一.openldap简介
LDAP是轻量目录访问协议，英文全称是Lightweight Directory Access Protocol，一般都简称为LDAP。属于开源集中账号管理架构的实现。LDAP具有两个国家标准，分别是X.500和LDAP。OpenLDAP支持TCP/IP协议，目前TCP/IP协议是Internet上访问互联网协议。OpenLDAP直接运行在更简单和通用的TCP/IP或其他可靠的传输协议层上，避免了在OSI会话层和表示层的开销，使连接的建立和包的处理更简单，更快；OpenLDAP默认是以Berkeley DB作为后端数据库，Berkeley DB数据库主要以散列的数据库类型进行数据存储。
二. DAP中常用的名词缩写即含义
1.dc(domain component):域名,如域名为example.com变成dc=example,dc=com。
2.uid(user id):指用户的的登录名称，如uid=tom，与linux系统的UID不是一个概念。
3.ou(organization unit):制定一个组织单元的名称，如ou=people，dc=example,dc=com。
4.cn(common name):指一个对象的名称，如果是人，需要使用全名。
5.dn(distinguished name):唯一标识名，类似linux文件系统的绝对路径，每个对象都有唯一的标识 名，如uid=tom，ou=people，dc=example,dc=com。
6.sn(sur name):指一个人的姓氏。
7.giveName：指一个人的名字。
三.LDIF解释
LDIF(LDAP Data Interchanged Format)的轻量级目录访问协议数据交换格式的简称，是存储LDAP配置信息及目录内容的标准文本文件格式。
四.Openldap同步原理及配置
1.OpenLdap同步条件
a.OpenLDAP服务器之间需要保持时间同步。
b.OpenLDAP软件包版本一致。
c.OpenLDAP节点之间域名可以互相解析。
d.配置OpenLDAP同步复制，需要提供完全一样的配置及目录树。
e.数据的条目保持一致。
f.额外的schema文件保持一致。
2.OpenLDAP5种同步模式(大体提一下，相关知识可百度)
a.Syncrepl复制
b.Delta-syncrepl复制（基于变更日志同步）
c.N-Way Multi-Master复制
d.MirrorMode复制(很重要)
e.Syncrepl Proxy代理模式
五.OpenLDAP主主同步实战案例(Mirror Mode)
1.前期规划：
A服务器：192.168.239.140
B服务器：192.168.239.139
时间同步ntpdate
把时间同步放在计划任务(crontab)中，时间同步很重要
修改主机名以及hosts文件
关闭防火墙和selinux
2.下载对应的软件包
检查是否安装wget（yum install -y wget）
mkdir /openldap
wget ftp://ftp.openldap.org/pub/OpenLDAP/openldap-release/openldap-2.4.23.tgz
wget http://download.oracle.com/berkeley-db/db-4.6.21.tar.gz
3.安装对应的软件包
yum -y install libtool-ltdl libtool-ltdl-devel gcc openssl openssl-devel
安装一些加密的软件包(不然后期会报错)：yum -y install cyrus-sasl-lib.x86_64
cyrus-sasl-devel.x86_64 cyrus-sasl-plain.x86_64 cyrus-sasl-md5.x86_64
cyrus-sasl-ldap.x86_64
4.编译安装Berkeley DB源码包：
tar -xf db-4.6.21.tar.gz -C /usr/local/src
cd /usr/local/src/db-4.6.21/build_unix/ && mkdir /usr/local/BDB
../dist/configure --prefix=/usr/local/BDB # ../dist/configure --help可以查看帮助
make && make install
echo "/usr/local/BDB/lib/" > /etc/ld.so.conf.d/bdb.conf #添加的库文件和头文件主要作为其 他程序编译安装所调用的库文件和头文件。
ldconfig -v #重新让内核读取库文件
ln -sv /usr/local/BDB/include /usr/include/bdb #添加Berkeley DB相关头文件
5.编译安装OpenLDAP源码包
tar -xf openldap-2.4.23.tgz -C /usr/local/src/
cd /usr/local/src/openldap-2.4.23/
./configure --prefix=/usr/local/openldap --enable-syslog --enable-modules --enable-debug --with-tls CPPFLAGS=-I/usr/local/BDB/include/ LDFLAGS=-L/usr/local/BDB/lib/ --enable-ldap --enable-relay --enable-accesslog --enable-auditlog --enable-syncprov --with-cyrus-sasl --enable-spasswd
make depend
make && make install
echo "/usr/local/openldap/lib/" > /etc/ld.so.conf.d/ldap.conf #添加OpenLDAP库文件
ldconfig -v
ln -sv /usr/local/openldap/include/ /usr/include/ldap #添加OpenLDAP头文件
6.设置可执行命令
cd /usr/local/openldap
ln -s /usr/local/openldap/bin/* /usr/local/bin/
ln -s /usr/local/openldap/sbin/* /usr/local/sbin/
7.配置rootdn密码
slappasswd 生成密码，记录下密码，后期配置文件要用
这是我生成的：{SSHA}K/DXlq/QVoNsC1LnLTxW5KossmkMlaRA
8.创建一些相关目录以及用户（日志目录等等相关目录）
mkdir /data/openldap/{data,log,var}
cd /data/openldap/var/
mkdir run
useradd ldap
9.复制数据库文件以及修改文件权限
cp /usr/local/openldap/etc/openldap/DB_CONFIG.example /data/openldap/data/DB_CONFIG
chown -R ldap:ldap /data/openldap/data
chmod 700 -R /data/openldap/data
10.编辑配置文件
cd /usr/local/openldap/etc/openldap/
vim slapd.conf
配置文件如下：
include /usr/local/openldap/etc/openldap/schema/core.schema
include /usr/local/openldap/etc/openldap/schema/collective.schema
include /usr/local/openldap/etc/openldap/schema/corba.schema
include /usr/local/openldap/etc/openldap/schema/cosine.schema
include /usr/local/openldap/etc/openldap/schema/duaconf.schema
include /usr/local/openldap/etc/openldap/schema/dyngroup.schema
include /usr/local/openldap/etc/openldap/schema/inetorgperson.schema
include /usr/local/openldap/etc/openldap/schema/java.schema
include /usr/local/openldap/etc/openldap/schema/misc.schema
include /usr/local/openldap/etc/openldap/schema/nis.schema
include /usr/local/openldap/etc/openldap/schema/openldap.schema
include /usr/local/openldap/etc/openldap/schema/ppolicy.schema
#include行代表当前OpenLDAP服务包含的schema文件
pidfile /data/openldap/var/run/slapd.pid #OpenLDAP进程启动时，pid文件存放路径
argsfile /data/openldap/var/run/slapd.args #OpenLDAP参数文件的路径
loglevel 256 #日志级别
logfile /data/openldap/log/slapd.log #日志的路径
moduleload syncprov.la #OpenLDAP指定需要加载额外的模块
database bdb #指定OpenLDAP数据库类型
suffix "dc=zhongkai,dc=com" #指定OpenLDAP服务域名（DN）
rootdn "cn=Manager,dc=zhongkai,dc=com" #指定OpenLDAP服务管理员信息
directory /data/openldap/data #指定OpenLDAP数据库文件的存放目录
rootpw {SSHA}zHRFSAehsnbfonWg4GRgNQsiQHxKppvs #管理员密码
index objectclass,entryCSN,entryUUID eq #创建OpenLDAP索引,提高读写效率
overlay syncprov #复制引擎
syncprov-checkpoint 100 10
syncprov-sessionlog 100
serverID 2 节点ID,唯一（修改）
syncrepl rid=123
provider=ldap://192.168.239.139 #对端IP地址（修改）
bindmethod=simple #绑定的方法简单模式
binddn="cn=Manager,dc=zhongkai,dc=com" #绑定的dn
credentials=123456 #密码
searchbase="dc=zhongkai,dc=com" #起始域
schemachecking=off
type=refreshAndPersist
retry="60 +"
mirrormode on #开启mirror mode模式
另外一台机器要修改的地方我已经标记。
11.安装和配置LDAP管理工具PHPldapadmin
yum -y install httpd php php-ldap php-gd php-mbstring php-pear php-bcmath php-xml
yum -y install epel-release
yum --enablerepo=epel -y install phpldapadmin
修改配置文件
1.vim /etc/phpldapadmin/config.php +398
注意：修改配置文件前先备份,这是我的常用方法:cp 文件名{,.bak}
并且在修改配置文件时候，最好不要改动原来的文件，需要改啥就复制相应的行来改动，原来的文件注释掉即可，养成一个好的习惯，很重要哦！
#397行取消注释，398行添加注释
$servers->setValue(‘login‘,‘attr‘,‘dn‘)
// $servers->setValue(‘login‘,‘attr‘,‘uid‘);
2.vim /etc/httpd/conf.d/phpldapadmin.conf
11行：<Directory /usr/share/phpldapadmin/htdocs>
<IfModule mod_authz_core.c>
# Apache 2.4
Require all granted(修改为这个)
</IfModule>
启动httpd，并设置为开机自启
systemctl start httpd
systemctl enable httpd
12.开启日志功能
a.vim /root/loglevel.ldif（这四行）
1.dn: cn=config
2.changetype: modify
3.replace: olcLogLevel
4.olcLogLevel: stats
b.vim /etc/rsyslog.d/slapd.conf
1.local4.* /data/openldap/log/openldap.log
13.重新启动rsyslog和slapd服务
systemctl restart rsyslog
usr/local/openldap/libexec/slapd [restart|start|stop]
有时slapd服务停止不了，那就必须使用kill
方法：先用netstat -anlp | grep slapd 查看相应的进程号，使用kill -9 PID号码干掉，重新启动。
14.测试
访问访问用http://ip地址（填自己的呀！别填我的。）/phpldapadmin
点击登录：登录dn：cn=Manager,dc=zhongkai,dc=com
密码：123456（还是填你自己设置的）
先测试140可以向139同步吗？
打开ou=peopel，发现只用一条记录，点击添加新条目，添加zhogkai完成后，看访问139people是否多了一个条目。
基本上需要刷新一下就可以出现。
在192.168.239.140的那台机器上创建对象，看在192.168.239.139上是否同步过去。
成功，然后在192.168.239.139机器上创建一个对象，看192.168.239.140的那台机器是否可以同步过去。这样才算成功。
之前我在实验过程中遇到的问题有：
1.我用到openldap的版本是openldap-2.4.23，源码安装，建议还是源码安装，yum安装版本是openldap-2.4.44，导致没有slapd.conf这个文件，需要修改slapd.d这个目录下的cn=config下的数据库文件，比较复杂，问题比较多，坑比较多，建议源码安装，生产环境下一般都是源码安装，不要嫌弃麻烦。
2.后期测试的是192.168.239.140向192.168.239.139时同步时，可以同步过去，但是192.168.239.139向192.168.239.140同步的时候同步不成，通过查看日志，报address alrealdy in use。
在镜像同步的模式下，两台服务器均可以进行读写操作，任何一台信息发生变化，都会以推的方式进行通知。注意：是那台向那台服务器同步不成功，就去找那台的日志。
六.总结
学习openldap已经差不多俩周了，自己也算有点收获吧，从刚开始的接触到现在略知一二，自己也总结了自己学习新东西的过程：结合参照资料了解基本概念，在实践中具体理解其含义是最有效的方法，其次可以给其他人讲出来，这也是一种好的学习方法；还有就是在报错的时候或者出问题的时候，要有自己解决问题的思路，思路真的很重要。感谢我的师兄，教会了我好多同时也学到了不少东西，再次感谢。
原文地址：https://www.cnblogs.com/zhongkai-27/p/9872433.html