一、安装ldapserver

1. yum安装openldap server

1 yum install -y openldap openldap-servers openldap-clients 

2. 准备配置文件

1 cp /usr/share/openldap-servers/slapd.conf.obsolete /etc/openldap/slapd.conf 
2 cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG 

3. 修改配置文件

vim /etc/openldap/slapd.conf 

1) 设置目录树的后缀 
4 suffix "dc=dianping,dc=com" 
2) 设置管理员DN 
6 rootdn "cn=admin,dc=dianping,dc=com" 
3) 设置管理员密码 
8 rootpw redhat 
9 或机密格式, 加密格式可通过 slappasswd命令来生成 
10 rootpw {SSHA}j6OO++o76F2yhww2Cg/+Hy8oDPixx6C3 
11 4) 设置ldap日志,在argsfile下面添加 
12 loglevel 1 
13 修改系统日志配置文件 
14 vim /etc/rsyslog.conf # centos5版应该是syslog.conf 
15 local4.* /var/log/ldap.log 
16 service rsyslog restart 
17 5) 修改完配置文件后用以下命令生成新的配置文件,以后不再特殊说明 
18 service slapd start # 第一次需要启动一下 
19 rm -rf /etc/openldap/slapd.d/* 
20 slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d 
21 chown -R ldap:ldap /etc/openldap/slapd.d/ 
22 service slapd restart 

4. 查看启动情况

1 [root@localhost openldap]# netstat -tulnp | grep slapd 
2 tcp 0 0 0.0.0.0:389 0.0.0.0:* LISTEN 48776/slapd 
3 tcp 0 0 :::389 :::* LISTEN 48776/slapd 

5. 安装migrationtools,迁移本地账户密码到ldap

为了测试,我们先在服务器上建立一个测试账号

1 useradd guanghongwei 
2 echo 'redhat' | passwd --stdin guanghongwei 

1). 安装并修改配置文件

1 yum -y install migrationtools 
2 cd /usr/share/migrationtools/ 
3 vim migrate_common.ph # 71行左右 
4 $DEFAULT_MAIL_DOMAIN = "dianping.com"; 
5 $DEFAULT_BASE = "dc=dianping,dc=com";

2). 使用脚本导出ldif文件

1 ./migrate_base.pl > /tmp/base.ldif 
2 ./migrate_passwd.pl /etc/passwd > /tmp/passwd.ldif 
3 ./migrate_group.pl /etc/group > /tmp/group.ldif 

3). 导入到ldap中

1 ldapadd -x -W -D "cn=admin,dc=dianping,dc=com" -f /tmp/base.ldif 
2 ldapadd -x -W -D "cn=admin,dc=dianping,dc=com" -f /tmp/passwd.ldif 
3 ldapadd -x -W -D "cn=admin,dc=dianping,dc=com" -f /tmp/group.ldif

二、测试服务器安装ldap客户端

1. 安装LDAP客户端及依赖组件

1 yum -y install openldap openldap-clients nss-pam-ldapd pam_ldap #centos6 
2 yum -y install openldap openldap-clients nss_ldap #centos5 

2. 增加BIND策略,避免LDAP无法连接时无法开机

1 echo "bind_policy soft" >> /etc/openldap/ldap.conf 

3. 自动创建目录设置

1 echo "session required pam_mkhomedir.so skel=/etc/skel umask=0077" >> /etc/pam.d/system-auth 

4. 设置LDAP启用

1 #centos6 
2 authconfig --savebackup=auth.bak 
3 authconfig --enableldap --enableldapauth --enablemkhomedir --enableforcelegacy --disablesssd --disablesssdauth --ldapserver=192.168.2.130 --ldapbasedn="dc=dianping,dc=com" --update 

5 #centos5 
6 authconfig --enableldap --enableldapauth --enablemkhomedir --ldapserver=192.168.2.130 --ldapbasedn="dc=dianping,dc=com" –-update 

5. 从主上测试连接服务器

1 ssh guanghongwei@192.168.2.132 #132上没有useradd该用户哦,如果能连接上证明ldap使用ok

三、 让ldap server负责sudo管理

主:

1. 拷贝sudo schema

1 cp /usr/share/doc/sudo-1.8.6p3/schema.OpenLDAP /etc/openldap/schema/sudo.schema ## 拷贝schema 

2. 配置文件导入schema

1 vim /etc/openldap/slapd.conf # 增加一项一项 
2 include /etc/openldap/schema/sudo.schema 
3 rm -rf /etc/openldap/slapd.d/* 
4 slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d 
5 chown -R ldap:ldap /etc/openldap/slapd.d/* 
6 service slapd restart 

3. 将sudo base导入到ldap

1) 建立数据库ldif文件

1 vim sudo.ldif 

3 dn: ou=Sudoers,dc=dianping,dc=com 
4 objectClass: top 
5 objectClass: organizationalUnit 
6 ou: Sudoers 

8 dn: cn=defaults,ou=Sudoers,dc=dianping,dc=com 
9 objectClass: top 
10 objectClass: sudoRole 
11 cn: defaults 
12 sudoOption: !visiblepw 
13 sudoOption: always_set_home 
14 sudoOption: env_reset 
15 sudoOption: requiretty 
16 
17 dn: cn=guanghongwei,ou=Sudoers,dc=dianping,dc=com ## dn, 使用时 请删除注释,并不能有空格 
18 objectClass: top 
19 objectClass: sudoRole 
20 cn: guanghongwei ## 对应的是用户名或者组 
21 sudoCommand: ALL ## 可以执行的命令 
22 sudoHost: ALL ## 可以登录的Host 
23 sudoOption: !authenticate ## 是否需要输入密码 
24 sudoRunAsUser: ALL ## 以哪个用户执行 
25 sudoUser: guanghongwei ## 用户或者组


2) 导入到ldap中

1 ldapadd -x -W -D "cn=admin,dc=dianping,dc=com" -f sudo.ldif 

测试服务器:

4. 测试服务器设置,让ldap代理sudo

1 vi /etc/sudo-ldap.conf 
2 uri ldap://192.168.2.130 # 如果有备用后面跟备用的 
3 Sudoers_base ou=Sudoers,dc=dianping,dc=com 
4 vi /etc/nsswitch.conf 增加 
5 Sudoers: ldap files 

5. 测试,用户并没在服务器的sudoer file中,如果sudo成功,证明已使用ldap的sudo

1 [root@localhost tmp]# ssh guanghongwei@192.168.2.132 
2 guanghongwei@192.168.2.132's password: 
3 Last login: Mon Mar 10 02:27:50 2014 from 192.168.2.130 
4 [guanghongwei@2namenode ~]$ sudo su 
5 [root@2namenode guanghongwei]# 

上面这部分其实是ldap配置的过程,如果用过的朋友应该很熟悉,再部署个phpldapadmin才算完整,不过我们先不用,下面进入主题,讲讲如何部署跳板机

四、 部署jumpserver

1). 下载代码

https://github.com/ibuler/jumpserver 下载代码,git clone不知为何下载不下来

2. 解压后放到/opt中,为/opt/jumpserver

1 mv jumpserver-master /opt/jumpserver

3. 下载建立数据库, 并授权

1 yum -y install mysql-server 
2 serivce mysqld start 
3 mysql 
4 mysql> create database jumpserver charset=’utf8’; # 否则中文可能乱码 
5 mysql> grant all on jumpserver.* to 'jumpserver'@'127.0.0.1' identified by 'redhat'; 

4. 编辑配置文件

1) 修改jumpserver的配置文件, 主要是修改一下db和key,下面的不动

1 vim jumpserver.conf 
2 #coding:utf-8 

4 [db] 
5 host = 127.0.0.1 
6 port = 3306 
7 user = jumpserver 
8 password = redhat 
9 db = jumpserver 
10 
11 [jumpserver] 
12 log_dir = /opt/jumpserver/logs/ 
13 user_table = UserManage_user 
14 assets_table = Assets_assets 
15 assets_user_table = Assets_assetsuser 
16 key = 88aaaf7ffe3c6c04 #此key需要是16位 
17 useradd_shell = /opt/jumpserver/useradd.sh 
18 userdel_shell = /opt/jumpserver/userdel.sh 
19 sudoadd_shell = /opt/jumpserver/sudoadd.sh 
20 sudodel_shell = /opt/jumpserver/sudodel.sh 
21 keygen_shell = /opt/jumpserver/genkey.sh 
22 chgpass_shell = /opt/jumpserver/chgpass_shell.sh

2) 修改bash调用的配置文件 shell.conf

1 vim shell.conf 

3 #!/bin/bash 

5 host=127.0.0.1 
6 ldapassword=redhat 
7 domain=dianping 
8 suffix=com 
9 #host2=172.16.2.74 
10 #host2_port=2001 

3) 添加一个admin用户

1 useradd admin 
2 echo 'redhat' | passwd --stdin admin 

4) 安装依赖的python库

1 yum -y install python-devel # MySQLdb也就是也就是mysql-python依赖依赖 
2 pip install django paramiko pam mysql-python pexpect -i http://pypi.douban.com/simple 

5) 初始化库

1 cd webroot/AutoSa/ 
2 python manage.py syncdb 
3 no 

6) 测试运行

1 chmod +x manage.py 
2 chmod +x runserver 
3 chmod +x *.sh 
4 chmod 777 logs 
5 ./runserver #默认监听80 

7 浏览器查看 


8) 登录测试

1 cd /opt/jumpserver 
2 python jumpserver.py 
3 试试各种功能 


9) 查看日志

10) 最终没确认没问题将目录下面的jumpserver.sh移动到 /etc/profile.d/中,来让登录运行堡垒机脚本

1 mv jumpserver.sh /etc/profile.d/