Linux-OpenLDAP服务集中管理用户账户信息

叁歲伎倆 2023-07-22 09:18 49阅读 0赞

# 目的：使用OpenLDAP目录服务管理用户账户信息，实现快速查询、更改、删除用户信息。 #

# 意义：在一台ldap服务器上进行账号的集中管理，在ldap客户端上使用这些账号，而无需再管理账户。 #

# OpenLDAP目录服务 #

1、**目录数据库**：主要用于存储较小的信息【**多查少改的信息**】，同时具有很好的读性能，但在写性能方面比较差，所以不适合存放那些需要经常修改的数据。  
2、**目录服务**是由`目录数据库`和`一套能够访问和处理数据库信息的协议`组成的服务协议，用于集中的管理主机帐号密码，员工名字等数据，大大的提升了管理工作效率。  
3、`轻量级目录访问协议LDAP(Lightweight Directory Access Protocol)`是在`目录访问协议X.500`的基础上研发的。  
4、LDAP采用树状结构存储数据，条目是`LDAP协议`中最基本的元素。  
5、树状结构目录，从上到下，层层递进，直到找到相应的条目【类似数据库中的记录】  
6、`dc`根节点、`ou`子树、`cn`叶子节点、`dn`条目路径【自下往上，条目的唯一标识符】  
7、`OpenLdap`是基于`LDAP协议`的开源程序，它的程序名称叫做`slapd`。  
`yum install -y openldap openldap-clients openldap-servers migrationtools`

# 部署OpenLDAP服务端 #

①配置LDAP服务端IP：`192.168.10.10`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70]  
②安装`openldap`服务相关的软件包，生成密钥文件，将主机与IP地址的解析记录写入`/etc/hosts`文件中。  
`yum install -y openldap openldap-servers openldap-clients migrationtools`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 1]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 2]  
`slappasswd -s abong -n > /etc/openldap/passwd`  
密钥：`{SSHA}Dxx/kRKeCx98w6Srxz9IIi10bxSTLdt/`  
![在这里插入图片描述][20200405204015517.png]  
`echo "192.168.10.10 linuxfwd" >> /etc/hosts`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 3]  
③在LDAP目录服务中采用**TLS加密机制**传输数据，使用`openssl`工具生成`x509`格式的证书文件，有效期为365天。 【`-out cert.pem` `-keyout priv.pem` 】  
`openssl req -new -x509 -nodes -out /etc/openldap/certs/cert.pem -keyout /etc/openldap/certs/priv.pem -days 365`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 4]  
④证书存放在目录`/etc/openldap/certs/`下，将所有者和所属组改为`ldap`，并将`priv.pem`的权限设置为`600`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 5]  
⑤复制一份`LDAP数据库模板`存放到`/var/lib/ldap/`目录下，改名为`DB_CONFIG`，LDAP数据库模板路径为`/usr/share/openldap-servers/DB_CONFIG.example`。然后使用命令`slaptest`在`/var/lib/ldap目录`下生成数据库文件，最后修改LDAP数据库的属主和属组。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 6]  
⑥重启`slapd服务`，并添加到开机自启中，可以看到`slapd服务`已经正常开启。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 7]  
⑦LDAP服务中使用`LDIF(LDAP Interchange Format)格式`来保存条目。LDIF是一种标准的文本文件，可随意的导出导入。LDIF格式的数据条目是在`schema`数据模型的基础上创建出来的。类似对象与类之间的关系。【条目数据保存在`.ldif`文件中】【模板文件保存在`.schema`文件中】

#该目录下存放着类及其对象
    [root@linuxfwd ~]# cd /etc/openldap/schema/
    [root@linuxfwd schema]# ls
    collective.ldif    cosine.schema         java.ldif      openldap.schema
    collective.schema  duaconf.ldif          java.schema    pmi.ldif
    corba.ldif         duaconf.schema        misc.ldif      pmi.schema
    corba.schema       dyngroup.ldif         misc.schema    ppolicy.ldif
    core.ldif          dyngroup.schema       nis.ldif       ppolicy.schema
    core.schema        inetorgperson.ldif    nis.schema
    cosine.ldif        inetorgperson.schema  openldap.ldif
    [root@linuxfwd schema]#

添加`cosine`和`nis`模块到slapd服务程序中  
`ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f cosine.ldif`  
`ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f nis.ldif`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 8]  
创建`/etc/openldap/changes.ldif`文件，并复制以下内容进去

dn: olcDatabase={ 2}hdb,cn=config
    changetype: modify
    replace: olcSuffix
    olcSuffix: dc=abong,dc=com
    
    dn: olcDatabase={ 2}hdb,cn=config
    changetype: modify
    replace: olcRootDN
    olcRootDN: cn=Manager,dc=abong,dc=com
    
    dn: olcDatabase={ 2}hdb,cn=config
    changetype: modify
    replace: olcRootPW
    olcRootPW:{ SSHA}Dxx/kRKeCx98w6Srxz9IIi10bxSTLdt/
    
    dn: cn=config
    changetype: modify
    replace: olcTLSCertificateFile
    olcTLSCertificateFile: /etc/openldap/certs/cert.pem
    
    dn: cn=config
    changetype: modify
    replace: olcTLSCertificateKeyFile
    olcTLSCertificateKeyFile: /etc/openldap/certs/priv.pem
    
    dn: cn=config
    changetype: modify
    replace: olcLogLevel
    olcLogLevel: -1
    
    dn: olcDatabase={ 1}monitor,cn=config
    changetype: modify
    replace: olcAccess
    olcAccess: { 0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=Manager,dc=abong,dc=com" read by * none

将新的配置文件`/etc/openldap/changes.ldif`更新到slapd服务程序中  
`ldapmodify -Y EXTERNAL -H ldapi:/// -f /etc/openldap/changes.ldif`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 9]  
创建`/etc/openldap/base.ldif`文件，并复制以下内容进去

dn: dc=abong,dc=com
    dc: abong
    objectClass: top
    objectClass: domain
    
    dn: ou=People,dc=abong,dc=com
    ou: People
    objectClass: top
    objectClass: organizationalUnit
    
    dn: ou=Group,dc=abong,dc=com
    ou: Group
    objectClass: top
    objectClass: organizationalUnit

将新的配置文件`/etc/openldap/base.ldif`添加到slapd服务程序中  
`ldapadd -x -w abong -D cn=Manager,dc=abong,dc=com -f /etc/openldap/base.ldif`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 10]  
⑧创建用户`ldapuser`，用于测试。设置账户的迁移。将当前系统的用户和用户组迁移到目录服务中【`用户迁移到passwd文件中`、使用passwd文件生成ldif文件、将ldif文件添加到slapd服务程序中】【`用户组迁移到group文件中`、使用group文件生成ldif文件、将ldif文件添加到slapd服务程序中】  
`useradd -d /home/ldap ldapuser`  
修改文件`/usr/share/migrationtools/migrate_common.ph`，如下：  
![在这里插入图片描述][20200406145446322.png]  
迁移用户，并生成`user.ldif`文件，将`user.ldif`文件添加到slapd服务程序中  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 11]  
![在这里插入图片描述][20200406150054973.png]  
迁移用户组，并生成`group.ldif`文件，将`group.ldif`文件添加到slapd服务程序中  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 12]  
⑨测试用户`ldapuser`的配置文件是否正常，可以看到，用户`ldapuser`的条目数据是存在的。

[root@linuxfwd ~]# ldapsearch -x cn=ldapuser -b dc=abong,dc=com
    # extended LDIF
    #
    # LDAPv3
    # base <dc=abong,dc=com> with scope subtree
    # filter: cn=ldapuser
    # requesting: ALL
    #
    
    # ldapuser, People, abong.com
    dn: uid=ldapuser,ou=People,dc=abong,dc=com
    uid: ldapuser
    cn: ldapuser
    objectClass: account
    objectClass: posixAccount
    objectClass: top
    objectClass: shadowAccount
    userPassword:: e2NyeXB0fSEh
    shadowLastChange: 18358
    shadowMin: 0
    shadowMax: 99999
    shadowWarning: 7
    loginShell: /bin/bash
    uidNumber: 1001
    gidNumber: 1001
    homeDirectory: /home/ldap
    
    # ldapuser, Group, abong.com
    dn: cn=ldapuser,ou=Group,dc=abong,dc=com
    objectClass: posixGroup
    objectClass: top
    cn: ldapuser
    userPassword:: e2NyeXB0fXg=
    gidNumber: 1001
    
    # search result
    search: 2
    result: 0 Success
    
    # numResponses: 3
    # numEntries: 2
    [root@linuxfwd ~]#

⑩安装httpd服务程序，将密钥文件`/etc/openldap/certs/cert.pem`复制到`/var/www/html`。然后重启httpd服务，并添加到开机自启中。然后清空防火墙并保存当前防火墙。最后，修改rsyslog服务的配置文件，追加`echo "local4.* /var/log/ldap.log" >> /etc/rsyslog.conf`，重启`rsyslog`服务。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 13]

# 部署OpenLDAP客户端 #

**①将服务器的IP地址和主机名的解析记录写入到客户端的`/etc/hosts`文件中**  
![在这里插入图片描述][20200406190027219.png]  
**②安装客户端的相关软件包**  
`yum install -y openldap-clients nss-pam-ldapd authconfig-gtk pam_krb5`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 14]  
**③运行系统认证工具，并填写LDAP服务信息**  
`system-config-authentication`  
**服务器主机名：**  
`linuxfwd`

**证书URL(u)：**  
`http://192.168.10.10/cert.pem`  
`http://linuxfwd/cert.pem`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 15]  
我这里是已经挂载了家目录，如果没挂载的可使用NFS进行挂载。

# 自动挂载用户的家目录 #

在客户端进行LDAP验证后，从客户端登录用户`ldapuser`时，是无法同步用户家目录的，即在客户端并不存在用户`ldapuser`的家目录。可以使用NFS(网络文件系统)将家目录自动挂载在客户端上。【即将服务器上的家目录作为一个共享资源，挂载在客户端】  
**①在ldap服务器上安装`nfs-utils`服务程序**  
`yum install -y nfs-utils`  
**②修改NFS的主配置文件`/etc/exports`**  
`echo "/home/ldap 192.168.10.*(rw,sync,root_squash)" >> /etc/exports`  
**③重启`rpcbind`和`nfs-server`服务程序，并添加到开机自启中**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 16]  
**④清空防火墙，并保存当前防火墙策略**  
![在这里插入图片描述][20200406202035892.png]  
**⑤在客户端查看共享信息**  
`showmount -e 192.168.10.10`  
![在这里插入图片描述][20200406202100446.png]  
**⑥将家目录`/home/ldap`作为一个nfs文件系统挂载到客户端**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 17]  
**⑦将挂载信息写入文件`/etc/fstab`，以实现永久挂载。**  
`echo "192.168.10.10:/home/ldap /home/ldap nfs defaults 0 0" >> /etc/fstab`

# 通过以上配置，我们可以在LDAP服务器上集中管理账户信息，无需在客户端上管理账户，提高了客户端的使用效能。 #

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70]: /images/20230528/f9f1e40ceb6a4d95b3a68212c961fe9c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 1]: /images/20230528/4e7b22f10fb54f99a78c1850c34dfc6d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 2]: /images/20230528/a711a3d55d144f82bb21571064aedcfe.png
[20200405204015517.png]: /images/20230528/2cf48076e94447f99274505b44265f94.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 3]: /images/20230528/3331bdf834ad4adcaefc10b692383c00.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 4]: /images/20230528/68fa1beea48c4297b2c87afcf23b0b85.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 5]: /images/20230528/cee2eb3ba256415db79c96f55c787199.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 6]: /images/20230528/566b862161e846a1aa4c331aaecfe03e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 7]: /images/20230528/d05bc0439db44a3c9920c82a3966af37.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 8]: /images/20230528/3b381a10990949958283f89b837321fa.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 9]: /images/20230528/2ca3aa487ae34e0b8d96e71153be5775.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 10]: /images/20230528/d29a61634bac45cb905f1c89100c65ce.png
[20200406145446322.png]: /images/20230528/d872db19439d4e2faa946ec3609f1913.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 11]: /images/20230528/e65648104e2e461aba55a0ab86612a4f.png
[20200406150054973.png]: /images/20230528/46af824a22cd4250a17544539e0d20c6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 12]: /images/20230528/86f2530fe8674e97b41647f04b690a11.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 13]: /images/20230528/d070429da16b44aa885d114ed449dcdd.png
[20200406190027219.png]: /images/20230528/8dcc523cf144423ca411db5b5d2bdd41.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 14]: /images/20230528/96cad8297083437d923c56fd44e557f8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 15]: /images/20230528/b4a7e940662d41ce9dd2211212024ab5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 16]: /images/20230528/6a329093da65424280a9851307475d9c.png
[20200406202035892.png]: /images/20230528/8a8ac021c670420399a469a10a2ecbef.png
[20200406202100446.png]: /images/20230528/78aed254c0334bb39338dec90a9849b7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNjUyMjA5OQ_size_16_color_FFFFFF_t_70 17]: /images/20230528/f67d1fa74fa241c6a3492394d96acfb4.png