Oliver Liebel, John Martin Ungar. OpenLDAP 2.4. Das Praxisbuch. Galileo Press

Transkript

1 Oliver Liebel, John Martin Ungar OpenLDAP 2.4 Das Praxisbuch Galileo Press

2 Vorwort 11 OOCÖOCX3DOOO0ODCM00O0O0O00OOOOOaC3C3OOClOaa3C3ODOt30O 1.1 Eine kurze Geschichte des Internets Vom Bikini zum ARPAnet Pakete und Ströme Die Schweiz und die Wende Währenddessen... auf der anderen Seite der Stadt X.500 und der OSl-Stack Struktur eines Verzeichnisdienstes Objekte, Klassen, Attribute Nicht nach Schema F: die OpenLDAP-Schemas core, cosine, inetorgperson, samba und einiges mehr Die wichtigsten Schemas und ihre Funktion Eindeutige Identifikation mit OlDs Erbschaftsangelegenheiten: die Welt der Objektklassen Kleine Baumschule -grundsätzliche Überlegungen zum Treedesign Den Directory Information Tree gestalten Sinnvolle Strukturen abbilden Anwendungsnähe OpenLDAP-Basics Installation der Pakete Die Konfigurationsdateien Statische Betrachtungen: OpenLDAP-Konfiguration per slapd.conf Idap.conf (Client) /etc/ldap.conf (pamjdap./nssjdap) Irgendwie binär- die wichtigsten Binaries und Bibliotheken slapd slurpd (ACHTUNG: nur bis OpenLDAP 2.3!) libldap*(.so*) 69

3 2.2.4 libnss-ldap(.so*) pam_ldap(.so*) »Gentlemen, start your engines...« Fingerübungen - OpenLDAP-Tools auf der Konsole Die Idap*-Tools und wann mit slap*? Get it on(line) - OpenLDAP-Administration zur Laufzeit OpenLDAP Reloaded - 'database config' und die Online-Konfiguration slapd -Online-Administration Backup und Restore der Online-Konfiguration, Debugging 112 ÜlöUücXÖÜS CX)00O0D0b0CC»a0O00CCKX)aQ0(X3CX)OD00Q0OD0DOOOCX3<X}OOCX3OCX«DQO0000 JlJc 3.1 Völlig überlagert - Overlays in OpenLDAP Gruppentherapie - dynamische Gruppen mit Overlay dynlist Smile, you're on Radar! -Auditingmit Overlay accesslog Beziehungskrise - Sicherung der referentiellen Integrität mit Overlay refint Members Only - Gruppenzuordnung mit Overlay»memberOf« Hochdynamisch - Dynamic Directory Services mit Overlay»dds«.." und noch ein paar Overlays im Überblick And the Rest? Replikation - oder: Frag dich nie, ob ein Server ausfällt, frag dich immer nur, wann Warum man LDAP-Datenbanken replizieren sollte Lastverteilung/Partitionierung Gesprengte Ketten - serverseitige Verfolgung (chasing) von Referrals mit Overlay chain The Time Machine - Zeit synchronisieren mit NTPD Vorbereitungen und Vorbetrachtungen zur Replikation \ Synchronization without Frustration = Sync Replication syncrepl - Setup Beispielhafte Lösungsansätze mit syncrepl 193

4 3.2.9 Delta Force - Replikation in Perfektion mit delta-syncrepl Replikation der Online-Konfiguration - Provider/Consumer Bäumchen, wechsle dich: Standby-/ Multi-Master-Replikation Double trouble? N-Way/Multi-Master-Replikation Traumhafte Nachtruhe dank Schläfer - Hot-Failover mit Standby-Master und Heartbeat Feind hört mit: Verschlüsselte Übertragung OpenLDAP mit SSL und TLS Familienbande - SSL und TLS die alte Hausnummer Cyrus-SASL und seine SASLMechs - eine bunte Truppe Ja siiiisscher dat: - TLS-Konfiguration mit SASLMech EXTERNAL Eine Frage der Zertifizierung - X.509-Zertifikate per Skript Port 636, die Zweite Handmade - X.509-Zertifikate in Handarbeit Replikation und Chaining auf Nummer Sicher syncrepl mit TLS syncrepl mit TLS und SASLMech EXTERNAL syncrepl mit SSL Chaining mit TLS und SSL und dann war da ja noch die Sache mit den Zertifikaten im Failover-Fall Hör mal, wer da hämmert - Authentifizierung und Autorisierung am System mit OpenLDAP Nicht nur in Malibu Beach: PAM PAM, NSS und LDAP pamjdap (lib)nssjdap nscd Authentifikation am System mit aktiviertem TLS Debugging, Nur mit Clubkarte -Zugriffsregelung durch ACLs Wer ist hier der Boss?- ACL-Reihenfolge <Was> (accessto) 296

5 3.7.3 <Wer> (by) <Wie> - und mit welchen Rechten? Und was es sonst noch gibt Larry und die schläfrigen Katzen Die»Was«-Frage Kommen wir zum»wie« Und nun zum»warum« Ein Blick aufs Messgerät: Performance-Check Feintuning Ab auf den Index Built for Speed - Zahlen und Fakten Die Sache mit dem Backup Und zum Schluss ein bisschen Replikation... schon wieder? Selbst ist der Admin - das eigendefinierte Schema Attribute Attribut-Syntax und Matching Rules Objektklassen Geht nicht-gibt's nicht OID-Makros Rein Schematisch - Replikation der Schemas Die Meister der Domäne: OpenLDAP und Samba Die wunderbare Welt der MS-Protokolle Samba 3 mit OpenLDAP einsetzen Grundlegendes Setup: Idapmaster als PDC Tools zur User-Verwaltung Redundantes Setup: Idapslave als BDC The new Dance - Samba 4 und OpenLDAP Setup eines Standalone Samba 4 DC mit OpenLDAP-Backend Staffelflug: Zwei Samba 4-DCs mit OpenLDAP in Multi-Master-Replikation Für die Furchtlosen: OpenLDAP und Kerberos Setup von Kerberos V5 / Was diese Frau so alles treibt: Schon wieder PAM SASL, die Zweite: GSSAPI 425

6 4.3.3 Bullet-Proof: OpenLDAP-Replikation per syncrepl, TLS und Kerberos Der Hund im Baum - MIT-Kerberos-Datenbank im LDAP Kurz und gut: XP-Client an kerberisierter Samba-Domäne Wenn der Postmann zwei Mal klingelt: OpenLDAP und Setup der Postfix-Dateien main.cf/ldap-aliases.cf Adress-Umsetzung per LDAP Gruppentherapie für Postboten Der unsichtbare Dritte: Postfix, TLS und saslauthd Setup der Mailclients für LDAP und TLS Cyrus-IMAP Setup Clients Geklönter Briefkasten - replizierte Cyrus-IMAP-Mailboxen Indianer und Kraken im Baum - Apache und Squid mit OpenLDAP Apache und OpenLDAP Squid - Zugriffe auf den Proxy über OpenLDAP kontrollieren Auf den Schirm! - Grafische Frontends zur OpenLDAP- Administration Kein kalter Kaffee - JXplorer Indianerland - Apache Directory Studio und noch ein paar LDAP-Browser/-Tools Ein kurzes Wort zu LDAP in eigenen Applikationen 518 OQOOoootxxaoocMCjaooaaooaoDaooc^ A Paketlisten 521 B Kompilationsoptionen 529 C RFCs, Drafts und LDAPv3-Core-Spezifikationen 533 C.1 RFCs,j 533 C.1.1 LDAP! 533 C.1.2 SASL 538 C.1.3 TLS 538 C.1.4 KERBEROS 540

7 C.2 LDAP-Drafts (Auszüge) 541 C.3 LDAPv3 Core - Specifications 542 OOCOOOODOOOOOODOaOOOOOOOOOOOOOOOO c D.1 OpenLDAP 545 D.2 PAM/NSS.547 D.3 OpenSSL 548 D.4 SASL 548 D.5 Samba 549 D.6 Heartbeat 550 D.7 MIT-Kerberos 550 D.8 Postfix 551 D.9 Cyrus-Imap 553 D.10 Apache 553 D.11 Squid 554 D.12 Glossar : 554 Index