Ubuntu OpenLdAP 安装及其配置

环境：Ubuntu 16.04   虚拟机

LDAP(Lightweight Directory Access Protocol)是基于X.500标准的轻量级目录访问协议，在Unix操作系统里面，和NIS,DNS一样，属于名称服务(Naming Service)。本文描述了如何在Ubuntu操作系统上面，搭建LDAP服务。

第一步：修改hosts ，具体如下：

127.0.0.1       localhost

127.0.1.1       ldap.ldapdomain.com alternative

192.168.0.103   ldap.ldapdomain.com

注：在 Debain 里安装 OpenLDAP 时，Debian 会提示给 LDAP 的 admin 用户设置一个密码，然后就自动地创建了一个默认的数据库，这个默认的数据库使用了一个默认的 base DN，默认情况下，Debian 会使用本机的域名来作为 base DN，比如如果我的域名是 ldapdomain.com，那么 Debian 就会使用 dc=ldapdomain,dc=com 作为我的默认 base DN

第二步：安装，配置软件

sudo apt-get install -y slapd ldap-utils

安装会要求输入密码




注：

slapd: openldap服务端程序组件

          slapd: 守护进程

          slapdn

          slapadd

          slapcat: 导出ldap数据库文件为.ldif格式

          ......

          ......

ldap-utils: openldap命令行工具集(ldapsearch, ldapmodify, ldapadd,......)

配置/etc/ldap/ldap.conf, 添加BASE 和 URI. 这里的BASE为dc=ldapdomain,dc=com  URI为ldap://192.168.5.180:389

BASE     dc=ldapdomain,dc=com

URI     ldap://192.168.0.103:389

通过如下命令，对slapd进行再配置(如果默认配置可以满足需求，则跳过这一步)

dpkg-reconfigure slapd

注：reconfigure的内容，包括baseDN，admin管理员密码，后端数据库选择(HDB,BDB)，是否删除旧的数据库，是否允许LDAPv2协议

配置过程具体选择：

Omit OpenLDAP server configuration? ... No
DNS domain name: ... debuntu.local        //根据自己需要输入，但必须和后面的相关地方保持一致
Name of your organization: ... 默认即可
Admin Password: XXXXX
Confirm Password: XXXXX
OK
BDB
Do you want your database to be removed when slapd is purged? ... No
Move old database? ... Yes
Allow LDAPv2 Protocol? ... No

安装php的ldap管理端软件：

apt-get install -y phpldapadmin

  修改相应的配置文件/etc/phpldapadmin/config.php，做如下修改：

  (1) $servers->setValue('server'. 'host', '127.0.0.1')#修改为某个内网可访问的IP地址

  (2) $servers->setValue('server'. 'base', array('dc=example,dc=com')) #修改为baseDN，这里修改为dc=ldapdomain,dc=com

  (3) $servers->setValue('login', 'bind_id', 'cn=admin,dc=example,dc=com')#修改为baseDN下的admin, cn=admin,dc=ldapdomain,dc=com

  (4) $config->custom->appearance['hide_template_warning'] = false #false修改为true

防火墙放行Apache2:

ufw allow "Apache"

ufw allow "Apache Full"

ufw allow "Apache Secure" 

之后，重启服务，以下为启动命令，可以选择一个启动即可：

/etc/init.d/apache2 restart 

service slapd restart

/etc/init.d/slapd start

通过curl http://<IP-Address>/phpldapadmin 测试页面是否能够访问，如果成功之后，通过浏览器访问的效果如下：

第三步：LDAP防火墙ufw配置

添加tcp端口389(ldap通信端口)， 以及tcp端口636(ldaps通信端口)，这里的server端的IP地址为192.168.5.180:

ufw allow proto tcp from any to 192.168.5.180 port 389

ufw allow proto tcp from any to 192.168.5.180 port 636 

第四步：配置检查，添加数据

LDAP的配置是由cn=config的树形解构组成，可以通过ldapseach查到该树形结构存在哪些dn:

通过sasl的external认证方式进行查询：

ldapsearch -Q -LLL -Y EXTERNAL -H ldapi: ///  -b cn=config dn:

注：

-Q : sasl认证model(相对于-x简单认证)

-LLL: 以ldif格式展示结果; 忽略注释; 忽略版本

-Y EXTERNAL: 用sasl的external认证方法

-H ldapi:/// : 连接localhost

-b cn=config dn:  查询所有cn=config分支的dn

通过简单认证，查询ldap的baseDN中的内容:

ldapsearch -x -LLL -H ldap: ///  -b  dc =ldapdomain,  dc =com

ldapsearch -x -LLL -H ldap: ///  -b  dc =ldapdomain,  dc =com dn:      #only return dn object

ldapsearch -x -LLL -h 192.168.5.180 -p 389 -b  dc =ldapdomain , dc =com

ldapsearch -x -LLL -h 192.168.5.180 -p 389 -b  dc =ldapdomain , dc =com dn:      #only return dn object

ldapsearch -x -LLL -h 192.168.5.180 -p 389 -b  dc =ldapdomain, dc =com objectClass=*      #匹配objectClass

创建bash.ldif文件(根节点)

dn: dc=ldapdomain,dc=com
o: ldap
objectclass: dcObject
objectclass: organization

创建新的结构，保存为ldif文件，并将其添加到数据库中:

vi  structure.ldif

内容如下：

dn: ou=people, dc =ldapdomain, dc =com

objectClass: organizationalUnit

ou: people

  

dn: ou=group, dc =ldapdomain, dc =com

objectClass: organizationalUnit

ou: group

注：在structure.ldif中，添加了两个条目，都属于organizationalUnit对象，一个的属性为people，另一个属性为group

利用ldapadd命令将ldif导入到数据库中:

ldapadd -x -D cn=admin, dc =ldapdomain, dc =com -W -f structure.ldif

注：

-D cn=admin,dc=ldapsearch,dc=com: 由于要往数据库中写内容，所以需要用admin用户的权限进行操作

-W: 在命令行中提示输入admin用户的密码

-f: 需要导入的ldif文件的路径

导入完毕之后，通过命令可以看到ldap数据库中已经存在了相应的内容：

root@alternative:~ # ldapsearch -x -LLL -h 192.168.0.103 -p 389 -b dc=ldapdomain,dc=com objectClass=*

dn:  dc =ldapdomain, dc =com

objectClass:  top

objectClass: dcObject

objectClass: organization

o: ldapdomain.com

dc : ldapdomain

dn: cn=admin, dc =ldapdomain, dc =com

objectClass: simpleSecurityObject

objectClass: organizationalRole

cn: admin

description: LDAP administrator

dn: ou=people, dc =ldapdomain, dc =com

objectClass: organizationalUnit

ou: people

dn: ou=group, dc =ldapdomain, dc =com

objectClass: organizationalUnit

ou: group

注：

有时候新版本的不能用：所以操作如下：

1）在/etc/ldap/目录下找到ldap.conf变更名字，变为ldap_v1.0

2)创建slapd.conf,并填入：

# slapd.conf - Configuration file for LDAP SLAPD
##########
# Basics #
##########
include /etc/ldap/schema/core.schema
include /etc/ldap/schema/cosine.schema
include /etc/ldap/schema/inetorgperson.schema
pidfile /var/run/slapd/slapd.pid
argsfile /var/run/slapd/slapd.args
loglevel none
modulepath /usr/lib/ldap
# modulepath /usr/local/libexec/openldap
moduleload back_hdb
##########################
# Database Configuration #
##########################
database hdb
suffix "dc=ldapdomain,dc=com"
rootdn "cn=admin,dc=ldapdomain,dc=com"
rootpw 123456
directory /var/lib/ldap
# directory /usr/local/var/openldap-data
index objectClass,cn eq
########
# ACLs #
########
access to attrs=userPassword
       by anonymous auth
       by self write
       by * none
access to *
       by self write
       by * none

3）sudo mv slapd.d slapd.d.bak

4）重启

/etc/init.d/slapd start