /phpldapadmin /usr/share/phpldapadmin/htdocs
Alias /ldapadmin /usr/share/phpldapadmin/htdocs
[root&＃64;ldap ~]# systemctl restart httpd
安装成功的话&＃xff0c;在浏览器中访问 http://localhost:8000/phpldapadmin/ 便会进入 phpLDAPadmin 管理页面&＃xff1a;
京公网安备 11010802041100号