openldap installation.

Hvad er en OpenLDAP server og hvilken formår har den.

I denne tutorial vil du lære lidt om LDAP servere og hvad man bruger den til.
En ldap server bruges til at verificere brugere login på mange systemer normalt.

OpenLDAP består af disse systemer.

• slapd – Base LDAP daemon (server)
• libraries implementing af LDAP protocol, og tools.
• Admin web interface.

For at bruge Openldap skal den først installeres, her først en oversigt over pakker som skal installeres med apt.

slapd er ldap serveren som skal installeres.

ldap-utils er Openldap tools.

python3-ldap er LDAP interface modul for Python3

$ sudo apt install slapd ldap-utils

Som standard beder SLAPD installations programmet dig ikke om at indtaste domæne informationerne. Det udfylder dog automatisk DITt med eksempel data baseret på dit server domænenavn

Her skal du angive en administrator password.

Bekræft adgangskoden og fortsæt installationen ved at vælge <ok> med TAB-tasten.

Du kan nu checke default værdierne som oprettes i ldap.

$ sudo slapcat
dn: dc=example,dc=com
objectClass: top
objectClass: dcObject
objectClass: organization
o: example.com
dc: example
structuralObjectClass: organization
entryUUID: e33fc814-e5b9-1038-8243-39a2e6b74e62
creatorsName: cn=admin,dc=example,dc=com
createTimestamp: 20190328152831Z
entryCSN: 20190328152831.511390Z#000000#000#000000
modifiersName: cn=admin,dc=example,dc=com
modifyTimestamp: 20190328152831Z
dn: cn=admin,dc=example,dc=com
objectClass: simpleSecurityObject
objectClass: organizationalRole
cn: admin
description: LDAP administrator
userPassword:: e1NTSEF9WDIzUEJxbXgycUU3M1dRUmppTVYrZE91U0RNMWswSHE=
structuralObjectClass: organizationalRole
entryUUID: e340fedc-e5b9-1038-8244-39a2e6b74e62
creatorsName: cn=admin,dc=example,dc=com
createTimestamp: 20190328152831Z
entryCSN: 20190328152831.519463Z#000000#000#000000
modifiersName: cn=admin,dc=example,dc=com
modifyTimestamp: 20190328152831Z

Før du kan opdatere databasen med brugernes OU-oplysninger ovenfor, skal du justere SLAPD-databasens adgangskontrol.

$ vim update-mdb-acl.ldif
dn: olcDatabase={1}mdb,cn=config
changetype: modify
replace: olcAccess
olcAccess: to attrs=userPassword,shadowLastChange,shadowExpire
  by self write
  by anonymous auth
  by dn.subtree="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" manage 
  by dn.exact="cn=readonly,ou=people,dc=kifarunix-demo,dc=com" read 
  by * none
olcAccess: to dn.exact="cn=readonly,ou=people,dc=kifarunix-demo,dc=com" by dn.subtree="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" manage by * none
olcAccess: to dn.subtree="dc=kifarunix-demo,dc=com" by dn.subtree="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" manage
  by users read 
  by * none

Du skal nu køre.

$ sudo ldapadd -Y EXTERNAL -H ldapi:/// -f update-mdb-acl.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
adding new entry "ou=people,dc=example,dc=com"
ldap_add: Server is unwilling to perform (53)
additional info: no global superior knowledge

Vi skal nu have oprettet Base DN.

Opret Base DN for Brugere og Grupper.

Nu da vi skal bruge andre typer af brugere skal vi oprette Base DN (organisation) for disse typer.

Det næste trin er at tilføje en basis-DN for brugere og grupper. Opret en fil med navnet basedn.ldif med nedenstående indhold:

$ vim user_group_base.ldif
dn: ou=people,dc=ldapmaster,dc=example,dc=com
objectClass: organizationalUnit
ou: people
dn: ou=group,dc=ldapmaster,dc=example,dc=com
objectClass: organizationalUnit
ou: group

Du skal her igen rette example and com med dit rigtige domain navn.

Derefter skal nu tilføje det til openldap med kommandoen:

$ ldapadd -x -D cn=admin,dc=example,dc=com -W -f user_group_base.ldif
Enter LDAP Password:
adding new entry "ou=people,dc=example,dc=com"
adding new entry "ou=groups,dc=example,dc=com"

Opret af LDAP Bruger

Så er det tid til at lave oprette en bruger og lave et password for ldap brugeren.

$ sudo slappasswd
New password:
Re-enter new password:
{SSHA}Zn4/E5f+Ork7WZF/alrpMuHHGufC3x0k

Opret new_user.ldif filen til tilføjelse af brugere.

$ vim new_user.ldif
dn: uid=brugernavn,ou=people,dc=example,dc=com
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
uid: brugernavn
cn: brugernavn
sn: Wiz
userPassword: {SSHA}Zn4/E5f+Ork7WZF/alrpMuHHGufC3x0k
loginShell: /bin/bash
uidNumber: 2000
gidNumber: 2000
homeDirectory: /home/brugernavn
dn: cn=brugernavn,ou=group,dc=example,dc=com
objectClass: posixGroup
cn: brugernavn
gidNumber: 10000
memberUid: brugernavn

Her lidt info om hvad felterne betyder.

• Udskift brugernavn med det brugernavn som skal oprettes.
• dc=example,dc=com Med det rigtige domain navn.
• cn & sn with your Username Values
• {SSHA}Zn4/E5f+Ork7WZF/alrpMuHHGufC3x0k Hashed password

Når du er færdig med at rette filen ldapusers.ldif skal du tilføje den til Ldap med kommandoen:

$ ldapadd -x -D cn=admin,dc=example,dc=com -W -f new_user.ldif
Enter LDAP Password:
adding new entry "uid=brugernavn,ou=people,dc=example,dc=com"

Slet af LDAP Bruger og Grupper

For at slette en LDAP bruger, så brug ldapdelete kommandoen. For eksempelvis at slette bruger med brugernavn brugernavn som vi oprettet før.

$ ldapdelete -x -W -D "cn=admin,dc=example,dc=com" "uid=brugernavn,ou=people,dc=example,dc=com"

Det samme for at slette i LDAP group.

$ ldapdelete -x -W -D "cn=admin,dc=example,dc=com" "cn=brugernavn,ou=group,dc=example,dc=com"

Reset LDAP bruger password

Hvis du skal reset en brugers password kan du bruge ldappasswd kommandoen. for at rest password for brugernavn brugernavn vi havde for før.

$ ldappasswd -H ldapi:/// -x -D "cn=admin,dc=example,dc=com" -W -S "uid=brugernavn,ou=people,dc=example,dc=com"

Opret forbindelse til remote ldap server.

For at oprette remote forbindelse skal du bruge  -H ldap://<ldap-server-IP> option. For example;

$ ldappasswd -H ldap://192.168.56.105 -x -D "cn=admin,dc=example,dc=com" -W -S "uid=brugernavn,ou=people,dc=example,dc=com"

Hvis du vil lave din egen DIT, du skal reconfigure SLAPD pakken igen med kommandoen.

$ dpkg-reconfigure slapd

Check LDAP bruger Password

For at check et password for en bruger skal du bruge ldapwhoami kommandoen. Her checker vi brugernavn brugernavn

$ ldapwhoami -vvv -h localhost -D "uid=brugernavn,ou=people,dc=example,dc=com" -x -W

Hvis password er rigtigt vil den skrive noget i den retning.

ldap_initialize( ldap://localhost )
Enter LDAP Password: 
dn:uid=brugernavn,ou=people,dc=kexample,dc=com
Result: Success (0)

Test remote forbindelse

$ ldapwhoami -vvv -h LDAP-SERVER-IP-ELLER-HOST-NAVN -D "uid=brugernavn,ou=people,dc=example,dc=com" -x -W

Nu er det tid til at installere LDAP Account Manager.

Jeg har bemærket, at phpLDAPadmin ikke fungerer godt med PHP 7.2+. Jeg anbefaler, at du i stedet bruger LDAP Account Manager. Følg guiden nedenfor for at installere og konfigurere LDAP Account Manager.