|
1. LDAP服务器端配置 2. LDAP客户端配置 3. LDAP服务器复制 4. LDAP服务器安全通信 一LDAP服务器端配置管理 1. LDAP服务器软件包安装 CentOS系统中要实现openLDAP的功能必须要安装openldap,openldap-servers,openldap-c Lients三个软件包。CentOS安装光盘中提供LDAP服务器的RPM安装包版本为2.3.27。其中openldap包已经默认安装，用来提供LDAP服务的基本文件目录。Openldap-servers提供 服务端功能，openldap-clients提供客户端的搜索工具，这两个包必须手动安装。 #rpm –ivh openldap-servers-2.3.27-8.e15-1.3.i386.rpm #rpm –ivh openldap-clients-2.3.27-8.e15-1.3.i386.rpm 2. 创建复制BDB数据库配置文件 LDAP服务器默认采用BDB（伯克利）数据库作为后台，CentOS中已经默认安装(如没有也可以RPM或者tar包安装).需要先将/etc/openldap/目录下的DB-CONFIG.example文件复 制到/var/lib/ldap/目录下并更名为DB-CONFIG并更改权限为ldap所有。 #cp /etc/openldap/DB_CONFIG.example /var/lib/ldap/DB_CONFIG #chown ldap:ldap /var/lib/ldap/DB_CONFIG 3服务器文件配置. LDAP服务器的主配置文件为/etc/openldap/slapd.conf,包含了复制功能。 (1) 找到 suffix “dc=my-domain,dc=com” rootdn “cn=Manager,dc=my-domain,dc=com” 两行。 根据实际情况修改为 suffix “dc=boy,dc=com” 设定域名后缀 rootdn “cn=Manager,dc=boy,dc=com ” 超级管理员 （2）哈希密码 : rootpw是管理员的密码，但是明文密码存放有很大的安全隐患，可以用哈希散列的方式存储提高安全度。 #slappasswd –h {SSHA} > 1.txt 将哈希后产生的散列值添加进slapd.conf文件 rootpw {SSHA} 散列值 (3)手动添加日志功能 LDAP服务器需要手动添加日志功能。/etc/openldap/slapd.conf中末行添加“loglevel 296 ”。这是一个比较详细的日志级别。/etc/syslog.conf中添加“local4.* /var/log/ldap.log ” 确定LDAP服务器的日志位置。 (4)配置slapd.conf文件使客户端以MD5方式改变密码 sample security restrictions 下添加 password—hash {MD5} (5)重启日志服务 #service syslog restart (6)开启LDAP服务。 LDAP服务器的配置文件是slapd.conf,但是启动服务文件名/etc/init.d/ldap,所以启动命令 为： # service ldap restart #/etc/init.d/ldap restart 查看服务器进程： #ps aux | grep ldap 查看端口： #netstat –an | grep 389 如果启动正常应该有“389”端口信息。普通LDAP服务开放389端口。查看日志文件/var/log/ldap.log(系统随系统日志服务重启时自动创建)应该有启动信息。 设置系统在3，5级别启动时自动开启服务 #chkconfig —level 3 5 ldap on 4 迁移用户数据到目录服务数据库 LDAP服务器用户帐户数据的移植最简单的方法是使用PADL软件公司 （http://www.padl.org）提供的开源移植工具，既一系列用perl编程语言写的脚本文件可以胜任这个工作。这些脚本文件在/usr/share/openldap/migration目录中(也是由openldap-serversRPM包安装生成)。 #cd /usr/share/openldap/migration/ <1>修改migrate_common.ph 脚本。 $DEFAULT_MAIL_DOMAIN=“padl.com”;-à “boy.com” $DEFAULT_BASE=“dc=padl,dc=com”à “dc=boy,dc=com” 这样就建立了LDAP 目录数据库的基准辨别名(BDN) <2>使用迁移脚本migrate_base.pl为目录创建基本的数据结构 # ./migrate_base.pl> ~/base.ldif #cd /root/下 可以查看到base.ldif文件已经创建了LDAP形式的基本数据的结构化和层次化。 将base.ldif 文件的内容以LDAP服务命令行的形式导入数据库 #ldapadd –x –D“cn=Manager,dc=boy,dc=com” –W –f base.ldif 会要求输入先前创建超级管理员的密码。导入后再用命令查用一下。 #ldapsearch –x –H ldap://服务器地址 –b ‘dc=boy,dc=com’ 可以用此命令查询到数据库中已用了基本的层次结构 <3>使用迁移脚本migrate_passwd.pl 和migrate_group.pl将文件 /etc/passwd 和/etc/group中的用户和组信息转化为LDIF(LDAP数 椐交换格式文件）结构形式。 cd /usr/share/openldap/migration/目录下 #./migrate_passwd.pl /etc/passwd ~/passwd.ldif #./migrate_group.pl /etc/group ~/group.ldif 根/root/目录下： #ldapadd –x –D“cn=Manager,dc=boy,dc=com” –W –f passwd.ldif #ldapadd –x –D “cn=Manager,dc=boy,dc=com” –W –f group.ldif 查询用户信息: #ldapadd –x –LLL | more 应该有用户数据。 二 客户端配置 LDAP服务器的客户端命令RPM包为openldap-clients,手动安装后会有 /etc/openldap/ldap.conf文件。 除此之外要实现LDAP服务客户端必须配置 /etc/nsswitch.conf, /etc/sysconfig/authing, /etc/openldap/ldap.conf, /etc/ldap.conf /etc/pam.d/system-auth五个文件。 <1>配置/etc/nsswith.conf /etc/nsswith.conf文件由glibc-2.5-24生成，CentOS5.2中缺省安装。该文件用 于名称转换服务。通常LINUX系统身份验证读取本地文件，要使身份验证查询 通过LDAP服务器必须在该文件中找到passwd;shadow;group;三行在files后空格添加“ldap” passwd: files ldap shadow: files ldap group: files ldap <2>配置/etc/sysconfig/authconfig文件提供身份验证支持LDAP功能 /etc/sysconfig/authconfig 文件由authconfig-5.3.21-3.e15RPM包生成系统默认安装。配置该文件用来跟踪LDAP身份认证机制是否正确启用。找到以下七行， 将值确定为“yes”。 USESYSNETAUTH=yes USESHADOW=yes USELOCAUTHORIZE=yes USELDAP=yes USELDAPAUTH=yes USEMKHOMEDIR=yes PASSWDALGORITHM=yes 也可以用authconfig-tui命令打开一个图形化的界面来配置 <3>配置/etc/pam.d/system-auth文件 身份验证服务是实际向LDAP验证用户身份的服务。可插入身份验证模块 （PAM）提供了本地Linux身份验证服务。pam_unix.so模块是通用模块，使 PAM机制对本地的/etc/passwd文件检查用户帐号。PAMLDAP模块可以用来将 身份验证重定向到LDAP目录上。身份验证本身是由PAM程序执行的，它从身份验证候选机制中获取用户名，将其绑定到openLDAP 服务器上。如果绑定成功，PAM会报告说这个用户已经成功通过了pam_ldap.so提供的身份验证测试。 根据PAM的配置不同，在用户看到命令提示符之前可能会执行其它测试。 /etc/pam.d/system-auth文件是CentOS5.2的系统认证PAM文件。在该文件的 auth,account,password,session四段中pam_unix.so模块后添加pam_ldap.so模块使身份验证先对本地的/etc/passwd文件检查用户帐号，然后再对LDAP服务器进行检查。同时因为是LDAP认证需要为用户创建根目录，所以还必须在会话（SESSION）阶段增加pam_mkhomedir.so模块，为用户登录自动创建宿主目录。 #cp /etc/pam.d/system-auth /etc/pam.d/system-auth.old *首先备份系统认证文件，同时PAM配置文件至关重要，稍有差池，用户可能就 不能登录，所以需开两个控制台调试以防万一。 完整配置文件如下 #%PAM-1.0 #This file is auto-generated #User changes will be destroyed the next time authconfig is run auth required pam_env.so auth sufficient pam_unix.so nullok try_first_pass auth requisite pam_succeed_if.so uid>=500 quiet auth sufficient pam_ldap.so auth required pam_deny.so account required pam_unix.so account sufficient pam_succeed_if.so uid<500 quiet account required pam_ldap.so account required pam_permit.so password requisite pam_cracklib.so try_first_pass retry=3 password sufficient pam_unix.so md5 shadow nullok try_first_pass use_authtok password sufficient pam_ldap.so use_authtok md5 password required pam_deny.so session optional pam_keyinit.so revoke session required pam_limits.so session [success=1 default=ignore]pam_succeed_if.so service in crond quiet session required pam_unix.so session required pam_mkhomedir.so skel=/etc/skel/ umask=0022 session optional pam_ldap.so <4>/etc/openldap/ldap.conf. 该文件是LDAP服务器的客户端搜索工具文件，由openldap_clientsRPM包生成。 配置如下： BASE dc=boy，dc=com à 搜索路径 URI ldap://主服务器名(主), ldap://辅助服务器名 (备) 配置搜索基准域名和路径.其中第二行HOST=主HOST= 备这样的形式也可. 客户端调试: #ldapserch –x –LLL #ldapsearch –x –LLL >ldapusers.ldif #ldapsearch –x –LLL user1>user1.ldif 编写一个ldif格式文件用于调试. dn:uid=testuser,ou=People,dc=boy,dc=com uid: testuser cn: testuser objectClass:account objectClass:posixAccount objectClass:shadowAccount loginShell:/bin/bash uidNumber:1001 gidNumber:1001 homeDirectory:/home/user1 host： ldapadd –x –D“cn=Manager,dc=boy,dc=com” –W –f testuser.ldif <5>/etc/ldap.conf 文件。 该文件也是LDAP服务器客户端文件，但是与/etc/openldap/ldap.conf文件有不同功能，两者不可混淆。该文件由nss_ldap-253-12.e15RPM包生成，系统默认安装。/lib/security/pam_ldap.so也是由该RPM包生成。 Rpm包nss_ldap-253说明 nss_ldap-253: 包括两个LDAP访问客户机：nss_ldap和pam_ldap。nss_ldap是一组C库扩展，提供系统命名服务（NSS），也叫名称转换服务。需要配置为使用 LDAP来解析诸如用户和组帐号资源。 配置如下： 找到如下三行去“#”并配置 base dc=boy,dc=com à 指定域名 uri ldap://主服务器名或地址 ldap://辅助服务器名或地址 pam_check_host_attr yes à 帐户登录使用主机属性，实现分组认证 或者： pam_groupdn cn= 主机名 ,ou=Hosts,dc=boy,dc=com pam_member_attribute uniquemember 编一个设备登录组。 <6>开启名称缓存服务nscd. 通过网络方式查询用户占用带宽且有时延，开启名称缓存服务可以节省网络资源提高查询效率。 service nscd restart chkconfig --level 3 5 nscd on 现在可以在客户端进行登录认证调试。 在客户端使用getent passwd, getent group 命令会显示所有的用户和组包括本地 /etc/passwd/下的和LDAP服务器端数据库上的。 (责任编辑：IT) |