搜索

[24356] 2015-10-06_RHCSA系列（十四）：在RHEL7中设置基于LDAP的认证

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2015-10-06_RHCSA系列（十四）：在RHEL7中设置基于LDAP的认证 R H C S A   系 列 （ 十 四 ） ：   在   R H E L   7   中 设 置 基 于   L D A P   的 认 证 原 创   F S S l c   L i n u x 中 国   2 0 1 5 - 1 0 - 0 6 在 这 篇 文 章 中 ， 我 们 将 首 先 罗 列 一 些   L D A P   的 基 础 知 识 （ 它 是 什 么 ， 它 被 用 于 何 处 以 及 为 什 么 会 被 这 样 使 用 ） ， 然 后 向 你 展 示 如 何 使 用   R H E L   7   系 统 来 设 置 一 个   L D A P   服 务 器 以 及 配 置 一 个 客 户 端 来 使 用 它 达 到 认 证 的 目 的 。 正 如 你 将 看 到 的 那 样 ， 关 于 认 证 ， 还 存 在 其 他 可 能 的 应 用 场 景 ， 但 在 这 篇 指 南 中 ， 我 们 将 只 关 注 基 于   L D A P   的 认 证 。 另 外 ， 请 记 住 ， 由 于 这 个 话 题 的 广 泛 性 ， 在 这 里 我 们 将 只 涵 盖 它 的 基 础 知 识 ， 但 你 可 以 参 考 位 于 总 结 部 分 中 列 出 的 文 档 ， 以 此 来 了 解 更 加 深 入 的 细 节 。 基 于 相 同 的 原 因 ， 你 将 注 意 到 ： 为 了 简 洁 起 见 ， 我 已 经 决 定 省 略 了 几 个 位 于   m a n   页 中   L D A P   工 具 的 参 考 ， 但 相 应 命 令 的 解 释 是 近 在 咫 尺 的 （ 例 如 ， 输 入   m a n   l d a p a d d ） 。 那 还 是 让 我 们 开 始 吧 。 我 们 的 测 试 环 境 我 们 的 测 试 环 境 我 们 的 测 试 环 境 包 含 两 台   R H E L   7 机 器 ： 如 若 你 想 ， 你 可 以 使 用 在   R H C S A   系 列 （ 十 二 ） :   使 用   K i c k s t a r t   完 成   R H E L   7   的 自 动 化 安 装   中 使 用   K i c k s t a r t   安 装 的 机 子 来 作 为 客 户 端 。 L D A P   是 什 么 ？ L D A P   代 表 L i g h t w e i g h t   D i r e c t o r y   A c c e s s   P r o t o c o l 轻 量 级 目 录 访 问 协 议 ， 并 包 含 在 一 系 列 协 议 之 中 ， 这 些 协 议 允 许 一 个 客 户 端 通 过 网 络 去 获 取 集 中 存 储 的 信 息 （ 例 如 所 登 录 的   s h e l l   的 路 径 ， 家 目 录 的 绝 对 路 径 ， 或 者 其 他 典 型 的 系 统 用 户 信 息 ） ， 而 这 些 信 息 可 以 从 不 同 的 地 方 访 问 到 或 被 很 多 终 端 用 户 获 取 到 （ 另 一 个 例 子 是 含 有 某 个 公 司 所 有 雇 员 的 家 庭 地 址 和 电 话 号 码 的 目 录 ） 。 对 于 那 些 被 赋 予 了 权 限 可 以 使 用 这 些 信 息 的 人 来 说 ， 将 这 些 信 息 进 行 集 中 管 理 意 味 着 可 以 更 容 易 地 维 护 和 获 取 。 下 面 的 图 表 提 供 了 一 个 简 化 了 的 关 于   L D A P   的 示 意 图 ， 在 下 面 将 会 进 行 更 多 的 描 述 ： L D A P   示 意 图 下 面 是 对 上 面 示 意 图 的 一 个 详 细 解 释 。 在 一 个   L D A P   目 录 中 ， 一 个 e n t r y 条 目 代 表 一 个 独 立 单 元 或 信 息 ， 被 所 谓 的 D N ， D i s t i n g u i s h e d   N a m e 区 别 名 唯 一 识 别 。 一 个 1 .   S e r v e r :   1 9 2 . 1 6 8 . 0 . 1 8 .   F Q D N :   r h e l 7 . m y d o m a i n . c o m 2 .   C l i e n t :   1 9 2 . 1 6 8 . 0 . 2 0 .   F Q D N :   l d a p c l i e n t . m y d o m a i n . c o m
a t t r i b u t e 属 性 是 一 些 与 某 个 条 目 相 关 的 信 息 （ 例 如 地 址 ， 有 效 的 联 系 电 话 号 码 和 邮 箱 地 址 ） 。 每 个 属 性 被 分 配 有 一 个 或 多 个 v a l u e 值 ， 这 些 值 被 包 含 在 一 个 以 空 格 为 分 隔 符 的 列 表 中 。 每 个 条 目 中 那 个 唯 一 的 值 被 称 为 一 个 R D N ， R e l a t i v e   D i s t i n g u i s h e d   N a m e 相 对 区 别 名 。 接 下 来 ， 就 让 我 们 进 入 到 有 关 服 务 器 和 客 户 端 安 装 的 内 容 。 安 装 和 配 置 一 个   L D A P   服 务 器 和 客 户 端 在   R H E L   7   中 ，   L D A P   由   O p e n L D A P   实 现 。 为 了 安 装 服 务 器 和 客 户 端 ， 分 别 使 用 下 面 的 命 令 ： 一 旦 安 装 完 成 ， 我 们 还 需 要 关 注 一 些 事 情 。 除 非 显 示 地 提 示 ， 下 面 的 步 骤 都 只 在 服 务 器 上 执 行 ： 1 .   在 服 务 器 和 客 户 端 上 ， 为 了 确 保 在 服 务 器 和 客 户 端 上 ， 为 了 确 保   S E L i n u x   不 会 妨 碍 挡 道 ， 长 久 地 开 启 下 列 的 布 尔 值 ： 不 会 妨 碍 挡 道 ， 长 久 地 开 启 下 列 的 布 尔 值 ： 其 中 为 基 于   L D A P   的 认 证 所 需 要 ， 而 则 可 能 会 被 某 些 应 用 所 需 要 。 2 .   开 启 并 启 动 服 务 ： 开 启 并 启 动 服 务 ： 记 住 你 也 可 以 使 用   s y s t e m c t l   来 禁 用 ， 重 启 或 停 止 服 务 ： 3 .   由 于 由 于   s l a p d   服 务 是 由 服 务 是 由   l d a p   用 户 来 运 行 的 （ 你 可 以 使 用 用 户 来 运 行 的 （ 你 可 以 使 用 来 验 证 ） ， 为 了 使 得 服 务 器 能 够 更 改 由 管 理 工 具 创 建 的 条 目 ， 该 用 户 应 该 有 目 录 来 验 证 ） ， 为 了 使 得 服 务 器 能 够 更 改 由 管 理 工 具 创 建 的 条 目 ， 该 用 户 应 该 有 目 录 的 所 有 权 ， 而 这 些 管 理 工 具 仅 可 以 由 的 所 有 权 ， 而 这 些 管 理 工 具 仅 可 以 由   r o o t   用 户 来 运 行 （ 紧 接 着 有 更 多 这 方 面 的 内 容 ） 。 用 户 来 运 行 （ 紧 接 着 有 更 多 这 方 面 的 内 容 ） 。 在 递 归 地 更 改 这 个 目 录 的 所 有 权 之 前 ， 将   s l a p d   的 示 例 数 据 库 配 置 文 件 复 制 进 这 个 目 录 ： 1 .   #   y u m   u p d a t e   & &   y u m   i n s t a l l   o p e n l d a p   o p e n l d a p - c l i e n t s   o p e n l d a p - s e r v e r s 2 .   #   y u m   u p d a t e   & &   y u m   i n s t a l l   o p e n l d a p   o p e n l d a p - c l i e n t s   n s s - p a m - l d a p d 1 .   #   s e t s e b o o l   - P   a l l o w _ y p b i n d = 0   a u t h l o g i n _ n s s w i t c h _ u s e _ l d a p = 0 a l l o w _ y p b i n d a u t h l o g i n _ n s s w i t c h _ u s e _ l d a p 1 .   #   s y s t e m c t l   e n a b l e   s l a p d . s e r v i c e 2 .   #   s y s t e m c t l   s t a r t   s l a p d . s e r v i c e 1 .   #   s y s t e m c t l   d i s a b l e   s l a p d . s e r v i c e 2 .   #   s y s t e m c t l   r e s t a r t   s l a p d . s e r v i c e 3 .   #   s y s t e m c t l   s t o p   s l a p d . s e r v i c e p s   - e   - o   p i d , u n a m e , c o m m   |   g r e p   s l a p d / v a r / l i b / l d a p 1 .   #   c p   / u s r / s h a r e / o p e n l d a p - s e r v e r s / D B _ C O N F I G . e x a m p l e   / v a r / l i b / l d a p / D B _ C O N F I G 2 .   #   c h o w n   - R   l d a p : l d a p   / v a r / l i b / l d a p
4 .   设 置 一 个 设 置 一 个   O p e n L D A P   管 理 用 户 并 设 置 密 码 ： 管 理 用 户 并 设 置 密 码 ： 正 如 下 一 幅 图 所 展 示 的 那 样 ： 设 置   L D A P   管 理 密 码 然 后 以 下 面 的 内 容 创 建 一 个   L D I F   文 件 ( ) ： 其 中 ： P A S S W O R D   是 先 前 得 到 的 经 过 哈 希 处 理 的 字 符 串 。 c n = c o n f i g   指 的 是 全 局 配 置 选 项 。 o l c D a t a b a s e   指 的 是 一 个 特 定 的 数 据 库 实 例 的 名 称 ， 并 且 通 常 可 以 在 目 录 中 发 现 。 根 据 上 面 提 供 的 理 论 背 景 ， 文 件 将 添 加 一 个 条 目 到   L D A P   目 录 中 。 在 那 个 条 目 中 ， 每 一 行 代 表 一 个 属 性 键 值 对 （ 其 中   d n ， c h a n g e t y p e ， a d d   和   o l c R o o t P W   为 属 性 ， 每 个 冒 号 右 边 的 字 符 串 为 相 应 的 键 值 ） 。 随 着 我 们 的 进 一 步 深 入 ， 请 记 住 上 面 的 这 些 ， 并 注 意 到 在 这 篇 文 章 的 余 下 部 分 ， 我 们 使 用 相 同 的 C o m m o n   N a m e s 通 用 名 ， 而 这 些 余 下 的 步 骤 中 的 每 一 步 都 将 与 其 上 一 步 相 关 。 5 .   现 在 ， 通 过 特 别 指 定 相 对 于 现 在 ， 通 过 特 别 指 定 相 对 于   l d a p   服 务 的 服 务 的   U R I   ， 添 加 相 应 的 ， 添 加 相 应 的   L D A P   条 目 ， 其 中 只 有 条 目 ， 其 中 只 有   p r o t o c o l / h o s t / p o r t   这 几 个 域 被 允 许 使 用 。 这 几 个 域 被 允 许 使 用 。 上 面 命 令 的 输 出 应 该 与 下 面 的 图 像 相 似 ： L D A P   配 置 接 着 从 目 录 导 入 一 个 基 本 的   L D A P   定 义 ： 1 .   #   s l a p p a s s w d l d a p r o o t p a s s w d . l d i f 1 .   d n :   o l c D a t a b a s e = { 0 } c o n f i g , c n = c o n f i g 2 .   c h a n g e t y p e :   m o d i f y 3 .   a d d :   o l c R o o t P W 4 .   o l c R o o t P W :   { S S H A } P A S S W O R D / e t c / o p e n l d a p / s l a p d . d / c n = c o n f i g l d a p r o o t p a s s w d . l d i f ( c n = ) 1 .   #   l d a p a d d   - H   l d a p i : / / /   - f   l d a p r o o t p a s s w d . l d i f / e t c / o p e n l d a p / s c h e m a
L D A P   定 义 6 .   让 让   L D A P   在 它 的 数 据 库 中 使 用 你 的 域 名 。 在 它 的 数 据 库 中 使 用 你 的 域 名 。 以 下 面 的 内 容 创 建 另 一 个   L D I F   文 件 ， 我 们 称 之 为 ，   然 后 酌 情 替 换 这 个 文 件 中 的 域 名 （ 在 D o m a i n   C o m p o n e n t 域 名 部 分   d c = ）   和 密 码 ： 6 .   1 1 .   1 6 .   2 1 .   1 .   #   f o r   d e f   i n   c o s i n e . l d i f   n i s . l d i f   i n e t o r g p e r s o n . l d i f ;   d o   l d a p a d d   - H   l d a p i : / / /   - f   / e t c / o p e n l d a p / s c h e m a / $ d e f ;   d o n e l d a p d o m a i n . l d i f 1 .   d n :   o l c D a t a b a s e = { 1 } m o n i t o r , c n = c o n f i g 2 .   c h a n g e t y p e :   m o d i f y 3 .   r e p l a c e :   o l c A c c e s s 4 .   o l c A c c e s s :   { 0 } t o   *   b y   d n . b a s e = " g i d N u m b e r = 0 + u i d N u m b e r = 0 , c n = p e e r c r e d , c n = e x t e r n a l , c n = a u t h " 5 .       r e a d   b y   d n . b a s e = " c n = M a n a g e r , d c = m y d o m a i n , d c = c o m "   r e a d   b y   *   n o n e 7 .   d n :   o l c D a t a b a s e = { 2 } h d b , c n = c o n f i g 8 .   c h a n g e t y p e :   m o d i f y 9 .   r e p l a c e :   o l c S u f f i x 1 0 .   o l c S u f f i x :   d c = m y d o m a i n , d c = c o m 1 2 .   d n :   o l c D a t a b a s e = { 2 } h d b , c n = c o n f i g 1 3 .   c h a n g e t y p e :   m o d i f y 1 4 .   r e p l a c e :   o l c R o o t D N 1 5 .   o l c R o o t D N :   c n = M a n a g e r , d c = m y d o m a i n , d c = c o m 1 7 .   d n :   o l c D a t a b a s e = { 2 } h d b , c n = c o n f i g 1 8 .   c h a n g e t y p e :   m o d i f y 1 9 .   a d d :   o l c R o o t P W 2 0 .   o l c R o o t P W :   { S S H A } P A S S W O R D 2 2 .   d n :   o l c D a t a b a s e = { 2 } h d b , c n = c o n f i g 2 3 .   c h a n g e t y p e :   m o d i f y 2 4 .   a d d :   o l c A c c e s s 2 5 .   o l c A c c e s s :   { 0 } t o   a t t r s = u s e r P a s s w o r d , s h a d o w L a s t C h a n g e   b y 2 6 .       d n = " c n = M a n a g e r , d c = m y d o m a i n , d c = c o m "   w r i t e   b y   a n o n y m o u s   a u t h   b y   s e l f   w r i t e   b y   *   n o n e 2 7 .   o l c A c c e s s :   { 1 } t o   d n . b a s e = " "   b y   *   r e a d 2 8 .   o l c A c c e s s :   { 2 } t o   *   b y   d n = " c n = M a n a g e r , d c = m y d o m a i n , d c = c o m "   w r i t e   b y   *   r e a d
接 着 使 用 下 面 的 命 令 来 加 载 ： L D A P   域 名 配 置 7 .   现 在 ， 该 是 添 加 一 些 条 目 到 我 们 的 现 在 ， 该 是 添 加 一 些 条 目 到 我 们 的   L D A P   目 录 的 时 候 了 。 在 下 面 的 文 件 中 ， 属 性 和 键 值 由 一 个 冒 号 目 录 的 时 候 了 。 在 下 面 的 文 件 中 ， 属 性 和 键 值 由 一 个 冒 号 所 分 隔 ， 这 个 文 件 我 们 将 命 名 为 所 分 隔 ， 这 个 文 件 我 们 将 命 名 为 : 7 .   1 2 .   1 6 .   添 加 条 目 到   L D A P   目 录 中 ： 1 .   #   l d a p m o d i f y   - H   l d a p i : / / /   - f   l d a p d o m a i n . l d i f ( : ) b a s e l d a p d o m a i n . l d i f 1 .   d n :   d c = m y d o m a i n , d c = c o m 2 .   o b j e c t C l a s s :   t o p 3 .   o b j e c t C l a s s :   d c O b j e c t 4 .   o b j e c t c l a s s :   o r g a n i z a t i o n 5 .   o :   m y d o m a i n   c o m 6 .   d c :   m y d o m a i n 8 .   d n :   c n = M a n a g e r , d c = m y d o m a i n , d c = c o m 9 .   o b j e c t C l a s s :   o r g a n i z a t i o n a l R o l e 1 0 .   c n :   M a n a g e r 1 1 .   d e s c r i p t i o n :   D i r e c t o r y   M a n a g e r 1 3 .   d n :   o u = P e o p l e , d c = m y d o m a i n , d c = c o m 1 4 .   o b j e c t C l a s s :   o r g a n i z a t i o n a l U n i t 1 5 .   o u :   P e o p l e 1 7 .   d n :   o u = G r o u p , d c = m y d o m a i n , d c = c o m 1 8 .   o b j e c t C l a s s :   o r g a n i z a t i o n a l U n i t 1 9 .   o u :   G r o u p 1 .   #   l d a p a d d   - x   - D   c n = M a n a g e r , d c = m y d o m a i n , d c = c o m   - W   - f   b a s e l d a p d o m a i n . l d i f
添 加   L D A P   域 名 ， 属 性 和 键 值 8 .   创 建 一 个 名 为 创 建 一 个 名 为   l d a p u s e r   的 的   L D A P   用 户 用 户 ( ) ， 然 后 在 ， 然 后 在 中 为 一 个 中 为 一 个   L D A P   组 创 建 定 义 。 组 创 建 定 义 。 添 加 下 面 的 内 容 ： 其 中   g i d N u m b e r   是   l d a p u s e r   在 中 的   G I D ， 然 后 加 载 这 个 文 件 ： 9 .   为 用 户 为 用 户   l d a p u s e r   添 加 一 个 带 有 定 义 的 添 加 一 个 带 有 定 义 的   L D I F   文 件 （ 文 件 （ ） ： ） ： a d d u s e r   l d a p u s e r l d a p g r o u p . l d i f 1 .   #   a d d u s e r   l d a p u s e r 2 .   #   v i   l d a p g r o u p . l d i f 1 .   d n :   c n = M a n a g e r , o u = G r o u p , d c = m y d o m a i n , d c = c o m 2 .   o b j e c t C l a s s :   t o p 3 .   o b j e c t C l a s s :   p o s i x G r o u p 4 .   g i d N u m b e r :   1 0 0 4 / e t c / g r o u p 1 .   #   l d a p a d d   - x   - W   - D   " c n = M a n a g e r , d c = m y d o m a i n , d c = c o m "   - f   l d a p g r o u p . l d i f l d a p u s e r . l d i f 1 .   d n :   u i d = l d a p u s e r , o u = P e o p l e , d c = m y d o m a i n , d c = c o m 2 .   o b j e c t C l a s s :   t o p 3 .   o b j e c t C l a s s :   a c c o u n t 4 .   o b j e c t C l a s s :   p o s i x A c c o u n t 5 .   o b j e c t C l a s s :   s h a d o w A c c o u n t 6 .   c n :   l d a p u s e r 7 .   u i d :   l d a p u s e r 8 .   u i d N u m b e r :   1 0 0 4 9 .   g i d N u m b e r :   1 0 0 4 1 0 .   h o m e D i r e c t o r y :   / h o m e / l d a p u s e r 1 1 .   u s e r P a s s w o r d :   { S S H A } f i N 0 Y q z b D u D I 0 F p q q 9 U u d W m j Z Q Y 2 8 S 3 M 1 2 .   l o g i n S h e l l :   / b i n / b a s h
并 加 载 它 ： L D A P   用 户 配 置 相 似 地 ， 你 可 以 删 除 你 刚 刚 创 建 的 用 户 条 目 ： 1 0 .   允 许 有 关 允 许 有 关   l d a p   的 通 信 通 过 防 火 墙 ： 的 通 信 通 过 防 火 墙 ： 1 1 .   最 后 ， 但 并 非 最 不 重 要 的 是 使 用 最 后 ， 但 并 非 最 不 重 要 的 是 使 用   L D A P   开 启 客 户 端 的 认 证 。 开 启 客 户 端 的 认 证 。 为 了 在 最 后 一 步 中 对 我 们 有 所 帮 助 ， 我 们 将 使 用   a u t h c o n f i g   工 具 （ 一 个 配 置 系 统 认 证 资 源 的 界 面 ） 。 使 用 下 面 的 命 令 ， 在 通 过   L D A P   服 务 器 认 证 成 功 后 ， 假 如 请 求 的 用 户 的 家 目 录 不 存 在 ， 则 将 会 被 创 建 ： L D A P   客 户 端 认 证 总 结 在 这 篇 文 章 中 ， 我 们 已 经 解 释 了 如 何 利 用 一 个   L D A P   服 务 器 来 设 置 基 本 的 认 证 。 若 想 对 当 前 这 个 指 南 里 描 述 的 设 置 进 行 更 深 入 的 配 置 ， 请 参 考 位 于   R H E L   系 统 管 理 员 指 南 里 的   第   1 3   章   – L D A P   的 配 置 ， 并 特 别 注 意 使 用   T L S   来 进 行 安 全 设 定 。 请 随 意 使 用 下 面 的 评 论 框 来 留 下 你 的 提 问 。 v i a :   h t t p : / / w w w . t e c m i n t . c o m / s e t u p - l d a p - s e r v e r - a n d - c o n f i g u r e - c l i e n t - a u t h e n t i c a t i o n / 作 者 ： G a b r i e l   C á n e p a   译 者 ： F S S l c   校 对 ： w x y 1 2 .   l o g i n S h e l l :   / b i n / b a s h 1 3 .   g e c o s :   l d a p u s e r 1 4 .   s h a d o w L a s t C h a n g e :   0 1 5 .   s h a d o w M a x :   0 1 6 .   s h a d o w W a r n i n g :   0 1 .   #   l d a p a d d   - x   - D   c n = M a n a g e r , d c = m y d o m a i n , d c = c o m   - W   - f   l d a p u s e r . l d i f 1 .   #   l d a p d e l e t e   - x   - W   - D   c n = M a n a g e r , d c = m y d o m a i n , d c = c o m   " u i d = l d a p u s e r , o u = P e o p l e , d c = m y d o m a i n , d c = c o m " 1 .   #   f i r e w a l l - c m d   - - a d d - s e r v i c e = l d a p 1 .   #   a u t h c o n f i g   - - e n a b l e l d a p   - - e n a b l e l d a p a u t h   - - l d a p s e r v e r = r h e l 7 . m y d o m a i n . c o m   - - l d a p b a s e d n = " d c = m y d o m a i n , d c = c o m "   - - e n a b l e m k h o m e d i r   - - u p d a t e
本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理