LDAP密码加密字符串生成器slappasswd命令的详细使用方法

之所以要使用生成密码的方式来设置密码，主要是为了安全，我们直接以明文的方式存储在任何配置文件都可能被人看到而造成密码泄露，使用密码生成的方式即可按自己规则将明文密码转换为指定形式的加密字符串，这样无法获取到明文密码，相对来说就安全很多，但即使是这样，也不建议大家使用简单的明文密码来生成密码字符串，因为简单密码的各类加密字符串早已进入各类解密人员的字典里

先看命令的帮助信息：

slappasswd -help
New password: 
Re-enter new password: 
Password generation failed for scheme elp: scheme not recognized
[root@mgmt configs]# slappasswd --help
slappasswd: invalid option -- '-'
Usage: slappasswd [options]
  -c format	crypt(3) salt format
  -g		generate random password
  -h hash	password scheme
  -n		omit trailing newline
  -o [=val] specify an option with a(n optional) value
  	module-path=
  	module-load=
  -s secret	new password
  -u		generate RFC2307 values (default)
  -v		increase verbosity
  -T file	read file for new password

具体使用：

slappasswd 是 OpenLDAP 提供的一个命令行工具，用于生成 LDAP 密码散列值。在 OpenLDAP 中，用户的密码通常不会以明文形式存储，而是经过加密（哈希）后存储在 userPassword 属性中。使用 slappasswd 可以方便地创建这些预加密的密码字符串，以便于导入或配置文件中手动设置用户密码。

使用方法

基本语法如下：

slappasswd [-h {hash}] [-s password] [-n]

• -s password: 指定要加密的明文密码。
• -h {hash}: 指定使用的密码散列方法。如果不指定，默认会根据服务器配置选择一种安全散列算法，如 SSHA 或 SHA。常见的散列类型包括：
  • SSHA：Salted Secure Hash Algorithm (带有随机盐的 SHA-1)
  • SMD5：Salted Message-Digest Algorithm 5 (带有随机盐的 MD5)
  • SHA：Secure Hash Algorithm (不带盐的 SHA-1)
  • MD5：Message-Digest Algorithm 5 (不带盐的 MD5)

例如，要为密码 "secret" 生成一个 SSHA 散列值，你可以执行：

slappasswd -s secret

输出类似于：

{SSHA}J7gGqHb+YVz2LQyjKXxIw3OzP9+A==

这个字符串可以直接写入到 LDAP 数据库中的用户条目的 userPassword 属性中。

使用场景

1. 批量导入用户数据：如果你需要通过 LDIF 文件批量导入用户账号和密码，可以先用 slappasswd 来生成每个用户的密码散列值，然后将这些散列值包含在 LDIF 文件内。

2. 自动化脚本：在自动化环境中，你可能需要通过脚本来动态设置用户的密码，而不是通过 ldappasswd 这样的交互式命令。这时可以在脚本中调用 slappasswd 生成密码散列，再通过 LDAP 修改操作更新用户账户的密码属性。

3. 测试与调试：在测试 LDAP 配置或应用程序集成时，直接使用 slappasswd 生成的散列密码可以帮助验证密码认证过程是否正常工作。

4. 迁移和备份恢复：在迁移或从备份恢复用户数据时，如果原始数据仅包含了加密后的密码散列，那么 slappasswd 可以用来产生同样格式的新密码散列，确保一致性。

以下是使用 slappasswd 生成不同加密形式密码的例子：

1. MD5：

   slappasswd -s "clearTextPassword" -h "{MD5}"

   这将生成一个基于 MD5 的密码散列。

2. SMD5（Salted MD5）：

   slappasswd -s "clearTextPassword" -h "{SMD5}"

   默认情况下，slappasswd 在创建 SMD5 散列时会自动添加盐值。

3. SHA：

   slappasswd -s "clearTextPassword" -h "{SHA}"

   创建基于 SHA-1 的密码散列。

4. SSHA（Salted SHA）：

   slappasswd -s "clearTextPassword"

   默认情况下，slappasswd 在没有指定 -h 参数时通常会生成一个 Salted SHA 密码散列，这在大多数现代 LDAP 配置中是推荐的选项。

例如，执行以下命令：

slappasswd -s "MySecurePassword"

然后，slappasswd 将输出类似这样的散列值：

{SSHA}rGmYvKdX6wP0TlgCgU6xJzNk3qLWg==

这个散列可以被直接赋给用户的 userPassword 属性值。每个散列都包含了随机生成的盐值，以增加安全性，使得即使是相同的明文密码，每次生成的散列也会有所不同。

 

这些密码字符串可以直接使用在ldif用户设置或创建的配置文件中，或直接使用命令设定相关密码：

dn: uid=naicha,ou=People,dc=jingdong,dc=com
uid: naicha
cn: naicha
objectClass: account
objectClass: posixAccount
objectClass: top
userPassword: {SSHA}22idPfpP0R2THBaxqpr14bawdKJKpeTC    //这里直接将带密码形式头的整个字符串放到这里即可
loginShell: /bin/bash
uidNumber: 360
gidNumber: 360
homeDirectory: /home/naicha

其他相关知识：服务器集群配置LDAP统一认证高可用集群（配置tsl安全链接）-centos9stream-openldap2.6.2_ldap启用636端口号-CSDN博客

 

OpenLDAP配置web管理界面PhpLDAPAdmin服务-centos9stream-CSDN博客