openldap

# yum 安装相关包
yum install -y openldap openldap-clients openldap-servers

# 复制一个默认配置到指定目录下,并授权，这一步一定要做，然后再启动服务，不然生产密码时会报错
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG

# 授权给ldap用户,此用户yum安装时便会自动创建
chown -R ldap. /var/lib/ldap/DB_CONFIG

# 启动服务，先启动服务，配置后面再进行修改
systemctl start slapd
systemctl enable slapd

# 查看状态，正常启动则ok
systemctl status slapd

查看安装

[root@itdev7003 ~]# rpm -qa | grep ldap
openldap-clients-2.4.44-23.el7_9.x86_64
php-ldap-5.4.16-48.el7.x86_64
openldap-2.4.44-23.el7_9.x86_64
openldap-servers-2.4.44-23.el7_9.x86_64
phpldapadmin-1.2.5-1.el7.noarch

打开端口

firewall-cmd --zone=public --add-port=389/tcp --permanent  
firewall-cmd --zone=public --add-port=636/tcp --permanent  
firewall-cmd --zone=public --add-port=8000/tcp --permanent  
firewall-cmd --reload

配置路径

[root@itdev7003 cn=config]# pwd
/etc/openldap/slapd.d/cn=config
[root@itdev7003 cn=config]#

安装web界面

yum install https://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm

yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel migrationtools
yum install -y phpldapadmin

# yum安装时，会自动安装apache和php的依赖。
# 注意： phpldapadmin很多没更新了，只支持php5，如果你服务器的环境是php7，则会有问题，页面会有各种报错
yum install -y phpldapadmin
 
# 修改apache的phpldapadmin配置文件
# 修改如下内容，放开外网访问，这里只改了2.4版本的配置，因为centos7 默认安装的apache为2.4版本。所以只需要改2.4版本的配置就可以了
# 如果不知道自己apache版本，执行 rpm -qa|grep httpd 查看apache版本
 
vim /etc/httpd/conf.d/phpldapadmin.conf
-----------------------------------------------------------------
#
#  Web-based tool for managing LDAP servers
#

Alias /phpldapadmin /usr/share/phpldapadmin/htdocs
Alias /ldapadmin /usr/share/phpldapadmin/htdocs

<Directory /usr/share/phpldapadmin/htdocs>
  <IfModule mod_authz_core.c>
    # Apache 2.4
    #Require local
     Require all granted
  </IfModule>
  <IfModule !mod_authz_core.c>
    # Apache 2.2
    Order Deny,Allow
    Deny from all
    Allow from 127.0.0.1
    Allow from ::1
    Allow from 172.18.5.137
  </IfModule>
</Directory>

-----------------------------------------------------------------
 
 
# 修改配置用DN登录ldap
vim /etc/phpldapadmin/config.php
-----------------------------------------------------------------
# 398行，默认是使用uid进行登录，我这里改为cn，也就是用户名
$servers->setValue('login','attr','cn');
 
# 460行，关闭匿名登录，否则任何人都可以直接匿名登录查看所有人的信息
$servers->setValue('login','anon_bind',false);
 
# 519行，设置用户属性的唯一性，这里我将cn,sn加上了，以确保用户名的唯一性
$servers->setValue('unique','attrs',array('mail','uid','uidNumber','cn','sn'));
-----------------------------------------------------------------
 
# 端口冲突 
vim httpd.conf
#Listen 12.34.56.78:80
Listen 8000
 
# 启动apache
systemctl start httpd
systemctl enable httpd

# 查看版本
[root@itdev7003 slapd.d]# slapd -VV
@(#) $OpenLDAP: slapd 2.4.44 (Apr 28 2021 13:32:00) $
        mockbuild@x86-02.bsys.centos.org:/builddir/build/BUILD/openldap-2.4.44/openldap-2.4.44/servers/slapd

[root@itdev7003 slapd.d]#

http://172.18.5.137:8000/ldapadmin/

创建账号

# 生成管理员密码,记录下这个密码，后面需要用到
slappasswd -s passwd
[root@itdev7003 ~]# slappasswd -s passwd
{SSHA}nIk7xulDJQ7z4oyX4Za9/RnETzGaDuii
[root@itdev7003 ~]#
# 新增修改密码文件,ldif为后缀，文件名随意，不要在/etc/openldap/slapd.d/目录下创建类似文件
# 生成的文件为需要通过命令去动态修改ldap现有配置，如下，我在家目录下，创建文件
cd ~
vim changepwd.ldif
----------------------------------------------------------------------
dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}nIk7xulDJQ7z4oyX4Za9/RnETzGaDuii
----------------------------------------------------------------------
# 这里解释一下这个文件的内容：
# 第一行执行配置文件，这里就表示指定为 cn=config/olcDatabase={0}config 文件。你到/etc/openldap/slapd.d/目录下就能找到此文件
# 第二行 changetype 指定类型为修改
# 第三行 add 表示添加 olcRootPW 配置项
# 第四行指定 olcRootPW 配置项的值
# 在执行下面的命令前，你可以先查看原本的olcDatabase={0}config文件，里面是没有olcRootPW这个项的，执行命令后，你再看就会新增了olcRootPW项，而且内容是我们文件中指定的值加密后的字符串
# 执行命令，修改ldap配置，通过-f执行文件
ldapadd -Y EXTERNAL -H ldapi:/// -f changepwd.ldif
[root@itdev7003 ~]# ldapadd -Y EXTERNAL -H ldapi:/// -f changepwd.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "olcDatabase={0}config,cn=config"

[root@itdev7003 cn=config]# cat /etc/openldap/slapd.d/cn=config/olcDatabase={0}config.ldif
# AUTO-GENERATED FILE - DO NOT EDIT!! Use ldapmodify.
# CRC32 bc8f775c
dn: olcDatabase={0}config
objectClass: olcDatabaseConfig
olcDatabase: {0}config
olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=extern
 al,cn=auth" manage by * none
structuralObjectClass: olcDatabaseConfig
entryUUID: d24d0c1c-7ca0-103b-9f34-2165e97d12f9
creatorsName: cn=config
createTimestamp: 20210719054926Z
olcRootPW:: e1NTSEF9bklrN3h1bERKUTd6NG95WDRaYTkvUm5FVHpHYUR1aWk=
entryCSN: 20210719070831.017353Z#000000#000#000000
modifiersName: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
modifyTimestamp: 20210719070831Z
[root@itdev7003 cn=config]# \

# 导入基本的schema
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/collective.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/corba.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/duaconf.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/dyngroup.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/java.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/misc.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/openldap.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/pmi.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/ppolicy.ldif

# 修改域名，新增changedomain.ldif, 这里我自定义的域名为 domain.biz，管理员用户账号为admin。
# 如果要修改，则修改文件中相应的dc=domain,dc=biz为自己的域名
vim changedomain.ldif
-------------------------------------------------------------------------
dn: olcDatabase={1}monitor,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=admin,dc=domain,dc=biz" read by * none

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=domain,dc=biz

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=admin,dc=domain,dc=biz

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootPW
olcRootPW: {SSHA}nIk7xulDJQ7z4oyX4Za9/RnETzGaDuii

dn: olcDatabase={2}hdb,cn=config
changetype: modify
add: olcAccess
olcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=admin,dc=domain,dc=biz" write by anonymous auth by self write by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to * by dn="cn=admin,dc=domain,dc=biz" write by * read
#### 注意格式 ctrl + O 处理
-------------------------------------------------------------------------

# 执行命令，修改配置
ldapmodify -Y EXTERNAL -H ldapi:/// -f changedomain.ldif
# 最后这里有5个修改，所以执行会输出5行表示成功。
[root@itdev7003 ~]# ldapmodify -Y EXTERNAL -H ldapi:/// -f changedomain.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "olcDatabase={1}monitor,cn=config"

modifying entry "olcDatabase={2}hdb,cn=config"

modifying entry "olcDatabase={2}hdb,cn=config"

modifying entry "olcDatabase={2}hdb,cn=config"

modifying entry "olcDatabase={2}hdb,cn=config"

[root@itdev7003 ~]#

然后，启用memberof功能

# 新增add-memberof.ldif, #开启memberof支持并新增用户支持memberof配置
vim add-memberof.ldif
-------------------------------------------------------------
dn: cn=module{0},cn=config
cn: modulle{0}
objectClass: olcModuleList
objectclass: top
olcModuleload: memberof.la
olcModulePath: /usr/lib64/openldap
 
dn: olcOverlay={0}memberof,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcMemberOf
objectClass: olcOverlayConfig
objectClass: top
olcOverlay: memberof
olcMemberOfDangling: ignore
olcMemberOfRefInt: TRUE
olcMemberOfGroupOC: groupOfUniqueNames
olcMemberOfMemberAD: uniqueMember
olcMemberOfMemberOfAD: memberOf
-------------------------------------------------------------
 
# 新增refint1.ldif文件
vim refint1.ldif
-------------------------------------------------------------
dn: cn=module{0},cn=config
add: olcmoduleload
olcmoduleload: refint
-------------------------------------------------------------
 
# 新增refint2.ldif文件
vim refint2.ldif
-------------------------------------------------------------
dn: olcOverlay=refint,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcOverlayConfig
objectClass: olcRefintConfig
objectClass: top
olcOverlay: refint
olcRefintAttribute: memberof uniqueMember  manager owner
-------------------------------------------------------------
 
# 依次执行下面命令，加载配置，顺序不能错
ldapadd -Q -Y EXTERNAL -H ldapi:/// -f add-memberof.ldif
ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint1.ldif
ldapadd -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif
# 执行成功如下
[root@itdev7003 ~]# vim add-memberof.ldif
[root@itdev7003 ~]# ldapadd -Q -Y EXTERNAL -H ldapi:/// -f add-memberof.ldif
adding new entry "cn=module{0},cn=config"

adding new entry "olcOverlay={0}memberof,olcDatabase={2}hdb,cn=config"

[root@itdev7003 ~]# ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint1.ldif
modifying entry "cn=module{0},cn=config"

[root@itdev7003 ~]# ldapadd -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif
adding new entry "olcOverlay=refint,olcDatabase={2}hdb,cn=config"

[root@itdev7003 ~]#

到此，配置修改完了，在上述基础上，我们来创建一个叫做 domain company 的组织，并在其下创建一个 admin 的组织角色（该组织角色内的用户具有管理整个 LDAP 的权限）和 People 和 Group 两个组织单元：

# 新增配置文件
vim base.ldif
----------------------------------------------------------
dn: dc=domain,dc=biz
objectClass: top
objectClass: dcObject
objectClass: organization
o: domain Company
dc: domain
 
dn: cn=admin,dc=domain,dc=biz
objectClass: organizationalRole
cn: admin
 
dn: ou=People,dc=domain,dc=biz
objectClass: organizationalUnit
ou: People
 
dn: ou=Group,dc=domain,dc=biz
objectClass: organizationalRole
cn: Group
----------------------------------------------------------
# 执行命令，添加配置, 这里要注意修改域名为自己配置的域名，然后需要输入上面我们生成时用的密码 passwd
ldapadd -x -D cn=admin,dc=domain,dc=biz -W -f base.ldif

[root@itdev7003 ~]# ldapadd -x -D cn=admin,dc=domain,dc=biz -W -f base.ldif
Enter LDAP Password:
adding new entry "dc=domain,dc=biz"

adding new entry "cn=admin,dc=domain,dc=biz"

adding new entry "ou=People,dc=domain,dc=biz"

adding new entry "ou=Group,dc=domain,dc=biz"

[root@itdev7003 ~]#

通过以上的所有步骤，我们就设置好了一个 LDAP 目录树：其中基准 dc=domain,dc=biz 是该树的根节点，其下有一个管理域 cn=admin,dc=domain,dc=biz 和两个组织单元 ou=People,dc=domain,dc=biz 及 ou=Group,dc=domain,dc=biz。

# 查询
ldapsearch -x -b "dc=domain,dc=biz"

自助修改密码

# 下载安装
yum install https://ltb-project.org/rpm/6Server/noarch/self-service-password-1.1-1.el6.noarch.rpm

# 查找
rpm -ql self-service-password
 
# 配置 /etc/httpd/conf.d/self-service-password.conf
NameVirtualHost *:8000
<VirtualHost *:8000>
        ServerName 172.18.5.137

        DocumentRoot /usr/share/self-service-password
        DirectoryIndex index.php

        AddDefaultCharset UTF-8

        <Directory "/usr/share/self-service-password">
            AllowOverride None
            Require all granted
        </Directory>

        LogLevel warn
        ErrorLog /var/log/httpd/ssp_error_log
        CustomLog /var/log/httpd/ssp_access_log combined
</VirtualHost>

# 配置Self Service Password,支持密码修改和邮件重置： vim /usr/share/self-service-password/conf/config.inc.php
#关闭 问题验证 和 短信验证(视个人需要)：
$use_questions=false;
$use_sms= false;

#配置 LDAP
$ldap_url = "ldap://ldap.xxxxx.net";
$ldap_starttls = false;
$ldap_binddn = "cn=Manager,dc=ldap,dc=xxxxxx,dc=net";   
$ldap_bindpw = "xxxxxxxxx";
$ldap_base = "dc=ldap,dc=xxxxxx,dc=net";
$ldap_login_attribute = "cn";
$ldap_fullname_attribute = "cn";
$ldap_filter = "(&(objectClass=person)($ldap_login_attribute={login}))";
$who_change_password = "manager";   #指定LDAP 以什么用户身份更改密码

#配置邮件
$mail_from = "elk@xxxxx.com";
$mail_from_name = "企业账号密码重置";
$mail_signature = "";
$notify_on_change = true;      #密码修改成功后，向用户发送通知邮件
$mail_sendmailpath = '/usr/sbin/sendmail';   #需安装sendmail服务 yum install -y sendmail
$mail_protocol = 'smtp';
$mail_smtp_debug = 0;
$mail_debug_format = 'html';
$mail_smtp_host = 'smtp.gmail.com';
$mail_smtp_auth = true;
$mail_smtp_user = 'elk@xxxxxx.com';
$mail_smtp_pass = 'xxxxxx';
$mail_smtp_port = 587;
$mail_smtp_timeout = 30;
$mail_smtp_keepalive = false;
$mail_smtp_secure = 'tls';
$mail_contenttype = 'text/plain';
$mail_wordwrap = 0;
$mail_charset = 'utf-8';
$mail_priority = 3;
$mail_newline = PHP_EOL;

$keyphrase = "xxxx"; 修改keyphrase，任意字符串，与默认配置内容不一致即可

# 重启
systemctl restart httpd

测试修改密码时，报错，ldap服务器拒绝我们修改的密码，经过查看日志加上自己手动验证，发现普通用户没有修改密码的权限。
然后查看ldap官方的手册：http://www.openldap.org/doc/admin24/access-control.html

研究后发现需要修改ldap的条目
文件添加ACL 信息，问题解决，添加命令如下：

登录后复制

ldapmodify -Y EXTERNAL -H ldapi:/// -f updatepass.ldif 

updatepass.ldif 文件内容如下：

dn: olcDatabase={2}hdb,cn=config
changetype: modify
add: olcAccess
olcAccess: to attrs=userPassword
       by self =xw
       by anonymous auth
       by * none

olcAccess: to *
       by self write
       by users read
       by * none

然后试下真的可以修改密码了

释义

DC：domain component一般为公司名，例如：dc=163,dc=com
OU：organization unit为组织单元，最多可以有四级，每级最长32个字符，可以为中文
CN：common name为用户名或者服务器名，最长可以到80个字符，可以为中文
DN：distinguished name为一条LDAP记录项的名字，有唯一性，例如：dc:“cn=admin,ou=developer,dc=163,dc=com”

创建普通用户：

• 在People之下点击创建新条目
• 模板选择默认
• ObjectClasses选择inetOrgPerson，然后点击继续
• 从上而下填写，RDN选择 User Name(uid)
• 然后开始正式的人员信息填写
  • cn：zhangs
  • sn：zhangs
  • displayName：张三
  • 电子邮件：zhangs@qq.com
  • ou：People
  • 密码：123456
  • User Name：zhangs

然后点击创建，提交之后，一个普通用户就创建成功了。一般情况下，应用直接通过这一曾来管理用户即可。

---

但是有些情况下，再另外拉出来一个分组，从软件的角度来分组，会更好一些。

创建一个应用组：

• 在Group之下创建新条目
• 模板选择默认
• ObjectClasses选择groupOfNames，然后点击继续
• 从上而下填写，RDN选择 cn(cn)
• 然后开始填写组信息
  • cn：jenkins
  • member：点击后边的搜索框，选择将要包含的用户

---

然后点击创建，提交之后，就创建了一个jenkins组，配置ldap的时候，可以基于这个组来进行管理。

基本绑定

• gogs git

编辑认证设置
认证类型 LDAP (via BindDN)
认证名称 
LDAP
安全协议 Unencrypted
主机地址
172.18.5.137
主机端口
389
绑定 DN
cn=Manager,dc=domain,dc=biz
 可以使用 '%s' 作为用户名的占位符，例如：DOM\%s
绑定密码
passwd
 警告：该密码将会以明文的形式保存在数据库中。请不要使用拥有高权限的帐户！
用户搜索基准
ou=People,dc=domain,dc=biz
用户过滤规则
(&(objectclass=person)(cn=%s)(|(memberOf=cn=gogsgit-users,ou=gogsgit,ou=Group,dc=domain,dc=biz)(memberOf= cn=devops,ou=managers,ou=Group,dc=domain,dc=biz)))
管理员过滤规则
用户名属性
cn
名字属性
displayName
姓氏属性
sn
邮箱属性
mail

• jumpserver

LDAP 服务器
LDAP 地址
ldap://172.18.5.137:389
eg: ldap://localhost:389
绑定 DN
cn=Manager,dc=domain,dc=biz
密码
LDAP 用户
用户 OU
ou=People,dc=domain,dc=biz
多个 OU 使用 | 分割
用户过滤器
(&(cn=%(user)s)(memberOf=cn=omo,ou=develops,ou=Group,dc=domain,dc=biz))
可能的选项是(cn或uid或sAMAccountName=%(user)s)
LDAP属性映射
{"username":"cn","name":"sn","email":"mail"}
用户属性映射代表怎样将LDAP中用户属性映射到jumpserver用户上，username, name,email 是jumpserver的用户需要属性

• jenkins

  Jenkins专有用户数据库
   LDAP
  服务器
  Server
  ldap://172.18.5.137:389
  root DN
  dc=domain,dc=biz
  Allow blank rootDN
  User search base
  ou=People
  User search filter
  (&(objectclass=person)(cn={0})(|(memberOf=cn=jenkins-admins,ou=jenkins,ou=Group,dc=domain,dc=biz)(memberOf=cn=jenkins-editors,ou=jenkins,ou=Group,dc=domain,dc=biz)(memberOf=cn=jenkins-users,ou=jenkins,ou=Group,dc=domain,dc=biz)))
  Group search base
  ou=jenkins,ou=Group
  Group search filter
  (& (cn={0}) (| (objectclass=groupOfNames) (objectclass=groupOfUniqueNames) (objectclass=posixGroup)))
  Group membership
   Parse user attribute for list of LDAP groups
   Search for LDAP groups containing user
  Group membership filter
  Manager DN
  cn=Manager,dc=domain,dc=biz
  Manager Password
  Concealed
  Display Name LDAP attribute
  displayname
  Email Address LDAP attribute
  mail
  Environment Properties
  

• harbor

LDAP URL 
ldap://172.18.5.137:389
LDAP搜索DN 
cn=Manager,dc=domain,dc=biz
LDAP搜索密码
••••••••••••••••••••
LDAP基础DN 
ou=People,dc=domain,dc=biz
LDAP过滤器
(|(memberOf=cn=harbor-admins,ou=harbor,ou=Group,dc=domain,dc=biz)(memberOf=cn=harbor-users,ou=harbor,ou=Group,dc=domain,dc=biz)(memberOf=cn=devops,ou=managers,ou=Group,dc=domain,dc=biz))
LDAP用户UID 
cn
LDAP搜索范围 

子树
LDAP组基础DN 
ou=harbor,ou=Group,dc=domain,dc=biz
LDAP组过滤器 
LDAP组ID属性 
cn
LDAP组管理员DN 
cn=harbor-admins,ou=harbor,ou=group,dc=domain,dc=biz
LDAP 组成员 
memberof
LDAP搜索范围 

子树
LDAP检查证书 

同时搜索不同组

# 搜索多个组
(&(objectCategory=person)(|(ou=staff)(ou=vendors)))
# 实际例子
# 1.jumpserver
(&(cn=%(user)s)(|(memberOf=cn=jumpserver-users,ou=jumpserver,ou=Group,dc=domain,dc=biz)(memberOf= cn=devops,ou=managers,ou=Group,dc=domain,dc=biz)))
# 2.gogs
多组
(&(objectclass=person)(cn=%s)(|(memberOf=cn=gogsgit-users,ou=gogsgit,ou=Group,dc=domain,dc=biz)(memberOf= cn=devops,ou=managers,ou=Group,dc=domain,dc=biz)))
单组
(&(objectclass=person)(cn=%s)(memberOf=cn=gogsgit-users,ou=gogsgit,ou=Group,dc=domain,dc=biz))
# 3.jenkins
搜索组
(& (cn={0}) (| (objectclass=groupOfNames) (objectclass=groupOfUniqueNames) (objectclass=posixGroup)))
 搜用户
(&(objectclass=person)(cn={0})(|(memberOf=cn=jenkins-admins,ou=jenkins,ou=Group,dc=domain,dc=biz)(memberOf=cn=jenkins-editors,ou=jenkins,ou=Group,dc=domain,dc=biz)(memberOf=cn=jenkins-users,ou=jenkins,ou=Group,dc=domain,dc=biz)))

出现错误,是因为有空格，因此使用dd 删除 非编辑模式 按o即可

# 出现错误操作
cat -A base.ldif
dn: dc=domain,dc=biz$
objectClass: top$
objectClass: dcObject$
objectClass: organization$
o: domain Company$
dc: domain$
$
dn: cn=admin,dc=domain,dc=biz$
objectClass: organizationalRole$
cn: admin$
$
dn: ou=People,dc=domain,dc=biz$
objectClass: organizationalUnit$
ou: People$
$
dn: ou=Group,dc=domain,dc=biz$
objectClass: organizationalRole$
cn: Group$
$

数据迁移
LDAP数据迁移比较简单，执行如下命令即可完成迁移。

# 导出LDAP数据
slapcat -l ~/master.ldif
# 查看
systemctl status slapd
# 停止
systemctl stop slapd
# 删除历史数据
rm -rf /var/lib/ldap/*
# 导入源服务器的数据
slapadd -l master.ldif
# 修改权限
chown -R ldap:ldap /var/lib/ldap
# 重新启动
systemctl start slapd