Shërbimi i direktorisë me LDAP [4]: ​​OpenLDAP (I)

Përshëndetje miq!. Le të fillojmë biznesin dhe siç rekomandojmë gjithmonë, lexoni tre artikujt e mëparshëm në seri:

• Shërbimi i direktorisë me LDAP. Prezantimi.
• Shërbimi i Drejtorisë me LDAP [2]: NTP dhe dnsmasq.
• Shërbimi i Direktorisë me LDAP [3]: Isc-DHCP-Server dhe Bind9.

DNS, DHCP dhe NTP janë shërbimet minimale thelbësore për direktorinë tonë të thjeshtë bazuar në OpenLDAP amtare, punon si duhet në Debian 6.0 "Shtrydh", ose në Ubuntu 12.04 LTS "Pangolin i saktë".

Rrjeti Shembull:

Lan: 10.10.10.0/24
Dominio: amigos.cu
Servidor: mildap.amigos.cu
Sistema Operativo Servidor: Debian 6 "Squeeze
Dirección IP del servidor: 10.10.10.15
Cliente 1: debian7.amigos.cu
Cliente 2: raring.amigos.cu
Cliente 3: suse13.amigos.cu
Cliente 4: seven.amigos.cu

Në pjesën e parë do të shohim:

• Instalimi OpenLDAP (shuplakë 2.4.23-7.3)
• Kontrollon pas instalimit
• Indekset që duhet të merren parasysh
• Rregullat e Kontrollit të Hyrjes në të Dhëna
• Gjenerimi i Certifikatave TLS në Shtrydhje

ndërsa në pjesën e dytë do të vazhdojmë me:

• Vërtetimi i përdoruesit lokal
• Popullo bazën e të dhënave
• Menaxhoni bazën e të dhënave duke përdorur shërbimet e tastierës
• Përmbledhje deri më tani ...

Instalimi OpenLDAP (shuplakë 2.4.23-7.3)

Serveri OpenLDAP është instaluar duke përdorur paketën shuplakë. Ne gjithashtu duhet të instalojmë paketën ldap-utils, i cili na siguron disa mjete nga ana e klientit, si dhe shërbimet e vetë OpenLDAP.

: ~ # aftësi instaloni slapd ldap-utils

Gjatë procesit të instalimit, debkonf Do të na kërkojë fjalëkalimin e administratorit ose përdoruesit «admin« Një numër varësish janë instaluar gjithashtu; është krijuar përdoruesi openldap; krijohet konfigurimi fillestar i serverit si dhe direktoria LDAP.

Në versionet e mëparshme të OpenLDAP, konfigurimi i daemon shuplakë është bërë tërësisht përmes dosjes /etc/ldap/slapd.conf. Në versionin që po përdorim dhe më vonë, konfigurimi bëhet në të njëjtën gjë shuplakë, dhe për këtë qëllim a DIT «Drejtoria e informacionit Pema»Ose Pema e Informacionit të Direktorisë, veç e veç.

Metoda e konfigurimit e njohur si RTC «Konfigurimi në kohë reale»Konfigurimi në kohë reale, ose si Metoda cn = konfigurim, na lejon të konfigurojmë dinamikisht shuplakë pa kërkuar një rinisje të shërbimit.

Baza e të dhënave e konfigurimit përbëhet nga një koleksion i skedarëve të tekstit në format LDIF «Formati i shkëmbimit të të dhënave LDAP»Formati LDAP për Shkëmbimin e të Dhënave, i vendosur në dosje /etj/ldap/slapd.d.

Për të marrë një ide të organizimit të dosjes shuplakë.d, le te vrapojme:

: # ls -lR /etc/ldap/slapd.d/
/etc/ldap/slapd.d/: gjithsej 8 drwxr-x --- 3 openldap openldap 4096 Shkurt 16 11:08 cn = konfigurimi -rw ------- 1 openldap openldap 407 Shk 16 11:08 cn = config.ldif /etc/ldap/slapd.d/cn=config: gjithsej 28 -rw ------- 1 openldap openldap 383 Shk 16 11:08 cn = moduli {0} .ldif drwxr-x --- 2 openldap openldap 4096 Shkurt 16 11:08 cn = skema -rw ------- 1 openldap openldap 325 Shk 16 11:08 cn = skema.ldif -rw ------- 1 openldap openldap 343 Shk 16 11:08 olcBackend = {0} hdb.ldif -rw ------- 1 openldap openldap 472 Shk 16 11:08 olcDatabase = {0} config.ldif -rw ------- 1 openldap openldap 586 Shkurt 16:11 olcDatabase = {- 08} frontend.ldif -rw ------- 1 openldap openldap 1 Shk 1012 16:11 olcDatabase = {08} hdb.ldif /etc/ldap/slapd.d/cn = config / cn = skema: gjithsej 1 -rw ------- 40 openldap openldap 1 Shk 15474 16:11 cn = {08} core.ldif -rw ------- 0 openldap openldap 1 11308 shkurt 16:11 cn = {08} cosine.ldif -rw ------- 1 openldap openldap 1 Shk 6438 16:11 cn = {08} nis.ldif -rw ------- 2 openldap openldap 1 Shkurt 2802 16:11 cn = {08} inetorgperson.ldif

Nëse shohim pak daljen e mëparshme, shohim se backend i përdorur në Squeeze është lloji i bazës së të dhënave hdb, e cila është një variant i BDB "Baza e të dhënave Berkeley", dhe se është plotësisht hierarkike dhe mbështet riemërtimin e nën-pemëve. Për të mësuar më shumë rreth asaj që është e mundur fundi i pasëm që mbështet OpenLDAP, vizitoni http://es.wikipedia.org/wiki/OpenLDAP.

Ne gjithashtu shohim se përdoren tre baza të të dhënave të ndara, domethënë një kushtuar konfigurimit, një tjetër për frontend, dhe e fundit që është baza e të dhënave hdb në vetvete.

Për më tepër, shuplakë është instaluar në mënyrë të paracaktuar me skemat Bërthamë, kosinus, prill e person në internet.

Kontrollon pas instalimit

Në një terminal ne ekzekutojmë dhe lexojmë me qetësi rezultatet. Ne do të kontrollojmë, sidomos me komandën e dytë, konfigurimin e nxjerrë nga listimi i dosjes shuplakë.d.

: ~ # ldapsearch -Q -LLL -Y E JASHTME -H ldapi: /// -b cn = konfigurimi | më shumë: l # ldapsearch -Q -LLL -Y E JASHTME -H ldapi: /// -b cn = konfiguroni dn
dn: cn = konfigurimi dn: cn = moduli {0}, cn = konfigurimi dn: cn = skema, cn = konfigurimi dn: cn = {0} bërthama, cn = skema, cn = konfigurimi dn: cn = {1} kosinus , cn = skema, cn = konfigurimi dn: cn = {2} nis, cn = skema, cn = konfigurimi dn: cn = {3} inetorgperson, cn = skema, cn = konfigurimi dn: olcBackend = {0} hdb, cn = konfigurimi dn: olcDatabase = {- 1} frontend, cn = konfigurimi dn: olcDatabase = {0} konfigurimi, cn = konfigurimi dn: olcDatabase = {1} hdb, cn = konfigurimi

Shpjegimi i secilës dalje:

• cn = konfigurim: Parametrat globalë.
• cn = moduli {0}, cn = konfigurimi: Modul i ngarkuar në mënyrë dinamike.
• cn = skema, cn = konfigurimi: Përmban i koduar fort në nivelin e skemave të sistemit.
• cn = {0} thelbi, cn = skema, cn = konfigurimi: Të i koduar fort të skemës së bërthamës.
• cn = {1} kosinus, cn = skemë, cn = konfigurim: Skema Kosinus
• cn = {2} nis, cn = skemë, cn = konfigurim: Skema Nishit
• cn = {3} inetorgperson, cn = skema, cn = konfigurimi: Skema person në internet.
• olcBackend = {0} hdb, cn = konfigurim: backend lloji i ruajtjes së të dhënave hdb.
• olcDatabase = {- 1} frontend, cn = konfigurim: frontend të bazës së të dhënave dhe parametrat e paracaktuar për bazat e të dhënave të tjera.
• olcDatabase = {0} konfigurimi, cn = konfigurimi: Baza e të dhënave e konfigurimit të shuplakë (cn = konfigurim).
• olcDatabase = {1} hdb, cn = konfigurimi: Shembulli ynë i bazës së të dhënave (dc = miq, dc = cu)

: ~ # ldapsearch -x -LLL -H ldap: /// -b dc = shembull, dc = com dn
dn: dc = miq, dc = cu dn: cn = administrator, dc = miq, dc = cu

• dc = miq, dc = cu: Pema e informacionit të bazës së DIT
• cn = administratori, dc = miqtë, dc = cu: Administratori (rootDN) i DIT i deklaruar gjatë instalimit.

Shënim: Prapashtesa bazë dc = miq, dc = cu, e mori atë debkonf gjatë instalimit nga FQDN nga serveri mildap.amigos.cu.

Indekset që duhet të merren parasysh

Indeksimi i shënimeve kryhet për të përmirësuar performancën e kërkimeve në DIT, me kritere filtri. Indekset që do të shqyrtojmë janë minimumi i rekomanduar sipas atributeve të deklaruara në skemat e paracaktuara.

Për të modifikuar dinamikisht indekset në bazën e të dhënave, ne krijojmë një skedar teksti në format LDIF, dhe më vonë ne e shtojmë atë në bazën e të dhënave. Ne krijojmë skedarin olcDbIndex.ldif dhe e lëmë me përmbajtjen vijuese:

: # nano olcDbIndex.ldif
dn: olcDatabase = {1} hdb, cn = lloji i konfigurimit: modifiko shto: olcDbIndex olcDbIndex: uidNumber eq - shto: olcDbIndex olcDbIndex: gidNumber eq - shto: olcDbIndex olcDbIndex: olUDDI endex: : hyrja Shell eq, olcDbIndex: hyrja - shto: olcDbIndex olcDbIndex: uid pres, nën, eq - shto: olcDbIndex olcDbIndex: cn pres, nën, eq - shto: olcDbIndex olcDbIndex: sn pres, sub, olcDN: olcD , ose pres, eq, nën - shto: olcDbIndex olcDbIndex: shfaq Emrin pres, nën, eq - shto: olcDbIndex olcDbIndex: nën nën - shto: olcDbIndex olcDbIndex: eq mail, nënfjalor - shto: olcDbIndex olcDbIndex olcDbIndex:

Ne shtojmë indekset në bazën e të dhënave dhe kontrollojmë modifikimin:

: ~ # ldapmodify -Y E JASHTME -H ldapi: /// -f ./olcDbIndex.ldif

: ~ # ldapsearch -Q -LLL -Y E JASHTME -H ldapi: /// -b \ cn = konfigurim '(olcDatabase = {1} hdb)' olcDbIndex

dn: olcDatabase = {1} hdb, cn = konfigurim olcDbIndex: objektKlasa eq olcDbIndex: uidNumber, gidNumber eq olcDbIndex: anëtarUid eq, pres, nën olcDbIndex: hyrjaShell eq olcDbIndex: pres, subc, pres, u, pres: cn presq olcDbIndex: sn pres, sub, eq olcDbIndex: dhënë Emri, ose pres, eq, nën olcDbIndex: shfaq Emri pres, nën, eq olcDbIndex: nën nën olcDbIndex: mail eq, olcDbIndex nënfjalor: dc eq

Rregullat e Kontrollit të Hyrjes në të Dhëna

Rregullat që janë vendosur në mënyrë që përdoruesit të mund të lexojnë, modifikojnë, shtojnë dhe fshijnë të dhëna në bazën e të dhënave të Drejtorisë quhen Kontrolli i Hyrjes, ndërsa ne do të quajmë Listat e Kontrollit të Hyrjes ose «Lista e Kontrollit të Hyrjes ACL»Për politikat që konfigurojnë rregullat.

Të dihet cila ACL-të u deklaruan si parazgjedhje gjatë procesit të instalimit të shuplakë, ne ekzekutojmë:

: ~ # ldapsearch -Q -LLL -Y E JASHTME -H ldapi: /// -b \
cn = konfigurimi '(olcDatabase = {1} hdb)' olcAccess

: ~ # ldapsearch -Q -LLL -Y E JASHTME -H ldapi: /// -b \
cn = konfigurimi '(olcDatabase = {- 1} frontend)' olcAccess

: ~ # ldapsearch -Q -LLL -Y E JASHTME -H ldapi: /// -b \
cn = konfigurim '(olcDatabase = {0} konfigurim)' olcAccess

: ~ # ldapsearch -Q -LLL -Y E JASHTME -H ldapi: /// -b \
cn = konfigurimi '(olcAccess = *)' olcAccess olcSuffix

Secila nga komandat e mëparshme do të na tregojë ACL-të që deri më tani ne e kemi deklaruar në Drejtorinë tonë. Konkretisht, komanda e fundit i tregon të gjithë, ndërsa tre të parat na japin rregullat e kontrollit të hyrjes për të tre. DIT përfshirë në tonë shuplakë.

Në temën e ACL-të dhe për të mos bërë një artikull shumë më të gjatë, ju rekomandojmë të lexoni faqet manuale njeri shuplakë.qasja.

Për të garantuar hyrjen e përdoruesve dhe administratorëve për të azhurnuar shënimet e tyre hyrja Shell y Geckos, ne do të shtojmë ACL vijuese:

## Ne krijojmë skedarin olcAccess.ldif dhe e lëmë me përmbajtjen vijuese: ~ # nano olcAccess.ldif
dn: olcDatabase = {1} hdb, cn = konfigurimi changetype: modifikoj add: olcAccess olcAccess: {1} to attrs = loginShell, gecos nga dn = "cn = administratori, dc = shokët, dc = cu" shkruaj vetë shkruaj nga * lexoni

## Ne shtojmë ACL
: ~ # ldapmodify -Y EXTERNAL -H ldapi: /// -f ./olcAccess.ldif

# Ne kontrollojmë ndryshimet
ldapsearch -Q -LLL -Y E JASHTME -H ldapi: /// -b \
cn = konfigurimi '(olcAccess = *)' olcAccess olcSuffix

Gjenerimi i Certifikatave TLS në Shtrydhje

Për të pasur një vërtetim të sigurt me serverin OpenLDAP, ne duhet ta bëjmë atë përmes një seance të koduar të cilën mund ta arrijmë duke përdorur TLS «Siguria e shtresës së transportit» o Shtresa e Sigurt e Transportit.

Serveri OpenLDAP dhe klientët e tij janë në gjendje të përdorin strukturë TLS për të siguruar mbrojtje në lidhje me integritetin dhe konfidencialitetin, si dhe mbështetje për vërtetimin e sigurt të LDAP përmes mekanizmit SASL «Vërtetimi i thjeshtë dhe shtresa e sigurisë« E jashtme.

Serverat modernë OpenLDAP favorizojnë përdorimin e */ StartTLS /* o Filloni një Shtresë të Sigurt Transporti në /LDAPS: ///, e cila është vjetëruar. Ndonjë pyetje, vizitoni * Filloni TLS v. ldaps: // * en http://www.openldap.org/faq/data/cache/605.html

Thjesht lini skedarin siç është instaluar si parazgjedhje / etj / parazgjedhur / shuplakë me deklaratën SLAPD_SERVICES = »ldap: /// ldapi: ///», me qëllim të përdorimit të një kanali të koduar midis klientit dhe serverit, dhe vetë aplikacioneve ndihmëse për të administruar OpenLDAP që janë instaluar lokalisht.

Metoda e përshkruar këtu, bazuar në paketat gutat e koshave y ssl-çert është e vlefshme për Debian 6 "Shtrydh" dhe gjithashtu për Ubuntu Server 12.04. Për Debian 7 "Wheezy" një metodë tjetër e bazuar në OpenSSL.

Gjenerimi i certifikatave në Shtrydhje kryhet si më poshtë:

1.- Ne instalojmë paketat e nevojshme
: ~ # aftësi instaloni gnutls-bin ssl-cert

2.- Ne krijojmë Çelësin Primar për Autoritetin e Certifikimit
: sh # sh -c "certtool --generate-privkey> /etc/ssl/private/cakey.pem"

3.- Ne krijojmë një model për të përcaktuar CA (Autoriteti i Certifikimit)
: n # nano /etc/ssl/ca.info cn = Miqtë Kubanë ca cert_signing_key

4.- Ne krijojmë Certifikatën e Vetë-Nënshkrimit ose Vetë-Nënshkrimit të CA për klientët
: cert # certtool - gjenerohet i vetë-nënshkruar \ - load-privkey /etc/ssl/private/cakey.pem \ --template /etc/ssl/ca.info \ --outfile / etc / ssl / certs cacert.pem

5.- Ne krijojmë një çelës privat për serverin
: cert # certtool --generate-privkey \ --bits 1024 \ --outfile /etc/ssl/private/mildap-key.pem

Shënim: Zëvendëso "butë"në emrin e skedarit më lart për serverin tuaj. Emërtimi i Certifikatës dhe Çelësit, si për serverin ashtu edhe për shërbimin që e përdor atë, na ndihmon t'i mbajmë gjërat qartë.

6.- Ne krijojmë skedarin /etc/ssl/mildap.info me përmbajtjen vijuese:
: n # nano /etc/ssl/mildap.info organizatë = Miqtë Kuban cn = mildap.amigos.cu tls_www_server encryption_key sign_key_dding_keys_days = 3650

Shënim: Në përmbajtjen e mëparshme deklarojmë se çertifikata është e vlefshme për një periudhë kohore prej 10 vjetësh. Parametri duhet të rregullohet për lehtësinë tonë.

7.- Ne krijojmë Certifikatën e Serverit
: cert # certtool - gjenero-certifikatë \ - load-privkey /etc/ssl/private/mildap-key.pem \ --load-ca-certifikatë /etc/ssl/certs/cacert.pem \ --load- ca-privkey /etc/ssl/private/cakey.pem \ --template /etc/ssl/mildap.info \ --outfile /etc/ssl/certs/mildap-cert.pem

Deri më tani ne kemi gjeneruar skedarët e nevojshëm, ne vetëm duhet të shtojmë në Drejtori vendndodhjen e Certifikatës së Vetë-Nënshkruar cacert.pem; atë të Certifikatës së serverit mildap-cert.pem; dhe çelësin privat të serverit butë butë.pem. Ne gjithashtu duhet të rregullojmë lejet dhe pronarin e skedarëve të gjeneruar.

: # nano /etc/ssl/certinfo.ldif
dn: cn = konfigurimi shtoni: olcTLSCACertificateFile olcTLSCACertificateFile: /etc/ssl/certs/cacert.pem - shtoni: olcTLSCertificateFile olcTLSCertificateFile: /etc/ssl/certs/mildap-cert.pem - shtoni: private / olcT -key.pem

8.- Shtojmë: l # ldapmodify -Y EXTERNAL -H ldapi: /// -f /etc/ssl/certinfo.ldif

9.- Ne rregullojmë pronarin dhe lejet
: ~ # adduser openldap ssl-cert: # chgrp ssl-cert /etc/ssl/private/mildap-key.pem: ~ # chmod g + r /etc/ssl/private/mildap-key.pem: # chmod ose /etc/ssl/private/mildap-key.pem

Certifikata cacert.pem Theshtë ai që duhet ta kopjojmë në secilin klient. Që kjo certifikatë të përdoret në vetë serverin, duhet ta deklarojmë atë në skedar /etc/ldap/ldap.conf. Për ta bërë këtë, ne modifikojmë skedarin dhe e lëmë me përmbajtjen e mëposhtme:

: # nano /etc/ldap/ldap.conf
BAZA dc = miq, dc = cu URI ldap: //mildap.amigos.cu TLS_CACERT /etc/ssl/certs/cacert.pem

Më në fund dhe gjithashtu si një kontroll, ne rifillojmë shërbimin shuplakë dhe ne kontrollojmë prodhimin e syslog nga serveri, për të zbuluar nëse shërbimi u rindez siç duhet duke përdorur certifikatën e sapo deklaruar.

:. # rinisni shiritin e shërbimit
: tail # tail / var / log / syslog

Nëse shërbimi nuk rifillon siç duhet ose vërejmë një gabim serioz në syslog, le të mos dekurajohemi. Ne mund të përpiqemi të riparojmë dëmet ose të fillojmë nga e para. Nëse vendosim të fillojmë nga e para instalimin e shuplakë, nuk është e nevojshme të formatojmë serverin tonë.

Për të fshirë gjithçka që kemi bërë deri më tani për një arsye apo një tjetër, duhet të çinstalojmë paketën shuplakë, dhe pastaj fshini dosjen / var / lib / ldap. Ne gjithashtu duhet ta lëmë skedarin në versionin e tij origjinal /etc/ldap/ldap.conf.

Rareshtë e rrallë që gjithçka funksionon si duhet në provën e parë. 🙂

Mos harroni se në këstin tjetër do të shohim:

• Vërtetimi i përdoruesit lokal
• Popullo bazën e të dhënave
• Menaxhoni bazën e të dhënave duke përdorur shërbimet e tastierës
• Përmbledhje deri më tani ...

Shihemi së shpejti miq !.