首页
登录 | 注册

LDAP NFS Autofs配置

LDAP配置


LDAP配置文档(基础篇)

本文档LDAP域设置为igoo.cn,
服务器IP为192.168.2.143,客户端IP为192.168.2.206
请按实际环境进行修改

安装
LDAP服务器安装以下软件包
# yum -y install authconfig authconfig-gtk libtool-ltdl \
  openldap openldap-servers openldap-clients nss_ldap
LDAP客户端不需要openldap-servers
# yum -y install authconfig authconfig-gtk libtool-ltdl \
  openldap openldap-clients nss_ldap

在服务器和客户机/etc/hosts文件中都加入:
192.168.2.143 CA
192.168.2.206 client
 
配置
a) 配置LDAP服务器
1. 记下slappasswd命令生成的字串用于配置/etc/openldap/slapd.conf中的rootpw项
# slappasswd
New password:
Re-enter new password:
{SSHA}8OilbfvZ4DjHznURWHL3cl4FnHaCN6uU --> slapd.conf:rootpw
2. 修改服务器配置文件slapd.conf
# perl -pi -e 's|dc=my-domain,dc=com|dc=igoo,dc=cn|g' /etc/openldap/slapd.conf; \
  perl -pi -e 's|^# modulepath\t|modulepath\t|g' /etc/openldap/slapd.conf; \
  perl -pi -e 's|^# moduleload accesslog.la|moduleload accesslog.la|g' /etc/openldap/slapd.conf

# echo 'rootpw {SSHA}8OilbfvZ4DjHznURWHL3cl4FnHaCN6uU' >> /etc/openldap/slapd.conf
打开ldap日志,默认级别为256
# echo 'local4.* /var/log/ldap.log' >> /etc/syslog.conf; touch /var/log/ldap.log; service syslog restart
注意,slapd.conf中设定了LDAP数据库格式为bdb,存储路径/var/lib/ldap
# cp /etc/openldap/DB_CONFIG.example /var/lib/ldap/DB_CONFIG; \
  chown ldap:ldap /var/lib/ldap/DB_CONFIG
3. 检查系统安全配置,启动ldap(顺便把NFS需要的端口打开)
# iptables -I RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 389 -j ACCEPT; \
  iptables -I RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 389 -j ACCEPT; \
  iptables -I RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 636 -j ACCEPT; \
  iptables -I RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 636 -j ACCEPT; \
  iptables -I RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 30389 -j ACCEPT; \
  iptables -I RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 30389 -j ACCEPT; \
  iptables -I RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 30636 -j ACCEPT; \
  iptables -I RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 30636 -j ACCEPT; \
  iptables -I RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 111 -j ACCEPT; \
  iptables -I RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 111 -j ACCEPT; \
  iptables -I RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 2049 -j ACCEPT; \
  iptables -I RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 2049 -j ACCEPT; \
  iptables -I RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 30002:30005 -j ACCEPT; \
  iptables -I RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 30002:30005 -j ACCEPT; \
  iptables-save > /etc/sysconfig/iptables
# service ldap start; chkconfig ldap on
# netstat -nlp|grep slapd
4. 添加测试用户ldapuser01,配置用户登录环境
# groupadd -g 5000 ldapgroup; mkdir /opt/home;
# useradd -u 5001 -g 5000 -d /opt/home/ldapuser01 ldapuser01; echo test|passwd ldapuser01 --stdin; \
  useradd -u 5002 -g 5000 -d /opt/home/ldapuser02 ldapuser02; echo test|passwd ldapuser02 --stdin
5. 创建根项,并使用openldap-servers自带脚本生成和导入pass/group配置
# grep ldapuser /etc/passwd > mypasswd; grep ldapgroup /etc/group > mygroup
# perl -pi -e 's|padl.com|igoo.cn|g;s|dc=padl,dc=com|dc=igoo,dc=cn|g' \
  /usr/share/openldap/migration/migrate_common.ph; \
  /usr/share/openldap/migration/migrate_base.pl > base.ldif; \
  /usr/share/openldap/migration/migrate_passwd.pl mypasswd passwd.ldif; \
  /usr/share/openldap/migration/migrate_group.pl mygroup group.ldif; \
  ls -al *.ldif
# ldapadd -x -D "cn=Manager,dc=igoo,dc=cn" -W -f base.ldif; \
  ldapadd -x -D "cn=Manager,dc=igoo,dc=cn" -W -f passwd.ldif; \
  ldapadd -x -D "cn=Manager,dc=igoo,dc=cn" -W -f group.ldif
# tail /var/log/messages; tail /var/log/secure; tail -f /var/log/ldap.conf

b) 配置客户端(以下命令均在LDAP客户端运行)
先将LDAP服务器IP加入到/etc/hosts中
# echo '192.168.2.143 ldapserver' >> /etc/hosts
配置本机使用LDAP认证,并配置LDAP服务器IP
# vi /etc/nsswitch.conf
perl -pi -e 's|^passwd:     files|passwd:     files ldap|g' /etc/nsswitch.conf; \
perl -pi -e 's|^shadow:     files|shadow:     files ldap|g' /etc/nsswitch.conf; \
perl -pi -e 's|^group:      files|group:      files ldap|g' /etc/nsswitch.conf
# authconfig-tui
[*] Use LDAP Authentication
[ ] Use TLS
Server: ldap://192.168.2.143/       <-- 此处为LDAP服务器IP
Base DN: dc=igoo,dc=cn
# grep -v '#' /etc/openldap/ldap.conf  <-- 实际上修改的就是这个配置文件
URI ldap://192.168.2.143/
BASE dc=igoo,dc=cn
TLS_CACERTDIR /etc/openldap/cacerts
检查LDAP服务
# ldapsearch -LLL -x|grep ldapuser
# ldapsearch -LLL -W -x -D "cn=Manager,dc=igoo,dc=cn" -b "dc=igoo,dc=cn" "(uid=miaohongzhi)" userPassword
Enter LDAP Password:
dn: uid=ldapuser01,ou=People,dc=igoo,dc=cn
userPassword:: e2NyeXB0fSQxJFJuczJuT0hEJDhqd3ZwVUVaeUNuRlRKLk8zdGxaTjE=
测试LDAP账户是否可用
# ssh ldapuser01@localhost
ldapuser01@localhost's password:
Last login: Thu Jul 16 12:10:07 2009 from localhost.localdomain
Could not chdir to home directory /opt/home/ldapuser01: No such file or directory
-bash-3.2$
可见,LDAP已经可用,如果需要让用户拥有漫游主目录,结合NFS和autofs,按以下步骤进行配置:
1. 回到LDAP服务器192.168.2.143进行操作
绑定nfs端口
#cat << EOF >> /etc/sysconfig/nfs
LOCKD_TCPPORT="30002"
LOCKD_UDPPORT="30002"
STATD_PORT="30003"
MOUNTD_PORT="30004"
RQUOTAD_PORT="30005"
EOF
# chkconfig nfs on; service nfs stop; service nfslock stop; service portmap stop; \
  service portmap start; service portmap start; service portmap start
确认NFS相关端口被绑定到指定端口
# netstat -nlp|grep 'LISTEN '
配置export,可以设置为客户端所在网段允许mount
# echo "/opt/home       192.168.2.206(rw,no_root_squash,async)" > /etc/exports
# exportfs -a; showmount -e localhost
2. 到客户端192.168.2.206上配置
# mkdir /opt/home
# echo "/opt/home       /etc/auto.ldap --timeout=60 --ghost" >> /etc/auto.master; \
  echo "*          -fstype=nfs,ro,soft,intr           192.168.2.143:/opt/home/&" >> /etc/auto.ldap
  注意中间是TAB隔开
# service autofs restart; cat /proc/mounts |grep autofs; ls -al /opt/home/ldapuser01
# ssh ldapuser01@localhost
ldapuser01@localhost's password:
Last login: Thu Jul 16 12:14:33 2009 from localhost.localdomain
[ldapuser01@h206 ~]$ ls -al
可见,LDAP用户的目录已经漫游到LDAP客户端所在服务器了。

附1. LDAP管理命令:
1、修改用户密码,用户需要有userPassword项了。 
# ldappasswd -x -D "cn=Manager,dc=igoo,dc=cn" -W "uid=miaohongzhi,ou=People,dc=igoo,dc=cn" -S
New password: 
Re-enter new password: 
Enter bind password: 
Result: Success (0) 
注意:"Enter bind password" 是"cn=Manager,dc=igoo,dc=cn"管理员的密码。
2、删除命令ldapdelete
# ldapdelete -x -D "cn=Manager,dc=igoo,dc=cn" -W "uid=ldapuser01,ou=People,dc=igoo,dc=cn" 
3、管理员密码更改 
# slappasswd 
New password 
Re-enter new password 
{SSHA}83DJ4KVwqlk1uh9k2uDb8+NT1U4RgkEs 
再copy到 /path/to/sldap.conf 的 rootpw 即可,重启使用配置文件生效
4、通过ldapmodify修改条目
# cat modify.ldif
dn: uid=ldapuser01,ou=People,dc=igoo,dc=cn
changetype: modify
replace: loginShell
loginShell: /bin/false
还可以使用LDAP管理工具:phpLDAPadmin,LDAP Browser&Editor 暂未进行测试

附2. 更安全的LDAP,即在服务器和客户端使用TSL来加密通讯
1. 在服务器端生成证书
# cd /etc/pki/tls/misc; ./CA -newca
输入CA密码,以后要用此密码来签发证书,/CN=ldap1v.ops.lfc.igoo.cn/O=igoo.cn/OU=OPS/C=CN/ST=BJ/L=Beijing/emailAddress=miaohongzhi@yahoo.com。
# openssl req -new -nodes -subj '/CN=ldap1v.ops.lfc.igoo.cn/O=igoo.cn/OU=OPS/C=CN/ST=BJ/L=Beijing/emailAddress=miaohongzhi@yahoo.com' -keyout slapdkey.pem -out slapd-req.pem -days 3650
# openssl ca -out slapdcert.pem -infiles slapd-req.pem
2. 路径、权限
# rm -f slapd-req.pem; mv slapd*.pem /etc/openldap/; cp /etc/pki/CA/cacert.pem /etc/openldap/cacerts/
# cd /etc/openldap; chown ldap:ldap slapdkey.pem slapdcert.pem cacerts/cacert.pem ;\
  chmod 400 slapdkey.pem; chmod 644 slapdcert.pem cacerts/cacert.pem
# cat << EOF >> /etc/openldap/slapd.conf
TLSCipherSuite HIGH:MEDIUM:+SSLv2
TLSCACertificateFile /etc/openldap/cacerts/cacert.pem
TLSCertificateFile /etc/openldap/slapdcert.pem
TLSCertificateKeyFile /etc/openldap/slapdkey.pem
EOF
# service ldap restart; netstat -nlp|grep slapd
可见LDAP30389端口和LDAPS30636端口已经在监听状态
3. 在客户端配置和确认
# openssl s_client -connect CA:30636
配置用户信息和验证均使用LDAP,详细配置中不要选择使用TLS,URI修改为ldaps://CA:30636 <--注意勿用TLS,否则会报tls already use!!!
authconfig-gtk可以通过ftp或http自动下载CA,否则需要手动将服务器上的cacert.pem存入本机/etc/openldap/cacerts目录
# tail -5 /etc/ldap.conf
...
uri ldaps://CA:636
ssl no
#tls_checkpeer yes
tls_cacertdir /etc/openldap/cacerts  ---or---tls_cacertfile /etc/openldap/cacerts/cacert.pem
pam_password md5
# tail -5 /etc/openldap/ldap.conf
...
URI ldaps://CA:30636
BASE dc=igoo,dc=cn
TLS_CACERTDIR /etc/openldap/cacerts
TLS_REQCERT allow
# ldapsearch -x -LLL -H ldaps://CA:30636
如直接用IP,可能出现下面的报错,这是由于IP和前面CN=CA不一致:
ldap_bind: Can't contact LDAP server (-1)
        additional info: TLS: hostname does not match CN in peer certificate
# ssh ldapuser01@localhost
OK!
若确定使用LDAPS,可将服务器上iptables原先打开的389端口去掉。

selinux is preventing nscd(nscd_t) "read write" to socket unconfined_t
附3. LDAP主备结构
1. 配置主服务器
# echo '192.168.3.27    SLAVE' >> /etc/hosts
在配置文件/etc/openldap/slapd.conf,添加如下:
replogfile      /var/lib/ldap/ldaprep.log
replica uri=ldap://slave:30389
        binddn="cn=Manager,dc=igoo,dc=cn"
        bindmethod=simple credentials=igoo
#updatedn  "cn=Manager,dc=igoo,dc=cn"
启动服务
# touch /var/lib/ldap/ldaprep.log; chown ldap:ldap /var/lib/ldap/ldaprep.log
/etc/init.d/ldap restart
/etc/init.d/slurpd restart
chkconfig ldap on
chkconfig slurpd on
# openssl req -new -nodes -subj '/CN=SLAVE/O=igoo/C=CN/ST=BJ/L=Beijing' -keyout slapdkey-slave.pem -out slapd-req-slave.pem -days 3650
# openssl ca -out slapdcert-slave.pem -infiles slapd-req-slave.pem
# rm -f slapd-req-slave.pem; scp -r slapd*.pem SLAVE:/etc/openldap/; scp /etc/pki/CA/cacert.pem SLAVE:/etc/openldap/cacerts/

2. 配置备份服务器
# echo '192.168.2.143    CA' >> /etc/hosts
# cp -fR /etc/openldap/ /etc/openldap.bak; cp -fR /var/lib/ldap /var/lib/ldap.bak; \
  scp CA:/etc/openldap/slapd.conf /etc/openldap/; \
  scp -r CA:/var/lib/ldap/* /var/lib/ldap/; \
  scp -r CA:/etc/openldap/schema/* /etc/openldap/schema/; \
  chmod 644 /etc/openldap/slapdcert-slave.pem /etc/openldap/cacerts/cacert.pem; \
  chmod 400 /etc/openldap/slapdkey-slave.pem; \
  chown ldap:ldap /etc/openldap/*.pem /etc/openldap/cacerts/cacert.pem /var/lib/ldap/* /etc/openldap/schema/*
# perl -pi -e 's|slapdcert.pem|slapdcert-slave.pem|g' /etc/openldap/slapd.conf; \
  perl -pi -e 's|slapdkey.pem|slapdkey-slave.pem|g' /etc/openldap/slapd.conf; \
  echo 'updatedn  "cn=Manager,dc=igoo,dc=cn"' >> /etc/openldap/slapd.conf

3. 配置客户端
# echo '192.168.2.143    CA' >> /etc/hosts; \
  echo '192.168.3.27    SLAVE' >> /etc/hosts
设置为使用多个LDAP服务器
# perl -pi -e 's|^uri |#uri |g' /etc/ldap.conf; \
  echo 'uri ldaps://SLAVE:636 ldaps://CA:636' >> /etc/ldap.conf
在主服务器查看复制日志
# tail -f /var/lib/ldap/ldaprep.log
添加新用户ldapuser07,ldapuser08
# ldapadd -x -D "cn=Manager,dc=igoo,dc=cn" -W -f passwd.ldif
在客户端验证主备库均增加了两个用户,同时,在刚才主服务器窗口可以看到有复制信息输出。
# ldapsearch -x -H ldaps://CA:636|grep uid; ldapsearch -x -H ldaps://SLAVE:636|grep uid

4. 定时备份
# vi /root/ldapbackup.sh
#!/bin/bash
Date=`date +%Y%m%d`
slapcat > /root/ldapdata.ldif.$Date
# chmod 700 /root/ldapbackup.sh; crontab -e
30 0 * * * /root/ldapbackup.sh

参考《SLES10 SP1下Openldap实现用户单点登录的方法》http://www.rssol.net/view/371193

Tips:
1. 使用加密方式通信,服务器生成证书,LDAPS监听在636,客户端TLS不要打勾,只需要使用ldaps://host:636即可
2. 让LDAP监听在其它端口,修改/etc/init.d/ldap
# perl -pi -e 's|ldap:///|ldap://0.0.0.0:30389|g' /etc/init.d/ldap; \
  perl -pi -e 's|ldaps:///|ldaps://0.0.0.0:30636|g' /etc/init.d/ldap
SELinux is preventing the slapd (slapd_t) from binding to port 30389
注意SELinux保护,默认不允许slapd监听在其它端口。
semanage port -{a|d|m} [-tr] [ -p protocol ] port | port_range
# semanage port -l|grep ldap
# semanage port -a -t ldap_port_t -p tcp 30389; semanage port -a -t ldap_port_t -p udp 30389; \
  semanage port -a -t ldap_port_t -p tcp 30636; semanage port -a -t ldap_port_t -p udp 30636
3. 我们可以采用两种方法来配置 LDAP 客户机。一种快速而简单的方法是运行 /usr/sbin/authconfig,并在两个屏幕中输入信息。
另外一种方法是通过编辑客户机 LDAP 配置文件 /etc/ldap.conf,然后修改 /etc/nsswitch.conf、/etc/sysconfig/authconfig 和 /etc/pam.d/system-auth。


# groupadd -g 19999 vip
把新用户添加到/etc/group的vip行尾部,用英文逗号隔开
# echo "session    required    pam_mkhomedir.so skel=/etc/skel/ umask=0022" >> /etc/pam.d/login; \
  echo "session    required    pam_mkhomedir.so skel=/etc/skel/ umask=0022" >> /etc/pam.d/sshd
  echo "account    required    pam_require.so root @vip" >> /etc/pam.d/sshd
  echo "account    required    pam_require.so root @vip" >> /etc/pam.d/sshd
# scp miaohongzhi@ldap1v.ops.lfc.igoo.cn:/etc/openldap/cacerts/cacert.pem /etc/openldap/cacerts/; \
  scp miaohongzhi@ldap1v.ops.lfc.igoo.cn:/lib/security/pam_require.so /lib/security/
# chmod 644 /etc/openldap/cacerts/cacert.pem; chown ldap:ldap /etc/openldap/cacerts/cacert.pem; \
  chmod 755 /lib/security/pam_require.so
# authconfig-tui 勾选LDAP,服务器 ldaps://ldap1v.ops.lfc.igoo.cn:30636,DN dc=igoo,dc=cn
# tail -5 /etc/ldap.conf
...
uri ldaps://ldap1v.ops.lfc.igoo.cn:30636
ssl no
tls_cacertdir /etc/openldap/cacerts
pam_password md5
# tail -5 /etc/openldap/ldap.conf
...
URI ldaps://ldap1v.ops.lfc.igoo.cn:30636
BASE dc=igoo,dc=cn
TLS_CACERTDIR /etc/openldap/cacerts
TLS_REQCERT allow
# ldapsearch -x -LLL -H ldaps://ldap1v.ops.lfc.igoo.cn:30636

access to attrs=userpassword
        by self write
        by anonymous auth
        by dn.base="cn=Manager,dc=igoo,dc=cn" write
        by * none
access to *
        by self write
        by dn.base="cn=Manager,dc=igoo,dc=cn" write
        by * none

 

管理LDAP条目更多示例参考:http://docs.sun.com/app/docs/doc/820-4818/6ng8onqbo?l=zh&a=view
参考《配置OpenLDAP使用TLS通讯》:http://zh.linuxvirtualserver.org/node/383

http://blog.chinaunix.net/u2/65250/showart_1904537.html

http://www.cndw.com/tech/soft/2006042049977.asp


相关文章


2020 unjeep.com webmaster#unjeep.com
12 q. 0.011 s.
京ICP备10005923号