Linux 安装并配置 OpenLDAP 新编（3）YUM安装
Linux 安装并配置 OpenLDAP 新编（3）YUM安装
我实操OpenLDAP的过程，是先根据官网资料编译安装，大约花费了近2周时间，也有点陷入牛角尖了，一时不得出。后来加了一个群，经过提醒发现了配置文件中的不同，但是依旧不得其果，最终还是自行再折腾了几遍YUM方式的安装，终于才对比发现了一些问题所在，同时也进一步了解了更多内容，知其所以然~~
注意！注意！注意！
根据官方信息来说，2.4不再推荐使用，2.5为LTS版本，2.6为特性版本。因此虽然本章为了省事是基于2.4编写的，仅用于研究，依旧不建议在生产环境中部署了。
安装
前往symas选择对应OpenLDAP版本在相应OS中的repo仓库文件。
symas同时还提供了一些第三方库，可根据具体情况决定是否安装。
wget -q https://repo.symas.com/configs/SOFL/rhel8/sofl.repo -O /etc/yum.repos.d/sofl.repo
yum update
yum install symas-openldap-servers
systemctl start slapd
再次回到那句老话 设定先行！ ，这里什么叫设定先行？
- openldap-clients : 我并没有安装 symas 提供的客户端，安装的是系统自带的客户端，当前版本为：2.4.46；
- 同为 symas 提供的源，2.4 和 2.5 、 2.6 的安装过程略有不同，2.5 与 2.6 安装后要先配置，否则无法启动。切记！切记！切记！ ；
- 理论上，2.5 和 2.6 在启动前的配置方法，应该和源码安装后的配置是一样的，这里 未实测 。
默认配置
如上所说，对于 OpenLDAP2.4 来说，安装后直接启动即会成功运行服务。然鹅……上一章所谓带着问题的问题是什么？我们要操作的DN是什么？密码是什么？
身份验证
上章的结尾，提到使用 SASL 机制添加前面创建的条目时会提示没有写入权限，现在我们利用前面的文件再试一下：
ldapadd -Q -Y EXTERNAL -H ldapi:// -f add_group.ldif
# 一般会返回如下结果
adding new entry "ou=group,dc=example,dc=com"
ldap_add: Server is unwilling to perform (53)
additional info: no global superior knowledge
诶？先不要管具体的错误原因，但至少身份验证很显然是通过了，这是为什么呢？
目录结构
还记得之前编译安装的2.5，配置存储目录在哪里么？在 /usr/local/etc/slapd.d/ ，那么通过yum安装的，对应的目录在哪里呢？在： /etc/openldap/slapd.d/ 。使用 tree 命令输出该目录中的内容：
tree /etc/openldap/slapd.d
# 返回结果
/etc/openldap/slapd.d
├── cn=config
│ ├── cn=schema
│ │ └── cn={0}core.ldif
│ ├── cn=schema.ldif
│ ├── olcDatabase={0}config.ldif
│ ├── olcDatabase={-1}frontend.ldif
│ ├── olcDatabase={1}monitor.ldif
│ └── olcDatabase={2}mdb.ldif
└── cn=config.ldif
除了根目录不一致，可以看到目录中还多了一个名为： olcDatabase={1}monitor.ldif 的配置文件。我们现在尚处于不知其所以然的层次，因此可以先不管各个文件是干什么的，目前只需要关注： olcDatabase={0}config.ldif 和 olcDatabase={2}mdb.ldif 这两个文件。
{0}config.ldif
这个配置文件中，最重要的是这一行：
olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=extern
al,cn=auth" manage by * none
该配置指令，涉及到了 OpenLDAP 的进阶知识 Access Control 。我们暂且不做深入展开，只需记得：
此配置项决定了客户端可以使用 SASL 机制验证身份后操作LDAP！。
{2}mdb.ldif
此配置文件，是具体的配置文件，可以看到与前面文章中最大的区别主要在于以下两项配置：
olcSuffix: dc=my-domain,dc=com
olcRootDN: cn=Manager,dc=my-domain,dc=com
事实上，正是这两项的配置导致了前面的添加不成功。
个性化配置
我们打开任意一个位于 /etc/openldap/slapd.d/ 目录中的配置文件，都会看到文件头两行显著的文字：
# AUTO-GENERATED FILE - DO NOT EDIT!! Use ldapmodify.
# CRC32 xxxxxxxx
什么意思呢？这是自动生成的文件-不要编辑！！！使用 ldapmodify 命令操作 。所以，正如之前网上那篇文章所说的，只要某个文章开头让你编辑这里面的配置，你基本可以直接关闭该文章了，不必浪费时间了！
配置DN
创建 .ldif 配置文件，编辑如下内容：
# change_domain.ldif
dn: olcDatabase={2}mdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=example,dc=com
dn: olcDatabase={2}mdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=Manager,dc=example,dc=com
接下来执行编辑命令：
ldapmodify -Q -Y EXTERNAL -H ldapi:// -f change_domain.ldif
Bingo，添加成功！此时再查看前面的 olcDatabase={2}mdb.ldif 文件时，可以发现已经修改成功。
添加条目
接下来我们再次尝试导入条目：
ldapadd -Q -Y EXTERNAL -H ldapi:// -f add_group.ldif
# 返回
adding new entry "ou=group,dc=example,dc=com"
ldap_add: No such object (32)
WHY？但我们搜索时，会发现是因为父节点不存在：
ldapsearch -LLL -Q -Y EXTERNAL -H ldapi:// -b 'dc=example,dc=com'
这是因为即便用了YUM安装OpenLDAP，也不会自动创建目录节点，因此，先添加根节点，再添加条目即可：
# add_domain.ldif
dn: dc=example,dc=com
objectClass: dcObject
objectclass: organization
o: Example Company
dc: example
添加根节点之后，再添加分组：
ldapadd -Q -Y EXTERNAL -H ldapi:// -f add_domain.ldif
ldapadd -Q -Y EXTERNAL -H ldapi:// -f add_group.ldif
导入架构
我们深入探究上面的文件，会发现有点问题。我们实际上是想添加一个 Domain Component ，并不是想当做一个 organization 来添加，而且我们在官网中也可以看到有一个值为 domain 的 objectclass ，于是我们尝试添加一个子域名：
# add_sub_domain.ldif
dn: dc=ldap,dc=example,dc=com
objectClass: domain
domainComponent: ldap
然而我们在添加时，却会返回类似于下面的错误：
ldap_add: Invalid syntax (21)
additional info: objectClass: value #0 invalid per syntax
这又是为什么呢？当我们查看 /etc/openldap/slapd.d/cn=config/cn=schema/ 目录时，就会发现原因了。这是因为，OpenLDAP 默认只会添加 core.schema ，而 domain 类型，是由 cosine 架构支持的，因此需要手工添加一下：
# 添加架构
ldapadd -Q -Y EXTERNAL -H ldapi:// -f cosine.ldif
# 再次添加子域名
ldapadd -Q -Y EXTERNAL -H ldapi:// -f add_sub_domain.ldif
这回可以看到添加成功了！
新的问题
经过上面的实验，已经把编译安装的坑填上了，但是……当运行下面的命令时，又会发现遇到新的问题：
ldapsearch -x -W -D cn=Manager,dc=example,dc=com -H ldap:// -b 'dc=example,dc=com' -LLL -s base '(objectclass=*)'
？？？密码是什么？印象中我们似乎并没有添加什么密码，但是又好像并没有需要添加密码的地方。其实从前面的配置可以看出，yum安装后并没有设置密码的，我们需要手工添加一个密码：
add_passwd.ldif
dn: olcDatabase={2}mdb,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}H7pqipuCoHbMH+aAAy3i9Y2/zo+IY2ry
然后使用 ldapadd命令添加到配置文件中即可：
ldapadd -Q -Y EXTERNAL -H ldapi:// -f add_passwd.ldif
# 请注意为了测试不同的身份验证方式，使用了不同的协议类型
ldapsearch -x -W -D cn=Manager,dc=example,dc=com -H ldap:// -b 'dc=example,dc=com' -LLL -s base '(objectclass=*)'
DONE!
总结
经过前几章的学习，我们已经通过编译安装和YUM安装，掌握了许多LDAP的基本用法，从不知其然进阶到，知其然而不知其所以然。接下来我们继续深入，从配置开始进一步了解前面的暂不解释，以及未能讲述的问题。
文中用到的配置文件，可点击链接下载。
