openldap-server的數(shù)據(jù)必須用原配的Berkeley DB，不能使用mysql作為后端數(shù)據(jù)庫，openldap的操作語法比較復(fù)雜，推薦使用phpldapadmin管理配置，同時(shí)也可以用windows下ldapadmin程序進(jìn)行配置。

1.初始化準(zhǔn)備

系統(tǒng)CentOS7 64位
配置yum源

wget http://mirrors.aliyun.com/repo/Centos-7.repo      cp Centos-7.repo /etc/yum.repos.d/      cd /etc/yum.repos.d/      mv CentOS-Base.repo CentOS-Base.repo.bak      mv Centos-7.repo CentOS-Base.repo      yum clean all      yum makecache

關(guān)閉selinux和防火墻

sed -i ‘/SELINUX/s/enforcing/disabled/’ /etc/selinux/config && setenforce 0&& systemctl disable firewalld.service && systemctl stop firewalld.service && shutdown -r now

環(huán)境初始化完畢后，我們就可以安裝OpenLDAP。

2.安裝OpenLDAP

使用如下命令安裝OpenLDAP：

yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel migrationtools

查看OpenLDAP版本，使用如下命令：

slapd -VV

OpenLDAP安裝完畢后，接下來我們開始配置OpenLDAP。

3.配置OpenLDAP

OpenLDAP配置比較復(fù)雜牽涉到的內(nèi)容比較多，接下來我們一步一步對其相關(guān)的配置進(jìn)行介紹。
注意:從OpenLDAP2.4.23版本開始所有配置數(shù)據(jù)都保存在/etc/openldap/slapd.d/中，建議不再使用slapd.conf作為配置文件。

3.1.配置OpenLDAP管理員密碼

設(shè)置OpenLDAP的管理員密碼:

slappasswd -s ******

上述加密后的字段保存下，等會我們在配置文件中會使用到。

3.2.修改olcDatabase={2}hdb.ldif文件

Vim /etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif  修改olcDatabase={2}hdb.ldif文件,對于該文件增加一行  olcRootPW: {SSHA}o1bqtofUr95dkEDdXbAMAVPFSnNDU3+2，然后修改域信息：  olcSuffix: dc=hbgd,dc=com  olcRootDN: cn=Manager,dc=hbgd,dc=com

注意：其中cn=Manager中的Manager表示OpenLDAP管理員的用戶名，而olcRootPW表示OpenLDAP管理員的密碼。

3.3.修改olcDatabase={1}monitor.ldif文件

修改olcDatabase={1}monitor.ldif文件，如下：  vim /etc/openldap/slapd.d/cn=config/olcDatabase={1}monitor.ldif  olcAccess: {0}to * by dn.base=”gidNumber=0+uidNumber=0,cn=peercred,cn=extern  al,cn=auth” read by dn.base=”cn=Manager,dc=hbgd,dc=com” read by * none

注意：該修改中的dn.base是修改OpenLDAP的管理員的相關(guān)信息的。
驗(yàn)證OpenLDAP的基本配置，使用如下命令：

slaptest -u

通過上圖，我們可以很明顯的看出OpenLDAP的基本配置是沒有問題。
啟動(dòng)OpenLDAP服務(wù)，使用如下命令：

systemctl enable slapd  systemctl start slapd  systemctl status slapd

OpenLDAP默認(rèn)監(jiān)聽的端口是389，下面我們來看下是不是389端口，如下：

netstat -antup | grep 389

通過上圖，我們可以很明顯的看出OpenLDAP確實(shí)是監(jiān)聽的是389端口。

3.4.配置OpenLDAP數(shù)據(jù)庫

OpenLDAP默認(rèn)使用的數(shù)據(jù)庫是BerkeleyDB，現(xiàn)在來開始配置OpenLDAP數(shù)據(jù)庫，使用如下命令：

cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG  chown ldap:ldap -R /var/lib/ldap  chmod 700 -R /var/lib/ldap  ll /var/lib/ldap/

注意：/var/lib/ldap/就是BerkeleyDB數(shù)據(jù)庫默認(rèn)存儲的路徑。

3.5.導(dǎo)入基本Schema

ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif  ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif  ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif

3.6.修改migrate_common.ph文件

migrate_common.ph文件主要是用于生成ldif文件使用，修改migrate_common.ph文件，如下：

vim /usr/share/migrationtools/migrate_common.ph +71  $DEFAULT_MAIL_DOMAIN = “hbgd.com”;  $DEFAULT_BASE = “dc=hbgd,dc=com”;  $EXTENDED_SCHEMA = 1;

到此OpenLDAP的配置就已經(jīng)全部完畢，下面我們來開始添加用戶到OpenLDAP中。

4.添加用戶及用戶組

默認(rèn)情況下OpenLDAP是沒有普通用戶的，但是有一個(gè)管理員用戶。管理用戶就是前面我們剛剛配置的root。
現(xiàn)在我們把系統(tǒng)中的用戶，添加到OpenLDAP中。為了進(jìn)行區(qū)分，我們現(xiàn)在新加兩個(gè)用戶ldapuser1和ldapuser2，和兩個(gè)用戶組ldapgroup1和ldapgroup2，如下：
添加用戶組，使用如下命令：

groupadd ldapgroup1  groupadd ldapgroup2

添加用戶并設(shè)置密碼，使用如下命令

useradd -g ldapgroup1 ldapuser1  useradd -g ldapgroup2 ldapuser2  echo ‘123456’ | passwd –stdin ldapuser1  echo ‘123456’ | passwd –stdin ldapuser2

把剛剛添加的用戶和用戶組提取出來，這包括該用戶的密碼和其他相關(guān)屬性，如下

grep “:10[0-9][0-9]” /etc/passwd > /root/users  grep “:10[0-9][0-9]” /etc/group > /root/groups

根據(jù)上述生成的用戶和用戶組屬性，使用migrate_passwd.pl文件生成要添加用戶和用戶組的ldif，如下：

/usr/share/migrationtools/migrate_passwd.pl /root/users > /root/users.ldif  /usr/share/migrationtools/migrate_group.pl /root/groups > /root/groups.ldif  cat users.ldif  cat groups.ldif

注意：后續(xù)如果要新加用戶到OpenLDAP中的話，我們可以直接修改users.ldif文件即可。

5.導(dǎo)入用戶及用戶組到OpenLDAP數(shù)據(jù)庫

配置openldap基礎(chǔ)的數(shù)據(jù)庫，如下：

cat > /root/base.ldif << EOF  dn: dc=hbgd,dc=com  o: hbgd com  dc: hbgd  objectClass: top  objectClass: dcObject  objectclass: organization  dn: cn=Manager,dc=hbgd,dc=com  cn: Manager  objectClass: organizationalRole  description: Directory Manager  dn: ou=People,dc=hbgd,dc=com  ou: People  objectClass: top  objectClass: organizationalUnit  dn: ou=Group,dc=hbgd,dc=com  ou: Group  objectClass: top  objectClass: organizationalUnit  EOF

導(dǎo)入基礎(chǔ)數(shù)據(jù)庫，使用如下命令：

ldapadd -x -w “xxxxxx” -D “cn=Manager,dc=hbgd,dc=com” -f /root/base.ldif

導(dǎo)入用戶到數(shù)據(jù)庫，使用如下命令：

ldapadd -x -w “xxxxx” -D “cn=Manager,dc=hbgd,dc=com” -f /root/users.ldif

導(dǎo)入用戶組到數(shù)據(jù)庫，使用如下命令

ldapadd -x -w “xxxxx” -D “cn=Manager,dc=hbgd,dc=com” -f /root/groups.ldif

6.把OpenLDAP用戶加入到用戶組

盡管我們已經(jīng)把用戶和用戶組信息，導(dǎo)入到OpenLDAP數(shù)據(jù)庫中了。但實(shí)際上目前OpenLDAP用戶和用戶組之間是沒有任何關(guān)聯(lián)的。
如果我們要把OpenLDAP數(shù)據(jù)庫中的用戶和用戶組關(guān)聯(lián)起來的話，我們還需要做另外單獨(dú)的配置。
現(xiàn)在我們要把ldapuser1用戶加入到ldapgroup1用戶組，需要新建添加用戶到用戶組的ldif文件，如下：

cat > add_user_to_groups.ldif << “EOF”  dn: cn=ldapgroup1,ou=Group,dc=hbgd,dc=com  changetype: modify  add: memberuid  memberuid: ldapuser1  EOF

執(zhí)行如下命令：

ldapadd -x -w “xxxxxx” -D “cn=Manager,dc=hbgd,dc=com” -f /root/add_user_to_groups.ldif

查詢添加的OpenLDAP用戶組信息，如下：

ldapsearch -LLL -x -D ‘cn=Manager,dc=hbgd,dc=com’ -w “xxxxx” -b ‘dc=hbgd,dc=com’ ‘cn=ldapgroup1’

通過上圖，我們可以很明顯的看出ldapuser1用戶已經(jīng)加入到ldapgroup1用戶組了。

7.開啟OpenLDAP日志訪問功能

默認(rèn)情況下OpenLDAP是沒有啟用日志記錄功能的，但是在實(shí)際使用過程中，我們?yōu)榱硕ㄎ粏栴}需要使用到OpenLDAP日志。
新建日志配置ldif文件，如下：

cat > /root/loglevel.ldif << “EOF”  dn: cn=config  changetype: modify  replace: olcLogLevel  olcLogLevel: stats  EOF

導(dǎo)入到OpenLDAP中，并重啟OpenLDAP服務(wù)，如下：

ldapmodify -Y EXTERNAL -H ldapi:/// -f /root/loglevel.ldif  systemctl restart slapd

修改rsyslog配置文件，并重啟rsyslog服務(wù)，如下：

cat >> /etc/rsyslog.conf << “EOF”  local4.* /var/log/slapd.log  EOF  systemctl restart rsyslog

查看OpenLDAP日志，如下：

tail -f /var/log/slapd.log

8..安裝和配置LDAP管理工具PHPldapadmin

首先安裝Apache和PHP：

[root@localhost ~]# yum -y install httpd php php-ldap php-gd php-mbstring php-pear php-bcmath php-xml

然后安裝phpldapadmin：

[root@localhost ~]# yum -y install epel-release  [root@localhost ~]# yum --enablerepo=epel -y install phpldapadmin

修改配置文件

[root@localhost ~]# vim /etc/phpldapadmin/config.php  #397行取消注釋，398行添加注釋  $servers->setValue('login','attr','dn');  // $servers->setValue('login','attr','uid');    [root@localhost ~]# vim /etc/httpd/conf.d/phpldapadmin.conf    // 修改配置  <IfModule mod_authz_core.c>  # Apache 2.4  Require local  #添加一行內(nèi)容，指定可訪問的ip段（雖然我也不知道為什么，但不填不能運(yùn)行這個(gè)管理工具，我就直接寫的本地ip）  Require ip 172.31.101.110  </IfModule>

設(shè)置開機(jī)自啟并啟動(dòng)Apache：

[root@localhost ~]# systemctl enable httpd  [root@localhost ~]# systemctl start httpd

 瀏覽器訪問phpldapadmin：
http://(localhost或服務(wù)器地址)/phpldapadmin/
用戶名：cn=Manager,dc=hbgd,dc=com
密碼：設(shè)定的管理員密碼