安装ldap全流程

客官°小女子只卖身不卖艺 2022-05-31 04:43 354阅读 0赞

备注：若大家只是想直接装完这个，理论部分不需要看，直接走安装步骤1、2、3等就可以了，可以装完之后再回过头来理解理解；

注意，不同linux操作系统版本之间的差异很大，我用的是centos7；

其实啊，openldap的安装真的是非常简单，直接用yum装一个server端和client端，然后启动服务就OK了。难的是修改它的配置文件以及导入我们需要的shema（这个其实理解了它的概念也就不难了）。

## **安装步骤1.yum  安装** ##

\#!/bin/bash

echo "install ldap rpm"

\[root@dlp ~\]yum install -y openldap-servers openldap-clients

\[root@dlp ~\]cp /usr/share/openldap-servers/DB\_CONFIG.example /var/lib/ldap/DB\_CONFIG

\[root@dlp ~\]chown ldap. /var/lib/ldap/DB\_CONFIG

systemctl start slapd

systemctl enable slapd

## **安装步骤2.修改原始配置** ##

\# generate encrypted password

\[root@dlp ~\]\# slappasswd

New password:

Re-enter new password: \{SSHA\}xxxxxxxxxxxxxxxxxxxxxxxx

\[root@dlp ~\]\# vi chrootpw.ldif

\# specify the password generated above for "olcRootPW" section dn:

olcDatabase=\{ 0\}config,cn=config

changetype: modify

add: olcRootPW

olcRootPW: \{SSHA\}xxxxxxxxxxxxxxxxxxxxxxxx

\[root@dlp ~\]\# ldapadd -Y EXTERNAL -H ldapi:/// -f chrootpw.ldif

SASL/EXTERNAL authentication started

SASL username: gidNumber=0\+uidNumber=0,cn=peercred,cn=external,cn=auth

SASL SSF: 0

modifying entry "olcDatabase=\{0\}config,cn=config"

### **理论： backend & database** ###

**参考：https://segmentfault.com/a/1190000002607140**

ldap的后台进程slapd接收、响应请求，但实际存储数据、获取数据的操作是由Backends做的，而数据是存放在database中，所以你可以看到往往你可以看到backend和database指令是一样的值如 bdb 。一个 backend 可以有多个 database instance，但每个 database 的 suffix 和 rootdn 不一样。openldap 2.4版本的模块是动态加载的，所以在使用backend时需要moduleload back\_bdb指令。

bdb是一个高性能的支持事务和故障恢复的数据库后端，可以满足绝大部分需求。许多旧文档里（包括官方）说建议将bdb作为首选后端服务（primary backend），但[2.4版文档][2.4]明确说hdb才是被首先推荐使用的，这从 2.4.40 版默认安装后的配置文件里也可以看出。hdb是基于bdb的，但是它通过扩展的索引和缓存技术可以加快数据访问，修改entries会更有效率，有兴趣可以访问上的链接或[slapd.backends][]。

另外config是特殊的backend，用来在运行时管理slapd的配置，它只能有一个实例，甚至无需显式在slapd.conf中配置。

原始配置都存放在/etc/openldap/slapd.d/cn=config下，

这里面有这么几个文件：cn=schema文件夹、olcDatabase=\{0\}config.ldif、olcDatabase=\{1\}monitor.ldif（监控）、olcDatabase=\{2\}hdb.ldif（数据库）、olcDatabase=\{-1\}frontend.ldif;

前面带个\{\}，应该是约定好的规则；其中cn=schema文件夹中存放的是我们导入的schema；剩下的几个都是配置文件，其中我们可以直接修改olcDatabase=\{0\}config.ldif的密码；我们修改域名时需要修改olcDatabase=\{1\}monitor.ldif、olcDatabase=\{2\}hdb.ldif、文件；

我们有两种方式来修改默认的example配置，一是直接在配置文件中修改（不建议），另一个是调用客户端的命令进行修改；我这儿介绍第二种

修改（要注意空行或者是空格）

## **安装步骤4.修改域名** ##

\# generate directory manager's password

\[root@dlp ~\]\# slappasswd

New password:

Re-enter new password: \{SSHA\}xxxxxxxxxxxxxxxxxxxxxxxx

\[root@dlp ~\]\# vi chdomain.ldif

\# replace to your own domain name for "dc=\*\*\*,dc=\*\*\*" section

\# specify the password generated above for "olcRootPW" section dn:

olcDatabase=\{ 1\}monitor,cn=config

changetype: modify

replace: olcAccess

olcAccess: \{ 0\}to \* by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth"

read by dn.base="cn=Manager,dc=srv,dc=world" read by \* none

dn: olcDatabase=\{ 2\}hdb,cn=config

changetype: modify

replace: olcSuffix

olcSuffix: dc=srv,dc=world

dn: olcDatabase=\{ 2\}hdb,cn=config

changetype: modify

replace: olcRootDN

olcRootDN: cn=Manager,dc=srv,dc=world

dn: olcDatabase=\{ 2\}hdb,cn=config

changetype: modify

add: olcRootPW

olcRootPW: \{SSHA\}xxxxxxxxxxxxxxxxxxxxxxxx

dn: olcDatabase=\{ 2\}hdb,cn=config

changetype: modify

add: olcAccess

olcAccess: \{ 0\}to attrs=userPassword,shadowLastChange by dn="cn=Manager,dc=srv,dc=world" write by anonymous auth by self write by \* none olcAccess: \{ 1\}to dn.base="" by \* read

olcAccess: \{ 2\}to \* by dn="cn=Manager,dc=srv,dc=world" write by \* read

\[root@dlp ~\]\# ldapmodify -Y EXTERNAL -H ldapi:/// -f chdomain.ldif

SASL/EXTERNAL authentication started

SASL username: gidNumber=0\+uidNumber=0,cn=peercred,cn=external,cn=auth

SASL SSF: 0

modifying entry "olcDatabase=\{1\}monitor,cn=config"

modifying entry "olcDatabase=\{2\}hdb,cn=config"

### **理论：同步骤3** ###

这些文件或文件夹的命令都有点儿奇怪，但你要是理解ldap本身的规则，就见怪不怪了

## **安装步骤5.开放端口：** ##

\# systemctl stop firewalld

\# systemctl disable firewalld

\# setenforce 0

## **安装步骤6.添加用户** ##

**现在我们就可以添加用户了**

\# generate encrypted password

\[root@dlp ~\]\# slappasswd

New password:

Re-enter new password:

\{SSHA\}xxxxxxxxxxxxxxxxx

\[root@dlp ~\]\# vi ldapuser.ldif

\# create new \# replace to your own domain name for "dc=\*\*\*,dc=\*\*\*" section

dn:uid=cent,ou=People,dc=srv,dc=world

objectClass: inetOrgPerson

objectClass: posixAccount

objectClass: shadowAccount

cn: Cent

sn: Linux

userPassword: \{SSHA\}xxxxxxxxxxxxxxxxx

loginShell: /bin/bash

uidNumber: 1000

gidNumber: 1000

homeDirectory: /home/cent

dn: cn=cent,ou=Group,dc=srv,dc=world

objectClass: posixGroup

cn: Cent

gidNumber: 1000

memberUid: cent

\[root@dlp ~\]\# ldapadd -x -D cn=Manager,dc=srv,dc=world -W -f ldapuser.ldif

Enter LDAP Password:

adding new entry "uid=cent,ou=People,dc=srv,dc=world"

adding new entry "cn=cent,ou=Group,dc=srv,dc=world"

## **安装步骤7.客户端连接** ##

配置完我们可以直接用客户端连接，比如：Apache Directory、ldapadministartor、ldapBrowser等客户端工具，大家可以自己下载

常用命令：ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif

ldapmodify -Y EXTERNAL -H ldapi:/// -f chdomain.ldif （注意需要在修改的条目第二行添加changetype：modify）

dn: olcDatabase=\{ 2\}hdb,cn=config

changetype: modify

replace: olcSuffix

olcSuffix: dc=srv,dc=world

不管是修改系统文件，亦或是引入模式都可以使用该命令

添加一般用户：ldapadd -x -D cn=Manager,dc=srv,dc=world -W -f ldapuser.ldif

修改应该也是这样

路径：ldap：//192.168.101.89/dc=srv,dc=world

操作命令：http://blog.csdn.net/lucifer821031/article/details/1920814

参考：[http://blog.csdn.net/wenwenxiong/article/details/76855047\#comments][http_blog.csdn.net_wenwenxiong_article_details_76855047_comments]

[https://jingyan.baidu.com/article/1709ad80616d864634c4f0b7.html][https_jingyan.baidu.com_article_1709ad80616d864634c4f0b7.html]

[2.4]: http://www.openldap.org/doc/admin24/backends.html
[slapd.backends]: http://linux.die.net/man/5/slapd.backends
[http_blog.csdn.net_wenwenxiong_article_details_76855047_comments]: http://blog.csdn.net/wenwenxiong/article/details/76855047#comments
[https_jingyan.baidu.com_article_1709ad80616d864634c4f0b7.html]: https://jingyan.baidu.com/article/1709ad80616d864634c4f0b7.html