LDAP落地实战（一）：OpenLDAP部署及管理维护

最新推荐文章于 2021-12-04 12:01:19 发布
最新推荐文章于 2021-12-04 12:01:19 发布
阅读量327 收藏 2
点赞数
原文链接：https://my.oschina.net/37Y37/blog/1863182
版权

公司内部会有许多第三方系统或服务，例如Svn,Git,VPN,Jira,Jenkins等等，每个系统都需要维护一份账号密码以支持用户认证，当然公司也会有许多的主机或服务器，需要开放登录权限给用户登录使用，每台主机需要添加登录的账号密码，这些操作不仅繁琐且不方便管理，密码记错或遗忘的情况时有发生。

引入一套支持各系统、服务、主机单点认证的服务就显得尤其迫切和重要。LDAP服务正是为此而生，且经过长时间市场检验，安全稳定，文档也比较丰富，方便上手。

LDAP

可以通过以下三句话快速的认识一下LDAP：

  1. LDAP：Lightweight Directory Access Protocol，轻量目录访问协议。
  2. LDAP服务是一个为只读（查询、浏览、搜索）访问而优化的非关系型数据库，呈树状结构组织数据。
  3. LDAP主要用做用户信息查询（如邮箱、电话等）或对各种服务访问做后台认证以及用户数据权限管控。

名词解释

  • DC：domain component一般为公司名，例如：dc=163,dc=com
  • OU：organization unit为组织单元，最多可以有四级，每级最长32个字符，可以为中文
  • CN：common name为用户名或者服务器名，最长可以到80个字符，可以为中文
  • DN：distinguished name为一条LDAP记录项的名字，有唯一性，例如：dc:"cn=admin,ou=developer,dc=163,dc=com"

图形示例

上边来了一堆的名词解释，看的云里雾里，还不是很明白，怎么跟自己的组织架构对应起来呢？看看下边的图是不是清晰明了

OpenLDAP

上边介绍了LDAP只是一个协议，基于这个协议实现服务器端程序有OpenLDAP、Active Directory(微软的域控制器)等等。

部署OpenLDAP

部署环境：Debian 8.4

1.安装OpenLDAP,OpenLDAP服务端程序叫slapd

# apt-get install -y slapd

2.安装完成之后，会自动生成一个OpenLDAP的系统账号

# cat /etc/passwd
openldap:x:110:115:OpenLDAP Server Account,,,:/var/lib/ldap:/bin/false

3.生成OpenLDAP管理员账号的密码（后边修改配置文件需要使用）

# slappasswd
New password: 
Re-enter new password: 
{SSHA}TpWoSebaT5gKy2Y3EHmZh+Wc0hJaFp7y

4.新建OpenLDAP配置文件

# cp /usr/share/slapd/slapd.conf /etc/ldap/
# 配置文件中有很多@xxx@的配置替换为真实配置

# slaptest -f /etc/ldap/slapd.conf 
5ad9b19d /etc/ldap/slapd.conf: line 105: rootdn is always granted unlimited privileges.
5ad9b19d /etc/ldap/slapd.conf: line 122: rootdn is always granted unlimited privileges.
config file testing succeeded

配置文件重要参数说明（需要自己修改的，其他未提到的可以不修改）：

  • database bdb：定义使用的后端数据存储格式，数据库默认采用了berkeley db，其后可以跟的值有bdb、ldbm、passwd、shell。bdb指使用Berkley DB 4数据库
  • suffix "dc=163,dc=com"：suffix是"LDAP基准名"，它是LDAP名字空间在这里的根。设置想要创建的子树的根DN
  • rootdn "cn=admin,dc=163,dc=com"：设置管理LDAP目录的超级用户的DN。这个用户名不要出现在/etc/passwd文件里
  • rootpw {SSHA}TpWoSebaT5gKy2Y3EHmZh+Wc0hJaFp7y：设置这个数据库的超级用户的口令验证方式。也就是上边rootdn设置的用户的密码。一定要用加密的口令存储，可以使用的加密方式有：CRYPT、MD5、SMD5、SHA和SSHA，就是我们第三部生成的密码
  • directory /var/lib/ldap：设置LDAP数据库和索引文件所在的目录
  • access to：权限配置下边详细说明

5.删除原配置，生成新配置

# rm -rf /etc/ldap/slapd.d/*
# slaptest -f /etc/ldap/slapd.conf -F /etc/ldap/slapd.d/

# 给新生成的配置文件赋予openldap的权限
# chown -R openldap.openldap /etc/ldap/slapd.d/

6.重启openldap

# /etc/init.d/slapd restart

ACL权限控制

ACL访问指令的格式：

access to [what]
    by [who] [control]

简单解释：通过access to约束我们访问的范围（what），通过by设定哪个用户（who）有什么权限（control）

ACL的详细配置还是比较复杂的，可以看下下边参考文档的第三篇，写的比较详细，这里都不再赘述。

线上ACL控制配置解析

为了用户能够自主修改密码，部署了lam给用户使用（见下文lam介绍）。希望能达到的效果是：

  1. 管理员能够有全部权限，包含新建用户，修改用户属性，充值用户密码等
  2. 普通用户只能修改自己的密码，别的权限都没有

配置如下：

# access to attrs=userPassword通过属性找到访问范围密码,
# 超级管理员也就是我们ldap配置文件里写的rootdn："cn=admin,dc=163,dc=com"有写(write)权限；
# 由于管理员可能不止一个，我创建了个管理员组"ou=Admin,dc=163,dc=com"把管理员统一都放到这个组下，管理员组下的所有用户（dn.children）有写权限；
# 匿名用户(anonymous)要通过验证(auth);
# 自己(self)有对自己密码的写（write）权限，其他人(*)都没有权限(none).
access to attrs=userPassword,shadowLastChange
        by dn="cn=admin,dc=163,dc=com" write
        by dn.children="ou=Admin,dc=163,dc=com" write
        by anonymous auth
        by self write
        by * none

# access to * 所有其他属性，
# 超级管理员rootdn："cn=admin,dc=163,dc=com"有写(write)权限；
# 管理员"ou=Admin,dc=163,dc=com"成员有写(write)权限；
# 其他人(*)只有读(read)权限
access to *
        by dn="cn=admin,dc=163,dc=com" write
        by dn.children="ou=Admin,dc=163,dc=com" write
        by * read

备份和还原

备份

# ldapsearch -x -b "dc=163,dc=com" -D "uid=authz,ou=Public,dc=163,dc=com" -w "AzdfD863M4" > ldap.20180626.ldif

参数说明：

  • -x：进行简单的验证
  • -D：用来绑定服务器的DN
  • -w：绑定DN的密码
  • -b：要查询的根节点 authz账号要有"dc=163,dc=com"的查询权限

还原

# ldapadd -x -c -D "cn=admin,dc=163,dc=com" -w "smile" -f ldap.20180626.ldif

参数说明：

  • -c：出错后继续执行程序不终止，默认出错即停止
  • -f：从文件内读取信息还原，而不是标准输入 还原的DN最好为管理员账号，至少也要有要LDAP的写入权限

web管理工具

用了phpldapadmin和ldap-account-management(简称lam)两款web管理工具，强烈推荐lam，所以这里就不介绍其他的了

ldap-account-manager

安装

1.安装ldap-account-management

# apt-get install ldap-account-manager

2.浏览器访问

http://ip/lam

配置

lam的所有配置都可以在web端配置，不需要去服务器上修改一行代码，这个太好用了。

  1. 浏览器访问后进入登录页面，我们点击右上角"LAM configuratrion"来在线编辑配置文件 image

  2. 看到如下页面有两个选项："Edit general settings"来编辑通用配置，默认密码lam，进入之后能配置密码策略、日志、管理员密码，最重要的是更新掉管理员密码，这个在后边"Manage server profiles"管理的时候需要提供；"Edit server profiles"来编辑服务器配置，我们先来编辑服务器配置 image

  3. 进入如下页面，输入默认密码lam即可编辑配置，这里要说明一下的是红框标注的"Manage server profiles"可以对服务器的配置文件进行配置，例如增加、删除配置文件、配置文件重命名，最重要的是可以设置配置文件密码（也就是我们刚输入的密码lam，但修改密码需要管理员密码，后边配置） image

  4. 输入密码lam后就正式进入服务器配置页，看到第一个标签"General setting"，（可以先改下语言简体中文保存，整站就给汉化啦，英文渣渣看起来就非常方便了），基本配置都看的很清晰了，主要是Tree suffix配置为自己的DC可以了 image

  5. 接着来看这个页面，"security settings"非常重要，配置以何种方式登录web控制台，默认为Fixed list模式，就是下边列表里配置的dn可以登录，我们ldap里还没有任何一个账号（当我们创建了账号之后可以选择"LDAP serch"的模式，让普通账号也能登录以修改自己的密码），这里要选择fixed list模式并配置为我们ldap的rootdn，设置一个密码登录之后创建账号等操作 image

  6. 接下来就是"Account types"标签页的配置，这里配置我们登录web控制显示的标签，我这里只需要他显示用户，就把Group之类的都删除了，保留了User image

  7. "Modules"页面配置上一个具体每个account type显示的模块 image

  8. "Models setting"页面配置models具体要显示的内容，不得不说配置非常详细 image

  9. 经过上边的配置就可以进入控制台新建账号了，新建账号之前一个有用的操作是修改用户的默认RDN标致为uid，更高位置在登录web控制台后右上角配置文件编辑器里边 image

  10. 基本配置完成，可以开始使用了，中文界面比较清晰，无需过多解释啦。

参考文档

参考了太多网上优秀的文章，向他们致敬，下边列出的可能不全

扫码关注公众号查看更多原创文章

转载于:https://my.oschina.net/37Y37/blog/1863182

chongxue2401
关注
LDAP实施：OpenLDAP的部署、管理和维护服务器
OUDKE的博客
09-26 165
以上就是关于如何部署、管理和维护OpenLDAP服务器的详细介绍。通过按照上述步骤进行操作，您可以成功地设置和管理您自己的LDAP服务器。LDAP提供了一种强大的方式来组织和存储目录信息，并广泛用于身份验证、访问控制和用户管理等领域。LDAP（轻量级目录访问协议）是一种用于访问和维护分布式目录信息的协议。在本文中，我们将重点介绍如何使用OpenLDAP来部署、管理和维护LDAP服务器。下面将逐步讲解整个过程，并提供相应的源代码。上述命令将删除指定DN的条目。，设置了域名和管理员账户。，指定了数据库类型为。
OpenLDAP 介绍及安装部署实战
最新发布
cc20100608的专栏
04-25 2972
ldap 介绍测试环境安装 LDAP 服务端设置 LDAP 的 root 密码配置 LDAP 服务端创建 LDAP 证书设置 LDAP 数据库创建 LDAP 用户添加防火墙规则开启 LDAP 日志配置 LDAP 客户端验证 LDAP 登录附录使用 Docker 部署 OpenLDAPOpenLDAP 是由 OpenLDAP 项目开发的轻量级目录访问协议的开源实现。LDAP 是一种互联网协议，电子邮件和其他程序用于从服务器查找联系人信息。它在 OpenLDAP 公共许可证下发布；
LDAP & OPENLDAP实践
zchiml的专栏
09-19 196
LDAP DN： distinguished name 。在LDAP目录中的所有记录项都有一个唯一的DN CN,OU,DC 都是LDAP连接服务器的端字符串中的区别名称; LDAP连接服务器的连接字串格式为：ldap://servername/DN   其中DN有三个属性，分别是CN,OU,DC   LDAP是一种通讯协议，如同HTT...
openLDAP实战
语于冰
04-15 359
title: openLDAP实战 date: 2021-02-26 11:50:18 categories: 运维 tags: 运维 ldap是什么 LDAP是轻量目录访问协议(Lightweight Directory Access Protocol)的缩写，LDAP是从X.500目录访问协议的基础上发展过来的，目前的版本是v3.0。 与LDAP一样提供类似的目录服务软件还有ApacheDS、Active Directory、Red Hat Directory Service 。 ldap核心.
openldap 操作实战
weixin_33922672的博客
07-12 163
openldap 操作实战（修改用户属性）批量修改用户的家目录：编辑批量用户名，及要修改的属性执行功能：查找包含字符串fuckyou 或者 zhangsan的行[root@jumpserver tmp]# ldapsearch -x -b "dc=alon,dc=com" | grep -i "fuckyou\|zhangsan"sudoUser: zhangsan# zha...
ldap实践
weixin_34387284的博客
01-11 239
2019独角兽企业重金招聘Python工程师标准>>> ...
ldap-ui:OpenLDAP的简约Web前端
04-28
简单的LDAP编辑器 这是LDAP目录的最小Web界面。 特征： 目录树视图 条目创建/修改/删除 LDIF导入/导出 JPEG支持inetOrgPerson 模式感知 简单搜索（可配置） ... LDAP_URL ：连接URL（可选），默认为ldap:/// 。
WikiMNV-LDAP-Test:测试OpenLDAP + JNDI
05-11
- **作用**：OpenLDAP提供了一个可扩展的、高性能的目录服务，用于存储和管理用户账户、组、网络设备等资源的信息。 - **架构**：OpenLDAP基于LDAP协议，支持X.500标准，包含一个服务器进程（slapd）和一系列工具...
ldap教程，openLDAP实战指南
03-15
LDAP教程，openLDAP实战指南，这部教程着重于指导用户如何在实际环境中部署和管理OpenLDAP服务器。在LDAP系统中，数据的组织类似于文件系统，以树形层级结构呈现。每个节点称为条目，每个条目由一个唯一标识符...
OpenLDAP部署及管理维护
袁瑞麟的专栏
05-05 477
OpenLDAP部署及管理维护前言安装OpenLDAP 前言 本安装过程参考LDAP落地实战（一）：OpenLDAP部署及管理维护。 本文环境是Ubuntu18.04LTS。Ubuntu是安装在虚拟机上。 安装OpenLDAP 安装命令如下: #sudo apt install -y slapd 安装完成之后，会自动生成一个OpenLDAP的系统账号: //查看账号 #cat /etc/pass...
PHP史上最全的LDAP对接获取用户信息方案
Jokenzhang
12-04 2505
PHP语言对接ldap获取用户信息的例子很少，今天我给大家分享一下，以下经验是我走了很多坑总结出来的。 对接LDAP不是用LDAP的接口，直接用PHP的扩展就可以了。 直接贴代码： <?php /** * 使用ldap的时候需要看一下PHP的扩展是否开启，直接命令行或者phpinfo搜索 LDAP * 命令行： 1、php -module | grep ldap * 2、php -r "phpinfo();" | grep LDAP * ldap 在Yii框架中使用可
midpoint源码阅读七（使用示例：多租户用户管理三——OpenLdap 中文文档）
风水月的专栏
06-20 602
Openldap官网文档：http://www.openldap.org/doc/ Openldap官网文档翻译：OpenLDAP2.4管理员指南 Openldap中文文档：openLDAP (简体中文) 1、常用命令行 1）查询 [root@localhost 桌面]# ldapsearch -x -D &quot;cn=admin,dc=example,dc=com&quot; -w zhl -b &quot;d...
CentOS下搭建LDAP服务器
chengfangang的专栏
10-15 1895
1 安装 OpenLDAP [root@openldap ~]# yum -y install openldap-servers openldap-clients # generate password for ldap admin [root@openldap ~]# slappasswd -s password -h {MD5} # (1) remember {MD5}*******
安装openldap时遇到的问题
CXC0716的专栏
10-29 1669
项目的需要，需要安装一个独立的openldap服务器作用户验证用，但是在安装时遇到了不少问题，现把主要问题作下记录，希望对后来者有所帮助。 安装系统环境：centos5.6 1.安装完berkeleydb后，要注意加入三个变量，否则在ldap编译时会提示未找到hdb,或者提示数据库版本与ldap版本与匹配。 export CPPFLAGS="-I/usr/local/BerkeleyDB/i
域控启用ldap_samba+ldap实现linux域控
weixin_42397024的博客
12-24 1231
系统AS4.1所需软件：openldap、samba、phpldapadmin-0.9.8.2.tar.gz、smbldap-tools-0.9.2.tgz(添加、管理域帐户)。安装好openldap、samba(见配置文件)[root@pdc samba]# grep -v "#" smb.conf |grep -v ";"|uniq[global]workgroup = ldap.comnet...
ldap 的启动和停止
我的地盘
05-03 1万+
<br />运行SLAPD<br />slapd被设计为可以作为一个单独的服务器运行。这允许服务器充分的利用缓存，利用底层数据库的特性来管理并发，并且节省系统资源。从inetd(8)来运行slapd(8)不能作为选项。1、 命令行选项<br />slapd(8)支持大量的命令行选项。它们在手册页中有详细的说明。本部分详细说明了几个常用的选项。<br />-f <br />该选项说明了可以为slapd使用的另外的配置文件。缺省选项是正常情况下的/usr/local/etc/openldap/slapd.con
schema.conf
weixin_34293141的博客
09-01 129
include /usr/local/etc/openldap/schema/core.schemainclude /usr/local/etc/openldap/schema/collective.schemainclude /usr/local/etc/openldap/schema/corba.schemainclude /usr/local/etc/openldap/schema/cosi...
LDAP基础：7：使用ldapmodify和ldapdelete进行修改或删除
热门推荐
知行合一 止于至善
11-16 2万+
这篇文章主要介绍一下如何使用ldapmodify和ldapdelete进行信息的修改或者删除，并在前面添加的数据的基础上进行一些简单的例子的操作。
Spring LDAP操作指南：实战OpenLDAP
"这是一份关于使用Spring框架操作LDAP（轻量级目录访问协议）的指南，主要参考了Spring LDAP的官方文档。该文档适用于版本1.3.1.RELEASE，由多位作者共同创作并受版权保护。文档包含了对Spring LDAP的详细结构和各个...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值