官方介绍文档：http://www.openldap.org/doc/admin24/intro.html
中文资料：http://learn.hnvs.cy.edu.tw/course/view.php?id=72
LDIF文件格式例子：
1: dn:dc=dlw,dc=com
2: objectclass:top
3: objectclass:dcobject
4: objectclass:organization
5: dc:dlw
6: o:dlw,Inc.
7:
8: dn:ou=managers, dc=dlw, dc=com
9: ou:managers
10: objectclass:organizationalUnit
11:
12: dn:cn=dlw,ou=managers,dc=dlw,dc=com
13: cn:dlw
14: sn:dongliwei
15: objectclass:person
16:
17: dn:cn=test,ou=managers,dc=dlw,dc=com
18: cn:test
19: sn:Test User
20: objectclass:person官方文档：http://www.openldap.org/doc/admin24/
一：LDAP-master安装和配置
----------------------------------
1.LDAP安装：
yum install openldap openldap-*
yum install nscd nss-pam-ldapd nss-* pcre pcre-*
rpm -qa |grep openldap 安装完成后查看下有5个以上包
2.复制配置文件到目录：
cd /etc/openldap/
cp /usr/share/openldap-servers/slapd.conf.obsolete slapd.conf （这是2.3的老办法，还可以用）
3.生成密码：
slappasswd -s wmj #生成密码，密码为wmj
slappasswd -s wmj |sed -e "s#{SSHA}#rootpw\t{SSHA}#g" >>slapd.conf （生成root密码写入配置文件）
4.编辑配置文件：
cp slapd.conf slapd.conf.ori （先备份）
vim /etc/openldap/slapd.conf
database bdb
#checkpoint 1024 15
suffix "dc=wmj,dc=com"
rootdn "cn=admin,dc=wmj,dc=com" （管理员dc）5.配置rsyslog来记录ldap的日志：
echo "local4.* /var/log/ldap.log" >>/etc/rsyslog.conf
/etc/init.d/rsyslog restart
6.配置ldap数据库路径：
grep "directory" slapd.conf （可以修改数据库默认路径）
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG （复制默认数据库）
chown ldap:ldap /var/lib/ldap/DB_CONFIG
chmod 700 /var/lib/ldap/DB_CONFIG
slaptest -u （检查配置文件命令）
7.启动ldap服务：
/etc/init.d/slapd start
8.查询ldap所有条目：
ldapsearch -LLL -W -x -H ldap://127.0.0.1 -D "cn=admin,dc=wmj,dc=com" -b "dc=wmj,dc=com" "(uid=*)"
如果报错：ldap_bind: Invalid credentials (49) 说明其他配置正确了。
这是因为2.4和2.3配置文件兼容问题。
参考：http://www.openldap.org/doc/admin24/appendix-common-errors.html
需要先删除默认的配置文件，根据2.3的配置文件重新生成一份。
slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d （重新生成配置文件）
chown -R ldap:ldap /etc/openldap/slapd.d/
/etc/init.d/slapd restart （再重启下服务）
9.修改后以后再查询一遍：
ldapsearch -LLL -W -x -H ldap://127.0.0.1 -D "cn=admin,dc=wmj,dc=com" -b "dc=wmj,dc=com" "(uid=*)"
No such object (32) （出现这个说明正确了）
10.安装ldap的web管理服务：
yum install httpd php php-ldap php-gd
https://www.ldap-account-manager.org/ (通过官网下载3.9版本的客户端)
ldap-account-manager-3.9.tar.gz
mv ldap-account-manager-3.9 /var/www/html/ldap （解压以后移动到php默认目录,必须改名成ldap）
11.配置ldap-account-manager服务：
cd /var/www/html/ldap/config
cp config.cfg_sample config.cfg
cp lam.conf_sample lam.conf
vim lam.conf
admins: cn=admin,dc=wmj,dc=com
types: suffix_user: ou=People,dc=wmj,dc=com
types: suffix_group: ou=group,dc=wmj,dc=com
types: suffix_host: ou=machines,dc=wmj,dc=com
types: suffix_smbDomain: dc=wmj,dc=comchown -R apache:apache /var/www/html/ldap/
12.启动ldap-web服务：
/etc/init.d/httpd restart
http://172.16.1.210/ldap/ (访问地址)
13.ldap-web的使用：
进入web以后，点击右上角的 LAM configuration
输入默认密码“lam”
点击，，在最下面配置下密码就可以了，
回到首页，输入之前生成的ldap的admin密码，我这里是“wmj”进入web页面。
第一次进入会要建立初始化数据，点建立就可以。
14.数据导出备份：
ldapsearch -LLL -w wmj -x -H ldap://127.0.0.1 -D "cn=admin,dc=wmj,dc=com" -b "dc=wmj,dc=com"
>/tmp/bak-ldap.ldif
-w:后面是ldap的密码
-W:交互式输入密码15.备份数据导入：
ldapadd -x -H ldap://127.0.0.1 -D "cn=admin,dc=wmj,dc=com" -W -f /tmp/bak-ldap.ldif
二：LDAP-client安装和配置
--------------------------------------
1.安装相关服务：
yum install openldap-clients openldap nss nscd nss-pam-ldapd nss_ldap
2.修改配置：
一：交互式图形化配置办法，
使用setup，选择“Authentication configuration”，勾选下面三项“Use LDAP”，“Use LDAP Authentication”，“Local authorization is sufficient”，下一步输入ldap地址。
二. 命令行配置：
authconfig --enablemd5 --enablemkhomedir --enableldap --enableldapauth --enablelocauthorize \
--ldapserver=ldap://172.16.1.210 --ldapbasedn="dc=wmj,dc=com" --update
--enablemkhomedir：会在ldap首次登陆后自动创建家目录
三.手动修改配置文件：
vim /tmp/nsswitch.conf
passwd: files ldap
shadow: files ldap
group: files ldap
netgroup: files ldap
automount: files ldapvim /etc/sysconfig/authconfig
USELDAPAUTH=yes
USELDAP=yes
USELOCAUTHORIZE=yes vim /etc/pam.d/system-auth
#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth required pam_env.so
auth sufficient pam_fprintd.so
auth sufficient pam_unix.so nullok try_first_pass
auth requisite pam_succeed_if.so uid >= 500 quiet
auth sufficient pam_ldap.so use_first_pass
auth required pam_deny.so
account required pam_unix.so broken_shadow
account sufficient pam_localuser.so
account sufficient pam_succeed_if.so uid < 500 quiet
account [default=bad success=ok user_unknown=ignore] pam_ldap.so
account required pam_permit.so
password requisite pam_cracklib.so try_first_pass retry=3 type=
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password sufficient pam_ldap.so use_authtok
password required pam_deny.so
session optional pam_keyinit.so revoke
session required pam_limits.so
session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session required pam_unix.so
session optional pam_ldap.so
vim /etc/openldap/ldap.conf
TLS_CACERTDIR /etc/openldap/cacerts
URI ldap://172.16.1.210/
BASE dc=wmj,dc=com
vim /etc/pam_ldap.conf
#host 127.0.0.1
base dc=wmj,dc=com
----------底部加上------------
uri ldap://172.16.1.210/
ssl no
tls_cacertdir /etc/openldap/cacerts
pam_password md5
4.测试：
直接输入id wmj04 就可以看到用户了
5.ldap用户可以直接使用visudo 来配置。
6.只允许某些LDAP用户组登陆主机：
vim /etc/nslcd.conf
filter passwd (|(gidNumber=10002)(gidNumber=10001))
限制gid为10001,10002的ldap用户才能登陆主机。（配置文件底部追加）/etc/init.d/nslcd restart
三：LDAP-slave主从同步配置
---------------------------------------------
1.安装LDAP服务：
重复第一章的1-9步骤即可。
2.配置主从同步(2.4)：
修改主配置文件 vim /etc/openldap/slapd.conf
moduleload syncprov.la
index entryCSN,entryUUID eq
overlay syncprov
syncprov-checkpoint 100 10
syncprov-sessionlog 100修改从配置文件 vim /etc/openldap/slapd.conf
index entryCSN,entryUUID eq
syncrepl
rid=123
provider=ldap://172.16.1.210:389
type=refreshOnly
interval=00:00:03:00 #同步时间间隔 天：小时：分钟：秒
retry="60 10 300 +"
searchbase="dc=wmj,dc=com"
filter="(objectClass=*)"
scope=sub
attrs="*,+"
schemachecking=off
bindmethod=simple
binddn="cn=admin,dc=wmj,dc=com"
credentials=wmj #密码两台服务都要记得重新生成配置文件：
rm -rf /etc/openldap/slapd.d/*
slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d
chown -R ldap:ldap /etc/openldap/slapd.d
service slapd restart3.允许用户自行修改密码：
vim /etc/openldap/slapd.conf
修改配置文件，在database config前添加如下内容（注意格式！）
access to attrs=userPassword
by self write
by anonymous auth
by * none
access to * by * read
|