ldap学习总结 centos7 配置ldap

ldap学习总结

• 一 、 LDAP
• 二 、 ldap安装(Linux)
• • 1 , 使用如下命令安装OpenLDAP：
  • 2 , 查看OpenLDAP版本，使用如下命令：
• 三 、 配置openLDAP
• • 1 , 设置OpenLDAP的管理员密码:
  • 2 , 修改olcDatabase={2}hdb.ldif文件
  • 3 , 修改olcDatabase={1}monitor.ldif文件
  • 4 ,验证OpenLDAP的基本配置，使用如下命令：
  • 5 , 启动OpenLDAP服务，使用如下命令：
  • 6 , OpenLDAP默认监听的端口是389，下面我们来验证389端口状态，如下：
• 四 、配置OpenLDAP数据库
• • 1 , OpenLDAP默认使用的数据库是BerkeleyDB，现在来开始配置OpenLDAP数据库，使用如下命令：
  • 2 , 导入基本Schema
  • 3 , 修改migrate_common.ph文件
• 五 、添加用户及用户组
• • 1 ， 添加用户组，使用如下命令：
  • 2，添加用户并设置密码，使用如下命令：
  • 3，把刚刚添加的用户和用户组提取出来，这包括该用户的密码和其他相关属性，如下：
  • 4，根据上述生成的用户和用户组属性，使用migrate_passwd.pl文件生成要添加用户和用户组的ldif，如下：
• 六、 导入用户及用户组到OpenLDAP数据库
• • 1， 配置openldap基础的数据库，如下：
  • 2，导入基础数据库，使用如下命令：
  • 3，导入用户和用户组到数据库，使用如下命令：
  • 4，查看BerkeleyDB数据库文件，使用如下命令：
• 七、 查询OpenLDAP的相关信息
• • 1，查询OpenLDAP全部信息，使用如下命令：
  • 2，查询添加的OpenLDAP用户信息，使用如下命令：
  • 3，查询添加的OpenLDAP用户组信息，使用如下命令：
• 八 、 把OpenLDAP用户加入到用户组
• • 1，现在我们要把ldapuser1用户加入到ldapgroup1用户组，需要新建添加用户到用户组的ldif文件，如下：
  • 2，查询添加的OpenLDAP用户组信息，如下：
• 九 、 权限设置，指定用户密码只能由本人和管理员能更改
• • 1，修改olcDatabase={-1}frontend.ldif文件，如下：
• 十 、开启OpenLDAP日志访问功能
• • 1，新建日志配置ldif文件，如下：
  • 2，导入到OpenLDAP中，并重启OpenLDAP服务，如下：
  • 3，修改rsyslog配置文件，并重启rsyslog服务，如下：
  • 4，查看OpenLDAP日志，如下：
• 十一 、使用Apache Directory Studio工具查看
• 搜索建议
• • 建议去哔哩哔哩观看一下Apache Directory Studio软件简单的使用 :
  • ldap相关基础建议搜索:
  • ldap结构了解建议搜索:
  • java对ldap相关工具类建议搜索:
  • java 对ldap简单实现CRUD建议搜索 :
  • LDAPModification类:
  • LDAPConnection类:
  • openLDAP相关安装转载自 :

---

一 、 LDAP

LDAP是轻量目录访问协议，英文全称是Lightweight Directory Access Protocol，一般都简称为LDAP。
ldap概述推荐搜索 :
https://www.cnblogs.com/rusking/articles/3701429.html

二 、 ldap安装(Linux) 1 , 使用如下命令安装OpenLDAP：

yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel migrationtools：
" />

2 , 查看OpenLDAP版本，使用如下命令：

slapd -VV

三 、 配置openLDAP

注意:从OpenLDAP2.4.23版本开始所有配置数据都保存在/etc/openldap/slapd.d/中，建议不再使用slapd.conf作为配置文件。

1 , 设置OpenLDAP的管理员密码:

slappasswd -s xxxxx

2 , 修改olcDatabase={2}hdb.ldif文件

修改olcDatabase={2}hdb.ldif文件,对于该文件增加一行
olcRootPW: {SSHA}OYyb90ARhaTvL9mZpD7aCRn/ipqvtStf，然后修改域信息：
olcSuffix: dc=poke_domain,dc=com
olcRootDN: cn=admin,dc=poke_domain,dc=com
实际修改如下：
vim /etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif
olcSuffix: dc=poke_domain,dc=com
olcRootDN: cn=admin,dc=poke_domain,dc=com
olcRootPW: {SSHA}OYyb90ARhaTvL9mZpD7aCRn/ipqvtStf

注意：其中cn=admin中的admin表示OpenLDAP管理员的用户名，而olcRootPW表示OpenLDAP管理员的密码，这里写入4.1节中保存的密文。

3 , 修改olcDatabase={1}monitor.ldif文件

vim /etc/openldap/slapd.d/cn=config/olcDatabase={1}monitor.ldif
olcAccess: {0}to * by dn.base=”gidNumber=0+uidNumber=0,cn=peercred,n=extern
al,cn=auth” read by dn.base=”cn=admin,dc=poke_domain,dc=com” read by * none

注意：该修改中的dn.base是修改OpenLDAP的管理员的相关信息的。

4 ,验证OpenLDAP的基本配置，使用如下命令：

slaptest -u

通过上图，我们可以很明显的看出OpenLDAP的基本配置是没有问题。

5 , 启动OpenLDAP服务，使用如下命令：

rm -rf /var/lib/ldap
rm -rf /var/run/openldap
mkdir -p /var/lib/ldap && chown -R ldap.ldap /var/lib/ldap && chmod 700 /var/lib/ldap
mkdir -p /var/run/openldap && chown -R ldap.ldap /var/run/openldap && chmod 755 /var/run/openldap
注意：以上4步避免权限问题导致服务启动失败，只在第一次启动时执行
systemctl enable slapd
systemctl start slapd
systemctl status slapd

6 , OpenLDAP默认监听的端口是389，下面我们来验证389端口状态，如下：

netstat -antup | grep 389

四 、配置OpenLDAP数据库 1 , OpenLDAP默认使用的数据库是BerkeleyDB，现在来开始配置OpenLDAP数据库，使用如下命令：

cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
chown ldap:ldap -R /var/lib/ldap
chmod 700 -R /var/lib/ldap
ll /var/lib/ldap/
注意：/var/lib/ldap/就是BerkeleyDB数据库默认存储的路径。

2 , 导入基本Schema

ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif

3 , 修改migrate_common.ph文件

migrate_common.ph文件主要是用于生成ldif文件使用，修改migrate_common.ph文件，如下：
vim /usr/share/migrationtools/migrate_common.ph 71行
$DEFAULT_MAIL_DOMAIN = “poke_domain.com”;
$DEFAULT_base = “dc=poke_domain,dc=com”;
$EXTENDED_SCHEMA = 1;

到此OpenLDAP的配置就已经全部完毕，下面我们来开始添加用户到OpenLDAP中。

五 、添加用户及用户组

默认情况下OpenLDAP是没有普通用户的，但是有一个管理员用户。管理用户就是前面我们刚刚配置的root。
现在我们把系统中的用户，添加到OpenLDAP中。为了进行区分，我们现在新加两个用户ldapuser1和ldapuser2，和两个用户组ldapgroup1和ldapgroup2，如下：

1 ， 添加用户组，使用如下命令：

groupadd ldapgroup1
groupadd ldapgroup2

2，添加用户并设置密码，使用如下命令：

useradd -g ldapgroup1 ldapuser1
useradd -g ldapgroup2 ldapuser2
echo ‘123456’ | passwd --stdin ldapuser1
echo ‘123456’ | passwd --stdin ldapuser2

3，把刚刚添加的用户和用户组提取出来，这包括该用户的密码和其他相关属性，如下：

grep -E “ldap[^:]” /etc/passwd > /root/users
grep -E “ldap[^:]” /etc/group > /root/groups
cat users groups

4，根据上述生成的用户和用户组属性，使用migrate_passwd.pl文件生成要添加用户和用户组的ldif，如下：

/usr/share/migrationtools/migrate_passwd.pl /root/users > /root/users.ldif
/usr/share/migrationtools/migrate_group.pl /root/groups > /root/groups.ldif
cat users.ldif
cat groups.ldif

注意：后续如果要新加用户到OpenLDAP中的话，我们可以直接修改users.ldif文件即可。

六、 导入用户及用户组到OpenLDAP数据库 1， 配置openldap基础的数据库，如下：

cat > /root/base.ldif << EOF
dn: dc=poke_domain,dc=como: poke_domain comdc: poke_domainobjectClass: topobjectClass: dcObjectobjectclass: organization
dn: cn=admin,dc=poke_domain,dc=comcn: adminobjectClass: organizationalRoledescription: Directory Manager
dn: ou=People,dc=poke_domain,dc=comou: PeopleobjectClass: topobjectClass: organizationalUnit
dn: ou=Group,dc=poke_domain,dc=comou: GroupobjectClass: topobjectClass: organizationalUnit
EOF

2，导入基础数据库，使用如下命令：

ldapadd -x -w “helloadmin” -D “cn=admin,dc=poke_domain,dc=com” -f /root/base.ldif

3，导入用户和用户组到数据库，使用如下命令：

ldapadd -x -w “helloadmin” -D “cn=admin,dc=poke_domain,dc=com” -f /root/users.ldif
ldapadd -x -w “helloadmin” -D “cn=admin,dc=poke_domain,dc=com” -f /root/groups.ldif

4，查看BerkeleyDB数据库文件，使用如下命令：

ls -l /var/lib/ldap/
可以很明显的看到此时BerkeleyDB数据库文件中多了cn.bdb、sn.bdb、ou.bdb等数据库文件。

七、 查询OpenLDAP的相关信息

用户和用户组全部导入完毕后，我们就可以查询OpenLDAP的相关信息。

1，查询OpenLDAP全部信息，使用如下命令：

ldapsearch -x -b “dc=poke_domain,dc=com” -H ldap://127.0.0.1

2，查询添加的OpenLDAP用户信息，使用如下命令：

ldapsearch -LLL -x -D ‘cn=admin,dc=poke_domain,dc=com’ -w “helloadmin” -b ‘dc=poke_domain,dc=com’ ‘uid=ldapuser1’

3，查询添加的OpenLDAP用户组信息，使用如下命令：

ldapsearch -LLL -x -D ‘cn=admin,dc=poke_domain,dc=com’ -w “helloadmin” -b ‘dc=poke_domain,dc=com’ ‘cn=ldapgroup2’

注意：上述截图，我们可以很明显的看到ldapgroup1用户组中，目前没有任何成员。

八 、 把OpenLDAP用户加入到用户组

虽然我们已经把用户和用户组信息，导入到OpenLDAP数据库中了。但实际上目前OpenLDAP用户和用户组之间是没有任何关联的。
如果我们要把OpenLDAP数据库中的用户和用户组关联起来的话，我们还需要做另外单独的配置。

1，现在我们要把ldapuser1用户加入到ldapgroup1用户组，需要新建添加用户到用户组的ldif文件，如下：

cat > add_user_to_groups.ldif << “EOF”
dn: cn=ldapgroup1,ou=Group,dc=poke_domain,dc=com
changetype: modify
add: memberuid
memberuid: ldapuser1
EOF
执行如下命令：
ldapadd -x -w “helloadmin” -D “cn=admin,dc=poke_domain,dc=com” -f /root/add_user_to_groups.ldif

2，查询添加的OpenLDAP用户组信息，如下：

ldapsearch -LLL -x -D ‘cn=admin,dc=poke_domain,dc=com’ -w “helloadmin” -b ‘dc=poke_domain,dc=com’ ‘cn=ldapgroup1’

通过上图，我们可以很明显的看出ldapuser1用户已经加入到ldapgroup1用户组了。

九 、 权限设置，指定用户密码只能由本人和管理员能更改

默认情况下OpenLDAP的所有用户都能查看其他用户的密码，这是不合常理的。用户的密码属性只能由本人或者管理员才能操作。

1，修改olcDatabase={-1}frontend.ldif文件，如下：

vim /etc/openldap/slapd.d/cn=config/olcDatabase={-1}frontend.ldif ，添加以下两行：
olcAccess: {0}to attrs=userPassword by self write by anonymous auth by users none
olcAccess: {1}to * by * read
systemctl restart slapd

十 、开启OpenLDAP日志访问功能

默认情况下OpenLDAP是没有启用日志记录功能的，但是在实际使用过程中，我们为了定位问题需要使用到OpenLDAP日志。

1，新建日志配置ldif文件，如下：

cat > /root/loglevel.ldif << “EOF”
dn: cn=config
changetype: modify
replace: olcLogLevel
olcLogLevel: stats
EOF

2，导入到OpenLDAP中，并重启OpenLDAP服务，如下：

ldapmodify -Y EXTERNAL -H ldapi:/// -f /root/loglevel.ldif
systemctl restart slapd

3，修改rsyslog配置文件，并重启rsyslog服务，如下：

cat >> /etc/rsyslog.conf << “EOF”
local4.* /var/log/slapd.log
EOF
systemctl restart rsyslog

4，查看OpenLDAP日志，如下：

tail -f /var/log/slapd.log

十一 、使用Apache Directory Studio工具查看

下载地址: http://directory.apache.org/studio/downloads.html

其中Hostname填写OpenLDAP的主机地址，Port填写OpenLDAP的监听端口，base填写的OpenLDAP的DN。
在Bind DN or user部分中的Username填写的是管理员，Bind password填写的是管理员的密码。
注意：Bind DN or user部分不像，我们平时使用的系统一样填写一个root，在此我们要填写完整的RDN。

---

搜索建议 建议去哔哩哔哩观看一下Apache Directory Studio软件简单的使用 :

https://www.bilibili.com/video/BV1kh411h7yB

ldap相关基础建议搜索:

https://blog.csdn.net/u013964476/article/details/47804323

ldap结构了解建议搜索:

https://blog.csdn.net/xiaowen_1990/article/details/79074949

java对ldap相关工具类建议搜索:

https://cloud.tencent.com/developer/article/1505197

java 对ldap简单实现CRUD建议搜索 :

http://www.micmiu.com/opensource/java-ldap-demo/

LDAPModification类:

http://www.novell.com/documentation/developer/jldap/jldapenu/api/org/ietf/LDAPModification.htm

LDAPConnection类:

http://www.novell.com/documentation/developer/jldap/jldapenu/api/com/novell/ldap/LDAPConnection.html

openLDAP相关安装转载自 :

https://www.cnblogs.com/ipoke/p/8856670.html

新手一个 , 欢迎各位下方评论 ! ! ! !