linux7 openldap,centos7 openldap主从部署安装

安装说明：

从OpenLDAP2.4.23版本开始所有配置数据都保存在slapd.d目录中，不再使用slapd.conf作为配置文件

有两种配置方式，一种是通过修改slapd.conf，再用slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d/导入。一种是通过编辑ldif文件，再用ldapadd命令导入。本文采用第二种方式，这种方式网上文档比较少，不好弄

如果使用第一种方法，centos7系统yum安装后没有slapd.conf.obsolete文件，可以选择从centos6上复制过来

安装环境

centos 7.3

ldap主1服务器：test1 192.168.255.124

ldap主2服务器：test2 192.168.255.125

OpenLDAP2.4.44

一、安装ldap服务器端，在主1和主2执行下面的步骤

1、安装

[root@test1] ~$ yum install openldap openldap-servers openldap-clients compat-openldap

#可以通过rpm -ql ,来查看每个安装包都有哪些文件

openldap： #OpenLDAP配置文件、库和文档

openldap-servers： #服务器进程及相关命令、迁移脚本和相关文件

openldap-clients： #客户端进程及相关命令，用来访问和修改 OpenLDAP 目录

compat-openldap： #与主从配置相关

#安装过程中会自动创建ldap用户和ldap组

#复制数据库模板

[root@test1] ~$ cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG

[root@test1] ~$ chown ldap. /var/lib/ldap/DB_CONFIG

[root@test1] ~$ systemctl enable slapd

[root@test1] ~$ systemctl start slapd

[root@test1] /etc/openldap/slapd.d/cn=config$ netstat -tunlp |grep slapd

tcp 0 0 0.0.0.0:389 0.0.0.0:* LISTEN 62756/slapd

tcp6 0 0 :::389 :::* LISTEN 62756/slapd

#ldap服务端进程为slapd，端口389，默认情况下数据为明文传输，添加ssl配置后为密文数据传输，端口636

2、使用 slappasswd 命令生成管理员(admin)密码，编写 LDIF(一种LDAP 专用的数据交换格式)文件并通过ldapadd命令将管理员密码导入到 LDAP配置文件中

[root@test1] ~$ slappasswd

New password:

Re-enter new password:

{SSHA}BXTlwAUMwVSgqHr0WlIEud3iu9ddjvQE

[root@test1] ~$ vim chrootpw.ldif

dn: olcDatabase={0}config,cn=config

changetype: modify

add: olcRootPW

olcRootPW: {SSHA}BXTlwAUMwVSgqHr0WlIEud3iu9ddjvQE

[root@test1] ~$ ldapadd -Y EXTERNAL -H ldapi:/// -f chrootpw.ldif

SASL/EXTERNAL authentication started

SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth

SASL SSF: 0

modifying entry "olcDatabase={0}config,cn=config"

3.我们需要向 LDAP 中导入一些基本的 Schema。这些 Schema 文件位于 /etc/openldap/schema/ 目录中，schema控制着条目拥有哪些对象类和属性

[root@test1] /etc/openldap/schema$ ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif

SASL/EXTERNAL authentication started

SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth

SASL SSF: 0

adding new entry "cn=cosine,cn=schema,cn=config"

[root@test1] /etc/openldap/schema$ ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif

SASL/EXTERNAL authentication started

SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth

SASL SSF: 0

adding new entry "cn=nis,cn=schema,cn=config"

[root@test1] /etc/openldap/schema$ ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif

SASL/EXTERNAL authentication started

SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth

SASL SSF: 0

adding new entry "cn=inetorgperson,cn=schema,cn=config"

4、配置 LDAP 的根域(以 dc=baidu,dc=com 为例)及其管理域：

# 编辑

[root@test1] ~$ vim chdomain.ldif

#用你自己的域名代替"dc=***,dc=***"语句块

dn: olcDatabase={1}monitor,cn=config

changetype: modify

replace: olcAccess

olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth"

read by dn.base="cn=admin,dc=baidu,dc=com" read by * none

dn: olcDatabase={2}hdb,cn=config

changetype: modify

replace: olcSuffix

olcSuffix: dc=baidu,dc=com

dn: olcDatabase={2}hdb,cn=config

changetype: modify

replace: olcRootDN

olcRootDN: cn=admin,dc=baidu,dc=com

dn: olcDatabase={2}hdb,cn=config

changetype: modify

add: olcRootPW

olcRootPW: {SSHA}BXTlwAUMwVSgqHr0WlIEud3iu9ddjvQE

dn: olcDatabase={2}hdb,cn=config

changetype: modify

add: olcAccess

olcAccess: {0}to attrs=userPassword,shadowLastChange by

dn="cn=admin,dc=baidu,dc=com" write by anonymous auth by self write by * none

olcAccess: {1}to dn.base="" by * read

olcAccess: {2}to * by dn="cn=admin,dc=badiu,dc=com" write by * read

#导入

[root@test1] ~$ ldapmodify -Y EXTERNAL -H ldapi:/// -f chdomain.ldif

SASL/EXTERNAL authentication started

SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth

SASL SSF: 0

modifying entry "olcDatabase={1}monitor,cn=config"

modifying entry "olcDatabase={2}hdb,cn=config"

modifying entry "olcDatabase={2}hdb,cn=config"

modifying entry "olcDatabase={2}hdb,cn=config"

modifying entry "olcDatabase={2}hdb,cn=config"

5、在上述基础上，我们来创建一个叫做 baidu company 的组织，并在其下创建一个 admin 的组织角色(该角色内的用户具有管理整个 LDAP 的权限)和 People 和 Group 两个组织单元：

[root@test1] ~$ vim basedomain.ldif

dn: dc=baidu,dc=com

objectClass: top

objectClass: dcObject

objectClass: organization

o: Baidu Company

dc: baidu

dn: cn=admin,dc=baidu,dc=com

objectClass: organizationalRole

cn: admin

dn: ou=People,dc=baidu,dc=com

objectClass: organizationalUnit

ou: People

dn: ou=Group,dc=baidu,dc=com

objectClass: organizationalRole

cn: Group

[root@test1] ~$ ldapadd -x -D cn=admin,dc=baidu,dc=com -W -f basedomain.ldif

Enter LDAP Password: #输入上面设置的管理员密码(明文)

adding new entry "dc=baidu,dc=com"

adding new entry "cn=admin,dc=baidu,dc=com"

adding new entry "ou=People,dc=baidu,dc=com"

adding new entry "ou=Group,dc=baidu,dc=com"

通过以上的所有步骤，我们就设置好了一个 LDAP 目录树：其中基准 dc=baidu,dc=com 是该树的根节点，其下有一个管理域 cn=admin,dc=baidu,dc=com 和两个组织单元 ou=People,dc=baidu,dc=com 及 ou=Group,dc=baidu,dc=com。

至此ldap1服务器端已配置完成。

接下来，我们来创建一个叫作tom 的员工并将其分配到 SRE 组来验证上述配置是否生效。

[root@test1] ~$ vim ldapuser.ldif

dn: uid=tom,ou=People,dc=baidu,dc=com

objectClass: inetOrgPerson

objectClass: posixAccount

objectClass: shadowAccount

uid: tom

cn: tom

sn: tom

userPassword: {SSHA}i62EIL9tklQjQJvO8PrxEyGVidSUL8Fq

uidNumber: 1100

gidNumber: 1100

homeDirectory: /home/tom

dn: cn=SRE,ou=Group,dc=baidu,dc=com

objectClass: posixGroup

cn: SRE

gidNumber: 1100

memberUid: SRE

[root@test1] ~$ ldapadd -x -D cn=admin,dc=baidu,dc=com -W -f ldapuser.ldif

Enter LDAP Password:

adding new entry "uid=tom,ou=People,dc=baidu,dc=com"

adding new entry "cn=SRE,ou=Group,dc=baidu,dc=com"

我们也可以使用 ldapsearch 命令来查看 LDAP 目录服务中的所有条目信息：

[root@test1] ~$ ldapsearch -x -b "dc=baidu,dc=com" -H ldap://127.0.0.1

删除条目

ldapdelete -x -W -D 'cn=admin,dc=baidu,dc=com' "uid=tom,ou=People,dc=baidu,dc=com"

二、配置双主复制，在主1和主2上执行下面的步骤

添加syncprov模块

[root@test1] ~/ldif$ vim mod_syncprov.ldif

# create new

dn: cn=module,cn=config

objectClass: olcModuleList

cn: module

olcModulePath: /usr/lib64/openldap

olcModuleLoad: syncprov.la

[root@test1 ~]# ldapadd -Y EXTERNAL -H ldapi:/// -f mod_syncprov.ldif

SASL/EXTERNAL authentication started

SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth

SASL SSF: 0

adding new entry "cn=module,cn=config"

[root@test1] ~/ldif$ vim syncprov.ldif

# create new

dn: olcOverlay=syncprov,olcDatabase={2}hdb,cn=config

objectClass: olcOverlayConfig

objectClass: olcSyncProvConfig

olcOverlay: syncprov

olcSpSessionLog: 100

[root@test1 ~]# ldapadd -Y EXTERNAL -H ldapi:/// -f syncprov.ldif

SASL/EXTERNAL authentication started

SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth

SASL SSF: 0

adding new entry "olcOverlay=syncprov,olcDatabase={2}hdb,cn=config"

在主1和主2上执行下面的步骤，但是注意需要替换olcServerID和provider的值

[root@test1] ~/ldif$ vim master01.ldif

# create new

dn: cn=config

changetype: modify

replace: olcServerID

# specify uniq ID number on each server

olcServerID: 0 #主2上替换为1

dn: olcDatabase={2}hdb,cn=config

changetype: modify

add: olcSyncRepl

olcSyncRepl: rid=001

provider=ldap://192.168.255.125:389/ #主2上替换为192.168.255.124:389

bindmethod=simple

binddn="cn=admin,dc=baidu,dc=com"

credentials=123456 #明文密码

searchbase="dc=baidu,dc=com"

scope=sub

schemachecking=on

type=refreshAndPersist

retry="30 5 300 3"

interval=00:00:05:00

-

add: olcMirrorMode

olcMirrorMode: TRUE

dn: olcOverlay=syncprov,olcDatabase={2}hdb,cn=config

changetype: add

objectClass: olcOverlayConfig

objectClass: olcSyncProvConfig

olcOverlay: syncprov

[root@test1 ~]# ldapmodify -Y EXTERNAL -H ldapi:/// -f master01.ldif

SASL/EXTERNAL authentication started

SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth

SASL SSF: 0

modifying entry "cn=config"

modifying entry "olcDatabase={2}hdb,cn=config"

adding new entry "olcOverlay=syncprov,olcDatabase={2}hdb,cn=config"

配置ldap客户端监听所有的ldap服务器(？)

authconfig --ldapserver=192.168.255.124,192.168.255.125 --update

三、测试(我测试没通过，上一步应该不正确或者不完整，待续)

在主1上进行测试

1)添加一个test用户，然后分别在两个节点上进行查询操作，test.ldif参考上文。

[root@test1 ~]# ldapadd -x -D "cn=admin,dc=baidu,dc=com" -W -f test.ldif

adding new entry "uid=test,ou=People,dc=baidu,dc=com"

[root@test1] ~$ ldapsearch -x -b "dc=baidu,dc=com" -H ldap://127.0.0.1|grep uid=test

[root@test2] ~$ ldapsearch -x -b "dc=baidu,dc=com" -H ldap://127.0.0.1|grep uid=test

2)删除test用户，然后分别在两个节点上进行查询操作

[root@test1 ~]# ldapdelete -x -D "cn=admin,dc=baidu,dc=com" -W "uid=test,ou=People,dc=baidu,dc=com"

[root@test1 ~]# ldapsearch -x -H ldap://127.0.0.1 -b "dc=baidu,dc=com" |grep uid=test

[root@test2 ~]# ldapsearch -x -H ldap://127.0.0.1 -b "dc=baidu,dc=com" |grep uid=test

在主2上测试

同上

至此双主部署完成

参考文章：