5154

在当今的企业环境中,集中管理用户身份、权限和认证信息至关重要，轻量级目录访问协议（LDAP）作为一种行业标准，为这种集中化管理提供了强大而灵活的解决方案，在基于CentOS的服务器上部署OpenLDAP，可以构建一个稳定可靠的目录服务基础架构，用于统一管理用户账户、组信息、访问控制列表等，本文将详细介绍在CentOS系统上从零开始安装和配置OpenLDAP的完整步骤，帮助您快速搭建起一个基础的LDAP服务环境。

第一步：环境准备与软件安装

在开始之前,请确保您拥有一台安装了CentOS 7或CentOS 8的 clean 服务器，并且拥有sudo权限或root权限，建议为服务器配置一个静态IP地址，以确保客户端能够稳定地连接。

1. 更新系统：执行系统更新以确保所有软件包都是最新的。

   sudo yum update -y

2. 安装OpenLDAP及其相关工具：OpenLDAP的核心服务是slapd（stand-alone LDAP daemon），我们还需要安装客户端工具和服务器依赖包。

   sudo yum install -y openldap openldap-servers openldap-clients

   对于较旧的系统或特定场景,可能还需要安装compat-openldap包以提供兼容性。

第二步：启动服务并配置管理员密码

安装完成后,slapd服务默认是未启动的，我们需要先启动它，然后为其设置一个管理员密码。

1. 启动并启用slapd服务：使用systemctl命令来启动服务，并设置其开机自启。

   sudo systemctl start slapd
   sudo systemctl enable slapd

   您可以使用 sudo systemctl status slapd 来检查服务是否正在运行，默认情况下，slapd服务会监听389端口。

2. 生成管理员密码哈希：为了安全起见，我们不能使用明文密码，使用slappasswd命令生成一个SSHA（Salted SHA）格式的密码哈希，系统会提示您输入两次密码。

   slappasswd
   New password: 
   Re-enter new password: 
   {SSHA}hashed_password_string_here

   请务必复制并保存好生成的哈希字符串（{SSHA}xxxxxxxx），稍后配置时需要用到。

第三步：配置数据库后端与基本域信息

OpenLDAP使用LDIF（LDAP Data Interchange Format）文件进行配置，我们将通过修改配置数据库来设置我们的目录后端。

1. 创建配置LDIF文件：创建一个名为 db.ldif 的文件，这个文件将用于定义我们的基础DN（Distinguished Name）和管理员账户，请将文件中的 mydomain 和 com 替换为您自己的域名。

   # db.ldif
   dn: olcDatabase={2}hdb,cn=config
   changetype: modify
   replace: olcSuffix
   olcSuffix: dc=mydomain,dc=com
   dn: olcDatabase={2}hdb,cn=config
   changetype: modify
   replace: olcRootDN
   olcRootDN: cn=Manager,dc=mydomain,dc=com
   dn: olcDatabase={2}hdb,cn=config
   changetype: modify
   replace: olcRootPW
   olcRootPW: {SSHA}hashed_password_string_here

   • olcSuffix：定义了目录树的根，也就是您的“域名”。
   • olcRootDN：定义了具有最高权限的管理员账户的完整路径。
   • olcRootPW：指定管理员密码，请在此处粘贴上一步生成的哈希值。

2. 应用配置：使用ldapmodify命令将上述配置应用到运行中的LDAP服务。

   sudo ldapmodify -Y EXTERNAL -H ldapi:/// -f db.ldif

   -Y EXTERNAL 参数表示通过本地系统认证进行操作，这是修改cn=config配置的标准方式。

第四步：创建基础目录结构

现在数据库后端已配置好,但目录本身是空的，我们需要创建基础的域条目和组织单元（OU），例如用于存放用户和组的OU。

1. 创建基础结构LDIF文件：创建一个名为 base.ldif 的文件。

   # base.ldif
   dn: dc=mydomain,dc=com
   objectClass: top
   objectClass: dcObject
   objectClass: organization
   o: MyDomain Organization
   dn: cn=Manager,dc=mydomain,dc=com
   objectClass: organizationalRole
   cn: Manager
   description: LDAP Manager
   dn: ou=People,dc=mydomain,dc=com
   objectClass: organizationalUnit
   ou: People
   dn: ou=Group,dc=mydomain,dc=com
   objectClass: organizationalUnit
   ou: Group

2. 添加基础结构：使用ldapadd命令将这个结构添加到目录中，系统会提示您输入之前设置的Manager密码。

   ldapadd -x -D "cn=Manager,dc=mydomain,dc=com" -W -f base.ldif

   • -x：使用简单认证。
   • -D：指定绑定的管理员DN。
   • -W：提示输入密码。

第五步：配置防火墙与验证安装

为了允许其他机器访问LDAP服务,我们需要在防火墙中开放相应的端口。

1. 开放防火墙端口：CentOS默认使用firewalld。

   sudo firewall-cmd --permanent --add-service=ldap
   sudo firewall-cmd --reload

   这将开放标准的LDAP端口（389/TCP），如果计划使用LDAPS（安全LDAP），还需要开放ldaps服务（636/TCP）。

2. 验证安装：使用ldapsearch工具查询目录，检查我们创建的基础结构是否存在。

   ldapsearch -x -b "dc=mydomain,dc=com"

   如果一切正常,该命令将返回包含我们刚刚创建的域、Manager、People和Group条目的详细信息。

至此,一个功能完备的OpenLDAP基础服务已在您的CentOS服务器上成功搭建，您可以在此基础上继续添加用户和组，并配置各种应用（如SSH、ProFTPD、Dovecot等）来使用LDAP进行认证。

常用LDAP命令速查表

相关问答FAQs

问题1：我忘记了LDAP管理员（Manager）的密码，该怎么办？

解答： 如果忘记了Manager的密码，您可以通过修改配置数据库来重置它，再次使用 slappasswd 命令生成一个新的密码哈希，创建一个新的LDIF文件（reset_password.ldif如下：

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootPW
olcRootPW: {SSHA}new_hashed_password_string_here

使用 ldapmodify 命令应用这个更改，同样使用 EXTERNAL 认证： sudo ldapmodify -Y EXTERNAL -H ldapi:/// -f reset_password.ldif 这样，Manager的密码就被成功更新了。

问题2：如何为OpenLDAP服务启用TLS/SSL（LDAPS）加密，以增强安全性？

解答： 启用TLS/SSL是生产环境中的强烈推荐步骤，主要步骤如下：

1. 获取证书：您可以使用企业内部的CA签发证书，或者生成自签名证书（仅用于测试），您需要一个证书文件（.crt或.pem）和一个私钥文件（.key）。
2. 配置OpenLDAP：修改slapd的配置，使其能够找到并使用这些证书，这通常通过修改/etc/openldap/slapd.d/cn=config.ldif文件或使用LDIF命令修改olcTLSCertificateFile、olcTLSCertificateKeyFile等属性来完成。
3. 调整文件权限：确保ldap用户对私钥文件有读取权限。
4. 配置防火墙：开放LDAPS的默认端口636/TCP。
5. 重启服务：sudo systemctl restart slapd。
6. 客户端连接：在客户端连接时，需要指定使用LDAPS URI（如 ldaps://your-server-ip）并配置正确的CA证书路径。 配置TLS/SSL的过程涉及证书管理，相对复杂，但这是保护LDAP通信中敏感数据不被窃听的关键一步。