centOS 7安装OpenLDAP
一、初始化准备
系统centos7 64位
配置yum源
wget http://mirrors.aliyun.com/repo/Centos-7.repo
cp Centos-7.repo /etc/yum.repos.d/
cd /etc/yum.repos.d/
mv CentOS-Base.repo CentOS-Base.repo.bak
mv Centos-7.repo CentOS-Base.repo
yum clean all
yum makecache关闭防火墙及selinux
sed -i '/SELINUX/s/enforcing/disabled/' /etc/selinux/config && setenforce 0&& systemctl disable firewalld.service && systemctl stop firewalld.service && shutdown -r now
二、安装OpenLDAP
使用以下命令安装OpenLDAP
yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel migrationtools
等待执行完成，查看openLDAP版本
slapd -VV如下图所示
以上就完成了openLDAP的安装。
三、配置openLDAP
3.1.配置OpenLDAP管理员密码
设置管理员密码：
slappasswd -s 123456
上述加密后的字段保存下，等会我们在配置文件中会使用到。
注意:从OpenLDAP2.4.23版本开始所有配置数据都保存在/etc/openldap/slapd.d/中，建议不再使用slapd.conf作为配置文件。
3.2.修改olcDatabase={2}hdb.ldif文件
修改olcDatabase={2}hdb.ldif文件,对于该文件增加一行
olcRootPW: {SSHA}3f9YwPJ18imhxDByLcqUhMFHqQlI876H然后修改域信息：
olcSuffix: dc=my-domain,dc=com
olcRootDN: cn=Manager,dc=my-domain,dc=com
注意：其中cn=root中的root表示OpenLDAP管理员的用户名，而olcRootPW表示OpenLDAP管理员的密码。
修改后文件如下：
3.3.修改olcDatabase={1}monitor.ldif文件
修改olcDatabase={1}monitor.ldif文件，如下：
vim /etc/openldap/slapd.d/cn=config/olcDatabase\=\{1\}monitor.ldifolcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=extern
al,cn=auth" read by dn.base="cn=Manager,dc=my-domain,dc=com" read by * none
注意：该修改中的dn.base是修改OpenLDAP的管理员的相关信息的。
验证OpenLDAP的基本配置，使用如下命令：
slaptest -u
通过上图，我们可以很明显的看出OpenLDAP的基本配置是没有问题。
启动OpenLDAP服务，使用如下命令：
systemctl enable slapd
systemctl start slapd
systemctl status slapd
查看OpenLDAP是否打开：（默认端口389）
netstat -antup|grep 389结果如下图所示：
3.4.配置OpenLDAP数据库
OpenLDAP默认使用的数据库是BerkeleyDB，现在来开始配置OpenLDAP数据库，使用如下命令：
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
chown ldap:ldap -R /var/lib/ldap
chmod 700 -R /var/lib/ldap
ll /var/lib/ldap/注意：/var/lib/ldap/就是BerkeleyDB数据库默认存储的路径。
3.5.导入基本Schema
导入基本Schema，使用如下命令：
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif3.6.修改migrate_common.ph文件
migrate_common.ph文件主要是用于生成ldif文件使用，修改migrate_common.ph文件，如下：
vim /usr/share/migrationtools/migrate_common.ph +71$DEFAULT_MAIL_DOMAIN = “my-domain.com”;
$DEFAULT_BASE = “dc=my-domain,dc=com”;
$EXTENDED_SCHEMA = 1;
到此OpenLDAP的配置就已经全部完毕，下面我们来开始添加用户到OpenLDAP中。
4.添加用户及用户组
默认情况下OpenLDAP是没有普通用户的，但是有一个管理员用户。管理用户就是前面我们刚刚配置的Manager。
现在我们把系统中的用户，添加到OpenLDAP中。为了进行区分，我们现在新加两个用户ldapuser1和ldapuser2，和两个用户组ldapgroup1和ldapgroup2，如下：
添加用户组，使用如下命令：
groupadd ldapgroup1
groupadd ldapgroup2添加用户并设置密码，使用如下命令
useradd -g ldapgroup1 ldapuser1
useradd -g ldapgroup2 ldapuser2
echo ‘123456’ | passwd --stdin ldapuser1
echo ‘123456’ | passwd --stdin ldapuser2把刚刚添加的用户和用户组提取出来，这包括该用户的密码和其他相关属性，如下:
grep ":10[0-9][0-9]" /etc/passwd > /root/users
grep ":10[0-9][0-9]" /etc/group > /root/groups
cat users
cat groups
根据上述生成的用户和用户组属性，使用migrate_passwd.pl文件生成要添加用户和用户组的ldif，如下：
/usr/share/migrationtools/migrate_passwd.pl /root/users > /root/users.ldif
/usr/share/migrationtools/migrate_group.pl /root/groups > /root/groups.ldif
cat users.ldif
cat groups.ldif注意：后续如果要新加用户到OpenLDAP中的话，我们可以直接修改users.ldif文件即可。
5.导入用户及用户组到OpenLDAP数据库
配置openldap基础的数据库，如下：
cat > /root/base.ldif << EOF
dn: dc=my-domain,dc=com
o: my-domain com
dc: my-domain
objectClass: top
objectClass: dcObject
objectclass: organization
dn: cn=Manager,dc=my-domain,dc=com
cn: Manager
objectClass: organizationalRole
description: Directory Manager
dn: ou=People,dc=my-domain,dc=com
ou: People
objectClass: top
objectClass: organizationalUnit
dn: ou=Group,dc=my-domain,dc=com
ou: Group
objectClass: top
objectClass: organizationalUnit
EOF
注意：（上图红色部分必须为空行，否则会报错）
导入基础数据库，使用如下命令：
ldapadd -x -w "123456" -D "cn=Manager,dc=my-domain,dc=com" -f /root/base.ldif
导入用户到数据库，使用如下命令：
ldapadd -x -w "123456" -D "cn=Manager,dc=my-domain,dc=com" -f /root/users.ldif
导入用户组到数据库，使用如下命令
ldapadd -x -w "123456" -D "cn=Manager,dc=my-domain,dc=com" -f /root/groups.ldif
查看BerkeleyDB数据库文件，使用如下命令：
ll /var/lib/ldap/
6.把OpenLDAP用户加入到用户组
尽管我们已经把用户和用户组信息，导入到OpenLDAP数据库中了。但实际上目前OpenLDAP用户和用户组之间是没有任何关联的。
如果我们要把OpenLDAP数据库中的用户和用户组关联起来的话，我们还需要做另外单独的配置。
现在我们要把ldapuser1用户加入到ldapgroup1用户组，需要新建添加用户到用户组的ldif文件，如下：
cat > add_user_to_groups.ldif << "EOF"
dn: cn=ldapgroup1,ou=Group,dc=my-domain,dc=com
changetype: modify
add: memberuid
memberuid: ldapuser1
EOF执行如下命令：
ldapadd -x -w "123456" -D "cn=Manager,dc=my-domain,dc=com" -f /root/add_user_to_groups.ldif
查询添加的OpenLDAP用户组信息，如下：
ldapsearch -LLL -x -D 'cn=Manager,dc=my-domain,dc=com' -w "123456" -b 'dc=my-domain,dc=com' 'cn=ldapgroup1'
通过上图，我们可以很明显的看出ldapuser1用户已经加入到ldapgroup1用户组了。
7.开启OpenLDAP日志访问功能
默认情况下OpenLDAP是没有启用日志记录功能的，但是在实际使用过程中，我们为了定位问题需要使用到OpenLDAP日志。
新建日志配置ldif文件，如下：
cat > /root/loglevel.ldif << "EOF"
dn: cn=config
changetype: modify
replace: olcLogLevel
olcLogLevel: stats
EOF
导入到OpenLDAP中，并重启OpenLDAP服务，如下：
ldapmodify -Y EXTERNAL -H ldapi:/// -f /root/loglevel.ldif
systemctl restart slapd
修改rsyslog配置文件，并重启rsyslog服务，如下：
cat >> /etc/rsyslog.conf << "EOF"
local4.* /var/log/slapd.log
EOF
systemctl restart rsyslog查看OpenLDAP日志，如下：
tail -f /var/log/slapd.log