CentOS 7下OpenLDAP编译安装及配置

一．环境

Server：基于CentOS-7-x86_64-1511

Server IP: 172.18.12.203

二．软件获取

OpenLDAP

OpenLDAP官网下载地址：http://www.openldap.org/software/download/

OpenLDAP 2.4.44：ftp://ftp.openldap.org/pub/OpenLDAP/openldap-release/openldap-2.4.44.tgz

BDB

berkeley-db-5.1.29 (OpenLDAP当前与6.x版本不兼容，READEME中明确写出兼容4.4~4.8或5.0~5.1)：

http://download.Oracle.com/berkeley-db/db-5.1.29.tar.gz

LDAP Administrtor

ldapadmin 2015.2：

官网下载地址：http://www.ldapbrowser.com/download.htm

64-bit：http://softerra-downloads.com/ldapadmin/ldapadmin-4.13.16704.0-x64-eng.msi 

三．准备

1. 关闭selinux；

2. 打开防火墙tcp 389 / 636端口。

# tcp 389 是openldap 明文传输端口，tcp 636是ssl加密传输的端口。

# centos7默认自带firewalld服务，可以停用之后安装iptables。

四．安装OpenLDAP

1. 依赖包

# 涉及libtool-ltdl与libtool-ltdl-devel，如不安装，在编译时报错：configure: error: could not locate libtool ltdl.h
yum install *ltdl* -y

2. 安装BDB

#必须在解压包的build_unix目录中编译安装，否则会报错
[root@localhost ~]# cd /usr/local/src/
[root@localhost src]# tar -zxvf db-5.1.29.tar.gz
[root@localhost src]# cd db-5.1.29/build_unix/
[root@localhost build_unix]# ../dist/configure --prefix=/usr/local/berkeleydb-5.1.29
[root@localhost build_unix]# make
[root@localhost build_unix]# make install

3. 更新lib库

#保证在后面编译openldap时能找到lib和include下的库
[root@localhost build_unix]# cd /usr/local/src/
[root@localhost src]# echo "/usr/local/berkeleydb-5.1.29/lib/" > /etc/ld.so.conf
[root@localhost src]# ldconfig -v

4. 安装OpenLDAP

#编译选项可以通过./configure --help查看；
#其中make test一步时间较长；
#如果未设置CPPFLAGS，configure过程可能会提示configure: error: BDB/HDB: BerkeleyDB not available 或 configure: error: BerkeleyDB version incompatible with BDB/HDB backends
[root@localhost ~]# cd /usr/local/src/
[root@localhost src]# tar -zxvf openldap-2.4.44.tgz
[root@localhost src]# cd openldap-2.4.44
[root@localhost openldap-2.4.44]# ./configure --prefix=/usr/local/openldap-2.4.44 --enable-syslog --enable-modules --enable-debug --with-tls CPPFLAGS=-I/usr/local/berkeleydb-5.1.29/include/ LDFLAGS=-L/usr/local/berkeleydb-5.1.29/lib/
[root@localhost openldap-2.4.44]# make depend
[root@localhost openldap-2.4.44]# make
[root@localhost openldap-2.4.44]# make test
[root@localhost openldap-2.4.44]# make install

5. 设置可执行命令

#对openldap客户端（bin）与服务器端（sbin）相关执行档添加软链接，也可以通过增加环境变量的方式设置
[root@localhost openldap-2.4.44]# cd /usr/local/openldap-2.4.44
[root@localhost openldap-2.4.44]# ln -s /usr/local/openldap-2.4.44/bin/* /usr/local/bin/
[root@localhost openldap-2.4.44]# ln -s /usr/local/openldap-2.4.44/sbin/* /usr/local/sbin/

五．简单配置

1. 安装完成的openldap-2.4.44目录结构

openldap安装完成后相关目录承载的功能如下：

bin/ --客户端工具如ldapadd、ldapsearch

etc/ --包含主配置文件slapd.conf、schema、DB_CONFIG等

include/

lib/

libexec/ --服务端启动工具slapd

sbin/ --服务端工具如slappasswd

share/

var/ --bdb数据、log存放目录

2. 配置rootdn密码(optional)

#设置rootdn密码，这里设置为123456；
#这样rootdn密码为密文方式，复制输出密文到主配置文件rootdn对应的位置即可，如果不想麻烦，可以忽略此步，在主配置文件中使用明文即可。
[root@localhost ~]# cd /usr/local/openldap-2.4.44/
[root@localhost openldap-2.4.44]# slappasswd
New password:
Re-enter new password:
{SSHA}K9+WK/t1e0V0K6pUMOyTsaTwkDBNEDiP

3. 主配置文件slapd.conf

[root@localhost openldap-2.4.44]# cd /usr/local/openldap-2.4.44/etc/openldap/
[root@localhost openldap]# vim slapd.conf
#以下修改紫红色字体是未做修改的部分，红色字体是有修改部分，蓝色字体表示新增部分

#schema默认只有core.schema，各级需要添加，这里将同配置文件一个目录的schema目录中有的schema文件都加到配置文件中;
5    include         /usr/local/openldap-2.4.44/etc/openldap/schema/core.schema
6    include /usr/local/openldap-2.4.44/etc/openldap/schema/collective.schema
7    include /usr/local/openldap-2.4.44/etc/openldap/schema/corba.schema
8    include /usr/local/openldap-2.4.44/etc/openldap/schema/cosine.schema
9    include /usr/local/openldap-2.4.44/etc/openldap/schema/duaconf.schema
10    include /usr/local/openldap-2.4.44/etc/openldap/schema/dyngroup.schema
11    include /usr/local/openldap-2.4.44/etc/openldap/schema/inetorgperson.schema
12    include /usr/local/openldap-2.4.44/etc/openldap/schema/java.schema
13    include /usr/local/openldap-2.4.44/etc/openldap/schema/misc.schema
14    include /usr/local/openldap-2.4.44/etc/openldap/schema/nis.schema
15    include /usr/local/openldap-2.4.44/etc/openldap/schema/openldap.schema
16    include /usr/local/openldap-2.4.44/etc/openldap/schema/pmi.schema
17    include /usr/local/openldap-2.4.44/etc/openldap/schema/ppolicy.schema

25    pidfile        /usr/local/openldap-2.4.44/var/run/slapd.pid
26    argsfile    /usr/local/openldap-2.4.44/var/run/slapd.args

#新增日志文件级别与路径，需要在编译时--enable-debug，否则日志文件输出，不影响调试模式;
28    loglevel    256
29    logfile    /usr/local/openldap-2.4.44/var/slapd.log

#这里使用mdb做后端数据库，也可修改为"bdb"参数，在OpenLDAP 官方文档" 11.4. LMDB"章节中有介绍mdb是推荐使用的后端数据库;
67    database    mdb

#使用mdb做后端数据库时，根据官方文档中说明需要设置一个空间值，" In addition to the usual parameters that a minimal configuration requires, the mdb backend requires a maximum size to be set. This should be the largest that the database is ever anticipated to grow (in bytes). The filesystem must also provide enough free space to accommodate this size."；如果使用bdb做后端数据库，需要将此项参数注释;
68    maxsize        1073741824

#修改域名及管理员账户名;
69    suffix        "dc=sys,dc=com"
70    rootdn        "cn=admin,dc=sys,dc=com"

#使用密文密码，即前面使用slappasswd生成的密文;
74    rootpw        {SSHA}K9+WK/t1e0V0K6pUMOyTsaTwkDBNEDiP

#openldap数据目录，采用mdb时，在相应目录生成" data.mdb"与" lock.mdb"文件；采用bdb时，在相应目录生成" dn2id.bdb"与" id2entry.bdb"，及多个" __db.00*"文件。
78    directory    /usr/local/openldap-2.4.44/var/openldap-data

80    index    objectClass    eq

4. 初始化OpenLADP(optional)

#如果采用mdb做后端数据库，此步可忽略，DB_CONFIG是 bdb/hdb数据库使用的；
#与主配置文件中的配置有关，主配置文件确定使用bdb与数据存放路径。
[root@localhost openldap]# cd /usr/local/openldap-2.4.44/var/openldap-data/
[root@localhost openldap-data]# cp DB_CONFIG.example DB_CONFIG

5. 启动OpenLADP

#直接在后台工作;
#非root用户不能监听端口1~1024，如果是非root用户，有可能需要重新定义服务端口
[root@localhost ~]# /usr/local/openldap-2.4.44/libexec/slapd

#在前端工作，输出debug信息
[root@localhost ~]# /usr/local/openldap-2.4.44/libexec/slapd -d 256

6. 验证

[root@localhost ~]# ldapsearch -x -b '' -s base'(objectclass=*)'
#或者[root@localhost ~]# ldapsearch -x -b '' -s base '(objectclass=*)' namingContexts
#或者使用netstat -tunlp | grep 389，ps -ef | grep slapd，ps aux | grep slapd等也可。

如图示，说明openldap已经启动运行成功：

六．简单使用(示例)

1. 创建1个管理员账号

编辑ldif文件

#注意与slapd.conf文件中保持一致，下面的命令同理，
#本人曾在下面的ldapadd命令中将"admin"写成了"amdin"，导致一直报" ldap_bind: Invalid credentials (49)"错(每次都是翻回上一条命令执行)，排查了3个小时左右才发现。
[root@localhost ~]# vim test.ldif

dn: dc=sys,dc=com
objectclass: dcObject
objectclass: organization
o: SYS.Inc
dc: sys

dn: cn=admin,dc=sys,dc=com
objectclass: organizationalRole
cn: admin

插入数据库

[root@localhost ~]# ldapadd -x -D "cn=admin,dc=sys,dc=com" -W -f test.ldif

可以看到账号已经加入到ldap中：

验证

[root@localhost ~]# ldapsearch -x -b 'dc=sys,dc=com' '(objectClass=*)'

2. 创建1个具有部门属性的员工

编辑ldif文件

#这里其实是先创建1个部门”it”，再在”it”部门创建了1个员工，实际上是两条命令
[root@localhost ~]# vim test2.ldif 

dn: ou=it,dc=sys,dc=com
ou: it
objectClass: organizationalUnit

dn: cn=test1,ou=it,dc=sys,dc=com
ou: it
cn: test1
sn: t1
objectClass: inetOrgPerson
objectClass: organizationalPerson

插入数据库

[root@localhost ~]# ldapadd -x -D "cn=admin,dc=sys,dc=com" -W -f test2.ldif

可以看到已经员工账号加入到ldap中：

验证

[root@localhost ~]# ldapsearch -x -b 'dc=sys,dc=com' '(objectClass=*)'

 

3. ldapadmin

运行ldapadmin

创建数据库文件

New—>New Profile，或者在主界面中Ctrl+P；

输入Profile名字，名字任意，下一步；

输入Host地址，Port默认为389(注意iptables是否开放389端口)；

BaseDN处默认为空，标示在根节点上，如果不想显示根节点，可在后方下拉列表中选择具体的一级数据库，下一步；

选择"Other credenti"，

Mechanism选择"Simple"，

Princip处输入"cn=adminnnnn,dc=sys,dc=com"，

Password处填写相应密码，保存密码，点击"完成"即创建成功。

验证

七．附录

1. 常见对象属性

LDAP为人员组织机构中常见的对象都设计了属性(比如commonName，surname)。下面有一些常用的别名：

属性名称	属性别名	语法	描述	值（举例）
commonName	cn	Directory String	名子	sean
surname	sn	Directory String	姓氏	Chow
organizationalUnitName	ou	Directory String	单位（部门）名称	IT_SECTION
organization	o	Directory String	组织（公司）名称	linuxprobe
telephoneNumber		Telephone Number	电话号码	911
objectClass			内置属性	organizationa

 

 

 

 

 

 

 

 

 

 

 

 

2. ldif修改LDAP记录或配置示例

可以说LDIF文件是OpenLDAP操作数据或修改配置的一切来源，下面是实际通过客户端工具操作的具体示例。

1. 添加组织或条目

创建一个Marketing部门，添加一个dn记录：

# cat add_entry.ldif
dn: ou=Marketing, dc=example,dc=com
changetype: add
objectclass: top
objectclass: organizationalUnit
ou: Marketing

dn: cn=Pete Minsky,ou=Marketing,dc=example,dc=com
changetype: add
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
cn: Pete Minsky
sn: Pete
ou: Marketing
description: sb, sx
description: sx
uid: pminsky

　　

# ldapmodify -xWD 'cn=admin,dc=example,dc=com' -f add_entry.ldif

或去掉changetype后
# ldapmodify -a -xWD 'cn=admin,dc=example,dc=com' -f add_entry.ldif
# ldapadd -xWD 'cn=admin,dc=example,dc=com' -f add.ldif

2. 修改组织或条目

添加mail属性，修改sn的值，删除一个description属性：

# cat modify_entry.ldif
dn: cn=Pete Minsky,ou=Marketing,dc=example,dc=com
changetype: modify
add: mail
mail: [email protected]
-
replace: sn
sn: Minsky
-
delete : description
description: sx

　　

# ldapmodify -xWD  'cn=admin,dc=example,dc=com'  -f modify_entry.ldif
# ldapsearch -xD 'cn=admin,dc=mydomain,dc=net' -b 'ou=People,dc=mydomain,dc=net' -s sub 'objectclass=*' -w tplink -LLL

3. 重命名条目

dn: cn=Pete Minsky,ou=Marketing,dc=example,dc=com
changetype: modrdn
newrdn: cn=Susan Jacobs
deleteoldrdn: 1

4. 删除组织或条目modrdn只允许修改dn最左边的部分，且不能重命名带叶子或分支的子树，如果要将一个用户移动到另一个部门下，只能在新部门创建dn，然后删除旧的dn。

LDAP协议只能删除无分支的叶子dn：

# cat delete_entry.ldif
dn: cn=Susan Jacobs,ou=Marketing,dc=example,dc=com
changetype:  delete

或
# ldapdelete -xWD "cn=admin,dc=example,dc=com" -h localhost -p 389 "cn=Susan Jacobs,ou=Marketing,dc=example,dc=com"

5. LDIF配置backend 

OpenLDAP的配置采用以cn=config为根的目录树的形式组织起来，采用config作为database，默认情况下包括admin或root用户都没有访问权限，需要赋予读写权限，然而赋予修改权限要求首先要提供认证信息，初始化安装后的cn=config是没有credentials

# ldapmodify -Y EXTERNAL -H ldapi:/// -f modify_config.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry  "olcDatabase={0}config,cn=config"
ldap_modify: Insufficient access (50)

所以这里不得不手动编辑olcDatabase={0}config.ldif文件，获得最初认证权限（虽然官方不推荐手动修改配置）： 

# vi /etc/ldap/slapd.d/cn\=config/olcDatabase\=\{0\}config.ldif
olcRootPW: {SSHA}your_slappasswd_secret

重启slapd后(不是说不用重启吗)便可以修改config： 

# ldapwhoami -x -D cn=config -W

修改示例：
# ldapmodify -xWD 'cn=config'
Enter LDAP Password:
dn: olcDatabase={0}config,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=config
-
replace: olcRootPW
olcRootPW: {SSHA}your_slappasswd_secret

modifying entry  "olcDatabase={0}config,cn=config"

在/etc/ldap/slapd.d/cn=config/olcDatabase={0}config.ldif中olcRootDN变成base64加密后的值（两个”:”）。 

最后，如果要在slapd服务未启动的情况下修改配置可以通过以下命令转换成ldif中间文件：

# slapcat -n0 -F /etc/ldap/slapd.d/ > /tmp/config-in-portable-format.ldif
编辑ldif文件后，重新shengc slapd.d目录
# slapadd -n0 -F /tmp/slapd.d -l /tmp/config-in-portable-format.ldif

使用这类命令行工具有助于对 LDAP concept 理解，如果要达到快速配置的效果，可以使用 ldapbrowser 或 Apache Directory Studio 图形化工具，特别是 Apache Directory Studio 不仅提供了 LDAP Browser/Editor 的功能，还能编辑LDIF文件和自定义schema，智能提示非常友好。