CentOS 6.2目录服务之LDAP
 （一）   LDAP 是light weight Directory Access Protocol （轻量级目录访问协议）的缩写，其前身是
    更为古老的DAP协议。基于X.500标准的，但是很简单，并且可以根据需要定制。与X.500不同，
    LDAP支 持TCP/IP，这对访问Internet是必须的。LDAP的核心规范在RFC中都有定义，大体上讲，
    LDAP协议定义了和后台数据库通信的方法、客户 端软件和LDAP协议之间的通信标准，如后图。
LDAP Client是指各种需要身份认证的软件，例如Apache、ProFTPD和Samba等。 LDAP Sever指的是实现LDAP协议的软件，例如OpenLDAP等。DataStorage指的是OpenLDAP的数据存储，如关系型数据库 （Mysql）或查询效率更高的嵌入式数据库（BerkeleyDB），甚至是平面文本数据库（一个TXT的文本文件）。可见OpenLDAP软件只是LDAP协议的一种实现形式，并不包括后台数据库存储，但在很多时候管理员经常将LDAPServer和DataStorage放在同一服务器中，这样就 产生了常说的LDAP数据库，虽然后台数据库可以多种多样，但LDAP协议还规定了数据的存储方式。LDAP数据库是树状结构，与DNS类似。

CentOS 6.2目录服务之LDAP_第1张图片

在图右中，以这种方式存储数据最大的一个好处就是查询速度块，LDAP数据库专门对读操作进行了优化，OpenLDAP配合Berkeley DB 可使其读操作的效率得到很大提高，LDAP数据库的树状结构的另一个好处是便于分布式的管理。
实现思路
        同 一身份认证是改变原有的认证策略，使需要认证的软件都通过LDAP进行认证，如下图。在同一身份认证之后，用户的所有信息都存储在LDAP Server中。终端用户在需要使用公司内部服务的时候都需要通过LDAP服务器的认证。每个员工只需记住一个密码，在需要修改用户信息的时候可以通过管 理员提供的Web界面直接修改LDAP Server中的信息。
CentOS 6.2目录服务之LDAP_第2张图片
webldap
        目前大部分主流软件都对LDAP有很好地支持，但由于各类软件对LDAP的支持程度不同，在做实施的时候也要区别对待。软件对LDAP的支持可以分为两大类：
1、 一类是完全支持，也就是在软件的配置文件中加入和LDAP有关的选项就可以完成。这种方式的好处是不需要借助其他的工具或软件，由软件的开发团队直接完成 对LDAP的支持。可能的缺陷也在此，由于各个软件开发团队的水平和开发者经验有所差异，虽然同样是支持了LDAP，但稍微复杂一些的高级功能就无法提 供，有的时候甚至出现运行错误导致整个软件出现问题。
2、另一类软件由于很多原因并不直接支持LDAP，而是通过PAM做身份认证，由于PAM本身支持LDAP，这样也同样可以实现使用LDAP做身份验证，这种方式对LDAP的支持同样尤其优势，软件开发人员不需要修改代码支持LDAP协 议，减少了软件本身产生安全漏洞的可能，缺点是一些不希望使用PAM的系统中这样的软件就无法通过LDAP进行用户认证，俄日全额虽然PAM对LDAP的 支持已经很完善，但一些高级、复杂的功能还是无法实现，正是由于这些原因，这类软件为数不多，比较典型的就是VSFTPD和CVS。
使用LDAP做身份认证
        为什么需要使用LDAP数据库？用传统的关系型数据库不可以吗？从上述说明中可以看到LDAP服务器就是起到了一个认证Server的作用，从技术本身而言 这个认证Server具体使用何种数据库并不重要，如果使用一个关系型数据库也可以达到统一身份认证的目的，但LDAP自身的优势使得很多公司最终选择 它，以下是一些选择LDAP的重要原因：
1、LDAP是一个开放的标准协议，不同于SQL数据库，LDAP的客户端是跨平台的，并且对几乎 所有的程序语言都有标准的API接口，即使是改变了LDAP数据产品的提供厂商，开发人员也不用担心需要修改程序才能适应新的数据库产品，这个优势是使用SQL语言进行查询的关系型数据库难以达到的。
2、由于 LDAP数据库存储是树状结构，整棵树的任何一个分支都可以单独放在一个服务器中进行分布式管理，不仅有利于做服务器的负载均衡，还方便了跨地域的服务器部署，这个优势在查询负载大或企业在不同地域都设有分公司的时候尤为明显。
3、LDAP支持强认证方式，可以达到很高的安全级别，在国际化方面，LDAP使用了UTF-8编码来存储各种语言的字符。
4、 更灵活的添加数据类型，LDAP是根据Schema的内容定义各种属性之间的从属关系及匹配模式，例如在关系型数据库中如果要为用户增加一个属性，就要在 用户表中增加一个字段，这在拥有庞大数量用户的情况下是十分困难的，需要改变表结构。但LDAP只需要在Schema中加入新的属性，不会由于用户的属性 增多而影响查询性能。
5、LDAP数据库是对读操作进行优化的一种数据库，在读写比例大于7比1的情况下，LDAP会体现出极高的性能。这个特征正适合了身份认证的需要。
目前，很多公司都把LDAP和自己的产品、技术结合在一起，增加LDAP在各个领域中的有效性，这一切都来源于LDAP是一个开放的协议，很容易与其他标准协议共存。
LDAP软件的选择
        几 乎所有大的IT厂商都有自己的商用LDAP产品，每个厂商的LDAP产品都有其特点，现在已经有了许多基于LDAP协议开服出的资源管理系统和工具，如OpenLDAP、NDS（Novell Directory Service）和ADS（Active Directory Service）等。它们已经逐渐的被使用在各个需要目录服务的领域，并且应用的趋势在增强。OpenLDAP是Michjgan大学发布的免费软件，实 现了LDAP v2、LDAPv3的功能并且提供源代码，可以在大多数的Unix和Linux系统中安装。OpenLADP与其他的商用软件相比有很多优势，如商用的软 件版本更新很慢，对Bug的反映速度比开源软件差许多，OpenLDAP还包含了很多有创造性的新功能，能满足大多数使用者的要求。OpenLDAP是开 源软件，近年来国内很多公司开发的LDAP产品都是基于OpenLDAP开发，开发者能够直接利用它所附带的Shell工具开发应用。这些Shell包括 了查询（ldapsearch）、修改（ldapmodify）、删除（ldapdelete）、增加（ldapadd）等，也可以调用它提供的API来 开发应用。
OpenLDAP的安装和配置
        OpenLDAP可以采用多种数据库作为后台，包括Berkeley DB、GDBM、Mysql、Oracle等，这里采用Berkeley DB，由于OpenLDAP需要Berkeley DB来存放数据，所以需要安装Berkeley DB 5.2.36。Berkeley DB是一个高性能，嵌入数据库编程库，它由美国Sleepycat Software 公司开发的一套开放源码的嵌入式数据库的程序库（database library），它为应用程序提供可伸缩的、高性能的、有事务保护功能的数据管理服务，有时也简称DBD。 
[root@chenyi ldap]# tar zxf db-5.2.36.tar.gz
[root@chenyi dist]# cd db-5.2.36/build_unix/
[root@chenyi build_unix]# ../dist/configure --prefix=/software/BerkeleyDB.5.2
[root@chenyi build_unix]# make && make install
安装openldap 
[root@chenyi ldap]# tar zxf openldap-stable-20100719.tgz 
[root@chenyi ldap]# cd openldap-2.4.23/
[root@chenyi openldap-2.4.23]# vi /etc/profile	#添加环境变量
PATH="$PATH:/software/BerkeleyDB.5.2/lib/"
echo $PATH
CPPFLAGS="-I/software/BerkeleyDB.5.2/include/"
export CPPFLAGS
LDFLAGS="-L/usr/local/lib -L/software/BerkeleyDB.5.2/lib/"
export LDFLAGS
LD_LIBRARY_PATH="/software/BerkeleyDB.5.2/lib/"
export LD_LIBRARY_PATH
CFLAGS="-I/software/BerkeleyDB.5.2/include/ -I/usr/local/include -I/usr/include"
export CFLAGS 
LIBS="-ldb -lgcc_s"
export LIBS
[root@chenyi openldap-2.4.23]# su - root
[root@chenyi openldap-2.4.23]# ./configure --prefix=/software/openldap --enable-ldbm
[root@chenyi openldap-2.4.23]# make depend
[root@chenyi openldap-2.4.23]# make
[root@chenyi openldap-2.4.23]# make test   #此处需要较长的时间测试
[root@chenyi openldap-2.4.23]# make install
        通过上面的配置命令可以看出，已将OpenLDAP安装到/software/openldap目录下，建议以源码安装的软件都放到独立的目录下。别整默认，好处是方便管理及控制，这样在卸载的时候删除真个目录就好了。
需要注意的几个地方：
1、在执行Configure之前要确定安装了Berkeley DB，虽然OpenLDAP可以使用很多数据库做back-end，但Berkeley DB 仍然是OpenLDAP开发团队强烈推荐的。
2、如果需要更安全的方式访问OpenLDAP，在配置执行Configure之前要确定已经安装了cyrus-sasl。
3、 有些用户在安装OpenLDAP的时候忽略了最后的make test（总的来说，这个测试时间，我不想去描述了。），经验表明，很多的错误都会在执行make test的过程中暴露出来，OpenLDAP的开发团队很注意维护软件Test Case，整个测试非常全面，很多在日常使用中很少用到的功能都会被测试到。良好的保证了软件投入生产后的稳定性。
        默认情 况下OpenLDAP的配置文件保存在/etc/openldap、slapd.conf中，配置文件中记录着OpenLDAP的管理员密码，默认情况下 密码是明文表示的，可以用slappasswd命令产生密文来替换配置文件中的明文，配置文件的相关项应该做如下更改： 
[root@chenyi openldap]# grep -v "^#" /software/openldap/etc/openldap/slapd.conf | grep -v "^$"
include		/software/openldap/etc/openldap/schema/core.schema
pidfile		/software/openldap/var/run/slapd.pid
argsfile	/software/openldap/var/run/slapd.args
database	bdb
suffix		"dc=itchenyi,dc=com"			#设置目录树的后缀
rootdn		"cn=Manager,dc=itchenyi,dc=com"	#该语句设置LDAP管理员的DN
rootpw		secret				#设置LDAP管理员的口令，明文原因前面已说
directory	/software/openldap/var/openldap-data
index	objectClass	eq
        其中Directory参数为数据文件在服务器上的位置，处于稳定性和性能方面的考虑，数据文件最好放在独立的分区或磁盘阵列上。配置文件的访问控制部分也十分重要，很多读取或修改不能正常完成都是由于访问控制的写法错误造成的，下面是供参考的访问控制部分配置： 
Allow self write access
                  Allow authenticated users read access
                  Allow anonymous users to authenticate
          Directives needed to implement policy:
   access to dn.base="" by * read
   access to dn.base="cn=Subschema" by * read
   access to *
          by self write
          by users read
          by anonymous auth
设置LDAP使用的Schema
        Schema（模式）定义了 LDAP中的对象类型、属性、语法和匹配规则等，如用户的电子邮件、联系地址和联系电话等属性，它类似于关系数据库中的表结构。
找到语句： 
include /software/openldap/etc/openldap/schema/core.schema
在该语句的后面添加以下语句。 
include         /software/openldap/etc/openldap/schema/corba.schema
   include         /software/openldap/etc/openldap/schema/cosine.schema
   include         /software/openldap/etc/openldap/schema/dyngroup.schema
   include         /software/openldap/etc/openldap/schema/inetorgperson.schema
   include         /software/openldap/etc/openldap/schema/java.schema
   include         /software/openldap/etc/openldap/schema/misc.schema
   include         /software/openldap/etc/openldap/schema/nis.schema
   include         /software/openldap/etc/openldap/schema/openldap.schema
启动OpenLDAP服务器 
[root@chenyi openldap]# /software/openldap/libexec/slapd 
[root@chenyi openldap]# netstat -pant | grep slapd
tcp        0      0 0.0.0.0:389                 0.0.0.0:*                   LISTEN      25561/slapd         
tcp        0      0 :::389                      :::*                        LISTEN      25561/slapd
（二）
LDAP Account Manager（LAM）采 用PHP4/5编写，是基于Web的LDAP用户、用户组、主机和LDAP目录的管理系统，管理员可以通过加密的方式进行操作，增强了安全性。LAM支持 管理的帐号类型有Samba2/3、Unix地址簿接口和计算机需要的信息，包括NIS映射、E-mail假名，MAC地址等。
LDAP Account Manager强大功能
1、使用LAM，可以通过Web接口较为直观的、简便的管理存储在LDAP目录里
      的用户、用户组和计算机系统账户。
2、管理Unix的用户、用户组、主机、域名。
3、强大的过滤和排序功能。
4、帐号属性管理。
5、多构造属性。
6、直观树状查看模式。
7、计划查看模式。
8、通过文件上传创建帐号。
9、所有帐号可导出为PDF文件格式。
10、管理用户、用户组、配额和自动创建删除用户的Home目录。
11、支持LDAP+SSL加密模式。
12、多国语言支持，如Catalan、Chinese(Traditional)等。
安装需求
1、PHP5语言环境和Perl语言环境。
2、OpenLDAP2.0或更高版本。
3、支持CSS的网页浏览器。
4、Apache WebServer，建议安装SSL、PHP-Module（PHP-Module with ldap、Gettext、XML、Mcrypt+mhash）等模块。
安装Openssl 
[root@chenyi ldmp]# tar zxf openssl-1.0.0e.tar.gz 
[root@chenyi ldmp]# cd openssl-1.0.0e
[root@chenyi openssl-1.0.0e]# ./config --prefix=/software/ssl --openssldir=/software/openssl shared
[root@chenyi openssl-1.0.0e]# make && make test &&make install
安装apr 
[root@chenyi ldmp]# tar zxf apr-1.4.5.tar.gz 
[root@chenyi ldmp]# cd apr-1.4.5
[root@chenyi apr-1.4.5]# ./configure --prefix=/software/apr
[root@chenyi apr-1.4.5]# make && make install
安装apr-util 
[root@chenyi apr-util-1.3.12]# tar zxf apr-util-1.3.12.tar.gz
[root@chenyi apr-util-1.3.12]# cd apr-util-1.3.12
[root@chenyi apr-util-1.3.12]#  ./configure --prefix=/software/apr-util --with-apr=/software/apr/ --with-ldap-include=/software/openldap/include/ --with-ldap-lib=/software/openldap/lib/ --with-berkeley-db=/software/BerkeleyDB.5.2/ [root@chenyi apr-util-1.3.12]# make && make install
        安装Apache [这里我多次尝试使用2.2.29版进行编译，但终遇到各种挫折，由于没有得到完善的解决，所以选用了2.2.21,根据你的需要，可酌情删减编译参数] 
[root@chenyi httpd-2.2.21]# tar zxf httpd-2.2.21.tar.gz
[root@chenyi httpd-2.2.21]# cd httpd-2.2.21
[root@chenyi httpd-2.2.21]# ./configure --prefix=/software/apache2 --sysconfdir=/etc/httpd --enable-ssl --with-ssl=/software/openssl/ --with-z=/software/zlib/ --enable-rewrite=shared --enable-static-support --enable-deflate=shared --enable-so --enable-dav --enable-dav-fs --enable-ldap --enable-authnz-ldap --with-included-apr --with-ldap --with-ldap-include=/software/openldap/include/ --with-ldap-lib=/software/openldap/lib --with-apr=/software/apr/bin/apr-1-config --with-apr-util=/software/apr-util/bin/apu-1-config
[root@chenyi httpd-2.2.21]# make && make install
安装gettext 
[root@chenyi ldmp]# tar zxf gettext-0.17.tar.gz 
[root@chenyi ldmp]# cd gettext-0.17
[root@chenyi gettext-0.17]# ./configure --prefix=/software/gettext
[root@chenyi gettext-0.17]# make && make install
加入配置库搜索路径 
[root@chenyi gettext-0.17]# echo "/software/gettext/lib/" >> /etc/ld.so.conf && ldconfig -v
[root@chenyi gettext-0.17]# rpm -qa | grep zlib-devel 	检测zlib-devel 如果没安装则yum
zlib-devel-1.2.3-27.el6.i686
添加PHP支持 
[root@chenyi ldmp]# tar zxf php-5.2.6.tar.gz 
[root@chenyi ldmp]# cd php-5.2.6
[root@chenyi php-5.2.6]#  ./configure --prefix=/software/php --enable-zip --with-config-file-path=/software/php/etc --with-apxs2=/software/apache2/bin/apxs --with-libxml-dir=/software/libxml2 --with-png-dir=/software/libpng --with-jpeg-dir=/software/jpeg6 --with-freetype-dir=/software/freetype/ --with-gd=/software/gd2/ --with-ldap=/software/openldap/ --with-gettext=/software/gettext/ --with-zlib-dir=/software/zlib/ --with-mcrypt=/software/libmcrypt --enable-soap --enable-mbstring=all--enable-sockets
[root@chenyi php-5.2.6]# make && make install
创建php配置文件 
[root@chenyi php-5.2.6]# cp php.ini-dist /software/php/etc/php.ini		#创建配置文件
[root@chenyi php-5.2.6]# vi /etc/httpd/httpd.conf			#修改ServerName 添加相关配置
LoadModule php5_module modules/libphp5.so			#查看是否有这一行
AddType application/x-httpd-php .php .php4 .php5 .php .phtml		#查看是否有这一行，（表示以这些扩展名结尾的文件，在apache中使用php解析器解析）。
接着重启apache服务器，创建一个php文件访问则可以看到结果了！这里也没什么必要演示了
下载LAM压缩包，然后解压后修改php.ini，内容如下 
[root@chenyi ldmp]# tar zxf ldap-account-manager-3.7.RC1.tar.gz
[root@chenyi ldmp]# mv ldap-account-manager-3.7.RC1 /software/apache2/htdocs/lam
[root@chenyi config]# pwd		#进入config目录，创建配置文件
/software/apache2/htdocs/lam/config
[root@chenyi config]# cp config.cfg_sample config.cfg
[root@chenyi ~]# /software/openldap/sbin/slappasswd -s itchenyi	#使用slappasswd生成密码
{SSHA}WakGiZTwkh5e2MD8vgy9AUf9h18l6YlG
新建ldif文件 注：ldif文件中，每一行中冒号后有一个空格，行尾一定不能有空格（同时也可以通过migrationtools这个组件来建立ldif文件） 
dn: dc=itchenyi, dc=com
objectClass: dcObject
objectClass: organization
o: itchenyi Inc
dc: itchenyi
dn: cn=Manager, dc=itchenyi, dc=com
objectCalss: organizationalRole
cn: Manager
dn: ou=group, dc=itchenyi, dc=com
objectClass: top
objectClass: organizationalUnit
ou: group
dn: ou=it, dc=itchenyi, dc=com
objectClass: top
objectClass: organizationalUnit
ou: it
复制模版文件（如果没有，你在通过-d 256 调试时可以看到显著的错误） 
[root@chenyi config]# cp /software/openldap/etc/openldap/DB_CONFIG.example /software/openldap/var/openldap-data/DB_CONFIG
关闭slapd进程，导入ldif文件 
[root@chenyi config]# kill -INT `cat /software/openldap/var/run/slapd.pid`
[root@chenyi config]# /software/openldap/sbin/slapadd -v -l ./itchenyi.ldif
几个常用选项：
1： -v选项表示启用verbose模式，即输出执行中的具体信息。
2： -l表示后面附加ldif文件。
3：-d 指定debug向日志文件输出信息，后面跟日志级别。
4： -f 指定要读取的配置文件。
启动服务进程
[root@chenyi config]# /software/openldap/libexec/slapd -d 256
通过 http://ip/lam 进行访问
创建配置文件可以通过默认密码lam 进行编辑创建
CentOS 6.2目录服务之LDAP_第3张图片
LDAP access Manager