ldap网络账号、ftp服务

###################
####ldap网络帐号####
###################
1.ldap是什么
ldap目录服务认证，和windows活动目录类似，就是记录数据的一种方式

2.ldap客户端所需的软件
yum install sssd krb5-workstation -y

3.如何开启ldap用户认证
authconfig-tui

第一个页面选择Use LDAP和Use Kerberos

第二个页面
Server:classroom.example.com
Base DN:dc=example,dc=com

第三个页面从上到下依次是
EXAMPLE.COM
classroom.example.com
classroom.example.com

然后OK

进入/etc/openldap/cacerts目录下下载证书
wget http://172.25.254.254/pub/example-ca.crt

测试
getent passwd ldapuser1
如果用户信息可以正常显示，证明客户端认证成功

4.自动挂载用户家目录
yum install autofs -y
vim /etc/autofs.master
/home/guests    /etc/auto.ldap

vim /etc/auto.ldap
ldapuser1    172.25.254.254:/home/guests/ldapuser1
+++++++++++++++++++++++++++++++++++++++++++++++++++++
*        172.25.254.254:/home/guests/&

5.显示隐藏用户
vim /etc/sssd/sssd.conf

在[domain/default]下添加
enumerate = True

systemctl restart sssd            ##启动以下sssd服务

6.自动挂载服务

vim /etc/auto.master
最终自定义挂载点的上层目录        子配置文件
/mnt                /etc/auto.ldaps

vim    子配置文件
vim /etc/auto.ldap
格式1：pub1        172.25.254.250:/nfsshare/nfs1
格式2：*            172.25.254.250:/nfsshare/&    ##指定任意共享挂载

systemctl restart autofs        ##启动autofs服务
systemctl enable autofs            ##开机自启动autofs服务

grep bash$ /etc/passwd            ##筛选/etc/passwd中以bash结尾的条目

rpm -qc autofs                ##查看autofs软件的配置文件

ldap脚本

#!/bin/bash

yum install sssd krb5-workstation autofs -y &> /dev/null

authconfig \
--enableldap \
--enablekrb5 \
--disableldapauth \
--enableldaptls \
--ldaploadcacert=http://172.25.254.254/pub/example-ca.crt \
--ldapserver="classroom.example.com" \
--ldapbasedn="dc=example,dc=com" \
--krb5realm="EXAMPLE.COM" \
--krb5kdc="classroom.example.com" \
--krb5adminserver="classroom.example.com" \
--enablesssd \
--enablesssdauth \
--update

echo /home/guests    /etc/auto.ldap >> /etc/auto.master
echo "*        172.25.254.254:/home/guests/&" >> /etc/auto.ldap

systemctl restart autofs
systemctl enable autofs

echo "successful!!!"

####ftp服务####

1.安装ftp服务
yum install vsftpd.x86_64 -y        ##安装ftp服务

2.防火墙中可通过服务中添加ftp

firewall-cmd --permanent --add-service=ftp
firewall-cmd --reload

3.关闭selinux

vim /etc/sysconfig/selinux
SELINUX=disabled            ##将selinux设置为disabled


4.更改ftp服务文件的权限
chmod 775 /var/ftp/pub
chgrp ftp /var/ftp/pub

5.更改ftp服务设置

vim /etc/vsftpd/vsftpd.conf

匿名用户设置

anonymous_enable=YES|NO

##匿名用户上传
write_enable=YES
anon_upload_enable=YES
chgrp ftp /var/ftp/pub
chmod 775 /var/ftp/pub

##匿名用户家目录修改
anon_root=/etc

##匿名用户上传文件默认权限修改
anon_umask=xxx

##匿名用户建立目录
anon_mkdir_write_enable=YES|NO

##匿名用户下载
anon_world_readable_only=YES|NO        ##设置参数值为no表示匿名用户可以下载

##匿名用户删除
anon_other_write_enable=YES|NO

##匿名用户身份修改
chown_uploads=YES
chown_username=sutdent


实名用户设置
local_enable=NO|YES            ##允许本地实名用户登陆

anon_max-rate=102400            ##100k
max_clients=1
write enable=NO|YES            ##本地用户写权限限制
local root=/etc                ##本地用户家目录修改
local_umask=xxx                ##本地用户上传文件权限

#限制本地用户浏览目录
所有用户被锁定在自己的家目录里
chroot_local_user=YES
chmod u-w /home/*

用户黑名单建立
chroot_root_user=NO
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list

用户白名单建立
chroot_local_user=YES
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list

#限制本地用户登陆
vim /etc/vsftpd/ftpusers        ##用户黑名单
vim /etc/vsftpd/user_list        ##用户临时黑名单

用户白名单设定
userlist_deny=NO            
/etc/vsftpd/user_list            ##参数设定此文件变成用户白名单
在名单中出现的用户可以登陆ftp

创建用户身份文件
vim /etc/vsftpd/loginusers        ##文件名字任意
westos1
123
westos2
123
westos3
123

db_load -T -t hash -f /etc/vsftpd/loginusers loginusers.db

vim /etc/pam.d/ckvsftpd            ##
account        required    pam_userdb.so    db=/etc/vsftpd/loginusers
auth        required    pam_userdb.so    db=/etc/vsftpd/loginusers

vim /etc/vsftpd/vsftpd.conf
pam_service_name=ckvsftpd
guest_enable=YES

创建用户家目录
mkdir /ftpdir/westos1 -p
touch /ftpdir/westos1/file1

mkdir /ftpdir/westos2 -p
touch /ftpdir/westos2/file2

mkdir /ftpdir/westos3 -p
touch /ftpdir/westos3/file3

虚拟帐号家目录独立设定
vim /etc/vsftpd/vsftpd.conf
local_root=/ftpuserhome/$USER
user_sub_token=$USER    

pam_service_name=vsftpd
userlist_enable=YES