Perkhidmatan Direktori dengan LDAP [4]: ​​OpenLDAP (I)

Helo kawan !. Mari mulakan perniagaan, dan seperti yang selalu kami sarankan, baca tiga artikel sebelumnya dalam siri ini:

• Perkhidmatan Direktori dengan LDAP. Pengenalan.
• Perkhidmatan Direktori dengan LDAP [2]: NTP dan dnsmasq.
• Perkhidmatan Direktori dengan LDAP [3]: Isc-DHCP-Server dan Bind9.

DNS, DHCP dan NTP adalah perkhidmatan minimum minimum untuk direktori mudah kami berdasarkan OpenLDAP asli, berfungsi dengan betul di Debian 6.0 "Picit", atau di Ubuntu 12.04 LTS "Precise Pangolin".

Rangkaian contoh:

Lan: 10.10.10.0/24
Dominio: amigos.cu
Servidor: mildap.amigos.cu
Sistema Operativo Servidor: Debian 6 "Squeeze
Dirección IP del servidor: 10.10.10.15
Cliente 1: debian7.amigos.cu
Cliente 2: raring.amigos.cu
Cliente 3: suse13.amigos.cu
Cliente 4: seven.amigos.cu

Pada Bahagian Pertama kita akan melihat:

• Pemasangan OpenLDAP (tampar 2.4.23-7.3)
• Pemeriksaan selepas pemasangan
• Indeks yang perlu diambil kira
• Peraturan Kawalan Akses Data
• Penjanaan Sijil TLS dalam Squeeze

sementara di Bahagian Kedua kita akan meneruskan dengan:

• Pengesahan pengguna tempatan
• Isi pangkalan data
• Menguruskan pangkalan data menggunakan utiliti konsol
• Ringkasan setakat ini ...

Pemasangan OpenLDAP (tampar 2.4.23-7.3)

Pelayan OpenLDAP dipasang menggunakan pakej tamparan. Kita juga mesti memasang pakej ldap-perkakas, yang memberi kami beberapa alat sisi pelanggan, serta utiliti OpenLDAP sendiri.

: ~ # aptitude install slapd ldap-utils

Semasa proses pemasangan, debconf Ia akan meminta kata laluan pentadbir atau pengguna kepada kami «admin«. Sejumlah pergantungan juga dipasang; pengguna dibuat openldap; konfigurasi pelayan awal dibuat dan juga direktori LDAP.

Dalam versi OpenLDAP sebelumnya, konfigurasi daemon tamparan dilakukan sepenuhnya melalui fail /etc/ldap/slapd.conf. Dalam versi yang kami gunakan dan kemudian, konfigurasi dilakukan dengan cara yang sama tamparan, dan untuk tujuan ini a DIT «Pokok Maklumat Direktori»Atau Pohon Maklumat Direktori, secara berasingan.

Kaedah konfigurasi yang dikenali sebagai RTC «Konfigurasi Masa Sebenar»Konfigurasi Masa Sebenar, atau sebagai Kaedahnya cn = konfigurasi, membolehkan kita mengkonfigurasi secara dinamik tamparan tanpa memerlukan memulakan semula perkhidmatan.

Pangkalan data konfigurasi terdiri daripada kumpulan fail teks dalam format LDIF «Format Pertukaran Data LDAP»Format LDAP untuk Pertukaran Data, terletak di folder /etc/ldap/slapd.d.

Untuk mendapatkan idea organisasi folder tamparan.d, Jom lari:

: ~ # ls -lR /etc/ldap/slapd.d/
/etc/ldap/slapd.d/: total 8 drwxr-x --- 3 openldap openldap 4096 16 Feb 11:08 cn = config -rw ------- 1 openldap openldap 407 16 Feb 11 08:28 cn = config.ldif /etc/ldap/slapd.d/cn=config: total 1 -rw ------- 383 openldap openldap 16 11 Feb 08:0 cn = modul {2} .ldif drwxr-x --- 4096 openldap openldap 16 11 Feb 08:1 cn = schema -rw ------- 325 openldap openldap 16 Feb 11 08:1 cn = schema.ldif -rw ------- 343 openldap openldap 16 11 Feb 08 0:1 olcBackend = {472} hdb.ldif -rw ------- 16 openldap openldap 11 08 Feb 0:1 olcDatabase = {586} config.ldif -rw ------- 16 openldap openldap 11 08 Feb 1:1 olcDatabase = {- 1012} frontend.ldif -rw ------- 16 openldap openldap 11 08 Feb 1 40:1 olcDatabase = {15474} hdb.ldif /etc/ldap/slapd.d/cn = config / cn = skema: jumlah 16 -rw ------- 11 openldap openldap 08 0 Feb 1:11308 cn = {16} core.ldif -rw ------- 11 openldap openldap 08 1 Feb 1:6438 cn = {16} cosine.ldif -rw ------- 11 openldap openldap 08 2 Feb 1 2802:16 cn = {11} nis.ldif -rw ------- 08 openldap openldap 3 XNUMX Feb XNUMX:XNUMX cn = {XNUMX} inetorgperson.ldif

Sekiranya kita melihat output sebelumnya sedikit, kita melihat bahawa Backend digunakan dalam Squeeze adalah jenis pangkalan data hdb, yang merupakan varian dari bdb "Berkeley Database", dan itu sepenuhnya hierarki dan menyokong penamaan semula sub-pokok. Untuk mengetahui lebih lanjut mengenai kemungkinan Backends yang menyokong OpenLDAP, lawati http://es.wikipedia.org/wiki/OpenLDAP.

Kami juga melihat bahawa tiga pangkalan data berasingan digunakan, satu, yang dikhaskan untuk konfigurasi, yang lain untuk Frontend, dan yang terakhir adalah pangkalan data hdb per se.

Selain itu, tamparan dipasang secara lalai dengan skema Teras, kosinus, Nis e orang internet.

Pemeriksaan selepas pemasangan

Di terminal kami dengan tenang melaksanakan dan membaca hasilnya. Kami akan memeriksa, terutama dengan perintah kedua, konfigurasi yang disimpulkan dari menyenaraikan folder tamparan.d.

: ~ # ldapsearch -Q -LLL -Y EXTERNAL -H ldapi: /// -b cn = config | lagi: ~ # ldapsearch -Q -LLL -Y EXTERNAL -H ldapi: /// -b cn = config dn
dn: cn = config dn: cn = modul {0}, cn = config dn: cn = skema, cn = config dn: cn = {0} teras, cn = skema, cn = config dn: cn = {1} kosinus , cn = skema, cn = config dn: cn = {2} nis, cn = skema, cn = config dn: cn = {3} inetorgperson, cn = skema, cn = config dn: olcBackend = {0} hdb, cn = config dn: olcDatabase = {- 1} frontend, cn = config dn: olcDatabase = {0} config, cn = config dn: olcDatabase = {1} hdb, cn = config

Penjelasan setiap output:

• cn = konfigurasi: Parameter global.
• cn = modul {0}, cn = config: Modul yang dimuat secara dinamik.
• cn = skema, cn = konfigurasi: Mengandungi berkod keras pada tahap skema sistem.
• cn = {0} inti, cn = skema, cn = config: The berkod keras skema kernel.
• cn = {1} kosinus, cn = skema, cn = config: Skim Kosinus.
• cn = {2} nis, cn = skema, cn = config: Skim Nis.
• cn = {3} inetorgperson, cn = skema, cn = config: Skim orang internet.
• olcBackend = {0} hdb, cn = config: Backend jenis simpanan data hdb.
• olcDatabase = {- 1} frontend, cn = config: Frontend pangkalan data dan parameter lalai untuk pangkalan data lain.
• olcDatabase = {0} config, cn = config: Pangkalan data konfigurasi tamparan (cn = konfigurasi).
• olcDatabase = {1} hdb, cn = config: Contoh pangkalan data kami (dc = kawan, dc = cu)

: ~ # ldapsearch -x -LLL -H ldap: /// -b dc = contoh, dc = com dn
dn: dc = kawan, dc = cu dn: cn = admin, dc = kawan, dc = cu

• dc = kawan, dc = cu: Pokok Maklumat Direktori Pangkalan DIT
• cn = admin, dc = kawan, dc = cu: Pentadbir (rootDN) DIT dinyatakan semasa pemasangan.

Nota: Akhiran asas dc = kawan, dc = cu, mengambilnya debconf semasa pemasangan dari FQDN pelayan mildap.amigos.cu.

Indeks yang perlu diambil kira

Pengindeksan entri dilakukan untuk meningkatkan prestasi pencarian di DIT, dengan kriteria penapis. Indeks yang akan kami pertimbangkan adalah minimum yang disyorkan mengikut atribut yang dinyatakan dalam skema lalai.

Untuk mengubah indeks dalam pangkalan data secara dinamik, kami membuat fail teks dalam format LDIF, dan kemudian kami menambahkannya ke pangkalan data. Kami membuat fail olcDbIndex.ldif dan kami meninggalkannya dengan kandungan berikut:

: ~ # nano olcDbIndex.ldif
dn: olcDatabase = {1} HDB, cn = config changetype: add mengubah suai: olcDbIndex olcDbIndex: uidNumber persamaan - add: olcDbIndex olcDbIndex: gidNumber persamaan - add: olcDbIndex olcDbIndex: memberUid persamaan, pres, sub - addhell ​​persamaan, olcDbIndex: loginShell persamaan, olcDbIndex: loginShell persamaan, olcDbIndex: loginShell persamaan, olcDbIndex: login - tambahkan: olcDbIndex olcDbIndex: uid pres, sub, eq - add: olcDbIndex olcDbIndex: cn pres, sub, eq - add: olcDbIndex olcDbIndex: sn pres, sub, eq - add: olcDbIndex olcDbIndex, e-pres, diberiN - tambah: olcDbIndex olcDbIndex: displayName pres, sub, eq - add: olcDbIndex olcDbIndex: default sub - add: olcDbIndex olcDbIndex: mail eq, subinitial - add: olcDbIndex olcDbIndex: dc eq

Kami menambahkan indeks ke pangkalan data dan memeriksa pengubahsuaiannya:

: ~ # ldapmodify -Y EXTERNAL -H ldapi: /// -f ./olcDbIndex.ldif

: ~ # ldapsearch -Q -LLL -Y EXTERNAL -H ldapi: /// -b \ cn = config '(olcDatabase = {1} hdb)' olcDbIndex

dn: olcDatabase = {1} hdb, cn = config olcDbIndex: objectClass eq olcDbIndex: uidNumber, gidNumber eq olcDbIndex: memberUid eq, pres, sub olcDbIndex: loginShell eq olcDbIndex: uid presq, subq, presq, subq, pres olcDbIndex: sn pres, sub, eq olcDbIndex: GivenName, ou pres, eq, sub olcDbIndex: displayName pres, sub, eq olcDbIndex: default sub olcDbIndex: eq e-mel, subc awal olcDbIndex: dc eq

Peraturan Kawalan Akses Data

Peraturan yang ditetapkan sehingga pengguna dapat membaca, mengubah, menambah dan menghapus data dalam pangkalan data Direktori disebut Access Control, sementara kami akan memanggil Access Control Lists atau «Senarai Kawalan Akses ACL»Untuk dasar yang mengkonfigurasi peraturan.

Untuk mengetahui yang mana ACL dinyatakan secara lalai semasa proses pemasangan tamparan, kami melaksanakan:

: ~ # ldapsearch -Q -LLL -Y LUARAN -H ldapi: /// -b \
cn = config '(olcDatabase = {1} hdb)' olcAccess

: ~ # ldapsearch -Q -LLL -Y LUARAN -H ldapi: /// -b \
cn = config '(olcDatabase = {- 1} frontend)' olcAccess

: ~ # ldapsearch -Q -LLL -Y LUARAN -H ldapi: /// -b \
cn = config '(olcDatabase = {0} config)' olcAccess

: ~ # ldapsearch -Q -LLL -Y LUARAN -H ldapi: /// -b \
cn = config '(olcAccess = *)' olcAccess olcSuffix

Setiap arahan sebelumnya akan menunjukkan kepada kita ACL bahawa sehingga sekarang kami telah menyatakan dalam Direktori kami. Secara khusus, perintah terakhir menunjukkan semuanya, sementara tiga yang pertama memberi kita peraturan kawalan akses untuk ketiga-tiganya. DIT terlibat dalam kami tamparan.

Mengenai subjek ACL dan agar tidak membuat artikel yang lebih panjang, kami mengesyorkan membaca halaman manual lelaki slapd.access.

Untuk menjamin akses pengguna dan pentadbir untuk mengemas kini entri mereka log masukShell y Tokek, kami akan menambahkan ACL berikut:

## Kami membuat fail olcAccess.ldif dan meninggalkannya dengan kandungan berikut: ~ # nano olcAccess.ldif
dn: olcDatabase = {1} hdb, cn = config changetype: modify add: olcAccess olcAccess: {1} to attrs = loginShell, gecos by dn = "cn = admin, dc = friends, dc = cu" tulis sendiri tulis oleh * baca

## Kami menambah ACL
: ~ # ldapmodify -Y EXTERNAL -H ldapi: /// -f ./olcAccess.ldif

# Kami memeriksa perubahannya
ldapsearch -Q -LLL -Y LUARAN -H ldapi: /// -b \
cn = config '(olcAccess = *)' olcAccess olcSuffix

Penjanaan Sijil TLS dalam Squeeze

Untuk memiliki pengesahan yang selamat dengan pelayan OpenLDAP, kita mesti melakukannya melalui sesi yang disulitkan yang dapat kita capai dengan menggunakan TLS «Keselamatan Lapisan Pengangkutan» o Lapisan Pengangkutan yang Selamat.

Pelayan OpenLDAP dan pelanggannya dapat menggunakan rangka kerja TLS untuk memberikan perlindungan mengenai integriti dan kerahsiaan, serta untuk menyokong pengesahan LDAP yang selamat melalui mekanisme SASL «Lapisan Pengesahan dan Keselamatan Mudah« Luaran.

Pelayan OpenLDAP moden menggemari penggunaan */ MulaTLS /* o Mulakan Lapisan Pengangkutan yang Selamat ke / protokolLDAPS: ///, yang sudah usang. Sebarang pertanyaan, lawati * Mula TLS v. ldaps: // * en http://www.openldap.org/faq/data/cache/605.html

Biarkan fail seperti yang dipasang secara lalai / etc / default / slapd dengan penyataan tersebut SLAPD_SERVICES = »ldap: /// ldapi: ///», dengan tujuan menggunakan saluran yang dienkripsi antara klien dan pelayan, dan aplikasi tambahan itu sendiri untuk mengurus OpenLDAP yang dipasang secara tempatan.

Kaedah yang dijelaskan di sini, berdasarkan pakej tong sampah y ssl-sijil ia sah untuk Debian 6 "Squeeze" dan juga untuk Ubuntu Server 12.04. Untuk Debian 7 "Wheezy" kaedah lain berdasarkan OpenSSL.

Pembuatan sijil dalam Squeeze dilakukan seperti berikut:

1.- Kami memasang pakej yang diperlukan
: ~ # aptitude install gnutls-bin ssl-cert

2.- Kami membuat Kunci Utama untuk Pihak Berkuasa Sijil
: ~ # sh -c "certtool --generate-privkey> /etc/ssl/private/cakey.pem"

3.- Kami membuat templat untuk menentukan CA (Certificate Authority)
: ~ # nano /etc/ssl/ca.info cn = Rakan Kuba ca cert_signing_key

4.- Kami membuat sijil CA Self Signed atau Self-Signed untuk pelanggan
: ~ # certtool --generate-self-sign \ --load-privkey /etc/ssl/private/cakey.pem \ --template /etc/ssl/ca.info \ --outfile / etc / ssl / certs / cacert.pem

5.- Kami menghasilkan Kunci Peribadi untuk Pelayan
: ~ # certtool --generate-privkey \ - bit 1024 \ --outfile /etc/ssl/private/mildap-key.pem

Nota: Ganti "mildap"dalam nama fail di atas untuk pelayan anda sendiri. Menamakan Sijil dan Kunci, baik untuk pelayan dan untuk perkhidmatan yang menggunakannya, membantu kami memastikan semuanya jelas.

6.- Kami membuat fail /etc/ssl/mildap.info dengan kandungan berikut:
: ~ # nano /etc/ssl/mildap.info organisasi = Kawan Kuba cn = mildap.amigos.cu tls_www_server encryption_key signing_key expired_days = 3650

Nota: Dalam kandungan di atas kami menyatakan bahawa sijil itu sah untuk jangka masa 10 tahun. Parameter mesti disesuaikan mengikut keselesaan kami.

7.- Kami membuat Sijil Pelayan
: ~ # certtool --generate-Certificate \ --load-privkey /etc/ssl/private/mildap-key.pem \ --load-ca-Certificate /etc/ssl/certs/cacert.pem \ --load- ca-privkey /etc/ssl/private/cakey.pem \ --template /etc/ssl/mildap.info \ --outfile /etc/ssl/certs/mildap-cert.pem

Sejauh ini kami telah menghasilkan fail yang diperlukan, kami hanya perlu menambahkan ke Direktori lokasi Sijil Tanda Diri cacert.pem; sijil pelayan mildap-cert.pem; dan Kunci Peribadi Pelayan mildap-key.pem. Kita juga mesti menyesuaikan kebenaran dan pemilik fail yang dihasilkan.

: ~ # nano /etc/ssl/certinfo.ldif
dn: cn = config add: olcTLSCACertificateFile olcTLSCACertificateFile: /etc/ssl/certs/cacert.pem - tambahkan: olcTLSCertificateFile olcTLSCertificateFile: /etc/ssl/certs/mildap-cert.sert: /mildap-key.pem

8.- Tambah: ~ # ldapmodify -Y EXTERNAL -H ldapi: /// -f /etc/ssl/certinfo.ldif

9.- Kami menyesuaikan pemilik dan kebenaran
: ~ # adduser openldap ssl-cert: ~ # chgrp ssl-cert /etc/ssl/private/mildap-key.pem: ~ # chmod g + r /etc/ssl/private/mildap-key.pem: ~ # chmod atau /etc/ssl/private/mildap-key.pem

Perakuan itu cacert.pem Yang mesti kita salin pada setiap pelanggan. Agar sijil ini dapat digunakan pada pelayan itu sendiri, kita mesti menyatakannya dalam fail /etc/ldap/ldap.conf. Untuk melakukan ini, kami mengubah suai fail dan membiarkannya dengan kandungan berikut:

: ~ # nano /etc/ldap/ldap.conf
ASAS dc = kawan, dc = cu URI ldap: //mildap.amigos.cu TLS_CACERT /etc/ssl/certs/cacert.pem

Akhirnya dan juga sebagai cek, kami memulakan semula perkhidmatan tamparan dan kami memeriksa output syslog dari pelayan, untuk mengetahui sama ada perkhidmatan dimulakan semula dengan betul menggunakan sijil yang baru diisytiharkan.

: ~ # mulakan perkhidmatan slapd
: ~ # ekor / var / log / syslog

Sekiranya perkhidmatan tidak dimulakan semula dengan betul atau kami melihat kesalahan serius di syslog, jangan putus asa. Kita boleh berusaha memperbaiki kerosakan atau memulakannya semula. Sekiranya kita memutuskan untuk memulakan dari awal pemasangan tamparan, tidak perlu memformat pelayan kami.

Untuk menghapus semua yang telah kita lakukan selama ini untuk satu sebab atau yang lain, kita mesti menyahpasang pakejnya tamparan, dan kemudian padamkan folder / var / lib / ldap. Kita juga mesti meninggalkan fail dalam versi asalnya /etc/ldap/ldap.conf.

Jarang sekali semuanya berfungsi dengan betul pada percubaan pertama. 🙂

Ingat bahawa pada ansuran seterusnya kita akan melihat:

• Pengesahan pengguna tempatan
• Isi pangkalan data
• Menguruskan pangkalan data menggunakan utiliti konsol
• Ringkasan setakat ini ...

Jumpa lagi kawan !.