LDAP（轻量级目录访问协议，Lightweight Directory Access Protocol)是实现提供被称为目录服务的信息服务。目录服务是一种特殊的数据库系统，其专门针对读取，浏览和搜索操作进行了特定的优化。目录一般用来包含描述性的，基于属性的信息并支持精细复杂的过滤能力。目录一般不支持通用数据库针对大量更新操作操作需要的复杂的事务管理或回卷策略。而目录服务的更新则一般都非常简单。这种目录可以存储包括个人信息、web链结、jpeg图像等各种信息。为了访问存储在目录中的信息，就需要使用运行在TCP/IP 之上的访问协议—LDAP。

引言

本文介绍如何在搭建ldap服务器，我以在云服务器 ESC (Elastic Compute Service)上搭建为例，ESC系统为 centos7.9。公网IP为121.51.39.239。
里面涉及到的密码设置，可以自行选择密码配置，这里我统一设置为123123，避免搞混。

资源包准备

有些资源在centos中无法通过 yum install 安装，需要下载后手动安装。这里有个 Ldapscripts 资源就需要手动下载安装。
链接：https://pan.baidu.com/s/1KspZJGBzjXt0QIm3ITE2QQ?pwd=xofo 提取码：xofo

安装软件

1. 使用 yum install 安装ldap相关软件

   yum install -y openldap openldap-clients openldap-servers vim
   

配置openldap server

将下述配置文件中的 Manager 和 my-domain 更换成自己的命名

1. 配置 /etc/openldap/slapd.d/cn=config/olcDatabase={1}monitor.ldif

   vim /etc/openldap/slapd.d/cn=config/olcDatabase={1}monitor.ldif
   

   将下述内容
   
   替换为：
   

2. 配置 /etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif

   vim /etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif
   

   将 下述内容
   
   进行替换，并在最后一行添加认证密码123123: olcRootPW: 123123
   

3. 拷贝DB文件

   cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
   # 修改该文件的权限
   chown -R ldap:ldap /var/lib/ldap/
   

4. 测试配置文件是否正确

   slaptest -u
   

   如果出现下图样式表示成功，可以忽略error，只要出现 succeeded 即表示成功。
   

5. 启动服务

   systemctl start slapd
   systemctl enable slapd
   

6. 添加scheme表

   ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f /etc/openldap/schema/nis.ldif
   ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f /etc/openldap/schema/cosine.ldif
   ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
   ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
   ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
   

创建base.ldif文件

1. 创建 base.ldif 文件

   vim base.ldif
   

2. 拷贝如下内容到创建的 base.ldif 文件
   其中的 codesweet 和前面的步骤统一，如果一开始你是设置其他名称，则此处的 codesweet 更换成你的名称，保持统一即可。

   	dn: dc=codesweet,dc=com
   	objectClass: dcObject
   	objectClass: organization
   	o: codesweet.com
   	dc: codesweet
   	
   	dn: ou=users,dc=codesweet,dc=com
   	objectClass: organizationalUnit
   	objectClass: top
   	ou: users
   	
   	dn: ou=groups,dc=codesweet,dc=com
   	objectClass: organizationalUnit
   	objectClass: top
   	ou: groups
   

3. 建立最基础的目录结构

   ldapadd -x -W -D "cn=admin,dc=dianxin,dc=com" -f base.ldif
   

4. 配置 ldap.conf

   vim /etc/openldap/ldap.conf
   

   将 BASE 和 URL 的注释去除，更换为下述，BASE 中的第一个 dc 更换为 codesweet，URL 中的IP 地址更换为你的云服务器的公网 IP。
   

管理用户与组

1. 安装依赖包 sharutils

   yum install sharutils
   

2. 手动安装资源包 Ldapscripts
   将文章起始处下载的资源包 Ldapscripts 上传到 ECS 的根路径中，然后进行解压并手动安装到根路径中。

   tar zxf ldapscripts-2.0.8.tgz
   cd  ldapscripts-2.0.8
   make install PREFIX=/
   

3. 配置 dapscripts

   vim /etc/ldapscripts/ldapscripts.conf
   

   a. 更换公网IP，将 SERVER="ldap://localhost" 改成 SERVER="ldap://121.51.39.239"
   b. 将 SUFFIX="dc=example,dc=com" 改成 SUFFIX="dc=codesweet,dc=com"
   c. 将 BINDDN="cn=Manager,dc=example,dc=com" 改成 BINDDN="cn=admin,dc=codesweet,dc=com"
   d. 去掉 #ICONVCHAR="ISO-8859-15" 的注释

4. 修改 /etc/ldapscripts/ldapscripts.passwd 文件

   sh -c "echo -n '123456' > /etc/ldapscripts/ldapscripts.passwd"
   

管理group，user

这一节可以忽略，这是介绍如何在终端中配置ldap中的用户和组的，后面可以在web中创建。

1. 创建group

   ldapaddgroup openstack 
   

2. 创建用户

   ldapadduser user1 openstack
   

3. 设置用户密码

   ldapsetpasswd user1 
   

安装phpldapadmin

前面章节已经将ldap本地环境安装好，下面安装 web 界面 phpldapadmin。

1. 安装 phpldapadmin

   yum install -y phpldapadmin
   

   yum安装时，会自动安装apache和php的依赖。注意： phpldapadmin很多没更新了，只支持php5，如果你服务器的环境是php7，则会有问题，页面会有各种报错。 可以使用php -v来查看php版本。

2. 修改apache的phpldapadmin配置文件

   vim /etc/httpd/conf.d/phpldapadmin.conf
   

   修改 <IfModule mod_authz_core.c> 中的内容，放开外网访问，这里只改了 2.4 版本的配置，因为 centos7 默认安装的 apache 为 2.4 版本。所以只需要改 2.4 版本的配置就可以了. 如果不知道自己apache版本，执行 rpm -qa|grep httpd 查看 apache 版本。

     <IfModule mod_authz_core.c>
       # Apache 2.4
       Require all granted
     </IfModule>
   

3. 修改配置用DN登录ldap

   vim /etc/phpldapadmin/config.php
   

   a. 398行，默认是使用uid进行登录，我这里改为dn，也就是用户名

   $servers->setValue('login','attr','dn');
   

   b. 460行，关闭匿名登录，否则任何人都可以直接匿名登录查看所有人的信息

   $servers->setValue('login','anon_bind',false);
   

   c. 519行，设置用户属性的唯一性，这里我将cn,sn加上了，以确保用户名的唯一性

   $servers->setValue('unique','attrs',array('mail','uid','uidNumber','cn','sn'));
   

4. 启动apache

   systemctl start httpd
   systemctl enable httpd
   

web 端登录LDAP

1. 启动了apache服务后，采用dn登录方式登录 web 端LDAP。

2. 在浏览器上访问: http://121.51.39.239/ldapadmin，然后使用上面定义的用户，进行登录，如下：

   账户：cn=admin,dc=codesweet,dc=com 
   密码：123123
   

   如下图：
   
   3. 点击认证后，则成功登录:
   

LDAP服务端搭建

第一步、组件安装

组件
apr-1.4.8-7.el7.x86_64.rpm
apr-util-1.5.2-6.el7.x86_64.rpm
httpd-2.4.6-97.el7.centos.2.x86_64.rpm
httpd-tools-2.4.6-97.el7.centos.2.x86_64.rpm
libtool-ltdl-2.4.2-22.el7_3.x86_64.rpm
libzip-0.10.1-8.el7.x86_64.rpm
mailcap-2.1.41-2.el7.noarch.rpm
migrationtools-47-15.el7.noarch.rpm
openldap-2.4.44-24.el7_9.x86_64.rpm
openldap-clients-2.4.44-24.el7_9.x86_64.rpm
openldap-servers-2.4.44-24.el7_9.x86_64.rpm
php-5.4.16-48.el7.x86_64.rpm
php-cli-5.4.16-48.el7.x86_64.rpm
php-common-5.4.16-48.el7.x86_64.rpm
php-ldap-5.4.16-48.el7.x86_64.rpm
phpldapadmin-1.2.5-1.el7.noarch.rpm

组件安装命令：
yum install -y 
openldap openldap-clients openldap-servers migrationtools

yum install -y phpldapadmin
如果缺少其他组件安装即可，例如httpd等

第二步配置文件

2.1. 修改域、管理员和密码
vim /etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif

2.2 配置监视数据库配置文件，如果改了olcRootDN就需要修改本文件以保持一致
vim /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{1\}monitor.ldif

2.3 准备LDAP数据库
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
chown -R ldap.ldap /var/lib/ldap
2.4 配置验证并启动服务
slaptest -u
systemctl start slapd

第三步配置LDAP可视化

3.1 开启使用用户名登录，禁用uid登录
vim /etc/phpldapadmin/config.php

3.2 添加访问权限，访问白名单
vim /etc/httpd/conf.d/phpldapadmin.conf

3.3 开启服务并通过页面访问，注意端口冲突
systemctl restart httpd
访问 http://192.168.31.108/ldapadmin  用户名：cn=Manager,dc=my-domain,dc=com/密码：123456

第四步：将linux账户转到ldap

4.1要启动LDAP服务器的配置，请添加以下LDAP模式

cd /etc/openldap/schema/   
ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f collective.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f corba.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f core.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f duaconf.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f dyngroup.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f inetorgperson.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f java.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f misc.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f openldap.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f pmi.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f ppolicy.ldif

4.2 生成基地
vim base.ldif——将下边内容存到文件中

base.ldif内容为：
dn: dc=my-domain,dc=com
o: my-domain com
dc: my-domain
objectClass: top
objectClass: dcObject
objectclass: organization

dn: cn=Manager,dc=my-domain,dc=com
cn: root
objectClass: organizationalRole
description: Directory Manager

dn: ou=People,dc=my-domain,dc=com
ou: People
objectClass: top
objectClass: organizationalUnit

dn: ou=Group,dc=my-domain,dc=com
ou: Group
objectClass: top
objectClass: organizationalUnitf

4.3 将系统用户/用户组转成ldap可以认识的文件
4.3.1 先配置生成器的配置文件：

4.3.2 生成ldsp文件命令：
/usr/share/migrationtools/migrate_passwd.pl people people.ldif
/usr/share/migrationtools/migrate_group.pl group group.ldif
生成后的文件需要检查域一致，不一致需要修改（或者直接复制下面内容）

people.ldif内容为：
dn: uid=root,ou=People,dc=my-domain,dc=com
uid: root
cn: root
sn: root
mail: root@my-domain.com
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
userPassword: {crypt}$6$3nLTVF47UL6Tukmh$jG2f5v84KEd.bY2B5goVioYitvK8NqBpV8xqPhZsJgLNQmvkKdQj3aO3pdvaViJVsAHtZON2Tueug/T.sCBYy1
shadowMin: 0
shadowMax: 99999
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 0
gidNumber: 0
homeDirectory: /root
gecos: root

dn: uid=bin,ou=People,dc=my-domain,dc=com
uid: bin
cn: bin
sn: bin
mail: bin@my-domain.com
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
userPassword: {crypt}*
shadowLastChange: 18353
shadowMin: 0
shadowMax: 99999
shadowWarning: 7
loginShell: /sbin/nologin
uidNumber: 1
gidNumber: 1
homeDirectory: /bin
gecos: bin

dn: uid=daemon,ou=People,dc=my-domain,dc=com
uid: daemon
cn: daemon
sn: daemon
mail: daemon@my-domain.com
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
userPassword: {crypt}*
shadowLastChange: 18353
shadowMin: 0
shadowMax: 99999
shadowWarning: 7
loginShell: /sbin/nologin
uidNumber: 2
gidNumber: 2
homeDirectory: /sbin
gecos: daemon

group.ldif内容为：
dn: cn=root,ou=Group,dc=my-domain,dc=com
objectClass: posixGroup
objectClass: top
cn: root
userPassword: {crypt}x
gidNumber: 0

dn: cn=bin,ou=Group,dc=my-domain,dc=com
objectClass: posixGroup
objectClass: top
cn: bin
userPassword: {crypt}x
gidNumber: 1

dn: cn=daemon,ou=Group,dc=my-domain,dc=com
objectClass: posixGroup
objectClass: top
cn: daemon
userPassword: {crypt}x
gidNumber: 2

4.4 迁移到ldap
ldapadd -x -D "cn=Manager,dc=my-domain,dc=com" -W -f base.ldif
ldapadd -x -D "cn=Manager,dc=my-domain,dc=com" -W -f people.ldif
ldapadd -x -D "cn=Manager,dc=my-domain,dc=com" -W -f group.ldif