OpenLDAP快速入门

欢迎大家来到IT世界,在知识的湖畔探索吧!

前言：

LDAP轻量目录访问协议为用户管理提供了统一认证服务，解决了长期存在的多套用户认证系统孤立、繁杂、难以维护的问题。具有简捷、高效、易用的特性，是用户认证管理的不二选择。

LDAP（Lightweight Directory Access Protocol）是基于X.500标准的轻量目录访问协议。它比X.500具有更快的查询速度和更低的资源消耗，精简灵活，支持TCP/IP协议。LDAP为用户管理提供了统一认证服务，解决了办公环境中多套用户认证和项目管理系统相互独立分散的难题。

OpenLDAP 是LDAP的开源实现，OpenLDAP目录中的信息是按照树形结构进行组织的，具体信息存储在条目（entry）中，条目是LDAP的基本元素，也是识别名（DN）的属性集合，DN 具有全局唯一性，用于准确地引用条目，每个条目属性又包含类型（type）和值（value）。整体架构如图所示：

欢迎大家来到IT世界,在知识的湖畔探索吧!

二、快速安装

系统环境：CentOS7.3

主机名：openldap

系统IP：172.16.201.6

管理账户信息：dn:cn=Manager,dc=mydomain,dc=com

1.设置主机名：

hostnamectl set-hostname openldap

欢迎大家来到IT世界,在知识的湖畔探索吧!

主机名可自行设置成任意名字，只需将openldap设置为更改的主机名即可。

2.关闭防火墙和selinux

欢迎大家来到IT世界,在知识的湖畔探索吧!systemctl stop firewalld systemctl disable firewalld sed -i "s/SELINUX=enforcing/SELINUX=disabled/g" /etc/selinux/config

3.配置epel源，配置完成后重启服务器，以使相关配置生效

yum install epel-release -y reboot

2.2.OpenLDAP安装

1.安装ldap相关组件

欢迎大家来到IT世界,在知识的湖畔探索吧!yum install openldap openldap-servers openldap-clients -y cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG

2.启动ldap服务

systemctl start slapd systemctl enable slapd systemctl status slapd

slapd即ldap的服务名称

3.设置ldap管理员用户密码

欢迎大家来到IT世界,在知识的湖畔探索吧!slappasswd -s  {SSHA}AjIAg98NFvRRlhoBOvsfVqMeAGZwi5O9

本次设置密码为，若需要其他密码直接更改该值即可。记录执行结果的返回值{SSHA}AjIAg98NFvRRlhoBOvsfVqMeAGZwi5O9,并将该值写入到后边生成的rootpwd.ldif文件中。

4.创建管理员用户配置文件rootpwd.ldif

cat <<EOF>rootpwd.ldif dn: olcDatabase={0}config,cn=config changetype: modify add: olcRootPW olcRootPW: {SSHA}AjIAg98NFvRRlhoBOvsfVqMeAGZwi5O9 EOF

相关参数说明：

olcRootPW参数值为slappasswd命令的结果输出。

ldif文件是LDAP中数据交换的文件格式。文件内容采用的是key-value形式。注意value后面不能有空格。

olc（OnlineConfiguration）表示写入LDAP后立即生效。

changetype: modify表示修改entry，此外changetype的值也可以是add,delete等。

add: olcRootPW表示对这个entry新增olcRootPW的属性。

5.导入rootpwd.ldif信息

欢迎大家来到IT世界,在知识的湖畔探索吧!ldapadd -Y EXTERNAL -H ldapi:/// -f rootpwd.ldif

6.导入schema

schema包含支持特殊场景的相关属性，可选择性导入或全部导入

ls /etc/openldap/schema/*.ldif | while read i; do ldapadd -Y EXTERNAL -H ldapi:/// -f $i; done

7.设置默认域

欢迎大家来到IT世界,在知识的湖畔探索吧!slappasswd -s  {SSHA}7AA7V1xy++LVZcUbBWYYM9/81wfODiIK

本次设置密码为，若需要其他密码直接更改该值即可。记录执行结果的

返回值{SSHA}7AA7V1xy++LVZcUbBWYYM9/81wfODiIK

8.新建默认域配置文件

vi domain.ldif dn: olcDatabase={1}monitor,cn=config changetype: modify replace: olcAccess olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=Manager,dc=mydomain,dc=com" read by * none dn: olcDatabase={2}hdb,cn=config changetype: modify replace: olcSuffix olcSuffix: dc=mydomain,dc=com dn: olcDatabase={2}hdb,cn=config changetype: modify replace: olcRootDN olcRootDN: cn=Manager,dc=mydomain,dc=com dn: olcDatabase={2}hdb,cn=config changetype: modify add: olcRootPW olcRootPW: {SSHA}7AA7V1xy++LVZcUbBWYYM9/81wfODiIK dn: olcDatabase={2}hdb,cn=config changetype: modifyadd: olcAccess olcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=Manager,dc=mydomain,dc=com" write by anonymous auth by self write by * none olcAccess: {1}to dn.base="" by * read olcAccess: {2}to * by dn="cn=Manager,dc=mydomain,dc=com" write by * read

设置 olcRootPW参数值为slappwd命令的返回结果：{SSHA}7AA7V1xy++LVZcUbBWYYM9/81wfODiIK

9.写入信息

欢迎大家来到IT世界,在知识的湖畔探索吧!ldapmodify -Y EXTERNAL -H ldapi:/// -f domain.ldif

10.添加基本信息

cat <<EOF> basedomain.ldif dn: dc=mydomain,dc=com objectClass: top objectClass: dc Objectobjectclass: organization o: mydomain com dc: mydomain dn: cn=Manager,dc=mydomain,dc=com objectClass: organizationalRole cn: Manager description: Directory Manager dn: ou=People,dc=mydomain,dc=com objectClass: organizationalUnit ou: People dn: ou=Group,dc=mydomain,dc=com objectClass: organizationalUnit ou: Group EOF

11.写入信息

欢迎大家来到IT世界,在知识的湖畔探索吧!ldapadd -x -D cn=Manager,dc=mydomain,dc=com -W -f basedomain.ldif

12.查看信息

ldapsearch -LLL -W -x -D "cn=Manager,dc=mydomain,dc=com" -H ldap://localhost -b"dc=mydomain,dc=com"

使用如上命令进行查看时，输入访问密码为：.能够查看到相关返回结果为如下内容，说明OpenLDAP配置成功。可进行相关管理和使用。

欢迎大家来到IT世界,在知识的湖畔探索吧![root@openldap ~]# ldapadd -x -D cn=Manager,dc=mydomain,dc=com -W -f basedomain.ldif Enter LDAP Password: adding new entry "dc=mydomain,dc=com" adding new entry "cn=Manager,dc=mydomain,dc=com" adding new entry "ou=People,dc=mydomain,dc=com" adding new entry "ou=Group,dc=mydomain,dc=com"

为简化OpenLDAP使用，提高工作效率，OpenLDAP支持多种管理工具，较常用的有如下两款ldapadmin工具，可选择任意一种。

工具一：

1.可在windows电脑上下载管理工具：

http://www.ldapadmin.org/download/ldapadmin.html

2.下载完成后，解压该文件，直接双击运行，输入LDAP访问信息。

Host值为OpenLDAP节点ip地址：172.16.201.6.

Username值为：cn=Manager,dc=mydomain,dc=com

Password值为：.

其余参数为默认值。填写完成后可点击 “Test connection” 以测试是否能够正常连接。

3.连接成功后可看到OpenLDAP相关信息

之后可直接创建用户、组，或进行增、删、改操作。

yum install -y httpd php php-mbstring php-pear phpldapadmin

欢迎大家来到IT世界,在知识的湖畔探索吧![root@www ~]# vi /etc/httpd/conf/httpd.conf
 # line 86: 修改admin邮箱地址
 ServerAdmin root@openldap.mydomain.world
# line 95: 修改主机域名
 ServerName www.mydomain.com:80
# line 152: 修改成如下内容：
 AllowOverride All
# line 165: 添加可访问目录名的文件名称
 DirectoryIndex index.html index.cgi index.php
# 在文件末尾增加如下两部分内容# server's response header
 ServerTokens Prod
# keepalive is ON
 KeepAlive On

3.启动Apache服务并设置开机自启动

systemctl start httpd systemctl enable httpd

4.编辑/etc/phpldapadmin/config.php文件，按如下内容修改：

欢迎大家来到IT世界,在知识的湖畔探索吧!vi /etc/phpldapadmin/config.php #注释掉398行，并取消397行的注释，修改后内容如下： $servers->setValue('login','attr','dn'); // $servers->setValue('login','attr','uid');

<Directory/usr/share/phpldapadmin/htdocs> <IfModule mod_authz_core.c> # Apache 2.4 Require local Require all granted </IfModule>

6.重启Apache服务使配置生效

欢迎大家来到IT世界,在知识的湖畔探索吧!systemctl restart httpd

7.在浏览器输入OpenLDAP访问WEB地址：http://172.16.201.6/ldapadmin/

输入登录用户名:cn=Manager,dc=mydomain,dc=com和密码: