Internet APM 3 Holger Albert June 6, 2004
LDAP - Lightweight Directory Access Protocol Author : Holger Albert 1
Contents I Was ist LDAP 2 II Funktionsweise 4 III Allgemeines 7 IV Installation 9 V Abschliesend 13 1
Part I Was ist LDAP 2
LDAP (Lightweight Directory Access Protocol) ist ein Verzeichnisdienst. Ein Verzeichnisdienst ist ein System, in dem der Lese-Zugriff, anders wie bei einer Datenbank optimiert ist. Ein Verzeichnisdienst hilft dabei, schnell Daten auffinden zu koennen. Objekte stehen in einer gewissen Ordnung Beispiele von Verzeichnisdiensten : DNS, NIS Eigenschaften eines Verzeichnisdienstes : Optimiert auf das Lesen von Informationen, Hinzufuegen oder Aendern von Eintraegen kann schwierig sein. Es bietet verbesserte Such-Features. Seine Basis-Strukturen (Schema), koennen an Anforderungen angepasst werden. Es haelt sich an offene Standards, um Kompatibilitaet zwischen verschiedenen Herstellern zu gewaehrleisten, speziell, eine Reihe von RFCs. Auf Grund der genannten und anderer Vorteile loest es NIS langsam ab. Man nutzt es, um z.b. Informationen von Mitarbeitern zu speichern. Das koennen Benutzer-Accounts oder persoenliche Daten sein. Der Begriff LDAP wird umgangsprachlich locker benutzt, er bezieht sich auf das Protokoll, die Datenbank-Funktionen liefert ein seperates Back-End Programm oder Packet. LDAP wurde 1990 an der Universitt in Michigan das erste mal implementiert. OpenLDAP basiert auf dieser Arbeit. v1 : man benoetigte einen OSI-X.500 Server. v2 : es wird ein standalone Server (slapd) implementiert. 3
Part II Funktionsweise 4
LDAP basiert auf einem Client-Server Modell. Einer oder mehrere Server besitzen die Daten, die den LDAP-Verzeichnisbaum bilden. Client fragt an und er eraelt eine Antwort oder einen Pointer auf einen anderen LDAP-Server. Egal bei welchem Server der Client eine Anfrage stellt, er sieht immer die gleiche Ansicht auf das Verzeichnis. Ein Name der von einem LDAP-Server praesentiert wird, zeigt immer auf den Eintrag, auf den er auch bei einem anderen Server zeigt. Das ist wichtig fuer einen Globalen Verzeichnis Dienst. Schemas Ein LDAP Schema definiert eine Liste von moeglichen Eintrags- Typen, die als Objekt-Klassen bekannt sind und mit jedem Objekt sind Attribute verknuepft. Schema Definitionen werden in Dateien gespeichert. Hier : /etc/openldap/schema. Die Attribute koennen von einer Objekt-Klasse benoetigt werden oder optional sein. Ein Attribut kann in mehreren Klassen vorhanden sein. Die Objekt-Klassen sind hierarchisch aufgebaut. Als Root dient das top-objekt. Es gilt das Vererbungsprinzip : Alle Kinds-Klassen besitzen die Attribute von den Eltern-Klassen. Das Datenformat nennt sich LDIF (LDAP Data Interchange Format). Beispiel : dn: o=linuxlounge, dc=fh-worms, dc=de o: linuxlounge objectclass: organization dn: cn=holger Albert, o=linuxlounge, dc=fh-worms, dc=de cn: Holger Albert sn: Albert mail: inf000@fh-worms.de objectclass: person 5
Jede Objekt-Klasse, bzw. jedes Attribut besitzt eine Syntax-Definition. bin : binary ces : case excat string cis : case ignore string tel : telephone number string dn : distinguished name LDAP Verzeichnisse sind in einer Baum-Struktur aufgebaut. z.b. 1. Directorys Base dc = domain component dc = fh-worms, dc = de I I 2. ou = organizational unit ou = organizational unit I 3. cn = spezifische Daten Die base-dn waere dann fh-worms.de. Das ist der Punkt, ab den man anfangen will zu suchen. Erlaeuterung anhand des Beispieles dn (distinguished name) ist ein Eintrag, der einzigartig innerhalb des ganzen Baumes ist. hier, cn : albert, ou=linuxlounge, dc=fh-worms, dc=de d.h. dies ist der Eintrag fuer albert. Ist die base-dn nun dc=fh-worms, dc=de, dann wird ab da angefangen zu suchen und zwar in allen ous und cns bis der Eintrag bereinstimmt. Directory-Tree und Schema Die Schemata definieren nur, wie Objekte auszusehen haben, ansonsten haben sie keine Bedeutung. Im Tree selbst wird durchgegangen, bis ein Eintrag gefunden wurde. Dann bekommt man, wenn man moechte, alle Objekte und Attribute die zum Eintrag gehoeren (hier : fuer albert). 6
Part III Allgemeines 7
Proxy-Objekt Das Proxy-Objekt ist ein Objekt, das sicherstellt, das eine uebergeordnete Verwaltung konsistent bleibt. Gibt es z.b. Benutzerobjekte mit den Feldern MemberOf und korrespondierende Gruppenobjekte mit dem Feld Member, stellt die Proxylogik sicher, dass ein MemberOf-Assizoation immer eine zwingende MemberAssoziation hat (z.b. ). (Im MS-Active-Directory zwingend). Referals Ein Referal kann in einem Blatt oder Ast gesetzt werden, so da er auf eine andere Stelle des Baumes verweist. Beim Aufbau des Kontext zum Directory bestimmt man, ob Referals managed oder followed behandelt werden sollen. NSS (Name Switch Service) Benoetigt man um zwischen den verschiedenen Servicen umzuschalten. PAM (Pluggable Authentication Module) durch Module erweiterbares Framework implementiert als Set von Shared Libraries Trennung von Applikation und Benutzer-Authentifizierung Der System-Administrator legt Authentifizierungsmechanismen fest mehrere Mechanismen zur Authentifizierung moeglich 8
Part IV Installation 9
Pakete ldap slapd, ldap-utils, libldap2-dev Fuer Account-Daten migrationtools Pakete NSS libnss-ldap Pakete PAM libpam-ldap LDAP installieren apt-get install slapd ldap-utils libldap2-dev Es werden verschiedene Fragen gestellt : Domain name : fh-worms.de (entspricht base-dn : dc=fh-worms, dc=de) Organization name : linuxlounge Admin PW : xxxx Verify PW : xxxx Allow LDAPv2 : no Nun kann man mit ldapsearch -x -b dc=fh-worms,dc=de sich die directory base ansehen. Diese Daten sind auch von auen einsehbar, wenn Port 389 offen ist. Man kann slapd aber auch so konfigurieren, dass dies nicht moeglich ist. Migration der Benutzerdaten apt-get install migrationtools /etc/migrationtools/migrate common.ph $IGNOREUIDBELOW = 1000 $IGNOREGIDBELOW = 100 kann man auskommentieren und/oder aendern. Beim Auskommentieren werden die System-Benutzer nicht uebernommen. cd /usr/share/migrationtools ETC SERVICES=/dev/null ETC ALIASES=/dev/null./migrate all online.sh 10
Das Migrations-Script stellt einige Fragen : Enter the X.500 naming context you wish to import into : dc=fhworms,dc=de Enter the hostname of your LDAP server : localhost Enter the manager DN : cn=admin,dc=fh-worms,dc=de Enter the credentials to bind with : [password] Do you wish to generate a DUAConfigProfile? No Man kann die Migration auch offline durchfhren : /etc/migrationtools/migrate common.ph $DEFAULT BASE = dc=fh-worms, dc=de Es versucht den Anfang des Verzeichnisses neu anzulegen (wegen einem Bug) : $PERL migrate base.pl -n $DB Name Lookup konfigurieren apt-get install libnss-ldap Nun muessen wir dem System mitteilen, da es die Daten im LDAP Server benutzen soll. Die Installation fragt nach dem host (127.0.0.1), der search Base (dc=fh-worms,dc=de), Protokoll (v2) und ob die Config-Files nur vom Besitzer gelesen werden sollen (yes). /etc/nsswitch.conf passwd : ldap compat group : ldap compat shadow : ldap compat Sonst fassen wir nichts an, aber wenn man ldap davor setzt kann es nicht schaden. PAM konfigurieren apt-get install libpam-ldap Make local root database admin : yes DB requires login : no Root login account : cn=admin,dc=fh-worms,dc=de Root login passwort : [Passwort] 11
Local crypt to use : crypt Es muessen einige Dateien in /etc/pam.d angepasst werden : common-account, common-auth und common-password account required pam unix.so in account sufficient pam ldap.so account required pam unix.so try first pass common-session belassen wir wie es ist. Name Server Cache Daemon apt-get install nscd Damit verlaeuft die Abfrage schneller. 12
Part V Abschliesend 13
Der Befehl Ldapsearch besitzt folgende Parameter (Auszug) : -b base-dn fuer die Suche -x simple authentification -L Ausgabe in LDIF Format -h host -p port 14