ldap之openlda的安装(Centos) |第一章-yellowcong

叁歲伎倆 2021-12-16 22:57 310阅读 0赞

> Ldap是一个树状的用户管理数据库，很多服务都是支持ldap做认证的，这种方法可以和sso整合到一起，这样既满足的web服务的单点登陆，也解决了cs架构的用户认证。ldap的选型也有很多，我们使用的是开源的openldap。本文讲解了ldap的安装，配置，以及简单使用。

## 1.0 安装ldap ##

### 1.1 安装 ###

#安装ldap
    yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel migrationtools
    
    # 查看ldap版本
    slapd -VV
    
    #验证修改是否存在问题
    slaptest -u
    
    #加入开机启动
    systemctl enable slapd
    #重启服务
    systemctl start slapd
    #查看状态
    systemctl status slapd

输入命令`slapd -VV`，可以看到我们安装的版本是2.4.44 版本的。  
![在这里插入图片描述][20190706104612399.png]  
加入开机自启，查看slapd的运行状态。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70]

### 1.2 配置dbd为数据库 ###

#拷贝默认配置
    cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
    
    #设定权限
    chown ldap:ldap -R /var/lib/ldap
    chmod 700 -R /var/lib/ldap
    
    #查看权限信息
    ll /var/lib/ldap/
    
    #导入默认数据
    ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
    ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
    ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif

可以看到bdb数据库里面，数据都是ldap的用户了。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 1]

导入默认的ldap的schem  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 2]

# 2 ldap 配置 #

创建SMD5的密码，这种动态加盐，目前是不可以破解的。

## 2.1 创建密码 ##

slappasswd -h { SHA} -s 'yellowcong'
    
    #{MD5}NBDrsezeOgII7s2GlhXKFA==
    slappasswd -h { MD5} -s 'yellowcong'
    
    
    #下面两个加密的方式会一直生成一个不同的密码
    #这个是salt +sha1 
    slappasswd -h { SSHA} -s 'yellowcong'
    
    #salt+md5 
    #比如下面 两个都代表的是 yellowcong的密码
    #{SMD5}GwhRX1hD12S/c4zZ4zcdb4JH9+0= 
    #{SMD5}LknhEO8GV5gmponmhcJ0ucBThmc=
    slappasswd -h { SMD5} -s 'yellowcong'

可以看到多次执行加盐的方式来设定密码，同一个密码，却生成了不同的加密密码。  
![在这里插入图片描述][20190706105223790.png]  
当我们使用SHA和MD5的加密的方式，多次执行，都是一个加密信息，md5现在通过跑字典的方式，可以进行破解出来的。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 3]

## 2.2 配置slapd.conf ##

#/etc/openldap/slapd.conf
    include     /etc/openldap/schema/corba.schema
    include     /etc/openldap/schema/core.schema
    include     /etc/openldap/schema/cosine.schema
    include     /etc/openldap/schema/duaconf.schema
    include     /etc/openldap/schema/dyngroup.schema
    include     /etc/openldap/schema/inetorgperson.schema
    include     /etc/openldap/schema/java.schema
    include     /etc/openldap/schema/misc.schema
    include     /etc/openldap/schema/nis.schema
    include     /etc/openldap/schema/openldap.schema
    include     /etc/openldap/schema/ppolicy.schema
    include     /etc/openldap/schema/collective.schema
    allow bind_v2
    pidfile     /var/run/openldap/slapd.pid
    argsfile    /var/run/openldap/slapd.args
    modulepath  /usr/lib64/openldap
    moduleload ppolicy.la
    
    #证书设置
    #TLSCACertificatePath /etc/openldap/certs
    #TLSCertificateFile "\"OpenLDAP Server\""
    #TLSCertificateKeyFile /etc/openldap/certs/password
    
    #密码加密设定
    #password-hash {MD5}
    #password-hash {SSHA}
    password-hash { SMD5}
    
    #用户设置自己可以修改自己密码
    access to attrs=shadowLastChange,userPassword
          by self write
          by * auth
    
    #设定所有人可读
    access to *
          by * read
    #数据库配置
    database config
    access to *
        by dn.exact="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" manage
        by * none
    #数据库监控
    database monitor
    access to *
        by dn.exact="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read
            by dn.exact="cn=root,dc=yellowcong,dc=com" read
            by * none
    
    #数据库设置
    database    bdb
    suffix      "dc=yellowcong,dc=com"
    checkpoint  1024 15
    
    #管理员节点
    rootdn      "cn=root,dc=yellowcong,dc=com"
    
    #管理员密码，下面多个都是yellowcong 这个密码加密的结果
    #rootpw {SSHA}8Y1KsVNUC+70R9faMxDBB6kEYnO/HHY+
    #rootpw {MD5}NBDrsezeOgII7s2GlhXKFA==
    rootpw      { SMD5}LknhEO8GV5gmponmhcJ0ucBThmc=
    
    #存储目录
    directory   /var/lib/ldap
    
    #索引设置
    index objectClass                       eq,pres
    index ou,cn,mail,surname,givenname      eq,pres,sub
    index uidNumber,gidNumber,loginShell    eq,pres
    index uid,memberUid                     eq,pres,sub
    index nisMapName,nisMapEntry            eq,pres,sub
    loglevel        4095

修改dc， dc修改为自己公司的名称，即可。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 4]

## 2.3 配置权限 ##

#验证修改是否存在问题
    slaptest -u
    
    #删除slapd.d 目录下的文件
    rm -rf /etc/openldap/slapd.d/*
    
    #生成配置
    slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d/
    
    #设定权限
    chown -R ldap.ldap /etc/openldap/slapd.d
    chown -R ldap.ldap /var/lib/ldap/
    
    #重启服务
    systemctl restart slapd
    systemctl status slapd
    
    # 开机启动
    systemctl enable slapd

配置文件slapd.conf这个文件没有，需要手动去创建这个文件  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 5]  
删除之前生成的配置，让后通过slapd.conf再次生成配置文件  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 6]  
可以看到生成的配置文件信息。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 7]

# 3测试ldap #

## 3.1 创建节点 ##

创建一个demo.ldif 的配置文件

#
    #root
    dn: dc=yellowcong,dc=com
    o: yellowcong
    dc: yellowcong
    objectClass: top
    objectClass: dcObject
    objectclass: organization
    
    # user2
    dn: ou=test,dc=yellowcong,dc=com
    objectClass: inetOrgPerson
    cn: test
    sn: Jensen
    title: test
    mail: bjensen@example.com
    uid: bjensen
    
    dn: cn=zhangsan,dc=yellowcong,dc=com
    objectClass: inetOrgPerson
    cn: zhangsan
    sn: zhangsan
    title: test
    mail: zhangsan@yellowcong.com
    uid: zhangsan

导入到服务器ldap

#添加用户
    ldapadd -H ldap://127.0.0.1:389 -D "cn=root,dc=yellowcong,dc=com" -w "yellowcong" -f demo.ldif
    
    
    #查询刚刚添加得用户
    ldapsearch -x -b "dc=yellowcong,dc=com" -H ldap://127.0.0.1
    
    #查看zhangsan用户
    ldapsearch -x -b "cn=zhangsan,dc=yellowcong,dc=com" -H ldap://127.0.0.1
    
    #设定用户密码 -s 指定的就是用户的密码信息
    ldappasswd -x -D "cn=root,dc=yellowcong,dc=com" -w "yellowcong" "cn=zhangsan,dc=yellowcong,dc=com" -s "yellowcong"
    
    #ou 代表的是orgnization
    #删除这个ou用户
    ldapdelete  -x -D "cn=root,dc=yellowcong,dc=com" -w "yellowcong" "ou=test,dc=teddy,dc=com"
    
    
    #加上管理员信息，就可以直接查看密码了。
    #-w 设置刚刚在sldap里面配置的密码信息
    ldapsearch -D "cn=root,dc=yellowcong,dc=com" -w "yellowcong" -x -b "dc=yellowcong,dc=com" -H ldap://127.0.0.1

添加用户到ldap里面，这个地方我没有使用ou，直接通过cn来标示用户信息。  
![在这里插入图片描述][20190706111134927.png]  
查询刚刚插入的数据  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 8]

查询zhangsan用户  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 9]  
执行`ldappasswd -x -D "cn=root,dc=yellowcong,dc=com" -w "yellowcong" "cn=zhangsan,dc=yellowcong,dc=com" -s "yellowcong"`给用户增加密码  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 10]

我门删除ou=test 这个用户，可以查看到，用户已经删除了。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 11]

## 参考文章 ##

1.  [OpenLDAP 搭建入门][OpenLDAP]
2.  [LDAP 用户更改自己的密码][LDAP]
3.  [LDAP replication and CRYPT userPassword][]
4.  [OpenLDAP的密码策略实现][OpenLDAP 1]

[20190706104612399.png]: /images/20211214/7f360552f7fa46c38271b8382ee55b39.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70]: /images/20211214/9ebb7cd9725745d6af8e6656b96c20f1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 1]: /images/20211214/663023b30ae94bedba331bd56ca125d7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 2]: /images/20211214/d4390f5e89924b71a4e870b6bf885147.png
[20190706105223790.png]: /images/20211214/368a542956e945b88c0e850d592a1ec6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 3]: /images/20211214/c103209c05224d1dbf8ad0e17b2e79cd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 4]: /images/20211214/2e313ccd9fce4a44ad9b17a74b30d4c2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 5]: /images/20211214/7da04e6269fa4c838893f5f262faded3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 6]: /images/20211214/c8da8dba75154b28a49455c98d48bd65.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 7]: /images/20211214/96b43e51d37143cba506cbb130aecf03.png
[20190706111134927.png]: /images/20211214/b6db792f08cb4ab393d45fd289dc3506.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 8]: /images/20211214/d33e3c318c0541f9aae9bfbf88d5e552.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 9]: /images/20211214/af38f3931078475a84c705d76d7e4ae1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 10]: /images/20211214/325e830c7ba7405a922bde8abea2f911.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3llbGxsb3djb25n_size_16_color_FFFFFF_t_70 11]: /images/20211214/731962d35dcd4b32bda231e7e5da79c1.png
[OpenLDAP]: https://blog.csdn.net/a153870727/article/details/81180888
[LDAP]: https://blog.51cto.com/linuxtec/1707732
[LDAP replication and CRYPT userPassword]: https://www.tumfatig.net/20181105/ldap-replication-and-crypt-userpassword/
[OpenLDAP 1]: https://blog.csdn.net/wilbertzhou/article/details/17347347