Adeegga Diiwaanka ee leh OpenLDAP [7 iyo kan ugu dambeeya?]: Maareeyaha Xisaabta Ldap

Saaxiibbo waad salaaman tihiin !. Ma aanan dooneynin inaan daabacno maqaalkan maadaama uu ku dhexjiro compendium qaab PDF ah oo aqristeyaal badani codsadeen. Haa, waxaan qori doonnaa soo koobis kooban oo xiiso leh. Horudhac ahaanna iskudhafkaas, waxaan uqornaa Horudhac:

Dad badan oo mas'uulka ka ah adeegyada shabakadaha ganacsiga, markay la wareegaan shabakad adeegyadoodu ku saleysan yihiin alaabada Microsoft, haddii ay doonayaan inay u haajiraan Linux, waxay tixgeliyaan guuritaanka Domain Controllers iyo adeegyada kale.

Haddii aysan dooranin shey dhinac saddexaad ah sida ClearOS ama Zentyal, ama haddii sababo kale ay rabaan inay madax banaanaadaan, markaa waxay qaadayaan hawsha foosha xun ee noqoshada maamulkooda Domain Controller, ama Samba 4 - ama kuwa kale - tooda Tusaha Firfircoon.

Kadib dhibaatooyinka ayaa bilaabmaya iyo niyad jab kale. Khaladaadka hawlgalka. Ma helaan meesha dhibaatooyinka ka jiraan si ay u xalliyaan. Ku celcelinta iskudajinta rakibida. Hawlaha qayb ka mid ah adeegyada. Iyo liis dheer oo dhibaatooyin ah.

Haddii aan si dhow u fiirsanno, intarneedka intiisa badani ma adeegsado shabakadaha nooca Microsoft. Si kastaba ha noqotee, jawigeena ganacsi waxaan ku qabanaa, wax badan.

Isku soo wada duuboo waxaan isku dayeynaa inaan muujino inaan sameyn karno shabakad ganacsi oo aan lahayn falsafada Microsoft. Adeegyada ku saleysan xaqiijinta isticmaaleyaasha ka soo horjeeda Tusaha OpenLDAP sida: E-Mail, FTP, SFTP, Business Cloud oo ku saleysan Owncloud, iwm.

Waxaan rajeyneynaa inaan soo bandhigno qaab ka duwan kan ku saleysan 100% Software Bilaash ah, taasna uma adeegsaneyso ama ku dayan karin - taas oo kiisku isku mid yahay - falsafada shabakadaha Microsoft, ama Microsoft Software, ama OpenLDAP iyo Samba sida kuwa ugu waaweyn.

Dhammaan xalalka adeegsada barnaamijka bilaashka ah ee Openldap + Samba, waxay daruuri u maraan aqoonta aasaasiga ah ee ah serverka LDAP, sidee baa loo rakibaa, sidee loo qaabeeyaa loona maamulaa, iwm. Markii dambe waxay isku daraan Samba iyo suurto galnimada Kerberos, aakhirkiina waxay na siinayaan inaan "ku dayano" Maamulaha Domainka qaabka Microsoft ee NT 4, ama Tusaha Firfircoon.

Hawl adag runtii markaan fulinno oo aan ka soo koobno ​​xirmooyinka keydka. Kuwii wax bartay oo ku dabaqay dukumintiyada ballaaran ee Samba si fiican ayey u yaqaanaan waxa aan ula jeedno. Samba 4 xitaa waxay soo jeedineysaa maamulka Diiwaankaaga Firfircoon adigoo adeegsanaya qalabka maamulka ee caadiga ah ee aan ka helno Microsoft Active Directory, ha ahaato 2003 ama mid kale oo horumarsan.

Akhrinta lagu taliyay.

https://wiki.debian.org/LDAP
OpenLDAP Software 2.4 Tilmaamaha Maamulaha
Tilmaamaha Server-ka ee Ubuntu 12.04
Qaabeynta Server ee GNU / Linux.

Buug aad u fiican oo ah, El Maestro, Joel Barrios Dueñas ayaa na siinaya taasna waxay si fiican ugu adeegtaa ciyaartoyda Debian, in kasta oo ay ku wajahan tahay CentOS iyo Red Hat.

Maxay yihiin adeegyada iyo barnaamijyada aan qorsheyneyno inaan ku rakibno oo aan qaabeyno?

• Madaxbanaan NTP, DNS iyo DHCP, taasi waa, labadii ugu dambeysay kuma dhexjiraan Tusaha
• Adeegga Tusaha ama «Adeegga Tusaha»Ku saleysan OpenLDAP
• E-Mail, "Citadel" Suite Work Group, FTP iyo SFTP,
• Daruur Ganacsi «OwnCloud«
• Server fayl madax banaan oo ku saleysan Samba.

Xaaladaha oo dhan, howsha xaqiijinta aqoonsiga isticmaaleyaasha waxaa lagu sameyn doonaa ka soo horjeedka Diiwaanka si toos ah, ama loo maro libnss-ldap y PAM waxay kuxirantahay astaamaha barnaamijka softiweerka ah.

Iyo iyada oo aan la sii fahmin, aan u dhaadhacno ganacsiga.

Maareeyaha Xisaabta Ldap

Inta aynaan sii wadin, waa inaynu akhrinaa:

• Adeegga Tusaha ee LDAP. Hordhac
• Adeegga Tusaha ee LDAP [2]: NTP iyo dnsmasq
• Adeegga Tusaha ee LDAP [3]: Isc-DHCP-Server iyo Bind9
• Adeegga Tusaha ee LDAP [4]: ​​OpenLDAP (I)
• Adeegga Tusaha ee LDAP [5]: OpenLDAP (II)
• Adeegga Tusaha ee LDAP [6]: Shahaadooyinka Debian 7 "Wheezy"

Kuwii raacay taxanihii maqaaladii hore waxay ogaan doonaan inaan HORAA u leenahay Tusaha maareynta. Waxaan ku guuleysan karnaa tan siyaabo badan, midkoodna iyada oo loo marayo qalabka korontada lagu xiro ee ku jira xirmada qoraallada, shabakadaha phpLDAPadmin, Maareeyaha Xisaabta Ldap, iwm, kuwaas oo ku jira keydka.

Waxa kale oo jira suurtagalnimada in lagu sameeyo iyada oo loo marayo Hagaha Apache Studio, oo ay tahay inaan ka soo dejino internetka. Culeyskiisu waa 142 megabyte.

Si aad u maamusho Diiwaankayaga, waxaan si adag ugu talineynaa isticmaalka Maareeyaha Xisaabta Ldap. Iyo waxa ugu horreeya ee aan ka oran doonno, waa in rakibideeda ka dib, aan ka heli karno dukumeentiyo kaasoo ku yaal galka / usr / share / doc / ldap-account-manager / docs.

Iyadoo loo marayo Maareeyaha Xisaabta Ldap, wixii hada ka dambeeya LAM, Waan maamuli karnaa isticmaaleyaasha iyo koontooyinka kooxda ee ku kaydsan Diiwaankayaga. LAM wuxuu ku shaqeeyaa server kasta oo bog internet ah oo taageera PHP5, waana ku xiri karnaa iyada oo loo marayo kanaal aan la qarin, ama StartTLS, taas oo ah foomka aan u adeegsan doonno tusaalaheena.

Rakibidda bilowga ah iyo qaabeynta:

: ~ # karti u rakib ldap-account-manager

Ka dib markii la rakibey ah Apache2 -apache2-mpm-prefork-, laga bilaabo PHP5 iyo ku-tiirsanaanta kale, iyo xirmada lafteeda Maamulaha ldap-account, waxa ugu horeeya ee ay tahay inaan sameyno waa inaan ka sameysano xiriir calaamadeysan galka dukumiintiyada LAM illaa galka asalka ah ee dukumiintiyada ku jira adeegeena internetka. Tusaale:

: ~ # ln -s / usr / share / doc / ldap-account-manager / docs / manual / / var / www / lam-docs

Sidan ayaan ku damaanad qaadeynaa helitaanka buuga LAM iyada oo loo marayo shabakad internet, haddii aan tilmaamno cinwaanka http://mildap.amigos.cu/lam-docs.

Marka xigta, aan bilowno qaabeynta LAM lafteeda. Bog furaha ayaan tilmaameynaa http://mildap.amigos.cu/lam.

• Waxaan gujineynaa xiriirka "Qaabeynta LAM".
• Guji xiriiriyaha "Tafatir astaamaha server".
• Waxaan qornaa lambarka sirta ah 'The m' iyada oo aan xigashooyinka.

Bogagga qaabeynta LAM, waxaan wax ka beddeli karnaa cabirro badan iyadoo loo eegayo dookhyadayada iyo baahiyahayaga. Sidii aan marwalba kugula talinaayay inaad ka tagto Fudud oo aad uxirxirto, oo aanan aheyn tan kale, waxaan taaban doonnaa kaliya waxa daruuriga u ah lagama maarmaanka u ah isticmaalka aaladda xoogga leh ee LAM. Haddii ka dib markaan nahay Masters isticmaalka, waxaan dooneynaa inaan wax ka bedelno ama ku darno waxqabadyo, ka dib soo dhaweyn.

• Firfircoon TLS: haa -Waa Lagu taliyay-.
• Kordhinta geedka: dc = saaxiibo, dc = cu
• Luqadda asalka ah: Español (Spain)
• Liiska isticmaaleyaasha saxda ah *: cn = admin, dc = saaxiibo, dc = cu
• Furaha cusub: lambarka sirta ah ee lam
  
• Mar kale gali eraygaaga sir ta ah: lambarka sirta ah ee lam
  

Nota: Isagu * 'waxaa loola jeedaa inay tahay galitaan loo baahan yahay.

Gunta hoose ee bidix waa badhannada ^ Keydso y ^ Jooji. Haddii aan kaydinno isbeddelada hadda, waxay nagu soo celin doontaa bogga hore oo waxaan arki karnaa in luqadda mar hore la beddelay iyo in magaca isticmaalaha uu hadda yahay admin. Kahor wuxuu ahaa Manager. Si kastaba ha noqotee, aan dib ugu noqonno si aan wax uga beddelno-hada Isbaanishka- Dejinta. LAMKA ». Ka dib markaan ku laabanno bogga qaabeynta, waxaan sameyn doonnaa waxyaabaha soo socda:

• Waxaan doorannaa tabta 'Noocyada xisaabaadka'.
• Qeybta 'Noocyada koontada firfircoon' -> 'Users' -> 'LfiP supfix', waxaan qornay: ou = Dadka, dc = saaxiibbada, dc = cu.
• Qeybta 'Noocyada koontada firfircoon' -> 'Kooxaha' -> 'LfiP dhefiye', waxaan qornay: ou = Kooxaha, dc = saaxiibbada, dc = cu.
• Adeegsiga badhanka cinwaankoodu yahay '^ Ka saar koontada noocan ah', waxaan baabi'ineynaa kuwa u dhigma 'Kooxo' y 'Samba domains', oo aynaan isticmaali doonin.
• Waxaan doorannaa tabta 'Module'.
• En 'Isticmaalayaasha', liiska 'Module la xushay', waxaan u wareejineynaa moduleka 'Samba 3 (sambaSamAccount)' liiska 'Module La Heli Karo'.
• En 'Kooxo', liiska 'Module la xushay', waxaan u wareejineynaa moduleka 'Samba 3 (sambaGroupMapping)' liiska 'Module La Heli Karo'.

Waqtigaan la joogo, iyo ilaa aan ka baranayno qaabeynta LAM, halkaas ayaan kaga tagi doonnaa.

Waxaan keydineynaa isbeddelada waxaanan ku laabaneynaa bogga hore, halkaas oo aan ku qoreyno lambarka sirta isticmaalaha admin (cn = admin, dc = saaxiibo, dc = cu), ayaa lagu dhawaaqay intii lagu jiray rakibidda dharbaaxay. Haddii aad soo celiso qalad, hubi in /etc/ldap/ldap.conf waxaa si sax ah loogu qaabeeyey server-ka laftiisa. Waxaa laga yaabaa inaad haysato waddo khaldan oo ku aaddan shahaadada TLS ama qalad kale. Xusuusnow waa inay u egtahay sidan:

BASE dc = saaxiibo, dc = cu URI ldap: //mildap.amigos.cu # TLS shahaadooyin (oo loogu baahan yahay GnuTLS) TLS_CACERT /etc/ssl/certs/cacert.pem

Marka aan ku jirno LAM, waa inaan wakhti ku qaadano barashadeeda KA HOR intaanan beddelin qaabeyn kasta. Interface-keedu waa mid dareen leh oo si fudud loo isticmaali karo. Isticmaal oo hubi.

Kormeerka: Dukumentiga http://mildap.amigos.cu/lam-docs/ch02s02.html#confTypicalScenarios, waxaan ka akhrisan karnaa dhamaadka:

Hal tusaha LDAP oo adeegsadayaal badan (> 10 000)
LAM waxaa lagu tijaabiyey inay la shaqeyso 10 oo isticmaale. Haddii aad leedahay isticmaaleyaal badan oo dheeraad ah markaa asal ahaan waxaad leedahay laba ikhtiyaar.

• U kala qaybi geedkaaga LDAP cutubyada ururada: Tani badanaa waa ikhtiyaarka ugu waxqabadka wanaagsan. Xisaabaadkaaga ku rido dhowr qaybood oo urur ah oo aad u dejiso LAM sida ku jirta muuqaalka kore ee kor ku xusan.
• Kordhi xadka xusuusta: Kordhi cabirka xasuusta_limit ee ku jira php.ini. Tani waxay u oggolaaneysaa LAM inay aqriso waxyaabo badan oo qoritaan ah. Laakiin tani waxay yareyn doontaa waqtiyada jawaabta ee LAM.

Aynu noqono Hal-abuur iyo Nidaam ku Jira Maamulka Diiwaankayaga.

Siyaasadaha amniga erayga sirta ah, iyo dhinacyada kale ee loo maro LAM

• Waxaan gujineynaa xiriirka «Qaabeynta LAM».
• Guji xiriiriyaha "Tafatir goobaha guud".
• Waxaan qornaa lambarka sirta ah 'The m' iyada oo aan xigashooyinka.

Boggaasna waxaan ka helaynaa Nidaamyada Sirta, Dookhyada Amniga, Marti-geliyaasha La Oggol yahay, iyo kuwa kale

Nota: Qaabeynta LAM ayaa lagu keydiyay gudaha /usr/share/ldap-account-manager/config/lam.conf.

Waxaan awood u siineynaa https inuu ku xirmo LAM si badbaado leh:

: ~ # a2ensite default-ssl
: ~ # a2enmod ssl
: ~ # /etc/init.d/apache2 dib u bilaw

Markii aan karti u siino qaabkii hore, waxaan la shaqeyneynaa shahaadooyinka Apache ay ku dhaliso si aan caadi aheyn, oo aan ka tarjumeyno qeexitaanka martigeliyaha martigelinta default-ssl. Haddii aan rabno inaan adeegsanno shahaadooyin kale oo aan annaga iska soo saarnay, fadlan aan tashanno /usr/share/doc/apache2.2-common/README.Debian.gz. Shahaadooyinka laga hadlayo waxaa loo yaqaan "Saliida Mas" o Saliida Maska, waxaana laga helaa:

/etc/ssl/certs/ssl-cert-snakeoil.pem
/etc/ssl/private/ssl-cert-snakeoil.key

Aynu tilmaanno biraawsarka https://mildap.amigos.cu, waana aqbalnaa shahaadada. Markaas ayaan tilmaameynaa https://mildap.amigos.cu/lam oo waxaan horeyba uga shaqeyn karnaa https LAM.

Muhiim: haddii inta lagu guda jiro hawsha bilowga server, ka Bixi qaadashada waqti dheer ayey qaadataa, rakib bedelka miisaanka fudud ssmtp.

: ~ # karti u rakib ssmtp
 Baakadaha soo socda ayaa la rakibayaa: ssmtp {b} 0 baakado la cusboonaysiiyay, 1 cusub oo rakibay, 0 laga saarayo iyo 0 oo aan la cusbooneysiin. Waxaan u baahanahay inaan kala soo baxo 52,7 kB faylal ah. Furitaanka ka dib 8192 B ayaa la isticmaali doonaa. Ku xirnaanshaha xirmooyinka soosocda kuma qanacsana: exim4-config: Conflicts: ssmtp but 2.64-4 waa la rakibi doonaa. exim4-daemon-light: Isku dhacyada: isku-dirirka-boostada-wakiilka oo ah xirmo dalwad ah. ssmtp: Isku dhacyada: boostada-gaadiidka-wakiilka oo ah xirmo dalwad ah. Tallaabooyinka soo socda ayaa xallin doona ku-tiirsanaantaan Ka saar xirmooyinka soo socda: 1) exim4 2) exim4-base 3) exim4-config 4) exim4-daemon-light Ma aqbashaa xalkaan? [Y / n / q /?] Iyo

Kadibna waxaan fulinnaa:

: ~ # aptitude purge ~ c: ~ # aptitude nadiif: ~ # autoclean nadiif ah: ~ # reboot

Haddii aad la shaqeyneyso server-yada casriga ah, tani waxay noqon laheyd waqti fiican oo aad ku kaydiso kaydinta dhammaan server-ka weyn… haddii ay dhacdo. 🙂

Kucelin. Kaydi oo soo celi kaydinta macluumaadka.

Tilmaamaha ku habboon - kaas oo aan kugula talineyno qof walba inuu akhriyo oo wax barto - «Tilmaamaha Server Ubuntu»Laga soo bilaabo Ubuntu Server 12.04« Precise », waxaa jira sharaxaad faahfaahsan oo ku saabsan qaybo ka mid ah koodhka oo aan ka qornay OpenLDAP iyo jiilka shahaadooyinka TLS, iyo weliba, Diiwaangelinta Tusaha ayaa si faahfaahsan looga hadlay, iyo sida loo sameeyo Keydka iyo Soo celinta keydka macluumaadka.

Si kastaba ha noqotee, halkan waa nidaam dib loogu soo celiyo dhammaan macluumaadka kaydinta haddii ay dhacdo musiibo.

Aad muhiim u ah:

Waa inaan marwalba haysano feylkii la dhoofiyey oo aan gacanta ku hayno Maareeyaha Xisaabta Ldap kayd ahaan xogteenna. Dabcan, feylka cn = amigos.ldif waa inuu u dhigmaa rakibaaddayada. Waxaan sidoo kale ku heli karnaa iyada oo loo marayo amarka dharbaaxada sida aan dib u arki doono goor dambe.

1.- Waxaan baabi'ineynaa rakibaadda slapd-ga oo keliya.

: ~ # aptitude purge slpad

2. - Waxaan nadiifinaa nidaamka xirmada

: ~ # aptitude rakib -f: ~ # aptitude purge ~ c: ~ # aptitude nadiif ah: ~ # autoptan nadiif ah

3.- Waxaan gabi ahaanba tirtirnaa diiwaanka Kaydka

: ~ # rm -r / var / lib / ldap / *

4. - Waxaan dib u cusbooneysiineynaa daemon slapd iyo ku tiirsanaantiisa

: ~ # aptitude rakibi slapd

5.- Waan hubinnaa

: ~ # ldapsearch -Q -LLL -Y EXTERNAL -H ldapi: /// -b cn = config dn: ~ # ldapsearch -x -LLL -H ldap: /// -b dc = saaxiibo, dc = cu dn

6.- Kudar isla faylka tuska ee olcDbIndex.ldif

: ~ # ldapmodify -Y EXTERNAL -H ldapi: /// -f ./olcDbIndex.ldif

7.- Waxaan hubinaa tusmooyinka lagu daray

: ~ # ldapsearch -Q -LLL -Y EXTERNAL -H ldapi: /// \ -b cn = config '(olcDatabase = {1} hdb)' olcDbIndex

8. - Waxaan ku darnaa isla Xeerka Xakamaynta Helitaanka

: ~ # ldapmodify -Y EXTERNAL -H ldapi: /// -f ./olcAccess.ldif

9.- Waxaan hubineynaa Xeerarka Xakamaynta Soo-galista

: ~ # ldapsearch -Q -LLL -Y EXTERNAL -H ldapi: /// \ -b cn = config '(olcAccess = *)' olcAccess olcSuffix

10. - Waxaan ku darnaa Shahaadooyinka TLS. Looma baahna dib u dhiska ama hagaajinta rukhsadaha. Waxay horeyba uga jireen nidaamka faylasha, laakiin laguma dhawaaqin keydka macluumaadka.

: ~ # ldapmodify -Y EXTERNAL -H ldapi: /// -f /etc/ssl/certinfo.ldif

11.- Waxaan ku darnaa waxyaabaha sida ku xusan keydkeena

: ~ # ldapadd -x -D cn = admin, dc = saaxiibo, dc = cu -W -f dc = saaxiibo.ldif

Ha dib u bilaabin dharbaaxada maxaa yeelay waxa ay ka turjumaysaa keydka macluumaadka waana la kharribi karaa !!! MAR WALBA wax ka bedel faylkaaga keydka ah KAhor intaadan kudarin, si aanad u galin qoraalada jira.

Waxaan farta ku fureynaa biraawsar https://mildap.amigos.cu/lam waana hubinaynaa.

Amarka dharbaaxada

Amarka dharbaaxid Badanaa waxaa loo isticmaalaa in lagu soo saaro qaab LDIF ah, waxa ku jira keydka xogta wax ka qabata dharbaaxay. Amarku wuxuu furayaa xog-ururin lagu go'aamiyay nambarkiisa ama ku-xirnaanta, wuxuuna ku qoraa feyl u dhigma qaabka LDIF shaashadda. Macluumaadka macluumaadka ee loo qaabeeyey inay yihiin kuwa hoose ayaa sidoo kale la muujiyaa, haddii aanan cayimin xulashada -g.

Xaddidaadda ugu muhiimsan ee adeegsiga amarkan ayaa ah in aan la fulin marka dharbaaxay, ugu yaraan qaabka qorista, si loo hubiyo joogtaynta xogta.

Tusaale ahaan, haddii aan dooneyno inaan sameysano nuqul keyd ah oo ku saabsan keydka Kaydka macluumaadka, oo loo sameeyo feyl la magacaabay keyd-slapd.ldif, waxaan fulin:

: ~ # joogsiga adeegga slapd: ~ # slapcat -l backup-slapd.ldif: ~ # adeegga slapd bilaabid

Sawirada LAM