Timo Felbinger Eine kleine Einführung LDAP

Transkript

1 LDAP Eine kleine Einführung Timo Felbinger

2 LDAP: Überblick und einige Anwendungen 2 Server < LDAP > (Lightweight Directory Access Protocol) Client(s) Kommandozeilenbefehle: ldapsearch, ldapmodify, (Teil des OpenLDAP-Pakets) Programmiersprachen: C/C++ (libldap.so), Perl, PHP,... Benutzeraccounts: wenig sensible Daten: nss ldap Passwörter: pam ldap NFS-Filesysteme mounten: autofs ... Transport: Unterstützung für qmail, sendmail, postfix, Adressbücher: Unterstützung für thunderbird, Mac OSX Mail,

3 Linux und (Open-)LDAP: was man sonst noch braucht 3 DB-backend (z.b. GDBM, BDB,... ) slapd (OpenLDAP, LDAP < > Client SASL (cyrus-sasl, ftp://ftp.andrew.cmu.edu /pub/cyrus-mail) Authentifizierung < SASL TLS (OpenSSL, Authentifizierung Verschlüsselung > TLS TCP/IP TCP/IP < > TCP/IP

4 LDAP und andere hierarchische Datenbanken 4 Datensätze in Unix-FS heißen Verzeichnisse und enthalten Links werden durch absoluten Pfad eindeutig identifiziert, z.b. /usr/local/bin; Wurzel ist links werden in filesystemen gespeichert erlauben Delegation an mountpoints... DNS heißen domains und enthalten records werden durch full qualified domain name eindeutig identifiziert, z.b. quantum.physik.uni-potsdam.de; Wurzel ist rechts werden in zones gespeichert erlauben Delegation durch NS records... LDAP heißen Einträge und enthalten Attribute werden durch distinguished name (DN) eindeutig identifiziert, z.b. cn=jens eisert, ou=people, ou=physik, o=uni-potsdam, c=de; Wurzel ist rechts werden in Datenbanken gespeichert erlauben Delegation durch referral Einträge

5 Beispiel: ein Personendatensatz 5 dn: ou=physik, o=uni-potsdam, c=de objectclass: organizationalunit dn: ou=people, ou=physik, objectclass: organizationalunit dn: cn=jens eisert, objectclass: physikperson givenname: Jens sn: Eisert dn: ou=hosts, ou=physik, dn: cn=jense, cn=jens eisert, objectclass: physikautomount physikautomountinformation: semele:/users/jense/public-http

6 LDAP Attributtypen 6 Definiert in Schema -Dateien, z.b. in /etc/openldap/schema/physik.schema: attributetype ( Beginn Typdefinition eindeutige OID NAME ( physikmaildrop ) menschenlesbarer Name DESC destination address Kurzbeschreibung EQUALITY caseignoreia5match Methode für Test auf Gleichheit SUBSTR caseignoreia5substringsmatch Methode für Teilstring-Suche SYNTAX ) Syntaxregel für zulässige Werte Ebenfalls möglich: Ableitung aus Elterntyp: attributetype ( NAME physikautomountinformation DESC automount information SUP PhysikPotsdamPrintableString Elterntyp SINGLE-VALUE ) Flag: nur ein Wert je Datensatz

7 LDAP Objektklassen 7 in /etc/openldap/schema/core.schema: objectclass ( NAME person DESC RFC2256: a person STRUCTURAL SUP top MUST ( sn $ cn ) MAY ( userpassword $ telephonenumber $ seealso $ description ) ) objectclass ( NAME organizationalperson DESC RFC2256: an organizational person STRUCTURAL SUP person MAY ( title $ telephonenumber $ street $ ) ) in /var/openldap/schema/inetorgperson.schema: objectclass ( NAME inetorgperson DESC RFC2798: Internet Organizational Person SUP organizationalperson STRUCTURAL MAY ( givenname $ mail ) ) in /var/openldap/schema/physik.schema: objectclass ( NAME physikperson SUP inetorgperson STRUCTURAL MAY ( physikmaildrop $ physikalias $ accountdomain $ memberof $ ) )

8 Ein Datensatz - viele Anwendungen! 8 dn: cn=jens eisert,ou=people,ou=physik objectclass: physikperson objectclass: physikaccount objectclass: physikautomount cn: Jens Eisert telephonenumber: mail: jens.eisert@physik.uni-potsdam.de physikmaildrop: jense@semele.local accountdomain: quantum uid: jense shell: /bin/bash userpassword: physikalias: jens@physik.uni-potsdam.de physikautomountinformation: -nosuid,nod Adressdatenbank: Webserver (Mitarbeiterliste) MUAs (thunderbird, ) fingerd Accounts und Authentifizierung: (GNU-)NSS: nss-ldap PAM: pam-ldap -Zustellung: qmail dn: cn=jense,cn=jens eisert,ou=peopl objectclass: physikautomount cn: jense accountdomain: europa physikautomountinformation: -nosuid,nod Automounter autofs: Benutzerverzeichnisse public-http-verzeichnisse

9 Benutzeraccounts und LDAP 9 Weniger sensible Daten (user-id, shell,... ): Zugriff über C-Bibliothek, NSS-Modul nss ldap; Konfiguration in /etc/nsswitch.conf: passwd: files ldap shadow: files ldap hosts: files dns... und in /etc/openldap/ldap.conf: uri ldaps://ldap-master.qipc.org base ou=people,ou=physik,o=uni-potsdam,c=de tls ciphers IDEA-CBC-SHA:AES128-SHA Passwörter: - Test und Änderung über PAM-Modul pam ldap - Hash-Funktion wird stets vom LDAP-Server berechnet, transparent für Client - Unterschiedliche Hash-Funktionen können koexistieren - Passwort-Test durch versuchsweise LDAP Simple -Authentifizierung:

10 OpenLDAP: Simple Authentifizierung 10 DB-backend slapd < LDAP > userpassword (Klartext!) Authentifizierung < Client (SASL) (SASL) Authentifizierung > TLS Server-Zertifikat TLS Verschlüsselung TCP/IP TCP/IP < > TCP/IP

11 SASL EXTERNAL Authentifizierung 11 DB-backend slapd LDAP < > Client (SASL) (SASL) < TLS Authentifizierung Client-Zertifikat Server-Zertifikat > TLS Verschlüsselung TCP/IP TCP/IP < > TCP/IP

12 LDAP URLs (RFC2255) 12 Standardisiertes Format für LDAP Lesezugriff: protocol: // server:port / basedn? attribute? scope? filter? extensions Beispiel: automount für Benutzerverzeichnisse (mit patch automount Kommando /nfshomes Mountpoint ldap map-type (z.b. auch file oder NIS) ldaps:// Protokoll, hier: LDAP mit TLS ldap-master.qipc.org:389 Server und Port /ou=people,ou=physik,o=uni-potsdam,c=de BaseDN: wo beginnt die Suche?uid,PhysikAutomountInformation Mountpoint und was gemounted wird?sub scope, hier: alles unterhalb der BaseDN?(!( (!(objectclass=physikaccount)) (!(accountdomain=quantum)))) Suchfilter?timeout=8 Option: Timeout 8 Sekunden --no-slashify-colons Flag: Doppelpunkte in Ruhe lassen

13 Beispiel: -verteilung mit qmail 13 Default Regeln für in der Datei /var/qmail/alias/.qmail-physik-default: ldapforward -d Programmaufruf, mit -d(debug) ldaps://ldap-master.qipc.org Protokoll und Server /ou=people,ou=physik,o=uni-potsdam,c=de BaseDN für Suche?physikmaildrop Attribut mit lokaler Zustelladresse?sub Scope : Suche unterhalb der BaseDN?(&(objectclass=inetorgperson) Filter: Suche nach Personen, mit... ( (mail=${local1}@physik.uni-potsdam.de)... passender Adresse oder... (physikalias=${local1}@physik.uni-potsdam.de)))... mit passendem Alias?preserveExtension=2 Option: erlaubt Adresserweiterungen ldaps://ldap-slave.qipc.org/ Backup-Server, falls der erste streikt... Rest wie oben bis auf...,authoritative=1 Option: kein Treffer ist definitives Nein 111 bei sonstigen Problemen: später nochmal!

14 Beispiel: -liste mit qmail 14 Regeln für Liste in der Datei /var/qmail/alias/.qmail-quantum-all: ldapforward -d ldaps://ldap-master.qipc.org /ou=people,ou=physik,o=uni-potsdam,c=de?physikmaildrop,mail mögliche Zustelladressen?sub?(&(objectclass=inetorgperson) Filter: an alle Personen... (memberof=quantum))... die zur AG gehören?matcheslimit=0 Erweiterung: beliebig viele Treffer zulassen ldaps://ldap-slave.qipc.org... und wieder ein Backup-Server... Rest wie oben bis auf... falls Backup auch streikt: an postmaster

15 qmail und earlymap-patch: 15 Problem mit ldapforward: wird immer angenommen, erst dann auf Zustellbarkeit geprüft Folge: unzustellbarer spam wird an Absender geschickt: keine gute Idee! Deshalb: Patch ( Regeln bereits in /var/qmail/control/rcpthosts, Prüfung für jeden RCPT: im SMTP-Protokoll: Beispiel: Regeln für physik.uni-potsdam.de:m4 rules( ) d, amailbackup@local.host, m4 ldapquery( ), 5 m4 peopledn? physikmaildrop;mail? sub? (&( (objectclass=inetorgperson)(objectclass=physikalias)) ) ( (mail=${local0}@physik.uni-potsdam.de)(physikalias=${local0}@physik.uni-p? preserveextension=1

16 Wenn noch Sonderwünsche offen sind: Overlays 16 Beliebig viele Overlays können zwischen slapd(-frontend) und Datenbank(-backend) gelegt werden. Anfrage und Antwort durchlaufen die Overlays, können modifiziert werden: < Datenbankbackend Overlay 1 Overlay 2 Overlay 3 slapd frontend Anfrage client < < < Antwort > Beispiel: bbmail ( -Adressen werden beim Lesen dynamisch mit Verfallsdatum und Signatur versehen: mail: ======-jupp@ best-before.qipc.org wird zu mail: nhrmxr-jupp@ best-before.qipc.org