openldap+phpldapadmin

最新推荐文章于 2022-08-26 09:37:03 发布
最新推荐文章于 2022-08-26 09:37:03 发布
阅读量154 收藏
点赞数
文章标签： ldap 数据库 数据结构与算法
原文链接：https://my.oschina.net/guol/blog/338362
版权

为什么80%的码农都做不了架构师？>>>   hot3.png

最近要搞用户集中管理，服务系统上需要建立一些实名账户，想来想去打算使用LDAP方案，先把台子搭起来再说

部署环境：redhat6.5

IP：192.168.1.203  openldap-server

      192.168.1.201  openldap-client(采用修改配置文件法配置)

      192.168.1.204  openldap-client(采用图形界面配置)

安装openldap服务端

1    安装相关软件 

yum install openldap openldap-servers openldap-devel openldap-clients

2    创建openldap的数据库配置文件

    openldap默认使用的是伯克利数据库作为后台数据存储介质，在openldap-servers包已经包含了，直接复制到相关目录即可
 

cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
chown ldap:ldap /var/lib/ldap/DB_CONFIG
3    复制openldap的配置文件模板到/etc/openldap/目录 

cp /usr/share/openldap-servers/slapd.conf.obsolete /etc/openldap/slapd.conf
4    修改slapd.conf配置文件 

#找到下面的内容
suffix          "dc=my-domain,dc=com"
rootdn          "cn=Manager,dc=my-domain,dc=com"
##替换成如下，dc选择你自己的域名
suffix          "dc=example,dc=com"
rootdn          "cn=Manager,dc=example,dc=com"
    设置管理员密码  

#找到下面两行
# rootpw                secret
# rootpw                {crypt}ijFYNcSNctBYg

#选择任意一行，去掉前面的注释，注意还有一个空格，第一行配置的是明文密码，第二行配置的是加密过的密码，我选择的是第一行明文的，实验
rootpw          123456
    给openldap添加日志功能， 添加如下内容 
#/etc/openldap/slapd.conf
loglevel 296

#/etc/rsyslog.conf
local4.*   /var/log/ldap.log
    默认情况下，在/etc/openldap/slapd.d/目录下，有一些默认的配置文件，要删掉重新建立，这一步很重要 

rm -rf /etc/openldap/slapd.d/*
chown ldap:ldap /var/lib/ldap/ 

/etc/init.d/slapd restart
slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d
chown -R ldap:ldap /etc/openldap/slapd.d
5   使用netstat -tupln查看服务是否正常启动


6   迁移用户数据到openldap数据库，最简单的方法是使用padl提供的迁移工具包，是一系列perl编写的脚本，之前的openldap包中已经包含了这些脚本，但是在redhat6.5中已经没有了，要单独下载  

wget 'http://www.padl.com/download/MigrationTools.tgz'
    修改migrate_common.ph  

tar zxvf MigrationTools.tgz
cd MigrationTools-47/
vim migrate_common.ph
#找到如下内容
$DEFAULT_BASE = "dc=padl,dc=com";
#按照你的域名修改成如下
$DEFAULT_BASE = "dc=example,dc=com";
    在目录MigrationTools-47里面使用migrate_base.pl脚本生成基本的数据结构  

./migrate_base.pl > /tmp/base.ldif
    将base.ldif文件的内容以ldap服务命令行的形式导入数据库，由于没有配置DNS，所以先要修改一下/etc/hosts 

127.0.0.1   localhost localhost.example.com
192.168.1.203           Manager.example.com
    开始导入数据  

#-w 指定你在slapd.conf中设置的管理员密码，也可以使用-W，交互式输入密码
#-f 指定数据文件的路径
ldapadd -x -D "cn=Manager,dc=example,dc=com" -w 123456 -f /tmp/base.ldif

    查询已经导入数据库的数据  

ldapsearch -x -H ldap://192.168.1.203 -b "dc=example,dc=com"
 

    在目录下使用migrate_passwd.pl和migrate_group.pl脚本将文件/etc/passwd和/etc/group文件中的用户转化为ldap的数据结构 

./migrate_passwd.pl /etc/passwd /tmp/passwd.ldif
./migrate_group.pl /etc/group /tmp/group.ldif
 

    使用ldapadd命令将转化的数据结构导入ladp中
 

ldapadd -x -D "cn=Manager,dc=example,dc=com" -w 123456 -f /tmp/passwd.ldif
ldapadd -x -D "cn=Manager,dc=example,dc=com" -w 123456 -f /tmp/group.ldif

7  但是我们在实际生产环境中并不会把/etc/passwd和/etc/group中的用户全部用ldap管理起来，我们只需要让实际用户被ldap管理即可，所以生产中按照如下规则操作

    删除ldap数据库中的所有数据 

ldapdelete -x -D "cn=Manager,dc=example,dc=com" -w 123456 -r "dc=example,dc=com"
    建立两个测试用户test201和test204，把test201和test204导入ldap的数据库中 
cd /opt/MigrationTools-47
grep test* /etc/passwd > /tmp/passwd
grep test* /etc/group > /tmp/group
./migrate_base.pl > /tmp/base.ldif
./migrate_passwd.pl /tmp/passwd > /tmp/passwd.ldif
./migrate_group.pl /tmp/group > /tmp/group.ldif
ldapadd -x -D "cn=Manager,dc=example,dc=com" -w 123456 -f /tmp/base.ldif 
ldapadd -x -D "cn=Manager,dc=example,dc=com" -w 123456 -f /tmp/passwd.ldif
ldapadd -x -D "cn=Manager,dc=example,dc=com" -w 123456 -f /tmp/group.ldif

    查看ldap中的用户数据，因为数据较多，只显示test*账户 

ldapsearch -x -b "dc=example,dc=com" -LLL

192.168.1.201 openldap客户端配置(采用图形界面配置)

1   在192.168.1.201上安装openldap-client 

yum install openldap-clients nss-pam-ldapd pam_ldap

2   修改/etc/openldap/ldap.conf 

BASE dc=example,dc=com
URI ldap://192.168.1.203/

3   运行authconfig-tui命令，弹出图形界面

    1    选择相关认证

    2    输入相关信息

    3    点击ok，会看到重启了三个服务

4   修改/etc/sssd/sssd.conf配置文件，重启sssd服务 

## /etc/sssd/sssd.conf [domian/default]
enumerate = True

ldap_id_use_start_tls = False
cache_credentials = True
ldap_search_base = dc=example,dc=com
krb5_realm = EXAMPLE.COM
krb5_server = kerberos.example.com
id_provider = ldap
auth_provider = ldap
chpass_provider = ldap
ldap_uri = ldap://192.168.1.203/
ldap_tls_cacertdir = /etc/openldap/cacerts
[sssd]
services = nss, pam
config_file_version = 2

domains = default
[nss]

[pam]

[sudo]

[autofs]

[ssh]

[pac]

5    在客户端上测试，是否能去读到ldap中user的信息 

getent passwd|grep test

        可以看到图中除了test201和test204之外，还有其他test*账户，其他test*账户是本机上的

6    编辑系统文件，使使用ldap来认证

     1  /etc/pam.d/system-auth 

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        sufficient    pam_fprintd.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        sufficient    pam_ldap.so 
auth        required      pam_deny.so

account     required      pam_unix.so broken_shadow
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 500 quiet
account     [default=bad success=ok user_unknown=ignore] pam_ldap.so
account     required      pam_permit.so

password    requisite     pam_cracklib.so try_first_pass retry=3 type=
password    sufficient    pam_unix.so md5 shadow nullok try_first_pass use_authtok
password    sufficient    pam_ldap.so use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
session     optional      pam_oddjob_mkhomedir.so skel=/etc/skel/ umask=0022
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_ldap.so
    2    修改/etc/nsswitch.conf文件 
passwd:     files sss
shadow:     files sss
group:      files sss
修改为
passwd:     files ldap
shadow:     files ldap
group:      files ldap
7    重启nslcd  
service nslcd restart

8    现在可以使用ldap服务了，使用test201登陆192.168.1.201

    可以看到在第一次用ldap用户登陆客户端时会创建用户的家目录，等后面再次登陆时就不用创建家目录了

192.168.1.204 openldap客户端配置(采用修改配置文件法配置)

1    在192.168.1.204上安装openldap-client 

yum install nss-pam-ldapd pam_ldap
yum install openldap-clients

2    修改/etc/nsswitch.conf,nsswitch文件用户名称转换服务，默认情况linux的用户认证使用本地文件认证 

#找到下面三行
passwd:     files
shadow:     files
group:      files
#修改为
passwd:     files ldap
shadow:     files ldap
group:      files ldap
3    修改/etc/sysconfig/authconfig 
#以下的no替换为yes
USESYSNETAUTH=yes
USESHADOW=yes
USELOCAUTHORIZE=yes
USELDAP=yes
USELDAPAUTH=yes
USEMKHOMEDIR=yes
4    修改/etc/pam.d/system-auth，身份验证是由pam模块对本地的/etc/passwd文件经过对比进行验证的，使用的pam_unix.so模块，为了使ldap认证生效，我们需要加入pam_ldap.so，同时为了给用户创建家目录还需要加入pam_mkhomedir.do模块 
#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        sufficient    pam_fprintd.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        sufficient    pam_ldap.so 
auth        required      pam_deny.so


account     required      pam_unix.so broken_shadow
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 500 quiet
account     [default=bad success=ok user_unknown=ignore] pam_ldap.so
account     required      pam_permit.so


password    requisite     pam_cracklib.so try_first_pass retry=3 type=
password    sufficient    pam_unix.so md5 shadow nullok try_first_pass use_authtok
password    sufficient    pam_ldap.so use_authtok
password    required      pam_deny.so


session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
session     optional      pam_oddjob_mkhomedir.so skel=/etc/skel/ umask=0022
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_ldap.so
5    修改/etc/openldap/ldap.conf文件，内容如下 
URI ldap://192.168.1.203/
BASE dc=example;dc=com
6    修改/etc/pam_ldap.conf文件 
base dc=example,dc=com

7    启动sssd服务，先修改sssd.conf 

[domain/default]
enumerate=true
ldap_id_use_start_tls = False
cache_credentials = True
ldap_search_base = dc=example,dc=com
krb5_realm = EXAMPLE.COM
krb5_server = kerberos.example.com
id_provider = ldap
auth_provider = ldap
chpass_provider = ldap
ldap_uri = ldap://192.168.1.203/
ldap_tls_cacertdir = /etc/openldap/cacerts
[sssd]
services = nss, pam
config_file_version = 2

domains = default
[nss]

[pam]

[sudo]

[autofs]

[ssh]

[pac]

8    开启名称缓存服务nscd 

/etc/init.d/nscd start

9    使用ldap服务，使用test204账户登陆192.168.1.204

    可以看到第一次登陆也是会自动创建家目录

安装phpldapadmin来管理LDAP

1    下载phpldapadmin 

wget http://sourceforge.net/projects/phpldapadmin/files/phpldapadmin-php5/1.2.2/phpldapadmin-1.2.2.tgz/download
        不要用redhat自带的phpldapadmin，有BUG.... 

2    安装httpd+phpldapadmin 

tar zxvf phpldapadmin-1.2.2.tgz
cd phpldapadmin-1.2.2/config/
mv config.php.example config.php
cd ../../
mv phpldapadmin-1.2.2 phpldapadmin
yum install httpd
mv phpldapadmin /var/www/html/

3    修改phpldapadmin的配置文件，以可以链接ldap服务器

        /var/www/html/phpldapadmin/config/config.php修改的内容如下： 

$servers = new Datastore();
$servers->newServer('ldap_pla');
$servers->setValue('server','name','My LDAP Server');
$servers->setValue('server','host','192.168.1.203');
$servers->setValue('server','port',389);
$servers->setValue('server','base',array('dc=example,dc=com'));
$servers->setValue('login','auth_type','session');
$servers->setValue('login','bind_id','cn=Manager,dc=example,dc=com');
$servers->setValue('login','bind_pass','123456');
$servers->setValue('server','tls',false);

4    启动httpd，登陆phpldapadmin

        1    在浏览器输入http://192.168.1.203/phpldapadmin/

        2    点击登陆按钮，输入管理员账号及密码

        3    登陆之后即可看到之前命令行创建的组及用户信息

        4    在新增test809用户之前，我们先新增一个test809用户组

        5    test809用户组创建完毕后，接着创建test809用户

    这里要注意一点，把密码的加密方式修改为crypt方式

        这里要把登陆shell修改为/bin/bash，因为在第一次设置时没有该选项，要手动修改。

        6    下面我们在192.168.1.201\192.168.1.204上看看能不能获取到ldap的用户信息

 

        7    开始使用test809用户登陆192.168.1.201\192.168.1.204

        8    有点杯具了，可以登陆192.168.1.201，但是在登陆192.168.1.204时却提示被拒绝，但是在201和204上都是可以获取到ldap的用户信息的，204应该是在认证方面设置还有点问题。经过重重排查之后，需要启动以下nslcd服务 

/etc/init.d/nslcd restart

        终于大功告成



转载于:https://my.oschina.net/guol/blog/338362

Linux系统下安装配置 OpenLDAP + phpLDAPadmin
05-16 261
实验环境： 操作系统：Centos 7.4 服务器ip:192.168.3.41 运行用户：root 网络环境：Internet LDAP（轻量级目录访问协议）是一个能实现提供被称为目录服务的信息服务，也是一套用户认证体系系统；一般在大型企业、学校、政府单位使用的比较多，LDAP是由4部分组成，这4部分分别是slapd(独立LDAP守护进程)、slurpd(独立的LDAP...
OpenLDAP + phpLDAPadmin
weixin_30466953的博客
07-10 671
一、基础设置 1.1 环境说明 Centos 7.5 openldap 2.4.44 1.2 关闭防火墙和selinux setenforce 0 sed -i 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/selinux/config systemctl stop firewalld.service && s...
LDAP应用:OpenLDAP+PhpLDAPAdmin的配置
漠效的博客
09-23 6995
前言 OpenLDAP是一款轻量级目录访问协议，是一套开源的集中账号管理架构，且被众多系统支持（例如: 各种Linux发行版本、Windows、Mac OS、IBM AIX等众多平台），被广大互联网公司和软件所采用（例如：jumpserver,jenkins,zabbix,gitlab,wiki,samba，sqladmin等各类常用软件） 总之，任何内部 常用的可使用账号登陆的平台或软件基本都会支持关联ldap。它通常被用于关联各个平台或服务，达到统一身份认证的效果，一个账号和密码即可登陆各个平台，避免
openldap + phpldapadmin + nginx 搭建部署教程(完整版)
rockstics的博客
07-27 4454
1.概念 LDAP是轻量目录访问协议(LightweightDirectory Access Protocol)，LDAP标准实际上是在X.500标准基础上产生的一个简化版本，可以根据需要定制。LDAP 服务器本质上是一个为只读访问而优化的非关系型数据库。 OpenLDAP 是 LDAP 协议的一个开源实现。提供了目录服务的所有功能，包括目录搜索、身份认证、安全通道、过滤器等等。大多数的 Linux 发行版里面都带有 OpenLDAP 的安装包。OpenLDAP 服务默认使用非加密的 TCP/IP 协议来接
Docker搭建OpenLDAP+phpLDAPadmin统一用户认证
FatPuffer
11-09 1511
Docker 搭建 LDAP docker run -p 389:389 -p 636:636 --name my-openldap-container --env LDAP_ORGANISATION="ihopeit" --env LDAP_DOMAIN="ihopeit.com" --env LDAP_ADMIN_PASSWORD="admin_passwd_4_ldap" --detach osixia/openldap:1.4.0 Docker 搭建 phpLDAPadmin docker run
CentOS6下OpenLDAP+PhpLdapAdmin高可用部署记录(个人精华版)
09-02
本篇文档详细记录了CentOS6下OpenLDAP+PhpLdapAdmin高可用部署过程,本人线上实操手册,验证无误!特在此分享,希望能帮助到有用到的朋友.
LINUX+APACHE+PHP+BDB+OPENLDAP+PHPLDAPADMIN安装配置包和步骤2
08-03
在IT领域，构建一个基于LINUX、APACHE、PHP、BDB、OPENLDAP和PHPLDAPADMIN的系统是常见的任务，这样的组合常用于搭建高效能的Web服务器和身份认证服务。下面将详细介绍这些组件的功能以及它们的安装配置步骤。 **...
kubernetes安装openldap还有phpldapadmin
08-26
此文介绍通过kubernetes安装openldap还有phpldapadmin。 博客文章请查看：https://blog.csdn.net/engchina/article/details/82079340 主要包括： 从github取得openldap的yaml文件。 启动deployment和service。 查看...
OpenLDAP+PhpLdapAdmin高可用模式部署记录(个人完整版本)
08-28
本篇文章是基于本人在测试环境下的OpenLDAP+phpldapadmin高可用方案实施手册,完整部署过程,测试通用!
openldap介绍和使用（转）
隔壁老瓦的专栏
04-24 3793
openldap介绍和使用 - Ryan.Miao - 博客园 openldap介绍和使用 为什么会有本文？ 早期，公司是没有统一认证这个东西的，所以各自玩各自的。于是， confluence一个用户体系，gitlab一个用户体系，Jenkins一个用户体系等等， 开发中要用到的开源软件数不胜数，每个软件都要认证， 必须想办法统一账号。 第三系统的认证通常都是配置化的， 比如oauth, openid, ldap。兼容最广泛就是ldap了，虽然是很老的系统(LDAPv3 was developed
安装openldap
sqlora的专栏
08-26 2863
根据客户要求，需要实现用户账号同步功能，即在主节点创建用户账号后，其他计算节点可以同步拥有该账号，并可以使用该账号登录计算节点，进行相关操作。 根据以上要求，以及参考用户之前集群的配置，决定使用openldap来实现该功能。...
配置openldap_OpenLDAP快速入门
weixin_34020067的博客
11-29 749
前言：LDAP轻量目录访问协议为用户管理提供了统一认证服务，解决了长期存在的多套用户认证系统孤立、繁杂、难以维护的问题。具有简捷、高效、易用的特性，是用户认证管理的不二选择。一、简介LDAP(Lightweight Directory Access Protocol)是基于X.500标准的轻量目录访问协议。它比X.500具有更快的查询速度和更低的资源消耗，精简灵活，支持TCP/IP协议。LDAP为...
(CentOS 6)OpenLDAP服务端+PhpLdapAdmin 基本安装与配置
热门推荐
数据源的港湾
11-11 1万+
参考了一些其他人写的一些关于安装配置OpenLDAP的文章，于是乎手痒痒也自己动手尝试了一下安装与配置OpenLDAP，并安装PhpLdapAdmin用来通过WEB界面去管理LDAP。 下面就详细介绍如何一步步安装配置LDAP服务器，仅供参考~   1 yum安装OpenLDAP   [root@ha-3 yum.repos.d]# yum install openldap openl...
LDAP简介，基本模型，安装LDAP,安装和配置LDAP管理工具PHPldapadmin
涂作权的博客
05-11 8329
目录 OpenLDAP 1.1. OpenLDAP简介 1.2. LDAP的基本模型 1.2.1. 目录树概念 1.2.2. DC、UID、OU、CN、SN、DN、RDN 1.2.3. 基本模型 1.3. LDAP的使用 1.4. 相关网址 1.5. 安装OpenLDAP 1.5.1. 系统环境信息 1.5.2. 基础的环境准备 1.5.3. OpenLDAP服务器的搭建 1.5.4. 安装和配置LDAP管理工具PHPldapadmin 1.OpenLDAP 1.1.OpenLD
openldap+phpldapadmin创建ldapserver
cheng198600000的博客
04-25 3064
上周五准备搭建LDAP服务器，做测试使用，经过了一番纠结的尝试，最后使用centos6搭建完成，中间的一些纠结这里也记录一下： （1）首先，在Google上找到一篇在ubuntu上搭建的文章，感觉很简单，很鸡冻的开搞，搭建过程链接如下： https://www.digitalocean.com/community/tutorials/how-to-install-and-configu
Centos7.8 安装 openldap+phpldapadmin 最详细步骤
zhaowei198311的博客
07-14 6158
本文借助很多网上知识 做一个汇总，很多openldap安装都是0几年的安装方式，下面给大家演示我一步步安装的详细过程，CentOS系统安装就不做演示了，直接开肝 1.
CentOS7.5安装OpenLDAP+phpldapadmin
4Reality的专栏
10-26 1954
1、更新系统 yum update -y 2、安装openldap yum install -y openldap* 3、复制ldap的默认配置文件并更改owner为ldap cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG chown ldap. /var/lib/ldap/DB_CONFIG l...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值