LDAP-账号管理系统
LDAP-账号管理系统
在centos7环境，搭建ldap-server：
## 1. 部署ldap-S
[root@ldapS ~]# yum install -y openldap openldap-servers openldap-clients openldap-devel migrationtools
首先 生成加密密码：
[root@ldapS ~]# slappasswd
New password:
Re-enter new password:
{SSHA}nuH+UiLFv78g87XL3zybnwK/WjeTWU/n
将dc=do-main 改为 dc=sgy（自定义名）
[root@ldapS /etc/openldap/slapd.d/cn=config]# vim olcDatabase\=\{1\}monitor.ldif
7 al,cn=auth" read by dn.base="cn=Manager,dc=sgy,dc=com" read by * none
##增加管理员信息,自定义第一个dc=
将dc=do-main 改为 dc=sgy（自定义名）
[root@ldapS /etc/openldap/slapd.d/cn=config]# vim olcDatabase\=\{2\}hdb.ldif
8 olcSuffix: dc=sgy,dc=com
##基准DN
9 olcRootDN: cn=Manager,dc=sgy,dc=com
##管理员用户的DN
19 olcRootPW:{SSHA}nuH+UiLFv78g87XL3zybnwK/WjeTWU/n # 添加这行,设置之前生成的密码
##管理员用户的密码
准备数据库初始文件：
[root@ldapS /var/lib/ldap]# cp /usr/share/openldap-servers/DB_CONFIG.example .
[root@ldapS /var/lib/ldap]# mv DB_CONFIG.example DB_CONFIG
给当前目录设置权限 .
[root@ldapS /var/lib/ldap]# chown -R ldap:ldap . <---这有个点
[root@ldapS ~]# systemctl start slapd
[root@ldapS ~]# systemctl enable slapd
[root@ldapS ~]# netstat -antpl | grep slapd
tcp 0 0 0.0.0.0:389 0.0.0.0:* LISTEN 1133/slapd
tcp6 0 0 :::389 :::* LISTEN 1133/slapd
将配置加入数据库的schemas(模式)中：
[root@ldapS ~]# lftp 172.16.0.99
lftp 172.16.0.99:~> cd scripts/
lftp 172.16.0.99:/scripts> get add_config-to_ldif.sh
[root@ldapS ~]# chmod +x add_config-to_ldif.sh
[root@ldapS ~]# ./add_config-to_ldif.sh
没有报错就可以。
添加用户
写个脚本，添加10个用户：
[root@ldapS ~]# vim useradd.sh
#!/bin/bash
# 添加10个用户
if [ ! -d /ldaphome ]
then
mkdir /ldaphome
fi
echo -e "username\tpassword" > /root/userfile
for i in `seq 1 10`
do
id ldap${i} &> /dev/null
if [ $? -ne 0 ]
then
useradd ldap${i} -d /ldaphome/ldap${i}
pass=$(tr -dc a-zA-Z0-9_# < /dev/urandom | head -c 6 | xargs)
echo $pass | passwd --stdin ldap$i &> /dev/null
echo -e "ldap${i}\t${pass}" >> /root/userfile
fi
done
[root@ldapS ~]# cat userfile
username password
ldap1 #2cutH
ldap2 nhdVZj
ldap3 VwDhB_
ldap4 vqnyTj
ldap5 J_lYiM
ldap6 lZSBap
ldap7 WgC6#G
ldap8 IObNFD
ldap9 _mVFFV
ldap10 IGveyi
[root@ldapS ~]# tail /etc/passwd
[root@ldapS ~]# tail /etc/shadow
导入ldap数据库
将这10个用户的信息，导入到ldap数据库里：
[root@ldapS ~]# cd /var/lib/ldap/
[root@ldapS /var/lib/ldap]# ls
== /var/lib/mysql
[root@ldapS ~]# tail /etc/passwd > /tmp/passwd
[root@ldapS ~]# tail /etc/shadow > /tmp/shadow
[root@ldapS ~]# tail /etc/group > /tmp/group
编辑配置文件：
[root@ldapS ~]# cd /usr/share/migrationtools/
[root@ldapS /usr/share/migrationtools]# ls
migrate_common.ph文件主要是用于生成ldif文件使用
[root@ldapS /usr/share/migrationtools]# vim migrate_common.ph
61 $NAMINGCONTEXT{'group'} = "ou=Groups";
71 $DEFAULT_MAIL_DOMAIN = "sgy.com";
74 $DEFAULT_BASE = "dc=sgy,dc=com";
90 $EXTENDED_SCHEMA = 1;
[root@ldapS /usr/share/migrationtools]# vim migrate_passwd.pl
188 open(SHADOW, "/tmp/shadow") || return;
生成基本框架：
[root@ldapS /usr/share/migrationtools]# ./migrate_base.pl > /tmp/base.ldif
编辑配置文件，只保留sgy（自定义的dc），People，Groups，其它都删除。
[root@ldapS /usr/share/migrationtools]# vim /tmp/base.ldif
dn: dc=sgy,dc=com
dc: sgy
objectClass: top
objectClass: domain
objectClass: domainRelatedObject
associatedDomain: sgy.com
dn: ou=People,dc=sgy,dc=com
ou: People
objectClass: top
objectClass: organizationalUnit
objectClass: domainRelatedObject
associatedDomain: sgy.com
dn: ou=Groups,dc=sgy,dc=com
ou: Groups
objectClass: top
objectClass: organizationalUnit
objectClass: domainRelatedObject
associatedDomain: sgy.com
生成用户和组的数据文件：
[root@ldapS /usr/share/migrationtools]# ./migrate_passwd.pl /tmp/passwd > /tmp/user.ldif
[root@ldapS /usr/share/migrationtools]# ./migrate_group.pl /tmp/group > /tmp/group.ldif
== xxx.sql
将这3个ldif文件，导入数据库：
[root@ldapS ~]# ldapadd -x -W -D "cn=Manager,dc=sgy,dc=com" -f /tmp/base.ldif
Enter LDAP Password:
adding new entry "dc=sgy,dc=com"
adding new entry "ou=People,dc=sgy,dc=com"
adding new entry "ou=Groups,dc=sgy,dc=com"
-x 进行认证
-W 输入密码
-D 绑定服务器的基准DN
-f 使用的ldif文件
cn=Manager,dc=sgy,dc=com ldap的管理员用户
输入的密码：生成的加密密码
[root@ldapS ~]# ldapadd -x -W -D "cn=Manager,dc=sgy,dc=com" -f /tmp/user.ldif
[root@ldapS ~]# ldapadd -x -W -D "cn=Manager,dc=sgy,dc=com" -f /tmp/group.ldif
查看用户的信息：
[root@ldapS ~]# ldapsearch -xWD "cn=Manager,dc=sgy,dc=com" -b "uid=ldap1,ou=People,dc=sgy,dc=com" -LLL
Enter LDAP Password:
配置客户端 ldap-client
ldap-client
[root@node1 ~]# yum install -y nss-pam-ldapd pam_krb5 setuptool
[root@node1 ~]# setup
配置完成后,开启xshell,用ldap用户访问ldap-client
[c:\~]$ ssh [email protected]
-bash-4.2$
-bash-4.2$ su - 没有家目录
Password:
[root@node1 ~]#
在ldap-server配置NFS，共享ldap用户的家目录
在ldap-server配置NFS，共享ldap用户的家目录：
[root@ldapS ~]# yum install -y nfs-utils
[root@ldapS ~]# vim /etc/exports
/ldaphome 172.16.0.0/16(rw,sync)
[root@ldapS ~]# systemctl start nfs
[root@ldapS ~]# systemctl enable nfs
在ldap-client，配置autofs，自动挂载nfs的共享：
[root@node1 ~]# yum install -y nfs-utils autofs
[root@node1 ~]# showmount -e 172.16.0.60
Export list for 172.16.0.60:
/ldaphome 172.16.0.0/16
[root@node1 ~]# mkdir /ldaphome
[root@node1 ~]# cp /etc/auto.misc /etc/auto.ldap <--auto.misc文件是autofs生成的
[root@node1 ~]# vim /etc/auto.master
/ldaphome /etc/auto.ldap
[root@node1 ~]# vim /etc/auto.ldap
* -rw,soft,intr 172.16.0.60:/ldaphome/& # 对应共享服务端的地址和目录
* 所有的挂载点
-rw nfs的挂载选项
& nfs-server端的共享目录
[root@node1 ~]# systemctl start autofs
[root@node1 ~]# systemctl enable autofs
[c:\~]$ ssh [email protected]
[ldap1@node1 ~]$
[ldap1@node1 ~]$ cp /etc/passwd .
[ldap1@node1 ~]$ ls
passwd
[root@ldapS ~]# cd /ldaphome/ldap1
[root@ldapS /ldaphome/ldap1]# ls
passwd
应用场景
在ldap-client上，可以直接使用ldap-server的用户：
应用1：ssh
应用2：vsftpd
[root@node1 ~]# yum install -y vsftpd
[root@node1 ~]# systemctl start vsftpd
[root@centos7-bj ~]# ftp 172.16.0.61
Connected to 172.16.0.61 (172.16.0.61).
220 (vsFTPd 3.0.2)
Name (172.16.0.61:root): ldap1
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
应用3：samba
[root@node1 ~]# yum install -y samba
[root@node1 ~]# vim /etc/samba/smb.conf
[share]
comment = test ldap
path = /samba
writable = yes
create mask = 0664
directory mask = 0775
[root@node1 ~]# mkdir /samba
[root@node1 ~]# chmod 1757 /samba/
[root@node1 ~]# smbpasswd -a ldap1
New SMB password:
Retype new SMB password:
Added user ldap1.
[root@node1 ~]# smbpasswd -a ldap2
New SMB password:
Retype new SMB password:
Added user ldap2.
[root@node1 ~]# systemctl start smb
==========================================
ldap的维护：
增加用户：
[root@ldapS ~]# ./useradd.sh
增加10个用户
保存新的用户名，组，密码，重新命名
[root@ldapS ~]# tail /etc/passwd > /tmp/newpasswd
[root@ldapS ~]# tail /etc/group > /tmp/newgroup
[root@ldapS ~]# tail /etc/shadow >> /tmp/shadow
##shadow是 >>
导入新的数据
[root@ldapS /usr/share/migrationtools]# ./migrate_passwd.pl /tmp/newpasswd > /tmp/user1.ldif
[root@ldapS /usr/share/migrationtools]# ./migrate_group.pl /tmp/newgroup > /tmp/group1.ldif
[root@ldapS ~]# ldapadd -xWD "cn=Manager,dc=sgy,dc=com" -f /tmp/user1.ldif
[root@ldapS ~]# ldapadd -xWD "cn=Manager,dc=sgy,dc=com" -f /tmp/group1.ldif
[root@node1 ~]# su - ldap11
[ldap11@node1 ~]$
删除用户：
[root@ldapS ~]# ldapdelete -xWD "cn=Manager,dc=sgy,dc=com" "uid=ldap1,ou=People,dc=sgy,dc=com"
Enter LDAP Password:
[root@node1 ~]# su - ldap1
su: user ldap1 does not exist
问题参考:
使用ldap用户登录ldap-client时,xshell提示访问密码被拒绝:
检查是否成功设置ldap密码,查看ldap用户时,是否可以查看到加密密码.
如果重新设置密码后,依旧无法登录,提示密码访问被拒绝
检查密码是否成功设置并成功导入数据库,如果没有这些问题,那么,重启client系统
如果 /ldaphome 下的家目录已经生成,但是命令行显示不对
检查对应用户的家目录权限是否是对应用户
ll /ldaphome/ldap1 # 正常情况 所属者和所属组应为该用户
检查autofs是否成功挂载,重新启动autofs
