Serbisyo sa Direktoryo na may LDAP [4]: ​​OpenLDAP (I)

Kumusta Mga Kaibigan!. Suriin natin ang bagay na ito, at tulad ng lagi naming inirerekumenda na basahin ang tatlong nakaraang mga artikulo sa serye:

• Serbisyo sa Direktoryo kasama ang LDAP. Panimula.
• Serbisyo sa Direktoryo na may LDAP [2]: NTP at dnsmasq.
• Serbisyo sa Direktoryo na may LDAP [3]: Isc-DHCP-Server at Bind9.

Ang DNS, DHCP at NTP ay ang pinakamaliit na mahahalagang serbisyo para sa aming simpleng direktoryo batay sa OpenLDAP katutubong, gumagana nang maayos sa Debian 6.0 "Squeeze", o sa Ubuntu 12.04 LTS na "Precise Pangolin".

Halimbawa ng network:

Lan: 10.10.10.0/24
Dominio: amigos.cu
Servidor: mildap.amigos.cu
Sistema Operativo Servidor: Debian 6 "Squeeze
Dirección IP del servidor: 10.10.10.15
Cliente 1: debian7.amigos.cu
Cliente 2: raring.amigos.cu
Cliente 3: suse13.amigos.cu
Cliente 4: seven.amigos.cu

Sa Bahagi Uno makikita natin:

• Pag-install ng OpenLDAP (sampal 2.4.23-7.3)
• Mga tseke pagkatapos ng pag-install
• Mga indeks upang isaalang-alang
• Mga Panuntunan sa Pagkontrol sa Pag-access ng Data
• Pagbuo ng TLS Mga Sertipiko sa Squeeze

habang sa Ikalawang Bahagi magpapatuloy kami sa:

• Pagpapatotoo ng lokal na gumagamit
• Populate ang database
• Pamahalaan ang database gamit ang mga utility ng console
• Buod sa ngayon ...

Pag-install ng OpenLDAP (sampal 2.4.23-7.3)

Ang OpenLDAP server ay naka-install gamit ang package sampal. Dapat din nating mai-install ang package ldap-utils, na nagbibigay sa amin ng ilang mga tool sa panig ng kliyente, pati na rin ang sariling mga utility ng OpenLDAP.

: ~ # aptitude i-install ang slapd ldap-utils

Sa panahon ng proseso ng pag-install, ang debconf Hihilingin sa amin ang password ng administrator o gumagamit «admin«. Ang isang bilang ng mga dependency ay naka-install din; ang gumagamit ay nilikha openldap; ang paunang pagsasaayos ng server ay nilikha pati na rin ang direktoryo ng LDAP.

Sa mga naunang bersyon ng OpenLDAP, ang pagsasaayos ng daemon sampal ay tapos na sa pamamagitan ng file /etc/ldap/slapd.conf. Sa bersyon na ginagamit namin at sa paglaon, ang pagsasaayos ay tapos na sa pareho sampal, at para sa hangaring ito a DIT «Tree Impormasyon sa Direktoryo»O Tree Directory Information, magkahiwalay.

Ang paraan ng pagsasaayos na kilala bilang RTC «Pag-configure ng Real Time»Real Time Configuration, o bilang Pamamaraan cn = config, ay nagbibigay-daan sa amin upang pabagu-configure ang sampal nang hindi nangangailangan ng isang restart ng serbisyo.

Ang database ng pagsasaayos ay binubuo ng isang koleksyon ng mga file ng teksto sa format LDIF «Format ng Palitan ng Data ng LDAP»Format ng LDAP para sa Data Exchange, na matatagpuan sa folder /etc/ldap/slapd.d.

Upang makakuha ng ideya ng samahan ng folder sampal.d, tumakbo tayo:

: ~ # ls -lR /etc/ldap/slapd.d/
/etc/ldap/slapd.d/: kabuuang 8 drwxr-x --- 3 openldap openldap 4096 Peb 16 11:08 cn = config -rw ------- 1 openldap openldap 407 Peb 16 11:08 cn = config.ldif /etc/ldap/slapd.d/cn=config: total 28 -rw ------- 1 openldap openldap 383 Peb 16 11:08 cn = module {0} .ldif drwxr-x --- 2 openldap openldap 4096 Peb 16 11:08:1 cn = schema -rw ------- 325 openldap openldap 16 Peb 11 08 1:343 cn = schema.ldif -rw ------- 16 openldap openldap 11 Peb 08 0:1 olcBackend = {472} hdb.ldif -rw ------- 16 openldap openldap 11 Peb 08 0 1:586 olcDatabase = {16} config.ldif -rw ------- 11 openldap openldap 08 Peb 1 1:1012 olcDatabase = {- 16} frontend.ldif -rw ------- 11 openldap openldap 08 Peb 1 40:1 olcDatabase = {15474} hdb.ldif /etc/ldap/slapd.d/cn = config / cn = schema: total 16 -rw ------- 11 openldap openldap 08 Peb 0 1:11308 cn = {16} core.ldif -rw ------- 11 openldap openldap 08 Peb 1 1:6438 cn = {16} cosine.ldif -rw ------- 11 openldap openldap 08 Peb 2 1:2802 cn = {16} nis.ldif -rw ------- 11 openldap openldap 08 Peb 3 XNUMX:XNUMX cn = {XNUMX} inetorgperson.ldif

Kung titingnan natin nang kaunti ang nakaraang output, nakikita natin na ang backend ginamit sa Squeeze ay ang uri ng database hdb, na kung saan ay isang pagkakaiba-iba ng bdb "Berkeley Database", at ito ay ganap na hierarchical at sinusuportahan ang pagpapalit ng pangalan ng mga sub-puno. Upang matuto nang higit pa tungkol sa maaari Mga backend na sumusuporta sa OpenLDAP, bumisita http://es.wikipedia.org/wiki/OpenLDAP.

Nakita rin namin na tatlong magkakahiwalay na mga database ang ginagamit, iyon ay, isang nakatuon sa pagsasaayos, isa pa Frontend, at ang huling isa na ang database hdb per se.

Bukod dito, sampal ay naka-install bilang default sa mga eskematiko Ubod, Cosine, Nis e tao sa internet.

Mga tseke pagkatapos ng pag-install

Sa isang terminal mahinahon kaming nagpapatupad at nagbasa ng mga output. Susuriin namin, lalo na sa pangalawang utos, ang pagsasaayos ay nabawas mula sa listahan ng folder sampal.d.

: ~ # ldapsearch -Q -LLL -Y EXternalAL -H ldapi: /// -b cn = config | higit pa: ~ # ldapsearch -Q -LLL -Y EXternalAL -H ldapi: /// -b cn = config dn
dn: cn = config dn: cn = module {0}, cn = config dn: cn = schema, cn = config dn: cn = {0} core, cn = schema, cn = config dn: cn = {1} cosine , cn = schema, cn = config dn: cn = {2} nis, cn = schema, cn = config dn: cn = {3} inetorgperson, cn = schema, cn = config dn: olcBackend = {0} hdb, cn = config dn: olcDatabase = {- 1} frontend, cn = config dn: olcDatabase = {0} config, cn = config dn: olcDatabase = {1} hdb, cn = config

Paliwanag ng bawat output:

• cn = config: Mga pandaigdigang parameter.
• cn = module {0}, cn = config: Dynamic na na-load na module.
• cn = schema, cn = config: Naglalaman ng hard-code sa antas ng mga system skema.
• cn = {0} core, cn = schema, cn = config: Ang hard-code ng skema ng kernel.
• cn = {1} cosine, cn = schema, cn = config: Ang plano Magtahi.
• cn = {2} nis, cn = schema, cn = config: Ang plano Nis.
• cn = {3} inetorgperson, cn = schema, cn = config: Ang plano tao sa internet.
• olcBackend = {0} hdb, cn = config: backend uri ng imbakan ng data hdb.
• olcDatabase = {- 1} frontend, cn = config: Frontend ng database at mga default na parameter para sa iba pang mga database.
• olcDatabase = {0} config, cn = config: Ang pagsasaayos ng database ng sampal (cn = config).
• olcDatabase = {1} hdb, cn = config: Ang aming halimbawa ng database (dc = mga kaibigan, dc = cu)

: ~ # ldapsearch -x -LLL -H ldap: /// -b dc = halimbawa, dc = com dn
dn: dc = mga kaibigan, dc = cu dn: cn = admin, dc = mga kaibigan, dc = cu

• dc = mga kaibigan, dc = cu: DIT Base Direktoryo ng Puno ng Impormasyon
• cn = admin, dc = mga kaibigan, dc = cu: Administrator (rootDN) ng DIT na idineklara sa panahon ng pag-install.

Nota: Ang base panlapi dc = mga kaibigan, dc = cu, kinuha debconf sa panahon ng pag-install mula sa FQDN server banayad.amigos.cu.

Mga indeks upang isaalang-alang

Isinasagawa ang pag-index ng mga entry upang mapabuti ang pagganap ng mga paghahanap sa DIT, na may pamantayan sa filter. Ang mga index na isasaalang-alang namin ay ang pinakamaliit na inirekumenda alinsunod sa mga katangiang idineklara sa mga default na iskema.

Upang mabago ang pagbabago ng mga index sa database, lumilikha kami ng isang text file sa format LDIF, at sa paglaon idinagdag namin ito sa database. Lumilikha kami ng file olcDbIndex.ldif at iniiwan namin ito sa sumusunod na nilalaman:

: ~ # nano olcDbIndex.ldif
dn: olcDatabase = {1} hdb, cn = config changetype: modify add: olcDbIndex olcDbIndex: uidNumber eq - add: olcDbIndex olcDbIndex: gidNumber eq - add: olcDbIndex olcDbIndex: memberUid eqd, olcDbIndex olcDb : loginShell eq, olcDbIndex: pag-login - pagdagdag: olcDbIndex olcDbIndex: uid pres, sub, eq - add: olcDbIndex olcDbIndex: cn pres, sub, eq - add: olcDbIndex olcDbIndex: sn pres, sub, eqb addnd , ou pres, eq, sub - add: olcDbIndex olcDbIndex: displayName pres, sub, eq - add: olcDbIndex olcDbIndex: default sub - add: olcDbIndex olcDbIndex: mail eq, subinitial - add: olcDbIndex olcDbInd:

Idinagdag namin ang mga index sa database at suriin ang pagbabago:

: ~ # ldapmodify -Y EXternalAL -H ldapi: /// -f ./olcDbIndex.ldif

: ~ # ldapsearch -Q -LLL -Y EXternalAL -H ldapi: /// -b \ cn = config '(olcDatabase = {1} hdb)' olcDbIndex

dn: olcDatabase = {1} hdb, cn = config olcDbIndex: objectClass eq olcDbIndex: uidNumber, gidNumber eq olcDbIndex: memberUid eq, pres, sub olcDbIndex: loginShell eq olcDbIndex: uid pres, subq, cqqc olcDbIndex: sn pres, sub, eq olcDbIndex: givenName, ou pres, eq, sub olcDbIndex: displayName pres, sub, eq olcDbIndex: default sub olcDbIndex: mail eq, subinitial olcDbIndex: dc eq

Mga Panuntunan sa Pagkontrol sa Pag-access ng Data

Ang mga patakarang itinatag upang ang mga gumagamit ay mabasa, mabago, magdagdag at magtanggal ng data sa database ng Direktoryo ay tinatawag na Access Control, habang tatawagin namin ang Mga Listahan ng Control ng Control o «Listahan ng Kontrol sa ACL Access»Sa mga patakaran na nag-configure ng mga patakaran.

Para malaman kung alin Mga ACL ay idineklara bilang default sa panahon ng proseso ng pag-install ng sampal, isinasagawa namin:

: ~ # ldapsearch -Q -LLL -Y EXternalAL -H ldapi: /// -b \
cn = config '(olcDatabase = {1} hdb)' olcAccess

: ~ # ldapsearch -Q -LLL -Y EXternalAL -H ldapi: /// -b \
cn = config '(olcDatabase = {- 1} frontend)' olcAccess

: ~ # ldapsearch -Q -LLL -Y EXternalAL -H ldapi: /// -b \
cn = config '(olcDatabase = {0} config)' olcAccess

: ~ # ldapsearch -Q -LLL -Y EXternalAL -H ldapi: /// -b \
cn = config '(olcAccess = *)' olcAccess olcSuffix

Ang bawat isa sa mga naunang utos ay magpapakita sa amin ng Mga ACL na hanggang ngayon ay idineklara namin sa aming Direktoryo. Partikular, ang huling utos ay nagpapakita sa kanilang lahat, habang ang unang tatlo ay nagbibigay sa amin ng mga panuntunan sa kontrol sa pag-access para sa lahat ng tatlo. DIT kasangkot sa aming sampal.

Sa paksa ng Mga ACL at upang hindi makagawa ng isang mas mahabang artikulo, inirerekumenda namin ang pagbabasa ng mga manu-manong pahina sampal ng tao. access.

Upang garantiya ang pag-access ng mga gumagamit at administrador upang i-update ang kanilang mga entry ng pag-loginShell y Geckos, idaragdag namin ang sumusunod na ACL:

## Lumilikha kami ng olcAccess.ldif file at iniiwan ito sa sumusunod na nilalaman: ~ # nano olcAccess.ldif
dn: olcDatabase = {1} hdb, cn = config changetype: modify add: olcAccess olcAccess: {1} to attrs = loginShell, gecos by dn = "cn = admin, dc = friends, dc = cu" isulat ng sarili mong isulat ni * basahin

## Nagdagdag kami ng ACL
: ~ # ldapmodify -Y EXternalAL -H ldapi: /// -f ./olcAccess.ldif

# Sinusuri namin ang mga pagbabago
ldapsearch -Q -LLL -Y EXternalAL -H ldapi: /// -b \
cn = config '(olcAccess = *)' olcAccess olcSuffix

Pagbuo ng Mga Sertipiko TLS sa Pigilan

Upang magkaroon ng isang ligtas na pagpapatotoo sa OpenLDAP server, dapat nating gawin ito sa pamamagitan ng isang naka-encrypt na sesyon na makakamit natin sa pamamagitan ng paggamit ng TLS «Seguridad sa Layer ng Transport» o Secure Transport Layer.

Ang OpenLDAP server at ang mga kliyente nito ay magagamit ang balangkas TLS upang magbigay ng proteksyon tungkol sa integridad at pagiging kompidensiyal, pati na rin upang suportahan ang ligtas na pagpapatunay ng LDAP sa pamamagitan ng mekanismo SASL «Simpleng Pagpapatotoo at Security Layer« Panlabas

Pinapaboran ng modernong mga server ng OpenLDAP ang paggamit ng */ StartTLS /* o Magsimula ng isang Secure Transport Layer sa / protocolLDAPS: ///, na kung saan ay lipas na. Anumang mga katanungan, bisitahin ang * Start TLS v. ldaps: // * en http://www.openldap.org/faq/data/cache/605.html

Iwanan lamang ang file bilang naka-install bilang default / etc / default / slapd kasama ang pahayag SLAPD_SERVICES = »ldap: /// ldapi: ///», na may layunin na gumamit ng isang naka-encrypt na channel sa pagitan ng client at ng server, at ang mga aplikasyon ng auxiliary mismo upang pamahalaan ang OpenLDAP na nai-install nang lokal.

Ang pamamaraan na inilarawan dito, batay sa mga pakete gnutls-bin y ssl-cert wasto ito para sa Debian 6 "Squeeze" at para din sa Ubuntu Server 12.04. Para kay Debian 7 "Wheezy" ibang pamamaraan batay sa OpenSSL.

Ang pagbuo ng mga sertipiko sa Squeeze ay isinasagawa tulad ng sumusunod:

1.- Nag-i-install kami ng mga kinakailangang package
: ~ # aptitude i-install ang gnutls-bin ssl-cert

2.- Lumilikha kami ng Pangunahing Susi para sa Awtoridad ng Sertipiko
: ~ # sh -c "certtool --generate-privkey> /etc/ssl/private/cakey.pem"

3.- Lumilikha kami ng isang template upang tukuyin ang CA (Certificate Authority)
: ~ # nano /etc/ssl/ca.info cn = Mga Kaibigan ng Cuban ca cert_signing_key

4.- Lumilikha kami ng CA Self Signed o Self-Signed Certificate para sa mga kliyente
: ~ # certtool --generate-self-signed \ --load-privkey /etc/ssl/private/cakey.pem \ --template /etc/ssl/ca.info \ --outfile / etc / ssl / certs / cacert.pem

5.- Bumubuo kami ng isang Pribadong Susi para sa Server
: ~ # certtool --generate-privkey \ --bits 1024 \ --outfile /etc/ssl/private/mildap-key.pem

Nota: Palitan "banayad"sa pangalan ng file sa itaas ng sa iyong sariling server. Ang pagpapangalan sa Sertipiko at Susi, kapwa para sa server at para sa serbisyong gumagamit nito, ay tumutulong sa amin na panatilihing malinaw ang mga bagay.

6.- Lumilikha kami ng file /etc/ssl/mildap.info kasama ang sumusunod na nilalaman:
: ~ # nano /etc/ssl/mildap.info samahan = Mga Kaibigan ng Cuba cn = mildap.amigos.cu tls_www_server encryption_key sign_key expiration_day = 3650

Nota: Sa nakaraang nilalaman idineklara namin na ang sertipiko ay may bisa para sa isang tagal ng panahon ng 10 taon. Dapat ayusin ang parameter sa aming kaginhawaan.

7.- Lumilikha kami ng Server Certificate
: ~ # certtool --generate-certificate \ --load-privkey /etc/ssl/private/mildap-key.pem \ --load-ca-certificate /etc/ssl/certs/cacert.pem \ --load- ca-privkey /etc/ssl/private/cakey.pem \ --template /etc/ssl/mildap.info \ --outfile /etc/ssl/certs/mildap-cert.pem

Sa ngayon ay nakabuo kami ng mga kinakailangang file, idagdag lamang sa Direktoryo ang lokasyon ng Sertipiko na Signed ng Sarili cacert.pem; ng Sertipiko ng Server banayad-cert.pem; at ang Pribadong Susi ng Server mildap-key.pem. Dapat din nating ayusin ang mga pahintulot at may-ari ng mga nabuong file.

: ~ # nano /etc/ssl/certinfo.ldif
dn: cn = config add: olcTLSCACertSCFile olcTLSCACert CertificateFile: /etc/ssl/certs/cacert.pem - idagdag: olcTLSCert CertificateFile olcTLSCert sijilFile: /etc/ssl/certs/mildap-cert.pem - idagdag: olcTLSCerteyFileSertertFileSertertFileSertertFileScourseFile: atbp /mildap-key.pem

8.- Idagdag: ~ # ldapmodify -Y EXternalAL -H ldapi: /// -f /etc/ssl/certinfo.ldif

9.- Inaayos namin ang may-ari at mga pahintulot
: ~ # adduser openldap ssl-cert: ~ # chgrp ssl-cert /etc/ssl/private/mildap-key.pem: ~ # chmod g + r /etc/ssl/private/mildap-key.pem: ~ # chmod o /etc/ssl/private/mildap-key.pem

Ang sertipiko cacert.pem Ito ang dapat nating kopyahin sa bawat kliyente. Para magamit ang sertipiko na ito sa server mismo, dapat namin itong ideklara sa file /etc/ldap/ldap.conf. Upang magawa ito, binago namin ang file at iniiwan ito sa sumusunod na nilalaman:

: ~ # nano /etc/ldap/ldap.conf
BASE dc = mga kaibigan, dc = cu URI ldap: //mildap.amigos.cu TLS_CACERT /etc/ssl/certs/cacert.pem

Sa wakas at bilang tseke din, restart namin ang serbisyo sampal at suriin namin ang output ng syslog mula sa server, upang malaman kung ang serbisyo ay na-restart nang maayos gamit ang bagong idineklarang sertipiko.

: ~ # service slapd restart
: ~ # buntot / var / log / syslog

Kung ang serbisyo ay hindi muling restart nang tama o sinusunod namin ang isang seryosong error sa syslog, huwag tayong panghinaan ng loob. Maaari naming subukang ayusin ang pinsala o magsimula muli. Kung magpasya kaming magsimula sa simula ang pag-install ng sampal, hindi kinakailangan na mai-format ang aming server.

Upang burahin ang lahat ng nagawa natin sa ngayon para sa isang kadahilanan o iba pa, dapat nating alisin ang pag-uninstall ng package sampal, at pagkatapos ay tanggalin ang folder / var / lib / ldap. Dapat din nating iwan ang file sa orihinal na bersyon /etc/ldap/ldap.conf.

Bihirang gumagana ang lahat nang tama sa unang pagsubok. 🙂

Tandaan na sa susunod na yugto ay makikita natin:

• Pagpapatotoo ng lokal na gumagamit
• Populate ang database
• Pamahalaan ang database gamit ang mga utility ng console
• Buod sa ngayon ...

Magkita tayo mga kaibigan !.