openldap 集成 sssd

openldap 集成 sssd

实验环境： openldap 服务器，ip：10.2.7.100。sssd 服务器，操作系统 centos7，ip：10.2.7.200

sssd 服务

一个守护进程，该进程可以用来访问多种验证服务器，如LDAP，Kerberos等，并提供授权。SSSD是 介于本地用户和数据存储之间的进程，本地客户端首先连接SSSD，再由SSSD联系外部资源提供者(一台远程服务器)
(1)避免了本地每个客户端程序对认证服务器大量连接，所有本地程序仅联系SSSD，由SSSD连接认证服务器或SSSD缓存，有效的降低了负载。
(2)允许离线授权。SSSD可以缓存远程服务器的用户认证身份，这允许在远程认证服务器宕机是，继续成功授权用户访问必要的资源。
(3)SSSD默认配置文件位于/etc/sssd/sssd.conf，你可以通过命令使得SSSD以指定的配置文件运行：#sssd –c /etc/sssd/customfile.conf
(4)ldap_uri指向你的ldap服务器。可以使用域名，或者是ip地址。

openldap 搭建

如果按照教程1 手动搭建 openldap，可以按照 教程2实现 openldap 集成 sssd。但是教程1中的 openldap 可以不用 rootdn 密码就可以查询帐号信息，虽然秘密信息经过 ssha 加密，感觉还是不安全。教程3实现的 openldap 需要密码才能查询信息，感觉更安全，本文搭建 openldap 参考教程3。

sssd 搭建

sssd 服务器安装 openldap client，sssd，authconfig， nss-pam-ldapd

yum -y install openldap-clients sssd authconfig nss-pam-ldapd

配置sssd.conf文件，如果文件不存在则新建

[root@proxy ~]# cat /etc/sssd/sssd.conf 
[sssd]
config_file_version = 2
services = nss, pam
domains = default

[nss]
filter_users = root,ldap,named,avahi,haldaemon,dbus,radiusd,news,nscd

[pam]

[domain/default]
auth_provider = ldap
id_provider = ldap
ldap_schema = rfc2307
ldap_search_base = dc=example,dc=io
ldap_group_member = memberuid
ldap_tls_reqcert = never
ldap_id_use_start_tls = False
chpass_provider = ldap
ldap_uri = ldap://10.2.7.100
#ldap_tls_cacertdir = /etc/openldap/cacerts
entry_cache_timeout = 600
ldap_network_timeout = 3
#ldap_access_filter = (&(object)(object))
ldap_default_bind_dn = cn=admin,dc=example,dc=io
ldap_default_authtok_type = password
ldap_default_authtok = ldap123
#cache_credentials = True
#enumerate=true

修改sssd.conf文件权限

chmod 600 /etc/sssd/sssd.conf 

重启 sssd 服务

systemctl restart sssd

sssd 有缓存的功能，清除缓存命令

sss_cache -E

检验，openldap 已经建了用户 uid=test01

id test01

参考文章：
https://www.ibm.com/support/knowledgecenter/zh/SSPT3X_4.1.0/com.ibm.swg.im.infosphere.biginsights.install.doc/doc/bi_install_config_ldap_6.html
https://cloud.tencent.com/developer/article/1078641
https://blog.csdn.net/Man_In_The_Night/article/details/101530244
https://blog.csdn.net/qq_21383435/article/details/83313824#18__125
https://blog.csdn.net/liu16659/article/details/80997333