OpenLDAP-i seadistamine

From ICO wiki
Revision as of 19:27, 18 December 2009 by Mpihelga (talk | contribs)
Jump to navigationJump to search

Autorid

  • Mauno Pihelgas
  • Kristjan Mölder

Sissejuhatus

LDAP (Lightweight Directory Access Protocol) on iseenesest protokoll ning üks selle prokolli implementatsioon on OpenLDAP (http://www.openldap.org/), mis sisaldab üldiselt nelja komponenti: 

   * slapd - stand-alone LDAP daemon (server)
   * slurpd - stand-alone LDAP update replication daemon
   * teegid - implementeerivad LDAP protokolli
   * utiliidid - abiprogrammid ja näidised erinevate tegevuste sooritamiseks

OpenLDAP kasutamise muudab praktiliseks asjaolu, et ta on üsna paljude rakendustega (nt PAM) integreeritud ning OpenLDAP kasutamiseks on vajalikud teegid olemas mitmetes programmeerimiskeeltes (nt Java, Perl, PHP). OpenLDAP toetab suures ulatuses LDAP v2 ja v3 versioone; võimaldab andmevahetust üle TLS/SSL.

Antud wiki artiklis saab ülevaate LDAP-i (OpenLDAP ver: 2.4.9) installeerimisest ja seadistamisest. Töötavat LDAP-i testitakse SAMBA (Samba ver: 3.0.28a) peal, seega saame väikse ülevaate ka selle paigaldamisest ja seadistamisest LDAP-i jaoks.

Eeldused

  • Antud lahendus on testitud Ubuntu 8.04 LTS Serveril.
  • Testimiseks kliendi masin, millele on paigaldatud Samba klient ja ldap-utils. Antud lahendust on võimalik testida ka serverist endast localhost-i vastu.

Installeerimine

Logime ennast root kasutajaks ning käivitame vajalikud toimingud. Kuna sudo-t sel juhul enam vaja ei lähe, hoiad selle arvelt pisut aega kokku. Samas on aga tunduvalt lihtsam midagi ära rikkuda, sest KÕIK käsud käivitatakse root kasutaja õigustes! 

sudo -i

Esiteks tuleks tarkvara nimekirja uuendada. 

sudo apt-get update

Paigaldame slapd, ldap-utils ja migrationtools paketid. 

apt-get install slapd ldap-utils migrationtools

slapd installi ajal sisestatud LDAP admini parool: 'root' (hiljem kirjutatakse see dpkg-reconfigure' ajal üle)

  • ldap-utils - sisaldab utiliite LDAP kataloogiga suhtlemiseks, nt ldapsearch päringute tegemiseks; 'dpkg -L ldap-utils | grep bin' näitab programmide nimekirja, reeglina algavad nende nimed 'ldap*' järgnevusega
  • slapd - sisaldab OpenLDAP serverit ning utiliite LDAP kataloogile vastavate failidega tegelemiseks, nt slapcat esitab kogu kataloogi sisu nn ldif formaadis; 'dpkg -L slapd | grep bin' esitab programmide nimekirja, reeglina algavad nimed 'slap*' järgnevusega

Seadistamine

Answer the questions and then reconfigure slapd in order to have dpkg ask us a few more questions 

dpkg-reconfigure slapd

Vastused mida võiks vastata: 

Omit OpenLDAP server configuration? No
DNS domain name: ... infra2009.debuntu
Name of your organization: ITK
Admin Password: 'root'
Confirm Password: 'root'
Database backend to use: BDB
Do you want your database to be removed when slapd is purged?: No
Move old database?: Yes
Allow LDAPv2 Protocol?: No

step1 step2 step3 step4 step5 step6 step7 step8 step9

Nüüd on meie domeen ning ka kasutaja "admin"(administraator) loodud.

Nüüd testi, kas serveril LDAP töötab ning teenus vastab. 

ldapsearch -x -b dc=infra2009,dc=teenused

Kasutatud võtmete selgitused: 

   *-x - ldap serverisse logimine toimub simple authenticationi abil (parooli ei krüpteerita)
   *-b - serveri poole pöördutakse serveri administraatorina, nö kasutajanimega 'cn=admin,dc=infra2009,dc=teenused'

Kui saad errori: "dap_bind: Can't contact LDAP server (-1)", siis tõenäoliselt LDAP veel ei tööta. Käivita see käsuga: 

/etc/init.d/slapd start


Muudame ldap conf faili. Ava: 

nano /etc/ldap/ldap.conf

Ja muuda järgnevalt: 

BASE    dc=infra2009,dc=teenused
URI     ldap://localhost

Kasutajate ja gruppide lisamine LDAP-i andmebaasi (Valikuline osa)

"Migrationtools'i" abiga on meil võimalik oma kohalikust süsteemist kiiresti importida olemasolevad kasutajad ja grupid LDAP-i. Juhul, kui su masinas ei ole palju kasutajaid, siis see etapp ei ole vajalik.


Antud Ubuntu Server 8.04 LTS-i näol tulid esile ka distributsiooni vead: migrate_common.ph fail paigaldatakse valesse /usr/share/perl5/ kausta.

Lisalugemist vea kohta leiad siit!


Katsetuste käigus selgus, et kui muuta faili nn VALES kohas ära, siis maagiliselt asi ikka töötab. Seega hetkel see Ubuntu viga meid ei häiri.


Järgnevalt peame veidi muutma migrationtools-i conf faili migrate_common.ph. Ava nano-ga see conf-i fail... 

nano /usr/share/perl5/migrate_common.ph

...ja asenda näidatud parameetrid uute nimedega: 

# Default DNS domain
$DEFAULT_MAIL_DOMAIN = "infra2009.teenused";

# Default base
$DEFAULT_BASE = "dc=infra2009,dc=teenused";


Seejärel ekspordi uued väärtused käskudega: 

/usr/share/migrationtools/migrate_group.pl /etc/group ~/group.ldif
/usr/share/migrationtools/migrate_passwd.pl /etc/passwd ~/passwd.ldif

OU'de loomine: Kahjuks ei loo eelnev script gruppide ja inimeste faili, seega peame selle ise looma. Loo uus fail nimega ~/people_group.ldif: 

nano ~/people_group.ldif

... ja täida see järgneva sisuga: 

dn: ou=People, dc=infra2009, dc=teenused
ou: People
objectclass: organizationalUnit

dn: ou=Group, dc=infra2009, dc=teenused
ou: Group
objectclass: organizationalUnit


Nüüd on meil kasutajad ja grupid konverditud LDAP ldif formaati. Need omakorda tuleb importida LDAP'i databaasi: (Iga käsu järel küsitakse LDAP-i parooli. Sisesta parool, mis ldap-i dpkg-reconfigure käigus selleks määrasid.) 

ldapadd -x -W -D "cn=admin,dc=infra2009,dc=teenused" -f ~/people_group.ldif
ldapadd -x -W -D "cn=admin,dc=infra2009,dc=teenused" -f ~/group.ldif
ldapadd -x -W -D "cn=admin,dc=infra2009,dc=teenused" -f ~/passwd.ldif

Key-dest lähemalt: 

   *-x - ldap serverisse logimine toimub simple authenticationi abil (parooli ei krüpteerita)
   *-D - serveri poole pöördutakse serveri administraatorina, nö kasutajanimega 'cn=admin,dc=infra2009,dc=teenused'
   *-w - pöördumisel kasutatakse parooli
   *-f - serverisse laaditakse ette antud failist andmed


Nüüd peaks server olema valmis kasutajaid vastu võtma


Samba Installeerimine

Paigaldame vajaminevad samba, samba-doc, smbldap-tools, libpam-smbpass, smbclient, libnss-ldap, ldapscripts ja libtalloc1 paketid. libpam-smbpass 

sudo apt-get install samba sambafs samba-doc smbldap-tools libpam-smbpass smbclient libnss-ldap ldapscripts libtalloc1

Selleks, et kasutada LDAP-i Samba autentimisvahendina, peab LDAP-i objektidele lisama Samba atribuute, mis on kirjeldatud samba.schema failis. Paketist samba-doc on võimalik nimetatud fail lahti pakkida ja kopeerida /etc/ldap/schema kausta. Seejärel saame lisada (include) faili slapd.conf-i.

Kopeerime samba.schema.gz faili LDAP'i schema kausta: 

sudo cp /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz /etc/ldap/schema/

Pakime lahti eelnevalt kopeeritud faili: 

sudo gzip -d /etc/ldap/schema/samba.schema.gz


Ava slapd.conf fail: 

sudo nano /etc/ldap/slapd.conf

... ja lisa sinna conf faili rida: 

include		/etc/ldap/schema/samba.schema

Muuda smb.conf faili sisu: 

nano /etc/samba/smb.conf

...alloleva näite järgi. 

[global]
        display charset = UTF-8
        unix charset = UTF-8
        workgroup = UBUNTU2
        server string = %h server (Samba, Ubuntu)
        interfaces = lo, eth0
        bind interfaces only = Yes
        passwd program = /usr/bin/passwd %u
        passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
        log level = 3
        log file = /var/log/samba/log.%m
        max log size = 1000
        dns proxy = No
        guest account = nobody

        #Ldap settings
        passdb backend = ldapsam:ldap://localhost
        ldap admin dn = "cn=admin,dc=infra2009,dc=teenused"
        ldap group suffix = ou=Groups
        ldap idmap suffix = ou=Idmap
        ldap machine suffix = ou=Computers
        ldap replication sleep = 2000
        ldap suffix = dc=infra2009,dc=teenused
        ldap ssl = no
        ldap timeout = 300
        ldap user suffix = ou=People
        usershare allow guests = Yes
        panic action = /usr/share/samba/panic-action %d

        #Do not show hidden files.
        veto files = /.*/

[homes]
        comment = Home Directories
        valid users = %S
        create mask = 0700
        directory mask = 0700
        browseable = No
        read only = No

SMBLDAP-TOOLS-i seadistamine

Paketti smbldap-tools kasutame selleks, et lisada LDAP-i Samba kasutajad, kaustad jne, kuid eelnevalt tuleb need tööriistad seadistada.

Ava kaust: 

cd /usr/share/doc/smbldap-tools/examples/

Kopeeri konfiguratsiooni failid /etc/smbldap-tools kausta: 

cp smbldap_bind.conf /etc/smbldap-tools/
cp smbldap.conf.gz /etc/smbldap-tools/

Paki lahti smbldap.conf.gz fail: 

gunzip /etc/smbldap-tools/smbldap.conf.gz

Ava kaust /etc/smbldap-tools directory: 

cd /etc/smbldap-tools/

Leia SAMBA domeeni jaoks SID (Security ID): 

net getlocalsid

Sealt peaksid leidma midagi sellist: SID for domain DC01-UBUNTU is: S-1-5-21-949328747-3404738746-3052206637

Ava /etc/smbldap-tools/smbldap.conf fail... 

vi /etc/smbldap-tools/smbldap.conf

...ning muuda seda faili vastavalt. Välja peaks see nägema umbes selline: 

SID="S-1-5-21-2172294073-268650948-1601795792" ## Siia pead sisestama SID, mille said 'net getlocalsid' käsu tulemuseks.
sambaDomain="UBUNTU2"
ldapTLS="0"
suffix="dc=infra2009,dc=teenused"
userSmbHome=
userProfile=
userHomeDrive=
userScript=
sambaUnixIdPooldn="sambaDomainName=${sambaDomain},${suffix}"
mailDomain="infra2009.teenused"


Ava /etc/smbldap-tools/smbldap_bind.conf fail... 

vi /etc/smbldap-tools/smbldap_bind.conf file

..ning muuda seda faili vastavalt oma individuaalsele seadistusele. Välja peaks see nägema umbes selline: 

slaveDN="cn=admin,dc=infra2009,dc=teenused"
slavePw="root2"
masterDN="cn=admin,dc=infra2009,dc=teenused"
masterPw="root2"

Sea õiged õigused järgnevatele failidele: 

chmod 0644 /etc/smbldap-tools/smbldap.conf
chmod 0600 /etc/smbldap-tools/smbldap_bind.conf


/etc/ldap.conf'is teha muudatused. Ava fail: 

nano /etc/ldap.conf

...ja muuda järgnevalt: 

# The distinguished name of the search base.
base dc=infra2009,dc=teenused

# Another way to specify your LDAP server is to provide an
uri ldapi:///localhost
# Unix Domain Sockets to connect to a local LDAP Server.
uri ldap://127.0.0.1/
#uri ldaps://127.0.0.1/
#uri ldapi://%2fvar%2frun%2fldapi_sock/
# Note: %2f encodes the '/' used as directory separator

Testkasutaja lisamine

Loome LDAP-i uue kasutaja nimega David. Käsuga smbldap-useradd lisatakse loodavale kasutajale klassid: person, organizationalPerson, inetOrgPerson, posixAccount, shadowAccount ja sambaSamAccount. Käsk näeb välja selline smbldap-useradd -a -m -P <kasutajanimi> Näiteks: 

smbldap-useradd -a -m -P david

Loome ühtlasi testgrupi käsuga smbldap-groupadd -a -g -t 2 <kasutajanimi> Näiteks: 

smbldap-groupadd -a -g -t 2 david


Et kasutaja saaks kodukausta kasutamiseks õigused tuleb sisestada käsk: chown <kasutajanimi>:<grupi_nimi> /home/<kasutaja_kodukaust> Näiteks: 

chown david:david /home/david

Testimine klientarvutis

ldapsearch-i kasutamine

Testkäske võib sisestada ka serverist endast localhost-i vastu. Testimiseks veendu, et arvutisse on installeeritud ldap-utils: 

apt-get install ldap-utils

Testi, kas server tagastab LDAP andmebaasis olevad kirjed LDIF kujul. 

ldapsearch -x -b dc=infra2009,dc=teenused

Samba testimine

Veendu, et klientarvutis oleks olemas smbclient: 

apt-get install smbclient

Seejärel proovi ühenduda serveriga: smbclient //<serveri_ip>/<jagatud_kausta_nimi> -U <kasutajanimi> Näiteks 

smbclient //localhost/david -U david


Teenuse varundamine

Loome kaustad, kuhu andmed varundada: 

mkdir -p /var/backups/ldap/db /var/backups/ldap/etc

Andmebaasi varundamine

Väljastame LDAP andmebaasi kirjed slapcat käsu abil, pakime väljundi kokku ja salvestame /var/backups/ldap/backup.ldif.<kuupäev>.gz faili. 

slapcat | gzip > /var/backups/ldap/db/backup.ldif.`date '+%Y%m%d'`.gz

Seadistusfailide varundamine

Teeme varukoopia /etc/ldap/ kaustast. Kompaktsuse säilitamiseks pakime seadistusfailid ühte faili. Selleks, et näha millal varundamine tehti lisame failinimele varundamise kuupäeva, selline kuupäevaformaat(AastaKuuPäev)võimaldab kiirelt viimase faili leida. 

tar cvf /var/backups/ldap/etc/conf_backup.`date '+%Y%m%d'`.tar /etc/ldap/* /etc/syslog.conf

Teenuse taastamine

Kui teenusega ilmneb probleeme tuleb seadistusfailid üle vaadata ja vajadusel taastada. Näites tegime varundamise /var/backups/ldap/ kausta.

Andmebaasi taastamine

Seadistusfailide taastamine

Taastamiseks tuleb varukoopia lahti pakkida ning vastavalt olukorrale taastada vajalikud failid. tar xvf /var/backups/ldap/etc/conf_backup.<kuupäev>.tar Näiteks: 

tar xvf /var/backups/ldap/etc/conf_backup.20091218.tar


Versioon

  • ver. 0.05 (LDAP-i paigaldamine ja esialgne konfigureerimine) 15.12.2009
  • ver. 0.06 (LDAP-i töölesaamine) 16.12.2009
  • ver. 0.85 (Samba installeerimine, seadistamine ja LDAP-i vastu autentimine) 16.12.2009
  • ver. 0.90 (Varundamine ja taasteplaan) 17.12.2009
  • ver. 0.93 (Dokumentatsiooni lõpetamine) 18.12.2009


Kasutatud materjal

openldap samba domain controller ubuntu 7.10


LDAP server and linux LDAP client LDAP server and linux LDAP client


LDAPsearch Open LDAP kasutamine Debianiga

Retrieved from "https://wiki.itcollege.ee/index.php?title=OpenLDAP-i_seadistamine&oldid=1721"