LDAP-openldap服务部署和测试（YUM安装）

1. 概述
2. 服务端部署过程
2.1 软件包说明
2.2 部署过程
2.3 配置过程
3. 测试
4. 生成LDIF格式文件
4.1 安装migrationtools工具
4.2 用migrationtools生成ldif文件
4.3 添加ldif到ldap数据库
5. 日志配置
5.1 openldap的日志级别
5.2 配置日志功能
6. 客户端配置
6.1 基础环境准备
6.2 配置nslcd客户端
7. 添加系统用户
7.1 添加用户
7.2 产生ldif文件
7.3 添加ldif文件至LDAP数据库中
7.4 验证

1. 概述

本篇博客主要记录如何部署一台LDAP服务器，用于在内网集群节点中，进行全局用户认证。

注：有关LDAP的理论部分，参见博客《LDAP协议详解.md》

本篇博客主要的部署环境为：CentOS6.5_x86_64部署openldap，通过YUM安装相关环境。

2. 服务端部署过程

2.1 软件包说明

软件包 软件包说明
openldap 服务端和客户端必须用的库文件
openldap-clients 在LDAP服务端使用，用户增删改查的命令行环境
openldap-servers 用于启动服务和配置，包括单独的LDAP后台守护进程
openldap-servers-sql 支持SQL模块
compat-openldap openldap兼容性库环境

2.2 部署过程

虚拟机console，通过执行命令：rpm -qa | grep openldap，查看是否已经安装openldap的软件包：

openldap-clients-2.4.23-32.el6_4.1.x86_64
openldap-2.4.23-32.el6_4.1.x86_64
openldap-servers-2.4.23-32.el6_4.1.x86_64

若没有上述软件包，执行命令：yum -y install openldap openldap-clients openldap-servers。

此过程会同时安装依赖软件包：libtool-ltdl，portserver软件包

2.3 配置过程

  1. 复制配置文件模板，到系统配置目录下

    cp -a /usr/share/openldap-servers/sldap.conf.obsolete /etc/openldap/slapd.conf

  2. 删除旧的动态配置文件

    rm -rf /etc/openldap/sladp.d/*

  3. 复制数据库配置文件模板，到系统配置目录下

    cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG

  4. 修改数据库配置文件所在目录属主

    chown -R ldap.ldap /var/lib/ldap

  5. 生成加密密钥

    虚拟机console执行命令：slappasswd

    提示New password：输入liwanliang

    提示Re-enter new password，输入liwanliang

    将生成的内容：{SSHA}SdorCU0SF/bBERBdPtkSVdWv94Hc826r，复制保存下来

  6. 修改主配置文件，修改内容如下：

    有关openldap的配置详解，参见博客《LDAP-openldap配置文件详解.md》

    database config
access to *
    by dn.exact="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" manage
    by * none
database monitor
access to *
by dn.exact="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read
    by dn.exact="cn=Manager,dc=liwanliang,dc=com" read
    by * none
database bdb
suffix "dc=liwanliang,dc=com"
checkpoint 1024 15
rootdn "cn=Manager,dc=liwanliang,dc=com"
rootpw {SSHA}SdorCU0SF/bBERBdPtkSVdWv94Hc826r
  7. 修改相关目录属性

    虚拟机console执行命令：chown -R ldap.ldap /etc/openldap；chown -R ldap.ldap /var/lib/ldap

  8. 删除旧的动态配置文件

    虚拟机console执行命令：rm -rf /etc/openldap/slapd.d/*

  9. 启动服务并设置开机启动

    虚拟机console执行命令：service slapd start && chkconfilg slpad on

    查看是否启动服务：service slapd status；netstat -tupln|grep slapd

  10. 动态配置文件

    openldap的动态配置文件位于/etc/openldap/slapd.d/下，每次修改了主配置文件/etc/openldap/slapd.conf之后，都需要重新生成动态配置文件，即：

    删除动态配置文件：rm -rf /etc/openldap/slapd.d/*

    重新生成动态配置文件：slaptest -f /etc/openldap/slapd.conf -f /etc/openldap/slapd.d

    修改动态配置目录属性：chown -R ldap.ldap /etc/openldap/slapd.d/

3. 测试

上述过程已经部署好了openldap并启动了服务，这仅是第一步，openldap有没有工作，还需要进一步验证和测试。

虚拟机console执行命令：ldapsearch -x -LLL；如果这个命令报错：【No suce object(32)】,则需要修改配置文件/etc/openldap/ldap.conf

修改内容如下：

BASE dc=liwanliang,dc=com
URI ldap://192.168.80.8
TLS_CACERTDIR /etc/openldap/certs

上过过程说明已经基本完成了openldap的部署和测试，可以投入使用

4. 生成LDIF格式文件

往openldap数据库存放数据，有多种方式：1. 手动编辑；2. 用工具生成

手动编辑这里不介绍。工具生成指的是用migrationtools脚本来产生ldif文件

4.1 安装migrationtools工具

虚拟机console执行命令：rpm -qa | grep migrationtools，查看系统是否已经安装migrationtools

若没有安装，执行命令：yum -y installl migrationtools，进行工具安装

4.2 用migrationtools生成ldif文件

这里是希望用openldap来实现用户认证，因此需要把系统中存在的user和group产生ldif，添加到ldap的数据库中。

虚拟机console执行命令：

/usr/share/migrationtools /migrate_base.pl > base.ldif

/usr/share/migrationtools/migrate_passwd.pl /etc/passwd > passwd.ldif

/usr/share/migrationtools/migrate_group.pl /etc/group > group.ldif

4.3 添加ldif到ldap数据库

上面过程，已经将用户认证时需要的文件/etc/passwd和/etc/group生成ldif文件。

改用ldap验证时，就需要将这几个文件添加到ldap数据库中。

虚拟机console执行命令：

ldapadd -x -D "cn=Manager,dc=liwanliang,dc=com‘ -c -W -f base.ldif

ldapadd -x -D "cn=Manager,dc=liwanliang,dc=com" -c -W -f passwd.ldif

ldapadd -x -D "cn=Manager,dc=liwanliang,dc=com" -c -W -f group.ldif

提示输入密码时，输入liwanliang，回车

5. 日志配置

5.1 openldap的日志级别

虚拟机console执行命令：slapd -d ?，能够看到以下内容：

各参数说明如下：

Any 开启所有的函数调用
Trace 跟踪Trace函数调用
Rackets 与函数包处理相关的信息
Args 全面的debug信息
Conns 链接数管理的相关信息
BER 记录包发送和接收的信息
Filter 记录过滤处理的过程
Config 记录配置文件的相关信息
ACL 记录访问控制列表的相关信息
Stats 记录链接，操作系统以及统计信息
Stats2 记录向客户端响应的统计信息
Shell 记录与shell后端通信信息
Parse 记录条目的分析结果信息
Sync 记录数据同步资源消耗信息
None 不记录信息

5.2 配置日志功能

  1. 修改主配置文件/etc/openldap/slapd.conf，最后一行添加：loglever -1
  2. 虚拟机console执行命令：mkdir -p /var/log/slapd && chown -R ldap.ldap /var/log/sladp
  3. 修改系统日志配置文件，使其重定向日志到ldap日志目录，vim /etc/rsyslog.conf，最后一行添加以下内容：

    local4. * /var/log/slapd/slapd.log

  4. 利用Logrotate自动切割日志

    进入目录/etc/logrotate.d，创建文件ldap，添加以下内容：

    /var/log/slapd/slapd.log {
    prerotate
       /usr/bin/chattr    -a    /var/log/slapd/slapd.log
    endscript
    compress
    delaycompress
    notifempty
    rotate    100
    size    10M
    postroatte
        /usr/bin/chattr    +a    /var/log/slapd/slapd.log
    endsript
}
  5. 重启日志服务并观察

    虚拟机console执行命令：service rsyslogd restart

    观察日志文件是否更新：tail -f /var/log/slapd/slapd.log

6. 客户端配置

这里的客户端端不是指ldap命令行客户端，而是需要通过LDAP服务器验证的客户端节点。

本篇博客已经部署了KVM虚拟机node11，在node11上配置采用用户采用LDAP验证。

6.1 基础环境准备

关闭sssd进程，并安装nslcd进程

注：有关NSS，NSCD，NSLCD，SSSD服务的区别，参见包括《》

虚拟机console执行命令：rpm -qa | grep nss-pam-ldapd，查看系统是否已经安装客户端

若未安装，执行命令：yum -y install nss-pam-ldapd进行安装

6.2 配置nslcd客户端

  1. 修改nslcd.conf配置文件，vim /etc/nslcd.conf，文末添加内容如下：

    uri ldap://192.168.80.8/
base dc=liwanliang,dc=com
ssl no
tls_cacertdir /etc/openldap/certs
  2. 修改pam_ldap.conf配置文件，vim /etc/pam_ldap.conf，文末添加内容如下： 
    uri ldap://192.168.80.8
ssl no
tls_cacertdir /etc/openldap/certs
bind_policy soft
  3. 修改系统认证的PAM配置，vim /etc/pam.d/system-auth，修改内容如下：
  4. 修改名字服务NSS配置文件，vim /etc/nssiwch.conf，修改部分如下： 
    passwd:      files     ldap
shadow:     files     ldap
group:      files     ldap
  5. 修改系统认证方式配置文件，vim /etc/sysconfig/authconfig，修改部分内容如下： 
    USESHADOW=yes    //启用密码验证
USELDAPAUTH=yes    //启用openldap验证
USELOCAUTHORIZE=yes    //启用本地验证
USELDAP=yes        //启用LDAP认证协议
  6. 启动nslcd服务进程

    虚拟机console执行命令：service iptables stop && setenforce 0，即关闭防火墙和selinux

    启动服务，并设置开机启动：service nslcd start && chkconfig nslcd on

  7. 客户端验证

    在虚拟机node11上，执行命令：id liwl01，如果获取到liwl01的用户信息，则说明配置成功

7. 添加系统用户

在今后的实践过程中，会存在添加系统进程用户的需求，比如部署Nagios时，需要添加nagios和nagioscmd用户；

部署slurm任务调度系统时，需要添加munge和slurmadmim用户等。

这里就需要利用migrationtools来实现往LDAP服务器中添加用户，然后实现全局认证即可。具体过程如下：

7.1 添加用户

这里添加用户liwl02

在虚拟机console中执行命令：useradd -u 501 liwl02

给liwl02添加密码：passwd liwl02，输入密码两次完成密码添加

7.2 产生ldif文件

因为已经生成了base.ldif文件，此次添加用户，不再需要生成base.ldif文件

虚拟机console执行命令：

migrate_passwd.pl /etc/passwd > passwd.ldif，该命令创建passwd.ldif

migrate_group.pl /etc/group > group.ldif，该命令创建group.ldif

编辑passwd.ldif，只保留以下部分内容，其余删除：

dn: uid=liwl02,ou=People,dc=liwanliang,dc=com
uid: liwl02
cn: liwl02
objectClass: account
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
userPassword: {crypt}$6$VKwyR9xY$GmXIUT9zJqE5/foaPKwgoDPfXS8XnkG1WcqjHoNBmLcMUvbyrOV6BVLXEmc6K140BM9r4fHAL33ZxSzWiZ8c//
shadowLastChange: 17699
shadowMin: 0
shadowMax: 99999
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 501
gidNumber: 501

编辑group.ldif，只保留以下部分，其余删除：

dn: cn=liwl02,ou=Group,dc=liwanliang,dc=com
objectClass: posixGroup
objectClass: top
cn: liwl02
userPassword: {crypt}x
gidNumber: 501

7.3 添加ldif文件至LDAP数据库中

虚拟机console执行命令， 添加两个文件中新加的内容：

ldapadd -x -D "cn=Manager,dc=liwanliang,dc=com" -c -W -f passwd.ldif

ldapadd -x -D "cn=Manager,dc=liwanliang,dc=com" -c -W -f group.ldif

输入密码liwanliang即可添加进入

7.4 验证

在虚拟机node11上，通过执行命令id liwl02验证是否添加成功

原文地址：https://www.cnblogs.com/liwanliangblog/p/9193916.html

时间： 2024-08-05 21:39:41

LDAP-openldap服务部署和测试（YUM安装）的相关文章

OpenStack入门篇（九）之nova服务（控制节点）的部署与测试

1.Nova介绍 Nova是openstack最早的两块模块之一,另一个是对象存储swift.在openstack体系中一个叫做计算节点,一个叫做控制节点.这个主要和nova相关,我们把安装为计算节点成为:nova-compute,把除了nova-compute叫做控制节点.nova-compute是创建虚拟机的,只是创建虚拟机,所有的控制都在另一台上.OpenStack计算组件请求OpenStack Identity服务进行认证:请求OpenStack Image服务提供磁盘镜像:为OpenS

Slurm任务调度系统部署和测试（1）

1. 概述1.1 节点信息2. 节点准备3. 部署NTP服务器4. 部署LDAP服务器5. 部署Munge认证服务6. 部署Mysql数据库服务6. 部署slurm6.1 slurm下载6.2 解压编译安装 1. 概述 slurm任务调度系统,主要应用在HPC集群资源管理和任务调度.具体信息参见slurm官方网站:https://slurm.schedmd.com/ 部署Slurm任务调度系统,需要部署NTP内网时间同步服务器,LDAP全局认证服务器,Mysql数据库服务器 本篇博客主要记录如何

YUM 安装tomcat6 问题处理

Yum 安装tomcat6 问题 接着上次,我们用 yum intall tomcat6 安装了tomcat6和java,期待小猫的出现:好了,我们打开浏览器,在其中键入http://127.0.0.1:8080,结果我们会发现是个空白页面(不是连接失败的页面).这是为什么呢?很是郁闷,用httpd测试一切正常.我们来分析问题所在,首先看下我们的安装目录 /etc/tomcat 和/usr/share/tomcat ,前者是为了方便配置对后者做的连接,YUM默认安装完tomcat 的路劲是后者,

使用CentOS的DVD制作公司内部YUM安装源

本文链接:http://blog.csdn.net/kongxx/article/details/43821421 这里假定使用有两台机器来模拟,一台机器做YUM安装源,另外一台机器作为测试机. 1. 首先我们使用http的源来作为YUM的安装源,所以我们需要首先确保机器已经安装了apache,如果没有安装的话可以使用 "sudo yum install httpd" 来安装.安装完可以使用 "sudo service httpd start" 来启动服务. 2.

Centos6 yum安装openldap+phpldapadmin+TLS+双主配置

原文地址:http://54im.com/openldap/centos-6-yum-install-openldap-phpldapadmin-tls-%E5%8F%8C%E4%B8%BB%E9%85%8D%E7%BD%AE.html 钿畑的文章索引 1.概念介绍 2. 环境介绍 2. 准备工作 3. yum部署ldap 4. phpldapadmin安装 5.ldap客户端配置 6.用户目录自动挂载 6.1 服务器端配置 6.2 客户端配置 7.配置TLS传输加密 8.配置openldap双

Centos7 安装配置OpenLdap服务及OpenLdap管理工具

我们上一篇文章中介绍了,Centos7+Openvpn使用Windows AD(LDAP)验证登录的配置介绍.说到LDAP服务,我们知道不止windows有,linux下也有,比如openldap,sambaLDAP服务,具体就不多介绍了,我们今天主要介绍一下Centos7 安装配置OpenLdap及Ldap管理工具等操作,为后面的Centos7+Openvpn+openldap验证登录做好基础. 我们首先配置一个指定源,我们源地址指向了阿里云的仓库源 cd /etc/yum.repos.d v

2、LDAP yum安装

一.yum安装 #yum install -y openldap openldap-servers openldap-clients #rpm -ql  openldap 二.配置文件 #cp /usr/share/openldap-servers/slapd.conf.obsolete /etc/openldap/slapd.conf #vim /etc/openldap/slapd.conf 修改suffix 和rootdn,rootpw #slappasswd(可以生成SSHA加密方式的管

Service系统服务(二)：补充应用技巧、软连接与硬连接、man手册、zip备份、vim效率操作、自定义yum软件仓库、发布及测试yum仓库、编译安装软件包

一.补充应用技巧 目标: 本例要求掌握在运维中比较常用的一些扩展命令技巧的使用,完成下列小技巧操作: 1> 采用数值形式将目录/root的权限调整为 rwx------   2> 将记录的历史命令条数更改为 200 条   3> 统计 /boot./etc/pki 目录占用的空间大小   4> 以格式"yyyy-mm-dd HH:MM" 显示系统时间 方案: date日期时间工具: 1> 显示日期时间:date.date +"%Y-%m-%d %

自动化服务部署（一）：Linux下安装JDK

自动化测试的主要目的是为了执行回归测试.当然,为了模拟真实的用户操作,一般都是在UAT或者生产环境进行回归测试. 为了尽量避免内网和外网解析对测试结果的影响,一般将自动化测试服务部署在外网的服务器是比较好的选择. 今天申请的测试服务器下来了,阿里云的Linux服务器,对我这个很少用Linux的人来说,安装工具就让我很受伤(还是太菜了啊...) 这篇博客,就将基本的安装步骤整理下,供像我这样的Linux小白参考... 1.准备服务器 这个根据个人情况,可以虚拟机安装也可以从云服务提供商那里租用服务