Open Ldap安装部署

最新推荐文章于 2024-07-01 13:28:29 发布

这个操蛋的人生！！！

最新推荐文章于 2024-07-01 13:28:29 发布

阅读量947

点赞数

本文链接：https://blog.csdn.net/weixin_42728895/article/details/114536228

版权

参考链接;
https://blog.csdn.net/mayancheng7/article/details/105753846

以下统一以root用户操作，机器环境视为准备好（防火墙，时间等）

一、LDAP服务安装

1.yum 安装相关包

yum install -y openldap openldap-clients openldap-servers

2.复制一个默认配置到指定目录下,并授权，这一步一定要做，然后再启动服务，不然生产密码时会报错

cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG

3.授权给ldap用户,此用户yum安装时便会自动创建

chown -R ldap. /var/lib/ldap/DB_CONFIG

4.启动服务，先启动服务，配置后面再进行修改

systemctl start slapd
systemctl enable slapd

5.查看状态，running为正常启动

systemctl status slapd

6.生成管理员密码,记录下这个加密密码，后面需要用到

slappasswd -s 123456
{SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpE

7.新增修改密码文件,ldif为后缀，文件名随意

从openldap2.4.23版本开始，所有配置都保存在/etc/openldap/slapd.d目录下的cn=config文件夹内，不再使用slapd.conf作为配置文件。

vim changepwd.ldif

dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpE #该密码为上面生成的密码

8.执行命令，修改ldap配置，通过-f执行文件

ldapadd -Y EXTERNAL -H ldapi:/// -f changepwd.ldif

执行修改命令后，有如下输出则为正常：

[root@myc-test ~]# ldapadd -Y EXTERNAL -H ldapi:/// -f changepwd.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry “olcDatabase={0}config,cn=config”

9.导入schema

ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/collective.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/corba.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/duaconf.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/dyngroup.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/java.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/misc.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/openldap.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/pmi.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/ppolicy.ldif

10.修改域名，新增changedomain.ldif, 这里我自定义的域名为 yuelvhui.com，管理员用户账号为admin。
如果要修改，则修改文件中相应的dc=yuelvhui,dc=com为自己的域名

vim changedomain.ldif

dn: olcDatabase={1}monitor,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=admin,dc=yuelvhui,dc=com" read by * none

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=yuelvhui,dc=com

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=admin,dc=yuelvhui,dc=com

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootPW
olcRootPW: {SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpE #该密码为上面生成的密码

dn: olcDatabase={2}hdb,cn=config
changetype: modify
add: olcAccess
olcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=admin,dc=yuelvhui,dc=com" write by anonymous auth by self write by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to * by dn="cn=admin,dc=yuelvhui,dc=com" write by * read

注：每个dn之间的空行，不能有空格，不然报错
11.执行命令，修改配置

ldapmodify -Y EXTERNAL -H ldapi:/// -f changedomain.ldif

正确的执行方式是这样的

[root@myc-test ~]# ldapmodify -Y EXTERNAL -H ldapi:/// -f changedomain.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry “olcDatabase={1}monitor,cn=config”

modifying entry “olcDatabase={2}hdb,cn=config”

modifying entry “olcDatabase={2}hdb,cn=config”

modifying entry “olcDatabase={2}hdb,cn=config”

modifying entry “olcDatabase={2}hdb,cn=config”

12.新增add-memberof.ldif, 开启memberof支持并新增用户支持memberof配置

vim add-memberof.ldif

dn: cn=module{0},cn=config
cn: modulle{0}
objectClass: olcModuleList
objectclass: top
olcModuleload: memberof.la
olcModulePath: /usr/lib64/openldap

dn: olcOverlay={0}memberof,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcMemberOf
objectClass: olcOverlayConfig
objectClass: top
olcOverlay: memberof
olcMemberOfDangling: ignore
olcMemberOfRefInt: TRUE
olcMemberOfGroupOC: groupOfUniqueNames
olcMemberOfMemberAD: uniqueMember
olcMemberOfMemberOfAD: memberOf

13.新增refint1.ldif文件

vim refint1.ldif

dn: cn=module{0},cn=config
add: olcmoduleload
olcmoduleload: refint

14.新增refint2.ldif文件

vim refint2.ldif

dn: olcOverlay=refint,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcOverlayConfig
objectClass: olcRefintConfig
objectClass: top
olcOverlay: refint
olcRefintAttribute: memberof uniqueMember  manager owner

15.依次执行下面命令，加载配置，顺序不能错

ldapadd -Q -Y EXTERNAL -H ldapi:/// -f add-memberof.ldif
ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint1.ldif
ldapadd -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif

三条命令依次执行完的结果是这样的

[root@myc-test ~]# ldapadd -Q -Y EXTERNAL -H ldapi:/// -f add-memberof.ldif
adding new entry “cn=module{0},cn=config”

adding new entry “olcOverlay={0}memberof,olcDatabase={2}hdb,cn=config”

[root@myc-test ~]# ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint1.ldif
modifying entry “cn=module{0},cn=config”

[root@myc-test ~]# ldapadd -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif
adding new entry “olcOverlay=refint,olcDatabase={2}hdb,cn=config”
到此，配置修改完了，在上述基础上，我们来创建一个叫做

16.新建yuelvhui company 组织，并在其下创建一个 admin 的组织角色（该组织角色内的用户具有管理整个 LDAP 的权限）和 People 和 Group 两个组织单元：新增配置文件

vim base.ldif

dn: dc=yuelvhui,dc=com
objectClass: top
objectClass: dcObject
objectClass: organization
o: yuelvhui Company
dc: yuelvhui

dn: cn=admin,dc=yuelvhui,dc=com
objectClass: organizationalRole
cn: admin

dn: ou=People,dc=yuelvhui,dc=com
objectClass: organizationalUnit
ou: People

dn: ou=Group,dc=yuelvhui,dc=com
objectClass: organizationalRole
cn: Group

17.执行命令，输入上面我们生成的密码

ldapadd -x -D cn=admin,dc=yuelvhui,dc=com -W -f base.ldif

正确执行完命令是这样的

[root@myc-test ~]# ldapadd -x -D cn=admin,dc=yuelvhui,dc=com -W -f base.ldif
Enter LDAP Password:
adding new entry “dc=yuelvhui,dc=com”

adding new entry “cn=admin,dc=yuelvhui,dc=com”

adding new entry “ou=People,dc=yuelvhui,dc=com”

adding new entry “ou=Group,dc=yuelvhui,dc=com”

二、LDAP web客户端phpldapadmin

1.安装PHP5
注意： phpldapadmin很多没更新了，只支持php5，如果你服务器的环境是php7，则会有问题，页面会有各种报错

rpm -Uvh https://mirror.webtatic.com/yum/el7/epel-release.rpm
rpm -Uvh https://mirror.webtatic.com/yum/el7/webtatic-release.rpm
yum install php55w.x86_64 php55w-cli.x86_64 php55w-common.x86_64 php55w-gd.x86_64 php55w-ldap.x86_64 php55w-mbstring.x86_64 php55w-mcrypt.x86_64 php55w-mysql.x86_64 php55w-pdo.x86_64 --skip-broken

2.安装phpldapadmin

yum install -y phpldapadmin

3.修改apache的phpldapadmin配置文件
修改如下内容，放开外网访问，这里只改了2.4版本的配置，因为centos7 默认安装的apache为2.4版本。所以只需要改2.4版本的配置就可以了。如果不知道自己apache版本，执行 rpm -qa|grep httpd 查看apache版本

vim /etc/httpd/conf.d/phpldapadmin.conf

<Directory /usr/share/phpldapadmin/htdocs>
  <IfModule mod_authz_core.c>
    # Apache 2.4
    Require all granted //修改这行就行，其他的不用管
  </IfModule>
  <IfModule !mod_authz_core.c>
    # Apache 2.2
    Order Deny,Allow
    Deny from all
    Allow from 127.0.0.1
    Allow from ::1
  </IfModule>
</Directory>

4.修改配置用DN登录ldap

vim /etc/phpldapadmin/config.php

#398行，默认是使用uid进行登录，我这里改为cn，也就是用户名
$servers->setValue('login','attr','cn');
 
#460行，关闭匿名登录，否则任何人都可以直接匿名登录查看所有人的信息
$servers->setValue('login','anon_bind',false);
 
#519行，设置用户属性的唯一性，这里我将cn,sn加上了，以确保用户名的唯一性
$servers->setValue('unique','attrs',array('mail','uid','uidNumber','cn','sn'));

5.启动apache

systemctl start httpd
systemctl enable httpd

Apache 启动成功后是这样滴
[root@myc-test ~]# systemctl status httpd.service

● httpd.service - The Apache HTTP Server
Loaded: loaded (/usr/lib/systemd/system/httpd.service; enabled; vendor preset: disabled)
Active: active (running) since 六 2020-04-25 16:44:16 CST; 50min ago
Docs: man:httpd(8)
man:apachectl(8)
Main PID: 2453 (httpd)
Status: “Total requests: 79; Current requests/sec: 0; Current traffic: 0 B/sec”
CGroup: /system.slice/httpd.service
├─2453 /usr/sbin/httpd -DFOREGROUND
├─2455 /usr/sbin/httpd -DFOREGROUND
├─2458 /usr/sbin/httpd -DFOREGROUND
├─2479 /usr/sbin/httpd -DFOREGROUND
├─2481 /usr/sbin/httpd -DFOREGROUND
├─2483 /usr/sbin/httpd -DFOREGROUND
├─2484 /usr/sbin/httpd -DFOREGROUND
├─2486 /usr/sbin/httpd -DFOREGROUND
├─2487 /usr/sbin/httpd -DFOREGROUND
├─2489 /usr/sbin/httpd -DFOREGROUND
└─2490 /usr/sbin/httpd -DFOREGROUND

4月 25 16:44:16 myc-test systemd[1]: Starting The Apache HTTP Server…
4月 25 16:44:16 myc-test httpd[2453]: AH00558: httpd: Could not reliably determine the server’s fully qualified domain name, using fe80::149c:f13…s message
4月 25 16:44:16 myc-test systemd[1]: Started The Apache HTTP Server.
Hint: Some lines were ellipsized, use -l to show in full.
6.登录phpldapadmin界面
在浏览器上访问: http://ip/ldapadmin ，然后使用上面定义的用户，进行登录，如下：
在这里插入图片描述