LDAP verstehen, OpenLDAP einsetzen

Transkript

1 Dieter Klünter Jochen Laser LDAP verstehen, OpenLDAP einsetzen Grundlagen, Praxiseinsatz und Single-sign-on-Mechanismen Technische Universität Darmstadt FACHBEREICH INFORMATIK Invanter-Nr, J Standort: fm\ dpunkt.verlag

2 XI Inhaltsverzeichnis I Einführung in LDAP 1 1 Verzeichnisdienste VonX.500zuLDAP LDAPv LDAP in der Netzwerkadministration 14 2 Das X.500-Datenmodell Objekte Attribute Verzeichniseinträge Vererbung 18 ' 2.5 Klassenzugehörigkeit und Polymorphie Standardisierung von Attributen und Objektklassen Typen von Objektklassen: structural, auxiliary und abstract Der Verzeichnisbaum Aliase ' Distinguished Name und Relative Distinguished Name »Relative«Namen Zusammengesetzte RDN Vom RDN zum DN Kodierung von RDN 27 3 Das funktionale Modell Die LDAP-Session Messages und Operationen Controls 31 4 Partitionierung Naming Context Referrals und Continuations LDAP-Proxying: Serverseitige Auflösung von Referrals 36

3 Inhaltsverzeichnis 5 LDAP-URL und Search Filters Beispiele für LDAP-URLs Sonderzeichen in URLs Suche im Verzeichnis 42 6 Sicherheit Autorisierung und Authentifizierung Zugriffskontrolle im LDAP Authentifizierung SASL Der»Strong Bind«53 7 Schema Schema Discovery Allgemeiner Aufbau eines Schemas Eigene Schemas entwerfen Referenzierung von Objekten durch Name oder OID DerObjectldentifyer(OID) Die eigene OID AttributeTypes definieren ObjectClasses definieren Spezielle Attribute für den Serverbetrieb 66 8 Das LDIF-Format 69 II OpenLDAP 73 9 OpenLDAP installieren und konfigurieren OpenLDAP installieren OpenLDAP konfigurieren slapd.conf Die Datei Idap.conf Die erste Population Suche im Verzeichnisbaum Erweiterte Konfiguration und einige Anwendungen Konfiguration mit regulären Ausdrücken Weitere Anwendungen Migration Tools Das Tool cpu Optimierung der Access-Kontrolle Bemerkungen zu einigen Backends LDAPBackend Meta Backend 102

4 Inhaltsverzeichnis xiii Monitor Backend Einstellungen zu Leistungsoptimierung BerkeleyDB konfigurieren Replikation und Partitionierung Replikation Partitionierung Schema-Erweiterungen Methoden der Authentifizierung SASL Cyrus-SASL Kerberos krb Übungen zur Authentifizierung Ist das auch alles sicher? SSL/TLS X.509-Zertifikate und -Schlüssel erstellen Zertifikate für Clients erstellen Authentifizierung mittels X.509-Zertifikat TCP/IP-gesteuerte Zugriffe 142 IM Anwendungen Authentifizierung mittels PAM PAM testen Samba als Primary Domain Controller Die Samba-Konfiguration Den Verzeichnisdienst einrichten Domain Name Service konfigurieren W2K-Workstations für Kerberos konfigurieren Das zentrale Adressbuch Die zentrale Mailadministration Sendmail Sendmail-Konfiguration Den Verzeichnisbaum einrichten Postfix Postfix konfigurieren Imap 171

5 ! xiv Inhaltsverzeichnis 16 Zugangskontrolle für den HTTP-Server Apache Administrative Hinweise Die Administration des Proxycache Squid Das Modul squid_ldap_auth Das Modul squid_ldap_group Einige graphische Administrationsanwendungen Ldapbrowser Das Tool GQ Directory Administrator 187 IV Entwickeln mit LDAP LDAP-APIs und SDKs APIs und SDKs im Überblick libldap libldap-clients konfigurieren libldap-code mit dem GCC kompilieren Eine LDAP-Sitzung mit der libldap Eine einfache libldap-anwendung Speicherbefreiung Asynchrone Operationen und Timeouts Listings Perl und Net::LDAP Net::LDAP Installation von NetlDAP Eine LDAP-Sitzung mit NetlDAP Asynchrone Operationen und Callbacks Timeout Java und das JNDI Das JNDI Namens- und Verzeichnisdienste JNDI-Dokumentation Eine JNDI-Anwendung Contexts Der Initial Context Erzeugung des Context 239

6 Inhaltsverzeichnis xv l Bind LDAP-Suche Das Suchergebnis unbind Listing Die Directory Service Markup Language LDIF oder DSML? Darstellung von Verzeichnisdaten DSMLvi: Statische Verzeichnisdaten in XML-Verpackung Verzeichnisdaten in DSMLvi Schemadaten in DSMLvi DSML mit Net::LDAP erzeugen Ein Schema-Dokument in DSML Ein Suchergebnis nach DSML wandeln DSMLv2: Requests und Responses in XML-Verpackung 262 V Ausblick Ausblick Protokollerweiterungen Die Arbeitsgruppe LDAP-Extensions Die Arbeitsgruppe LDAP Duplication/Replication/Update Protocols Auf den Erweiterungen aufbauende Anwendungen Directory Enabled Networking Die Zukunft von OpenLDAP Webbasierte Anwendungen 270 Anhang 271 A Die erste LDIF-Datei 273 B UTF-8 und Base C Schema für ein kombiniertes Adressbuch 277 D X.500-Standards erwerben 285 E inetorgperson.schema 287 F Syntaxes nach RFC G Häufig benutzte Matching-Rules 293 H LDAP im WWW 295 I Mailinglisten 295

7 I xvi Inhaltsverzeichnis Glossar 297 Tabellenverzeichnis 305 Abbildungsverzeichnis 307 Literaturverzeichnis 309 Index 311