Könyvtárszolgáltatás LDAP-val [4]: ​​OpenLDAP (I)

Hello barátok!. Térjünk rá az üzletre, és ahogy mindig ajánljuk, olvassa el a sorozat előző három cikkét:

• Könyvtárszolgáltatás LDAP-val. Bevezetés.
• Könyvtárszolgáltatás LDAP-val [2]: NTP és dnsmasq.
• Könyvtárszolgáltatás LDAP-val [3]: Isc-DHCP-Server és Bind9.

A DNS, a DHCP és az NTP a minimális alapvető szolgáltatás az egyszerű alapú könyvtárunk számára OpenLDAP natív, megfelelően működik a Debian 6.0 "Squeeze", vagy az Ubuntu 12.04 LTS «Precise Pangolin».

Példa hálózatra:

Lan: 10.10.10.0/24
Dominio: amigos.cu
Servidor: mildap.amigos.cu
Sistema Operativo Servidor: Debian 6 "Squeeze
Dirección IP del servidor: 10.10.10.15
Cliente 1: debian7.amigos.cu
Cliente 2: raring.amigos.cu
Cliente 3: suse13.amigos.cu
Cliente 4: seven.amigos.cu

Az első részben meglátjuk:

• OpenLDAP telepítés (pofon 2.4.23-7.3)
• Ellenőrzések a telepítés után
• Figyelembe veendő indexek
• Adathozzáférés-szabályozás
• TLS-tanúsítványok létrehozása a Squeeze-ben

míg a második részben folytatjuk:

• Helyi felhasználói hitelesítés
• Töltse fel az adatbázist
• Kezelje az adatbázist a konzol segédprogramjaival
• Eddigi összefoglalás ...

OpenLDAP telepítés (pofon 2.4.23-7.3)

Az OpenLDAP szervert a csomag segítségével telepítik pofon. Telepítenünk kell a csomagot is ldap-utils, amely néhány ügyféloldali eszközt, valamint az OpenLDAP saját segédprogramokat biztosít számunkra.

: ~ # aptitude install slapd ldap-utils

A telepítési folyamat során a debconf Kérni fogja tőlünk az adminisztrátor vagy a felhasználó jelszavát «admin«. Számos függőség is telepítve van; felhasználó létrehozva openldap; létrejön a kezdeti szerverkonfiguráció, valamint az LDAP könyvtár.

Az OpenLDAP korábbi verzióiban a démonkonfiguráció pofon teljes egészében az aktán keresztül történt /etc/ldap/slapd.conf. Az általunk használt és későbbi verzióban a konfigurálás ugyanabban történik pofon, és erre a célra a DIT «Címtár információfa»Vagy a Directory Information Tree külön-külön.

A konfigurációs módszer néven ismert RTC «Valós idejű konfiguráció»Valós idejű konfiguráció, vagy mint módszer cn = konfig, lehetővé teszi számunkra a dinamikus konfigurálását pofon anélkül, hogy szükség lenne a szolgáltatás újraindítására.

A konfigurációs adatbázis formátumú szöveges fájlok gyűjteményéből áll LDIF «LDAP adatcsere-formátum»A mappában található LDAP formátum az adatcseréhez /etc/ldap/slapd.d.

Hogy képet kapjon a mappa szervezéséről pofon.d, Fussunk:

: ~ # ls -lR /etc/ldap/slapd.d/
/etc/ldap/slapd.d/: összesen 8 drwxr-x --- 3 openldap openldap 4096 február 16 11:08 cn = config -rw ------- 1 openldap openldap 407 február 16 11:08 cn = config.ldif /etc/ldap/slapd.d/cn=config: összesen 28 -rw ------- 1 openldap openldap 383. február 16. 11:08 cn = modul {0} .ldif drwxr-x --- 2 openldap openldap 4096 február 16 11:08 cn = séma -rw ------- 1 openldap openldap 325 február 16 11:08 cn = schema.ldif -rw ------- 1 openldap openldap 343 február 16 11:08 olcBackend = {0} hdb.ldif -rw ------- 1 openldap openldap 472 február 16 11:08 olcDatabase = {0} config.ldif -rw ------- 1 openldap openldap 586 16. február 11:08 olcDatabase = {- 1} frontend.ldif -rw ------- 1 openldap openldap 1012 16. február 11:08 olcDatabase = {1} hdb.ldif /etc/ldap/slapd.d/cn = config / cn = séma: összesen 40 -rw ------- 1 openldap openldap 15474 február 16 11:08 cn = {0} core.ldif -rw ------- 1 openldap openldap 11308 február 16 11:08 cn = {1} cosine.ldif -rw ------- 1 openldap openldap 6438 február 16 11:08 cn = {2} nis.ldif -rw ------- 1 openldap openldap 2802 Február 16. 11:08 cn = {3} inetorgperson.ldif

Ha kicsit megnézzük az előző kimenetet, azt látjuk, hogy a háttér a Squeeze-ben használt adatbázis típus hdb, amely a változata bdb "Berkeley Database", és hogy az teljesen hierarchikus és támogatja az alfák átnevezését. Ha többet szeretne megtudni a lehetségesről Háttérképek amely támogatja az OpenLDAP-t, látogasson el http://es.wikipedia.org/wiki/OpenLDAP.

Azt is látjuk, hogy három külön adatbázist használnak, vagyis az egyiket a konfigurációnak szentelik, a másikat a frontend, és az utolsó, amely az adatbázis hdb önmagában.

Sőt, pofon alapértelmezés szerint a sémákkal van telepítve Mag, koszinusz, Nis e internetes személy.

Ellenőrzések a telepítés után

Egy terminálban nyugodtan végrehajtjuk és leolvassuk a kimeneteket. Különösen a második paranccsal ellenőrizzük a mappa felsorolásából levezetett konfigurációt pofon.d.

: ~ # ldapsearch -Q -LLL -Y KÜLSŐ -H ldapi: /// -b cn = config | tovább: ~ # ldapsearch -Q -LLL -Y KÜLSŐ -H ldapi: /// -b cn = config dn
dn: cn = config dn: cn = modul {0}, cn = config dn: cn = séma, cn = config dn: cn = {0} mag, cn = séma, cn = config dn: cn = {1} koszinusz , cn = séma, cn = config dn: cn = {2} nis, cn = séma, cn = config dn: cn = {3} inetorgperson, cn = séma, cn = config dn: olcBackend = {0} hdb, cn = config dn: olcDatabase = {- 1} kezelőfelület, cn = config dn: olcDatabase = {0} config, cn = config dn: olcDatabase = {1} hdb, cn = config

Az egyes kimenetek magyarázata:

• cn = konfig: Globális paraméterek.
• cn = modul {0}, cn = konfiguráció: Dinamikusan betöltött modul.
• cn = séma, cn = konfig: Tartalmazza a kemény kódolású a rendszervázlatok szintjén.
• cn = {0} mag, cn = séma, cn = config: A kemény kódolású a rendszermag vázlata.
• cn = {1} koszinusz, cn = séma, cn = konfig: A séma Koszinusz.
• cn = {2} nis, cn = séma, cn = config: A séma Nis.
• cn = {3} inetorgperson, cn = séma, cn = config: A séma internetes személy.
• olcBackend = {0} hdb, cn = config: háttér adattárolási típus hdb.
• olcDatabase = {- 1} frontend, cn = config: frontend az adatbázis és az egyéb adatbázisok alapértelmezett paraméterei.
• olcDatabase = {0} config, cn = config: A. konfigurációs adatbázisa pofon (cn = konfig).
• olcDatabase = {1} hdb, cn = config: Adatbázisunk példánya (dc = barátok, dc = cu)

: ~ # ldapsearch -x -LLL -H ldap: /// -b dc = példa, dc = com dn
dn: dc = barátok, dc = cu dn: cn = admin, dc = barátok, dc = cu

• dc = barátok, dc = cu: DIT alapkönyvtár információs fa
• cn = admin, dc = barátok, dc = cu: A telepítés során deklarált DIT rendszergazdája (rootDN).

jegyzet: Az alap utótag dc = barátok, dc = cu, elvette debconf -tól való telepítés során FQDN a szerverről mildap.amigos.cu.

Figyelembe veendő indexek

A bejegyzések indexelésével javítják a keresések teljesítményét az DIT, szűrési feltételekkel. Az általunk figyelembe vett indexek a minimálisan ajánlottak az alapértelmezett sémákban deklarált attribútumok szerint.

Az adatbázis indexeinek dinamikus módosításához létrehozunk egy szöveges fájlt a formátumban LDIF, majd később felvesszük az adatbázisba. Mi hozzuk létre a fájlt olcDbIndex.ldif és a következő tartalommal hagyjuk:

: ~ # nano olcDbIndex.ldif
dn: olcDatabase = {1} hdb, cn = config changetype: modify add: olcDbIndex olcDbIndex: uidNumber eq - add: olcDbIndex olcDbIndex: gidNumber eq - add: olcDbIndex olcDbIndex, loginShidc: loginShidd: loginUid eq : loginShell eq, olcDbIndex: login - add: olcDbIndex olcDbIndex: uid pres, sub, eq - add: olcDbIndex olcDbIndex: cn pres, sub, eq - add: olcDbIndex olcDbIndex: sn pres, sub, eqInb: , ou pres, eq, sub - add: olcDbIndex olcDbIndex: displayName pres, sub, eq - add: olcDbIndex olcDbIndex: alapértelmezett sub - add: olcDbIndex olcDbIndex: mail eq, szubinitális - add: olcDbIndex olcDbIn

Hozzáadjuk az indexeket az adatbázishoz, és ellenőrizzük a módosítást:

: ~ # ldapmodify -Y KÜLSŐ -H ldapi: /// -f ./olcDbIndex.ldif

: ~ # ldapsearch -Q -LLL -Y KÜLSŐ -H ldapi: /// -b \ cn = config '(olcDatabase = {1} hdb)' olcDbIndex

dn: olcDatabase = {1} hdb, cn = config olcDbIndex: objectClass eq olcDbIndex: uidNumber, gidNumber eq olcDbIndex: memberUid eq, pres, sub olcDbIndex: loginShell eq olcDbIndex: pres pres, q presq, pres cn presq olcDbIndex: sn pres, sub, eq olcDbIndex: givenName, ou pres, eq, sub olcDbIndex: displayName pres, sub, eq olcDbIndex: alapértelmezett sub olcDbIndex: mail eq, szubinitális olcDbIndex: dc eq

Adathozzáférés-szabályozás

Azokat a szabályokat, amelyeket azért hoztak létre, hogy a felhasználók elolvashassák, módosíthassák, hozzáadhassák és törölhessék a Directory adatbázis adatait, hozzáférés-vezérlésnek hívjuk, míg mi hozzáférés-listákat vagy «ACL hozzáférés-vezérlési lista»A szabályokat konfiguráló házirendekhez.

Hogy melyiket ACL-ek fájlokat alapértelmezés szerint deklarálták a pofon, végrehajtjuk:

: ~ # ldapsearch -Q -LLL -Y KÜLSŐ -H ldapi: /// -b \
cn = config '(olcDatabase = {1} hdb)' olcAccess

: ~ # ldapsearch -Q -LLL -Y KÜLSŐ -H ldapi: /// -b \
cn = config '(olcDatabase = {- 1} frontend)' olcAccess

: ~ # ldapsearch -Q -LLL -Y KÜLSŐ -H ldapi: /// -b \
cn = config '(olcDatabase = {0} config)' olcAccess

: ~ # ldapsearch -Q -LLL -Y KÜLSŐ -H ldapi: /// -b \
cn = config '(olcAccess = *)' olcAccess olcSuffix

Az előző parancsok mindegyike megmutatja a ACL-ek hogy eddig könyvtárunkban kijelentettük. Pontosabban, az utolsó parancs mindet megmutatja, míg az első három megadja nekünk a hozzáférés-szabályokat mindháromra. DIT részt vesz a mi pofon.

A témában ACL-ek és annak érdekében, hogy ne készüljön sokkal hosszabb cikk, javasoljuk, hogy olvassa el a kézi oldalakat ember slapd.hozzáférés.

A felhasználók és rendszergazdák hozzáférésének garantálása a bejelentkezésShell y Geckos, hozzáadjuk a következő ACL-t:

## Létrehozzuk az olcAccess.ldif fájlt, és a következő tartalommal hagyjuk: ~ # nano olcAccess.ldif
dn: olcDatabase = {1} hdb, cn = config changetype: modify add: olcAccess olcAccess: {1} to attrs = loginShell, gecos by dn = "cn = admin, dc = barátok, dc = cu" önállóan ír * olvas

## Hozzáadjuk az ACL-t
: ~ # ldapmodify -Y KÜLSŐ -H ldapi: /// -f ./olcAccess.ldif

# Ellenőrizzük a változásokat
ldapsearch -Q -LLL -Y KÜLSŐ -H ldapi: /// -b \
cn = config '(olcAccess = *)' olcAccess olcSuffix

Tanúsítványok generálása TLS a Squeeze-ben

Az OpenLDAP szerverrel történő biztonságos hitelesítéshez titkosított munkameneten keresztül kell megtennünk, amelyet a TLS «Szállítási réteg biztonsága» o Biztonságos szállítási réteg.

Az OpenLDAP szerver és kliensei képesek használni a keret A TLS az integritás és a titoktartás védelme, valamint a biztonságos LDAP-hitelesítés támogatása a mechanizmus révén SASL «Egyszerű hitelesítési és biztonsági réteg« Külső.

A modern OpenLDAP szerverek a * használatát támogatják/ StartTLS /* o Indítson el egy biztonságos szállítási réteget a /LDAPS: ///, ami elavult. Ha bármilyen kérdése van, látogasson el a * Start TLS v. ldaps: // * en http://www.openldap.org/faq/data/cache/605.html

Csak hagyja a fájlt alapértelmezés szerint telepítve / etc / default / slapd a kijelentéssel SLAPD_SERVICES = »ldap: /// ldapi: ///», azzal a céllal, hogy titkosított csatornát használjon az ügyfél és a kiszolgáló, valamint maguk a kiegészítő alkalmazások a helyileg telepített OpenLDAP adminisztrálására.

Az itt leírt módszer a csomagok alapján gnutls-bin y ssl-cert érvényes a Debian 6 "Squeeze" -re és az Ubuntu Server 12.04-re is. A Debian 7 "Wheezy" esetében egy másik módszer alapul OpenSSL.

A Squeeze-ben a tanúsítványok generálása az alábbiak szerint történik:

1.- Telepítjük a szükséges csomagokat
: ~ # aptitude install gnutls-bin ssl-cert

2.- Létrehozzuk az Elsődleges kulcsot a tanúsító hatóság számára
: ~ # sh -c "certtool --generate-privkey> /etc/ssl/private/cakey.pem"

3.- Hozunk létre egy sablont a CA (Certificate Authority) meghatározásához
: ~ # nano /etc/ssl/ca.info cn = kubai barátok ca cert_signing_key

4.- Létrehozzuk a CA önaláírt vagy önaláírt tanúsítványt az ügyfelek számára
: ~ # certtool --generate-self-signed \ --load-privkey /etc/ssl/private/cakey.pem \ --template /etc/ssl/ca.info \ --outfile / etc / ssl / certs / cacert.pem

5. - Privát kulcsot generálunk a szerverhez
: ~ # certtool --generate-privkey \ --bits 1024 \ --outfile /etc/ssl/private/mildap-key.pem

jegyzet: Csere "mildap"a fenti fájl nevében a saját szervere nevében. A tanúsítvány és a kulcs elnevezése mind a szerver, mind az azt használó szolgáltatás számára segít tisztán tartani a dolgokat.

6.- Az /etc/ssl/mildap.info fájlt a következő tartalommal hozzuk létre:
: ~ # nano /etc/ssl/mildap.info organization = Kubai barátok cn = mildap.amigos.cu tls_www_szerver encryption_key signing_key lejárati_nap = 3650

jegyzet: Az előző tartalomban kijelentjük, hogy a tanúsítvány 10 évig érvényes. A paramétert kényelmünknek megfelelően kell beállítani.

7.- Létrehozzuk a Server tanúsítványt
: ~ # certtool --generate-certificate \ --load-privkey /etc/ssl/private/mildap-key.pem \ --load-ca-certificate /etc/ssl/certs/cacert.pem \ --load- ca-privkey /etc/ssl/private/cakey.pem \ --template /etc/ssl/mildap.info \ --outfile /etc/ssl/certs/mildap-cert.pem

Eddig elkészítettük a szükséges fájlokat, csak a Saját Aláírású Tanúsítvány helyét kell hozzáadnunk a Könyvtárhoz cacert.pem; a szerver tanúsítványé mildap-cert.pem; és a szerver privát kulcsát mildap-key.pem. Be kell állítanunk a létrehozott fájlok engedélyeit és tulajdonosát is.

: ~ # nano /etc/ssl/certinfo.ldif
dn: cn = config add: olcTLSCACertificateFile olcTLSCACertificateFile: /etc/ssl/certs/cacert.pem - add hozzá: olcTLSCertificateFile olcTLSCertificateFile: /etc/ssl/certs/mildap-cert.pem / private: privateKépFájl / serkentFájl / privateKépFájl / magán: stb /mildap-key.pem

8.- Hozzáadjuk: ~ # ldapmodify -Y KÜLSŐ -H ldapi: /// -f /etc/ssl/certinfo.ldif

9.- Beállítjuk a tulajdonos és az engedélyeket
: ~ # adduser openldap ssl-cert: ~ # chgrp ssl-cert /etc/ssl/private/mildap-key.pem: ~ # chmod g + r /etc/ssl/private/mildap-key.pem: ~ # chmod vagy /etc/ssl/private/mildap-key.pem

A tanúsítvány cacert.pem Ez az, amelyet minden kliensben le kell másolnunk. Ahhoz, hogy ezt a tanúsítványt a kiszolgálón is használni lehessen, azt a fájlban kell deklarálnunk /etc/ldap/ldap.conf. Ehhez módosítjuk a fájlt, és a következő tartalommal hagyjuk:

: ~ # nano /etc/ldap/ldap.conf
BASE dc = barátok, dc = cu URI ldap: //mildap.amigos.cu TLS_CACERT /etc/ssl/certs/cacert.pem

Végül és ellenőrzésként újraindítjuk a szolgáltatást pofon és ellenőrizzük a syslog a szerverről, hogy megtudja, a szolgáltatás megfelelően indult-e újra az újonnan deklarált tanúsítvánnyal.

: ~ # service slapd restart
: ~ # tail / var / log / syslog

Ha a szolgáltatás nem indul újra megfelelően, vagy súlyos hibát észlelünk a syslog, ne csüggedjünk. Megpróbálhatjuk kijavítani a kárt, vagy elölről kezdeni. Ha úgy döntünk, hogy a nulláról kezdjük a telepítést pofon, nem szükséges a szerverünket formázni.

Ahhoz, hogy töröljünk mindent, amit eddig egy vagy másik okból tettünk, el kell távolítanunk a csomagot pofon, majd törölje a mappát / var / lib / ldap. A fájlt az eredeti változatában is el kell hagynunk /etc/ldap/ldap.conf.

Ritka az első próbálkozás, hogy minden megfelelően működik. 🙂

Ne feledje, hogy a következő részletben látni fogjuk:

• Helyi felhasználói hitelesítés
• Töltse fel az adatbázist
• Kezelje az adatbázist a konzol segédprogramjaival
• Eddigi összefoglalás ...

Hamarosan találkozunk, barátok!