Devops之LDAP部署安裝(centos7+openLDAP+PhpLDAPAdmin)

由于公司部門的需求，需要搭建ldap來統(tǒng)一Devops的用戶名和密碼，具體的選擇LDAP分析在上一篇里，這里主要記錄一下部署centos7+openLDAP+PhpLDAPAdmin來實現(xiàn)Ldap服務，并使用phpldapadmin作為web管理工具進行界面維護，也可以使用客戶端LDAPAdmin 管理，Windows 上直接安裝使用起來挺不錯的。

借鑒了網(wǎng)上眾多的教程，最終還是搭建起來了，基本功能正常。上一篇分析后有朋友需要些安裝的資料，抽出點時間整理一下，也是鞏固一下。Zack現(xiàn)在體會到市場的需求是做事情的重要動力之一，可以幫助別人和小小的成就感，一般Zack 不會自己去整理和創(chuàng)作，歡迎大家多多交流，多多關注。

本文主要還是使用了Amos_x和weavepub 的教程，感謝。

環(huán)境說明

Centos 7.2

openLDAP 2.4.47

phpldapadmin (最新的就可以，客戶端兼容性問題很少)

步驟

1、配置centos 環(huán)境

2、yum 安裝openLDAP

3、配置openLDAP (重點中的關鍵)

3、yum 安裝PhpLDAPAdmin

4、下載CS客戶端 LDAPAdmin(和3是并列關系，Zack傾向使用)

詳細部署過程

部署前需要配置源，最好是國內的，但Zack在清華源上沒有PHPLDAPAdmin，配置了其他的源

配置centos 環(huán)境

VM 安裝就不多說了，這里說一下要關閉防火墻和selinux

setenforce 0sed -i 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/selinux/configsystemctl stop firewalld.service && systemctl disable firewalld.servicefirewall-cmd --state

yum 安裝openLDAP

# yum 安裝相關包yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel migrationtools # 復制一個默認配置到指定目錄下,并授權，這一步一定要做，然后再啟動服務，不然生產(chǎn)密碼時會報錯cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG# 授權給ldap用戶,此用戶yum安裝時便會自動創(chuàng)建chown -R ldap. /var/lib/ldap/DB_CONFIG # 啟動服務，先啟動服務，配置后面再進行修改systemctl start slapdsystemctl enable slapd # 查看狀態(tài)，正常啟動則oksystemctl status slapd?

openldap配置

這里就是重點中的重點了，從openldap2.4.23版本開始，所有配置都保存在/etc/openldap/slapd.d目錄下的cn=config文件夾內，不再使用slapd.conf作為配置文件。配置文件的后綴為 ldif，且每個配置文件都是通過命令自動生成的，任意打開一個配置文件，在開頭都會有一行注釋，說明此為自動生成的文件，請勿編輯，使用ldapmodify命令進行修改

安裝openldap后，會有三個命令用于修改配置文件，分別為ldapadd, ldapmodify, ldapdelete，顧名思義就是添加，修改和刪除。而需要修改或增加配置時，則需要先寫一個ldif后綴的配置文件，然后通過命令將寫的配置更新到slapd.d目錄下的配置文件中去，完整的配置過程如下：

# 生成管理員密碼,記錄下這個密碼，后面需要用到slappasswd -s 123456{SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpE # 新增修改密碼文件,ldif為后綴，文件名隨意，不要在/etc/openldap/slapd.d/目錄下創(chuàng)建類似文件# 生成的文件為需要通過命令去動態(tài)修改ldap現(xiàn)有配置，如下，我在家目錄下，創(chuàng)建文件cd ~vim changepwd.ldif----------------------------------------------------------------------dn: olcDatabase={0}config,cn=configchangetype: modifyadd: olcRootPWolcRootPW: {SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpE----------------------------------------------------------------------# 這里解釋一下這個文件的內容：# 第一行執(zhí)行配置文件，這里就表示指定為 cn=config/olcDatabase={0}config 文件。你到/etc/openldap/slapd.d/目錄下就能找到此文件# 第二行 changetype 指定類型為修改# 第三行 add 表示添加 olcRootPW 配置項# 第四行指定 olcRootPW 配置項的值# 在執(zhí)行下面的命令前，你可以先查看原本的olcDatabase={0}config文件，里面是沒有olcRootPW這個項的，執(zhí)行命令后，你再看就會新增了olcRootPW項，而且內容是我們文件中指定的值加密后的字符串 # 執(zhí)行命令，修改ldap配置，通過-f執(zhí)行文件ldapadd -Y EXTERNAL -H ldapi:/// -f changepwd.ldif?

執(zhí)行修改命令后，有如下輸出則為正常：

查看olcDatabase={0}config內容,新增了一個olcRootPW項。

上面就是一個完整的修改配置的過程，切記不能直接修改/etc/openldap/slapd.d/目錄下的配置。

好了，下面繼續(xù)進行配置，下面的步驟中Zack 發(fā)現(xiàn)執(zhí)行的時候要多加注意空行和空格問題，否則會報錯的，不會成功，是centos 系統(tǒng)的空行編碼問題。

# 我們需要向 LDAP 中導入一些基本的 Schema。這些 Schema 文件位于 /etc/openldap/schema/ 目錄中，schema控制著條目擁有哪些對象類和屬性，可以自行選擇需要的進行導入，# 依次執(zhí)行下面的命令，導入基礎的一些配置,我這里將所有的都導入一下，其中core.ldif是默認已經(jīng)加載了的，不用導入ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldifldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldifldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldifldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/collective.ldifldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/corba.ldifldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/duaconf.ldifldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/dyngroup.ldifldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/java.ldifldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/misc.ldifldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/openldap.ldifldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/pmi.ldifldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/ppolicy.ldif # 修改域名，新增changedomain.ldif, 這里我自定義的域名為 SI.com，管理員用戶賬號為admin。# 如果要修改，則修改文件中相應的dc=SI,dc=com為自己的域名vim changedomain.ldif-------------------------------------------------------------------------dn: olcDatabase={1}monitor,cn=configchangetype: modifyreplace: olcAccessolcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=admin,dc=SI,dc=com" read by * none dn: olcDatabase={2}hdb,cn=configchangetype: modifyreplace: olcSuffixolcSuffix: dc=SI,dc=com dn: olcDatabase={2}hdb,cn=configchangetype: modifyreplace: olcRootDNolcRootDN: cn=admin,dc=SI,dc=com dn: olcDatabase={2}hdb,cn=configchangetype: modifyreplace: olcRootPWolcRootPW: {SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpE dn: olcDatabase={2}hdb,cn=configchangetype: modifyadd: olcAccessolcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=admin,dc=SI,dc=com" write by anonymous auth by self write by * noneolcAccess: {1}to dn.base="" by * readolcAccess: {2}to * by dn="cn=admin,dc=SI,dc=com" write by * read------------------------------------------------------------------------- # 執(zhí)行命令，修改配置ldapmodify -Y EXTERNAL -H ldapi:/// -f changedomain.ldif?

最后這里有5個修改，所以執(zhí)行會輸出5行表示成功。

然后，啟用memberof功能

# 新增add-memberof.ldif, #開啟memberof支持并新增用戶支持memberof配置vim add-memberof.ldif-------------------------------------------------------------dn: cn=module{0},cn=configcn: modulle{0}objectClass: olcModuleListobjectclass: topolcModuleload: memberof.laolcModulePath: /usr/lib64/openldap dn: olcOverlay={0}memberof,olcDatabase={2}hdb,cn=configobjectClass: olcConfigobjectClass: olcMemberOfobjectClass: olcOverlayConfigobjectClass: topolcOverlay: memberofolcMemberOfDangling: ignoreolcMemberOfRefInt: TRUEolcMemberOfGroupOC: groupOfUniqueNamesolcMemberOfMemberAD: uniqueMemberolcMemberOfMemberOfAD: memberOf------------------------------------------------------------- # 新增refint1.ldif文件vim refint1.ldif-------------------------------------------------------------dn: cn=module{0},cn=configadd: olcmoduleloadolcmoduleload: refint------------------------------------------------------------- # 新增refint2.ldif文件vim refint2.ldif-------------------------------------------------------------dn: olcOverlay=refint,olcDatabase={2}hdb,cn=configobjectClass: olcConfigobjectClass: olcOverlayConfigobjectClass: olcRefintConfigobjectClass: topolcOverlay: refintolcRefintAttribute: memberof uniqueMember manager owner------------------------------------------------------------- # 依次執(zhí)行下面命令，加載配置，順序不能錯ldapadd -Q -Y EXTERNAL -H ldapi:/// -f add-memberof.ldifldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint1.ldifldapadd -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif?

到此，配置修改完了。

(下面這個可以先不做，在客戶端做更方便。)在上述基礎上，我們來創(chuàng)建一個叫做 SI 的組織，并在其下創(chuàng)建一個 admin 的組織角色(該組織角色內的用戶具有管理整個 LDAP 的權限)和 People 和 Group 兩個組織單元

# 新增配置文件vim base.ldif----------------------------------------------------------dn: dc=ldap.zack00,dc=comobjectClass: topobjectClass: dcObjectobjectClass: organizationo: SIdc: ldap.zack00 dn: cn=admin,dc=ldap.zack00,dc=comobjectClass: organizationalRolecn: admin dn: ou=People,dc=ldap.zack00,dc=comobjectClass: organizationalUnitou: People dn: ou=Group,dc=ldap.zack00,dc=comobjectClass: organizationalRolecn: Group---------------------------------------------------------- # 執(zhí)行命令，添加配置, 這里要注意修改域名為自己配置的域名，然后需要輸入上面我們生成的密碼ldapadd -x -D cn=admin,dc=ldap.zack00,dc=com -W -f base.ldif?

通過以上的所有步驟，我們就設置好了一個 LDAP 目錄樹：其中基準 dc=ldap.zack00,dc=com 是該樹的根節(jié)點，其下有一個管理域 cn=admin,dc=ldap.zack00,dc=com 和兩個組織單元 ou=People,dc=ldap.zack00,dc=com 及 ou=Group,dc=ldap.zack00,dc=com

yum 安裝PhpLDAPAdmin

下面安裝web界面phpldapadmin

# yum安裝時，會自動安裝apache和php的依賴。# 注意： phpldapadmin很多沒更新了，只支持php5，如果你服務器的環(huán)境是php7，則會有問題，頁面會有各種報錯yum install -y phpldapadmin # 修改apache的phpldapadmin配置文件# 修改如下內容，放開外網(wǎng)訪問，這里只改了2.4版本的配置，因為centos7 默認安裝的apache為2.4版本。所以只需要改2.4版本的配置就可以了# 如果不知道自己apache版本，執(zhí)行 rpm -qa|grep httpd 查看apache版本 vim /etc/httpd/conf.d/phpldapadmin.conf----------------------------------------------------------------- ? # Apache 2.4 ? Require all granted ----------------------------------------------------------------- # 修改配置用DN登錄ldapvim /etc/phpldapadmin/config.php-----------------------------------------------------------------# 398行，默認是使用uid進行登錄，我這里改為cn，也就是用戶名$servers->setValue('login','attr','cn'); # 460行，關閉匿名登錄，否則任何人都可以直接匿名登錄查看所有人的信息$servers->setValue('login','anon_bind',false); # 519行，設置用戶屬性的唯一性，這里我將cn,sn加上了，以確保用戶名的唯一性$servers->setValue('unique','attrs',array('mail','uid','uidNumber','cn','sn'));----------------------------------------------------------------- # 啟動apachesystemctl start httpdsystemctl enable httpd?

在瀏覽器上訪問: http://ip/ldapadmin ，然后使用上面定義的用戶，進行登錄，如下：

下載CS客戶端 LDAPAdmin

LDAP Admin下載

訪問LDAP Admin官網(wǎng)下載地址http://www.ldapadmin.org/download/index.html

根據(jù)自己操作系統(tǒng)的版本下載相應的應用程序包

將下載下來LdapAdminExe-w64-1.8.3.zip解壓得到一個LdapAdmin.exe文件雙擊運行即可

連接OPenLDAP

1.雙擊LdapAdmin.exe程序打開

2.點擊左上角服務標簽，創(chuàng)建一個OpenLDAP的連接 ”new connecttion“

OK，到此處已經(jīng)部署完成，沒有大問題的話現(xiàn)在可以使用了，具體建立什么樣的目錄系統(tǒng)，需要根據(jù)自己公司或者組織的實際情況處理。

參考

(頭條不讓外聯(lián)，大家可以搜索很容易找到)

OpenLDAP + phpLDAPadmin

Centos7 搭建openldap完整詳細教程

OpenLDAP管理工具之LDAP Admin

最近幫忙建設公司部門的devops 系統(tǒng)，記錄一些信息。如果有前輩可以一起交流，相互學習。Zack歡迎大家轉發(fā)和收藏，感興趣Zack從事的方向多多關注(物聯(lián)網(wǎng)、人工智能、水態(tài)組織[自由工作狀態(tài)]等)。如果您公司也想搭建也歡迎留言交流。

總結

以上是生活随笔為你收集整理的centos7 关闭selinux_Devops之LDAP部署安装（centos7+openLDAP+PhpLDAPAdmin）的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內容還不錯，歡迎將生活随笔推薦給好友。