参考http://kinggoo.com/openldapinstallconf.htm
参考http://linux.it.net.cn/CentOS/server/set/2014/1203/9510.html
参考http://407711169.blog.51cto.com/6616996/1439944
参考http://linuxadmin.blog.51cto.com/2683824/1615515
参考http://ljl2013.blog.51cto.com/186072/1344531
openvpn+ldap http://oldboy.blog.51cto.com/2561410/986933
LDAP是什么
LDAP是一个用来发布目录信息到许多不同资源的协议。通常它都作为一个集中的地址本使用，不过根据组织者的需要，它可以做得更加强大。
LDAP最基本的形式是一个连接数据库的标准方式。该数据库为读查询作了优化。因此它可以很快地得到查询结果，不过在其它方面，例如更新，就慢得多。要特别注意的是，LDAP通常作为一个hierarchal数据库使用，而不是一个关系数据库。因此，它的结构用树来表示比用表格好。正因为这样，就不能用SQL语句了。
简单说来，LDAP是一个得到关于人或者资源的集中、静态数据的快速方式。
LDAP是轻量目录访问协议(Lightweight Directory Access Protocol)的缩写，其实是一话号码簿，类似于我们所使用诸如NIS(Network Information Service)、DNS (Domain Name Service)等网络目录，也类似于你在花园中所看到的树木。
LDAP是一种特殊的数据库。但是LDAP和一般的数据库不同，明白这一点是很重要的。 LDAP对查询进行了优化，与写性能相比LDAP的读性能要优秀很多。
1.1 LDAP的存储规则
区分名（DN，Distinguished Name）
和自然界中的树不同，文件系统/LDAP/电话号码簿目录的每一片枝叶都至少有一个独一无二的属性，这一属性可以帮助我们来区别这些枝叶。
在文件系统中， 这些独一无二的属性就是带有完整路径的文件名。比如/etc/passwd，该文件名在该路径下是独一无二的。当然我们可以有/usr/passwd, /opt/passwd，但是根据它们的完整路径，它们仍然是唯一的。
在LDAP中，一个条目的区分名称叫做“dn”或者叫做区分名。在一个目录中这个名称总是唯一的。比如，我的dn是"uid=aghaffar, ou=People, o=developer.ch"。不可能有相同的dn，但是我们可以有诸如"uid=aghaffar, ou=Administrators, o=developer.ch"的dn。这同上面文件系统中/etc/passwd 和 /usr/passwd的例子很类似。
我们有独一无二的属性，在"ou=Administrators, o=developer.ch" 中uid和在"ou=People, o=developer.ch"中的uid。这并不矛盾。
CN=Common Name 为用户名或服务器名，最长可以到80个字符，可以为中文；
OU=Organization Unit为组织单元，最多可以有四级，每级最长32个字符，可以为中文；
O=Organization 为组织名，可以3—64个字符长
C=Country为国家名，可选，为2个字符长
LDAP目录以一系列“属性对”的形式来存储记录项，每一个记录项包括属性类型和属性值（这与关系型数据库用行和列来存取数据有根本的不同）。
mail = [email protected]
othermailbox = [email protected]
givenname = givenname
sn = test sn
属性可添加，以下一个属性必须赋值：
objectclass=person (值为：person 或 server 或 organization 或 其他自定义的值)
安装LDAP服务
[[email protected] ~]# yum install openldap-* -y
#拷贝配置文件
[[email protected] ~]# cp /usr/share/openldap-servers/slapd.conf.obsolete /etc/openldap/
[[email protected] ~]# cd /etc/openldap/
[[email protected] openldap]# cp slapd.conf.obsolete slapd.conf
#创建LDAP管理员密码
[[email protected] openldap]# slappasswd
New password: #密码是weyee2014
Re-enter new password:
{SSHA}3JbjjtzkRtGIh8dOZK43Bv6Cjydiab91
编辑配置文件
[[email protected] ~]# vim /etc/openldap/slapd.conf
database monitor
access to *
by dn.exact="cn=admin,dc=dev,dc=com" read #修改这里
by * none
database bdb
suffix "dc=dev,dc=com" #修改自己的域名
checkpoint 1024 15
rootdn "cn=admin,dc=dev,dc=com" #修改自己的域名和管理员用户
# Cleartext passwords, especially for the rootdn, should
# be avoided. See slappasswd(8) and slapd.conf(5) for details.
# Use of strong authentication encouraged.
# rootpw secret
# rootpw {crypt}ijFYNcSNctBYg
rootpw {SSHA}3JbjjtzkRtGIh8dOZK43Bv6Cjydiab91 #设置密码
拷贝DB_CONFIG文件到指定目录
[[email protected] ~]# cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
删除默认/etc/openldap/slapd.d下面的所有内容
[[email protected] ~]# rm -rf /etc/openldap/slapd.d/* [[email protected] ~]# chown -R ldap.ldap /etc/openldap
启动服务
[[email protected] ~]# service slapd start Starting slapd: [ OK ] [[email protected] ~]# ps aux |grep slap ldap 1819 0.0 0.9 489740 9576 ? Ssl 15:41 0:00 /usr/sbin/slapd -h ldap:/// ldapi:/// -u ldap root 1830 0.0 0.0 103244 832 pts/0 S+ 15:42 0:00 grep slap [[email protected] ~]# chkconfig slapd on [[email protected] ~]# chown -R ldap.ldap /var/lib/ldap/ [[email protected] ~]# chown -R ldap.ldap /etc/openldap/
测试并生成配置文件
[[email protected] ~]# slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d config file testing succeeded #测试成功
创建一个账号，以备客户端测试登陆
[[email protected] ~]# useradd ldapuser1 [[email protected] ~]# passwd ldapuser1 Changing password for user ldapuser1. New password: Retype new password: #设置密码为weyee2014 passwd: all authentication tokens updated successfully.
至此，这些用户仅仅是系统上存在的用户（存储在/etc/passwd和/etc/shadow上），并没有在LDAP数据库里，所以要把这些用户导入到LDAP里面去。但LDAP只能识别特定格式的文件 即后缀为ldif的文件（也是文本文件），所以不能直接使用/etc/passwd和/etc/shadow。 需要migrationtools这个工具把这两个文件转变成LDAP能识别的文件。
安装配置migrationtools
[[email protected] ~]# yum install migrationtools -y
编辑migrationtool的配置文件/usr/share/migrationtools/migrate_common.ph
[[email protected] ~]# vim /usr/share/migrationtools/migrate_common.ph #大概在第70行 # Default DNS domain $DEFAULT_MAIL_DOMAIN = "dev.com"; # Default base $DEFAULT_BASE = "dc=dev,dc=com"; #修改成和上文一样的域名
下面利用pl脚本将/etc/passwd 和/etc/shadow生成LDAP能读懂的文件格式，保存在/tmp/下
[[email protected] ~]# /usr/share/migrationtools/migrate_base.pl >/tmp/base.ldif [[email protected] ~]# /usr/share/migrationtools/migrate_passwd.pl /etc/passwd >/tmp/passwd.ldif [[email protected] ~]# /usr/share/migrationtools/migrate_passwd.pl /etc/group >/tmp/group.ldif
下面就要把这三个文件导入到LDAP，这样LDAP的数据库里就有了我们想要的用户
#导入base [[email protected] ~]# ldapadd -x -D "cn=admin,dc=dev,dc=com" -W -f /tmp/base.ldif Enter LDAP Password: #密码是上文中设置的weyee2014 adding new entry "dc=dev,dc=com" adding new entry "ou=Hosts,dc=dev,dc=com" adding new entry "ou=Rpc,dc=dev,dc=com" adding new entry "ou=Services,dc=dev,dc=com" adding new entry "nisMapName=netgroup.byuser,dc=dev,dc=com" adding new entry "ou=Mounts,dc=dev,dc=com" adding new entry "ou=Networks,dc=dev,dc=com" adding new entry "ou=People,dc=dev,dc=com" adding new entry "ou=Group,dc=dev,dc=com" adding new entry "ou=Netgroup,dc=dev,dc=com" adding new entry "ou=Protocols,dc=dev,dc=com" adding new entry "ou=Aliases,dc=dev,dc=com" adding new entry "nisMapName=netgroup.byhost,dc=dev,dc=com" #导入passwd [[email protected] ~]# ldapadd -x -D "cn=admin,dc=dev,dc=com" -W -f /tmp/passwd.ldif Enter LDAP Password: adding new entry "uid=root,ou=People,dc=dev,dc=com" adding new entry "uid=bin,ou=People,dc=dev,dc=com" adding new entry "uid=daemon,ou=People,dc=dev,dc=com" adding new entry "uid=adm,ou=People,dc=dev,dc=com" adding new entry "uid=lp,ou=People,dc=dev,dc=com" adding new entry "uid=sync,ou=People,dc=dev,dc=com" adding new entry "uid=shutdown,ou=People,dc=dev,dc=com" adding new entry "uid=halt,ou=People,dc=dev,dc=com" adding new entry "uid=mail,ou=People,dc=dev,dc=com" adding new entry "uid=uucp,ou=People,dc=dev,dc=com" adding new entry "uid=operator,ou=People,dc=dev,dc=com" adding new entry "uid=games,ou=People,dc=dev,dc=com" adding new entry "uid=gopher,ou=People,dc=dev,dc=com" adding new entry "uid=ftp,ou=People,dc=dev,dc=com" adding new entry "uid=nobody,ou=People,dc=dev,dc=com" adding new entry "uid=dbus,ou=People,dc=dev,dc=com" adding new entry "uid=vcsa,ou=People,dc=dev,dc=com" adding new entry "uid=abrt,ou=People,dc=dev,dc=com" adding new entry "uid=haldaemon,ou=People,dc=dev,dc=com" adding new entry "uid=ntp,ou=People,dc=dev,dc=com" adding new entry "uid=saslauth,ou=People,dc=dev,dc=com" adding new entry "uid=postfix,ou=People,dc=dev,dc=com" adding new entry "uid=sshd,ou=People,dc=dev,dc=com" adding new entry "uid=tcpdump,ou=People,dc=dev,dc=com" adding new entry "uid=mysql,ou=People,dc=dev,dc=com" adding new entry "uid=ldap,ou=People,dc=dev,dc=com" adding new entry "uid=ldapuser1,ou=People,dc=dev,dc=com" #导入group [[email protected] ~]# ldapadd -x -D "cn=admin,dc=dev,dc=com" -W -f /tmp/group.ldif