Ldap 小结

一. server 端安装

yum -y install openldap-serversopenldap-clients nss-pam-ldapd

cp/usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG

chown ldap:ldap /var/lib/ldap/DB_CONFIG

systemctl start slapd

systemctl enable slapd

(需修改密码) slappasswd -s ldap@#123                    // 每次生成的密码串不一样

 或者  slappasswd -h {md5} -s "ldap@#123"        // 生成md5 密码 ,ldap@#123 加密成固定密码串

{MD5}0YrHskgC54n3QqNNf7uBxg== 

ldapadd -Y EXTERNAL -H ldapi:///  -f  /home/ocdc/diff/set_rootpw.ldif   // ldif 文件换成对应的密码

cat set_rootpw.ldif

dn: olcDatabase={0}config,cn=config

changetype: modify

add: olcRootPW

olcRootPW: {MD5}0YrHskgC54n3QqNNf7uBxg==

ldapadd -Y EXTERNAL -H ldapi:///  -f  /etc/openldap/schema/cosine.ldif

ldapadd -Y EXTERNAL -H ldapi:///  -f  /etc/openldap/schema/nis.ldif

ldapadd -Y EXTERNAL -H ldapi:/// -f  /etc/openldap/schema/inetorgperson.ldif

SET domain onladp db  （管理员密码）

改set_domain.ldif文件中密码，跟上面密码一致

ldapmodify -Y EXTERNAL -H ldapi:/// -f /home/ocdc/diff/set_domain.ldif

cat set_domain.ldif

dn: olcDatabase={1}monitor,cn=config

changetype: modify

replace: olcAccess

olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth"

  read by dn.base="cn=admin,dc=asiainfo,dc=com" read by * none

dn: olcDatabase={2}hdb,cn=config

changetype: modify

replace: olcSuffix

olcSuffix: dc=asiainfo,dc=com

dn: olcDatabase={2}hdb,cn=config

changetype: modify

replace: olcRootDN

olcRootDN: cn=asiainfo,dc=hadoop,dc=com

dn: olcDatabase={2}hdb,cn=config

changetype: modify

add: olcRootPW

olcRootPW: {MD5}0YrHskgC54n3QqNNf7uBxg==

dn: olcDatabase={2}hdb,cn=config

changetype: modify

add: olcAccess

olcAccess: {0}to attrs=userPassword,shadowLastChange by

  dn="cn=admin,dc=asiainfo,dc=com" write by anonymous auth by self write by * none

olcAccess: {1}to dn.base="" by * read

olcAccess: {2}to * by dn="cn=admin,dc=asiainfo,dc=com" write by * read

ldapadd -x -D cn=admin,dc=asiainfo,dc=com -w ldap@#123 -f /home/ocdc/diff/create_basedomain.ldif

cat create_basedomain.ldif

dn: dc=asiainfo,dc=com

objectClass: top

objectClass: dcObject

objectclass: organization

o: Server com

dc: asiainfo

dn: cn=admin,dc=asiainfo,dc=com

objectClass: organizationalRole

cn: admin

description: Directory admin

dn: ou=People,dc=asiainfo,dc=com

objectClass: organizationalUnit

ou: People

dn: ou=Group,dc=asiainfo,dc=com

objectClass: organizationalUnit

ou: Group

测试能否连接到ldap server：

ldapsearch -x  -b  'ou=People,dc=asiainfo,dc=com'

ldapsearch -LLL -W -x  -D "cn=admin,dc=asiainfo,dc=com"  -b  "dc=asiainfo,dc=com"

主从复制，主节点上执行如下命令：

ldapadd -Y EXTERNAL -H ldapi:/// -f /home/ocdc/diff/sync_provider_addMode.ldif

ldapadd -Y EXTERNAL -H ldapi:/// -f /home/ocdc/diff/sync_provider.ldif

cat sync_provider_addMode.ldif

# create new

dn: cn=module,cn=config

objectClass: olcModuleList

cn: module

olcModulePath: /usr/lib64/openldap

olcModuleLoad: syncprov.la

cat sync_provider.ldif

# create new

dn: olcOverlay=syncprov,olcDatabase={2}hdb,cn=config

objectClass: olcOverlayConfig

objectClass: olcSyncProvConfig

olcOverlay: syncprov

olcSpSessionLog: 100

从节点上执行如下命令：

 ldapadd -Y EXTERNAL -H ldapi:/// -f/home/ocdc/diff/sync_consumer.ldif

cat sync_consumer.ldif

# create new

dn: olcDatabase={2}hdb,cn=config

changetype: modify

add: olcSyncRepl

olcSyncRepl: rid=001

  # LDAP server's URI

  provider=ldap://oc-etl-data-new-060:389/

  bindmethod=simple

  # own domain name

  binddn="cn=admin,dc=asiainfo,dc=com"

  # directory manager's password

  credentials=ldap@#123

  searchbase="dc=asiainfo,dc=com"

  # includes subtree

  scope=sub

  schemachecking=on

  type=refreshAndPersist

  # [retry interval] [retry times] [interval of re-retry] [re-retry times]

  retry="30 5 300 3"

  # replication interval

  interval=00:00:05:00

ldap client  安装

yum -y install openldap-clients nss-pam-ldapd

authconfig--enableldap --enableldapauth --ldapserver=xxxx-NN-01:389,xxxx-NN-02:389--ldapbasedn="dc=asiainfo,dc=com" --enablemkhomedir --update

二 。常用维护命令

1） Ldap 中添加一个用户：

      ldapadd -x-D cn=admin,dc=asiainfo,dc=com -W -f ldapuser.ldif

2） 查询ldap 中的用户：

ldapsearch -x -b 'ou=People,dc=asiainfo,dc=com'        // 不要管理员口令

ldapsearch -LLL -W -x -D "cn=admin,dc=asiainfo,dc=com" -b"dc=asiainfo,dc=com"   

// 需要ldap 管理员口令才能查询, 也可以换成 w (小写)参数，后面指定管理员口令

ldapsearch -LLL -W -x  -D "cn=admin,dc=asiainfo,dc=com" -b"dc=asiainfo,dc=com" -H "ldap://127.0.0.1"

//  -H 参数指定 要查询的Ldap 服务器地址

3）删除ldap 中的一个用户 及 用户组：

ldapdelete -x -W -D 'cn=admin,dc=asiainfo,dc=com'"uid=redhat,ou=People,dc=asiainfo,dc=com"

ldapdelete -x -W -D 'cn=admin,dc=asiainfo,dc=com'"cn=redhat,ou=Group,dc=asiainfo,dc=com"

4）更改ldap 中某一个用户的口令：

ldappasswd -x -D "cn=manager,dc=asiainfo,dc=com" -w ldap123 "uid=asiainfo,ou=People,dc=asiainfo,dc=com" -s  xxxx

说明： xxxx 为某个用户的新口令， -w（小写） 参数后面指定的是ldap 管理员密码

5) 更改 ldap 管理员的口令：

先查询 ldap 服务中的cn , dc 相关信息

ldapsearch -H ldapi:// -LLL -Q -Y EXTERNAL -b “cn=config” “(olcRootDN=*)” dn olcRootDN olcRootPW        

slappasswd -s  xxxxxx                        // 生成新密码的 加密串

替换 newpasswd.ldif  当中的加密串 ,  newpasswd.ldif 文件的内容如下

cat newpasswd.ldif                  

dn: olcDatabase={2}hdb,cn=config

changetype: modify

replace: olcRootPW

olcRootPW: {MD5}0YrHskgC54n3QqNNf7uBxg==

执行更改操作

ldapmodify -H ldapi:// -Y EXTERNAL  -f /root/newpasswd.ldif

6）ldap 数据备份，迁移

ldapsearch -LLL -w 'ldap@#123'  -x -D "cn=root,dc=asiainfo,dc=com" -b "dc=asiainfo,dc=com" >/root/ldapbak.ldif

修改ldapbak.ldif 数据，删除top 组织，scp 到新ldap 服务器中

导入到新ldap 数据库中

ldapadd -x -D "cn=root,dc=asiainfo,dc=com" -w ldap@#123 -f /home/ocdc/diff/ldapbak1115.ldif

cat ldapuser.ldif

# create new

# replace to your own domain name for "dc=***,dc=***" section

dn: uid=red,ou=People,dc=asiainfo,dc=com

objectClass: inetOrgPerson

objectClass: posixAccount

objectClass: shadowAccount

cn: Red

sn: TEST

userPassword: {SSHA}y6mu044L1WYtDrEGFsqv7UmCWazCIqzx

loginShell: /bin/bash

uidNumber: 1602

gidNumber: 1602

homeDirectory: /ldapuser/red

dn: cn=red,ou=Group,dc=asiainfo,dc=com

objectClass: posixGroup

cn: Red

gidNumber: 1602

memberUid: red