Konfiguration, Übersetzung und Installation der Openldap Software unter Linux

Transkript

1 Konfiguration, Übersetzung und Installation der Openldap Software unter Linux Autor: Bernhard Winkler Angelegt am: 5. Oktober 2007 Letzter Update: 27. Dezember 2007 Inhaltsverzeichnis Konfiguration, Übersetzung und Installation der Openldap Software unter Linux..1 Download der Software...1 Auspacken der Software...1 Installation erforderlicher Pakete...1 Konfiguration...2 Kompilierung und Installation...2 Ein erster Start der Software...2 Die Gestaltung einer eigenen slapd.conf Datei...2 Die Ausgangsbasis...2 Erste Modifikationen...4 Erste Testeinträge anlegen...4 Die Daten aus dem Server auslesen...4 Die Liste der configure Optionen...5 Ausblick...6 Download der Software Die Software ist unter folgendem Link erhältlich: Für ein verlässliches System ist die Stable Release vorzuziehen. Im folgenden wird die Version nur als Beispiel verwendet, bitte ersetzen Sie diese durch die von Ihnen verwendete. Auspacken der Software Der Befehl tar xfz openldap tgz packt die Software in das Verzeichnis openldap aus. Installation erforderlicher Pakete Es sollten die Pakete gcc und db-devel installiert sein, was sich z.b. mit SuSE Yast oder RPM bewerkstelligen lässt. Winkler IT

2 Konfiguration Konfiguration, Übersetzung und Installation der Openldap Software Nun wechseln wir in das ausgepackte Verzeichnis und rufen configure auf. Um eine Liste von Konfigurationsparametern zu erhalten, eignet sich der Befehl configure --help. Für die ersten Versuche genügt die Option --prefix, welche als Wert den Pfad bekommt, unter welchem die Software zu installieren sein soll, also z.b. /home/franz/openldap/openldap installed. Der Befehl ist dann also folgender:./configure prefix=/home/franz/openldap/openldap installed Weiter hinten im Text ist auch eine Liste mit configure Optionen angegeben. Kompilierung und Installation 1. Als erstes kommt der Befehl: make depend 2. Danach wird mit dem Befehl make übersetzt 3. Optional kann der Befehl make test verwendet werden, um die Software zu testen, was aber eine Zeit lange dauert 4. Zu letzt kommt der Befehl make install, welcher die Software in dem Verzeichnis installiert, welches bei configure angegeben wurde. Ein erster Start der Software Der folgende Befehl sollte Openldap schon einmal starten können: /home/franz/openldap/openldap installed/libexec/slapd -f /home/franz/openldap/openldap installed/etc/openldap/slapd.conf -h ldap://localhost:51111/ Mit dem Befehl ps aux grep slapd sollte also ein entsprechender Prozess sichtbar sein. Die Gestaltung einer eigenen slapd.conf Datei Die Ausgangsbasis Hier ist die standardmäßige slapd.conf, wie sie auch vorher zum Test schon eingesetzt wurde: See slapd.conf(5) for details on configuration options. This file should NOT be world readable. include /home/franz/openldap/openldap installed/etc/openldap/schema/core.schema Define global ACLs to disable default read access. Winkler IT

3 Do not enable referrals until AFTER you have a working directory service AND an understanding of referrals. referral ldap://root.openldap.org pidfile /home/franz/openldap/openldap installed/var/run/slapd.pid argsfile /home/franz/openldap/openldap installed/var/run/slapd.args Load dynamic backend modules: modulepath /home/franz/openldap/openldap installed/libexec/openldap moduleload back_bdb.la moduleload back_hdb.la moduleload back_ldap.la Sample security restrictions Require integrity protection (prevent hijacking) Require 112-bit (3DES or better) encryption for updates Require 63-bit encryption for simple bind security ssf=1 update_ssf=112 simple_bind=64 Sample access control policy: Root DSE: allow anyone to read it Subschema (sub)entry DSE: allow anyone to read it Other DSEs: Allow self write access Allow authenticated users read access Allow anonymous users to authenticate Directives needed to implement policy: access to dn.base="" by * read access to dn.base="cn=subschema" by * read access to * by self write by users read by anonymous auth if no access controls are present, the default policy allows anyone and everyone to read anything but restricts updates to rootdn. (e.g., "access to * by * read") rootdn can always read and write EVERYTHING! BDB database definitions database bdb suffix "dc=my-domain,dc=com" rootdn "cn=manager,dc=my-domain,dc=com" Cleartext passwords, especially for the rootdn, should be avoid. See slappasswd(8) and slapd.conf(5) for details. Use of strong authentication encouraged. rootpw secret The database directory MUST exist prior to running slapd AND should only be accessible by the slapd and slap tools. Mode 700 recommended. directory /home/franz/openldap/openldap installed/var/openldap-data Indices to maintain index objectclass eq Winkler IT

4 Bitte beachten Sie, dass hier die meisten Optionen noch mit einem Hash auskommentiert sind. Erste Modifikationen Diese slapd.conf Datei kann nun kopiert und den eigenen Bedürfnissen angepasst werden. Als erstes will man vielleicht weitere Schematas aufnehmen, die Accesscontrol vom standardmäßigen write für root und read für alle anderen umändern, und suffix und rootdn an eigene Bedürfnisse anpassen. Für einen ernsthaften Einsatz ist natürlich auch das standardmäßige Passwort unter rootpw auf einen anderen Wert, als secret zu ändern, welcher zur zusätzlichen Sicherheit auch verschlüsselt werden kann. Erste Testeinträge anlegen Im folgenden wird davon ausgegangen, dass im slapd.conf der suffix und rootdn bereits um o=newtech ergänzt wurde. Der erste Eintrag, welcher angelegt werden muss, ist der des rootdns: newtech, my-domain.com dn: o=newtech,dc=my-domain,dc=com o: newtech objectclass: organization Darauf können beliebig viele andere folgen z.b.: Franz Kurz, newtech, my-domain.com dn: cn=franz Kurz,o=newTech,dc=my-domain,dc=com objectclass: person sn: Kurz cn: Franz Kurz userpassword: weisskeiner Die beiden obigen Records sind mit jeweils einer Leerzeile danach in einer Datei abzuspeichern und dem ldapadd Befehl als Option -f zu übergeben. Sie können aber auch im Anschluss an den ldapadd Befehl einfach im gleichen Format in die Standardeingabe kopiert werden. ldapadd -H ldap://localhost:51111/ -x -D "cn=manager,o=newtech,dc=mydomain,dc=com" -w secret -f meine2eintraege.ldif Es wird danach eine Erfolgs- bzw. Fehlermeldung ausgegeben. Die Daten aus dem Server auslesen Mit folgendem Befehl kann der gesamte Inhalt des LDAP-Servers ausgelesen werden: ldapsearch -H ldap://localhost:51111/ -x -D "cn=manager,o=newtech,dc=mydomain,dc=com" -w secret -b "o=newtech,dc=my-domain,dc=com" -s sub Falls noch ein + am Ende angegeben wird, werden auch noch die so genannten Winkler IT

5 Operational-Attributes angezeigt, das sind technische Attribute, welche ansonsten unterdrückt werden. Die Liste der configure Optionen Zur Vereinfachung wurden die verschiedenen Unterprefixe und Directories, die System Types und die in diesem Beispiel nicht benötigten Environment Variablen weggelassen. Wer die komplette Liste möchte, braucht nur configure --help einzugeben. Im folgenden werden der Übersichtlichkeit halber die standardmäßig aktivierten Optionen grün, die deaktivierten rot und die automatischen schwarz dargestellt: --prefix=prefix Optional Features: --disable-feature do not include FEATURE (same as --enable-feature=no) --enable-feature[=arg] include FEATURE [ARG=yes] --enable-debug enable debugging no yes traditional [yes] --enable-dynamic enable linking built binaries with dynamic libs [no] --enable-syslog enable syslog support [auto] --enable-proctitle enable proctitle support [yes] --enable-ipv6 enable IPv6 support [auto] --enable-local enable AF_LOCAL (AF_UNIX) socket support [auto] SLAPD (Standalone LDAP Daemon) Options: --enable-slapd enable building slapd [yes] --enable-dynacl enable run-time loadable ACL support (experimental) [no] --enable-aci enable per-object ACIs (experimental) no yes mod [no] --enable-cleartext enable cleartext passwords [yes] --enable-crypt enable crypt(3) passwords [no] --enable-lmpasswd enable LAN Manager passwords [no] --enable-spasswd enable (Cyrus) SASL password verification [no] --enable-modules enable dynamic module support [no] --enable-rewrite enable DN rewriting in back-ldap and rwm overlay [auto] --enable-rlookups enable reverse lookups of client hostnames [no] --enable-slapi enable SLAPI support (experimental) [no] --enable-slp enable SLPv2 support [no] --enable-wrappers enable tcp wrapper support [no] SLAPD Backend Options: --enable-backends --enable-bdb --enable-dnssrv --enable-hdb --enable-ldap --enable-meta --enable-monitor --enable-null --enable-passwd --enable-perl --enable-relay --enable-shell --enable-sql enable all available backends no yes mod enable Berkeley DB backend no yes mod [yes] enable dnssrv backend no yes mod [no] enable Hierarchical DB backend no yes mod [yes] enable ldap backend no yes mod [no] enable metadirectory backend no yes mod [no] enable monitor backend no yes mod [yes] enable null backend no yes mod [no] enable passwd backend no yes mod [no] enable perl backend no yes mod [no] enable relay backend no yes mod [yes] enable shell backend no yes mod [no] enable sql backend no yes mod [no] Winkler IT

6 SLAPD Overlay Options: --enable-overlays enable all available overlays no yes mod --enable-accesslog In-Directory Access Logging overlay no yes mod [no] --enable-auditlog Audit Logging overlay no yes mod [no] --enable-constraint Attribute Constraint overlay no yes mod [no] --enable-dds Dynamic Directory Services overlay no yes mod [no] --enable-dyngroup Dynamic Group overlay no yes mod [no] --enable-dynlist Dynamic List overlay no yes mod [no] --enable-ppolicy Password Policy overlay no yes mod [no] --enable-proxycache Proxy Cache overlay no yes mod [no] --enable-refint Referential Integrity overlay no yes mod [no] --enable-retcode Return Code testing overlay no yes mod [no] --enable-rwm Rewrite/Remap overlay no yes mod [no] --enable-seqmod Sequential Modify overlay no yes mod [yes] --enable-syncprov Syncrepl Provider overlay no yes mod [yes] --enable-translucent Translucent Proxy overlay no yes mod [no] --enable-unique Attribute Uniqueness overlay no yes mod [no] --enable-valsort Value Sorting overlay no yes mod [no] SLURPD (Replication Daemon) Options: --enable-slurpd enable building slurpd [auto] Library Generation & Linking Options --enable-static[=pkgs] build static libraries [default=yes] --enable-shared[=pkgs] build shared libraries [default=yes] --enable-fast-install[=pkgs] optimize for fast installation [default=yes] --disable-dependency-tracking speeds up one-time build --enable-dependency-tracking do not reject slow dependency extractors --disable-libtool-lock avoid locking (might break parallel builds) Optional Packages: --with-package[=arg] use PACKAGE [ARG=yes] --without-package do not use PACKAGE (same as --with-package=no) --with-subdir=dir change default subdirectory used for installs --with-cyrus-sasl with Cyrus SASL support [auto] --with-fetch with fetch(3) URL support [auto] --with-threads with threads [auto] --with-tls with TLS/SSL support [auto] --with-yielding-select with implicitly yielding select [auto] --with-mp with multiple precision statistics auto longlong long bignum gmp [auto] --with-odbc with specific ODBC support iodbc unixodbc auto [auto] --with-gnu-ld assume the C compiler uses GNU ld [default=no] --with-pic try to use only PIC/non-PIC objects [default=use both] Ausblick Es werden weitere Texte in dieser Reihe folgen, z.b. eine Beschreibung der slapd.conf Datei, ein Workshop zum Erstellen eigener Schemata, eine Beschreibung der Backends und eine der Overlays. Wenn Sie sonst zu diesem Thema etwas interessiert, können Sie Winkler IT natürlich auch selbst beauftragen. Winkler IT