一、介绍
LDAP 全称：Lightweight Directory Access Protocol，即“轻量级目录访问协议”。
LDAP目录以树状的层次结构来存储数据。如果你对自顶向下的DNS树或UNIX文件的目录树比较熟悉，也就很容易掌握LDAP目录树这个概念了。就象DNS的主机名那样，LDAP目录记录的标识名（Distinguished Name，简称DN）是用来读取单个记录，以及回溯到树的顶部。后面会做详细地介绍。
二、名词介绍
https://baike.baidu.com/item/LDAP#1_1
三、安装
环境：centos7
yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel systemctl start slapd systemctl enable slapd #验证 ss -lnt|grep 389
四、配置LDAP
#1、设置LDAP管理员密码 [root@admin~]#slappasswd -h {SSHA} -s ldppassword {SSHA}Vf9I/lXZ59i4S5A8ghqVHvLYvWVVNXNi #2、配置OpenLDAP服务器 ##OpenLDAP服务器配置文件位于 /etc/openldap/slapd.d/ ##olcSuffix - 数据库后缀，它是LDAP服务器提供信息的域名。简单来说，它应该更改为您的域名。 ##olcRootDN - 具有对LDAP执行所有管理活动的无限制访问权限的用户的根专有名称（DN）条目，如root用户。 ##olcRootPW - 上述RootDN的LDAP管理员密码。 [root@admin~]#cd /etc/openldap/slapd.d/cn\=config/ #3、创建a.ldif文件 [root@admincn=config]#vim a.ldif [root@admincn=config]#cat a.ldif dn: olcDatabase={2}hdb,cn=config changetype: modify replace: olcSuffix olcSuffix: dc=zhang,dc=com dn: olcDatabase={2}hdb,cn=config changetype: modify replace: olcRootDN olcRootDN: cn=ldapadm,dc=zhang,dc=com dn: olcDatabase={2}hdb,cn=config changetype: modify replace: olcRootPW olcRootPW: {SSHA}ld7ratqCxaD2jBq92bBrps9UaByoDtF2 #4、将配置发送到LDAP服务器 [root@admincn=config]#ldapmodify -Y EXTERNAL -H ldapi:/// -f a.ldif SASL/EXTERNAL authentication started SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth SASL SSF: 0 modifying entry "olcDatabase={2}hdb,cn=config" modifying entry "olcDatabase={2}hdb,cn=config" modifying entry "olcDatabase={2}hdb,cn=config" #5、编辑monitor.ldif文件 [root@admincn=config]#vim monitor.ldif [root@admincn=config]#cat monitor.ldif angetype: modify replace: olcAccess olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external, cn=auth" read by dn.base="cn=ldapadm,dc=zhang,dc=com" read by * none #6、将monitor.ldif配置发送到LDAP服务器。 [root@admincn=config]#ldapmodify -Y EXTERNAL -H ldapi:/// -f monitor.ldif SASL/EXTERNAL authentication started SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth SASL SSF: 0 #7、设置LDAP数据库 #将示例数据库配置文件复制到/var/lib/ldap并更新文件权限 [root@admincn=config]#\cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG #8、添加cosine和nis LDAP模式。 [root@admincn=config]#ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif SASL/EXTERNAL authentication started SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth SASL SSF: 0 adding new entry "cn=cosine,cn=schema,cn=config" [root@admincn=config]#ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif SASL/EXTERNAL authentication started SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth SASL SSF: 0 adding new entry "cn=nis,cn=schema,cn=config" [root@admincn=config]#ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif SASL/EXTERNAL authentication started SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth SASL SSF: 0 adding new entry "cn=inetorgperson,cn=schema,cn=config" #9、base.ldif为您的域生成文件 [root@admincn=config]#vim base.ldif [root@admincn=config]#cat base.ldif dn: dc=zhang,dc=com dc: zhang objectClass: top objectClass: domain dn: cn=ldapadm ,dc=zhang,dc=com objectClass: organizationalRole cn: ldapadm description: LDAP Manager dn: ou=People,dc=zhang,dc=com objectClass: organizationalUnit ou: People dn: ou=Group,dc=zhang,dc=com objectClass: organizationalUnit ou: Group #10、构建目录结构（密码是adapadm的密码（ldppassword）） [root@admincn=config]ldapadd -x -W -D "cn=ldapadm,dc=zhang,dc=com" -f base.ldif Enter LDAP Password: adding new entry "dc=zhang,dc=com" adding new entry "cn=ldapadm ,dc=zhang,dc=com" adding new entry "ou=People,dc=zhang,dc=com" adding new entry "ou=Group,dc=zhang,dc=com"
五、创建LDAP用户（创建test用户）
#1、创建test.ldif文件 [root@admincn=config]#vim test.ldif [root@admincn=config]#cat test.ldif dn: uid=test,ou=People,dc=zhang,dc=com objectClass: top objectClass: account objectClass: posixAccount objectClass: shadowAccount cn: test uid: test uidNumber: 9999 gidNumber: 100 homeDirectory: /home/test loginShell: /bin/bash gecos: Raj [Admin (at) zhang] userPassword: {crypt}x shadowLastChange: 17058 shadowMin: 0 shadowMax: 99999 shadowWarning: 7 #2、使用带有上述文件的ldapadd命令在OpenLDAP目录中创建名为“ test” 的新用户。 [root@admincn=config]#ldapadd -x -W -D "cn=ldapadm,dc=zhang,dc=com" -f test.ldif Enter LDAP Password: （密码是adapadm的密码（ldppassword）） adding new entry "uid=test,ou=People,dc=zhang,dc=com" #3、为用户分配密码。 -s 指定用户名的密码 -x 用户名，密码已更改 -D 要对LDAP服务器进行身份验证的可分辨名称 [root@admincn=config]ldappasswd -s 123456 -W -D "cn=ldapadm,dc=zhang,dc=com" -x "uid=test,ou=People,dc=zhang,dc=com" Enter LDAP Password: 密码是adapadm的密码（ldppassword）） #4、验证LDAP条目 [root@admincn=config]#ldapsearch -x cn=test -b dc=zhang,dc=com #5、从LDAP中删除条目 ldapdelete -W -D "cn=ldapadm,dc=zhang,dc=com" "uid=test,ou=People,dc=zhang,dc=com"
六、启用LDAP日志记录
#1、配置Rsyslog以将LDAP事件记录到日志文件/var/log/ldap.log [root@admincn=config]#vim /etc/rsyslog.conf [root@admincn=config]#egrep ldap /etc/rsyslog.conf local4.* /var/log/ldap.log #2、重启rsyslog systemctl restart rsyslog
七、安装phpLDAPadmin
#1、下载phpldapadmin和httpd yum install httpd php -y yum -y install phpldapadmin #2、修改phpldapadmin配置文件 [root@adminphpldapadmin]#tail -13 /usr/share/phpldapadmin/config/config.php */ $servers = new Datastore(); $servers->newServer('ldap_pla'); $servers->setValue('server','name','My LDAP Server'); $servers->setValue('server','host','0.0.0.0'); $servers->setValue('server','port',389); $servers->setValue('server','base',array('dc=zhang,dc=com')); #修改为自己的域名 $servers->setValue('login','auth_type','session'); $servers->setValue('login','bind_id','cn=Manager,dc=zhang,dc=com'); #修改为自己的域名 $servers->setValue('login','bind_pass','ldppassword'); #填入设定的根节点管理员密码 $servers->setValue('server','tls',false); ?> #3、修改phpldapadmin的httpd的配置 [root@adminphpldapadmin]#cat /etc/httpd/conf.d/phpldapadmin.conf # # Web-based tool for managing LDAP servers # Alias /phpldapadmin /usr/share/phpldapadmin/htdocs Alias /ldapadmin /usr/share/phpldapadmin/htdocs <Directory /usr/share/phpldapadmin/htdocs> <IfModule mod_authz_core.c> # Apache 2.4 Require all granted </IfModule> <IfModule !mod_authz_core.c> # Apache 2.2 Order Deny,Allow Deny from all Allow from 127.0.0.1 Allow from ::1 </IfModule> </Directory>
4、浏览器访问
5、登录（密码：ldppassword）
