IT Asset Management mit LDAP. Boguslaw Sylla

Transkript

1 IT Asset Management mit LDAP Boguslaw Sylla

2 2 1. LDAP-Systeme Übersicht Fedora Directory Server (jetzt 389 Direcrory Server) OpenDS (von Sun als Java-Implementation) ApacheDS (wie meist bei Apache üblich in Java) Active Directory (von Microsoft für Windows) OpenLDAP (Referenz-Implementation in C für *N*X) auch Windows-Portierungen im Umlauf

3 3 2. Naive Annahmen über die Zuhörer OpenLDAP installiert OpenLDAP konfigueriert und neue DB erzeugt evtl. alte DB angebunden wir sind in der shell wir wollen bestimmte, bekannte IT-Assets mit LDAP verwalten d.h. in der DB festhalten, sodass wir hauptsächlich lesend zugreiffen wollen wir wissen man kann auch anderes verwalten: einzelne Zootiere, Warenarten beim Versandhändler etc.

4 4 3. kurze Installation/Konfiguration OpenLDAP installieren sudo apt-get install slapd ldap-utils OpenLDAP-Server: Basis-Konfiguration (GUI) sudo dpkg-reconfigure slapd verschiebt auch alte DB und richtet leere ein OpenLDAP-Server: manuelle Angabe einer Konfiguratinsdatei (SLAPD_CONF=slapd.conf) sudo vi /etc/default/slapd

5 5 4. Phasen des IT Asset Managements Phase I - Vorüberlegungen LDAP ist für baumartig abgelegte Daten (Objekte) bei OpenLDAP meist Berkeley DB unterlegt -> Objekt-DB mit (unique key, value/object) für graphartig vernetzte Daten besser RDBMS mit SQL nutzen alternativ XML-DB mit XQuery wenn Transaktionen gebraucht werden, damit Daten absolut stimmig sind, dann ist LDAP nicht die Lösung -> relationale DB wenn Jim Bob zeitweise in zwei Abteilungen angestellt sein darf, dann ist LDAP OK wenn Daten leicht repliziert, auf andere Server bewegt/verteilt und gesichert werden sollen, dann ist LDAP evtl. die Lösung

6 4. Phasen des IT Asset Managements Phase II - Schema herausfinden was man an Infos speichern will passendes Schema oder Schemata schreiben/benutzen Phase III - Konfiguration herausfinden wo Daten gespeichert werden sollen LDAP-Server für eine oder mehrere DBs anpassen Replication und Security sind Themen, die bei LDAP am Anfang ignoriert werden können, weil das hinterher noch handhabbar ist Phase IV - Daten vereinzelt Daten einspielen -> mit einem LDAP-Client massig Daten einspielen -> mit LDIF-Datei(en) IT-Assets 11/09/10 6

7 7 4. Phasen des IT Asset Managements Phase V - Gebrauch LDAP ist Protkoll für Zugriff, also unabhängig von Implementation LDAP ist für wenig Ändern und viel Lesen der Daten gedacht WORM-System (Write Once Read Many) Gebrauch über Shell-Commandos Gebrauch über APIs in C, Java, Perl etc. für eigene Clients Gebrauch über fertige Clients (meist GUI)

8 8 5. LDAP-Hierarchie Root DSE (unsichtbarer oberster Knoten) DSE := DSA Specific Entry DSA := Directory System Agent enthält bleliebig viele DITs enthält operational objects DIT (Directory Information Tree) entspricht bei Servern für relationale DBs genau einer DB beim LDAP-Server sind die DBs nur baumartig operational objects Infos über Server Verhalten des Servers

9 9 6. DIT - Directory Information Tree jeder entry hat einen Vater und evtl. mehrere Söhne -> also Tree entries werden auch Objekte genannt jedes Objekt hat einen oder mehrere Objekt-Klassen jede Objekt-Klasse hat ein oder mehrere Attribute gleiche Attribute können in mehreren Objekt-Klassen verwendet werden Objekt-Klassen und Attribute wenden in Schema-Dateien definiert konkrete Objekte mit Daten werden mit LDIF-Dateien eingespielt (vereinzelt auch mit GUI-Client) TODO: Bild

10 10 6. DIT - Directory Information Tree man kann mehrere DITs nutzen DITs müssen auf gleicher Ebene unterscheidbare Namen haben es gibt viele Varianten der Benennung für Roots von DITs nach RFC 2247 (dc=domain component) dc=acme, dc=de nach X.500 (ou=organisation unit name, c=coutry name) ou=acme, c=de einfach immer z.b. ou nutzen ou=acme.de ou=people... ou=people... ou=people...

11 7. DIT ein Beispiel jeder/s Knoten/Objekt besteht aus min. einem Attribut (key=value) ein oder mehrere Attrubte bilden ein RDN (Relative Distinguished Name) soll unique in eigener Ebene sein jeder/s Knoten/Objekt hat durch Reihe von RDNs einen eigenen DN (Distinguished Name) automatisch unique im ganzen Baum DNs werden von Blättern bis zum Root gebildet, nicht umgekehrt dc=acme,dc=de description= ein weiterer DIT ou=notebook description=... ou=drucker description=... ou=software description= uid=42... modell=laserjet cn=adobe Acrobat... cn=john Doe hersteller=hp preis=399dm preis=2800dm preis=899dm ordner=1,rechnung=2 rechnung=1565 serialnumber=123 kaufdatum= kaufdatum= kaufdatum= ein RDN: uid=42 ein DN: uid=42,ou=notebook,dc=acme,dc=de oder uid=42+rechnung=1565,ou=notebook,dc=acme,dc=de IT-Assets 11/09/10 11

12 12 8. Schema ein Beispiel vi ~/beispiel.schema # Definitionen von Attributen attributetype ( NAME 'rechnung' DESC 'Fortlaufend auf Rechnungen gestempelte Nummer' EQUALITY integermatch SYNTAX SINGLE-VALUE )... # Definitionen von Objekt-Klassen objectclass ( NAME 'software' DESC 'Erworbene Software mit Kaufbeleg' SUP top STRUCTURAL MUST ( cn $ ordner $ rechnung $ kaufdatum ) MAY ( description $ preis ))... OID DIT z.b z.b Attribut z.b. 0 Objekt-Klasse z.b. 1 Nummer z.b Nummer z.b. 1...

13 13 9. Was weiss der LDAP-Server? kennt nur Schemata, die in Konfiguration (z.b. slapd.conf) eingetragen sind durch Einträge wie include ~/beispiel.schema kennt damit deren Attribute und Objektklassen beim Schreiben eines Schemas kann man die auch nutzen, statt das Rad neu zu erfinden LDAP-Server neustarten zum Erkennen der Schemata

14 Beispieldaten in LDIF-Datei vi ~/beispiel.ldif # neue Objekte für den OpenLDAP-Server dn: dc=acme,dc=de objectclass: organizationalunit description: A Company that Manufactures Everything dn: ou=software,dc=acme,dc=de objectclass: folder description: Erworbene Software mit Kaufbeleg dn: ordner=1,rechnung=2,ou=software,dc=acme,dc=de objectclass: software cn: Adobe Acrobat preis: 399DM kaufdatum:

15 Hinzufügen von Daten zur DB Stoppen und Starten des Servers ist nicht nötig, da es Commandos gibt, die es live machen manchmal ist es aber evtl. gewollt... OpenLDAP-Server: stoppen sudo /etc/init.d/slapd stop OpenLDAP-Server: Daten einspielen sudo slapadd -l beispiel.ldif OpenLDAP-Server: starten sudo /etc/init.d/slapd start

16 Ändern von Daten in der DB vi ~/mods.ldif # Änderungen für den OpenLDAP-Server dn: uid=1,ou=notebook,dc=acme,dc=de changetype: modify replace: userpassword userpassword: god dn: serialnumber=123,ou=drucker,dc=acme,dc=de changetype: modify add: telephonenumber telephonenumber: 555 shoe dn: rechnung=1,ordner=2,ou=software,dc=acme,dc=de changetype: modify delete: preis es gibt noch andere Möglichkeiten mit changetype:add und changetype:delete ldapmodify -x -D "cn=admin,dc=acme,dc=de" -W -f mods.ldif

17 Suchen von Daten in der DB Durchsuchen ohne Filtern -> alles anzeigen ldapsearch -xlll -b "dc=acme,dc=de" Durchsuchen mit Filtern -> relevantes anzeigen ldapsearch -xlll -b "ou=notebook,dc=acme,dc=de" preis=2800dm preis rechnung kaufdatum dn: uid=42,ou=notebook,dc=acme,dc=de preis: 2800DM rechnung: 1565 kaufdatum: dn: uid=43,ou=notebook,dc=acme,dc=de preis: 2800DM rechnung: 1566 kaufdatum:

18 18 ENDE Danke für die Aufmerksamkeit