Καταρχάς, εγκαταστήστε την υπηρεσία εξηπηρετητή του OpenLDAP, το slapd, καθώς και το ldap-utils, ένα πακέτο με εργαλεία διαχείρισης του LDAP:

sudo apt-get install slapd ldap-utils

Η προεπιλεγμένες ρυθμίσεις του slapd είναι οι ελάχιστες που απαιτούνται για την εκτέλεση της υπηρεσίας slapd.

Το παράδειγμα ρύθμισης των ενοτήτων που ακολουθούν θα αντιστοιχεί στο όνομα τομέα του εξυπηρετητή. Π.χ., αν το Πλήρως Ορισμένο Όνομα Τομέα (FQDN) είναι ldap.example.com, η προεπιλεγμένη κατάληξη θα είναι dc=example,dc=com.

Το OpenLDAP χρησιμοποιεί έναν ξεχωριστό κατάλογο που περιέχει το cn=config του Δέντρου Πληροφοριών Καταλόγου (DIT) . Το cn=config DIT χρησιμοποιείται για τη δυναμική ρύθμιση της υπηρεσίας slapd, και επιτρέπει την τροποποίηση των ορισμών σχημάτων, ευρετηρίων, ACL, κτλ. χωρίς να απαιτείται διακοπή της υπηρεσίας.

The backend cn=config directory has only a minimal configuration and will need additional configuration options in order to populate the frontend directory. The frontend will be populated with a "classical" scheme that will be compatible with address book applications and with Unix Posix accounts. Posix accounts will allow authentication to various applications, such as web applications, email Mail Transfer Agent (MTA) applications, etc.

	Για να μπορεί μια εξωτερική εφαρμογή να κάνει πιστοποίηση μέσω LDAP, θα πρέπει να έχει ρυθμιστεί ειδικά. Ανατρέξτε στην τεκμηρίωση της κάθε μεμονωμένης εφαρμογής για περισσότερες λεπτομέρειες.

	Μην ξεχάσετε να αλλάξετε τα dc=example,dc=com των παρακάτω παραδειγμάτων, ανάλογα με τις ρυθμίσεις του LDAP σας.

Καταρχάς, πρέπει να φορτωθούν ορισμένα επιπλέον αρχεία σχημάτων. Στο τερματικό, εισάγετε:

sudo ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/cosine.ldif
sudo ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/nis.ldif
sudo ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/inetorgperson.ldif

Στη συνέχεια, αντιγράψτε το παρακάτω υπόδειγμα αρχείου LDIF, ονομάζοντάς το backend.example.com.ldif, και τοποθετώντας το κάπου στο σύστημά σας:

# Load dynamic backend modules
dn: cn=module,cn=config
objectClass: olcModuleList
cn: module
olcModulepath: /usr/lib/ldap
olcModuleload: back_hdb

# Database settings
dn: olcDatabase=hdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcHdbConfig
olcDatabase: {1}hdb
olcSuffix: dc=example,dc=com
olcDbDirectory: /var/lib/ldap
olcRootDN: cn=admin,dc=example,dc=com
olcRootPW: secret
olcDbConfig: set_cachesize 0 2097152 0
olcDbConfig: set_lk_max_objects 1500
olcDbConfig: set_lk_max_locks 1500
olcDbConfig: set_lk_max_lockers 1500
olcDbIndex: objectClass eq
olcLastMod: TRUE
olcDbCheckpoint: 512 30
olcAccess: to attrs=userPassword by dn="cn=admin,dc=example,dc=com" write by anonymous auth by self write by * none
olcAccess: to attrs=shadowLastChange by self write by * read
olcAccess: to dn.base="" by * read
olcAccess: to * by dn="cn=admin,dc=example,dc=com" write by * read

	Στο olcRootPW: secret τοποθετήστε τον κωδικό της επιλογής σας.

Τώρα, προσθέστε το LDIF στον κατάλογο:

sudo ldapadd -Y EXTERNAL -H ldapi:/// -f backend.example.com.ldif

Ο κατάλογος του συστήματος διασύνδεσης (frontend) είναι τώρα έτοιμος να συμπληρωθεί. Δημιουργήστε ένα αρχείο frontend.example.com.ldif που θα περιέχει τα εξής:

# Δημιουργία ριζικού αντικειμένου στον τομέα
dn: dc=example,dc=com
objectClass: top
objectClass: dcObject
objectclass: organization
o: Example Organization
dc: Example
description: LDAP Example 

# Χρήστης - διαχειριστής.
dn: cn=admin,dc=example,dc=com
objectClass: simpleSecurityObject
objectClass: organizationalRole
cn: admin
description: LDAP administrator
userPassword: secret

dn: ou=people,dc=example,dc=com
objectClass: organizationalUnit
ou: people

dn: ou=groups,dc=example,dc=com
objectClass: organizationalUnit
ou: groups

dn: uid=john,ou=people,dc=example,dc=com
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
uid: john
sn: Doe
givenName: John
cn: John Doe
displayName: John Doe
uidNumber: 1000
gidNumber: 10000
userPassword: password
gecos: John Doe
loginShell: /bin/bash
homeDirectory: /home/john
shadowExpire: -1
shadowFlag: 0
shadowWarning: 7
shadowMin: 8
shadowMax: 999999
shadowLastChange: 10877
mail: john.doe@example.com
postalCode: 31000
l: Toulouse
o: Example
mobile: +33 (0)6 xx xx xx xx
homePhone: +33 (0)5 xx xx xx xx
title: System Administrator
postalAddress: 
initials: JD

dn: cn=example,ou=groups,dc=example,dc=com
objectClass: posixGroup
cn: example
gidNumber: 10000

Σε αυτό το παράδειγμα δομής του καταλόγου, δημιουργούνται ένας χρήστης και μία ομάδα. Σε άλλα παραδείγματα μπορεί να εμφανίζεται το objectClass: top σε όλες τις εγγραφές, αλλά η προσθήκη του δεν είναι απαραίτητη, καθώς αντιστοιχεί στην προεπιλεγμένη συμπεριφορά.

Προσθέστε τις εγγραφές στον κατάλογο LDAP:

sudo ldapadd -x -D cn=admin,dc=example,dc=com -W -f frontend.example.com.ldif

Μπορούμε να ελέγξουμε αν το περιεχόμενο προστέθηκε σωστά, χρησιμοποιώντας το εργαλείο ldapsearch. Συγκεκριμένα, κάνουμε μία αναζήτηση στον κατάλογο LDAP:

ldapsearch -xLLL -b "dc=example,dc=com" uid=john sn givenName cn

dn: uid=john,ou=people,dc=example,dc=com
cn: John Doe
sn: Doe
givenName: John

Σύντομη επεξήγηση:

Μπορείτε να επεξεργαστείτε το δέντρο του cn=config χρησιμοποιώντας τα εργαλεία του πακέτου ldap-utils. Π.χ.:

Συχνά, το LDAP μετατρέπεται γρήγορα σε ζωτικής σημασίας υπηρεσία για το δίκτυο. Πολλαπλά συστήματα εξαρτώνται από το LDAP για την παροχή πιστοποιήσεων, εξουσιοδοτήσεων, ρυθμίσεων, κτλ. Αξίζει λοιπόν τον κόπο να υπάρχει ένα εφεδρικό σύστημα - αντίγραφο.

Replication is achieved using the Syncrepl engine. Syncrepl allows the changes to be synced using a consumer, provider model. A provider sends directory changes to consumers.

Consumer Configuration

1. On the Consumer server configure it the same as the Provider except for the Syncrepl configuration steps.

   Add the additional schema files:

   sudo ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/cosine.ldif
   sudo ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/nis.ldif
   sudo ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/inetorgperson.ldif
   

   Also, create, or copy from the provider server, the backend.example.com.ldif

   # Load dynamic backend modules
   dn: cn=module,cn=config
   objectClass: olcModuleList
   cn: module
   olcModulepath: /usr/lib/ldap
   olcModuleload: back_hdb
   
   # Database settings
   dn: olcDatabase=hdb,cn=config
   objectClass: olcDatabaseConfig
   objectClass: olcHdbConfig
   olcDatabase: {1}hdb
   olcSuffix: dc=example,dc=com
   olcDbDirectory: /var/lib/ldap
   olcRootDN: cn=admin,dc=example,dc=com
   olcRootPW: secret
   olcDbConfig: set_cachesize 0 2097152 0
   olcDbConfig: set_lk_max_objects 1500
   olcDbConfig: set_lk_max_locks 1500
   olcDbConfig: set_lk_max_lockers 1500
   olcDbIndex: objectClass eq
   olcLastMod: TRUE
   olcDbCheckpoint: 512 30
   olcAccess: to attrs=userPassword by dn="cn=admin,dc=example,dc=com" write by anonymous auth by self write by * none
   olcAccess: to attrs=shadowLastChange by self write by * read
   olcAccess: to dn.base="" by * read
   olcAccess: to * by dn="cn=admin,dc=example,dc=com" write by * read
   

   Και προσθέστε το LDIF, δίνοντας τα εξής:

   sudo ldapadd -Y EXTERNAL -H ldapi:/// -f backend.example.com.ldif
   

2. Do the same with the frontend.example.com.ldif file listed above, and add it:

   sudo ldapadd -x -D cn=admin,dc=example,dc=com -W -f frontend.example.com.ldif
   

   The two severs should now have the same configuration except for the Syncrepl options.

3. Now create a file named consumer_sync.ldif containing:

   #Load the syncprov module.
   dn: cn=module{0},cn=config
   changetype: modify
   add: olcModuleLoad
   olcModuleLoad: syncprov
   
   # syncrepl specific indices
   dn: olcDatabase={1}hdb,cn=config
   changetype: modify
   add: olcDbIndex
   olcDbIndex: entryUUID eq
   -
   add: olcSyncRepl
   olcSyncRepl: rid=0 provider=ldap://ldap01.example.com bindmethod=simple binddn="cn=admin,dc=example,dc=com" 
    credentials=secret searchbase="dc=example,dc=com" logbase="cn=accesslog" 
    logfilter="(&(objectClass=auditWriteObject)(reqResult=0))" schemachecking=on 
    type=refreshAndPersist retry="60 +" syncdata=accesslog
   -
   add: olcUpdateRef
   olcUpdateRef: ldap://ldap01.example.com
   

   You will probably want to change the following attributes:

   • ldap01.example.com to your server's hostname.

   • binddn

   • credentials

   • searchbase

   • olcUpdateRef:

4. Add the LDIF file to the configuration tree:

   sudo ldapadd -c -Y EXTERNAL -H ldapi:/// -f consumer_sync.ldif
   

The frontend database should now sync between servers. You can add additional servers using the steps above as the need arises.

	Η υπηρεσία slapd στέλνει από προεπιλογή τις καταγραφές στο /var/log/syslog. Άρα, αν κάτι δεν πάει καλά, ανατρέξτε εκεί για σφάλματα και πληροφορίες αποσφαλμάτωσης. Επίσης, βεβαιωθείτε ότι κάθε εξυπηρετητής γνωρίζει το Πλήρως Ορισμένο Όνομα Τομέα(FQDN) του. Καταγράφεται στο αρχείο /etc/hosts με μια γραμμή που μοιάζει με: 127.0.0.1 ldap01.example.com ldap01 .

Η πιστοποίηση απαιτεί πρόσβαση στο πεδίο του κωδικού, που δεν πρέπει να είναι προσβάσιμο από προεπιλογή. Επίσης, για να μπορούν οι χρήστες να αλλάζουν τον κωδικό τους, χρησιμοποιώντας το passwd ή άλλα εργαλεία, θα πρέπει να αποκτάται πρόσβαση στο shadowLastChange μετά την πιστοποίηση του χρήστη.

To view the Access Control List (ACL) for the cn=config tree, use the ldapsearch utility:

sudo ldapsearch -c -Y EXTERNAL -H ldapi:///  -LLL -b cn=config olcDatabase=config olcAccess

SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
dn: olcDatabase={0}config,cn=config
olcAccess: {0}to * by dn.exact=gidNumber=0+uidNumber=0,cn=peercred,cn=external
 ,cn=auth manage by * break

To see the ACL for the frontend tree enter:

sudo ldapsearch -c -Y EXTERNAL -H ldapi:///  -LLL -b cn=config olcDatabase={1}hdb olcAccess

Κατά την πιστοποίηση σε εξυπηρετητή OpenLDAP, συνίσταται η χρήση κρυπτογραφημένης συνεδρίας. Αυτό επιτυγχάνεται μέσω της χρήσης του TLS (Transport Layer Security) ή του SSL (Secure Sockets Layer).

The first step in the process is to obtain or create a certificate. Because slapd is compiled using the gnutls library, the certtool utility will be used to create certificates.

Αφού εγκατασταθούν το πιστοποιητικό, το κλειδί και η πιστοποίηση CA, χρησιμοποιήστε το ldapmodify για να προσθέσετε τις νέες επιλογές ρυθμίσεων:

sudo ldapmodify -Y EXTERNAL -H ldapi:///

Enter LDAP Password:
dn: cn=config
add: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/ssl/certs/cacert.pem
-
add: olcTLSCertificateFile
olcTLSCertificateFile: /etc/ssl/certs/ldap01_slapd_cert.pem
-
add: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/ssl/private/ldap01_slapd_key.pem

modifying entry "cn=config"

	Adjust the ldap01_slapd_cert.pem, ldap01_slapd_key.pem, and cacert.pem names if yours are different.

Στη συνέχεια, επεξεργαστείτε το /etc/default/slapd και επανενεργοποιήστε τη σχολιασμένη επιλογή SLAPD_SERVICES:

SLAPD_SERVICES="ldap:/// ldapi:/// ldaps:///"

Τώρα, ο χρήστης του openldap χρειάζεται πρόσβαση στο πιστοποιητικό:

sudo adduser openldap ssl-cert
sudo chgrp ssl-cert /etc/ssl/private/ldap01_slapd_key.pem
sudo chmod g+r /etc/ssl/private/ldap01_slapd_key.pem

	Αν τα αρχεία /etc/ssl/private και /etc/ssl/private/server.key διαθέτουν διαφορετικά δικαιώματα, τροποποιήστε κατάλληλα τις εντολές.

Τέλος, επανεκκινήστε το slapd:

sudo /etc/init.d/slapd restart

Κανονικά, η υπηρεσία slapd θα πρέπει τώρα να αφουγκράζεται συνδέσεις LDAPS και να μπορεί να χρησιμοποιεί το STARTTLS κατά την πιστοποίηση.

	Αν δεν ξεκινά ο εξυπηρετητής, ελέγξτε το /var/log/syslog. Αν υπάρχουν λάθη του τύπου main: TLS init def ctx failed: -1, μάλλον πρόκειται για πρόβλημα ρυθμίσεων. Ελέγξτε αν το πιστοποιητικό υπογράφεται από την κατάλληλη αρχή και αν η ομάδα ssl-cert διαθέτει δικαιώματα ανάγνωσης του ιδιωτικού κλειδιού.

sudo ldapmodify -Y EXTERNAL -H ldapi:///

SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0

dn: olcDatabase={1}hdb,cn=config
replace: olcSyncrepl
olcSyncrepl: {0}rid=0 provider=ldap://ldap01.example.com bindmethod=simple binddn="cn=ad
 min,dc=example,dc=com" credentials=secret searchbase="dc=example,dc=com" logbas
 e="cn=accesslog" logfilter="(&(objectClass=auditWriteObject)(reqResult=0))" s
 chemachecking=on type=refreshAndPersist retry="60 +" syncdata=accesslog starttls=yes

modifying entry "olcDatabase={1}hdb,cn=config"

TLS_CERT /etc/ssl/certs/ldap02_slapd_cert.pem
TLS_KEY /etc/ssl/private/ldap02_slapd_key.pem
TLS_CACERT /etc/ssl/certs/cacert.pem

sudo /etc/init.d/slapd restart

Αφού αποκτήσετε έναν λειτουργικό εξυπηρετητή LDAP, τα πακέτα auth-client-config και libnss-ldap απλοποιούν τη διαδικασία ρύθμισης ενός πελάτη Ubuntu για πιστοποίηση μέσω LDAP. Για να εγκαταστήσετε τα πακέτα από το τερματικό, εισάγετε:

sudo apt-get install libnss-ldap

Κατά τη διάρκεια της εγκατάστασης, ένα μενού διαλόγου θα σας ζητήσει τα στοιχεία σύνδεσης του εξυπηρετητή LDAP.

Αν κάνετε λάθος στην εισαγωγή των στοιχείων, μπορείτε να επανεμφανίσετε το διάλογο πληκτρολογώντας:

sudo dpkg-reconfigure ldap-auth-config

Τα αποτελέσματα των επιλογών σας στο διάλογο φαίνονται στο αρχείο /etc/ldap.conf. Αν ο εξυπηρετητής σας απαιτεί επιλογές που δεν περιλαμβάνονται στο μενού, θα χρειαστεί να επεξεργαστείτε αυτό το αρχείο.

Τώρα που έχετε ρυθμίσει το libnss-ldap, ενεργοποιήστε το προφίλ LDAP του auth-client-config, πληκτρολογώντας:

sudo auth-client-config -t nss -p lac_ldap

Χρησιμοποιώντας το εργαλείο pam-auth-update, ρυθμίστε το σύστημα ώστε να χρησιμοποιεί το LDAP για πιστοποίηση:

sudo pam-auth-update

Από το μενού του pam-auth-update, επιλέξτε LDAP, καθώς και τους υπόλοιπους μηχανισμούς πιστοποίησης που χρειάζεστε.

Κανονικά, θα μπορείτε τώρα να συνδέεστε χρησιμοποιώντας τα στοιχεία χρήστη που έχουν αποθηκευτεί στον κατάλογο LDAP.

	Αν πρόκειται να χρησιμοποιήσετε το LDAP για να αποθηκεύσετε χρήστες Samba, θα πρέπει να ρυθμίσετε τον εξυπηρετητή ώστε να κάνει πιστοποίηση μέσω LDAP. Δείτε το “Samba και LDAP” για περισσότερες λεπτομέρειες.

Το πακέτο ldap-utils περιέχει διάφορα εργαλεία διαχείρισης του καταλόγου, αλλά η πληθώρα των απαιτούμενων επιλογών μπορεί να δυσκολέψει τη χρήση του. Το πακέτο ldapscripts περιέχει προσαρμόσιμα σενάρια που επιτρέπουν την εύκολη διαχείριση των χρηστών και ομάδων του LDAP.

Για να εγκαταστήσετε το πακέτο από το τερματικό, εισάγετε:

sudo apt-get install ldapscripts

Στη συνέχεια, τροποποιήστε το αρχείο ρυθμίσεων /etc/ldapscripts/ldapscripts.conf, επανενεργοποιώντας τις σχολιασμένες γραμμές και τροποποιώντας τα παρακάτω, ανάλογα με το περιβάλλον σας:

SERVER=localhost
BINDDN='cn=admin,dc=example,dc=com'
BINDPWDFILE="/etc/ldapscripts/ldapscripts.passwd"
SUFFIX='dc=example,dc=com'
GSUFFIX='ou=Groups'
USUFFIX='ou=People'
MSUFFIX='ou=Computers'
GIDSTART=10000
UIDSTART=10000
MIDSTART=10000

Τώρα, δημιουργήστε το αρχείο ldapscripts.passwd για να επιτρέψετε την πιστοποιημένη πρόσβαση στον κατάλογο:

sudo sh -c "echo -n 'secret' > /etc/ldapscripts/ldapscripts.passwd"
sudo chmod 400 /etc/ldapscripts/ldapscripts.passwd

	Αντικαταστήστε το “secret” με τον κωδικό του διαχειριστή LDAP.

To ldapscripts είναι πλέον έτοιμο να σας βοηθήσει να διαχειριστείτε τον κατάλογό σας. Ακολουθούν ορισμένα παραδείγματα χρήσης των σεναρίων:

Το πακέτο περιέχει και άλλα χρήσιμα σενάρια. Μπορείτε να δείτε τον πλήρη κατάλογο εισάγοντας: dpkg -L ldapscripts | grep bin