OpenLDAP-i seadistamine
Autorid
- Mauno Pihelgas
- Kristjan Mölder
Sissejuhatus
LDAP (Lightweight Directory Access Protocol) on iseenesest protokoll ning üks selle prokolli implementatsioon on OpenLDAP (http://www.openldap.org/), mis sisaldab üldiselt nelja komponenti:
* slapd - stand-alone LDAP daemon (server) * slurpd - stand-alone LDAP update replication daemon * teegid - implementeerivad LDAP protokolli * utiliidid - abiprogrammid ja näidised erinevate tegevuste sooritamiseks
OpenLDAP kasutamise muudab praktiliseks asjaolu, et ta on üsna paljude rakendustega (nt PAM) integreeritud ning OpenLDAP kasutamiseks on vajalikud teegid olemas mitmetes programmeerimiskeeltes (nt Java, Perl, PHP). OpenLDAP toetab suures ulatuses LDAP v2 ja v3 versioone; võimaldab andmevahetust üle TLS/SSL.
Antud wiki artiklis saab ülevaate LDAP-i (OpenLDAP ver: 2.4.9) installeerimisest ja seadistamisest. Töötavat LDAP-i testitakse SAMBA (Samba ver: 3.0.28a) peal, seega saame väikse ülevaate ka selle paigaldamisest ja seadistamisest LDAP-i jaoks.
Eeldused
- Antud lahendus on testitud Ubuntu 8.04 LTS Serveril.
- Testimiseks kliendi masin, millele on paigaldatud Samba klient ja ldap-utils. Antud lahendust on võimalik testida ka serverist endast localhost-i vastu.
Nõuded
Ülesanne on LDAP-i paigaldamine ning seadistamine OpenLDAP-i näitel.
Testimiseks pidime vabalt valima mingi teenuse, mida LDAP-i vastu autentima panna. Otsustasime Samba seadistamise kasuks.
Kindlasti peame koostama taastamis- ja varundamisjuhendi.
Installeerimine
Logime ennast root kasutajaks ning käivitame vajalikud toimingud. Kuna sudo-t sel juhul enam vaja ei lähe, hoiad selle arvelt pisut aega kokku. Samas on aga tunduvalt lihtsam midagi ära rikkuda, sest KÕIK käsud käivitatakse root kasutaja õigustes!
sudo -i
Esiteks tuleks tarkvara nimekirja uuendada.
apt-get update
Paigaldame slapd, ldap-utils ja migrationtools paketid.
apt-get install slapd ldap-utils migrationtools
slapd installi ajal sisestatud LDAP admini parool: 'root' (hiljem kirjutatakse see dpkg-reconfigure' ajal üle)
- ldap-utils - sisaldab utiliite LDAP kataloogiga suhtlemiseks, nt ldapsearch päringute tegemiseks; 'dpkg -L ldap-utils | grep bin' näitab programmide nimekirja, reeglina algavad nende nimed 'ldap*' järgnevusega
- slapd - sisaldab OpenLDAP serverit ning utiliite LDAP kataloogile vastavate failidega tegelemiseks, nt slapcat esitab kogu kataloogi sisu nn ldif formaadis; 'dpkg -L slapd | grep bin' esitab programmide nimekirja, reeglina algavad nimed 'slap*' järgnevusega
Seadistamine
Käivita slapd seadistamine ning vasta küsimustele all toodud näite põhjal.
dpkg-reconfigure slapd
Vastused, mida võiks vastata:
Omit OpenLDAP server configuration? No DNS domain name: ... infra2009.debuntu Name of your organization: ITK Admin Password: 'root' Confirm Password: 'root' Database backend to use: BDB Do you want your database to be removed when slapd is purged?: No Move old database?: Yes Allow LDAPv2 Protocol?: No
Nüüd on esialgne seadistus tulevasele kataloogipuule tehtud. Loodud on ka kasutaja "admin"(administraator).
Kohandame /etc/ldap/ldap.conf faili meie süsteemi jaoks. Selleks ava fail:
nano /etc/ldap/ldap.conf
Ja muuda järgnevalt:
BASE dc=infra2009,dc=teenused URI ldap://localhost
Tee teenusele taaslaadimine
/etc/init.d/slapd reload
Nüüd testi, kas serveril LDAP töötab ning teenus vastab.
ldapsearch -x -b dc=infra2009,dc=teenused
Kasutatud võtmete selgitused:
-x - ldap serverisse logimine toimub simple authenticationi abil (parooli ei krüpteerita) -b - serveri poole pöördutakse serveri administraatorina, nö kasutajanimega 'cn=admin,dc=infra2009,dc=teenused'
Kui saad errori: "dap_bind: Can't contact LDAP server (-1)", siis tõenäoliselt LDAP veel ei tööta. Käivita see käsuga:
/etc/init.d/slapd start
Kasutajate ja gruppide lisamine LDAP-i andmebaasi (Valikuline osa)
"Migrationtools-i" abiga on meil võimalik oma kohalikust süsteemist kiiresti importida olemasolevad kasutajad ja grupid LDAP-i. Juhul, kui su masinas ei ole palju kasutajaid, siis see etapp ei ole vajalik.
Paigaldame migrationtools paketi.
apt-get install migrationtools
Antud Ubuntu Server 8.04 LTS-i näol tulid esile ka distributsiooni vead: migrate_common.ph fail paigaldatakse valesse /usr/share/perl5/ kausta.
Lisalugemist vea kohta leiad siit!
Katsetuste käigus selgus, et kui muuta faili nn VALES kohas ära, siis maagiliselt asi ikka töötab. Seega hetkel see Ubuntu viga meid ei häiri.
Järgnevalt peame veidi muutma migrationtools-i conf faili migrate_common.ph. Ava nano-ga see conf-i fail...
nano /usr/share/perl5/migrate_common.ph
...ja asenda näidatud parameetrid uute nimedega:
# Default DNS domain $DEFAULT_MAIL_DOMAIN = "infra2009.teenused"; # Default base $DEFAULT_BASE = "dc=infra2009,dc=teenused";
Seejärel ekspordi uued väärtused käskudega:
/usr/share/migrationtools/migrate_group.pl /etc/group ~/group.ldif /usr/share/migrationtools/migrate_passwd.pl /etc/passwd ~/passwd.ldif
OU'de loomine: Kahjuks ei loo eelnev script gruppide ja inimeste faili, seega peame selle ise looma. Loo uus fail nimega ~/people_group.ldif:
nano ~/people_group.ldif
... ja täida see järgneva sisuga:
dn: ou=People, dc=infra2009, dc=teenused ou: People objectclass: organizationalUnit dn: ou=Group, dc=infra2009, dc=teenused ou: Group objectclass: organizationalUnit
Nüüd on meil kasutajad ja grupid konverditud LDAP ldif formaati. Need omakorda tuleb importida LDAP-i databaasi: (Iga käsu järel küsitakse LDAP-i parooli. Sisesta parool, mis ldap-i dpkg-reconfigure käigus selleks määrasid.)
ldapadd -x -W -D "cn=admin,dc=infra2009,dc=teenused" -f ~/people_group.ldif ldapadd -x -W -D "cn=admin,dc=infra2009,dc=teenused" -f ~/group.ldif ldapadd -x -W -D "cn=admin,dc=infra2009,dc=teenused" -f ~/passwd.ldif
Key-dest lähemalt:
-x - ldap serverisse logimine toimub simple authenticationi abil (parooli ei krüpteerita) -D - serveri poole pöördutakse serveri administraatorina, nö kasutajanimega 'cn=admin,dc=infra2009,dc=teenused' -w - pöördumisel kasutatakse parooli -f - serverisse laaditakse ette antud failist andmed
Nüüd peaks server olema valmis kasutajaid vastu võtma
Samba Installeerimine
Paigaldame vajaminevad samba, samba-doc, smbldap-tools, smbclient, libnss-ldap, ldapscripts ja libtalloc1 paketid.
apt-get install samba samba-doc smbldap-tools smbclient libnss-ldap ldapscripts libtalloc1
Selleks, et kasutada LDAP-i Samba autentimisvahendina, peab LDAP-i objektidele lisama Samba atribuute, mis on kirjeldatud samba.schema failis. Paketist samba-doc on võimalik nimetatud fail lahti pakkida ja kopeerida /etc/ldap/schema kausta. Seejärel saame lisada (include) faili slapd.conf-i.
Kopeerime samba.schema.gz faili LDAP-i schema kausta:
cp /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz /etc/ldap/schema/
Pakime lahti eelnevalt kopeeritud faili:
gzip -d /etc/ldap/schema/samba.schema.gz
Ava slapd.conf fail:
nano /etc/ldap/slapd.conf
... ja lisa allpool näidatud plokki antud include rida:
# Schema and objectClass definitions include /etc/ldap/schema/samba.schema
Kui Samba ei ole eelnevalt seadistatud, siis pakume ühe variandina enda poolt seadistatud smb.conf faili sisu.
Vajadusel kohandada näidet konkreetse olukorra järgi.
nano /etc/samba/smb.conf
[global] display charset = UTF-8 unix charset = UTF-8 workgroup = UBUNTU2 server string = %h server (Samba, Ubuntu) interfaces = lo, eth0 bind interfaces only = Yes passwd program = /usr/bin/passwd %u passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* . log level = 3 log file = /var/log/samba/log.%m max log size = 1000 dns proxy = No guest account = nobody #Ldap settings passdb backend = ldapsam:ldap://localhost ldap admin dn = "cn=admin,dc=infra2009,dc=teenused" ldap group suffix = ou=Groups ldap idmap suffix = ou=Idmap ldap machine suffix = ou=Computers ldap replication sleep = 2000 ldap suffix = dc=infra2009,dc=teenused ldap ssl = no ldap timeout = 300 ldap user suffix = ou=People usershare allow guests = Yes panic action = /usr/share/samba/panic-action %d #Do not show hidden files. veto files = /.*/ [homes] comment = Home Directories valid users = %S create mask = 0700 directory mask = 0700 browseable = No read only = No
smbldap-tools seadistamine
Paketti smbldap-tools kasutame selleks, et lisada LDAP-i Samba kasutajad, kaustad jne, kuid eelnevalt tuleb need tööriistad seadistada.
Ava kaust:
cd /usr/share/doc/smbldap-tools/examples/
Kopeeri konfiguratsiooni failid /etc/smbldap-tools kausta:
cp smbldap_bind.conf /etc/smbldap-tools/ cp smbldap.conf.gz /etc/smbldap-tools/
Paki lahti smbldap.conf.gz fail:
gunzip /etc/smbldap-tools/smbldap.conf.gz
Ava kaust /etc/smbldap-tools directory:
cd /etc/smbldap-tools/
Leia SAMBA domeeni jaoks SID (Security ID):
net getlocalsid
Sealt peaksid leidma midagi sellist: SID for domain DC01-UBUNTU is: S-1-5-21-949328747-3404738746-3052206637
Ava /etc/smbldap-tools/smbldap.conf fail...
nano /etc/smbldap-tools/smbldap.conf
...ning muuda seda faili vastavalt. Välja peaks see nägema umbes selline:
SID="S-1-5-21-2172294073-268650948-1601795792" ## Siia pead sisestama SID, mille said 'net getlocalsid' käsu tulemuseks. sambaDomain="UBUNTU2" ldapTLS="0" suffix="dc=infra2009,dc=teenused" userSmbHome= userProfile= userHomeDrive= userScript= sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}" mailDomain="infra2009.teenused"
Ava /etc/smbldap-tools/smbldap_bind.conf fail...
nano /etc/smbldap-tools/smbldap_bind.conf file
..ning muuda seda faili vastavalt oma individuaalsele seadistusele. Välja peaks see nägema umbes selline:
slaveDN="cn=admin,dc=infra2009,dc=teenused" slavePw="root2" masterDN="cn=admin,dc=infra2009,dc=teenused" masterPw="root2"
Sea õiged õigused järgnevatele failidele:
chmod 0644 /etc/smbldap-tools/smbldap.conf chmod 0600 /etc/smbldap-tools/smbldap_bind.conf
/etc/ldap.conf-is teha muudatused.
Ava fail:
nano /etc/ldap.conf
...ja muuda järgnevalt:
# The distinguished name of the search base. base dc=infra2009,dc=teenused # Another way to specify your LDAP server is to provide an uri ldapi:///localhost # Unix Domain Sockets to connect to a local LDAP Server. uri ldap://127.0.0.1/ #uri ldaps://127.0.0.1/ #uri ldapi://%2fvar%2frun%2fldapi_sock/ # Note: %2f encodes the '/' used as directory separator
Testkasutaja lisamine
Loome LDAP-i uue kasutaja nimega David. Käsuga smbldap-useradd lisatakse loodavale kasutajale klassid: person, organizationalPerson, inetOrgPerson, posixAccount, shadowAccount ja sambaSamAccount. Käsk näeb välja selline smbldap-useradd -a -m -P <kasutajanimi> Näiteks:
smbldap-useradd -a -m -P david
Loome ühtlasi testgrupi käsuga smbldap-groupadd -a -g -t 2 <kasutajanimi> Näiteks:
smbldap-groupadd -a -g -t 2 david
Et kasutaja saaks kodukausta kasutamiseks õigused tuleb sisestada käsk:
chown <kasutajanimi>:<grupi_nimi> /home/<kasutaja_kodukaust> Näiteks:
chown david:david /home/david
Testimine klientarvutis
ldapsearch-i kasutamine
Testkäske võib sisestada ka serverist endast localhost-i vastu. Testimiseks veendu, et arvutisse on installeeritud ldap-utils:
apt-get install ldap-utils
Testi, kas server tagastab LDAP andmebaasis olevad kirjed LDIF kujul.
ldapsearch -x -b dc=infra2009,dc=teenused
Samba testimine
Veendu, et klientarvutis oleks olemas smbclient:
apt-get install smbclient
Seejärel proovi ühenduda serveriga: smbclient //<serveri_ip>/<jagatud_kausta_nimi> -U <kasutajanimi> Näiteks
smbclient //localhost/david -U david
Logifailide loomine
Logifailide lubamiseks on meil vaja määrata loglevel ning logifaili asukoht. Ava slapd.conf fail:
nano /etc/ldap/slapd.conf
...ja muuda järgnevaid ridu:
# Read slapd.conf(5) for possible values loglevel 256
Atrbuuti logfile pole selles failis vaja, kuna seda kasutatakse selleks, et logida debugimise teateid. Teated saadetakse vaikimisi syslog faili.
Selleks, et logi kirjed saadetaks meie poolt valitud faili, peame syslog.conf faili muutma.
Ava:
nano /etc/syslog.conf
... ja lisa faili lõppu:
local4.* /var/log/ldap/slapd.log
Määrame varem loodud ldap kaustale uue omaniku õigused:
chown syslog /var/log/ldap
Tee sysklogd teenusele reload:
/etc/init.d/sysklogd reload
Nüüd kõik syslog-i LOG_LOCAL4 kirjed suunatakse slapd.log faili.
Teenuse varundamine
Loome kaustad, kuhu andmed varundada:
mkdir -p /var/backups/ldap/db /var/backups/ldap/etc
Andmebaasi varundamine
Väljastame LDAP andmebaasi kirjed slapcat käsu abil, pakime väljundi kokku ja salvestame /var/backups/ldap/backup.<kuupäev>.ldif.gz faili.
slapcat | gzip > /var/backups/ldap/db/backup.`date '+%Y%m%d'`.ldif.gz
Seadistusfailide varundamine
Teeme varukoopia /etc/ldap/ kaustast. Kompaktsuse säilitamiseks pakime seadistusfailid ühte faili. Selleks, et näha millal varundamine tehti lisame failinimele varundamise kuupäeva, selline kuupäevaformaat(AastaKuuPäev)võimaldab kiirelt viimase faili leida.
tar cvf /var/backups/ldap/etc/conf_backup.`date '+%Y%m%d'`.tar /etc/ldap/* /etc/syslog.conf
Teenuse taastamine
Kui teenusega ilmneb probleeme tuleb seadistusfailid üle vaadata ja vajadusel taastada. Näites tegime varundamise /var/backups/ldap/ kausta.
Andmebaasi taastamine
Pakime varundatud faili lahti ning sellest on võimalik LDAP-i baas taastada.
gunzip -c /var/backups/ldap/backup.<kuupäev>.ldif.gz > /var/backups/ldap/backup.<kuupäev>.ldif
ldapadd -x -W -D "cn=admin,dc=infra2009,dc=teenused" -f /var/backups/ldap/backup.<kuupäev>.ldif
gunzip -c /var/backups/ldap/backup.20091218.ldif.gz > /var/backups/ldap/backup.20091218.ldif ldapadd -x -W -D "cn=admin,dc=infra2009,dc=teenused" -f /var/backups/ldap/backup.20091218.ldif
Seadistusfailide taastamine
Taastamiseks tuleb varukoopia lahti pakkida ning vastavalt olukorrale taastada vajalikud failid.
tar xvf /var/backups/ldap/etc/conf_backup.<kuupäev>.tar
Näiteks:
tar xvf /var/backups/ldap/etc/conf_backup.20091218.tar
Versioon
- ver. 0.05 (LDAP-i paigaldamine ja esialgne konfigureerimine) 15.12.2009
- ver. 0.06 (LDAP-i töölesaamine) 16.12.2009
- ver. 0.85 (Samba installeerimine, seadistamine ja LDAP-i vastu autentimine) 16.12.2009
- ver. 0.90 (Varundamine ja taasteplaan) 17.12.2009
- ver. 0.93 (Dokumentatsiooni lõpetamine) 18.12.2009
- ver. 0.95 (Logimise seadistamine) 18.12.2009
- ver. 1.0 (Wiki lõpetamine ning esialgses arutelus esitatud vigade parandamine) 18.12.2009
Kasutatud materjal
openldap samba domain controller ubuntu 7.10
LDAP server and linux LDAP client
LDAP server and linux LDAP client