LDAPを使用したディレクトリサービス[4]：OpenLDAP（I）

皆さん、こんにちは！。 ビジネスに取り掛かりましょう。いつもお勧めしているように、シリーズの前のXNUMXつの記事を読んでください。

• LDAPを使用したディレクトリサービス。 前書き.
• LDAPを使用したディレクトリサービス[2]：NTPおよびdnsmasq.
• LDAPを使用したディレクトリサービス[3]：Isc-DHCP-ServerおよびBind9.

DNS、DHCP、およびNTPは、に基づく単純なディレクトリに不可欠な最小限のサービスです。 OpenLDAP ネイティブ、で適切に動作します Debian6.0「スクイーズ」、またはUbuntu 12.04LTS「PrecisePangolin」。

ネットワークの例：

Lan: 10.10.10.0/24
Dominio: amigos.cu
Servidor: mildap.amigos.cu
Sistema Operativo Servidor: Debian 6 "Squeeze
Dirección IP del servidor: 10.10.10.15
Cliente 1: debian7.amigos.cu
Cliente 2: raring.amigos.cu
Cliente 3: suse13.amigos.cu
Cliente 4: seven.amigos.cu

パートXNUMXでは、次のことを確認します。

• OpenLDAPのインストール（平手打ち2.4.23-7.3)
• インストール後のチェック
• 考慮すべき指標
• データアクセス制御ルール
• SqueezeでのTLS証明書の生成

第XNUMX部では、次のことを続けます。

• ローカルユーザー認証
• データベースにデータを入力します
• コンソールユーティリティを使用してデータベースを管理する
• これまでのまとめ...

OpenLDAPのインストール（平手打ち2.4.23-7.3)

OpenLDAPサーバーはパッケージを使用してインストールされます slapd。 パッケージもインストールする必要があります LDAP ユーティリティ、OpenLDAP独自のユーティリティだけでなく、いくつかのクライアント側ツールを提供します。

：〜＃aptitude install slapd ldap-utils

インストールプロセス中に、 debconf 管理者またはユーザーのパスワードの入力を求められます«管理人«。 いくつかの依存関係もインストールされています。 ユーザーが作成されます OpenLDAP; LDAPディレクトリと同様に初期サーバー構成が作成されます。

OpenLDAPの以前のバージョンでは、デーモン構成 slapd 完全にファイルを介して行われました /etc/ldap/slapd.conf。 使用しているバージョン以降では、構成は同じ方法で行われます slapd、そしてこの目的のために DIT «ディレクトリ情報ツリー»またはディレクトリ情報ツリー、個別に。

として知られている構成方法 RTC «リアルタイム構成»リアルタイム構成、または方法として cn = config、動的に構成することができます slapd サービスの再起動を必要とせずに。

構成データベースは、次の形式のテキストファイルのコレクションで構成されます。 LDIF «LDAPデータ交換フォーマット»フォルダにあるデータ交換用のLDAP形式 /etc/ldap/slapd.d.

フォルダー構成のアイデアを得るには たたき、実行しましょう：

：〜＃ ls -lR /etc/ldap/slapd.d/
/etc/ldap/slapd.d/：合計8 drwxr-x --- 3 openldap openldap 4096 Feb 16 11:08 cn = config -rw ------- 1 openldap openldap 407 Feb 16 11:08 cn = config.ldif /etc/ldap/slapd.d/cn=config：total 28 -rw ------- 1 openldap openldap 383 Feb 16 11:08 cn = module {0} .ldif drwxr-x --- 2 openldap openldap 4096 Feb 16 11:08 cn = schema -rw ------- 1 openldap openldap 325 Feb 16 11:08 cn = schema.ldif -rw ------- 1 openldap openldap 343 Feb 16 11:08 olcBackend = {0} hdb.ldif -rw ------- 1 openldap openldap 472月16日11：08olcDatabase = {0} config.ldif -rw ------- 1 openldap openldap 586 16月11日08：1olcDatabase = {-1} frontend.ldif -rw ------- 1012 openldap openldap 16月11日08：1olcDatabase = {40} hdb.ldif /etc/ldap/slapd.d/cn = config / cn = schema：total 1 -rw ------- 15474 openldap openldap 16 Feb 11 08:0 cn = {1} core.ldif -rw ------- 11308 openldap openldap 16 Feb 11 08:1 cn = {1} cosine.ldif -rw ------- 6438 openldap openldap 16月11日08：2cn = {1} nis.ldif -rw ------- 2802 openldap openldap 16 11月08日3：XNUMXcn = {XNUMX} inetorgperson.ldif

前の出力を少し見ると、 バックエンド Squeezeで使用されるのはデータベースタイプです HDB、の変形です bdb 「BerkeleyDatabase」、およびそれが完全に階層的であり、サブツリーの名前変更をサポートしていること。 可能性についてもっと学ぶために バックエンド OpenLDAPをサポートしている場合は、 http://es.wikipedia.org/wiki/OpenLDAP.

また、XNUMXつの別々のデータベースが使用されていることもわかります。つまり、XNUMXつは構成専用で、もうXNUMXつは フロントエンド、そして最後のものはデータベースです HDB それ自体。

また、 slapd 回路図とともにデフォルトでインストールされます 基本, 余弦, ニシュ e インターネットの人.

インストール後のチェック

ターミナルでは、静かに出力を実行して読み取ります。 特にXNUMX番目のコマンドを使用して、フォルダーの一覧表示から推定される構成を確認します。 たたき.

：〜＃ldapsearch -Q -LLL -Y EXTERNAL -H ldapi：/// -b cn = config | 詳細：〜＃ldapsearch -Q -LLL -Y EXTERNAL -H ldapi：/// -b cn = config dn
dn：cn = config dn：cn =モジュール{0}、cn = config dn：cn =スキーマ、cn = config dn：cn = {0}コア、cn =スキーマ、cn = config dn：cn = {1}コサイン、cn =スキーマ、cn = config dn：cn = {2} nis、cn =スキーマ、cn = config dn：cn = {3} inetorgperson、cn =スキーマ、cn = config dn：olcBackend = {0} hdb、cn = config dn：olcDatabase = {-1}フロントエンド、cn = config dn：olcDatabase = {0} config、cn = config dn：olcDatabase = {1} hdb、cn = config

各出力の説明:

• cn = config：グローバルパラメータ。
• cn =モジュール{0}、cn = config：動的にロードされたモジュール。
• cn =スキーマ、cn =構成：が含まれています ハードコーディング システム回路図のレベルで。
• cn = {0}コア、cn =スキーマ、cn =構成： ハードコーディング カーネル回路図の。
• cn = {1}コサイン、cn =スキーマ、cn = config：スキーム 余弦。
• cn = {2} nis、cn =スキーマ、cn = config：スキーム ニス。
• cn = {3} inetorgperson、cn =スキーマ、cn = config：スキーム インターネットの人.
• olcBackend = {0} hdb、cn = config: バックエンド データストレージタイプ HDB.
• olcDatabase = {-1}フロントエンド、cn = config: フロントエンド データベースと他のデータベースのデフォルトパラメータの。
• olcDatabase = {0} config、cn = config：の構成データベース slapd (cn = config).
• olcDatabase = {1} hdb、cn = config：データベースインスタンス（dc =友達、dc = cu)

：〜＃ldapsearch -x -LLL -H ldap：/// -b dc =例、dc = com dn
dn：dc =友達、dc = cu dn：cn =管理者、dc =友達、dc = cu

• dc =友達、dc = cu：DITベースディレクトリ情報ツリー
• cn =管理者、dc =友達、dc = cu：インストール中に宣言されたDITの管理者（rootDN）。

注意：基本サフィックス dc =友達、dc = cu、彼はそれを取りました debconf からのインストール中 FQDN サーバー midap.amigos.cu.

考慮すべき指標

エントリのインデックス作成は、検索のパフォーマンスを向上させるために実行されます。 DIT、フィルター基準付き。 検討するインデックスは、デフォルトのスキーマで宣言されている属性に従って推奨される最小のインデックスです。

データベース内のインデックスを動的に変更するために、次の形式のテキストファイルを作成します。 LDIF、後でデータベースに追加します。 ファイルを作成します olcDbIndex.ldif そして、私たちはそれを次の内容で残します：

：〜＃ ナノ olcDbIndex.ldif
dn：olcDatabase = {1} hdb、cn = config changetype：modify add：olcDbIndex olcDbIndex：uidNumber eq-add：olcDbIndex olcDbIndex：gidNumber eq-add：olcDbIndex olcDbIndex：memberUid eq、olcDbIndex：login：Index eq、 -追加：olcDbIndex olcDbIndex：uid pres、sub、eq-追加：olcDbIndex olcDbIndex：cn pres、sub、eq-追加：olcDbIndex olcDbIndex：sn pres、sub、eq-追加：olcDbIndex olcDbIndex：givenName、ou pres -追加：olcDbIndex olcDbIndex：displayName pres、sub、eq-追加：olcDbIndex olcDbIndex：デフォルトのsub-追加：olcDbIndex olcDbIndex：mail eq、subinitial-追加：olcDbIndex olcDbIndex：dc eq

データベースにインデックスを追加し、変更を確認します:

：〜＃ldapmodify -Y EXTERNAL -H ldapi：/// -f ./olcDbIndex.ldif

：〜＃ldapsearch -Q -LLL -Y EXTERNAL -H ldapi：/// -b \ cn = config '（olcDatabase = {1} hdb）' olcDbIndex

dn：olcDatabase = {1} hdb、cn = config olcDbIndex：objectClass eq olcDbIndex：uidNumber、gidNumber eq olcDbIndex：memberUid eq、pres、sub olcDbIndex：loginShell eq olcDbIndex：uid pres、sub、eq olcn presq olcDbIndex：sn pres、sub、eq olcDbIndex：givenName、ou pres、eq、sub olcDbIndex：displayName pres、sub、eq olcDbIndex：default sub olcDbIndex：mail eq、subinitial olcDbIndex：dc eq

データアクセス制御ルール

ユーザーがディレクトリデータベース内のデータを読み取り、変更、追加、および削除できるように確立されたルールはアクセス制御と呼ばれ、アクセス制御リストまたは«と呼ばれます。ACLアクセス制御リスト»ルールを構成するポリシーへ。

どれを知るために ACL のインストールプロセス中にデフォルトで宣言されました slapd、実行します：

：〜＃ldapsearch -Q -LLL -Y EXTERNAL -H ldapi：/// -b \
cn = config '（olcDatabase = {1} hdb）' olcAccess

：〜＃ldapsearch -Q -LLL -Y EXTERNAL -H ldapi：/// -b \
cn = config '（olcDatabase = {-1}フロントエンド）' olcAccess

：〜＃ldapsearch -Q -LLL -Y EXTERNAL -H ldapi：/// -b \
cn = config '（olcDatabase = {0} config）' olcAccess

：〜＃ldapsearch -Q -LLL -Y EXTERNAL -H ldapi：/// -b \
cn = config '（olcAccess = *）' olcAccess olcSuffix

前の各コマンドは、 ACL これまで、ディレクトリで宣言してきました。 具体的には、最後のコマンドはそれらすべてを表示し、最初のXNUMXつはXNUMXつすべてのアクセス制御ルールを提供します。 DIT 私たちに関与 slapd.

をテーマに ACL 記事が長くならないように、マニュアルページを読むことをお勧めします。 男slapd.access.

ユーザーと管理者がのエントリを更新するためのアクセスを保証するため ログインシェル y ヤモリ、次のACLを追加します。

## olcAccess.ldifファイルを作成し、次の内容を残します：〜＃nano olcAccess.ldif
dn：olcDatabase = {1} hdb、cn = config changetype：modify add：olcAccess olcAccess：{1} to attrs = loginShell、gecos by dn = "cn = admin、dc = friends、dc = cu" write by self write by * 読んだ

## ACLを追加します
：〜＃ldapmodify -Y EXTERNAL -H ldapi：/// -f ./olcAccess.ldif

＃変更を確認します
ldapsearch -Q -LLL -Y EXTERNAL -H ldapi：/// -b \
cn = config '（olcAccess = *）' olcAccess olcSuffix

証明書の生成 TLS スクイーズで

OpenLDAPサーバーで安全な認証を行うには、暗号化されたセッションを介して行う必要があります。これは、 TLS«トランスポートレイヤーセキュリティ» oセキュアトランスポートレイヤー。

OpenLDAPサーバーとそのクライアントは フレームワーク TLSは、整合性と機密性に関する保護を提供し、メカニズムを通じて安全なLDAP認証をサポートします SASL «シンプルな認証とセキュリティ層« 外部。

最新のOpenLDAPサーバーは*の使用を支持しています/ StartTLS /* o /プロトコルへのセキュアトランスポートレイヤーを開始しますLDAPS：///、廃止されました。 ご不明な点がございましたら、* TLSvを開始してください。 ldaps：// * en http://www.openldap.org/faq/data/cache/605.html

デフォルトでインストールされたままのファイルを残すだけです / etc / default / slapd ステートメントで SLAPD_SERVICES =»ldap：/// ldapi：///»、クライアントとサーバー間で暗号化されたチャネルを使用することを目的とし、補助アプリケーション自体がローカルにインストールされているOpenLDAPを管理します。

パッケージに基づいて、ここで説明する方法 gnutls ビン y SSL証明書 Debian 6 "Squeeze"およびUbuntuServer12.04にも有効です。 Debian7「Wheezy」の場合 OpenSSLの.

Squeezeでの証明書の生成は、次のように実行されます。

1.-必要なパッケージをインストールします
：〜＃aptitude install gnutls-bin ssl-cert

2.-証明書機関のプライマリキーを作成します
：〜＃sh -c "certtool --generate-privkey> /etc/ssl/private/cakey.pem"

3.- CA（Certificate Authority）を定義するためのテンプレートを作成します
：〜＃nano /etc/ssl/ca.info cn =キューバの友達cacert_signing_key

4.-クライアント用にCA自己署名または自己署名証明書を作成します
：〜＃certtool --generate-self-signed \ --load-privkey /etc/ssl/private/cakey.pem \ --template /etc/ssl/ca.info \ --outfile / etc / ssl / certs / cacert.pem

5.-サーバーの秘密鍵を生成します
：〜＃certtool --generate-privkey \ --bits 1024 \ --outfile /etc/ssl/private/mildap-key.pem

注意：「マイルダップ「上記のファイル名で、ご使用のサーバーの場合。サーバーとそれを使用するサービスの両方で証明書とキーに名前を付けると、状況を明確に保つのに役立ちます。

6.-次の内容でファイル/etc/ssl/mildap.infoを作成します。
：〜＃nano / etc / ssl / mildap.info組織=キューバの友達cn = mildap.amigos.cutls_www_serverencryption_keysigning_keyexpiration_days = 3650

注意：上記の内容で、証明書は10年間有効であることを宣言します。 パラメータは、都合に合わせて調整する必要があります。

7.-サーバー証明書を作成します
：〜＃certtool --generate-certificate \ --load-privkey /etc/ssl/private/mildap-key.pem \ --load-ca-certificate /etc/ssl/certs/cacert.pem \ --load- ca-privkey /etc/ssl/private/cakey.pem \ --template /etc/ssl/mildap.info \ --outfile /etc/ssl/certs/mildap-cert.pem

これまでに必要なファイルを生成しましたが、ディレクトリに自己署名証明書の場所を追加するだけで済みます。 cacert.pem; サーバー証明書のそれ midap-cert.pem; およびサーバーの秘密鍵 midap-key.pem。 また、生成されたファイルの権限と所有者を調整する必要があります。

：〜＃nano /etc/ssl/certinfo.ldif
dn：cn = config add：olcTLSCACertificateFile olcTLSCACertificateFile：/etc/ssl/certs/cacert.pem-追加：olcTLSCertificateFile olcTLSCertificateFile：/etc/ssl/certs/mildap-cert.pem-追加：olcTLSCertKeySC -key.pem

8.-追加します：〜＃ldapmodify -Y EXTERNAL -H ldapi：/// -f /etc/ssl/certinfo.ldif

9.-所有者と権限を調整します
：〜＃adduser openldap ssl-cert：〜＃chgrp ssl-cert /etc/ssl/private/mildap-key.pem：〜＃chmod g + r /etc/ssl/private/mildap-key.pem：〜＃chmodまたは/etc/ssl/private/mildap-key.pem

証明書 cacert.pem これは、各クライアントでコピーする必要があるものです。 この証明書をサーバー自体で使用するには、ファイルで宣言する必要があります /etc/ldap/ldap.conf。 これを行うには、ファイルを変更し、次の内容のままにします。

：〜＃nano /etc/ldap/ldap.conf
BASE dc =フレンズ、dc = cu URI ldap：//mildap.amigos.cu TLS_CACERT /etc/ssl/certs/cacert.pem

最後に、またチェックとして、サービスを再開します slapd そして、の出力を確認します syslog サーバーから、新しく宣言された証明書を使用してサービスが適切に再起動されたかどうかを確認します。

：〜＃service slapd restart
：〜＃tail / var / log / syslog

サービスが正しく再起動しない場合、またはで重大なエラーが発生した場合 syslog、落胆しないようにしましょう。 損傷の修復または最初からやり直すことができます。 ゼロから始めることにした場合、 slapd、サーバーをフォーマットする必要はありません。

何らかの理由でこれまでに行ったことをすべて消去するには、パッケージをアンインストールする必要があります slapd、フォルダを削除します / var / lib / ldap。 また、ファイルを元のバージョンのままにする必要があります /etc/ldap/ldap.conf.

最初の試行ですべてが正しく機能することはまれです。 🙂

次の記事では、次のことを確認してください。

• ローカルユーザー認証
• データベースにデータを入力します
• コンソールユーティリティを使用してデータベースを管理する
• これまでのまとめ...

またね！