Centralized authentication using OpenLDAP/zh-cn

这篇指南介绍了LDAP的基础知识以及向你展示如何安装针对一组计算机认证目的的OpenLDAP.

什么是LDAP？
LDAP代表着轻量组目录访问协议. 基于X.500它包含了它的绝大部分主要功能，但是缺少X.500的更加深奥的功能. 现在什么是这个X.500以及为什么会有一个LDAP？

X.500是一个OSI概念中的目录服务模型. 它包含了命名空间定义和目录查询和更新协议. 然而，X.500在很多场景中都太大了. 进入LDAP. 像X.500它为目录和协议提供一个数据/命名空间模型. 不过，LDAP是为直接通过TCP/IP栈进行而设计. 可以看出LDAP是X.500的一个瘦身版本.

我不理解. 什么是目录？
目录是为频繁查询但不频繁更新而设计的一个特殊的数据库. 不像其它常规数据库，它们不包含事件支持或回滚功能. 目录很容易复用以提供可用性和可靠性. 当目录被复用，允许临时的不一致直到得到最终同步.

信息结构是什么样？
目录中的所有信息都是垂直结构. 更多的是，如果你想输入向目录中输入数据，目录必须知道如何在树中储存这个数据. 让我们看看一个虚构的公司和一个像互联网的树.

因为您不能像上图一样使用ascii图形码向一个数据库中输入数据，所以这样一个树形结构中的每一个节点都要被定义. 为了定义这样一个节点，LDAP使用“命名方案（Naming Scheme）”. 大多数的LDAP发行版（包括OpenLDAP）已经包括了一揽子预定义（以及共同认可）的命名方案，如“inetOrgPerson”，或者“posixAccount”，“posixAccount”用来定义一个用户（user）的Unix/Linux相关属性，它是非常常用的. 值得一提的是您可以考虑采用图形化的基于web的工具来管理LDAP，这样能轻松很多. 参见实际使用OpenLDAP

感兴趣的用户推荐阅读 OpenLDAP Admin Guide

所以……它可以用来做什么？
LDAP可以用来做许多不同的事情呢. 这篇文档聚焦于如何集中管理用户，把所有用户的信息保存在统一的LDAP目录里（统一并不意味着只有一台服务器，LDAP是支持高可用性与高冗余性的），另外还有其它一些目标也可以通过LDAP来实现.


 * 公钥基础架构


 * 共享日历


 * 共享地址簿


 * 存储DHCP，DNS，......


 * 系统级的配置管理（跟踪多台服务器的配置）


 * 集中认证 (PosixAccount)



OpenLDAP服务器配置
域名“genfic.com”是这份指南中的一个例子，您当然想改变它，但是请确保其顶级节点是官方的合法域名，如net、com、cc、be......

我们首先要emerge OpenLDAP. 请确保如下USE标记被使用：berkdb, crypt, gnutls, ipv6, sasl, ssl, syslog, -minimal

OpenLDAP有一个主要用户，它被称为“rootdn（Root Distinguished Name）”，这个用户已经在应用中被写死，不可更改. 但是与Unix中的root用户不同，rootdn仍然需要被指定适当的权限. rootdn用户可能仅在配置的上下文中被使用，也可能被用于目录的定义，相应地，rootdn用户可以使用配置文件里的密码和目录树中的密码来认证他们自己. （译者注：这里不太好理解，我的个人理解是：openldap的服务器采用/etc/slapd.conf来做配置，里面有一个rootdn条目，这里面指定的dn，例如cn=Manager,dc=genfic,dc=com就是ldap里面最牛的管理员，它可以在LDAP里面干任何事儿，另外openldap运行起来之后，它会维护一个用户信息数据库，这个数据库里面是可以没有cn=Manager,dc=genfic,dc=com这个dn的，当没有这个dn时，这个叫Manager的用户就是只可以管理ldap目录及其内容，但不能用这个用户在ldap客户端上登录，也不能保存关于Manager的个人信息，如电话、地址等，因为ldap没有存储这些信息的地方. 但是您也可以在数据库中自己加上这个用户的相应节点，这时这个用户就可以像其它用户一样享受在客户端登录，保存个人信息等“福利”了. ）

为了验证目的的用户密码（不管是rootdn的还是其它用户的）都可以被存储为明文或者哈希过的. 很多哈希算法都是可用的，但是使用太弱（比MD5更弱）的加密算法是不被推荐的. SHA当前被认为是足够安全的算法.

下面的命令创建了一个给定口令的哈希值，命令的输出结果可以被用在 配置文件中，或者目录中某一个用户的口令属性中.

现在我们编辑LDAP服务器的配置文件：. 这份 是从openLDAP原包里来的，下面是一个范例配置，您可以用它替换掉系统中原来的文件来开始您的工作.

要想深入了解配置文件的含义，我们建议您研读OpenLDAP Administrator's Guide.

验证配置
在定制化 配置文件之后，您可以使用下面的命令检查验证其是否配置无误：

或者您也可以使用OLC风格的配置文件：

改变debug级别（上面的"-d 1"）可以得到更多的信息. 如果顺利的话，您会看到“config file testing succeeded”. 如果发生错误， 将会列出造成错误的行号（位于）

需要注意的是：从2.4.23版本开始，OpenLDAP从传统的扁平的配置文件 切换到OLC风格的配置文件，并且将是缺省的配置方法. 使用OLC风格的配置文件的一大好处是当配置需要被更改时，这一动态的后台配置（cn=config）不需要重启服务就可以生效. 老用户可以通过设置了-f和-F参数的命令 将现有配置迁移到新的OLC风格的配置. 传统的OLC是以ldif格式（这样可以保证可读性）保存在 目录中的. Gentoo用户目前还不一定需要进行这一配置文件的转换，但是未来老的方法将可能不被支持.

如果您想改变OpenLDAP服务器的配置，您必须至少要对 赋予写权限（或者管理权限 ）.

下面的例子展示了如何在OLC（“cn=config”数据库）中向系统管理员赋予管理权限 ，我们需要在 的末尾添加一行配置：

上面的命令将会转换并翻译配置文件（slapd.conf->OLC），您可能曾经想过用准备好的ldif文件来完成OLC配置文件的升级，不过假如您对此不那么熟悉，你就可以像我们这样先编辑 ，然后用slaptest命令将其翻译为OLC配置文件（最终保存于 中），最后不要忘记检查这个目录的权限是否可以被ldap系统用户访问.

您可以从产生的文件的注释中获取更多的指导.

下面这一行配置用于使能（OLC）配置方法.

最后我们创建 目录（用于保存目录的实际数据）.

启动slapd服务：

如果启动服务没能成功，您可以将 配置中loglevel的值设为4或更大，然后查看 来获取更多的信息.

OLC样式的LDIF更新示例
一些OLC风格的配置文件升级范例可以参见下文.

例如，改变OLC配置文件的存放路径：

改变OpenLDAP服务的日志级别：

为了确认这些改变，可以运行下面的命令：

配置OpenLDAP客户端工具
编辑LDAP客户端的配置文件. 这个文件会被ldapsearch和其它ldap命令行工具读取.

您可以用下面的命令测试运行中的服务器.

如果您收到错误信息，您可以用 这个参数来增加debug级别，以便获取更详细的信息用于解决问题.

集中式认证客户端配置
有很多方法/工具可以被用来做远程认证. 一些发行版也提供了它们自己的很好用的配置工具. 下面列出一些，排名不分先后. 把本地用户认证与集中认证同时结合在一起是可行的. 这一点非常重要，因为万一LDAP服务器不可用，至少您还可以通过root用户进行本地登录.


 * SSSD (Single Sign-on Services Daemon). 它主要的功能是为远程身份认证提供一个通用的框架，提供缓存与不在线的支持. 它提供PAM与NSS模块，将来还会为扩展用户信息支持D-Bus接口. 它也提供了一个更好的数据库来存储本地用户和扩展用户的数据.


 * 使用  登录到LDAP服务器并认证. 口令不会在网络上以明文的方式发送.


 * NSLCD (Name Service Look up Daemon). 与SSSD类似，但更古老.


 * NSS (Name Service Switch) 使用传统的  模块从网络上获取哈希口令. 如果要允许用户变更他们的口令，还需要结合 方法一起使用.

The first two are demonstrated below with the minimum necessary configuration options to get working.

客户端PAM配置SSSD方法
Here is the more direct method. The three files that are required to be edited are mentioned below.

Add sss to the end as shown below to enable the lookup to be handed to the sssd system service. Once you have finished editing start the sssd daemon.

The last file is the most critical. Open an extra root terminal as a fallback before editing this. The lines that end with  have been added to enable remote authentication. Note the use of to support creating the user home directories.

Now try logging in from another box.

客户端PAM配置pam_ldap模块方法
First, we will configure PAM to allow LDAP authorization. Install so that PAM supports LDAP authorization, and  so that your system can cope with LDAP servers for additional information (used by ).

The last file is the most critical. Open a few extra root terminals as a backup before editing this. The lines that end with  have been added to enable remote authentication.

Now change to read:

Next, copy over the (OpenLDAP) file from the server to the client so the clients are aware of the LDAP environment:

Finally, configure your clients so that they check the LDAP for system accounts:

If you noticed one of the lines you pasted into your was commented out (the   line): you don't need it unless you want to change a user's password as superuser. In this case you need to echo the root password to in plaintext. This is DANGEROUS and should be chmoded to 600. What you might want to do is keep that file blank and when you need to change someone's password that's both in the LDAP and, put the pass in there for 10 seconds while changing the users password and remove it when done.

迁移已有数据到LDAP
Configuring OpenLDAP for centralized administration and management of common Linux/Unix items isn't easy, but thanks to some tools and scripts available on the Internet, migrating a system from a single-system administrative point-of-view towards an OpenLDAP-based, centralized managed system isn't hard either.

Go to http://www.padl.com/OSS/MigrationTools.html and fetch the scripts there. You'll need the migration tools and the script.

Next, extract the tools and copy the script inside the extracted location:

The next step now is to migrate the information of your system to OpenLDAP. The script will do this for you, after you have provided it with the information regarding your LDAP structure and environment.

At the time of writing, the tools require the following input:

The tool will also ask you which accounts and settings you want to migrate.

High availability
To setup replication of changes across multiple LDAP systems. Replication within OpenLDAP is, in this guide, set up using a specific replication account which has read rights on the primary LDAP server and which pulls in changes from the primary LDAP server to the secondary.

This setup is then mirrored, allowing the secondary LDAP server to act as a primary. Thanks to OpenLDAP's internal structure, changes are not re-applied if they are already in the LDAP structure.

Setting Up Replication
To setup replication, first setup a second OpenLDAP server, similarly as above. However take care that, in the configuration file:


 * The sync replication provider is pointing to the other system


 * The serverID of each OpenLDAP system is different

Next, create the synchronisation account. We will create an LDIF file (the format used as data input for LDAP servers) and add it to each LDAP server:

OpenLDAP permissions
If we take a look at you'll see that you can specify the ACLs (permissions if you like) of what data users can read and/or write:

This gives you access to everything a user should be able to change. If it's your information, then you got write access to it; if it's another user their information then you can read it; anonymous people can send a login/pass to get logged in. There are four levels, ranking them from lowest to greatest:.

The next ACL is a bit more secure as it blocks normal users to read other people their shadowed password:

This example gives root and John access to read/write/search for everything in the the tree below. This also lets users change their own 's. As for the ending statement everyone else just has a search ability meaning they can fill in a search filter, but can't read the search results. Now you can have multiple ACLs but the rule of the thumb is it processes from bottom up, so your toplevel should be the most restrictive one.

Maintaining the directory
You can start using the directory to authenticate users in apache/proftpd/qmail/samba. You can manage it with LAM (Ldap Account Manager), phpldapadmin, diradm, jxplorer, or lat, which provide easy management interfaces.

Acknowledgements
We would like to thank Matt Heler for lending us his box for the purpose of this guide. Thanks also go to the cool guys in #ldap @ irc.freenode.net