一、 LDAP概念
http://wiki.jabbercn.org/index.php/OpenLDAP2.4%E7%AE%A1%E7%90%86%E5%91%98%E6%8C%87%E5%8D%97
#中文文档
http://www.openldap.org/doc/admin24/
#官方英文文档
LDAP的英文全称是Lightweight Directory Access Protocol，一般都简称为LDAP，类似DNS的树形结构来组织信息
一般情况下，LDAP需要结合Kerberos做认证，kerberos提供了一个不需要传输密码的情况下，可以给你和你想使用的服务之间建立信任关系的服务，而且不需要你每次都输入密码。实现单点登陆
1、 entry
条目，也叫记录项，是LDAP中最基本的颗粒，就像字典中的词条，或者是数据库中的记录。通常对LDAP的添加、删除、更改、检索都是以条目为基本对象的。
2、 dn
每一个条目都有一个唯一的标识名（distinguished Name ，DN）
类似URI的功能
CN, OU, DC 都是 LDAP 连接服务器的端字符串中的区别名称（DN, distinguished name）
LDAP连接服务器的连接字串格式为：ldap://servername/DN
其中DN有三个属性，分别是CN,OU,DC
DC (Domain Component)
OU (Organizational Unit)
CN (Common Name)
CN=Common Name 为用户名或服务器名，最长可以到80个字符，可以为中文；
OU=Organization Unit为组织单元，最多可以有四级，每级最长32个字符，可以为中文；
O=Organization 为组织名，可以3—64个字符长
C=Country为国家名，可选，为2个字符长
例如：CN=test,OU=developer,DC=domainname,DC=com
在上面的代码中 cn=test 可能代表一个用户名，ou=developer 代表一个 active directory 中的组织单位。这句话的含义可能就是说明 test 这个对象处在domainname.com 域的 developer 组织单元中。
3、 Attribute
每个条目都可以有很多属性（Attribute），比如常见的人都有姓名、地址、电话等属性。每个属性都有名称及对应的值，属性值可以有单个、多个，比如你有多个邮箱。
属性不是随便定义的，需要符合一定的规则，而这个规则可以通过schema制定。比如，如果一个entry没有包含在 inetorgperson 这个 schema 中的objectClass: inetOrgPerson，那么就不能为它指定employeeNumber属性，因为employeeNumber是在inetOrgPerson中定义的。
一些常用的别名：
dn：一条entry的唯一路径
cn：用户的全名
sn：用户的姓
uid：用户的登陆名称
c：两个字符的国家代码，比如：中国，cn
o：组织名称（公司名）
ou：部门名称
mail：邮件地址
4、 schema
schema定义了哪些属性可用，以及属性的格式（类似mysql的约束）
比如：电话号码，就不能输入英文字母，否则报错
openlda默认自带RFC标准的schema，如果没有特殊需求，导入即可
5、 ObjectClass
对象类是属性的集合，LDAP预想了很多人员组织机构中常见的对象，并将其封装成对象类。
比如，人员（person）含有姓（sn）、名（cn）、电话(telephoneNumber)、密码(userPassword)等属性，单位职工(organizationalPerson)是人员(person)的继承类，除了上述属性之外还含有职务（title）、邮政编码（postalCode）、通信地址(postalAddress)等属性。
6、 LDIF
LDIF（LDAP Data Interchange Format，数据交换格式）是LDAP数据库信息的一种文本格式，用于数据的导入导出，每行都是“属性: 值”对
LDIF文件是OpenLDAP操作数据或修改配置的一切来源
二、 LDAP安装配置
1、 安装LDAP服务端
yum源：
1.centos7的OS源
2.epel源
yum install -y openldap-servers openldap-clients
#openldap-servers，服务端
#openldap-clients，客户端工具箱，包含ldapadd等工具
2、 配置
https://www.openldap.org/doc/admin24/slapdconf2.html
OpenLDAP 2.4有两种配置方式：
（1）slapd.conf配置文件，这是旧版本的配置方式
（2）数据库(cn=config)，这是新的推荐的配置方式
2.1、 主配置
slappasswd
#产生一个加密过后的密码
vi /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{2\}hdb.ldif
olcSuffix: dc=example,dc=com
olcRootDN: cn=Manager,dc=example,dc=com
olcRootPW: {SSHA}oe7odi30W9Jy4YbqW348HV4p7B5n6khU
olcAccess: {0}to attrs=userPassword by self write by dn.base="cn=Manager,dc=example,dc=com" write by anonymous auth by * none
olcAccess: {1}to * by dn.base="cn=Manager,dc=example,dc=com" write by self write by * read
#定义一个管理员，中Manager，并且设定密码
#注意，密码为上面slappasswd命令创建的加密过后的密码
2.2、 测试配置文件
slaptest -u
2.3、 启动服务
systemctl start slapd
systemctl enable slapd
3、 导入schema
ls /etc/openldap/schema/*.ldif |xargs -I {} ldapadd -Y EXTERNAL -H ldapi:/// -f {}
4、 定义命名空间
也就是定义整个组织的架构
vi /etc/openldap/base.ldif
dn: dc=example,dc=com
objectclass: dcObject
objectclass: organization
dc: example
o: ldap
#定义suffix，也就是目录树的最顶端
dn: ou=People,dc=example,dc=com
objectclass: organizationalUnit
ou: People
#在根下面定义一个分支，叫people，使用部门这个类，表示这定义的是一个部门信息
dn: ou=Group,dc=example,dc=com
objectclass: organizationalUnit
ou: Group
注意：
1.多个dn之间必须使用一个空行来隔离
2.最后一个dn定义完成之后，不能有空行
3.dn最左边的定义项（RDN），必须出现在属性描述里
ldapadd -x -D cn=Manager,dc=example,dc=com -W -f /etc/openldap/base.ldif
#使用ldapadd工具，将上面的定义，写进数据库
5、 查询
ldapsearch -x -D cn=Manager,dc=example,dc=com -w
#默认查询所有内容
6、 migrationtools迁移用户
migrationtools，将本地/etc/passwd和/etc/group文件，转换成ldif文件
6.1、 安装
yum install -y migrationtools
6.2、 迁移用户组
useradd demouser1
useradd demouser2
vi /usr/share/migrationtools/migrate_common.ph
$DEFAULT_MAIL_DOMAIN = "example.com";
$DEFAULT_BASE = "dc=example,dc=com";
$EXTENDED_SCHEMA = 1;
grep demo /etc/passwd > /tmp/users
grep demo /etc/group > /tmp/groups
cd /usr/share/migrationtools/
./migrate_passwd.pl /tmp/users /tmp/users.ldif
./migrate_group.pl /tmp/groups /tmp/groups.ldif
ldapadd -x -D cn=Manager,dc=example,dc=com -w redhat -f /tmp/groups.ldif
ldapadd -x -D cn=Manager,dc=example,dc=com -w redhat -f /tmp/users.ldif
注意：
默认，会有一个Manager的管理员
6.3、 查询
ldapsearch -H ldap://172.25.254.142 -x -b "ou=People,dc=example,dc=com"
#查询ou为People的信息
ldapsearch -H ldap://172.25.254.142 -x -b "uid=demouser1,dc=example,dc=com"
#查询uid为demouser1的信息
6.4、 修改密码
ldappasswd -x -D "cn=Manager,dc=example,dc=com" \
-w redhat "cn=demouser1,dc=example,dc=com" -s New_PASS
#管理员修改普通用户密码
7、 安装web
yum install -y httpd phpldapadmin
#phpldapadmin，ldap的web程序，在EPEL源中
vi /etc/phpldapadmin/config.php
$servers->setValue('server','host','127.0.0.1');
$servers->setValue('server','port',389);
$servers->setValue('server','base',array('dc=example,dc=com'));
$servers->setValue('login','auth_type','session');
#取消上述行的注释
// $servers->setValue('login','attr','uid');
#将这行注释掉
vi /etc/httpd/conf.d/phpldapadmin.conf
<IfModule mod_authz_core.c>
# Apache 2.4
Require all granted
</IfModule>
vi /etc/openldap/base.ldif
dn: dc=example,dc=com
o: ldap
objectclass: dcObject
objectclass: organization
dc: example
#定义根节点
ldapadd -f /etc/openldap/base.ldif -x -D cn=Manager,dc=example,dc=com -W
#创建根节点
#注意，根节点必须命令行创建，web没法创建根
systemctl start httpd
systemctl enable httpd
firefox http://172.25.254.142/phpldapadmin/
username：cn=Manager,dc=example,dc=com
8、 LDAP客户端
方法一，pam直接去找ldap服务器，这样如果中间网络出问题，客户端就没办法登陆
方法二，在客户端上安装一个缓存服务（sssd或nss），pam找这个缓存服务去拿认证信息，然后缓存服务和ldap服务器通讯，拿到认证信息交给pam，并缓存到本地，这样，就可以实现客户端脱机状态也可登陆。
注意：
如果要通过客户端的sssd进行LDAP认证，必须开启TLS加密。sssd不支持不加密的认证通道。
8.1、 使用NSS配置
有两个图形工具，都可以：
system-config-authentication
#纯图形化
authconfig-tui
#字符图形化
yum install -y nss-pam-ldapd
#nss-pam-ldapd，是pam模块和nss模块的集合
#让PAM身份验证服务使用 OpenLDAP 服务器中的用户
authconfig-tui
getent passwd demouser1
id demouser1
注意，
默认ldap用户在客户端本地是没办法创建家目录的
9、 配置TLS加密
http://www.openldap.org/doc/admin24/tls.html#Server%20Certificates
如果要通过客户端的sssd进行LDAP认证，必须开启TLS加密。sssd不支持不加密的认证通道。
9.1、 创建CA机构
cd /etc/pki/CA
(umask 077;openssl genrsa -out private/cakey.pem 2048)
openssl req -new -x509 -key private/cakey.pem -out cacert.pem -days 3650
touch serial index.txt
echo 01 > serial
9.2、 生成用户证书
cd /etc/pki/tls/certs
(umask 077;openssl genrsa -out slapd.key 1024)
#创建key
openssl req -new -key slapd.key -out slapd.csr
#创建请求文件
openssl ca -in slapd.csr -out slapd.crt -days 3650
#由CA机构生成用户证书
注意：
ldap用户必须有读取证书的权限
chown root.ldap slapd.*
chmod 750 slapd.*
9.3、 配置服务端
vi /etc/openldap/slapd.d/cn\=config.ldif
olcTLSCACertificateFile: /etc/pki/CA/cacert.pem
olcTLSCertificateFile: /etc/pki/tls/certs/slapd.crt
olcTLSCertificateKeyFile: /etc/pki/tls/certs/slapd.key
#指定3个文件的位置
#删除TLSCACertificatePath
systemctl restart slapd
注意：
1.TLSCACertificatePath，指CA证书所在目录，指定的路径下面只能放CA证书，不能放其它证书
2.TLSCACertificatePath和olcTLSCACertificateFile这两个参数冲突，二选一
9.4、 测试
ldapsearch -x -D "cn=Manager,dc=example,dc=com" -W -Z
#-Z，使用加密连接
9.5、 配置客户端
yum install -y sssd
#使用sssd缓存用户信息，实现单点登陆
mkdir /etc/openldap/cacerts/
#sssd默认查找ca证书的路径
scp root@server.example.com:/etc/pki/CA/cacert.pem /etc/openldap/cacerts/
#在server端，将CA证书拷过来
authconfig-tui
注意：
1.会更改三个配置文件：/etc/sssd/sssd.conf 、/etc/nsswithch.conf、/etc/pam.d/system-auth
2.配置结束，sssd服务自动启动
10、 nfs共享家目录
10.1、 服务端NFS共享
yum install -y nfs-utils
vi /etc/exports
/home *(rw,sync)
systemctl start rpcbind
systemctl enable rpcbind
systemctl start nfs-server
systemctl enable nfs-server
10.2、 客户端autofs挂载
yum install -y nfs-utils autofs
vi /etc/auto.master
/home /etc/auto.autofs --timout=600
vi /etc/auto.autofs
* kerberos.example.com:/home/&
systemctl enable autofs
systemctl start autofs
三、 kerberos
kerberos和ldap结合，ldap存储用户信息，kerberos实现认证
也就是密码要由kerberos来存储
1、 名称解释
KDC，票据分发中心
realm，就是域名，要大写
注意：
Kerberos 要求参与通信的主机的时钟同步。票据具有一定有效期，因此，如果主机的时钟与 Kerberos 服务器的时钟不同步，认证会失败。默认设置要求时钟的时间相差不超过 10 分钟。
2、 kerbors身份验证过程
有一个中间人叫KDC(钥匙分发中心)，他为用户端生成好密码，并分发给用户
1.KDC知道所有人的密码，因为客户端的密码就是由KDC生成的
2.每个人都知道自己的密码
3.所有人都向KDC申请验证
客户端输入用户密码-->密码hash保存到本地，用户名以明文发给KDC，请求验证
KDC收到请求，在数据库搜索该用户，找到，就用该用户的密码hash值加密一个TGT（key1），发送给客户端。
客户端收到TGT(key1)，如果上面输入的密码正确，就可以解密，验证成功，并将解开的TGT缓存到本地
客户端-->向KDC申请访问某个服务的请求，KDC将生成一个新的TGT，将新的TGT用key1加密，生成key2；再用服务的密码加密，生成key3，都发给客户端
客户端拿到这两个加密的TGT，将用自己key1解开key2；然后用解开的新TGT加密系统当前的时间戳，生成key4，然后将key4和key3一起发给要访问的服务
服务收到这两个key，用自己的密码解开key3，拿到TGT，然后解开key4，如果能解开，说明客户端可信。
3、 安装kerberos
yum install -y krb5-server
#安装kerberos
4、 配置
通用配置文件
vi /etc/krb5.conf
[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log
[libdefaults]
dns_lookup_realm = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
rdns = false
default_realm = EXAMPLE.COM
default_ccache_name = KEYRING:persistent:%{uid}
[realms]
EXAMPLE.COM = {
kdc = kerberos.example.com
admin_server = kerberos.example.com
}
#注意，要能解析
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM
注意：
不管服务端，还是客户端，都会用到/etc/krb5.conf
5、 初始化kerberos
kdb5_util create -s -r EXAMPLE.COM
#创建kerberos的数据库，并设置数据库密码
#-s，表示将密码保存为文件，不用每次启服务时，需要输入密码
systemctl start kadmin
systemctl start krb5kdc
systemctl enable krb5kdc
systemctl enable kadmin
6、 创建票据
6.1、 principal概念
Kerberos认证的唯一ID叫principal，由primary、instance、realm三部分组成
6.2、 创建principal
kadmin.local
?
#查看帮助
addprinc root/admin
#创建一个用户root，角色是admin
#并创建密码
addprinc demouser1
addprinc demouser2
#设置两个用户的密码
#注意，这两个用户信息存在LDAP中
addprinc -randkey host/node2.example.com
#创建主机，即kerberos客户端主机
#-randkey，主机密码随机设置
listprincs
#列出创建的princ
quit
7、 客户端配置
SSSD在LDAP目录中查找用户，然后联系Kerberos KDC进行身份验证并获取票证。
这么多配置文件，很容易出错，所以建议使用工具，进行配置：
authconfig，命令行
authconfig-tui，文本图形
authconfig-gtk，图形
7.1、 装包
yum install -y krb5-workstation sssd pam_krb5
#krb5-workstation，kerberos客户端
#sssd，安全服务守护进程，负责检索和缓存用户信息和身份验证信息
#pam_krb5，默认，kerberos会绕过pam，安装此包，就是让使用pam的应用程序可以使用kerberos进行身份验证
7.2、 配置文件
scp root@server.example.com:/etc/krb5.conf node1:/etc
#拷贝kerberos服务器的/etc/krb5.conf过来
mkdir /etc/krb5.conf.d/
#因为配置文件里有includedir /etc/krb5.conf.d/，所以必须创建这个目录，否则下面的命令失败
#也可以将配置文件中的inludedir删掉
7.3、 导入keytab
keytab必须为：/etc/krb5.keytab
kadmin
#远程连到KDC服务器
#连接信息，在配置文件中
ktadd host/node1.example.com
#根据配置文件，连接到kerberos服务器，将主机的key下载到本地
7.4、 配置
authconfig-tui
8、 配置ssh
SSH登陆，通过kerberos认证，无需输入密码
GSSAPI：Generic Security Services Application Program Interface，GSSAPI 本身是一套 API，由 IETF 标准化。
其最主要也是著名的实现是基于 Kerberos 的。一般说到 GSSAPI 都暗指 Kerberos 实现。
GSSAPI 是一套通用网络安全系统接口。该接口是对各种不同的客户端服务器安全机制的封装，以消除安全接口的不同，降低编程难度。
8.1、 ssh服务端和客户端启用ASSAPI
vi /etc/ssh/ssh_config
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes
vi /etc/ssh/sshd_config
GSSAPIAuthentication yes
GSSAPICleanupCredentials yes
systemctl restart sshd
8.2、 测试
ssh demouser1@node1
#不需要输入密码就对了
klist
#列出票据
9、 配置nfs secure
NFS默认不需要身份验证，带来很多安全问题，通过kerberos来保护NFS的安全
前提：
NFS服务端和客户端先配置好kerberos验证
9.1、 在NFS服务端远程创建principal
kadmin -p root/admin
#使用root登陆到KDC
addprinc -randkey host/server.example.com
addprinc -randkey host/client.example.com
#创建nfs服务器和客户端的host principal
addprinc -randkey nfs/server.example.com
addprinc -randkey nfs/client.example.com
#创建nfs服务端和客户端的service principal
ktadd host/server.example.com
ktadd nfs/server.example.com
#默认会将两个principal，以追加的方式保存到本地的/etc/krb5.keytab
q
10.2、 安装nfs-server
yum install krb5-workstation
yum install nfs-utils
mkdir -p /share
chown demouser1.demouser1 /share
vi /etc/exports
/share *(rw,sec=krb5p)
vi /etc/sysconfig/nfs
RPCNFSDARGS="-V 4.2"
#开启NFS4.2版本
#注意，在centos7.1之后，需要重启系统才能生效
systemctl start nfs-server
systemctl start nfs-secure-server
#注意，centos7.1之后，不再使用nfs-secure-server服务，改用rpc-gssd
10.6、 客户端
kadmin -p root/admin
ktadd host/client.example.com
ktadd nfs/client.example.com
q
systemctl restart nfs-secure
mkdir /mnt/share
showmout -e server.example.com
mount -o sec=krb5p,v4.2 server.example.com:/share /mnt/share
