2. 程式人生 > 其它 >基於 CentOS 8 搭建 openLDAP 伺服器

基於 CentOS 8 搭建 openLDAP 伺服器

阿新 • • 發佈：2021-07-05

轉載請註明原文地址：基於 CentOS 8 搭建 openLDAP 伺服器

環境

OS: CentOS 8.4.2105

PHP: 7.4.21

注意

CentOS 7 中可能預設提供了 openLDAP-servers 包，本文中部分流程可能不適用

文中針對 openLDAP 的所有配置中，請將 dc 中的 example、com（例如 dc=example,dc=cn） 根據實際情況修改為自己的域（例如 dc=leviatan,dc=cn）

文中由使用者手動建立的 *.ldif 檔案不要放在 /etc/openldap/slapd.d 目錄下，本文中儲存在 ~/openldap 目錄下

線上大多數文件在 dn

中配置了 olcDatabase={2}hdb,cn=config，但筆者經過測試發現 /etc/openldap/slapd.d/cn=config 目錄下只存在 olcDatabase={2}mdb，故進行了相應更改

安裝 openLDAP

由於 CentOS 8 的倉庫中取消了對 openLDAP-servers 包的支援，這裡使用 Symas 提供的第三方倉庫

wget -q https://repo.symas.com/configs/SOFL/rhel8/sofl.repo -O /etc/yum.repos.d/sofl.repo
dnf clean all
dnf makecache
dnf install symas-openldap-servers symas-openldap-clients

啟動 openLDAP

systemctl start slapd

自啟動

systemctl enable slapd

openLDAP 基礎配置

生成並設定 openLDAP 管理員密碼

openLDAP 中使用 slappasswd 來生成密碼雜湊，將雜湊寫入配置檔案來修改密碼

執行命令後輸出如下

New password:
Re-enter new password:
{SSHA}xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

建立 chrootpw.ldif 檔案，寫入如下配置

dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
  1. dn 配置檔案，這裡指定為 /etc/openldap/slapd.d/cn=config/olcDatabase={0}config 檔案
  2. changetype 指定型別為 modify，更改
  3. add 表示新增 olcRootPw 配置項
  4. 指定 olcRootPW 配置項的值

執行如下命令將配置中的操作動態載入 openLDAP 伺服器

ldapadd -Y EXTERNAL -H ldapi:/// -f chrootpw.ldif

輸出如下，表示操作成功

SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "olcDatabase={0}config,cn=config"

匯入基本 schema

openLDAP Server 預設提供了一些基本 schema 位於 /etc/openldap/schema 目錄下，這些 schema 控制著條目擁有哪些物件類和屬性，可以自行選擇需要的進行匯入，這裡將所有 schema 都匯入進去

ls /etc/openldap/schema/*.ldif | xargs -I {} ldapadd -Y EXTERNAL -H ldapi:/// -f {}

修改域並建立域管理賬戶

使用 slappasswd 命令為域管理員賬戶建立密碼，記錄雜湊

建立 chdomain.ldif 檔案並寫入如下配置

dn: olcDatabase={1}monitor,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to *
   by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read
   by dn.base="cn=admin,dc=example,dc=com" read
   by * none

dn: olcDatabase={2}mdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=example,dc=com

dn: olcDatabase={2}mdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=admin,dc=example,dc=com

dn: olcDatabase={2}mdb,cn=config
changetype: modify
replace: olcRootPW
olcRootPW: {SSHA}xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

dn: olcDatabase={2}mdb,cn=config
changetype: modify
add: olcAccess
olcAccess: {0}to attrs=userPassword,shadowLastChange
   by dn="cn=admin,dc=example,dc=com" write
   by anonymous auth
   by self write
   by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to *
   by dn="cn=admin,dc=example,dc=com" write
   by * read

載入修改

ldapmodify -Y EXTERNAL -H ldapi:/// -f chdomain.ldif

輸出如下，表示操作成功

SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "olcDatabase={1}monitor,cn=config"

modifying entry "olcDatabase={2}mdb,cn=config"

modifying entry "olcDatabase={2}mdb,cn=config"

modifying entry "olcDatabase={2}mdb,cn=config"

modifying entry "olcDatabase={2}mdb,cn=config"

啟用 memberof 模組

這個模組的作用是當你建一個組的時候，把一些使用者新增到這個組裡去，它會自動給這些使用者新增一個 memberOf 屬性，有很多應用需要檢查這個屬性。

建立 add_memberof.ldif 檔案並寫入如下配置

dn: cn=module{0},cn=config
cn: modulle{0}
objectClass: olcModuleList
objectclass: top
olcModuleload: memberof.la
olcModulePath: /usr/lib64/openldap

dn: olcOverlay={0}memberof,olcDatabase={2}mdb,cn=config
objectClass: olcConfig
objectClass: olcMemberOf
objectClass: olcOverlayConfig
objectClass: top
olcOverlay: memberof
olcMemberOfDangling: ignore
olcMemberOfRefInt: TRUE
olcMemberOfGroupOC: groupOfUniqueNames
olcMemberOfMemberAD: uniqueMember
olcMemberOfMemberOfAD: memberOf

建立 refint1.ldif 檔案並寫入如下配置

dn: cn=module{0},cn=config
add: olcmoduleload
olcmoduleload: refint

建立 refint2.ldif 檔案並寫入如下配置

dn: olcOverlay=refint,olcDatabase={2}mdb,cn=config
objectClass: olcConfig
objectClass: olcOverlayConfig
objectClass: olcRefintConfig
objectClass: top
olcOverlay: refint
olcRefintAttribute: memberof uniqueMember  manager owner

依次執行如下命令

ldapadd -Q -Y EXTERNAL -H ldapi:/// -f add_memberof.ldif
ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint1.ldif
ldapadd -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif

依次返回如下

# ldapadd -Q -Y EXTERNAL -H ldapi:/// -f add_memberof.ldif
adding new entry "cn=module{0},cn=config"

adding new entry "olcOverlay={0}memberof,olcDatabase={2}mdb,cn=config"

# ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint1.ldif
modifying entry "cn=module{0},cn=config"

# ldapadd -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif
adding new entry "olcOverlay=refint,olcDatabase={2}mdb,cn=config"

建立組織及管理角色

在上述基礎上，我們來建立一個叫做 WindSpirit 的組織，並在其下建立一個 admin 的組織角色（該組織角色內的使用者具有管理整個 LDAP 的許可權）和 People 和 Group 兩個組織單元

建立 wsorg.ldif 檔案並寫入如下配置

dn: dc=example,dc=com
objectClass: top
objectClass: dcObject
objectClass: organization
o: WindSpirit Company
dc: example

dn: cn=admin,dc=example,dc=com
objectClass: organizationalRole
cn: admin

dn: ou=People,dc=example,dc=com
objectClass: organizationalUnit
ou: People

dn: ou=Group,dc=example,dc=com
objectClass: organizationalRole
cn: Group

載入修改

ldapadd -x -D cn=admin,dc=example,dc=com -W -f wsorg.ldif

輸入密碼後輸出如下

adding new entry "dc=example,dc=com"

adding new entry "cn=admin,dc=example,dc=com"

adding new entry "ou=People,dc=example,dc=com"

adding new entry "ou=Group,dc=example,dc=com"

關閉匿名訪問

建立 disabled_anon.ldif 檔案並新增如下配置

dn: cn=config
changetype: modify
add: olcDisallows
olcDisallows: bind_anon

dn: cn=config
changetype: modify
add: olcRequires
olcRequires: authc

dn: olcDatabase={-1}frontend,cn=config
changetype: modify
add: olcRequires
olcRequires: authc

載入修改

ldapadd -Y EXTERNAL -H ldapi:/// -f disabled_anon.ldif

執行成功後輸出如下

SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "cn=config"

modifying entry "cn=config"

modifying entry "olcDatabase={-1}frontend,cn=config"

安裝 phpLDAPadmin

該業務需要增加 php-ldpa 模組支援

作者使用的 PHP 是由 Remi 提供的倉庫，使用如下命令安裝模組

dnf install php74-php-ldap

還是由於 CentOS 8 中預設不提供 openLDAP-servers 包，phpLDAPadmin 包也預設不提供

可以直接在 Release - leenooks/phpLDAPadmin - GitHub 下載 Release 包

目前最新版本號為 1.2.6.2

wget https://github.com/leenooks/phpLDAPadmin/archive/refs/tags/1.2.6.2.tar.gz

將下載好的包移動到 Nginx 的 web 根目錄下，解壓並重命名為 pla

tar zxvf 1.2.6.2.tar.gz
mv phpLDAPadmin-1.2.6.2 pla

本次配置中使用二級域名 pla 訪問該業務，設定好 DNS 解析後在 Nginx 中根據實際情況增加配置

server {
    listen      443 ssl;
    server_name pla.example.com;
    root        html/pla;

    location / {
        index     index.php;

        location ~ \.php(.*)$ {
            fastcgi_pass         php-handler;
            fastcgi_index        index.php;
            fastcgi_split_path_info    ^(.+\.php)(.*)$;
            fastcgi_param        PATH_INFO  $fastcgi_path_info;
            fastcgi_param        SCRIPT_FILENAME  $document_root$fastcgi_script_name;
            fastcgi_param        PATH_TRANSLATED  $document_root$fastcgi_path_info;
            fastcgi_param        HTTPS  on;
            include              fastcgi_params;
        }
    }
}

進入 phpLDAPadmin 目錄下的 config 目錄，將 config.php.example 複製為 config.php

配置 DN 登入

預設使用 uid 登入，修改為 dn

$servers->setValue('login','attr','dn');

關閉匿名登入

$servers->setValue('login','anon_bind',false);

設定使用者屬性的唯一性，這裡使用了 cn 和 sn，以確保使用者名稱的唯一性

$servers->setValue('unique','attrs',array('mail','uid','uidNumber','cn','sn'));

相關推薦

基於 CentOS 8 搭建 openLDAP 伺服器

轉載請註明原文地址：基於 CentOS 8 搭建 openLDAP 伺服器 環境 OS: CentOS 8.4.2105 PHP: 7.4.21

CentOS 8 搭建sftp伺服器

先切換到root使用者，下文中使用sftp作為組使用者，sftpvdes作為賬戶使用。 因為需要用到chroot，所以openssh 版本不能低於4.8p1

Centos 8 搭建時鐘伺服器

Centos 8 搭建時鐘伺服器 原創Linux作業系統作者：strivechao時間：2020-08-10 14:33:549400

基於CentOS 8伺服器來搭建FastDFS高可用叢集環境

伺服器版本 我們在伺服器的命令列輸入如下命令來檢視伺服器的核心版本。 [root@localhost lib]# cat /etc/redhat-release

centos下搭建SVN伺服器和MySQL

本文為大家分享了centos下SVN伺服器和MySQL的搭建教程，供大家參考，具體內容如下

基於 CentOS 7 搭建異常監控 Sentry

作者：風禾連結：https://juejin.im/post/6844904061466640398來源：掘金 背景 隨著公司專案量越來越大，專案上線後不可避免出現一些問題，為了第一時間發現問題，而不是等著客戶反饋後，感嘆為時晚矣。目前後端有

CentOS 8搭建Kubernetes-k8s叢集-1.18.5

目錄環境配置伺服器資訊軟體版本環境正確性埠正常開放kube-master節點埠kube-node節點埠配置主機互信配置hosts對映配置ssh金鑰禁用swap關閉SELinux設定系統時區、同步時間部署Docker新增docker yum源安裝Docker確保網

CentOS 8搭建Docker映象私有倉庫-registry

目錄簡介安裝Docker新增docker yum源安裝docker確保網路模組開機自動載入使橋接流量對iptables可見配置docker驗證docker是否正常新增使用者到docker組搭建Docker私有倉庫下載registry映象啟動registry映象驗證是否部

CentOS 7 搭建NFS伺服器

服務端安裝 # 建立掛載目錄 cd ~ cd data/ mkdir www-content cd www-content/ pwd # 安裝軟體 yum install nfs-utils

linux（centos）搭建SVN伺服器

>>> 安裝步驟如下： 1、yum install subversion 2、輸入rpm -ql subversion檢視安裝位置，如下圖：

linux(centos) 下搭建svn伺服器

1. 使用yum安裝svn yum -y install subversion 安裝完成之後，驗證安裝結果 此命令會全自動安裝svn伺服器相關服務和依賴，安裝完成會自動停止命令執行

Centos 7搭建Gitlab伺服器超詳細

一、 安裝並配置必要的依賴關係 在CentOS系統上安裝所需的依賴：ssh，防火牆,postfix(用於郵件通知) ，wget，以下這些命令也會開啟系統防火牆中的HTTP和SSH埠訪問。

基於TOMCAT簡單搭建檔案伺服器

技術標籤：tomcatajax跨域問題tomcat伺服器java 背景：最近接了個工廠專案，裡面有個需求：內網環境中，PAD端和PC端可以預覽或下載公共檔案，公共檔案類別包括但不限於各種圖片、媒體格式、PDF、WORD和EXCEL。結

Centos8基於Postfix+Dovecot搭建郵件伺服器

Centos8基於Postfix+Dovecot搭建郵件伺服器。 Centos8基於Postfix+Dovecot搭建郵件伺服器

在CentOS 8伺服器上搭建FastDFS環境

什麼是FastDFS? 這裡，我就摘錄下百度百科上對於FastDFS的描述。 FastDFS是一個開源的輕量級分散式檔案系統，它對檔案進行管理，功能包括：檔案儲存、檔案同步、檔案訪問（檔案上傳、檔案下載）等，解決了大容量儲存

Redis的概述、搭建及簡單使用（基於CentOS 6.5 Linux）

1、Redis 簡介 Redis 是完全開源免費的，遵守BSD協議，是一個高效能的key-value資料庫。

如何在 CentOS 8 和 RHEL 8 伺服器上啟用 EPEL 倉庫

EPEL 代表 “Extra Packages for Enterprise Linux”，它是一個自由開源的附加軟體包倉庫，可用於 CentOS 和 RHEL 伺服器。顧名思義，EPEL 倉庫提供了額外的軟體包，這些軟體在 CentOS 8 和RHEL 8 的預設軟體包倉庫中

圖文並茂基於CentOS Linux release 7.8.2003 Core安裝並Docker化你的Node.js應用

@圖文並茂基於CentOS Linux release 7.8.2003 Core安裝並Docker化你的Node.js應用 簡體中文 | English

基於Centos 7.8 和Kubeadm部署k8s高可用叢集

原文作者：Zhangguanzhang 原文連結：http://zhangguanzhang.github.io/2019/11/24/kubeadm-base-use/

Git在CentOS下搭建私有的git伺服器

伺服器端： 第一步：配置git 1.1 從yum上安裝git yum –y install git 1.2 檢視git版本：安裝完成後，在伺服器端輸入