目        的:搭建一套完整的OpenLDAP系统,实现账号的统一管理。
                    1:OpenLDAP服务端的搭建
                    2:PhpLDAPAdmin的搭建
                    3:OpenLDAP的打开日志信息
                    4:OpenLDAP与migrationtools实现导入系统账号的相关信息
                    5:OpenLDAP客户端的配置
                    6:OpenLDAP与SSH
                    7:OpenLDAP限制用户登录系统
                    8:OpenLDAP强制用户一登录系统更改密码
                    9:OpenLDAP与系统账号结合Samba
                   10:OpenLDAP的主从
                   11:OpenLDAP的双主
 
系统环境信息
操作系统:CentOS release 6.7
 
基础的环境准备
关闭防火墙:/etc/init.d/iptables stop  && chkconfig iptables off
关闭NetworkManager:/etc/init.d/NetworkManager stop && chkconfig NetworkManager off
SeLinux设为disabled:getenforce 是否为Disabled,若不是,则修改:
         1:临时的生效  setenforce 0,再getenforce的时候为permissive
         2:修改配置文件,然后重启  vim /etc/sysconfig/selinux 把SELINUX=disabled
yum源仓库的配置
         1)mkdir /yum
         2)vim /etc/yum.repos.d/ll.repo
                  [local]
                  name = local
                  baseurl = file:///yum
                  gpgcheck = 0
                  enabled = 1
         3)挂载 mount /mnt/hgfs/软件/CentOS-6.7-x86_64-bin-DVD1to2/CentOS-6.7-x86_64-bin-DVD1.iso /yum -o loop 
         4)yum clean all 清除缓存
         5)yum makecache 创建缓存
 
一:OpenLDAP服务器的搭建
 
1)安装OpenLDAP的相关
         yum -y install openldap openldap-servers openldap-clients openldap-devel compat-openldap   其中compat-openldap这个包与主从有很大的关系
              
安装完后,可以看到自动创建了ldap用户:
      
             
可以通过rpm -qa |grep openldap查看安装了哪些包:
      
 
2)OpenLDAP的相关配置文件信息
      /etc/openldap/slapd.conf:OpenLDAP的主配置文件,记录根域信息,管理员名称,密码,日志,权限等
      /etc/openldap/slapd.d/*:这下面是/etc/openldap/slapd.conf配置信息生成的文件,每修改一次配置信息,这里的东西就要重新生成
      /etc/openldap/schema/*:OpenLDAP的schema存放的地方
      /var/lib/ldap/*:OpenLDAP的数据文件
      /usr/share/openldap-servers/slapd.conf.obsolete 模板配置文件
      /usr/share/openldap-servers/DB_CONFIG.example 模板数据库配置文件
   
      OpenLDAP监听的端口:
      默认监听端口:389(明文数据传输)
      加密监听端口:636(密文数据传输)
           
3)初始化OpenLDAP的配置
      cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
      cp /usr/share/openldap-servers/slapd.conf.obsolete /etc/openldap/slapd.conf
          
4)修改配置文件
      首先,slappasswd生成密文密码123456,拷贝这个到/etc/openldap/slapd.conf里
      
 
     这里的rootpw必须顶格写,而且与后面的密码文件用Tab键隔开                 
     
 
     修改对应的
     

 
    
            
5)重新生成配置文件信息文件
      先检测/etc/openldap/slapd.conf是否有错误:slaptest -f /etc/openldap/slapd.conf
      
    这里报错是因为在第三步后没有重新生成配置文件,启动slapd。而是直接修改配置文件去了。先启动slapd:/etc/init.d/slapd restart
                
    
   这里又报错,这是因为没有给/var/lib/ldap授权,授权后chown -R ldap.ldap /var/lib/ldap/,再重启slapd,/etc/init.d/slapd restart,可以看到成功的
    
 
  接着回到检测/etc/openldap/slapd.conf是否有错误:slaptest -f /etc/openldap/slapd.conf
  
  可以看到没问题,然后重新生成配置文件的配置信息:
  先删除最先的配置文件生成的信息:rm -rf /etc/openldap/slapd.d/*
  重新生成:slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d/
  查看是否生成的是自己修改的配置文件信息:cat /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{2\}bdb.ldif
  
 
 授权:chown -R ldap.ldap /etc/openldap/slapd.d/
 重启:/etc/init.d/slapd restart
 
  
 到这里为止,OpenLDAP服务端基本上完成了,我们可以通过PhpLDAPAdmin来登录看一下,那先得安装PhpLDAPAdmin
 
二:PhpLDAPAdmin的搭建
 
1)安装EPEL仓库,镜像里没有PhpLDAPAdmin这个的安装包,所以得安装EPEL仓库
      yum clean all 
      yum makecache
 
2)安装PhpLDAPAdmin
     yum install -y phpldapadmin
 
3)修改phpldapadmin的配置文件,访问控制权限vim /etc/httpd/conf.d/phpldapadmin.conf,允许谁访问
 
4)修改配置文件:vim /etc/phpldapadmin/config.php
      $servers->setValue('login','attr','dn');    这一行的注释去掉
    //$servers->setValue('login','attr','uid');  这一行注释掉
     
 
5)重启httpd服务/etc/init.d/httpd restart
 
6)在浏览器输入OpenLDAP服务端的IP        10.0.0.138/ldapadmin
     
                
7)登录,输入管理员的DN,也就是配置文件里配置的
    
 
8)认证,报错
 
 
 这是因为在第一步搭建OpenLDAP服务端的时候,并没有把管理员的账号信息导入,编辑root.ldif,然后导入
 dn: dc=lemon,dc=com
 objectclass: dcObject
 objectclass: organization
 o: Yunzhi,Inc.
 dc: lemon
 
 dn: cn=Captain,dc=lemon,dc=com
 objectclass: organizationalRole
 cn: Captain
 这里得注意每一个属性: 后必须有空格,但是值的后面不能有任何空格
 然后导入:ldapadd -x -D "cn=Captain,dc=lemon,dc=com" -W -f root.ldif
 
 
 然后再通过浏览器去访问的话:
 
                
  也可以通过命令行查询:ldapsearch -x -b "cn=Captain,dc=lemon,dc=com"
 
 
 到这里,PhpLDAPAdmin搭建完了,接下来,咱们得把日志打开,这样的话好排错,嘿嘿嘿
                
三:OpenLDAP的打开日志信息
 
1:现在配置文件里加上日志行 ,这里的日志级别有很多种,-1的话会记录很多日志信息
     vim /etc/openldap/slapd.conf 加上loglevel -1
   
 
   这里修改了配置文件,所有得重新生成配置文件的信息
    rm -rf /etc/openldap/slapd.d/*
    slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d/
    chown -R ldap.ldap /etc/openldap/slapd.d/
 
2:在 vim /etc/rsyslog.conf加上
      local4.*                                                /var/log/slapd/slapd.log
      
     然后重启/etc/init.d/rsyslog restart
 
3:创建日志文件目录,授权
      mkdir /var/log/slapd
      chmod 755 /var/log/slapd/
      chown ldap.ldap /var/log/slapd/
 
4:重启slapd服务,/etc/init.d/slapd restart
5:就可以看到日志信息了cat /var/log/slapd/slapd.log
 
:OpenLDAP与migrationtools实现导入系统账号的相关信息
 
1:安装migrationtools
       yum -y install migrationtools
 
2:修改migrationtools的配置文件,在/usr/share/migrationtools/这个目录下有很多migrationtools的文件
      vim /usr/share/migrationtools/migrate_common.ph 修改以下的两个地方
      
 
 3:生成基础的数据文件,可以自己修改这个生成的base.ldif文件,把不需要的去掉
      /usr/share/migrationtools/migrate_base.pl > base.ldif
     
 
4:把base.ldif导入OpenLDAP
 
      ldapadd -x -D "cn=Captain,dc=lemon,dc=com" -W -f base.ldif
 
      
      这里会报错,我们可以通过-c参数强制加入
       
      
导入之后,通过PhpLdapAdmin可以看到已经导入进来了:
  
 
 
 5:把系统的用户生成ldif文件
        cd  /usr/share/migrationtools
       ./migrate_passwd.pl /etc/passwd passwd.ldif
       ./migrate_group.pl /etc/group group.ldif
      
      

   可以看到生成的文件,然后根据自己需要修改这两个ldif文件:
   passwd.ldif只留一个test1测试用户:
  
 
 group.ldif留对应的test1:
 
      
 把用户导入进去:ldapadd -x -D "cn=Captain,dc=lemon,dc=com" -W -f passwd.ldif
 
 把组导进去:ldapadd -x -D "cn=Captain,dc=lemon,dc=com" -W -f group.ldif
 
 然后就可以看到:
 
 
在这里就已经完成把系统的账号属性导入了OpenLDAP,然后就通过添加OpenLDAP用户,来进行验证,所以得先做好客户端的设置
 
五:OpenLDAP客户端的配置
 
1:停掉sssd服务  service sssd stop && chkconfig sssd off
 
2:安装nslcd服务  yum install nss-pam-ldapd
 
3:修改vim /etc/nslcd.conf这个配置文件
     
 
4:修改vim /etc/pam_ldap.conf
     
    
 
5: vim /etc/pam.d/system-auth 修改,把sss行的注释掉,改成ldap的
  
 
6:vim /etc/nsswitch.conf   修改nsswitch.conf配置文件,修改后,默认登录的用户通过本地配置文件进行查找并匹配。当匹配不到用户信息时,会通过后端配置的LDAP认证服务进行匹配
 
7:vim /etc/sysconfig/authconfig   确保标记的已打开为yes
     USESHADOW=yes 启用密码验证
     USELDAPAUTH=yes 启用OpenLDAP验证
     USELOCAUTHORIZE=yes 启用本地验证
     USELDAP=yes  启用LDAP认证协议
 
    
          
8:重启nslcd服务 
     /etc/init.d/nslcd restart
 
9:验证,先通过OpenLDAP增加一个用户,在test1的基础上,复制一个test2的条目
              
 
 
后面的根据自己的修改
 
 
可以看到已经成功的添加了test2的用户,这是OpenLDAP添加的,在本地是没有的,用cat /etc/passwd 看是没有test2用户的
测试:su - test2

 
在/etc/pam.d/system-auth配置文件里添加这一行:session     optional      pam_mkhomedir.so skel=/etc/skel/ umask=0022

 
重启 /etc/init.d/nslcd restart
在进行测试:就可以了

 
查看系统用户列表:
服务端查询:ldapsearch -x -b "ou=People,dc=lemon,dc=com" |grep dn
客户端查询:ldapsearch -H ldap://10.0.0.138 -x -b "ou=People,dc=lemon,dc=com" |grep dn

 
查询单个用户:ldapsearch -x -b "uid=test1,ou=People,dc=lemon,dc=com" |grep dn

 
 
客户端的配置到这里ok啦。有账号肯定要能通过ssh登录系统
 
六:OpenLDAP与SSH
1:vim /etc/ssh/sshd_config 

 
2:vim /etc/pam.d/sshd  用于第一次登陆的账户自动创建家目录

 
 
3:vim /etc/pam.d/password-auth

 
4:重启sshd
 
 
七:OpenLDAP限制用户登录系统
在账号中,不能让每个用户都能登录系统,所以要限制用户登录
 
1:vim /etc/pam.d/sshd 在这里加上pam_access.so模块

 
 
2:vim /etc/security/access.conf  这里限制test2用户ssh登录系统

 
测试:可以看到就只有test2登录不上

 
八:OpenLDAP强制用户一登录系统更改密码
 
1:修改配置文件

      在前面打开注释
      moduleload ppolicy.la
      modulepath /usr/lib/openldap
      modulepath /usr/lib64/openldap
 
还要在database config前面加上这两段
 
access to attrs=userPassword
        by self write
        by anonymous auth
        by dn="cn=Captain,dc=lemon,dc=com" write
        by * none
 
access to *
        by self write
        by dn="cn=Captain,dc=lemon,dc=com" write
        by * read

 
 
在文件的末尾添加:
overlay ppolicy
ppolicy_default cn=Captain,ou=pwpolicies,dc=lemon,dc=com
 

  
 
2:重新生成配置文件数据库:
[root@lele openldap]# vim /etc/openldap/slapd.conf 
[root@lele openldap]# rm -rf /etc/openldap/slapd.d/*
[root@lele openldap]#  slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d
config file testing succeeded
[root@lele openldap]# chown -R ldap.ldap /etc/openldap/slapd.d/
[root@lele openldap]# /etc/init.d/slapd restart
Stopping slapd:                                            [  OK  ]
Starting slapd:                                            [  OK  ]
 
 
可以通过配置文件的数据信息看到ppolicy模块已经加进来了
cat /etc/openldap/slapd.d/cn\=config/cn\=module\{0\}.ldif

 
3:编辑
cat 1.ldif 
dn: ou=pwpolicies,dc=lemon,dc=com
objectClass: organizationalUnit
ou: pwpolicies
 
4:ldapadd -x -D "cn=Captain,dc=lemon,dc=com" -W -f 1.ldif
添加进去
可以在PhpLdapAdmin上看到:

 
5:添加cn=Captain,ou=pwpolicies,dc=lemon,dc=com这个的一些属性值
[root@ll ~]# cat 2.ldif 
dn: cn=Captain,ou=pwpolicies,dc=lemon,dc=com
cn: Captain
objectClass: pwdPolicy
objectClass: person
pwdAllowUserChange: TRUE            
pwdAttribute: userPassword
pwdExpireWarning: 259200
pwdFailureCountInterval: 0
pwdGraceAuthNLimit: 5
pwdInHistory: 5
pwdLockout: TRUE
pwdLockoutDuration: 300
pwdMaxAge: 2592000
pwdMaxFailure: 5
pwdMinAge: 0
pwdMinLength: 8
pwdMustChange: TRUE
pwdSafeModify: TRUE
sn: dummy value
 
把属性值添加进去
在PhpLdapAdmin可以看到:

 
 
6:在vim /etc/pam_ldap.conf中的末尾添加:使得客户端能识别服务端的密码策略
     pam_password md5
     bind_policy soft
     pam_lookup_policy yes
     pam_password clear_remove_old
 
7:重启nslcd
     /etc/init.d/nslcd restart
 
8:测试
修改用户的属性,用test3做测试
[root@ll ~]# cat modify.ldif 
dn: uid=test3,ou=people,dc=lemon,dc=com
changetype: modify
replace: pwdReset
pwdReset: TRUE
 
ldapmodify -x -D "cn=Captain,dc=le,dc=com" -W -f modify.ldif  导入

 
ldapwhoami -x -D uid=test3,ou=people,dc=lemon,dc=com -W -e ppolicy -v   查看test3用户的策略信息

 
这里显示输入test3 的原始密码,然后输入新修改的密码

 
 当修改完后,就没有必须改变密码的那一句话了

 
 这里可以啦
 
九:OpenLDAP与系统账号结合Samba
       默认的Samba服务器支持本地系统用户(smbpasswd添加后)访问Samba资源,不支持OpenLDAP服务器账号访问Samba共享资源,配置完后,OpenLDAP每新增一个用户,就自动支持Samba,就可以用这个账号直接访问Samba,不需要存在于本地用户,不用smbpasswd用户
 
1:安装samba
       yum -y install samba
2:把Samba.schema文件拷贝到LDAP的schema目录下,把原来的覆盖掉
       cp /usr/share/doc/samba-3.6.23/LDAP/samba.schema /etc/openldap/schema/
3:修改配置文件vim /etc/openldap/slapd.conf
      在include的地方,加上Samba的schema
      
 3:修改了配置文件,就有重新生成配置文件数据
      rm -rf /etc/openldap/slapd.d/*
      slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d/
      config file testing succeeded
      chown -R ldap.ldap /etc/openldap/slapd.d/
      /etc/init.d/slapd restart
 
4:修改Samba的配置文件
      添加:
      security = user
        passdb backend = ldapsam:ldap://10.0.0.138
        ldap suffix = "dc=lemon,dc=com"
        ldap group suffix = "cn=group"
        ldap user suffix = "ou=people"
        ldap admin dn = "cn=Captain,dc=lemon,dc=com"
        ldap delete dn = no
        pam password change = yes
        ldap passwd sync = yes
        ldap ssl = no
 
 
 对应这里的
         
 
在最后的时候添加共享的文件:
[public]
comment = Public Stuff
path = /tmp/lile
public = yes
writable = yes
printable = no
 
5:创建共享文件夹,并且授权
     mkdir /tmp/lile
     chmod 777 /tmp/lile/
 
6:把OpenLDAP的密码传给Samba,smbpasswd -w 123456  这里的密码是OpenLDAP的管理员密码       
       
     若不加,会报错:
      
  
7:重启smb
      /etc/init.d/smb restart
      /etc/init.d/nmb restart
 
8:  Samba开通之后,可以看到这里的开关也打开了
 
 
 9:测试
先把系统用户test1用smbpasswd -a test1 加到Samba的用户下,就可以看到:
test1用户下多了Samba的特性,原来是没有的

 
然后基于test1,在PhpLdapAdmin添加test2用户,不用smbpasswd,就只是OpenLDAP用户,复制的时候一定要重新改一下这里的密码,要不然登不进,

 
 
 
 然后,就可以用windos去访问了,这里有一个概念就是OpenLDAP添加了的用户,不要再用smbpasswd去添加了,可以直接登录Samba
 
 
 
十:OpenLDAP的主从
 
1:做主从和双主的时候,一定要确认安装了 compat-openldap这个包
2:在主上的配置文件   10.0.0.138
     备份原来的配置文件:cp /etc/openldap/slapd.conf /etc/openldap/slapd.bak
     先停掉服务 /etc/init.d/slapd stop
     vim /etc/openldap/slapd.conf 修改配置文件
             
     添加       index entryCSN,entryUUID                eq
     
 
     这里的注释去掉:
     
           
     
 
     在文件的最后添加:
     overlay syncprov                      后端工作再overlay模式
     syncprov-checkpoint 100 10   当满足修改100个条目或者10分钟的条件时主动以推的方式执行
     syncprov-sessionlog 100        会话日志条目的最大数量
 
     
             
     然后重新生成配置文件的数据文件:
     rm -rf /etc/openldap/slapd.d/*
     slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d/
     chown -R ldap.ldap /etc/openldap/slapd.conf 
     chown -R ldap.ldap /etc/openldap/slapd.d
     /etc/init.d/slapd restart
               
3:导出主的数据文件 ldapsearch -x -b 'dc=lemon,dc=com' > root.ldif,拷贝到从上scp    scp root.ldif 10.0.0.140:~/
4:把主的配置文件slapd.conf 拷贝到从10.0.0.140上 用scp /etc/openldap/slapd.conf 10.0.0.140:~/
5:从上从主上拷贝了配置文件,
去掉
      overlay syncprov
      syncprov-checkpoint 100 10
      syncprov-sessionlog 100
然后再加上

                
syncrepl rid=003
provider=ldap://10.0.0.138:389/
type=refreshOnly
retry="60 10 600 +"                                             尝试时间
interval=00:00:00:10                                            设置同步更新时间(日:时:分:秒)
searchbase="dc=lemon,dc=com"                    
scope=sub                                                           匹配根域所有条目
schemachecking=off                                          同步更新时是否开启schema语法检测
bindmethod=simple                                            同步验证模式为简单模式(即明文)
binddn="cn=Captain,dc=lemon,dc=com"        使用Captain用户读取目录树信息
attrs="*,+"                                                             同步所有属性信息
credentials=123456                                             管理员密码
 
 重新生成数据配置文件
  rm -rf /etc/openldap/slapd.d/*
  slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d/
  chown -R ldap.ldap /etc/openldap/slapd.conf 
  chown -R ldap.ldap /etc/openldap/slapd.d
  /etc/init.d/slapd restart
 
6:测试
在主的10.0.0.138上添加一个test7的用户,在从上刷新一下,是同步到的

 
 
 十一:OpenLDAP的双主
 
在主从的基础上,修改配置,这是主的
 

 
serverID 2
overlay syncprov
syncrepl rid=001
provider=ldap://10.0.0.140
type=refreshAndPersist
searchbase="dc=lemon,dc=com"
schemachecking=simple
binddn="cn=Captain,dc=lemon,dc=com"
credentials=123456
retry="60 +"
mirrormode on
 
 
 
这是从的

 
serverID 1
overlay syncprov
syncrepl rid=001
provider=ldap://10.0.0.138:389/
retry="60 10 600 +"
searchbase="dc=lemon,dc=com"
schemachecking=off
bindmethod=simple
binddn="cn=Captain,dc=lemon,dc=com"
credentials=123456
mirrormode on
 
 
测试:在两台机上分别新建一个用户,看是否在对方能刷新到,主从与双主都只是备份的关系,若一台挂了,立即切换到另一台,则需做高可用和负载均衡
 

1.安装和设置数据库

在CentOS7下,默认安装的数据库为MariaDB,属于MySQL数据库的一个分支,所以我还是使用了MariaDB。安装命令为:

[root@localhost ~]# yum install mariadb-server -y

安装时间不长,安装完成后的样子如下:

然后启动数据库服务:

[root@localhost ~]# systemctl start mariadb

[root@localhost ~]# systemctl enable mariadb //设置开机自启

对数据库进行一些基本设置:

[root@localhost ~]# mysql_secure_installation


  初始情况下没有密码,直接回车,它会自动提示你重新设置密码,这时就可以设置自己的数据库密码了。设置完密码之后是一些其他的基本设置,都是直接'y'或者'n'就能解决的,对照着它给出的提示就可以完成设置。然后设置字符集,字符集的设置在/etc下:

[root@localhost ~]# vim /etc/my.cnf

#在[mysqld]标签下添加如下内容:
default-storage-engine = innodb
innodb_file_per_table
max_connections = 4096
collation-server = utf8_general_ci
character-set-server = utf8 [root@localhost ~]# vim /etc/my.cnf.d/client.cnf #在[client]标签下添加如下内容:
default-character-set=utf8 [root@localhost ~]# vim /etc/my.cnf.d/mysql-clients.cnf #在[mysql]标签下添加如下内容:
default-character-set=utf8

接着重启服务:

[root@localhost ~]# systemctl restart mariadb

此时就大概完成了数据库的安装和设置。因为要将该数据库做完LDAP的后端数据库,所以先新建一个用户ldap和数据库ldap作为连接LDAP的数据库:

[root@localhost ~]# mysql -uroot -p


  添加ldap用户,设置密码为ldap,添加权限给ldap用户并新建数据库ldap:

MariaDB [(none)]> CREATE USER 'ldap'@'%' IDENTIFIED BY 'ldap';
MariaDB [(none)]> GRANT ALL PRIVILEGES ON ldap.* TO 'ldap'@'%';
MariaDB [(none)]> CREATE USER 'ldap'@'localhost' IDENTIFIED BY 'ldap';
MariaDB [(none)]> GRANT ALL PRIVILEGES ON ldap.* TO 'ldap'@'localhost';
MariaDB [(none)]> show databases;

然后退出数据库,进行第二步。

2.安装ODBC并配置ldap数据库

直接yum安装:

[root@localhost ~]# yum install unixODBC mysql-connector-odbc

创建连接配置文件odbc.ini:

[root@localhost ~]# vim /etc/odbc.ini

#添加如下内容
[ldap]
Description = LdapToMysql
Driver = MySQL
Database = ldap
Server = 127.0.0.1
User = ldap
Password = ldap
Port = 3306

验证是否连接成功:

[root@localhost ~]# isql -v ldap

进入如下界面:
   
  输入查看数据库的命令:

SQL> show databases;

  
  连接成功!

3.下载安装并配置OpenLDAP

安装LDAP到/opt目录下:

[root@localhost ~]# yum install wget make gcc mysql-devel unixODBC-devel groff -y
[root@localhost ~]# cd /opt
[root@localhost opt]# wget ftp://mirror.switch.ch/mirror/OpenLDAP/openldap-release/openldap-2.4.43.tgz
[root@localhost opt]# tar zxvf openldap-*.tgz
[root@localhost opt]# rm -rf openldap-*.tgz
[root@localhost opt]# mv openldap-* openldap
[root@localhost opt]# cd /opt/openldap
[root@localhost openldap]# ./configure --prefix=/usr --exec-prefix=/usr --bindir=/usr/bin --sbindir=/usr/sbin --sysconfdir=/etc --datadir=/usr/share --localstatedir=/var --mandir=/usr/share/man --infodir=/usr/share/info --enable-sql --disable-bdb --disable-ndb --disable-hdb
[root@localhost openldap]# make depend
[root@localhost openldap]# make
[root@localhost openldap]# make install

此时安装已经完成,接着配置LDAP,首先生成自己的LDAP密码:

[root@localhost openldap]# slappasswd

输入密码之后它会返回给一个加密的密码,类似于“{SSHA}XDEtT6s3MTzrSbHeJl7OlRoqk0w1By1X”。然后打开LDAP配置文件,该文件在/etc/openldap目录下:

[root@localhost openldap]# vim /etc/openldap/slapd.conf

#在第5行下面添加如下内容
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/inetorgperson.schema #修改第55行内容
database sql
#修改第56、57行的dc值(这里最好设置为example,因为后面要用ldap的数据库数据,如果这里使用别的值,那么对应的要把数据库中的所有dn都改掉)
suffix "dc=example,dc=com"
rootdn "cn=Manager,dc=example,dc=com"
#修改第61行rootpw的值,就是之前获取到的加密密码
rootpw {SSHA}XDEtT6s3MTzrSbHeJl7OlRoqk0w1By1X
#注释掉第65、67行的内容
#directory /var/openldap-data
#index objectClass eq
#在第61行rootpw下面添加如下内容
rootpw {SSHA}XDEtT6s3MTzrSbHeJl7OlRoqk0w1By1X
dbname ldap
dbuser ldap
dbpasswd ldap
has_ldapinfo_dn_ru no
subtree_cond "ldap_entries.dn LIKE CONCAT('%',?)"

关于dc(domainComponent)的问题,在https://www.bbsmax.com/A/WpdKKPaodV/这篇文章里面讲解的很好,我的安装配置也是从这里学的。

到此,OpenLDAP的安装与配置完成,但此时还不能运行LDAP,因为数据库中没有对应的表结构,LDAP虽然可以使用除BDB之外的数据库,但必须要使用它定义的表结构。对应的表结构在/opt/openldap/servers/slapd/back-sql/rdbms_depend/目录下,该目录下有多种数据库的表结构,包括MySQL、Oracle和PGSQL等,进入mysql目录下,有如下几个sql文件:


backsql_create.sql是基础的表结构,不论其它表有没有,这几个表必须有;testdb_create.sql是测试的表结构,包含几个像person表之类的表结构;testdb_data.sql是测试表中的数据;testdb_metadata.sql是基础表中的数据。进入数据库中执行这几个sql文件:

[root@localhost ~]# mysql -uldap -p
Enter password:
Welcome to the MariaDB monitor. Commands end with ; or \g.
Your MariaDB connection id is 8
Server version: 5.5.52-MariaDB MariaDB Server Copyright (c) 2000, 2016, Oracle, MariaDB Corporation Ab and others. Type 'help;' or '\h' for help. Type '\c' to clear the current input statement. MariaDB [(none)]> use ldap MariaDB [ldap]> source /opt/openldap/servers/slapd/back-sql/rdbms_depend/mysql/backsql_create.sql
MariaDB [ldap]> source /opt/openldap/servers/slapd/back-sql/rdbms_depend/mysql/testdb_create.sql
MariaDB [ldap]> source /opt/openldap/servers/slapd/back-sql/rdbms_depend/mysql/testdb_data.sql
MariaDB [ldap]> source /opt/openldap/servers/slapd/back-sql/rdbms_depend/mysql/testdb_metadata.sql

此时运行LDAP:

[root@localhost ~]# /opt/openldap/servers/slapd/slapd -d 5 -h 'ldap:/// ldapi:///' -f /etc/openldap/slapd.conf &

4.安装和配置LDAP管理工具PHPldapadmin

首先安装Apache和PHP:

[root@localhost ~]# yum -y install httpd php php-ldap php-gd php-mbstring php-pear php-bcmath php-xml

然后安装phpldapadmin:

[root@localhost ~]# yum -y install epel-release
[root@localhost ~]# yum --enablerepo=epel -y install phpldapadmin

接着修改配置文件:

[root@localhost ~]# vim /etc/phpldapadmin/config.php

#397行取消注释,398行添加注释
$servers->setValue('login','attr','dn');
// $servers->setValue('login','attr','uid'); [root@localhost ~]# vim /etc/httpd/conf.d/phpldapadmin.conf // 修改配置
<IfModule mod_authz_core.c>
# Apache 2.4
Require local
#添加一行内容,指定可访问的ip段(虽然我也不知道为什么,但不填不能运行这个管理工具,我就直接写的本地ip)
Require ip 192.168.85.132
</IfModule>

设置开机自启并启动Apache:

[root@localhost ~]# systemctl enable httpd
[root@localhost ~]# systemctl start httpd
此时phpldapadmin可以访问但可能不能登录,这个和系统SELinux有关,如果SELinux关闭的话登录时候会有一个错误:
error Unable to connect to LDAP server Cloud-Lab.Com
error: Can't contact LDAP server (-1) for user
error Failed to Authenticate to server Invalid Username or Password.

打开这个配置:

[root@localhost ~]# getsebool httpd_can_connect_ldap
httpd_can_connect_ldap --> off
[root@localhost ~]# setsebool -P httpd_can_connect_ldap on
[root@localhost ~]# getsebool httpd_can_connect_ldap
httpd_can_connect_ldap --> on

浏览器访问phpldapadmin:

http://(localhost或服务器地址)/phpldapadmin/

登录phpldapadmin,用户名密码可以在数据库ldap的表persons中查找。

OpenLDAP搭建全过程的更多相关文章

  1. 完整版的OpenLDAP搭建全过程

    总结:          先写总结,再写正文,嘿嘿嘿.这还是第一次认真的写个文档,写个总结,哈哈.大概在一个月前,第一次听说这个东西,完全没有概念,刚开始的时候看理论的知识,看了几次之后就没看了,看不 ...

  2. linux环境(CentOS-6.7)下redis集群的搭建全过程

    linux环境下redis集群的搭建全过程: 使用mount命令将光盘挂载到/mnt/cdrom目录下: [root@hadoop03 ~]# mount -t iso9660 -o ro /dev/ ...

  3. Gerrit代码审核服务器搭建全过程

    Gerrit代码审核服务器搭建全过程 转载请标明出处:http://blog.csdn.net/ganshuyu/article/details/8978614 环境:Ubuntu12.xx 1.建立 ...

  4. samba + OPENldap 搭建文件共享服务器

    samba + OPENldap 搭建文件共享服务器 这里我使用的是 samba(文件共享服务) v4.9.1 + OPENldap(后端数据库软件) v2.4.44 + smbldap-tools( ...

  5. 基于OPENldap搭建postfix 虚拟用户

    本文首发: https://www.somata.work/2019/DependOPENldapBuildPostfixVirtualMailUser.html postfix + dovecot ...

  6. OpenLDAP 搭建入门

    系统环境:CentOS 7 slapd版本:2.4.44 简介 OpenLDAP是一款轻量级目录访问协议,基于X.500标准的,支持TCP/IP协议,用于实现账号集中管理的开源软件,提供一整套安全的账 ...

  7. Git服务器搭建全过程分步详解【转】

    转自:http://developer.51cto.com/art/201507/483448.htm GitHub是一个免费托管开源代码的Git服务器,如果我们不想公开项目的源代码,又不想付费使用, ...

  8. Git服务器搭建全过程

    GitHub是一个免费托管开源代码的Git服务器,如果我们不想公开项目的源代码,又不想付费使用,那么我们可以自己搭建一台Git服务器. 下面我们就看看,如何在Ubuntu上搭建Git服务器.我们使用V ...

  9. 微信小程序语音识别服务搭建全过程解析(项目开源在github)

    silk v3录音转olami语音识别和语义处理的api服务(ubuntu16.04服务器上实现) ## 重要的写在前面 重要事项一: 目前本文中提到的API已支持微信小程序录音文件格式:silk v ...

随机推荐

  1. PostgreSQL的.NET驱动程序Npgsql中参数对象的一个Bug

    最近将公司的项目从SqlServer移植到PostgreSQL数据库上来,在调用数据库的存储过程(自定义函数)的时候,发现一个奇怪的问题,老是报函数无法找到. 先看一个PgSQL存储过程: CREAT ...

  2. 打开cmd闪退

    我们在使用电脑过程中一般会很少用到cmd命令,CMD命令窗口在一些特殊情况时我们会用到,如PING下看网络通不通.在CMD窗口里运行命令如磁盘格式转换,但是有些朋友遇到了这样的问题,在开始运行输入CM ...

  3. switch语句相关

    Cannot switch on a value of type long. Only convertible int values, strings or enum variables are pe ...

  4. centos6安装系统时选包

    date: 2018-06-05   11:44:06 1,系统:minimal   2,包组:     Base System :  Base.Compatibility libraries.Deb ...

  5. tomcat中文配置

    tomcat传递中文乱码,修改server.xml文件 <Connector port=" protocol="HTTP/1.1" connectionTimeou ...

  6. Spring 集合注入

    Spring注入是spring框架的核心思想之一.在实际的开发中,我们经常会遇见这样一些类的注入,这些类中包含一些集合作为类的属性,那么要怎样想类中的集合注入数据呢?本文通过一个简单的示例向大家介绍一 ...

  7. 通过python3学习编码

    简介 今天在写python程序的时候,遇到了编码问题,今天,我准备好好了解一下编码问题 ASCII编码 计算机是美国人发明的,最初只有不超过256字符需要编码,1字节能编码2**8个,所以ASCII编 ...

  8. MongoDB插入多条数据

    刚开始学mongodb,只知道几个命令,insert插入也只能一条一条插入,而在实际情况下数据一般都非常多,刚开始想直接上传json文件,网上搜了n多方法发现这种方法不好弄,然后就想着要么一下子把多条 ...

  9. PAT 甲级 1060 Are They Equal

    1060. Are They Equal (25) 时间限制 50 ms 内存限制 65536 kB 代码长度限制 16000 B 判题程序 Standard 作者 CHEN, Yue If a ma ...

  10. echarts容器动态设置高度

    测试提了bug,柱状图数据多的情况下,都叠到了一起,效果如下图. 要解决这个bug,首先想到的是让柱状图的容器自适应高度.于是,把原本div上写固定的高度去掉. <div id="my ...