LDAP 使用经验总结

 

以下内容摘自《OpenLDAP集中管理用户帐号学习笔记》mjwdj  的回复：

（mjwdj 的博客中有不少LDAP的文章）

ldap的数据库文件是在：/var/lib/ldap/下面的。
1、一开始把ldap放在一台计算的服务器上，当这台服务器负载重的时候，依靠ldap验证登录的机器登录会非常慢（超慢，近乎死机），所以建议用一台空闲的主机（甚至可以是vmware一台虚拟机）。

2、和MySql一样，有2种方法做数据库的备份：一、用ldapsearch -x把内容倒出来存成文件，注意清除一下这个命令输出的和数据无关的信息。万一数据库完了，把ldap相关的包删掉，把原来的数据库文件删掉，在重新安装ldap相关包，把备份的文件改成ldif扩展名，一次导入就行了。个人建议每次作修改时的ldif文件最好保存被查，最好编辑成一个ldif文件，也可以算是一种备份ldap数据的方案。二、另一种是把数据库文件直接打包备份，出现问题时，停止ldap server，把文件解压，再重新启动。

3、authconfig文件修改的文件中有2个ldap.conf文件：/etc/ldap.conf和/etc/openldap/ldap.conf。在我看来前者只是客户端在作认证时才用的，而后者是客户端控制server时用的。具体点：不管在客户端还是服务器，如果用ldap做认证，服务器的ldap server应该指向本机，前者是必须的，后者可有可无。在管理ldap server时后者是必须的，前者可有可无，即一台客户端配置了/etc/openldap/ldap.conf文件，就能通过ldap相关的命令来配置文件中指定的服务器，但这台机器未必使用了ldap认证。只要修改一下/etc/openldap/ldap.conf文件中的主机名或IP就能用一台机器配置任何一台ldap server。

为保持系统稳定，建议配置多台ldap server，并以空格分隔把主机名或IP列在/etc/ldap.conf文件中，这样万一第一台server宕了，第二台server会继续认证。

另外，建议多台server使用不同的管理员密码，要修改数据时只需修改你本地的/etc/openldap/ldap.conf文件中的主机名后对每台执行一次就行了。应该不会很麻烦。