ldap-安装及配置2

最新推荐文章于 2024-05-03 16:56:10 发布
最新推荐文章于 2024-05-03 16:56:10 发布
阅读量1.3k 收藏 3
点赞数
分类专栏： ldap
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_34224565/article/details/107180918
版权

一、SRC

4个节点，node101-104，n1为server
根域为xyyh.com，管理员为admin

二、process

server端

1.yum下载安装

yum install -y openldap openldap-clients openldap-servers migrationtools openldap-devel nss-pam-ldapd bind-dyndb-ldap compat-openldap perl-LDAP krb5-server-ldap php-ldap openssl

server某些情况下也是client。所有client也需要安装sssd

yum -y install openldap-clients sssd authconfig nss-pam-ldapd

2.配置管理密码

这是一个命令，是linux的命令，并不依赖ldap的安装，{SSHA}不是变量，输入后会提示输入密码。输入完密码把弹出的加密后的语句复制，下一步要用

$  slappasswd -h {SSHA}  
输入密码：
{SSHA}CVoDZ5XmyTzOg8QgYhazG1CfPYKA0IEb

3.修改配置文件hdb.ldif，这个配置文件用来配置整个ldap管理的所有条目的根DN

修改红色字体内容
vim /etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif

# AUTO-GENERATED FILE - DO NOT EDIT!! Use ldapmodify.
# CRC32 faf5319f
dn: olcDatabase={2}hdb
objectClass: olcDatabaseConfig
objectClass: olcHdbConfig
olcDatabase: {2}hdb
olcDbDirectory: /var/lib/ldap
olcSuffix: dc=xyyh,dc=com
olcRootDN: cn=这里填写管理员的账号、一般用admin、默认Admin,dc=xyyh,dc=com
olcRootPW: {SSHA}CVoDZ5XmyTzOg8QgYhazG1CfPYKA0IEb  #这里是复制上一步生成的语句
olcDbIndex: objectClass eq,pres
olcDbIndex: ou,cn,mail,surname,givenname eq,pres,sub
structuralObjectClass: olcHdbConfig
entryUUID: e974deb8-539a-103a-886d-1b8320604d59
creatorsName: cn=config
createTimestamp: 20200706060853Z
entryCSN: 20200706060853.103754Z#000000#000#000000
modifiersName: cn=config
modifyTimestamp: 20200706060853Z

4.vim /etc/openldap/slapd.d/cn=config/olcDatabase={1}monitor.ldif

# AUTO-GENERATED FILE - DO NOT EDIT!! Use ldapmodify.
# CRC32 86444239
dn: olcDatabase={1}monitor
objectClass: olcDatabaseConfig
olcDatabase: {1}monitor
olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=extern
 al,cn=auth" read by dn.base="cn=admin,dc=xyyh,dc=com" read by * none
structuralObjectClass: olcDatabaseConfig
entryUUID: e974db66-539a-103a-886c-1b8320604d59
creatorsName: cn=config
createTimestamp: 20200706060853Z
entryCSN: 20200706060853.103670Z#000000#000#000000
modifiersName: cn=config
modifyTimestamp: 20200706060853Z

5. slaptest -u，测试配文是否正确

虽然有error，但这样算是测试成功。
在这里插入图片描述

6.开启LDAP服务

systemctl enable slapd;systemctl start slapd;systemctl status slapd;netstat -antup | grep 389
在这里插入图片描述

7.OpenLDAP默认使用的数据库是BerkeleyDB，现在来开始配置OpenLDAP数据库，使用如下命令：

cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
chown ldap:ldap -R /var/lib/ldap
chmod 700 -R /var/lib/ldap
ll /var/lib/ldap/
/var/lib/ldap/就是BerkeleyDB数据库默认存储的路径。

在这里插入图片描述

8.导入基本的schema

#ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
adding new entry "cn=cosine,cn=schema,cn=config"
# ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
adding new entry "cn=nis,cn=schema,cn=config"
# ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
adding new entry "cn=inetorgperson,cn=schema,cn=config"

在这里插入图片描述
注意：如果这一步导入失败，一般都是密码输入错误，密码要输上面配置的加密前的密码

9.修改配置文件migrate_common.ph ,migrate是个脚本命令，用来将linux用户导入到ldap，这个配文是用来配置这个命令的

vim /usr/share/migrationtools/migrate_common.ph

70行
# Default DNS domain
$DEFAULT_MAIL_DOMAIN = "xyyh.com";
# Default base 
$DEFAULT_BASE = "dc=xyyh,dc=com";

在这里插入图片描述

10.添加用户组和用户名

默认情况下OpenLDAP是没有普通用户的，但是有一个管理员用户。管理用户就是前面我们刚刚配置的admin。进行一些系统操作时需要用到admin。
添加用户和组可以使用图形化界面，也可以使用ldif文件。

{1}linux系统用户比较多，手动做比较麻烦，可以自动导入

思路：把linux关于用户的2个文件/etc/passwd、/etc/groups里的相关文本信息抽取到user和groups2个文件中，然后再用migrate命令转成ldif文件，然后用ldapadd添加到ldap。

把linux系统中的用户同步到OpenLDAP中。我们现在新加两个linux用户ldapuser1和ldapuser2，和两个用户组ldapgroup1和ldapgroup2，如下：

添加用户组，使用如下命令：
groupadd ldapgroup1;groupadd ldapgroup2
添加用户并设置密码，使用如下命令：
useradd -g ldapgroup1 ldapuser1;useradd -g ldapgroup2 ldapuser2
echo 'dcdcdc' | passwd --stdin ldapuser1;echo 'dcdcdc' | passwd --stdin ldapuser2

一般1000以后的用户都是手动添加的，但cdh自动创建的用户比如hive、hdfs的uid都是小于1000的
grep ":10[0-9][0-9]" /etc/passwd > /root/users;grep ":10[0-9][0-9]" /etc/group > /root/groups
grep -E "hdfs|hive|hue|impala|ldap|sentry|spark" /etc/passwd >> /root/users;
grep -E "hdfs|hive|hue|impala|ldap|sentry|spark" /etc/group >> /root/groups;

把刚刚添加的用户和用户组提取出来，这包括该用户的密码和其他相关属性，如下
grep -E " hdfs|hive|hue|impala|ldap|sentry|spark|:10[0-9][0-9]" /etc/passwd > /root/users;
grep -E "hdfs|hive|hue|impala|ldap|sentry|spark|:10[0-9][0-9]" /etc/group > /root/groups;

根据上述生成的用户和用户组属性，使用migrate_passwd.pl文件生成要添加用户和用户组的ldif，如下：

/usr/share/migrationtools/migrate_passwd.pl /root/users > /root/users.ldif
/usr/share/migrationtools/migrate_group.pl /root/groups > /root/groups.ldif
cat users.ldif
cat groups.ldif

如下图：会自动生成ldif文件，会把所有的用户和用户组的属性都导入到ldif文件中

注意：后续如果要新加用户到OpenLDAP中的话，不用再走前面的流程，直接修改users.ldif文件即可。注意dn之间一定要用空行隔开。

{2}base.ldif

也可以直接用vim创建个文件添加，注意o的值没有点，organizationalRole中的organizational不是organization
cat > /root/base.ldif << EOF
这个命令输入后会出现输入提示符，意思是把输入的内容追加到base.ldif中，最后输入EOF表示结束。注意开头要有个空行，因为ldif文件的dn都要以空行分割。


dn: dc=xyyh,dc=com
o: xyyh com
dc: xyyh
objectClass: top
objectClass: dcObject
objectClass: organization

dn: cn=admin,dc=xyyh,dc=com
cn: admin
objectClass: organizationalRole
description: Directory admin

dn: ou=People,dc=xyyh,dc=com
ou: People
objectClass: top
objectClass: organizationalUnit

dn: ou=Group,dc=xyyh,dc=com
ou: Group
objectClass: top
objectClass: organizationalUnit
EOF

如果缺少属性或者key不对，会报错
在这里插入图片描述

{3}把base.ldif、users.ldif、groups.ldif添加到ldap

ldapadd -x -w “dcdcdc” -D “cn=admin,dc=xyyh,dc=com” -f /root/base.ldif
ldapadd -x -w “dcdcdc” -D “cn=admin,dc=xyyh,dc=com” -f /root/users.ldif
ldapadd -x -w “dcdcdc” -D “cn=admin,dc=xyyh,dc=com” -f /root/groups.ldif

{4}把LDAP中用户和用户组关联：

这一步也可以在UI中做，也可以使用ldif文件。

尽管我们已经把用户和用户组信息，导入到OpenLDAP数据库中了。但实际上目前OpenLDAP用户和用户组之间是没有任何关联的。
如果我们要把OpenLDAP数据库中的用户和用户组关联起来的话，我们还需要做另外单独的配置。
现在我们要把ldapuser1用户加入到ldapgroup1用户组，需要新建添加用户到用户组的ldif文件，如下：

cat > add_user_to_groups.ldif << "EOF"
dn: cn=ldapgroup1,ou=Group,dc=xyyh,dc=com
changetype: modify
add: memberuid
memberuid: ldapuser1
EOF
执行如下命令：
#ldapadd -x -w "dcdcdc" -D "cn=admin,dc=xyyh,dc=com" -f /root/add_user_to_groups.ldif
#ldapsearch -LLL -x -D 'cn=admin,dc=xyyh,dc=com' -w "dcdcdc" -b 'dc=xyyh,dc=com' 'cn=ldapgroup1'

client端

yum -y install openldap-clients sssd authconfig nss-pam-ldapd

vim /etc/openldap/ldap.conf

URI ldap://node101
BASE dc=xyyh,dc=com

在这里插入图片描述
所有客户端开启sssd服务，设置开机自启，然后自动配置/etc/sssd/sssd.conf，这个配文默认是没有的，可以自己创建或者使用authconfig命令自动创建，注意不是auto。如果是手动创建，一定要注意权限chmod 600 /etc/sssd/sssd.conf

systemctl start sssd;systemctl enable sssd;
authconfig --enablesssd --enablesssdauth --enablerfc2307bis --enableldap --enableldapauth --disableforcelegacy --disableldaptls --disablekrb5 --ldapserver ldap://node101 --ldapbasedn 'dc=xyyh,dc=com' --enablemkhomedir --update

此时在linux中就可以使用id xxx,su - xxx来使用ldap中创建linux中没创建的用户了。
但此时还不能使用ssh xxx@ip登陆，也不能在linux中使用passwd来修改密码
在这里插入图片描述

验证ldap

ldapsearch -D “cn=admin,dc=xyyh,dc=com” -W |grep dn
Enter LDAP Password: dcdcdc
在这里插入图片描述

11. 修改sizelimit

{1} 修改server端的sizelimit

cd /etc/openldap/slapd.d
vim cn\=config.ldif
在最后一行下面添加一行，数值为数量
olcSizeLimit: 100000

重启

systemctl  restart slapd;systemctl status slapd;systemctl enable spalpd

在这里插入图片描述

{2} 修改client的sizelimit

vim /etc/openldap/ldap.conf

在这里插入图片描述

三、日志

创建日志配置文件
vim /etc/log.ldif
添加如下内容
dn: cn=config
changetype: modify
add: olcLogLevel
olcLogLevel: 32     
配置使之生效：                                  
ldapmodify -Y EXTERNAL -H ldapi:/// -f log.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "cn=config"

[root@VM_0_15_centos myself]# mkdir -p /var/log/slapd
[root@VM_0_15_centos myself]# chown ldap:ldap /var/log/slapd/
[root@VM_0_15_centos myself]# echo "local4.* /var/log/slapd/slapd.log" >> /etc/rsyslog.conf
[root@VM_0_15_centos myself]# systemctl restart rsyslog
[root@VM_0_15_centos myself]# systemctl restart slapd
[root@VM_0_15_centos myself]# tail -n 4 /var/log/slapd/slapd.log
Sep  5 20:43:31 VM_0_15_centos slapd[4520]: => test_filter
Sep  5 20:43:31 VM_0_15_centos slapd[4520]:    PRESENT
Sep  5 20:43:31 VM_0_15_centos slapd[4520]: <= test_filter 6
Sep  5 20:43:31 VM_0_15_centos slapd[4523]: slapd starting

四、phpldapadmin

操作

五、ldapadmin

六、CDH集成ldap

七、hue和ldap

先使用backend模式将hive用户进行ldap同步，然后切到ldap模式，用hive登陆当做管理员

hue添加用户只能添加linux和ldap同时存在的

zdkdchao
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
网络系统管理赛项之debian 十七 . LDAP服务器搭建及配置方法
灯塔微光
11-10 4417
LDAP服务器搭建及配置方法LDAP服务器搭建一、赛题LDAP搭建需求二、LDAP简单理论介绍1、什么是LDAP？2、LDAP相关模型三、安装 slapd安装过程四、修改主配置文件五、更新ldap配置六、创建用户和用户组节点七、创建用户节点zsuser用户：lsusr用户wuusr用户八、将用加入到组中九、测试：测试结果：十、总结 LDAP服务器搭建 一、赛题LDAP搭建需求 1、安装 slapd； 2、创建 chinaskills.cn 目录服务，并创建用户组 ldsgp ，用户 zsuser、lsus
Django-auth-ldap 配置方法
走在搬砖的路上！
09-09 1410
使用场景 公司内部使用Django作为后端服务框架的Web服务，当需要使用公司内部搭建的Ldap 或者 Windows 的AD服务器作为Web登录认证系统时，就需要这个Django-auth-ldap第三方插件 插件介绍 Django-auth-ldap是一个Django身份验证后端，可以针对LDAP服务进行身份验证。有许多丰富的配置选项可用于处理用户，组和权限，便于对页面和后台的控制 插件介绍地址：Django-auth-ldap 安装方法 注意：需先正确安装python3环境、pip3 和 D
LDAP的配置
weixin_34007906的博客
05-07 124
2019独角兽企业重金招聘Python工程师标准>>> ...
Ldap安装部署
最新发布
zachz的博客
05-03 1536
openLdap 安装部署，包成！！！
让jenkins支持LDAP的多OU
weiguang1017的专栏
03-21 5414
因公司架构调整，需要将其中几个ou的用户认证集成到jenkins 方法一： 通过jenkins的 Active Directory或LDAP插件，直接配置根就可以---------------------缺点是，当架构足够大的话每次登陆验证耗时较长，所以产生标题所说的需求。 如LDAP中： 方法二： 因为方法一中的两个插件都不支持多OU（ldap插件中有人2015年就提出
Debian配置LDAP服务+Samba联动
weixin_54594245的博客
05-26 650
Debian配置LDAP服务+Samba联动
ldap的离线安装包及安装方法
09-15
Ubuntu 16.04 使用的是 OpenLDAP，其主要组件包括 slapd（LDAP 服务器）、libldap2（LDAP 客户端库）和 ldap-utils（实用工具）。在有网络的环境中，你可以通过 `apt-get download` 命令下载这些包，例如： ``` ...
ldap2ldap-开源
05-03
【标题】"ldap2ldap-开源"所涉及的知识点主要集中在OpenLDAP服务器的同步和Java编程上。OpenLDAP是一款开放源代码的轻量级目录访问协议（ Lightweight Directory Access Protocol）服务器，广泛用于组织和管理分布式...
ldap-ui:OpenLDAP的简约Web前端
04-28
手动安装和配置 先决条件： 要在.venv3设置虚拟Python环境， .venv3执行以下操作： 进行设置 检查的配置。 它很短，希望可以自我解释。 用法 单机版 使用运行应用程序 跑 并转到 。 码头工人 包含一个Dockerfile。 ...
Go-ldap-test-tool一个轻量级的ldap测试工具
08-14
2. **搜索操作**：支持执行 LDAP 搜索请求，允许开发者测试 LDAP 数据库中的数据查询和过滤。 3. **绑定与认证**：模拟用户登录过程，测试 LDAP 用户名和密码的有效性，验证认证机制。 4. **修改与删除**：可以对 ...
python_ldap-3.1.0-cp36-wheel.zip
09-29
同时，熟悉如何配置和连接到目标LDAP服务器也至关重要。安装完Python LDAP库后，可以通过编写Python脚本来实现与LDAP服务器的通信，从而提升企业级应用的效率和安全性。 总的来说，Python LDAP库是Python开发者在...
kerberos集成ldap
帆了个帆的专栏
05-29 2754
注意：在安装过程中一定要注意目录/var/lib/ldap和/etc/openldap/slapd.d这两个目录权限，集成过程中很多问题都是因为这两个目录权限设置错误引起的；因为安装的时候需要使用root账户，生成的配置文件不经意间就被改成了root；所以出现问题第一步就检查这两个目录权限 chown -R ldap:ldap /etc/openldap/slapd.d && ch...
Docker-compose方式启动Sentry +ldap登录验证
惊云
05-07 1664
Docker-compose方式启动Sentry +ldap登录验证 一，安装Docker sudo yum install -y yum-utils sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo yum-config-manager --enable docker-ce-edge yum -y install docker-ce systemctl start docke
Centos7下安装Sentry22.1.0，接入LDAP
AZXHNLS81的博客
12-06 484
Sentry接入LDAP
sentry的部署
keyan的岁月阁
02-20 1310
sentry安装 准备docker yum install -y yum-utils yum-config-manager \ --add-repo \ http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo yum install -y docker-ce docker-ce-cli containerd.io 安装docker-compose curl -L https://github.com/docker
springcloud使用LDAP操作AD域更新数据
weixin_46463851的博客
11-25 1195
背景：公司离职人员增多，无法时时刻刻去域服务器上将离职人员账号停用。因此需写个定时任务查询HR系统人员离职状态，然后将过期时间设置为离职日期。
LDAP的SizeLimitExceededException
jbgtwang的专栏
09-07 1412
LDAP.search()当查询的数据较多时，数据条目大于LDAP服务器设置的最多数据时，就会出现SizeLimitExceededException。 解决方法之一是分页查询，控制每次查询的数目。
openldap简介
mooncui
04-28 387
openldap简介 安装就不说了，从配置开始说起 1.主要配置文件slapd.conf 内容包括三类：global, backend specific, and database specific。指全局设置，后台服务器的设置，数据库的设置。 全局的设置可以被另外两个的设置覆盖。后台服务器设置可以被数据库的设置覆盖。数据库设置可能是多个。 1.1全局设置 1.1.1 授权 #给不同的用户不同的权...
Linux LDAP安装部署集成kerberos
wangkuangood3200的专栏
09-12 868
一、概述 由于Hadoop安全模块不存储用户和用户组信息，同时在集群开启kerberos认证后，需要映射Kerberos Principle到linux的用户及用户组，统一管理用户信息的方式有OpenLDAP和AD，而AD是部署在Windows上的，本文主要介绍在linux环境下OpenLDAP的安装及部署。 二、Server端安装与配置 2.1 安装介质 $ yum install ...
LDAP安装和配置详细步骤图示指南
本文将详细介绍LDAP的安装和配置过程，以及相关的步骤图，以便读者能够更快速地完成该过程。 在进行LDAP安装之前，需要按照以下步骤创建用户： 1. 在/portal/install/A-6目录下运行setup程序。 2. 选择简体中文并...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值