CentOS 7下OpenLDAP编译安装及配置

原文地址:

https://blog.csdn.net/panjinxiang4217/article/details/79998890  #安装
http://blog.chinaunix.net/xmlrpc.php?r=blog/article&uid=26168435&id=5746284  #安装加使用

一．环境

 

  1. CentOS-7-x86_64-1511

 

二．软件

 

  1. openldap-2.4.44.tgz
  2. db-5.1.29.tar.gz 

      下载：

ftp://ftp.openldap.org/pub/OpenLDAP/openldap-release/openldap-2.4.44.tgz
http://download.oracle.com/berkeley-db/db-5.1.29.tar.gz

三．准备

 

1. 关闭selinux；

2. 打开防火墙tcp 389 / 636端口或关闭防火墙。

3.依赖包
    yum install *ltdl*

     yum groupinstall "Development Tools" –y

 

四．安装OpenLDAP

    1.安装BDB

#必须在解压包的build_unix目录中编译安装，否则会报错
[root@localhost ~]# cd /usr/local/src/
[root@localhost src]# tar -zxvf db-5.1.29.tar.gz
[root@localhost src]# cd db-5.1.29/build_unix/
[root@localhost build_unix]# ../dist/configure --prefix=/usr/local/berkeleydb-5.1.29
[root@localhost build_unix]# make
[root@localhost build_unix]# make install

     2.更新lib库

#保证在后面编译openldap时能找到lib和include下的库
[root@localhost build_unix]# cd /usr/local/src/
[root@localhost src]# echo "/usr/local/berkeleydb-5.1.29/lib/" > /etc/ld.so.conf
[root@localhost src]# ldconfig -v

    3. 安装OpenLDAP

#编译选项可以通过./configure --help查看；
#其中make test一步时间较长；
#如果未设置CPPFLAGS，configure过程可能会提示configure: error: BDB/HDB: BerkeleyDB not available 或 configure: error: BerkeleyDB version incompatible with BDB/HDB backends
[root@localhost ~]# cd /usr/local/src/
[root@localhost src]# tar -zxvf openldap-2.4.44.tgz
[root@localhost src]# cd openldap-2.4.44
[root@localhost openldap-2.4.44]# ./configure --prefix=/usr/local/openldap-2.4.44 --enable-syslog --enable-modules --enable-debug --with-tls CPPFLAGS=-I/usr/local/berkeleydb-5.1.29/include/ LDFLAGS=-L/usr/local/berkeleydb-5.1.29/lib/
[root@localhost openldap-2.4.44]# make depend
[root@localhost openldap-2.4.44]# make && make install

    4. 设置可执行命令

#对openldap客户端（bin）与服务器端（sbin）相关执行档添加软链接，也可以通过增加环境变量的方式设置
[root@localhost openldap-2.4.44]# cd /usr/local/openldap-2.4.44
[root@localhost openldap-2.4.44]# ln -s /usr/local/openldap-2.4.44/bin/* /usr/local/bin/
[root@localhost openldap-2.4.44]# ln -s /usr/local/openldap-2.4.44/sbin/* /usr/local/sbin/

五．简单配置

1. 安装完成的openldap-2.4.44目录结构

openldap安装完成后相关目录承载的功能如下：

bin/ --客户端工具如ldapadd、ldapsearch

etc/ --包含主配置文件slapd.conf、schema、DB_CONFIG等

include/

lib/

libexec/ --服务端启动工具slapd

sbin/ --服务端工具如slappasswd

share/

var/ --bdb数据、log存放目录

2. 配置rootdn密码(optional)

#设置rootdn密码，这里设置为123456；
#这样rootdn密码为密文方式，复制输出密文到主配置文件rootdn对应的位置即可，如果不想麻烦，可以忽略此步，在主配置文件中使用明文即可。
[root@localhost ~]# cd /usr/local/openldap-2.4.44/
[root@localhost openldap-2.4.44]# slappasswd
New password:
Re-enter new password:
{SSHA}K9+WK/t1e0V0K6pUMOyTsaTwkDBNEDiP

3. 主配置文件slapd.conf

[root@localhost openldap-2.4.44]# cd /usr/local/openldap-2.4.44/etc/openldap/
[root@localhost openldap]# vim slapd.conf
#以下修改紫红色字体是未做修改的部分，红色字体是有修改部分，蓝色字体表示新增部分

#schema默认只有core.schema，各级需要添加，这里将同配置文件一个目录的schema目录中有的schema文件都加到配置文件中;
include   /usr/local/openldap-2.4.44/etc/openldap/schema/core.schema
include   /usr/local/openldap-2.4.44/etc/openldap/schema/collective.schema
include   /usr/local/openldap-2.4.44/etc/openldap/schema/corba.schema
include   /usr/local/openldap-2.4.44/etc/openldap/schema/cosine.schema
include   /usr/local/openldap-2.4.44/etc/openldap/schema/duaconf.schema
include   /usr/local/openldap-2.4.44/etc/openldap/schema/dyngroup.schema
include   /usr/local/openldap-2.4.44/etc/openldap/schema/inetorgperson.schema
include   /usr/local/openldap-2.4.44/etc/openldap/schema/java.schema
include   /usr/local/openldap-2.4.44/etc/openldap/schema/misc.schema
include   /usr/local/openldap-2.4.44/etc/openldap/schema/nis.schema
include   /usr/local/openldap-2.4.44/etc/openldap/schema/openldap.schema
include   /usr/local/openldap-2.4.44/etc/openldap/schema/pmi.schema
include   /usr/local/openldap-2.4.44/etc/openldap/schema/ppolicy.schema

pidfile     /usr/local/openldap-2.4.44/var/run/slapd.pid
argsfile    /usr/local/openldap-2.4.44/var/run/slapd.args

#新增日志文件级别与路径，需要在编译时--enable-debug，否则日志文件输出，不影响调试模式;
loglevel    256
logfile    /usr/local/openldap-2.4.44/var/slapd.log

#这里使用mdb做后端数据库，也可修改为"bdb"参数，在OpenLDAP 官方文档" 11.4. LMDB"章节中有介绍mdb是推荐使用的后端数据库;
database    mdb

#使用mdb做后端数据库时，根据官方文档中说明需要设置一个空间值，" In addition to the usual parameters that a minimal configuration requires, the mdb backend requires a maximum size to be set. This should be the largest that the database is ever anticipated to grow (in bytes). The filesystem must also provide enough free space to accommodate this size."；如果使用bdb做后端数据库，需要将此项参数注释;
maxsize        1073741824

#修改域名及管理员账户名;
suffix        "dc=sys,dc=com"
rootdn        "cn=admin,dc=sys,dc=com"

#使用密文密码，即前面使用slappasswd生成的密文,注意rootpw跟后面的密码是用tab隔开的，不是的话后面的操作会显示无效密码;
rootpw        {SSHA}K9+WK/t1e0V0K6pUMOyTsaTwkDBNEDiP

#openldap数据目录，采用mdb时，在相应目录生成" data.mdb"与" lock.mdb"文件；采用bdb时，在相应目录生成" dn2id.bdb"与" id2entry.bdb"，及多个" __db.00*"文件。
directory    /usr/local/openldap-2.4.44/var/openldap-data

index    objectClass    eq

4. 初始化OpenLADP(optional)

#如果采用mdb做后端数据库，此步可忽略，DB_CONFIG是 bdb/hdb数据库使用的；
#与主配置文件中的配置有关，主配置文件确定使用bdb与数据存放路径。
[root@localhost openldap]# cd /usr/local/openldap-2.4.44/var/openldap-data/
[root@localhost openldap-data]# cp DB_CONFIG.example DB_CONFIG

5. 启动OpenLADP

#直接在后台工作;
#非root用户不能监听端口1~1024，如果是非root用户，有可能需要重新定义服务端口
[root@localhost ~]# /usr/local/openldap-2.4.44/libexec/slapd

#在前端工作，输出debug信息
[root@localhost ~]# /usr/local/openldap-2.4.44/libexec/slapd -d 256

6. 验证

[root@localhost ~]# ldapsearch -x -b '' -s base'(objectclass=*)'
#或者[root@localhost ~]# ldapsearch -x -b '' -s base '(objectclass=*)' namingContexts
#或者使用netstat -tunlp | grep 389，ps -ef | grep slapd，ps aux | grep slapd等也可。

如图示，说明openldap已经启动运行成功：

7.创建管理员账号

[root@ceshi /opt/openldap-2.4.44/etc/openldap 16:58:29&&112]#cat admin.ldif   ##注意中间有个空行是必须的,dc必须和配置里的一样
dn: dc=ceshi,dc=com
objectclass: dcObject
objectclass: organization
o: Ceshi.Inc
dc: ceshi

dn: cn=admin,dc=ceshi,dc=com
objectclass: organizationalRole
cn: admin

#添加
ldapadd -x -D "cn=admin,dc=ceshi,dc=com" -W -f admin.ldif

 8.创建1个具有部门属性的员工

创建1个具有部门属性的员工

编辑ldif文件

#这里其实是先创建1个部门”yunwei”，再在”yunwei”部门创建了1个员工，实际上是两条命令
[root@localhost ~]# vim yunwei.ldif
dn: ou=yunwei,dc=ceshi,dc=com
ou: yunwei
objectClass: organizationalUnit

dn: cn=hxh,ou=yunwei,dc=ceshi,dc=com
ou: yunwei
cn: hxh
sn: hui
objectClass: inetOrgPerson
objectClass: organizationalPerson

插入数据库(admin是管理员，必须用admin来创建)
[root@localhost ~]# ldapadd -x -D "cn=admin,dc=puyi,dc=com" -W -f yunwei.ldif

验证
ldapsearch -x -b 'dc=ceshi,dc=com' '(objectClass=*)'

9.openldap备份和复制 

需要恢复3个地方

/opt/openldap-2.4.44/etc/openldap/schema (整个目录、一些自定义属性在这里)

/opt/openldap-2.4.44/var/openldap-data/data.mdb （数据）

/application/pms/openldap-2.4.44/etc/openldap/slapd.conf #以下项

 

suffix "dc=xxx,dc=com"
rootdn "cn=admin,dc=xxx,dc=com"
rootpw {SSHA}j4EieVIgu0wvuLsV/SIXV1T5ckyGx+F7

 



#1.备份此文件
/application/pms/openldap-2.4.44/var/openldap-data/data.mdb

#2.恢复
恢复openldap的data.mdb替换为备份的data.mdb文件，并且恢复slapd。conf文件的dc=westcatic,dc=com。

#3.重启slapd

#4.创建管理员账号

 

ldapadmin安装和使用

下载：64-bit：http://softerra-downloads.com/ldapadmin/ldapadmin-4.13.16704.0-x64-eng.msi

1.双击安装

2.运行ldapadmin

 

3.创建数据库文件

New—>New Profile，或者在主界面中Ctrl+P；

 

输入Profile名字，名字任意，下一步；

 

输入Host地址，Port默认为389(注意iptables是否开放389端口)；

BaseDN处默认为空，标示在根节点上，如果不想显示根节点，可在后方下拉列表中选择具体的一级数据库，下一步；

 

选择”Other credenti”，

Mechanism选择”Simple”，

Princip处输入”cn=adminnnnn,dc=sys,dc=com”，

Password处填写相应密码，保存密码，点击”完成”即创建成功。

 

验证

 

 

附录<span "="">

1.    常见对象属性

LDAP为人员组织机构中常见的对象都设计了属性(比如commonName，surname)。下面有一些常用的别名：

属性名称

属性别名

语法

描述

值（举例）

commonName

cn

Directory String

名子

sean

surname

sn

Directory String

姓氏

Chow

organizationalUnitName

ou

Directory String

单位（部门）名称

IT_SECTION

organization

o

Directory String

组织（公司）名称

linuxprobe

telephoneNumber

　

Telephone Number

电话号码

911

objectClass

　

　

内置属性

organizationa

2.    ldif文件示例

http://seanlook.com/2015/01/22/openldap_ldif_example/ 

 phpldapadmin安装

1）安装EPEL仓库，镜像里没有PhpLDAPAdmin这个的安装包，所以得安装EPEL仓库
    wget -P /etc/yum.repos.d/ http://mirrors.aliyun.com/repo/epel-6.repo
    yum clean all #清除YUM缓存,yum 会把下载的软件包和header存储在cache中，而不自动删除。如果觉得占用磁盘空间，可以使用yum clean指令进行清除，
　　 更精确 的用法是yum clean headers清除header，yum clean packages清除下载的rpm包，yum clean all一全部清除
    yum makecache # 将服务器上的软件包信息 现在本地缓存,以提高 搜索 安装软件的速度
2）安装PhpLDAPAdmin
    yum install -y phpldapadmin

3）修改phpldapadmin的配置文件，访问控制权限vim /etc/httpd/conf.d/phpldapadmin.conf，允许谁访问
    [root@base /etc/openldap 10:31:51&&36]#cat /etc/httpd/conf.d/phpldapadmin.conf
    Alias /phpldapadmin /usr/share/phpldapadmin/htdocs
    Alias /ldapadmin /usr/share/phpldapadmin/htdocs

    <Directory /usr/share/phpldapadmin/htdocs>
      <IfModule mod_authz_core.c>
        # Apache 2.4
        #Require local
        Require all granted
      </IfModule>
      <IfModule !mod_authz_core.c>
        # Apache 2.2
        Order Allow,Deny
        Allow from all
        #Deny from 127.0.0.1
        #Deny from ::1
      </IfModule>
    </Directory>
4）修改配置文件：vim /etc/phpldapadmin/config.php
    $servers->setValue('login','attr','dn');    这一行的注释去掉
    //$servers->setValue('login','attr','uid');  这一行注释掉

5）重启httpd服务
    [root@base /etc/openldap 10:34:53&&40]#/etc/init.d/httpd restart
    Stopping httpd:                                            [  OK  ]
    Starting httpd: httpd: Could not reliably determine the server's fully qualified domain name, using 192.168.159.14 for ServerName
                                                               [  OK  ]
6）在浏览器输入OpenLDAP服务端的IP   10.0.0.138/ldapadmin

    登陆：用户 cn=admin,dc=puyi,dc=com   密码：123456

　　

 常用命令

 

 

Option 说明
-H ldapuri，格式为ldap://机器名或者IP:端口号，不能与-h和-p同时使用
-h LDAP服务器IP或者可解析的hostname，与-p可结合使用，不能与-H同时使用
-p LDAP服务器端口号，与-h可结合使用，不能与-H同时使用
-x 使用简单认证方式
-D 所绑定的服务器的DN
-w 绑定DN的密码，与-W二者选一
-W 不输入密码，会交互式的提示用户输入密码，与-w二者选一
-n 模拟操作但并不实际执行，用于验证，常与-v一同使用进行问题定位
-v 显示详细信息
-d 显示debug信息，可设定级别
-S 交互式进行密码的提示和输入以及Re-enter，与-s二者选一
-s 将指定内容设为密码，与-S二者选一
---------------------
#添加 -W要回车后输入密码

方法1：#远程添加
ldapadd -H ldap://192.168.31.242:389 -D "cn=admin,dc=example,dc=org" -w admin -f barbara.ldif 

方法2： #本地添加
ldapadd -x -D "cn=admin,dc=ceshi,dc=com" -W -f test.ldif  
[root@localhost /opt/openldap-2.4.44/etc 14:20:19&&27]#cat test.ldif 
---------------------------------------------------
dn: dc=ceshi,dc=com
objectclass: dcObject
objectclass: organization #公司
o: Ceshi.Inc
dc: ceshi

dn: ou=it,dc=ceshi,dc=com
ou: it  #部门
objectClass: organizationalUnit

dn: cn=hanxiaohui,ou=it,dc=ceshi,dc=com
ou: it
cn: hanxiaohui #用户名
sn: hui    #姓
userPassword: 1q2w3e4r #密码
objectClass: inetOrgPerson
objectClass: organizationalPerson
---------------------------------------------------

#修改用户属性、密码
方法1：直接用ldappasswd修改密码、这个密码是ldappasswd生成的
ldappasswd -x -D "cn=admin,dc=ceshi,dc=com" -w 123456  "cn=hanxiaohui,ou=it,dc=ceshi,dc=com"  #结果如下、password是直接生成的。
New password: G07wytcb

方法2：
ldapmodify -x -D "cn=admin,dc=ceshi,dc=com" -W -f changePassword.ldif
[root@localhost /opt/openldap-2.4.44/etc 14:20:19&&27]#cat changePassword.ldif
----------------------------
dn: cn=hanxiaohui,ou=it,dc=ceshi,dc=com
changetype: modify
#add: mail
#mail: modme@example.com
replace: userPassword
userPassword: 1q2w3e4r
----------------------------

#删除用户、只能删除空部门
ldapdelete -x -D "cn=admin,dc=ceshi,dc=com" -W 'ou=it,dc=ceshi,dc=com'

#搜索
ldapsearch -x -b 'dc=ceshi,dc=com' '(objectClass=*)'
 

　　

 

posted @ 2018-08-12 18:49  xgmxm  阅读(1443)  评论(0)  编辑  收藏  举报