ldap简介

1、轻型目录访问协议（英文：Lightweight Directory Access Protocol，缩写：LDAP，/ˈɛldæp/）是一个开放的，中立的，工业标准的应用协议，通过IP协议提供访问控制和维护分布式信息的目录信息。
2、目录服务在开发内部网和与互联网程序共享用户、系统、网络、服务和应用的过程中占据了重要地位。例如，目录服务可能提供了组织有序的记录集合，通常有层级结构，例如公司电子邮件目录。同理，也可以提供包含了地址和电话号码的电话簿。
3、LDAP由互联网工程任务组（IETF）的文档RFC定义，使用了描述语言ASN.1定义。最新的版本是版本3，由RFC 4511所定义。例如，一个用语言描述的LDAP的搜索如：“在公司邮件目录中搜索公司位于那什维尔名字中含有“Jessy”的有邮件地址的所有人。请返回他们的全名，电子邮件，头衔和简述。”
4、LDAP的一个常用用途是单点登录，用户可以在多个服务中使用同一个密码，通常用于公司内部网站的登录中（这样他们可以在公司计算机上登录一次，便可以自动在公司内部网上登录）。
5、LDAP基于X.500标准的子集。因为这个关系，LDAP有时被称为X.500-lite。

安装ldap的服务端

1.使用yum命令安装openldap

#命令安装openldap
yum -y install openldap-servers openldap-clients

#复制
cp /usr/share/openldap-servers/DB_CONFIG.example  /var/lib/ldap/DB_CONFIG

#设置权限
chown -R ldap:ldap /var/lib/ldap

#开始ldap
systemctl enable slapd

#启动ldap
systemctl start slapd

#查看ldap的状态
systemctl status slapd

2、设置ldap的管理员用户的密码

#设置秘钥（记录密码，生成密码后类似{SSHA}BrEiec66PbYXHMz3XeC1XAIyczzdAAYw）
slappasswd

#创建ldif文件夹
mkdir myldap

#切换到myldap目录下
cd myldap/

#创建pwd.ldif，然后写入内容
touch pwd.ldif

#pwd.ldif内容如下---注意olcRootPW要设置你自己生成的秘钥
dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}BrEiec66PbYXHMz3XeC1XAIyczzdAAYw

#根据文件导入
ldapadd -Y EXTERNAL -H ldapi:/// -f pwd.ldif

3、添加基础的schema

ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif

4、设置根域和数据库超级管理员

#创建dbadmin.ldif，然后写入内容
touch dbadmin.ldif

#dbadmin.ldif内容如下
#注意dc=cmlf，cmlf可以改成其他的，不用保持一致
#olcRootPW的秘钥要和自己生成的秘钥保持一致
dn: olcDatabase={1}monitor,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to *
  by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read
  by dn.base="cn=admin,dc=cmlf,dc=com" read
  by * none

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=cmlf,dc=com

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=admin,dc=cmlf,dc=com

dn: olcDatabase={2}hdb,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}BrEiec66PbYXHMz3XeC1XAIyczzdAAYw

dn: olcDatabase={2}hdb,cn=config
changetype: modify
add: olcAccess
olcAccess: {0}to attrs=userPassword,shadowLastChange
  by dn="cn=admin,dc=cmlf,dc=com" write
  by anonymous auth
  by self write
  by * none
olcAccess: {1}to dn.base=""
  by * read
olcAccess: {2}to *
  by dn="cn=admin,dc=cmlf,dc=com" write
  by * read

#根据文件导入
ldapadd  -Y EXTERNAL -H ldapi:/// -f dbadmin.ldif

5、创建基本的用户节点，组节点，数据库管理员

#创建 base.ldif，然后写入内容
touch base.ldif

#内容如下，注意把dc=cmlf替换成自己的名称
dn: dc=cmlf,dc=com
objectClass: top
objectClass: dcObject
objectclass: organization
o: Example Inc.
dc: cmlf

dn: ou=people,dc=cmlf,dc=com
objectClass: organizationalUnit
ou: user

dn: ou=group,dc=cmlf,dc=com
objectClass: organizationalUnit
ou: group

dn: cn=admin,dc=cmlf,dc=com
objectClass: organizationalRole
cn: admin
description: Directory Administrator

#根据文件导入---注意dc=cmlf,dc=com这一段要替换成自己的
ldapadd  -x -D cn=admin,dc=cmlf,dc=com -W -f base.ldif

6、防火墙设置

firewall-cmd --permanent --add-service=ldap 
firewall-cmd --reload 

7、配置日志

#创建 log.ldif，然后写入内容
touch log.ldif

#内容
dn: cn=config
changetype: modify
add: olcLogLevel
olcLogLevel: 32

#根据文件导入
ldapmodify -Y EXTERNAL -H ldapi:/// -f log.ldif

#执行以下命令
mkdir -p /var/log/slapd
chown ldap:ldap /var/log/slapd/
echo "local4.* /var/log/slapd/slapd.log" >> /etc/rsyslog.conf
systemctl restart rsyslog
systemctl restart slapd
tail -n 4 /var/log/slapd/slapd.log

通过工具连接ldap

1、下载ldap工具

http://www.ldapadmin.org/download/index.html

2、连接

connection name：自己取个名称
host：自己部署ldap的ip地址
base：自己设置的dc=cmlf,dc=com
username：自己设置的cn=admin,dc=cmlf,dc=com
password：自己设置的明文，注意是明文不是加密后的秘钥

目前公司内部有多个系统，而每个系统都有自己的一套用户认证。每次新进或离职一位同事，我们这边OPS运维组的小伙伴们，都要在每个系统上去添加用户，搞得小伙伴们很不爽。

为了让OPS运维组的小伙伴们，从这个繁琐的工作中解放出来，同时也为了统一管理所有系统的用户认证，我们决定启用ldap。这样每个系统的用户认证全部通过ldap来进行，而每个系统的权限就使用各自系统的权限管理即可。

一、OpenLDAP简介

在安装OpenLDAP之前，我们首先来介绍下LDAP。

LDAP是一款轻量级目录访问协议（Lightweight Directory Access Protocol，简称LDAP），属于开源集中账号管理架构的实现，且支持众多系统版本，被广大互联网公司所采用。

LDAP提供并实现目录服务的信息服务，目录服务是一种特殊的数据库系统，对于数据的读取、浏览、搜索有很好的效果。目录服务一般用来包含基于属性的描述性信息并支持精细复杂的过滤功能，但OpenLDAP目录服务不支持通用数据库的大量更新操作所需要的复杂的事务管理或回滚策略等。

LDAP具有两个标准，分别是X.500和LDAP。OpenLDAP是基于X.500标准的，而且去除了X.500复杂的功能并且可以根据自我需求定制额外扩展功能，但与X.500也有不同之处，例如OpenLDAP支持TCP/IP协议等，目前TCP/IP是Internet上访问互联网的协议。

OpenLDAP可以直接运行在更简单和更通用的TCP/IP或其他可靠的传输协议层上，避免了在OSI会话层和表示层的开销，使连接的建立和包的处理更简单、更快，对于互联网和企业网应用更理想。

OpenLDAP目录中的信息是以树状的层次结构来存储数据（这很类同于DNS），最顶层即根部称作“基准DN”，形如“dc=mydomain,dc=org”或者“o=mydomain.org”，前一种方式更为灵活也是Windows AD中使用的方式。在根目录的下面有很多的文件和目录，为了把这些大量的数据从逻辑上分开，OpenLDAP像其它的目录服务协议一样使用OU（Organization Unit，组织单元），可以用来表示公司内部机构，如部门等，也可以用来表示设备、人员等。同时OU还可以有子OU，用来表示更为细致的分类。

OpenLDAP中每一条记录都有一个唯一的区别于其它记录的名字DN（Distinguished Name）,其处在“叶子”位置的部分称作RDN(用户条目的相对标识名)。如dn:cn=tom,ou=animals,dc=ilanni,dc=com中cn即为RDN，而RDN在一个OU中必须是唯一的。

OpenLDAP默认以Berkeley DB作为后端数据库，BerkeleyDB数据库主要以散列的数据类型进行数据存储，如以键值对的方式进行存储。

BerkeleyDB是一类特殊的面向查询进行优化、面向读取进行优化的数据库，主要用于搜索、浏览、更新查询操作，一般对于一次写入数据、多次查询和搜索有很好的效果。BerkeleyDB不支持事务型数据库(MySQL、MariDB、Oracle等)所支持的高并发的吞吐量以及复杂的事务操作。

PS：本次实验是基于centos7，OpenLDAP使用2.4.44版本。

二、初始化环境

olcRootPW: {SSHA}dXgO/Ipy5SQiKFZ0u7m79Xo7uzKIr038，然后修改域信息：

olcSuffix: dc=ilanni,dc=com

olcRootDN: cn=root,dc=ilanni,dc=com

注意：其中cn=root中的root表示OpenLDAP管理员的用户名，而olcRootPW表示OpenLDAP管理员的密码。

实际修改如下：

vim /etc/openldap/slapd.d/cn=config/olcDatabase\=\{2\}hdb.ldif

olcSuffix: dc=ilanni,dc=com

olcRootDN: cn=root,dc=ilanni,dc=com

olcRootPW: {SSHA}dXgO/Ipy5SQiKFZ0u7m79Xo7uzKIr038

注意：后续如果要新加用户到OpenLDAP中的话，我们可以直接修改users.ldif文件即可。

六、导入用户及用户组到OpenLDAP数据库

配置openldap基础的数据库，如下：

cat > /root/base.ldif << EOF

dn: dc=ilanni,dc=com

o: ilanni com

dc: ilanni

objectClass: top

objectClass: dcObject

objectclass: organization

dn: cn=root,dc=ilanni,dc=com

cn: root

objectClass: organizationalRole

description: Directory Manager

dn: ou=People,dc=ilanni,dc=com

ou: People

objectClass: top

objectClass: organizationalUnit

dn: ou=Group,dc=ilanni,dc=com

ou: Group

objectClass: top

objectClass: organizationalUnit

EOF

openldap ssl配置

​

​​​​​​

ldap学习资料

https://wiki.shileizcc.com/confluence/pages/viewpage.action?pageId=39223517

ldap卸载

systemctl stop slapd
apt-get remove --purge slapd ldap-utils
apt-get remove --purge phpldapadmin
apt-get remove slapd ldap-utils
rm -rf /etc/ldap
rm -rf /var/lib/ldap
userdel openldap

ubuntu ldap安装

1. apt-get install -y slapd ldap-utils

 设置确认密码

2. 执行dpkg-reconfigure slapd

3.是否需要创建初始配置和数据库，选择no

 4.设置dnc，我们设置ldap.test

 5.设置组织名称，可以和上一步一样

6.配置管理员密码

7.卸载ldap时是否删除数据库，选择no

8.这里我们推荐使用最新的数据库，因此需要移走老的库，选择yes

注解：ubuntu1~18.0版本安装ldap时会有选择数据库类型选项，老的ldap使用hdb，所以我们直接选择hdb好做迁移，但是本次是ubuntu1~20.04，默认就是mdb。

安装相关资料
https://blog.csdn.net/beeworkshop/article/details/114390125
https://www.cnblogs.com/storyawine/p/15322876.html
https://ubuntu.com/server/docs/service-ldap
 

schema添加

schema在ldap中相当于mysql的主键，字段类型的配置，在/etc/ldap/schema/下，可以加默认的所有的schema，执行所有的ldif文件

sudo ldapadd -Q -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/ppolicy.ldif
adding new entry "cn=ppolicy,cn=schema,cn=config"

phpldapadmin安装

https://github.com/leenooks/phpLDAPadmin
github下载：git clone https://github.com/leenooks/phpLDAPadmin.git
mv /data/ldap/phpLDAPadmin /data/ldap/phpldapadmin
软连接到Apache2
ln -s /data/ldap/phpldapadmin /var/www/html/phpldapadmin
两种方式配置文件
1. 直接copy老的ldap的：cp /var/www/html/phpldapadmin/conf/config.php
2. 修改/data/ldap/phpldapadmin/conf/config.php

mv /data/ldap/phpldapadmin/conf/config.php.example  /data/ldap/phpldapadmin/conf/config.php
添加
$servers->newServer('ldap_pla');
$servers->setValue('server','name','LDAP Server');
$servers->setValue('server','host','127.0.0.1');
$servers->setValue('server','port',389);
$servers->setValue('server','base',array('dc=uhome-app,dc=haier'));
$servers->setValue('login','auth_type','cookie');
$servers->setValue('login','bind_id','cn=admin,dc=uhome-app,dc=haier');
$servers->setValue('login','bind_pass','Ldap2016^');
$servers->setValue('server','tls',false);

重启apache2
systemctl restart apache2

访问phpldapadmin
http://ip/phpldapadmin

phpldapadmin相关资料
https://cloud.tencent.com/developer/article/1349446

密码策略设置

加载模块ppolicy：

cat << EOF | ldapadd -Y EXTERNAL -H ldapi:///
dn: cn=module{0},cn=config
changetype: modify
add: olcModuleLoad
olcModuleLoad: {0}ppolicy
EOF

添加 objectClass 对象，增加额外属性和值

cat << EOF | ldapadd -Y EXTERNAL -H ldapi:///
dn: olcOverlay=ppolicy,olcDatabase={1}mdb,cn=config
changetype: add
objectClass: olcConfig
objectClass: olcOverlayConfig
objectClass: olcPPolicyConfig
olcOverlay: ppolicy
olcPPolicyDefault: cn=default,ou=policies,dc=uhome-app,dc=haier
olcPPolicyHashCleartext: TRUE
olcPPolicyUseLockout: TRUE
EOF

创建policies组
cat << EOF | ldapadd -x -D cn=admin,dc=uhome-app,dc=haier -W
dn: ou=policies,dc=uhome-app,dc=haier
objectClass: top
objectClass: organizationalUnit
ou: policies
EOF

定义密码规则
cat << EOF | ldapadd -x -D cn=admin,dc=uhome-app,dc=haier -W
dn: cn=default,ou=policies,dc=uhome-app,dc=haier
cn: default
objectClass: top
objectClass: device
objectClass: pwdPolicy
pwdAttribute: userPassword
pwdAllowUserChange: TRUE
pwdInHistory: 5
pwdMinLength: 5
pwdMaxFailure: 5
pwdFailureCountInterval: 30
pwdCheckQuality: 0
pwdMustChange: TRUE
pwdSafeModify: FALSE
pwdGraceAuthNLimit: 5
pwdMaxAge: 7776000
pwdMinAge: 0
pwdExpireWarning: 1209600
pwdLockoutDuration: 900
pwdLockout: TRUE
EOF

数据恢复

由于原ldap是centos 使用hdb，且版本低，导出的数据使用命令导入一直失败，所以最后采用phpldapadmin页面导入
从之前的ldap服务器页面导出，再新ldap页面导入即可

发送邮件sendEmail命令

安装：
wget http://caspian.dotconf.net/menu/Software/SendEmail/sendEmail-v1.56.tar.gz
tar -zxvf sendEmail-v1.56.tar.gz
cd sendEmail-v1.56
把里面的主要程序复制到环境变量目录下，即可使用
cp sendEmail /usr/bin/
参数解释
-f root@yunwei.com 发件人邮箱
-t 123@qq.com 收件人邮箱
-s mail.yunwei.com 发件人邮箱smtp服务器
-u "testsubject" 邮件标题
-o message-content-type=html 邮件内容的格式
-o message-charset=utf8 邮件内容编码
-xu admin@yunwei.com 发件人邮箱用户名
-xp root 发件人邮箱密码
-m "test" 邮件具体内容
sendEmail -o tls=no -s "xxx.com:587" -xu "hitest@cihome.top" -xp 'xxx' -f "hitest@cihome.top" -t "xx@xx.com" -u "mytest" -o message-content-type=html -o message-charset=utf8 -o message-file=mailmsg

tls选择加密传输