Einrichten von LDAP. 1. Erstellen der Haupt-Konfigurationsdatei ldapmaster:~ # cat /etc/openldap/slapd.conf grep -v ^# uniq

Größe: px

Ab Seite anzeigen:

Download "Einrichten von LDAP. 1. Erstellen der Haupt-Konfigurationsdatei ldapmaster:~ # cat /etc/openldap/slapd.conf grep -v ^# uniq"

Hansi Waltz
vor 8 Jahren
Abrufe

1 Einrichten von LDAP Konfiguration des Servers 1. Erstellen der HauptKonfigurationsdatei ldapmaster:~ # cat /etc/openldap/slapd.conf grep v ^# uniq /etc/openldap/schema/core.schema /etc/openldap/schema/cosine.schema /etc/openldap/schema/inetorgperson.schema /etc/openldap/schema/nis.schema /etc/openldap/schema/yast2userconfig.schema pidfile argsfile modulepath /var/run/slapd/run/slapd.pid /var/run/slapd/run/slapd.args /usr/lib/openldap/modules database bdb checkpoint cachesize suffix "dc=foobar,dc=net" rootdn "cn=manager,dc=foobar,dc=net" rootpw directory secret /var/lib/ldap index objectclass eq 2. Start des Dienstes von Hand ldapmaster:~ # /usr/lib/openldap/slapd f /etc/openldap/slapd.conf h ldap:// :389 u ldap g ldap 3. Logging des Erfolgs ldapmaster:~ # tail /var/log/messages Nov 2 13:00:51 linux slapd[9237]: bdb_db_init: Initializing BDB database Nov 2 13:00:51 linux slapd[9238]: slapd starting 4. Hinzufügen von Daten im LDIFFormat ldapmaster:~ # ldapadd [c] x D "cn=manager,dc=foobar,dc=net" W f /etc/openldap/foo.ldif 5. Setzen weiterer Rechte für andere Benutzer (Default: Schreibzugriff für rootdn) ldapmaster:~ # cat /etc/openldap/slapd.conf access to attrs=userpassword by dn="cn=manager,dc=foobar,dc=net" write by self write by * auth access to * by dn="cn=manager,dc=foobar,dc=net" write by * read LDAP Erstellt von Dr. Jörg Meese 1

schema pidfile argsfile modulepath /var/run/slapd/run/slapd.pid /var/run/slapd/run/slapd.

2 Konfiguration des Clients 1. für Zugriff der LDAPKdo.zeilenprogramme, LDAPPAM und YASTLDAP Modul ldapclient:/etc/openldap # cat /etc/openldap/ldap.conf grep v ^# grep v ^$ BASE dc=foobar,dc=net URI ldap:// :389 TLS_REQCERT allow 2. Verbinden des Clients mit der Datenbank für eine Suchabfrage zum Test ldapclient:~ # ldapsearch x oder ldapclient:~ # ldapsearch x D "cn=manager,dc=foobar,dc=net" W 3. und 5. alternativ im Yast > Netzwerkdienste > LDAP Client (ohne erweiterte Konfiguration) 3. Konfiguration des SUSEangepassten LDAPfähigen PAMModuls ldapclient:~ # cat /etc/security/pam_unix2.conf auth: account: use_ldap nullok use_ldap #(ori: nullok) #(ori: ) password: use_ldap nullok #(ori: nullok) session: none #(ori: none ) 4. Anpassen der nsswitch.conf zur LDAPIntegration bei der Anmeldung (Wie ermittelt die zentrale CBibliothek aus einer UID den Accountnamen) ldapclient:~ # cat /etc/nsswitch.conf passwd: compat shadow: files ldap group: compat 5. Neustart des Naming Service Caching Daemon (nscd) ldapclient:~ # rcnscd restart Shutting down Name Service Cache Daemon Starting Name Service Cache Daemon 6. Listen der durch LDAP zur Verfügung gestellten Benutzerkennungen zum Test ldapclient:~ # getent passwd dummy:x:500:100:dummy User:/home/dummy:/bin/bash 7. Testweises Einloggen auf der Konsole F1 (hat noch kein Home Directory) ldapclient login: dummy Password: (bla) Have a lot of fun No directory /home/dummy! Logging in with home = /. dummy@ldapclient:/> 8. Vorbereitung des Einloggens auf Konsole F1 mit Erstellen eines Home Directories ldapclient:~ # cat /etc/pam.d/login session required pam_mkhomedir.so skel=/etc/skel umask=0077 LDAP Erstellt von Dr. Jörg Meese 2

Verbinden des Clients mit der Datenbank für eine Suchabfrage zum Test ldapclient:~ # ldapsearch x oder ldapclient:~ # ldapsearch x D "cn=manager,dc=foobar,dc=net" W 3. und 5.

3 Übung Installation von gq Einrichten der Serverdaten unter File > Preferences > Servers (cn=manager,dc=foobar,dc=net unter Details > Bind DN) Anlegen eines neuen Users unter ou=people (Rechtsklick auf cn=dummy User > New > Use current entry)????? PAMAuthentifizierung gegen die neu eingerichtete LDAPDatenbank abgleichen: ldapclient:~ # cat /etc/pam.d/sshd #%PAM1.0 auth auth required required pam_nologin.so # set_secrpc auth required pam_env.so auth sufficient account required pam_ldap.so account required pam_nologin.so password required pam_pwcheck.so password required password required pam_ldap.so use_authok use_first_pass use_authtok session required session required pam_limits.so none # trace or debug????? LDAP Erstellt von Dr. Jörg Meese 3

0 auth auth required required pam_nologin.so # set_secrpc auth required pam_env.so auth sufficient account required pam_ldap.so account required pam_nologin.so password required pam_pwcheck.

4 Replikation des gesamten Verzeichnisbaums MasterServer 1. Erzeugen eines Verzeichnisses für das Replikationsfile mkdir /var/lib/slurpd chmod 700 /var/lib/slurpd chown ldap /var/lib/slurpd 2. Kopieren der konfigurirten slapd.conf auf den SlaveServer ldapmaster:/etc/openldap # scp slapd.conf :/etc/openldap/ 3. Anpassen der slapd.conf für den Replikationsdienst slurpd ldapmaster:/etc/openldap # cat slapd.conf replogfile /var/lib/slurpd/slapd.replog replica host= :389 binddn="cn=repmanager,dc=foobar,dc=net" bindmethod=simple credentials=g3h31m 4. Replikationsbenutzer im LDAPVerzeichnis anlegen über eine ldifdatei ldapmaster:/etc/openldap # cat repmanager.ldif dn: cn=repmanager,dc=foobar,dc=net objectclass: top objectclass: Person cn: repmanager sn: repmanager description: Replica User ldapmaster:/etc/openldap # ldapadd x D "cn=manager,dc=foobar,dc=net" W f /etc/openldap/repmanager.ldif Enter LDAP Password: adding new entry "cn=repmanager,dc=foobar,dc=net" ldapmaster:/etc/openldap # ldappasswd x D "cn=manager,dc=foobar,dc=net" W S "cn=repmanager,dc=foobar,dc=net" New password: g3h31m Reenter new password: g3h31m Enter LDAP Password: secret Result: Success (0) 5. Einrichten des Servers für die Clientanwendung slurpd (falls noch nicht geschehen) /etc/openldap/ldap.conf /etc/security/pam_unix2.conf /etc/nsswitch.conf rcnscd restart 6. Herunterfahren des slapd auf dem Master ldapmaster:/etc/openldap # /etc/init.d/ldap stop Shutting down ldapserver 7. Kopieren der Datenbank vom Master zum SlaveServer ldapmaster:/etc/openldap # slapcat > master.ldif ldapmaster:/etc/openldap # scp master.ldif :/etc/openldap/ 8. Start des slapd ldapmaster:/etc/openldap # /etc/init.d/ldap start LDAP Erstellt von Dr. Jörg Meese 4

conf für den Replikationsdienst slurpd ldapmaster:/etc/openldap # cat slapd.conf replogfile /var/lib/slurpd/slapd.replog replica host=10

5 SlaveServer 1. Installation der OpenLDAPPakete auf dem zweiten Server openldap2, openldap2client, nss_ldap, pam_ldap, yast2_ldap_client 2. Ergänzen der kopierten slapd.conf des Masterservers ldapclient:/etc/openldap # cat slapd.conf # Achtung: keine replica und keine ReplogfileAnweisungen!!! # Schreibberechtigungen für den gesamten zu replizierenden # Verzeichnisbaum access to * by dn="repmanager,dc=foobar,dc=net" write by * read # Rechnername des Masterservers updateref :389 updatedn "cn=repmanager,dc=foobar,dc=net" 3. Einlesen der vom MasterServer kopierten LDAPDatenbank ldapclient:/etc/openldap # slapadd l master.ldif 4. Start des slapd ldapclient:/etc/openldap # /etc/init.d/ldap start Test der Replikation 1. Erzeugen einer Veränderung eines LDAPEintrags z. B. mit gq (z. B. description) 2. slapd erzeugt nun die Datei /var/lib/slurpd/slapd.replog mit den Änderungen im ldifformat linux:/etc/openldap # cat /var/lib/slurpd/slapd.replog replica: :389 time: dn: ou=people,dc=foobar,dc=net changetype: modify add: description description: Behaelter fuer Benutzer replace: entrycsn entrycsn: Z#000001#00# replace: modifiersname modifiersname: cn=manager,dc=foobar,dc=net replace: modifytimestamp modifytimestamp: Z 3. Start des slurpd auf dem MasterServer ldapmaster:/etc/openldap # /etc/init.d/slurpd start Fehlermeldungen in /var/lib/slurpd/replog 4. Sichten der replizierten Veränderungen auf dem SlaveServer ldapclient:/etc/openldap # slapcat Achtung: repliziert werden nur Änderungen LDAP Erstellt von Dr. Jörg Meese 5

!! # Schreibberechtigungen für den gesamten zu replizierenden # Verzeichnisbaum access to * by dn="repmanager,dc=foobar,dc=net" write by * read # Rechnername des Masterservers updateref 10.55.2.

Ähnliche Dokumente

%%& ( ) + ),. ( /, + 010 2&3 %%& 4. 12 ) #3 %%& 4. 1 2#3 %%% 4. 1# 4. #101 & 5,06

! # %%& ( ) + ),. ( /, + 010 2&3 %%& 4. 12 ) #3 %%& 4. 1 2#3 %%% 4. 1# 4. #101 & 5,06 ( 7 38 4 8 9, :.) ;1 )?8 ) Α : )) ). 9 ) ). 9.) = + 9 ), ) 9 ) ( ) Β ) ). 1 9 ).1 9 ) 5, ) 6 ). 1 9. ,