环境

os: ubuntu 18
apache2: 2.4.29
php: 7.2
lam: 6.5
slapd: 2.4.45

1 Ubuntu安装

sudo apt-get install -y slapd ldap-utils migrationtools

slapd: ldap server。
ldap-utils: ldap常用命令工具集。
migrationtools: 一个把系统用户和组迁移到ldap上的一个工具（可以不装）。

2 初始化admin

sudo dpkg-reconfigure slapd

依次为: NO, potens.top, china,123456,123456,MDB,NO,YES

3 配置客户端连接

cat /etc/ldap/ldap.conf  # 不存在则需要创建文件
# 上面的域
BASE   dc=potens,dc=top
# ldap server 地址 默认端口为389
URI    ldap://127.0.0.1

4 检查是否初始化成功

netstat -antup|grep 389

查看admin用户

ldapsearch -x -LLL -b dc=potens,dc=top
 >> 输出
  dn: dc=potens,dc=top
  objectClass: top
  objectClass: dcObject
  objectClass: organization
  o: china
  dc: potens

  dn: cn=admin,dc=potens,dc=top
  objectClass: simpleSecurityObject
  objectClass: organizationalRole
  cn: admin
  description: LDAP administrator

5 创建测试组合测试用户

$vim test.ldif


dn: ou=test,dc=potens,dc=top
objectClass: organizationalUnit
objectClass: top

dn: uid=test,ou=test,dc=potens,dc=top
uid: test
cn: 测试
displayName: 测试
gidNumber: 5000
uidNumber:1000
sn: 测
givenName: 试
homeDirectory: /home/test
loginShell: /bin/bash
mail: test@potens.top
objectClass: posixAccount
objectClass: top
objectClass: inetOrgPerson
telephoneNumber: 15711111111
userPassword: 123456

$ldapadd -x -D "cn=admin,dc=potens,dc=top" -W -f test.ldif # 输入admin密码

6 安装web管理页面lam

$cat ldap.sh
    PHP_VERSION=7.2
    apt-get install -y apache2 php php-ldap php-xml php-zip
    mkdir /www
    cd /www 
    wget http://note.youdao.com/yws/public/resource/6e6b5d0367a0b2326619e29f5055cf88/xmlnote/B93E5271092C440AAE54C8000F5F60B3/6598 -O ldap-account-manager-6.5.tar.bz2
    tar jxf ldap-account-manager-6.5.tar.bz2
    rm -rf  ldap-account-manager-6.5.tar.bz2 
    mv ldap-account-manager-6.5 ldap-account-manager
    chown -R www-data:www-data /www
    echo '<VirtualHost *:80>
    ServerName ldap.potens.top
    ServerAlias ldap.potens.top
    DocumentRoot /www/ldap-account-manager
    <Directory /www/ldap-account-manager>
        Options FollowSymLinks Includes
        AllowOverride All
        Order deny,allow
        Allow from all
    </Directory>
</VirtualHost>' > /etc/apache2/sites-available/ldap.potens.top.conf 
    ln -s /etc/apache2/sites-available/ldap.potens.top.conf  /etc/apache2/sites-enabled/ldap.potens.top.conf 
    
    sed -i '916i\extension=xml' /etc/php/$PHP_VERSION/apache2/php.ini
    sed -i '917i\extension=ldap' /etc/php/$PHP_VERSION/apache2/php.ini
    sed -i '918i\extension=zip' /etc/php/$PHP_VERSION/apache2/php.ini
    
    cd /www/ldap-account-manager/config
    cp config.cfg.sample config.cfg
    cp unix.conf.sample unix.conf
    /etc/init.d/apache2 restart

7 lam配置

7.1 首页进入LAM configuration

index.png

7.2 配置全局设置 初始密码为lam

image.png

7.3 设置Session timeout过期时间和master密码

setting.png master password.png

7.4 增加server profiles

edit server profiles.png manage server profiles.png

7.5 增加模板为unix的profile并设置为默认的profile(添加时候需要上面设置过的master密码)

image.png
image.png

7.5 配置potens profile

输入profile的密码进入配置

profile login.png

分为四个设置
general setting: 通用设置。服务器地址、后缀、登录方式、密码等
account type: 账户类型。账号的类型相关的属性设置。
modules: 模块。用户和用户组相关模块的配置。
module setting: 模块设置。用户个人信息的及id的范围。

setting list.png

general setting->设置ldap的地址

ldap addr.png

general setting->账号查找类型

login type.png

account type->账号相关的设置

image.png

其他两个先保持默认。保存设置，回到登录页。

login.png

8 设置语言

切换语言列表登录，必须保证lam所在的服务器存在对应的语言包，如果没有使用安装语言包

$ dpkg-reconfigure locales

找到zh_cn.UTF-8 按空格选中

add language.png

9 使用test账号在lam上登录

image.png image.png

10 使用admin用户登录lam

创建admin profile

image.png
image.png

登录方法需要选择固定列表 admin用户不支持搜索登录

image.png

其他设置参考poten的profile设置

11 使用admin用户创建users、group账户类型

$ cat account.ldif
# 组
dn: ou=groups,dc=potens,dc=top
objectClass: organizationalUnit
objectClass: top
ou: groups

# 用户
dn: ou=users,dc=potens,dc=top
objectClass: organizationalUnit
objectClass: top
ou: users

$ ldapadd -x -D "cn=admin,dc=potens,dc=top" -W -f account.ldif

12 使用lam创建分组和用户

选择admin进行登录

image.png
image.png

创建dev开发组

image.png

创建yanshaowen用户

add user.png
image.png add user.png

创建unix信息

unix.png

设置密码

set password.png

保存

save.png

退出admin使用账户yanshaowen登录

image.png

13 设置用户一些可见的设置

lam settting -> Edit server profiles-> 选择potens

先选择全局设置

用户只能修改自己的信息
工具全部隐藏

选择账户相关设置

隐藏用户组 添加 LDAP filter 让用户只能看到自己

因为lam只提供了LOGIN_DN 的宏 所以只能自己定义了LOGIN_UID和LOGIN_CN的宏了( 如果创建用户的时候选择cn为RDN identifier, 则需要用LOGIN_CN 否则用LOGIN_UID) 需要修改lam的源码 保存后重新登录lam就可以生效了

vim /www/ldap-account-manager/lib/modules.inc

# get_ldap_filter函数增加下面几行代码
$dn_list = get_item_value($loginData[0]);
$finalFilter = str_replace('@@LOGIN_UID@@', $dn_list['uid'], $finalFilter);
$finalFilter = str_replace('@@LOGIN_CN@@', $dn_list['cn'], $finalFilter);
## 增加下面的函数
function get_item_value($dn) {
                $dn_k_v_list = ['uid' => null, 'cn' => null];
                $dn_list = ldap_explode_dn($dn, 0);
                foreach($dn_list as $item) {
                        $item_list = explode('=',$item);
                        if (count($item_list) == 2) {
                                $dn_k_v_list[$item_list[0]] = $item_list[1];
                        }
                }
                return $dn_k_v_list;
        }

修改源码