CentOS 6 使用 OpenLDAP 认证

OpenLDAP 简介

OpenLDAP 简介网上一大堆这里就不做介绍，可参考：http://baike.baidu.com/view/308683.htm

环境

1服务端 IP：192.168.1.2
2客户端 IP：192.168.1.3

添加用户

useradd -M -s /sbin/nologin ldap

BerkeleyDB 安装

1./dist/configure --prefix=/usr/local/BerkeleyDB --enable-dbm --enable-share
2make
3make install

安装完后需要将 BerkeleyDB 动态库路径写入 /etc/ld.so.conf，否则有的程序找不到 BerkeleyDB 相应的动态库

1echo "/usr/local/BerkeleyDB/lib" >> /etc/ld.so.conf
2ldconfig

OpenLDAP 服务端安装

1./configure --prefix=/usr/local/OpenLDAP --enable-spasswd --enable-crypt --enable-overlays --enable-accesslog --enable-auditlog --enable-passwd --enable-ldap --enable-relay --enable-meta --enable-bdb
2make
3make install

OpenLDAP 服务端配置

1、编辑 /usr/local/OpenLDAP/etc/openldap/slapd.conf

添加

1include     /usr/local/OpenLDAP/etc/openldap/schema/core.schema
2include     /usr/local/OpenLDAP/etc/openldap/schema/corba.schema
3include     /usr/local/OpenLDAP/etc/openldap/schema/collective.schema
4include     /usr/local/OpenLDAP/etc/openldap/schema/cosine.schema
5include     /usr/local/OpenLDAP/etc/openldap/schema/duaconf.schema
6include     /usr/local/OpenLDAP/etc/openldap/schema/dyngroup.schema
7include     /usr/local/OpenLDAP/etc/openldap/schema/inetorgperson.schema
8include     /usr/local/OpenLDAP/etc/openldap/schema/java.schema
9include     /usr/local/OpenLDAP/etc/openldap/schema/misc.schema
10include     /usr/local/OpenLDAP/etc/openldap/schema/nis.schema
11include     /usr/local/OpenLDAP/etc/openldap/schema/pmi.schema
12include     /usr/local/OpenLDAP/etc/openldap/schema/ppolicy.schema
13include     /usr/local/OpenLDAP/etc/openldap/schema/openldap.schema

修改 pidfile

pidfile /var/run/slapd.pid

修改 argsfile

argsfile /usr/local/OpenLDAP/var/slapd.args

禁止匿名访问

disallow bind_anon

修改操作权限（管理员可修改所有用户资料，普通用户只能查看他人资料和修改自己资料）

1access to attr=shadowLastChange,userPassword
2    by self write
3    by anonymous auth
4    by * none
5access to *
6    by self write
7    by * read

2.4.40 开始 是 attrs ， 而不再是 attr

数据库使用 bdb

database bdb

修改 DN 后缀

suffix "dc=domain,dc=com"

修改根 DN

1rootdn "cn=root,dc=domain,dc=com"
2rootpw {SSHA}xxxx // 密码可使用命令：“/usr/local/OpenLDAP/sbin/slappasswd -h{SSHA} -s 密码” 来生成

修改数据目录

directory /usr/local/OpenLDAP/data

创建复制BDB数据库配置文件

    OpenLDAP 服务器默认采用 BDB（伯克利）数据库作为后台，需要先将 /usr/local/OpenLDAP/etc/openldap/DB_CONFIG.example 复制到 /usr/local/OpenLDAP/data 目录下，并更名为 DB_CONFIG，并更改权限为 ldap 所有。

1cp /usr/local/OpenLDAP/etc/openldap/DB_CONFIG.example /usr/local/OpenLDAP/data
2mv /usr/local/OpenLDAP/data/DB_CONFIG.example /usr/local/OpenLDAP/data/DB_CONFIG
3chown -fR ldap:ldap /usr/local/OpenLDAP/data

初始化数据

编辑 init.ldif

1dn: dc=domain,dc=com
2objectClass: dcObject
3objectClass: organization
4dc: domain
5o: domain.com Inc.
6description: domain.com LDAP Server
7
8dn: cn=root,dc=domain,dc=com
9objectClass: organizationalRole
10cn: root

用以下命令添加模板信息

/usr/local/OpenLDAP/bin/ldapadd -x -D "cn=root,dc=domain,dc=com" -W -f init.ldif

启动 OpenLDAP

/usr/local/OpenLDAP/libexec/slapd -4 -n "OpenLDAP Server" -g ldap -u ldap -f /usr/local/OpenLDAP/etc/openldap/slapd.conf

检测 OpenLDAP 是否启动

netstat -anp|grep 389

导入系统组、账号数据

下载 MigrationTools，下载地址：ftp://ftp.padl.com/pub/MigrationTools.tgz

下载完成解压后，进入该目录

修改 migrate_common.ph

1$DEFAULT_MAIL_DOMAIN = "domain.com"; 
2$DEFAULT_BASE = "dc=domain,dc=com"; （说明：此处需要和前面配置的 slapd.conf 指定的域名相同）

 生成模板信息

./migrate_base.pl > base.ldif

编辑 base.ldif

删除 除了 ou=People,dc=domain,dc=com 和 ou=Group,dc=domain,dc=com 外的其它所有条目

1dn: ou=People,dc=domain,dc=com 替换为 ou=User,ou=Server,dc=domain,dc=com
2dn: ou=Group,dc=domain,dc=com 替换为 ou=Group,ou=Server,dc=domain,dc=com

当然也可以不用改。为什么要改？可能你的 OpenLDAP 需要管理若干系统用户。这么做是为了清晰的分组管理。

DN ou=Server,dc=domain,dc=com 下都为服务器用户组、用户账号信息。

/usr/local/OpenLDAP/bin/ldapadd -x -D "cn=root,dc=domain,dc=com" -W -f base.ldif

导出用户组

./migrate_group.pl > group.ldif

替换 group.ldif 中的 ou=Group,dc=domain,dc=com 替换为 ou=Group,ou=Server,dc=domain,dc=com

/usr/local/OpenLDAP/bin/ldapadd -x -D "cn=root,dc=domain,dc=com" -W -f group.ldif

导出用户

./migrate_passwd.pl > user.ldif

将 user.ldif 中的 ou=People,dc=domain,dc=com 替换为 ou=User,ou=Server,dc=domain,dc=com

/usr/local/OpenLDAP/bin/ldapadd -x -D "cn=root,dc=domain,dc=com" -W -f user.ldif

其它相关配置（如：开机自启动、防火墙等等）这里就不再重复描述，和其它软件无异。

可以使用 phpLDAPadmin 来进行可视化管理，可通过防火墙限制 OpenLDAP 只能在局域网内访问。

OpenLDAP 客户端安装

    客户端不需要 OpenLDAP 服务端库，所以可以通过 yum 仅安装 OpenLDAP 客户端库

yum install openldap-clients

OpenLDAP 客户端配置

编辑 /etc/openldap/ldap.conf

1BASE dc=domain,dc=com
2URI  ldap://192.168.1.2

系统认证配置

    在配置系统文件时，为了避免由于错误，造成没法登录，建议开启两个窗口，且在修改文件之前做好备份，以方便恢复。

安装 nss-pam-ldap

yum install nss-pam-ldapd pam_ldap

编辑 /etc/nsswitch.conf

将

1passwd:     files
2shadow:     files
3group:      files

改为

1passwd:     files ldap
2shadow:     files ldap
3group:      files ldap

编辑 /etc/sysconfig/authconfig ，将以下几项改为 yes

1USESYSNETAUTH=yes
2USESHADOW=yes
3USELOCAUTHORIZE=yes
4USELDAP=yes
5USELDAPAUTH=yes
6USEMKHOMEDIR=yes
7
8PASSWDALGORITHM=sha512

编辑 /etc/pam_ldap.conf

1host 192.168.1.2
2base dc=domain,dc=com
3rootbinddn cn=root,dc=domain,dc=com
4bindpw root 密码
5pam_password sha512
6
7nss_base_passwd ou=User,ou=Server,dc=domain,dc=com?filter
8nss_base_shadow ou=User,ou=Server,dc=domain,dc=com?filter
9nss_base_group  ou=Group,ou=Server,dc=domain,dc=com?filter

编辑 /etc/nslcd.conf

1uri ldap://192.168.1.2/
2base dc=domain,dc=com
3
4rootpwmoddn cn=root,dc=domain,dc=com
5bindpw root 密码
6
7base   group  ou=Group,ou=Server,dc=domain,dc=com
8base   passwd ou=User,ou=Server,dc=domain,dc=com
9base   shadow ou=User,ou=Server,dc=domain,dc=com

修改 /etc/pam.d/system-auth

1auth        required      pam_env.so
2auth        sufficient    pam_unix.so nullok try_first_pass
3auth        sufficient    pam_ldap.so nullok use_first_pass
4auth        requisite     pam_succeed_if.so uid >= 500 quiet
5auth        required      pam_deny.so
6
7account     required      pam_unix.so
8account     sufficient    pam_localuser.so
9account     [default=bad success=ok user_unknown=ignore] pam_ldap.so
10account     sufficient    pam_succeed_if.so uid < 500 quiet
11account     required      pam_permit.so
12
13password    requisite     pam_cracklib.so try_first_pass retry=3 type=
14password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
15password    required      pam_deny.so
16
17session     optional      pam_keyinit.so revoke
18session     required      pam_limits.so
19session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
20session     required      pam_unix.so
21session     optional      pam_ldap.so
22session     optional      pam_mkhomedir.so skel=/etc/skel umask=0077

修改 /etc/pam.d/password-auth

1password    requisite     pam_cracklib.so try_first_pass retry=3 type=
2password    sufficient    pam_ldap.so use_first_pass
3password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
4password    required      pam_deny.so
5
6session     optional      pam_keyinit.so revoke
7session     required      pam_limits.so
8session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
9session     required      pam_unix.so
10session     required      pam_ldap.so
11session     required      pam_mkhomedir.so skel=/etc/skel umask=0077

/etc/pam.d/password-auth 必须加上

session     required      pam_ldap.so
session     required      pam_mkhomedir.so skel=/etc/skel umask=0077

否则无法自动创建用户目录，当然如果自动同步主目录，则客户机上就不行在 /etc/pam.d/system-auth、/etc/pam.d/password-auth 加上

session     xxx      pam_mkhomedir.so skel=/etc/skel umask=0077

最后，需要启动 nslcd

service nslcd restart

测试，是否同步成功

id yourusername

用户主目录同步

通过 NFS 自动同步用户主目录，参考资料：

http://blog.chinaunix.net/uid-20748874-id-4078997.html