openldap介绍以及使用

已于 2023-07-05 14:19:37 修改
阅读量4.3k 收藏 26
点赞数 4
分类专栏： 运维监控 文章标签： openldap ldap
于 2023-05-22 10:51:23 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zz18435842675/article/details/130802480
版权

参考文献：openldap介绍和使用

基本概念

官网：https://www.openldap.org

官方文档：https://www.openldap.org/doc

LDAP是一个开放的，中立的，工业标准的应用协议，通过IP协议提供访问控制和维护分布式信息的目录信息。

而OpenLDAP是轻型目录访问协议（Lightweight Directory Access Protocol，LDAP）的自由和开源的实现，提供了目录服务的所有功能，包括目录搜索、身份认证、安全通道、过滤器等等。在其OpenLDAP许可证下发行，并已经被包含在众多流行的Linux发行版中。

openldap和AD域其实都是LDAP的一种实现！

OpenLDAP它本身也是一个小型文件数据库。Ldap是树形结构的，能够通过server + client(服务端+客户端)的方式，进行统一的用户(账号)管理。

OpenLDAP 默认以 Berkeley DB 作为后端数据库，Berkeley DB 数据库主要以散列的数据类型进行数据存储，如以键值对的方式进行存储。Berkeley DB 是一类特殊的数据库，主要作用于搜索、浏览、更新查询操作，一般用于一次写入数据、多次查询和搜索有很好的效果。Berkeley DB 数据库时面向查询进行优化，面向读取进行优化的数据库。Berkeley DB 不支持事务性数据库（MySQL、MariDB、Oracle 等）所支持的高并发的吞吐量以及复杂的事务操作。

介绍图：

在这里插入图片描述

结构图：

在这里插入图片描述

通常我们在ldap中维护的数据大概会像如下目录树：

在这里插入图片描述

在一个组织中，为了简化各种内部系统的账号和密码的管理，往往就需要ldap来进行管理了。

以下则是他的信息模型

目录树概念

  • 目录树

    在一个目录服务系统中，整个目录信息集可以表示为一个目录信息树，树中的每个节点是一个条目(Entry)。

  • 条目（Entry）

    条目，也叫记录项，是LDAP中最基本的颗粒，就像字典中的词条，或者是数据库中的记录。通常对LDAP的添加、删除、更改、检索都是以条目为基本对象的。

    LDAP目录的条目（entry）由属性（attribute）的一个聚集组成，并由一个唯一性的名字引用，即专有名称（distinguished name，DN）。例如，DN能取这样的值：“cn=group,dc=eryajf,dc=net”。

  • 对象类（ObjectClass）

    LDAP通过属性objectClass来控制哪一个属性必须出现或允许出现在一个条目中，它的值决定了该条目必须遵守的模式
    规则。可以理解为关系数据库的表结构。接下来会用到的objectClass有

    objectClass含义
    olcGlobal全局配置文件类型， 主要是cn=config.ldif 的配置项
    top顶层的对象
    organization组织，比如公司名称，顶层的对象
    organizationalUnit重要， 一个目录节点，通常是group，或者部门这样的含义
    inetOrgPerson重要， 我们真正的用户节点类型，person类型， 叶子节点
    groupOfNames重要， 分组的group类型，标记一个group节点
    olcModuleList配置模块的对象

  • 属性 (Attribute)

    每个条目都可以有很多属性（Attribute），比如常见的人都有姓名、地址、电话等属性。每个属性都有名称及对应的值，属性值可以有单个、多个。

基础字段

关键字英文全称含义
dcDomain Component域名的部分，其格式是将完整的域名分成几部分，如域名为example.com变成dc=example,dc=com
uidUser Id用户ID，如“tom”
ouOrganization Unit组织单位，类似于Linux文件系统中的子目录，它是一个容器对象，组织单位可以包含其他各种对象（包括其他组织单元），如“market”
cnCommon Name公共名称，如“Thomas Johansson”
snSurname姓，如“Johansson”
dnDistinguished Name惟一辨别名，类似于Linux文件系统中的绝对路径，每个对象都有一个惟一的名称，如“uid= tom,ou=market,dc=example,dc=com”，在一个目录树中DN总是惟一的
rdnRelative dn相对辨别名，类似于文件系统中的相对路径，它是与目录树结构无关的部分，如“uid=tom”或“cn= Thomas Johansson”
cCountry国家，如“CN”或“US”等。
oOrganization组织名，如“Example, Inc.”

这里，我们把dn当做用户唯一主键， cn是common name,应该等同于用户名，因为用户名必须唯一，通常为邮箱前缀，比如san.zhang，其中sn作为姓氏，即zhang， uid作为用户id。通常用户id也是唯一的。所以在使用ldap做认证的时候，大概逻辑如下：

  • 配置ldap host, admin, admin pass
  • 用户登录时传递username
  • 读取配置的ldap信息，查询cn或者uid等于username的数据
  • 取出第一个记录， 获得dn， 根据dn和password再次去ldap服务器认证。即我们必须保证cn或uid是全局唯一的，认证通常需要进行两次。原因就在于dn没办法根据用户名计算出来。

应用场景

早期，公司是没有统一认证这个东西的，所以各自玩各自的。于是， confluence一个用户体系，gitlab一个用户体系，Jenkins一个用户体系等等， 开发中要用到的开源软件数不胜数，每个软件都要认证， 必须想办法统一账号。

与AD域的区别

其实工作中很多小伙伴有接触过ldap。但是不知道ldap具体是什么东西。与公司域账号（或统一登录账号）的区别是什么。相信最开始接触这些账号系统的小伙伴都是一脸闷逼的吧。那么我们先了解下几种账号体系的区别：

对比项Ldap账号域账号统一登录体系(如:平安UM/同程OA)
简称ldap账号AD域账号UM账号/OA账号/邮箱账号 等等
管理方向机器登录/应用登录机器登录/应用登录针对应用网站登录(例如: 管理网站，办公网站等等)
节点部署类型主服务 + 客户端主服务 + 客户端主服务
常见部署环境Linux系统下window系统下根据开发语种选择linux或window
安装软件openLdapAD自研程序
可部署系统环境Linux/windowLinux/windowLinux/window
入职时是否自动开通一般不会一般不会一般会开通

说明：一般情况下，AD域用来登录工作的电脑；Ldap用来登录linux机器或者应用管理网站；自研的账号系统用来登录应用管理网站。

用ldap管理机器认证(图)

在这里插入图片描述

用ldap做应用登录认证(图)

在这里插入图片描述

AD域的介绍

AD域的详细介绍

部署

openldap docker部署

采用docker的方式进行部署，镜像来源与dockerhub

docker run -dit --name openldap \
-u root \
--restart=always \
-p 389:1389 -p 636:1636 \
-e LDAP_ADMIN_USERNAME='admin' \
-e LDAP_ROOT='dc=wlong,dc=com' \
-e LDAP_ADMIN_PASSWORD='wl123456' \
bitnami/openldap:latest

其中389和636端口分别为openldap的非加密与加密端口，类似于http和https的80和443端口。

LDAP_ADMIN_USERNAME： LDAP数据库管理员用户，默认：admin

LDAP_ROOT：LDAP 树的 LDAP baseDN (或后缀)。默认值: dc = example，dc = org

LDAP_ADMIN_PASSWORD：为这颗树的默认管理用户admin的密码

执行后用docker logs命令看一下日志。

bitnami/openldap的镜像地址为： bitnami/containers

其中：

openldap的配置目录为：opt/bitnami/openldap/etc，配置讲解可以查看 centos系统部署 的内容

openldap centos系统部署

yum命令安装

yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel migrationtools

查看OpenLDAP版本：

slapd -VV

@(#) $OpenLDAP: slapd 2.4.44 (Feb 23 2022 17:11:27) $
        mockbuild@x86-01.bsys.centos.org:/builddir/build/BUILD/openldap-2.4.44/openldap-2.4.44/servers/slapd

OpenLDAP的相关配置文件信息

  • /etc/openldap/slapd.d/*：这下面是/etc/openldap/slapd.conf配置信息生成的文件，每修改一次配置信息，这里的东西就要重新生成
  • /etc/openldap/schema/*：OpenLDAP的schema存放的地方
  • /var/lib/ldap/*：OpenLDAP的数据文件
  • /usr/share/openldap-servers/DB_CONFIG.example 模板数据库配置文件

OpenLDAP监听的端口：

  • 默认监听端口：389（明文数据传输）
  • 加密监听端口：636（密文数据传输）

启动OpenLDAP

# 开机启动
systemctl enable --now slapd
# 启动
systemctl start slapd
# 查看状态
systemctl status slapd.service

# 显示
slapd.service - OpenLDAP Server Daemon
   Loaded: loaded (/usr/lib/systemd/system/slapd.service; enabled; vendor preset: disabled)
   Active: active (running) since Thu 2023-02-16 11:36:26 CST; 2h 36min ago
   ...
   
# 查看端口   
ss -natup | grep 389

tcp    LISTEN     0      128       *:389                   *:*                   users:(("slapd",pid=16691,fd=8))
tcp    LISTEN     0      128    [::]:389                [::]:*                   users:(("slapd",pid=16691,fd=9))

添加防火墙允许（防火墙关闭可忽略）

firewall-cmd --add-service=ldap --permanent
firewall-cmd --reload

配置文件目录

openldap的配置目录为：/etc/openldap，内容为：

.
|-- certs
|   |-- cert8.db
|   |-- key3.db
|   |-- password
|   `-- secmod.db
|-- check_password.conf
|-- ldap.conf
|-- schema
|   |-- collective.ldif
|   |-- collective.schema
|   |-- corba.ldif
|   |-- corba.schema
|   |-- core.ldif
|   |-- core.schema
|   |-- cosine.ldif
|   |-- cosine.schema
|   |-- duaconf.ldif
|   |-- duaconf.schema
|   |-- dyngroup.ldif
|   |-- dyngroup.schema
|   |-- inetorgperson.ldif
|   |-- inetorgperson.schema
|   |-- java.ldif
|   |-- java.schema
|   |-- misc.ldif
|   |-- misc.schema
|   |-- nis.ldif
|   |-- nis.schema
|   |-- openldap.ldif
|   |-- openldap.schema
|   |-- pmi.ldif
|   |-- pmi.schema
|   |-- ppolicy.ldif
|   `-- ppolicy.schema
`-- slapd.d
    |-- cn=config
    |   |-- cn=schema
    |   |   `-- cn={0}core.ldif
    |   |-- cn=schema.ldif
    |   |-- olcDatabase={-1}frontend.ldif
    |   |-- olcDatabase={0}config.ldif
    |   |-- olcDatabase={1}monitor.ldif
    |   `-- olcDatabase={2}hdb.ldif
    `-- cn=config.ldif

cn=config.ldif

默认配置文件，位于/etc/openldap/slapd.d, 文件格式为LDAP Input Format (LDIF)， ldap目录特定的格式。

cat cn\=config.ldif 
# AUTO-GENERATED FILE - DO NOT EDIT!! Use ldapmodify.
# CRC32 ab47d062
dn: cn=config
objectClass: olcGlobal
cn: config
olcArgsFile: /var/run/openldap/slapd.args
olcPidFile: /var/run/openldap/slapd.pid
olcTLSCACertificatePath: /etc/openldap/certs
olcTLSCertificateFile: "OpenLDAP Server"
olcTLSCertificateKeyFile: /etc/openldap/certs/password
structuralObjectClass: olcGlobal
entryUUID: b05cd796-4c6e-103d-9ab4-997fd8d796b2
creatorsName: cn=config
createTimestamp: 20230301111934Z
entryCSN: 20230301111934.333783Z#000000#000#000000
modifiersName: cn=config
modifyTimestamp: 20230301111934Z

olcDatabase={2}hdb.ldif

db存储格式，有bdb和hdb两种，这里是hdb. 可以直接查看文件，也可以查询：

[root@iZ slapd.d]# ldapsearch  -Y EXTERNAL -H ldapi:/// -b cn=config dn | grep olcDatabase
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
dn: olcDatabase={-1}frontend,cn=config
dn: olcDatabase={0}config,cn=config
dn: olcDatabase={1}monitor,cn=config
dn: olcDatabase={2}hdb,cn=config

核心配置文件，位于/etc/openldap/slapd.d/cn=config, 可以配置域名(olcSuffix)， 管理员账号(olcRootDN)等。

cat olcDatabase\=\{2\}hdb.ldif
# AUTO-GENERATED FILE - DO NOT EDIT!! Use ldapmodify.
# CRC32 dcc1ece8
dn: olcDatabase={2}hdb
objectClass: olcDatabaseConfig
objectClass: olcHdbConfig
olcDatabase: {2}hdb
olcDbDirectory: /var/lib/ldap
olcSuffix: dc=my-domain,dc=com
olcRootDN: cn=Manager,dc=my-domain,dc=com
olcDbIndex: objectClass eq,pres
olcDbIndex: ou,cn,mail,surname,givenname eq,pres,sub
structuralObjectClass: olcHdbConfig
entryUUID: b05d1706-4c6e-103d-9aba-997fd8d796b2
creatorsName: cn=config
createTimestamp: 20230301111934Z
entryCSN: 20230301111934.335429Z#000000#000#000000
modifiersName: cn=config
modifyTimestamp: 20230301111934Z

可以看到很多文件名和字段名都有前缀"olc" (OpenLDAP Configuration)， 理解就好。

创建管理员账号

看到前面两个配置文件，官方不推荐我们直接修改配置文件，而是通过ldapmodify来更新配置。

创建rootdn.ldif文件

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=admin,dc=wlong,dc=com
-
replace: olcSuffix
olcSuffix: dc=wlong,dc=com
-
replace: olcRootPW
olcRootPW: <pass>
  • 修改olcRootDN， 设置为我们的admin: cn=admin,dc=wlong,dc=com
  • 修改olcSuffix， 设置为我们的域名dc=wlong,dc=com
  • 修改olcRootPW， 设置我们的admin密码, 这个需要加密，所以暂时放一个占位符，等下替换
  • changetype变更类型， replace表示替换， add表示增加。

cn=config是全局配置，必须包含objectClass: olcGlobal.

由于这里我们密码用了一个占位符，所以接下来我们使用一个脚本，来替换占位符以及创建管理员，脚本如下：

changeroot.sh

admin_pass=`slappasswd -s wl123456`
echo "admin pass is:  ${admin_pass}"
sed "s!<pass>!${admin_pass}!g"   rootdn.ldif > tmp.ldif

echo "备份默认配置"

cp /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{2\}hdb.ldif /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{2\}hdb.ldif.bak

echo "将要修改的内容："
cat tmp.ldif

ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f tmp.ldif

echo "修改后的变化"
diff /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{2\}hdb.ldif /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{2\}hdb.ldif.bak
  • slappasswd -s admin 密码为"wl123456"，这个命令一执行，则是加密后的密文；
  • 备份原始文件
  • ldapmodify 更新命令， -H指定host，这里ldapi:/// 表示IPC (Unix-domain socket)协议， -f指定变更的内容。 命令文档: http://man7.org/linux/man-pages/man1/ldapmodify.1.html

使用脚本进行变更，而不是直接命令行交互式变更，这样可以更容易梳理变更逻辑, 而且可以重复使用。

执行脚本：

[root@iZ slapd.d]# bash changeroot.sh 
admin pass is:  {SSHA}sKvZltfAtdTcwUiGTDn9lvd2VVbbk/zd
备份默认配置
将要修改的内容：
dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=admin,dc=wlong,dc=com
-
replace: olcSuffix
olcSuffix: dc=wlong,dc=com
-
replace: olcRootPW
olcRootPW: {SSHA}sKvZltfAtdTcwUiGTDn9lvd2VVbbk/zd
modifying entry "olcDatabase={2}hdb,cn=config"

修改后的变化
2c2
< # CRC32 e63c0a84
---
> # CRC32 dcc1ece8
7a8,9
> olcSuffix: dc=my-domain,dc=com
> olcRootDN: cn=Manager,dc=my-domain,dc=com
14,19c16,18
< olcRootDN: cn=admin,dc=wlong,dc=com
< olcSuffix: dc=wlong,dc=com
< olcRootPW:: e1NTSEF9c0t2Wmx0ZkF0ZFRjd1VpR1REbjlsdmQyVlZiYmsvemQ=
< entryCSN: 20230302023857.029105Z#000000#000#000000
< modifiersName: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
< modifyTimestamp: 20230302023857Z
---
> entryCSN: 20230301111934.335429Z#000000#000#000000
> modifiersName: cn=config
> modifyTimestamp: 20230301111934Z

我们可以通过以下命令来验证密码

[root@iZ slapd.d]# ldapwhoami -x -H ldapi:/// -D cn=admin,dc=wlong,dc=com -w wl123456
dn:cn=admin,dc=wlong,dc=com

[root@iZ slapd.d]# ldapwhoami -x -H ldapi:/// -D cn=admin,dc=wlong,dc=com -w 1111
ldap_bind: Invalid credentials (49)

或者

[root@iZ slapd.d]# ldapsearch -H ldapi:///  -D "cn=admin,dc=wlong,dc=com" -w 1111
ldap_bind: Invalid credentials (49)
[root@iZ slapd.d]# ldapsearch -H ldapi:///  -D "cn=admin,dc=wlong,dc=com" -w wl123456
# extended LDIF
#
# LDAPv3
# base <> (default) with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# search result
search: 2
result: 32 No such object

# numResponses: 1
  • ldapsearch 查询语法， -H指定host， -D指定admin的账号，即rootdn, -w指定密码, -x启用认证，ldapi:///指的是本地

添加组织结构

ou并不能当做分组，而仅仅是组织架构的一个单元。ldap的分组都是通过单独的group来实现的。

有了管理员，还需要配置组织结构base.ldif。在这之前，我们需要导入一些模板。schema类似数据库表定义，
定义了字段名称和类型。

schema地址：

/etc/openldap/schema

默认安装加载了core.ldif , 我们现在加载几个想要的schema:

ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif

然后

创建文件base.ldif

# cat base.ldif
dn: dc=wlong,dc=com
objectClass: top
objectClass: dcObject
objectClass: organization
o: ldap测试组织
dc: wlong

dn: cn=Manager,dc=wlong,dc=com
objectClass: organizationalRole
cn: Manager
description: 组织管理人

dn: ou=People,dc=wlong,dc=com
objectClass: organizationalUnit
ou: People

dn: ou=Group,dc=wlong,dc=com
objectClass: organizationalUnit
ou: Group

使用ldapadd添加base:

ldapadd -x -D cn=admin,dc=wlong,dc=com -w wl123456 -f base.ldif

使用ldapsearch来检查内容

[root@iZ openldap]# ldapsearch -x -D cn=admin,dc=wlong,dc=com -w wl123456 -b "dc=wlong,dc=com"
# extended LDIF
#
# LDAPv3
# base <dc=wlong,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# wlong.com
dn: dc=wlong,dc=com
objectClass: top
objectClass: dcObject
objectClass: organization
o:: bGRhcOa1i+ivlee7hOe7hw==
dc: wlong

# Manager, wlong.com
dn: cn=Manager,dc=wlong,dc=com
objectClass: organizationalRole
cn: Manager
description:: 57uE57uH566h55CG5Lq6

# People, wlong.com
dn: ou=People,dc=wlong,dc=com
objectClass: organizationalUnit
ou: People

# Group, wlong.com
dn: ou=Group,dc=wlong,dc=com
objectClass: organizationalUnit
ou: Group

# search result
search: 2
result: 0 Success

# numResponses: 5
# numEntries: 4
  • -x 启用认证
  • -D bind admin的dn
  • -w admin的密码
  • -b basedn, 查询的基础dn
  • 可以看到中文被替换成hash, 后面可以通过其他方式看到

在这里插入图片描述

添加人员

ou并不能当做分组，而仅仅是组织架构的一个单元。ldap的分组都是通过单独的group来实现的。

添加人员对应的是树的叶子节点，使用的oebjectClass： inetOrgPerson。

添加组织部门对应的是目录，使用的objectClass: organizationalUnit.

我们要把人员添加到ou=People,dc=wlong,dc=com下。

创建adduser.ldif

dn: ou=研发部门,ou=People,dc=wlong,dc=com
changetype: add
objectClass: organizationalUnit
ou: 研发部门

dn: ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com
changetype: add
objectClass: organizationalUnit
ou: 后台组



dn: cn=ryan.miao,ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com
changetype: add
objectClass: inetOrgPerson
cn: ryan.miao
departmentNumber: 1
sn: Miao
title: 大牛
mail: ryan.miao@wlong.com
userPassword: 123456
uid: 10000
displayName: 中文名



dn: cn=someone,ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com
changetype: add
objectClass: inetOrgPerson
cn: someone
departmentNumber: 1
sn: someone
title: Java工程师
mail: someone@wlong.com
userPassword: 123456
uid: 10001
displayName: 某人


dn: ou=测试组,ou=研发部门,ou=People,dc=wlong,dc=com
changetype: add
objectClass: organizationalUnit
ou: 测试组


dn: cn=tester.miao,ou=测试组,ou=研发部门,ou=People,dc=wlong,dc=com
changetype: add
objectClass: inetOrgPerson
cn: tester.miao
departmentNumber: 2
sn: Miao
title: 测试工程师
userPassword: 123456
mail: tester@wlong.com
uid: 10002
displayName: 测试某人


dn: ou=HR,ou=People,dc=wlong,dc=com
changetype: add
objectClass: organizationalUnit
ou: HR


dn: cn=fang.huang,ou=HR,ou=People,dc=wlong,dc=com
changetype: add
objectClass: inetOrgPerson
cn: fang.huang
departmentNumber: 3
sn: Huang
title: HRBP
userPassword: 123456
mail: fang.huang@wlong.com
uid: 10003
displayName: 黄芳

使用ldapadd来添加我们的用户

[root@iZ openldap]# ldapadd -x -D cn=admin,dc=wlong,dc=com -w wl123456 -f adduser.ldif
adding new entry "ou=研发部门,ou=People,dc=wlong,dc=com"

adding new entry "ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com"

adding new entry "cn=ryan.miao,ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com"

adding new entry "cn=someone,ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com"

adding new entry "ou=测试组,ou=研发部门,ou=People,dc=wlong,dc=com"

adding new entry "cn=tester.miao,ou=测试组,ou=研发部门,ou=People,dc=wlong,dc=com"

adding new entry "ou=HR,ou=People,dc=wlong,dc=com"

adding new entry "cn=fang.huang,ou=HR,ou=People,dc=wlong,dc=com"

使用ldapsearch来查询用户

指定唯一id来查询某个用户，比如cn唯一，则

[root@iZ openldap]# ldapsearch -x -D cn=admin,dc=wlong,dc=com -w admin -b "dc=wlong,dc=com" "cn=ryan.miao"
# extended LDIF
#
# LDAPv3
# base <dc=wlong,dc=com> with scope subtree
# filter: cn=ryan.miao
# requesting: ALL
#

# ryan.miao, \E5\90\8E\E5\8F\B0\E7\BB\84, \E7\A0\94\E5\8F\91\E9\83\A8\E9\97\A8,
  People, wlong.com
dn:: Y249cnlhbi5taWFvLG91PeWQjuWPsOe7hCxvdT3noJTlj5Hpg6jpl6gsb3U9UGVvcGxlLGRjP
 Xdsb25nLGRjPWNvbQ==
objectClass: inetOrgPerson
cn: ryan.miao
departmentNumber: 1
sn: Miao
title:: 5aSn54mb
mail: ryan.miao@wlong.com
uid: 10000
displayName:: 5Lit5paH5ZCN

# search result
search: 2
result: 0 Success

# numResponses: 2
# numEntries: 1

和前面的示例相比，多了一个参数filter

ldapsearch -x -D “admin的dn” -w “admin的密码” -b “basedn, 最外层的分组” “search filter:”

还可以指定返回的字段

[root@iZ openldap]# ldapsearch -x -D cn=admin,dc=wlong,dc=com -w admin -b "ou=HR,ou=People,dc=wlong,dc=com"  cn uid  displayName
# extended LDIF
#
# LDAPv3
# base <ou=HR,ou=People,dc=wlong,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: cn uid displayName 
#

# HR, People, wlong.com
dn: ou=HR,ou=People,dc=wlong,dc=com

# fang.huang, HR, People, wlong.com
dn: cn=fang.huang,ou=HR,ou=People,dc=wlong,dc=com
cn: fang.huang
uid: 10003
displayName:: 6buE6IqzOg==

# search result
search: 2
result: 0 Success

# numResponses: 3
# numEntries: 2

在配置第三方认证的时候，比如airflow, 就是通过这样userfilter来search用户的。

添加用户密码

刚才添加用户太快，忘记添加用户密码了。这就涉及到

  • 添加用户的同时指定密码;
  • admin修改密码;
  • 用户自己修改密码三个情况了。
添加用户的时候指定密码

一个hr肯定太累了，添加一个新的hr hr-ryan

创建文件addone.ldif

dn: cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com
changetype: add
objectClass: inetOrgPerson
cn: hr-ryan
userPassword: 123456
departmentNumber: 3
sn: hr-ryan
title: HRBP
mail: hr-ryan@wlong.com
uid: 10004
displayName: 我是猎头

执行添加

ldapadd -x -D cn=admin,dc=wlong,dc=com -w wl123456 -f addone.ldif

查询验证

root@e6043aeb680e data]# ldapsearch -x -D cn=admin,dc=wlong,dc=com -w admin -b dc=wlong,dc=com "cn=hr-*"
# extended LDIF
#
# LDAPv3
# base <dc=wlong,dc=com> with scope subtree
# filter: cn=hr-*
# requesting: ALL
#

# hr-ryan, HR, People, wlong.com
dn: cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com
objectClass: inetOrgPerson
cn: hr-ryan
userPassword:: MTIzNDU2
departmentNumber: 3
sn: hr-ryan
title: HRBP
mail: hr-ryan@wlong.com
uid: 10004
displayName:: 5oiR5piv54yO5aS0

# search result
search: 2
result: 0 Success

# numResponses: 2
# numEntries: 1

可以看到，filter里可以使用通配符。并且，用户密码被加密了。

我们前文说，第三方系统第一步通过search拿到dn，也就是上面这一步。然后第二个是验证密码，验证密码是怎么做的呢？直接通过search语法连接ldap，通过则证明密码正确。

[root@a1791f1044ba data]# ldapsearch -x -D cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com -w 123456
# extended LDIF
#
# LDAPv3
# base <> (default) with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# search result
search: 2
result: 32 No such object

# numResponses: 1

管理员修改任意密码

使用ldapmodify

创建文件updatepass.ldif

dn: cn=ryan.miao,ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com
changetype: modify
replace: userPassword
userPassword: ryanmiao

执行修改

ldapmodify -a -H ldapi:/// -D "cn=admin,dc=wlong,dc=com" -w wl123456 -f updatepass.ldif

查询确认

ldapsearch -x -D cn=ryan.miao,ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com -w ryanmiao -b dc=wlong,dc=com "cn=ryan.miao"

可以确认密码修改成功了，同时也暴露了一个问题，任意一个人都可以bind登录，然后查询所有用户的信息。后面我们将关注acl权限问题，让每个人只能查询自己的信息，让指定的group可以查询所有人的信息。

注意到，我们使用的明文作为密码存储， 这样的传输方式是不推荐的， 可以使用sha1来存储。

slappasswd -s ryanmiao
{SSHA}r5yzPeESGLsvX7oxQetVEpel9LhygFef


dn: cn=ryan.miao,ou=后台组,ou=研发部门,dc=wlong,dc=com
changetype: modify
replace: userPassword
userPassword: {SSHA}r5yzPeESGLsvX7oxQetVEpel9LhygFef


[root@a1791f1044ba schema]# slappasswd -h {sha} -s ryanmiao
{SHA}vMV4cx3BhPVf0dRvEur3NOWIDEw=
[root@a1791f1044ba schema]# slappasswd -h {md5} -s ryanmiao
{MD5}J3sqNCJFas5wgycX4lJPsg==

或者sha1
userPassword: {SHA}vMV4cx3BhPVf0dRvEur3NOWIDEw=

值得注意的是sha1的结果并不是通常我们用的hex结果，而是通过utf8转换的：

public static String sha1(String str)
    throws NoSuchAlgorithmException, UnsupportedEncodingException {
    if (null == str || str.length() == 0) {
        return null;
    }
    MessageDigest mdTemp = MessageDigest.getInstance("SHA1");
    mdTemp.update(str.getBytes("UTF-8"));
    byte[] md = mdTemp.digest();

    return "{SHA}" + Utf8.decode(java.util.Base64.getEncoder().encode(md));
}

Springboot提供了LdapShaPasswordEncoder， 但标记为deprecated, 理由是明文的加密算法不够安全。
我们的ldap由于属于同步服务，即ldap不负责用户信息的维护，只负责查询。需要由用户中心来同步给ldap信息。
这就涉及到密码的问题，用户中心没有存储用户明文的，也就是不能直接同步到ldap。好在可以获得用户密码的sha，通过sha来同步ldap的密码，即ldap中的密码是一个sha的方式存储的。虽然不够安全，容易被撞，但用着也还行。
如果不信任这种算法，那就不用ldap。可以使用oauth的方式认证第三方系统，大部分系统已支持这种认证方案。

@deprecated Digest based password encoding is not considered secure. Instead use an
adaptive one way function like BCryptPasswordEncoder, Pbkdf2PasswordEncoder, or
password upgrades. There are no plans to remove this support. It is deprecated to indicate
that this is a legacy implementation and using it is considered insecure.

用户修改个人密码
ldappasswd -x -h 172.17.0.2 -p 389 -D "cn=Barbara Jensen,dc=example,dc=org" -w VSzhfbwA -s 123456

我们先不关注这种行为吧，默认所有第三方系统只有登录权限。关于组织架构的维护，即ldap组织的更新，我们采用其他的方案去管理，ldap只是用来辅助第三方登录的。即，其他系统想要修改密码之类的，统一到我们的用户中心服务去修改变更，用户中心负责把信息同步给ldap。

添加组Group

ou并不能当做分组，而仅仅是组织架构的一个单元。ldap的分组都是通过单独的group来实现的。

有人会问，我之前添加人员的时候添加了很多部门的ou，不就是group吗。

是的，理论上应该是group。但是由于我们丢了一步，没有设置ou的objectClass为group。所以，这里单独讲group的故事。

ldap的group是一种单独的类型objectClass: groupOfNames， 有个字段叫做member, value就是entry的dn。如此，实现了group-user的映射关系。

我们可以通过group来查询member，然而，并不能通过user直接获取到group。这在配置第三方系统的时候，没办法做group认证，比如airflow要求输入group filter, 默认通过memberof的属性值来获取group。所以，理论上user应该有个字段叫做memberof,value是group。

大家可能会觉得dn已经很明显的分组了好吧，为啥还要这么复杂。事实上，ldap也提供了Reverse Group Membership Maintenance.由系统来维护二者的映射关系。即

  • group添加member的时候会自动给对应的entry添加memberof字段
  • 当删除entry的时候，也会从group里删除member字段

这个需要单独配置，默认是不支持的。

添加memberof模块

创建add_module_group.ldif

dn: cn=module,cn=config
cn: module
objectClass: olcModuleList
olcModulePath: /usr/lib64/openldap

dn: cn=module{0},cn=config
changetype: modify
add: olcModuleLoad
olcModuleLoad: memberof.la

执行添加

ldapadd -Q -Y EXTERNAL -H ldapi:/// -f  add_module_group.ldif

创建add_group_objectClass.ldif

dn: olcOverlay=memberof,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcMemberOf
objectClass: olcOverlayConfig
objectClass: top
olcOverlay: memberof
olcMemberOfDangling: ignore
olcMemberOfRefInt: TRUE
olcMemberOfGroupOC: groupOfNames
olcMemberOfMemberAD: member     
olcMemberOfMemberOfAD: memberOf

执行添加

ldapadd -Q -Y EXTERNAL -H ldapi:/// -f  add_group_objectClass.ldif
添加一个group

创建addgroup.ldif

dn: cn=g-admin,ou=Group,dc=wlong,dc=com
objectClass: groupOfNames
cn: g-admin
member: cn=ryan.miao,ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com
member: cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com

执行

ldapmodify -a -H ldapi:/// -D "cn=admin,dc=wlong,dc=com" -w wl123456 -f addgroup.ldif

查看组

[root@iZ2ze9mi8xjyj68byrel2cZ openldap]# ldapsearch -H ldapi:/// -x -D "cn=admin,dc=wlong,dc=com" -w wl123456 -b "ou=Group,dc=wlong,dc=com"
# extended LDIF
#
# LDAPv3
# base <ou=Group,dc=wlong,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# Group, wlong.com
dn: ou=Group,dc=wlong,dc=com
objectClass: organizationalUnit
ou: Group

# g-admin, Group, wlong.com
dn: cn=g-admin,ou=Group,dc=wlong,dc=com
objectClass: groupOfNames
cn: g-admin
member:: Y249cnlhbi5taWFvLG91PeWQjuWPsOe7hCxvdT3noJTlj5Hpg6jpl6gsb3U9UGVvcGxlL
 GRjPXdsb25nLGRjPWNvbQ==
member: cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com

# search result
search: 2
result: 0 Success

# numResponses: 3
# numEntries: 2

再来查看entry是否添加了memberof, ldapsearch当不指定字段的时候，默认返回全部强制字段，memberof不属于强制，需要单独指明

[root@iZ2ze9mi8xjyj68byrel2cZ openldap]# ldapsearch -H ldapi:/// -x -D "cn=admin,dc=wlong,dc=com" -w wl123456 -b "ou=People,dc=wlong,dc=com" "(|(cn=ryan.miao)(cn=hr-*))" memberof
# extended LDIF
#
# LDAPv3
# base <ou=People,dc=wlong,dc=com> with scope subtree
# filter: (|(cn=ryan.miao)(cn=hr-*))
# requesting: memberof 
#

# ryan.miao, \E5\90\8E\E5\8F\B0\E7\BB\84, \E7\A0\94\E5\8F\91\E9\83\A8\E9\97\A8,
  People, wlong.com
dn:: Y249cnlhbi5taWFvLG91PeWQjuWPsOe7hCxvdT3noJTlj5Hpg6jpl6gsb3U9UGVvcGxlLGRjP
 Xdsb25nLGRjPWNvbQ==
memberOf: cn=g-admin,ou=Group,dc=wlong,dc=com

# hr-ryan, HR, People, wlong.com
dn: cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com
memberOf: cn=g-admin,ou=Group,dc=wlong,dc=com

# search result
search: 2
result: 0 Success

# numResponses: 3
# numEntries: 2

可以看到，这两个人都link到了admin组。如此实现了我们的组添加和管理。

同时，再次引入了新的查询语法，filter的正则匹配。

  • (|(cn=ryan.miao)(cn=hr-*)) 表示或者满足某个条件，这里就是为了查询这两个人，另外*表示通配符
  • (&(objectClass=inetOrgPerson)(cn=ryan.miao)) 第三方系统，比如Python集成ldap的配置，通常会有一个basedn, 就是我们的域名了，然后userfilter,这个filter就是这个。我们通常填写objectClass=inetOrgPerson。然后让我们配置user_name_attr, 这就是唯一属性，我们说我们的cn唯一。

所以，一个Python的ldap配置，通常是这个样子的。

[ldap]
# set this to ldaps://<your.ldap.server>:<port>
uri = ldap://172.17.0.2:389
user_filter = objectClass=inetOrgPerson
user_name_attr = cn
group_member_attr = memberof
superuser_filter =
data_profiler_filter =
bind_user = cn=admin,dc=wlong,dc=com
bind_password = admin
basedn = dc=wlong,dc=com
cacert = 
search_scope = SUBTREE

源码 https://github.com/apache/airflow/blob/master/airflow/contrib/auth/backends/ldap_auth.py#L101

search_filter = "(&({0})({1}={2}))".format(user_filter, user_name_att, username)
添加用户到group

我们来创建一个common group， 表示所有人都应该在的一个group。

# commongroup.ldif
dn: cn=g-users,ou=Group,dc=wlong,dc=com
objectClass: groupOfNames
cn: g-users
member: cn=ryan.miao,ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com
member: cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com

ldapmodify -a -H ldapi:/// -D "cn=admin,dc=wlong,dc=com" -w wl123456 -f commongroup.ldif

到目前为止，我们添加了2个group：

[root@iZ2ze9mi8xjyj68byrel2cZ openldap]# ldapsearch -H ldapi:/// -D cn=admin,dc=wlong,dc=com -w wl123456 -b dc=wlong,dc=com -s sub "objectClass=groupOfNames"  dn member
# extended LDIF
#
# LDAPv3
# base <dc=wlong,dc=com> with scope subtree
# filter: objectClass=groupOfNames
# requesting: dn member 
#

# g-admin, Group, wlong.com
dn: cn=g-admin,ou=Group,dc=wlong,dc=com
member:: Y249cnlhbi5taWFvLG91PeWQjuWPsOe7hCxvdT3noJTlj5Hpg6jpl6gsb3U9UGVvcGxlL
 GRjPXdsb25nLGRjPWNvbQ==
member: cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com

# g-users, Group, wlong.com
dn: cn=g-users,ou=Group,dc=wlong,dc=com
member:: Y249cnlhbi5taWFvLG91PeWQjuWPsOe7hCxvdT3noJTlj5Hpg6jpl6gsb3U9UGVvcGxlL
 GRjPXdsb25nLGRjPWNvbQ==
member: cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com

# search result
search: 2
result: 0 Success

# numResponses: 3
# numEntries: 2

接下来，我们把剩下的用户加入到g-users这个group， 以后所有人加入的默认group。

创建addUserToGroup.ldif

dn: cn=g-users,ou=Group,dc=wlong,dc=com
changetype: modify
add: member
member: cn=fang.huang,ou=HR,ou=People,dc=wlong,dc=com
member: cn=someone,ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com
member: cn=tester.miao,ou=测试组,ou=研发部门,ou=People,dc=wlong,dc=com

执行

ldapmodify -H ldapi:/// -x -D cn=admin,dc=wlong,dc=com -w wl123456 -f addUserToGroup.ldif

查看

[root@iZ2ze9mi8xjyj68byrel2cZ openldap]# ldapsearch -H ldap:/// -D cn=admin,dc=wlong,dc=com -w wl123456 -b dc=wlong,dc=com -s sub "objectClass=groupOfNames"
# extended LDIF
#
# LDAPv3
# base <dc=wlong,dc=com> with scope subtree
# filter: objectClass=groupOfNames
# requesting: ALL
#

# g-admin, Group, wlong.com
dn: cn=g-admin,ou=Group,dc=wlong,dc=com
objectClass: groupOfNames
cn: g-admin
member:: Y249cnlhbi5taWFvLG91PeWQjuWPsOe7hCxvdT3noJTlj5Hpg6jpl6gsb3U9UGVvcGxlL
 GRjPXdsb25nLGRjPWNvbQ==
member: cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com

# g-users, Group, wlong.com
dn: cn=g-users,ou=Group,dc=wlong,dc=com
objectClass: groupOfNames
cn: g-users
member:: Y249cnlhbi5taWFvLG91PeWQjuWPsOe7hCxvdT3noJTlj5Hpg6jpl6gsb3U9UGVvcGxlL
 GRjPXdsb25nLGRjPWNvbQ==
member: cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com
member: cn=fang.huang,ou=HR,ou=People,dc=wlong,dc=com
member:: Y249c29tZW9uZSxvdT3lkI7lj7Dnu4Qsb3U956CU5Y+R6YOo6ZeoLG91PVBlb3BsZSxkY
 z13bG9uZyxkYz1jb20=
member:: Y249dGVzdGVyLm1pYW8sb3U95rWL6K+V57uELG91PeeglOWPkemDqOmXqCxvdT1QZW9wb
 GUsZGM9d2xvbmcsZGM9Y29t

# search result
search: 2
result: 0 Success

# numResponses: 3
# numEntries: 2
从Group中移除user

g-admin是一个管理员分组，我们去掉普通用户cn=ryan.miao,ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com

创建removeUserFromGroup.ldif

dn: cn=g-admin,ou=Group,dc=wlong,dc=com
changetype: modify
delete: member
member: cn=ryan.miao,ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com

执行

ldapmodify -H ldapi:/// -x -D cn=admin,dc=wlong,dc=com -w wl123456 -f removeUserFromGroup.ldif
最终Group和user的关系

group可以有多个user， user可以归属于多个group，是多对多的关系。

group有多个member字段， user有多个memberof字段。

在这里插入图片描述

ACL权限控制

从前面的测试可以看到，默认是没开启权限的。任何人都可以连接查询和操作。包括匿名访问，可以查看所有人的信息！！！

acl的设置方式很多，鉴于我们并没有将ldap作为主要的数据存储方案，即不做过多的权限设置了，只要关掉匿名访问，只允许read，允许个人修改个人信息就好了。更多设置方案可以参照官网。 Access Control

acl就在olcDatabase={2}hdb文件中配置, 我们可以查看具体的配置：

[root@iZ2ze9mi8xjyj68byrel2cZ openldap]# ldapsearch  -Y EXTERNAL -H ldapi:/// -b cn=config 'olcDatabase={2}hdb'
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
# extended LDIF
#
# LDAPv3
# base <cn=config> with scope subtree
# filter: olcDatabase={2}hdb
# requesting: ALL
#

# {2}hdb, config
dn: olcDatabase={2}hdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcHdbConfig
olcDatabase: {2}hdb
olcDbDirectory: /var/lib/ldap
olcDbIndex: objectClass eq,pres
olcDbIndex: ou,cn,mail,surname,givenname eq,pres,sub
olcRootDN: cn=admin,dc=wlong,dc=com
olcSuffix: dc=wlong,dc=com
olcRootPW: {SSHA}sKvZltfAtdTcwUiGTDn9lvd2VVbbk/zd

# search result
search: 2
result: 0 Success

# numResponses: 2
# numEntries: 1
语法
DN指定语法

  • 使用正则表达式(dn.regex)或精确匹配(dn.style)的方式来匹配符合条件的记录

    例如：dn.regex=“ou=(.+),dc=wlong,dc=com$”；意思为：匹配用户的所有ou；

  • access to dn.(base|one|subtree|children)=DN(“ou=People,dc=koudai,dc=com”)

    第二种方法通过“区域”选择的方法进行目标记录的选取，对以指定的DN开始的目录树区域进行目标记录匹配。匹配区域的方式共有四种：

    • base 只匹配DN本身一条记录
    • one 匹配以给定DN为父目录的所有记录
    • subtree 匹配以给定DN为根目录的所有子树内的记录
    • children 匹配给定DN下的所有记录，但应该不包括以DN直接命名的那条记录(参见例子的解释)

    例如：对于

    0: dc=mydomain,dc=org
1: cn=root,dc=mydomain,dc=org
2: ou=users,dc=mydomain,dc=org
3: uid=samba,ou=users,dc=mydomain,dc=org
4: cn=Administator,uid=samba,ou=users,dc=mydomain,dc=org
5: uid=guest,ou=users,dc=mydomain,dc=org

    规则 dn.base=”ou=users,dc=mydomain,dc=org” 只会匹配记录2
    规则 dn.one=”ou=users,dc=mydomain,dc=org” 匹配记录3和记录5，记录4是记录3的子目录，故不算在内
    规则 dn.subtree=”ou=users,dc=mydomain,dc=org” 匹配记录2、3、4、5
    规则 dn.children=”ou=users,dc=mydomain,dc=org” 匹配记录3、4、5,因为记录0、1和2都是以DN直接命名的，故不匹配

  • 通过filter指定过滤规则进行记录过虑，语法如下：
    access to filter=ldap filter
    其中filter指定的为search的过滤规则，这类同于linux系统中grep的匹配方式。如：

    access to filter=(objectClass=sambaSamAccount)
也可以结合使用DN和filter进行记录的匹配，例如：
access to dn.subtree=”ou=users,dc=mydomain,dc=org” filter=(objectClass=posixAccount)

  • 通过attrs选取匹配记录语法:
    access to attrs=uid,uidNumber,gidNumber
    也可以结合使用DN和attrs进行记录的匹配，例如：

    access to dn.subtree="ou=users,dc=mydomain,dc=org" attrs=uid
用来授权的访问者

指定被授权的用户范围的方法大致有以下几种：

* 所有的访问者，包括匿名的用户 
anonymous 非认证的匿名用户 
users 认证的用户 
self 目标记录的用户自身 
dn[.<basic-style>]=<regex> 在指定目录内匹配正则表达式的用户 
dn.<scope-style>=<DN> 指定DN内的用户
被授予的权限access

当选取好ACL作用的目标记录并选取好用户范围后，就该给这些用户授予他们应该得到的权限了。大致的权限(由低到高)有以下几类：

none 无权限，即拒绝访问 
auth 访问bind（认证）设置的权限；前提是需要用户提交一个DN形式的用户名并能通过认证 
compare 比较属性的权限；（例如：对照查看某用户的telephoneNumber值是不是158 8888 8888）,但并不具有搜索的权限 
search 利用过虑条件进行搜索的权限,但这并不一定具有可读取搜索结果的权限 
read 读取搜索结果的权限 
write 更改记录属性值的权限

上述只是部分内容，具体还需要参考官方文档，这里面至说了基础，具体怎么配置，还是参考官方文档： Access Control

ACL示例

创建acl.ldif

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcAccess
olcAccess: to attrs=userPassword 
  by self write 
  by anonymous auth 
  by group.exact="cn=g-admin,ou=Group,dc=wlong,dc=com" write 
  by * none
olcAccess: to * 
  by self write 
  by group.exact="cn=g-admin,ou=Group,dc=wlong,dc=com"  write   
  by * none
  • access to attrs=userPassword 通过属性找到访问范围密码;
  • 管理员可能不止一个，创建管理员组"cn=g-admin,ou=Group,dc=wlong,dc=com"把管理员统一都放到这个组下，管理员组下的所有用户（dn.children）有写权限;
  • 匿名用户(anonymous)要通过验证(auth)
  • 自己(self)有对自己密码的写(write)权限，其他人(*)都没有权限(none)
  • access to * 所有其他属性
  • 管理员"cn=g-admin,ou=Group,dc=wlong,dc=com"成员有写(write)权限；
    其他人(*)只有读(read)权限
    自己(self)有读的权限

执行

ldapmodify -H ldapi:///  -Y EXTERNAL -f acl.ldif

验证权限

添加一个普通用户：

# addtwo.ldif
dn: cn=hr-miao,ou=HR,ou=People,dc=wlong,dc=com
changetype: add
objectClass: inetOrgPerson
cn: hr-miao
userPassword: 123456
departmentNumber: 3
sn: hr-miao
title: HRBP
mail: hr-miao@wlong.com
uid: 10006
displayName: 我是HR

ldapmodify -a -H ldapi:// -D "cn=admin,dc=wlong,dc=com" -w admin -f addtwo.sh

现在我们有两个用户来比较

  • cn=hr-miao,ou=HR,ou=People,dc=wlong,dc=com 是普通用户
  • cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com 是g-admin用户

分别来查询：

[root@iZ2ze9mi8xjyj68byrel2cZ ~]# ldapsearch -H ldap:/// -x -D cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com -w 123456 -b dc=wlong,dc=com "cn=hr-ryan"  dn memberof
# extended LDIF
#
# LDAPv3
# base <dc=wlong,dc=com> with scope subtree
# filter: cn=hr-ryan
# requesting: dn memberof 
#

# hr-ryan, HR, People, wlong.com
dn: cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com
memberOf: cn=g-admin,ou=Group,dc=wlong,dc=com
memberOf: cn=g-users,ou=Group,dc=wlong,dc=com

# search result
search: 2
result: 0 Success

# numResponses: 2
# numEntries: 1
[root@iZ ~]# ldapsearch -H ldap:/// -x -D cn=hr-miao,ou=HR,ou=People,dc=wlong,dc=com -w 123456 -b dc=wlong,dc=com "cn=hr-miao"  dn memberof
# extended LDIF
#
# LDAPv3
# base <dc=wlong,dc=com> with scope subtree
# filter: cn=hr-miao
# requesting: dn memberof 
#

# search result
search: 2
result: 32 No such object

# numResponses: 1

可以看到，g-admin成员可以查询其他所有， 普通用户只能连接。

比较更新密码能力：

# updateselfpass.ldif
dn: cn=hr-miao,ou=HR,ou=People,dc=wlong,dc=com
changetype: modify
replace: userPassword
userPassword: ryanmiao

# 修改自己的密码ok
[root@e6043aeb680e data]# ldapmodify -H ldap:/// -x -D cn=hr-miao,ou=HR,ou=People,dc=wlong,dc=com -w 123456 -f updateselfpass.ldif
modifying entry "cn=hr-miao,ou=HR,ou=People,dc=wlong,dc=com"

# 确认密码被修改
[root@e6043aeb680e data]# ldapmodify -H ldap:/// -x -D cn=hr-miao,ou=HR,ou=People,dc=wlong,dc=com -w 123456 -f updateselfpass.ldif 
ldap_bind: Invalid credentials (49)

# 修改dn为别人后不能修改密码
[root@e6043aeb680e data]# ldapmodify -H ldap:/// -x -D cn=hr-miao,ou=HR,ou=People,dc=wlong,dc=com -w ryanmiao -f updateselfpass.ldif
modifying entry "cn=hr-ryan,ou=HR,ou=People,dc=wlong,dc=com"
ldap_modify: Insufficient access (50)
实践过的ACL

只有管理员能修改密码，及管理员能查看所有目录
其他账号不能修改密码，不能查看所有目录

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcAccess
olcAccess: to attrs=userPassword
  by anonymous auth
  by dn.base="cn=Manager-Fxd,dc=fxd-ldap,dc=com" write
  by * none
olcAccess: to *
  by anonymous auth
  by dn.base="cn=Manager-Fxd,dc=fxd-ldap,dc=com" write
  by dn.base="cn=Manager-Fxd,dc=fxd-ldap,dc=com" read
  by * none

所有用户需要权限校验
超管账号可以查看和编辑所有目录和属性
ou=People,dc=fxd-ldap,dc=com下的用户，可以查看除超管外的其他目录，查看不到密码属性

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcAccess
olcAccess: to attrs=userPassword
  by anonymous auth
  by dn.base="cn=Manager-Fxd,dc=fxd-ldap,dc=com" write
  by * none
olcAccess: to dn.base="cn=Manager-Fxd,dc=fxd-ldap,dc=com"
  by anonymous auth
  by self write
  by self read
  by * none
olcAccess: to *
  by anonymous auth
  by dn.subtree="ou=People,dc=fxd-ldap,dc=com" write
  by dn.subtree="ou=People,dc=fxd-ldap,dc=com" read
  by * none

我们希望如 dc=ali，dc=example,dc=com 仅能够被 “ali” 这个节点下的用户看到，而“dc=ali” 这个节点下的用户又仅能访问本节点下的信息，而无法看到如 dc=huawei 节点下的信息。即使 dc=baidu, dc=ali, dc=huawei 之间具有隔离性，各个公司仅能访问自己公司的节点下的 subtree, 而其他公司无法访问或是被访问
在这里插入图片描述

# acl.ldif 内容
dn: olcDatabase={2}mdb,cn=config
changetype: modify
replace: olcAccess
olcAccess: to attrs=userPassword
  by dn="cn=admin,dc=example,dc=com" write
  by anonymous auth
  by self write
  by * none
olcAccess: to dn.regex="^cn=system_user,ou=system_user"
  by dn="cn=admin,dc=example,dc=com" write
  by * read
olcAccess: to dn.regex="dc=([^,]+),dc=example,dc=com$"
  by dn.regex="cn=system_user,ou=system_user,dc=$1,dc=example,dc=com" write 
  by dn.regex="dc=$1,dc=example,dc=com$" read
  by * none
olcAccess: to *
  by dn="cn=admin,dc=example,dc=com" write
  by anonymous auth
  by self write
  by * read

acl.ldif 内容解读：
内容中第一个 olcAccess 设置的密码规则；
第二个 olcAccess 设置的各个公司下的 cn=system_user,ou=system_user…不可更改 ，仅超管可改；
第三个 olcAccess 设置的各个公司用户隔离，仅看到本公司下的节点；
第四个 olcAccess 设置的所有属性的可见性，匿名用户隔离；

删除ACL
dn: olcDatabase={2}hdb,cn=config
changetype: modify
delete: olcAccess
olcAccess: {0}

执行：

ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f del_acl.ldif

objectClass的使用方法

LDAP使用说明文档

JAVA/OpenLDAP使用心得

JAVA，OpenLDAP使用心得

停止openldap

systemctl stop slapd
systemctl disable slapd

#显示
Removed symlink /etc/systemd/system/multi-user.target.wants/slapd.service.

卸载

yum -y remove openldap-servers openldap-clients
删除残留文件
rm -rf /var/lib/ldap
删除ldap用户及组
userdel ldap
userdel 曾创建的其他ldap相关用户
groupdel 曾创建的其他ldap相关组

注意：若用户及组不删除干净会影响后面的重装。

删除openldap目录
rm -rf /etc/openldap

注意：此处删除前，需要将该路径下的certs文件夹备份留存，重装时，此文件夹不会再下载，由此会引起OpenLDAP重装后服务无法启动

开启OpenLDAP日志访问功能

新建日志配置ldif文件，如下：

cat > /root/openldap/loglevel.ldif << EOF
dn: cn=config
changetype: modify
replace: olcLogLevel
olcLogLevel: stats
EOF

ldapmodify -Y EXTERNAL -H ldapi:/// -f /root/openldap/loglevel.ldif

修改rsyslog配置文件，并重启rsyslog服务，如下：

cat >> /etc/rsyslog.conf << EOF
local4.* /var/log/slapd.log
EOF

重启服务

systemctl restart rsyslog
systemctl restart slapd

openldap控制台部署（phpldapAdmin）

phpldapAdmin官方网站：https://phpldapadmin.sourceforge.net/wiki/index.php

通过上面的步骤完成了对OpenLDAP安装。接下来就可以对ldap用默认账户和咱们设置的密码进行登录测试了。
OpenLDAP的管理工具也非常众多，如客户端版本的ldapadmin

在这里插入图片描述

也有灵活方便的在线web版本的PHPLdapAdmin。

在这里插入图片描述

咱们这里为了普适性，也选择PHPLdapAdmin作为OpenLDAP的控制台来进行部署。

其dockerhub中下载量最多的docker版本为osixia/phpldapadmin版本，其详细说明为：

在docker输入此命令启动

docker run -p 6443:443 \
        --env PHPLDAPADMIN_LDAP_HOSTS=xxx.xx.xx.xx \
        --volume /home/wanglong/phpldapadmin/config/:/container/service/phpldapadmin/assets/config/ \
        --detach osixia/phpldapadmin:latest

其中PHPLDAPADMIN_LDAP_HOSTS为OpenLDAP服务部署的ip，可以为域名或者ip。

6443端口为映射出来的访问phpLDAPadmin的https端口。

--volume是将phpldapadmin的配置文件挂在出来，以方便修改

比如，默认登录是以DN去登录的，你想变成uid，或者cn登录，就需要修改配置文件

#在/container/service/phpldapadmin/assets/config/config.php文件中增加：
#配置文件默认不写，默认的是dn
# 咱们可以修改为uid登录或者cn登录，一定要用唯一性的字段去登录

$servers->setValue('login','attr','uid');

# 上面那一个配置，其实普通用户都可以使用uid登录了，但是，超级管理员登录不了，
# 增加下面这3个配置，超级管理员也可以登录了，登录方式就是 `cn=admin,dc=wlong,dc=com`    密码：`wl123456`
$servers->setValue('login','bind_id','cn=admin,dc=wlong,dc=com');
$servers->setValue('login','bind_pass','wl123456');
$servers->setValue('login','fallback_dn',true);


# 上述配置我是用的是docker 启动的openldap,如果你是自身centos7 安装的，如果出现密码死活不对，检查一下防火墙以及selinux 是否关闭！！！

执行后，看一下日志。

之后在浏览器中进行登录测试一下。

映射端口为6443，直接访问

https://192.168.1.7:6443

点击login。
其中的DN输入可以admin用户所对应的DN。
如上面安装时所对应的:

CN=admin,DC=wlong,DC=com

密码也为安装时所对应的wl123456

踩坑点

  1. 执行 systemctl start slapd 报错：sasl_auxprop_plug_init for plugin: ldapdb

    # systemctl status slapd.service
Aug 31 22:38:52 master slapd[47714]: auxpropfunc error invalid parameter supplied
Aug 31 22:38:52 master slapd[47714]: _sasl_plugin_load failed on sasl_auxprop_plug_init for plugin: ldapdb
Aug 31 22:38:52 master slapd[47714]: ldapdb_canonuser_plug_init() failed in sasl_canonuser_add_plugin(): inval...pplied
Aug 31 22:38:52 master slapd[47714]: _sasl_plugin_load failed on sasl_canonuser_init for plugin: ldapdb

    解决方案：

    yum remove cyrus-sasl-sql
yum remove cyrus-sasl-ldap

  2. 执行 systemctl start slapd 报错：connections_destroy: nothing to destroy.

[root@iZ ~]# systemctl start slapd
Job for slapd.service failed because the control process exited with error code. See "systemctl status slapd.service" and "journalctl -xe" for details.
[root@iZ ~]# systemctl status slapd.service
● slapd.service - OpenLDAP Server Daemon
   Loaded: loaded (/usr/lib/systemd/system/slapd.service; disabled; vendor preset: disabled)
   Active: failed (Result: exit-code) since Wed 2023-03-01 19:45:35 CST; 8s ago
     Docs: man:slapd
           man:slapd-config
           man:slapd-hdb
           man:slapd-mdb
           file:///usr/share/doc/openldap-servers/guide.html
  Process: 23443 ExecStart=/usr/sbin/slapd -u ldap -h ${SLAPD_URLS} $SLAPD_OPTIONS (code=exited, status=1/FAILURE)
  Process: 23427 ExecStartPre=/usr/libexec/openldap/check-config.sh (code=exited, status=0/SUCCESS)

Mar 01 19:45:35 iZ runuser[23430]: pam_unix(runuser:session): session opened for user ldap by (uid=0)
Mar 01 19:45:35 iZ runuser[23430]: pam_unix(runuser:session): session closed for user ldap
Mar 01 19:45:35 iZ slapd[23443]: @(#) $OpenLDAP: slapd 2.4.44 (Feb 23 2022 17:11:27) $
                                                              mockbuild@x86-01.bsys.centos.org:/builddir/build/BUILD/openldap-2.4.44/openldap-2.4.44/servers/slapd
Mar 01 19:45:35 iZ slapd[23443]: main: TLS init def ctx failed: -1
Mar 01 19:45:35 iZ slapd[23443]: slapd stopped.
Mar 01 19:45:35 iZ slapd[23443]: connections_destroy: nothing to destroy.
Mar 01 19:45:35 iZ systemd[1]: slapd.service: control process exited, code=exited status=1
Mar 01 19:45:35 iZ systemd[1]: Failed to start OpenLDAP Server Daemon.
Mar 01 19:45:35 iZ systemd[1]: Unit slapd.service entered failed state.
Mar 01 19:45:35 iZ systemd[1]: slapd.service failed.

解决方案：

其实上述的错误是你之前装过openldap，后来又卸载的，连同把cert（路径为：/etc/openldap/certs）都删了，然后重装openldap的时候，是不会再次安装cert的，所以咱们得安装一下cert

[root@iZ ~]# slapd -d 2 -F /etc/openldap/slapd.d/ -u ldap
63ff3bcd @(#) $OpenLDAP: slapd 2.4.44 (Feb 23 2022 17:11:27) $
        mockbuild@x86-01.bsys.centos.org:/builddir/build/BUILD/openldap-2.4.44/openldap-2.4.44/servers/slapd
TLSMC: MozNSS compatibility interception begins.
tlsmc_open_nssdb: WARN: could not initialize MozNSS context - error -8015.
tlsmc_convert: INFO: cannot open the NSS DB, expecting PEM configuration is present.
tlsmc_intercept_initialization: INFO: successfully intercepted TLS initialization. Continuing with OpenSSL only.
TLSMC: MozNSS compatibility interception ends.
TLS: could not use certificate `OpenLDAP Server'.
TLS: error:0200100D:system library:fopen:Permission denied bss_file.c:402
TLS: error:20074002:BIO routines:FILE_CTRL:system lib bss_file.c:404
TLS: error:140AD002:SSL routines:SSL_CTX_use_certificate_file:system lib ssl_rsa.c:468
63ff3bcd main: TLS init def ctx failed: -1
63ff3bcd slapd stopped.
63ff3bcd connections_destroy: nothing to destroy.
[root@iZ ~]# mkdir -p /etc/openldap/certs
[root@iZ ~]# bash /usr/libexec/openldap/create-certdb.sh
Creating certificate database in '/etc/openldap/certs'.
[root@iZ ~]# bash /usr/libexec/openldap/generate-server-cert.sh
Creating new server certificate in '/etc/openldap/certs'.
[root@iZ ~]# ll /etc/openldap/certs
total 100
-rw-r--r-- 1 root root 65536 Mar  1 19:49 cert8.db
-rw-r--r-- 1 root root 16384 Mar  1 19:49 key3.db
-r--r----- 1 root ldap    45 Mar  1 19:49 password
-rw-r--r-- 1 root root 16384 Mar  1 19:49 secmod.db
[root@iZ ~]# systemctl start slapd

  1. 添加人员的时候出现下列错误：

    ldap_add: Invalid syntax (21)
        additional info: objectClass: value #0 invalid per syntax

    原因：

    • 编写ldif文件时要注意规范，每一行后面不能留有空格，否则就会出现错误，所以去掉每一之后的空格便可以了。

    • 没有导入相对应schema文件，导致没有相关属性！

      schema地址：

      /etc/openldap/schema

      添加schema示例:

      ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif

  2. 执行命令：ldapmodify -H ldapi:/// -Y EXTERNAL -f acl.ldif 只要包含EXTERNAL关键字的 报错：

    ldap_sasl_interactive_bind_s: Authentication method not supported (7)
        additional info: SASL(-4): no mechanism available: Couldn't find mech EXTERNAL

    这种是因为引入了sasl2后，在sasl2配置了

    mech_list: plain
pwcheck_method: saslauthd
saslauthd_path: /var/run/saslauthd/mux

    在mech_list 添加一个 EXTERNAL即可

    最终即：

    mech_list: plain EXTERNAL
pwcheck_method: saslauthd
saslauthd_path: /var/run/saslauthd/mux

常用命令

参考链接：OpenLDAP 管理命令总结

查询

# 查找目录树所有条目
ldapsearch -x -H ldap://localhost:1389 -b "dc=wlong,dc=com"
 
# 过滤查询
ldapsearch -x -b "dc=wlong,dc=com" 'uid=knight.zhou'
 
# 正则查询
ldapsearch -x -b "dc=wlong,dc=cn" "(|(uid=*tom*)(cn=*Ada Cather*))"

# 使用管理员查询
ldapsearch -x -H ldap://localhost:1389 -D cn=admin,dc=wlong,dc=com -w wl123456 -b "dc=wlong,dc=com" "cn=user02"

# 指定返回字段查询
ldapsearch -x -H ldap://localhost:1389 -D cn=admin,dc=wlong,dc=com -w wl123456 -b "dc=wlong,dc=com" "cn=user02" cn uid

添加

ldapadd -x -H ldap://127.0.0.1:1389 -w "wl123456" -D "cn=admin,dc=wlong,dc=com" -f user1.ldif

user1.ldif内容如下：

cat >> user1.ldif <<EOF
dn: uid=long.wang,ou=users,dc=wlong,dc=com
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: top
uid: long.wang
cn: long.wang
sn: wang
userpassword: {SASL}15712890761
givenname: long.wang
mail: long.wang@yingxiong.com
EOF

ldapwhoami

ldapwhoami -x -H ldap://127.0.0.1:1389 -D cn=admin,dc=wlong,dc=com -w wl123456
# 返回内容
dn:cn=admin,dc=wlong,dc=com

删除用户

连接：使用 ldapdelete 删除条目

使用 ldapmodify 删除条目

无法删除具有子条目的条目。LDAP 协议不允许出现子条目不再具有父条目的情形

ldapdelete -x -H ldap://127.0.0.1:1389 -D "cn=admin,dc=wlong,dc=com" -w wl123456 "uid=long.wang,ou=users,dc=wlong,dc=com"

如果想删除ou，并且ou下有子用户，请执行一下命令

ldapdelete -r <dn>

其中除了ldapdelete可以删除，ldapmodify也可以删除

使用 ldapmodify 实用程序时，还可以使用 changetype: delete 关键字删除条目

准备好文件：

dn: uid=bjensen,ou=People,dc=example,dc=com
changetype: delete

dn: ou=People,dc=example,dc=com
changetype: delete

然后执行

ldapmodify -x -H ldapi:/// -c -w "${LDAP_ADMIN_PWD}" -D "${LDAP_ADMIN_DN}" -f  /file.ldif

修改用户密码

管理员权限最大，可以修改任意密码。使用ldapmodify

创建文件updatepass.ldif

dn: cn=ryan.miao,ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com
changetype: modify
replace: userPassword
userPassword: ryanmiao

执行修改

ldapmodify -a -H ldap://127.0.0.1:1389 -D "cn=admin,dc=wlong,dc=com" -w wl123456 -f updatepass.ldif

查询确认

ldapsearch -x -D cn=ryan.miao,ou=后台组,ou=研发部门,ou=People,dc=wlong,dc=com -w ryanmiao -b dc=wlong,dc=com "cn=ryan.miao"

可以确认密码修改成功了.

命令总结

ldap主要命令有ldapadd, ldapmodify, ldapsearch. 我们用到的操作项有

option含义
-Hldap server地址， 可以是ldap://192.168.12.18:389 表示tcp， 可以是ldap:/// 表示本地的tcp， 可以是ldapi:/// 本地unix socket连接
-x启用简单认证，通过-D dn -w 密码的方式认证
-f指定要修改的文件
-a使用ldapmodify增加一个entry的时候等同于ldapadd
-bbasedn 根目录， 将在此目录下查询
-Y EXTERNAL本地执行，修改配置文件，比如basedn, rootdn,rootpw,acl, module等信息
Zz罗伯特
关注
  • 4
    点赞
  • 踩
  • 26
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
kubernetes安装openldap还有phpldapadmin
08-26
此文介绍通过kubernetes安装openldap还有phpldapadmin。 博客文章请查看：https://blog.csdn.net/engchina/article/details/82079340 主要包括： 从github取得openldap的yaml文件。 启动deployment和service。 查看service,deploy和pod的启动情况。 使用浏览器访问phpldapadmin。 追加group和account。
OPENLDAP部署完整版（Linux）附一键式脚本，建议在干净的环境运行。
haodayizhizhuzhu的博客
02-17 2148
章节目录1，系统环境2，域信息(本章节使用)1，ladp部署。
OpenLdap介绍及开发手册
05-29
OPENLDAP 介绍及对应的开发手册 首先你要安装OPEN-LDAP，然后利用libldap.a其中的接口进行开发工作
Django集成OpenLDAP认证的实现
09-19
主要介绍了Django集成OpenLDAP认证的实现，详细介绍了django-auth-ldap的使用方法，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
centos6.7OpenLDAP主从配置
05-15
该文档主要介绍在centos6.7系统上部署openldap主从配置
bitnami-docker-openldap:用于OpenLDAP的Bitnami Docker映像
04-19
什么是OpenLDAP？ 是LDAP（轻型目录访问协议）的开源解决方案。 它是用于从分层目录结构（例如数据库）中存储和检索数据的协议。 TL; DR $ docker run --name openldap bitnami/openldap:latest Docker撰写 $ curl -sSL https://raw.githubusercontent.com/bitnami/bitnami-docker-openldap/master/docker-compose.yml > docker-compose.yml $ docker-compose up -d 为什么要使用Bitnami Images？ Bitnami密切跟踪上游源代码变化，并使用我们的自动化系统及时发布该图像的新版本。 对于Bitnami映像，将尽快提供最新的错误修复和功能。 Bitnami容器，虚拟机和云映
OpenLDAP基本概念、部署讲解以及和zabbix的对接实验（基于OpenEuler和CentOS-Stream 9）
muxia_jhy的博客
10-20 2366
LDAP，即轻型目录访问协议，该协议所定义的是一种树状的数据结构，该数据结构用于存储用户信息和组织架构等，我们所熟知OpenLDAP和Windows AD域等产品都是基于LDAP协议开发而来。而针对于OpenLDAP和Windows AD域等产品，有种说法是将他们定义为树状的数据库，虽然该说法并不是错误的，但要强调的是，OpenLDAP/Windows AD域与MySQL等数据库具有本质上的区别，前者不使用SQL，而使用LDIF，且读性能很优，写性能较差。
安装openldap
sqlora的专栏
08-26 2725
根据客户要求，需要实现用户账号同步功能，即在主节点创建用户账号后，其他计算节点可以同步拥有该账号，并可以使用该账号登录计算节点，进行相关操作。 根据以上要求，以及参考用户之前集群的配置，决定使用openldap来实现该功能。...
OpenLDAP基础知识介绍
justlpf的专栏
04-17 1599
https://www.cnblogs.com/kevingrace/p/5773974.htmlLDAP常用关键字列表 LDAP通过属性objectClass来控制哪一个属性必须出现或允许出现在一个条目中，它的值决定了该条目必须遵守的模式规则。LDAP支持的目录操作1.1 LDAP协议简单介绍 LDAP主要的简称含义：在LDAP的功能模型中定义了一系列利用LDAP协议的操作，主要包含以下4部分：Ldap具体高级功能：目录服务是由目录数据库和一套访问协议组成的系统。类似以下的信息适合储存在目录中
小白篇(十九)：openLdap介绍(又名：Ldap介绍)
belialxing的专栏
11-09 8236
我的原文地址： https://mp.weixin.qq.com/s?__biz=MzIxMzg5NzI4OQ==&tempkey=MTA4Nl9tbVNyQWQwemFLVW9qVmQ0bndmR2lYX2ZNanlYQ1VrM2VjbFVDN2VhZS0xMDBUZXVHNVVPLVg0THRYTHE4eG9VTXVqVG5wTkpiZ1hWYTJiaS12YVoyLTV1MjF4dDN2QWNjVGNTT2pkWUl0ZjNHZ2hTSUFHZjVmQk56UF94ZVdiUWM4SjBuM
详解samba + OPENldap 搭建文件共享服务器问题
09-29
主要介绍了samba + OPENldap 搭建文件共享服务器,这里我使用的是 samba(文件共享服务) v4.9.1 + OPENldap(后端数据库软件) v2.4.44 + smbldap-tools(后端数据库管理软件) v0.9.11 + CentOS7。 需要的朋友可以参考下
OpenLDAP 介绍及安装部署实战
cc20100608的专栏
04-25 2336
ldap 介绍测试环境安装 LDAP 服务端设置 LDAP 的 root 密码配置 LDAP 服务端创建 LDAP 证书设置 LDAP 数据库创建 LDAP 用户添加防火墙规则开启 LDAP 日志配置 LDAP 客户端验证 LDAP 登录附录使用 Docker 部署 OpenLDAPOpenLDAP 是由 OpenLDAP 项目开发的轻量级目录访问协议的开源实现。LDAP 是一种互联网协议，电子邮件和其他程序用于从服务器查找联系人信息。它在 OpenLDAP 公共许可证下发布；
OpenLDAP介绍与说明
平庸
05-14 4271
对目前版本OpenLDAP的介绍以及个人理解。
OpenLDAP
zhangkangren的博客
04-17 949
LDAP通过属性objectClass来控制哪一个属性必须出现或允许出现在一个条目中，它的值决定了该条目必须遵守的模式规则。可以理解为关系数据库的表结构。含义olcGlobal全局配置文件类型， 主要是cn=config.ldif 的配置项top顶层的对象组织，比如公司名称，顶层的对象重要， 一个目录节点，通常是group，或者部门这样的含义重要， 我们真正的用户节点类型，person类型， 叶子节点重要， 分组的group类型，标记一个group节点配置模块的对象。
openldap（一）：简介和安装
dl_11的博客
04-02 1049
LDAP（轻量级目录访问协议，Lightweight Directory Access Protocol）是一种用于访问分布式目录服务的网络协议。它提供了一种标准化的方法来查询和操作目录中的信息，这些信息通常以树状结构组织，用于存储用户、组织和其他实体的数据。OpenLDAP 是 LDAP 协议的一个开源实现，由 OpenLDAP 项目提供。它包括服务器、客户端库、工具和示例应用程序，用于构建和操作 LDAP 目录服务。
openldap主机搭建
weixin_46516921的博客
12-02 826
这些 Schema 文件位于 /etc/openldap/schema/ 目录中，定义了我们以后创建的条目可以使用哪些属性，这里先全部导入。其实这是在修改数据库的信息，数据库的配置在/etc/openldap/slapd.d/cn=config文件夹下。/etc/openldap/slapd.conf：OpenLDAP的主配置文件，记录根域信息，管理员名称，密码，日志，权限等。：这下面是/etc/openldap/slapd.conf配置信息生成的文件，每修改一次配置信息，这里的东西就要重新生成。
快速搭建OpenLDAP环境
彼岸吖的博客
04-07 1138
目录 Ldap简介 一.安装OpenLDAP服务 二.安装Ldap的Web服务 三.Ldap添加用户 Ldap简介 如果企业内部有使用LDAP进行用户身份验证，则可以通过与OpenLDAP服务器通信以对用户进行身份验证。可以对接Jenkins、Rancher等多种服务。 Ldap和中文网：OpenLDAP – Ldap中文网 本文将介绍如何通过docker快速搭建OpenLDAP环境 一.安装OpenLDAP服务 创建OpenLDAP服务 docker run -p 389:38
openldap概念与工作原理介绍
qq_57403020的博客
10-24 206
目录树中条目可理解为是一个具体的对象，它们均是通过schema 创建的，并符合schema 的标准规范，如对你所添加的数据条目中所包含的对象类级属性进行检测，检测通过完成添加，否则打印错误信息。schema 是OpenLDAP 软件的重要组成部分，主要用于控制目录树中各种条目所拥有的对象类以及各种属性的定义，并通过自身内部规范机制限定目录树条目所遵循的逻辑结构以及定义规范，保证整个目录树没有非法条目数据，避免不合法的条目存在目录树中，从而保障整个目录树信息的完整性、唯一性。
将CSV转换为LDIF以便导入到ldap中？
最新发布
chaoren499的专栏
04-22 141
python 把csv 数据转换ldif格式
openldap 2.4
12-21
OpenLDAP 2.4是一个开放源代码的轻量级目录访问协议（LDAP）服务器软件。它支持多种操作系统，包括Linux、Unix和Windows。OpenLDAP 2.4的主要功能包括对LDAP数据存储的支持，可以存储和管理各种类型的数据，如用户帐户、组织信息、地址薄等。通过使用LDAP协议，OpenLDAP 2.4可以提供高效的目录服务，可帮助用户组织和管理大量的数据。 OpenLDAP 2.4的一个重要特性是其可扩展性和灵活性。它提供了丰富的API，允许开发人员编写自定义插件和模块，以满足特定的需求。同时，OpenLDAP 2.4还支持多种身份验证机制，包括基于密码的认证、SSL/TLS加密认证等，可以保障数据的安全性。 此外，OpenLDAP 2.4还支持对数据进行复制和同步，可以实现在多个服务器之间同步数据，提高了系统的可靠性和可用性。它还提供了强大的搜索功能和ACL（访问控制列表）支持，可以帮助管理员对数据进行精细的管理。 总的来说，OpenLDAP 2.4是一款功能强大、稳定可靠的LDAP服务器软件，它可以满足各种规模的企业和组织对目录服务的需求，是构建安全、高效的身份认证和数据管理系统的理想选择。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值