开发者社区> 异步社区> 正文

《Linux/UNIX OpenLDAP实战指南》——2.4 OpenLDAP配置

简介: 通过配置数据库完成各种配置,属于动态配置且不需要重新启动slapd进程服务。此配置数据库(cn=config)包含一个基于文本的集合LDIF文件(位于 /etc/openldap/slapd.d目录下)。
+关注继续查看

本节书摘来自异步社区《Linux/UNIX OpenLDAP实战指南》一书中的第2章,第2.4节,作者:郭大勇著,更多章节内容可以访问云栖社区“异步社区”公众号查看

2.4 OpenLDAP配置

在OpenLDAP 2.4版本中,配置OpenLDAP的方法有两种:一种通过修改配置文件实现配置,另一种通过修改数据库的形式完成配置。

通过配置数据库完成各种配置,属于动态配置且不需要重新启动slapd进程服务。此配置数据库(cn=config)包含一个基于文本的集合LDIF文件(位于 /etc/openldap/slapd.d目录下)。当前仍然可以使用传统的配置文件(slapd.conf)方式进行配置,通过配置文件来实现slapd的配置方式。slapd.conf可以通过编辑器进行配置,但cn=config不建议直接编辑修改,而是采用ldap命令进行修改。

本书中两种配置方式均有介绍,旨在让读者了解两种方法的本质区别。

2.4.1 OpenLDAP相关信息
配置文件路径包括以下几个。

/etc/openldap/slapd.conf(OpenLDAP主配置文件,记录根域名称、管理员名称、密码、日志、权限等相关信息)。
/var/lib/ldap/*(OpenLDAP数据文件存储位置,可以根据需求进行调整。但为了保证数据的安全,作者建议放到存储设备上或独立的分区上)。
/etc/openldap/slapd.d/*
/usr/share/openldap-servers/slapd.conf.obsolete(模板配置文件)。
/usr/share/openldap-servers/DB_CONFIG.example(模板数据库配置文件schema路径)。
/etc/openldap/schema/*(OpenLDAP schema规范存放位置)
OpenLDAP监听的端口有以下两个。

默认监听端口:389(明文数据传输)。
加密监听端口:636(密文数据传输)。
2.4.2 slapd.conf配置文件
OpenLDAP主配置文件为/etc/openldap/slapd.conf。此文件默认不存在,需要复制安装OpenLDAP软件包安装所产生的配置文件模板并重命名它为slapd.conf文件,这同样可以通过修改数据库文件实现配置。

1.获取openldap-servers软件包生成的文件
要获取openldap-servers软件包生成的文件,命令如下。

[root@mldap01 ~]# rpm -ql openldap-servers | egrep -i '(slapd\.conf\.*|DB_CONFIG.example)'
/etc/openldap/slapd.conf
/etc/openldap/slapd.conf.bak
/usr/share/man/man5/slapd.conf.5.gz
/usr/share/openldap-servers/DB_CONFIG.example  
/usr/share/openldap-servers/slapd.conf.obsolete
[root@mldap01 ~]#

2.软件包所产生文件的用途
/usr/share/openldap-servers/slapd.conf.obsolete为OpenLDAP配置文件模板。
/usr/share/openldap-servers/DB_CONFIG.example为OpenLDAP数据库配置文件模板。
要配置OpenLDAP服务端,需要将如上配置文件模板复制到/etc/openldap/目录下并命名为slapd. conf,同时将数据库配置文件模板复制到/var/lib/ldap/目录中并将其命名为DB_CONFIG,且/var/lib/ldap/目录权限所有主(owner),所属组(group)必须为ldap用户可读写,否则会在加载slapd进程时显示权限警告。

3.slapd.conf配置文件参数
/etc/openldap/slapd.conf为OpenLDAP主配置文件,以#号开头的为注释说明。

include         /etc/openldap/schema/corba.schema
include         /etc/openldap/schema/core.schema
include         /etc/openldap/schema/cosine.schema
include         /etc/openldap/schema/duaconf.schema
include         /etc/openldap/schema/dyngroup.schema

include行代表当前OpenLDAP服务包含的schema文件。schema是整个OpenLDAP目录树的标准规范,标识数据和类型的关系。例如,要使OpenLDAP服务端支持Samba服务用户验证,此时就需要包含Samba对应的schema文件(samba.schema),关于schema,第1章已经介绍,在此不做过多的解释。

OpenLDAP服务允许连接的客户端版本。
allow bind_v2
OpenLDAP进程启动时,pid文件存放路径。
pidfile         /var/run/openldap/slapd.pid
OpenLDAP参数文件存放的路径。
argsfile        /var/run/openldap/slapd.args
OpenLDAP指定需要加载额外的模块。
moduleload ppolicy.la
OpenLDAP模块文件存放的路径。
modulepath /usr/lib/openldap      //32bit的模块文件路径
modulepath /usr/lib64/openldap     //64bit的模块文件路径

OpenLDAP通过加密传输所加载的配置文件时默认OpenLDAP服务器采用明文传输数据。
在网络上传输极其不安全,所以需通过如下配置将数据加密传输,前提是需要第三方合法的证书机构颁发的数字证书(关于证书的构建及颁发,第8章详细介绍如何通过自建证书实现数据加密传输)。

TLSCACertificatePath /etc/openldap/certs
TLSCertificateFile "\"OpenLDAP Server\""
TLSCertificateKeyFile /etc/openldap/certs/password

指定OpenLDAP数据库类型。
OpenLDAP服务后端存储数据库引擎支持的数据库类型有MySQL、DB2、Oracle等关系数据库,默认为bdb数据库。

database bdb
指定OpenLDAP服务域名(DN)。
指定要搜索或查询OpenLDAP目录树的后缀名称等同于AD域名。

suffix "dc=example,dc=com"
指定OpenLDAP服务管理员信息。
OpenLDAP服务管理员对目录树进行管理,如插入、更新、修改及删除等管理操作,要求系统管理员具有root身份权限,此管理员用户名可以自我修改。

rootdn "cn=Manager,dc=example,dc=com"
指定OpenLDAP服务管理员密码。
要配置管理员密码,密码可以通过明文添加,也可以通过slappasswd -s gdy@123!来获取加密字符串,然后将加密字符串粘贴在roopw后面,实现密文添加。属性与值之间通常使用三个Tab键进行分开。配置文件要求非常严格,后面不能有任何空格或者制表符。

# rootpw                secret
root  gdy@123!     #明文添加,不建议使用
rootpw   {SSHA}dXWdy83Gn8eg5oD2yUECQzgDnr8LrDqW  #密文添加,建议使用

通过修改cn=config来实现管理员的修改以及密码的修改。

# cat << EOF | ldapadd -Y EXTERNAL -H ldapi:///
dn: olcDatabase={0}config,cn=config
changetype: modify
delete: olcRootDN

dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootDN
olcRootDN: cn=Admin,cn=config

dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}tDTQMzxQZjv+W2QRnt0Os2KHNp/lbqEQ
EOF
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "olcDatabase={0}config,cn=config"

modifying entry "olcDatabase={0}config,cn=config"

modifying entry "olcDatabase={0}config,cn=config"

此时管理员由“cn=Manager,dc=gdy, dc=com”修改为“cn=Admin,dc=gdy,dc=com”。密码由原来的“gdy@123!”修改为“redhat@123!”。

指定OpenLDAP数据库文件的存放目录。
指定一个目录用于存放OpenLDAP目录树所有数据,如用户及组信息、sudo规则、密码策略等数据。

directory /var/lib/ldap
创建OpenLDAP索引。
通过创建索引(index),提高读写效率,这类似于关系数据库中索引的概念。

index objectClass                       eq,pres
index ou,cn,mail,surname,givenname      eq,pres,sub
index uidNumber,gidNumber,loginShell    eq,pres

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
《Linux/UNIX OpenLDAP实战指南》——2.6 OpenLDAP目录树规划
本节书摘来自异步社区《Linux/UNIX OpenLDAP实战指南》一书中的第2章,第2.6节,作者:郭大勇著,更多章节内容可以访问云栖社区“异步社区”公众号查看
2063 0
《高性能Linux服务器构建实战》——1.4节Nginx的安装与配置
本节书摘来自华章社区《高性能Linux服务器构建实战》一书中的第1章,第1.4节Nginx的安装与配置,作者:高俊峰,更多章节内容可以访问云栖社区“华章社区”公众号查看
1758 0
CentOS 6.4安装配置ldap
CentOS 6.5安装配置ldap 时间:2015-07-14 00:54来源:blog.51cto.com 作者:“ly36843运维” 博客 举报 点击:274次 一.
1198 0
SpringBoot实战(六)之使用LDAP验证用户
关于ubuntu16.04服务器安装配置LDAP参考链接为:https://www.howtoing.com/how-to-install-and-configure-openldap-and-phpldapadmin-on-ubuntu-16-04/ 本文主要讲LDAP相关的概念,普及相关知识和相关例子实战。
2406 0
+关注
异步社区
异步社区(www.epubit.com)是人民邮电出版社旗下IT专业图书旗舰社区,也是国内领先的IT专业图书社区,致力于优质学习内容的出版和分享,实现了纸书电子书的同步上架,于2015年8月上线运营。公众号【异步图书】,每日赠送异步新书。
12049
文章
0
问答
文章排行榜
最热
最新
相关电子书
更多
JS零基础入门教程(上册)
立即下载
性能优化方法论
立即下载
手把手学习日志服务SLS,云启实验室实战指南
立即下载