Antonio: /* Definir as directivas básicas de configuración do servidor LDAP */

2011-03-02T15:44:57Z

Definir as directivas básicas de configuración do servidor LDAP

Página nueva

== Instalar os paquetes necesarios ==
En primeiro lugar, teremos que instalar no servidor os paquetes necesarios para a execución do servidor LDAP (''slapd'') e as utilidades básicas para manexar a súa información:
<source lang="bash">
sudo apt-get install slapd ldap-utils
</source>

== Agregar os esquemas básicos ==

Por defecto, o paquete ''slapd'' de Ubuntu Server só inclúe na configuración do LDAP o esquema básico ''core.schema''. Co seguinte comando engadimos unha serie de esquemas básicos almacenados en ficheiros LDIF na carpeta ''/etc/ldap/schema'':
ls /etc/ldap/schema/*.ldif | xargs -I {} sudo ldapadd -Y EXTERNAL -H ldapi:/// -f {}

Se observamos a saída da execución do comando, veremos que se produce un erro ao intentar engadir o esquema ''core'', debido a que xa está engadido:
<pre>
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
adding new entry "cn=core,cn=schema,cn=config"
ldap_add: Other (e.g., implementation specific) error (80)
additional info: olcAttributeTypes: Duplicate attributeType: "2.5.4.2"
</pre>

O resto dos esquemas serán engadidos con éxito, como se pode ver a continuación no caso do esquema ''openldap'':
<pre>
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
adding new entry "cn=openldap,cn=schema,cn=config"
</pre>

== Definir as directivas básicas de configuración do servidor LDAP ==

Creamos un ficheiro LDIF coa información de configuración básica do LDAP, para crear a base de datos ''cn=config'' inicial.
A continuación móstrase o contido deste ficheiro que crea o directorio base ''dc=iescalquera,dc=local'':

<pre>
# Carga dos modulos necesarios para o almacenamento da base de datos
dn: cn=module,cn=config
objectclass: olcModuleList
cn: module
olcModulepath: /usr/lib/ldap
olcModuleload: back_hdb

# Creacion do directorio da base de datos
dn: olcDatabase=hdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcHdbConfig
olcDatabase: {1}hdb
# Directorio do sistema onde se almacena a base de datos
olcDbDirectory: /var/lib/ldap
# Nome do dominio (por exemplo iescalquera.local)
olcSuffix: dc=iescalquera,dc=local
# Administrador do LDAP
olcRootDN: cn=admin,dc=iescalquera,dc=local
olcRootPW: admin
# Parametros para optimizar o rendemento
olcDbConfig: set_cachesize 0 2097152 0
olcDbConfig: set_lk_max_objects 1500
olcDbConfig: set_lk_max_locks 1500
olcDbConfig: set_lk_max_lockers 1500
olcLastMod: TRUE
olcDbCheckpoint: 512 30
# Indices na base de datos para optimizar as busquedas
olcDbIndex: uid pres,eq
olcDbIndex: cn,sn,mail pres,eq,approx,sub
olcDbIndex: objectClass eq
# Un usuario debe poder cambiar o seu contrasinal, calquera debe poder autentificarse contra ela
# O administrador debe poder cambiar o contrasinal de calquera usuario
olcAccess: to attrs=userPassword by self write by anonymous auth by dn="cn=admin,dc=iescalquera,dc=local" write by * none
olcAccess: to attrs=shadowLastChange by self write by dn="cn=admin,dc=iescalquera,dc=local" write by * read
# So o administrador pode modificar os datos dos usuarios ou o propio usuario
olcAccess: to * by self write by dn="cn=admin,dc=iescalquera,dc=local" write by * read
olcAccess: to dn.base="" by * read

# Modificacions necesarias para poder acceder ao LDAP para editar a rama cn=config
# Neste caso, ao usuario cn=admin,cn=config asignamoslle o contrasinal 1234
dn: olcDatabase={-1}frontend,cn=config
changetype: modify
delete: olcAccess

dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootDN
olcRootDN: cn=admin,cn=config

dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootPW
olcRootPW: 1234

dn: olcDatabase={0}config,cn=config
changetype: modify
delete: olcAccess
</pre>
* '''Nota''': Cos parámetros deste ficheiro imos almacenar os contrasinais de administración do LDAP en claro no propio directorio (neste caso se puxeron os contrasinais ''admin'' e ''1234''). En lugar de poñer directamente os contrasinais en claro, poden poñerse tamén (e sería máis seguro) os ''hashes'' destes contrasinais, que se poden obter usando o comando ''slappasswd'' (Por exemplo, o comando ''slappasswd -h {SHA}'' devolveranos o hash que teriamos que introducir para o contrasinal que lle indiquemos usando o algoritmo [http://es.wikipedia.org/wiki/Secure_Hash_Algorithm SHA]. O texto que nos devolva o comando, como por exemplo ''{SHA}cRDtpNCeBiql5KOQsKVyrA0sAiA='' sería o que introduciríamos en lugar dos contrasinais en claro).

Supoñendo que o ficheiro está gardado co nome ''db.ldif'', engadimos estes datos no directorio co seguinte comando:
sudo ldapadd -Y EXTERNAL -H ldapi:/// -f db.ldif

== Agregar a información básica do directorio ==

Imos inicializar o directorio coa rama principal ''dc=iescalquera,dc=local'' e dúas subramas para almacenar os usuarios (''ou=usuarios,dc=iescalquera,dc=local'') e os grupos (''ou=grupos,dc=iescalquera,dc=local'').

Engadiremos tamén no directorio un usuario (''alfredo'', con contrasinal ''abc123.'') e un grupo (''profes'').

O contido do ficheiro LDIF será o seguinte:
<pre>
# Creamos os obxecto raiz do dominio
dn: dc=iescalquera,dc=local
objectClass: top
objectClass: dcObject
objectclass: organization
o: iescalquera.local
dc: iescalquera
description: Raiz de dominio

# Creamos a rama na que colocaremos os usuarios
dn: ou=usuarios,dc=iescalquera,dc=local
objectClass: organizationalUnit
ou: usuarios

# Creamos a rama na que colocaremos os grupos
dn: ou=grupos,dc=iescalquera,dc=local
objectClass: organizationalUnit
ou: grupos

# Creamos un usuario
dn: uid=alfredo,ou=usuarios,dc=iescalquera,dc=local
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
uid: alfredo
sn: perez
givenName: Alfredo
cn: Alfredo Perez
displayName: Alfredo Perez
uidNumber: 10000
gidNumber: 10000
userPassword: abc123.
gecos: Alfredo Perez
loginShell: /bin/bash
homeDirectory: /home/alfredo
shadowExpire: -1
shadowFlag: 0
shadowWarning: 7
shadowMin: 8
shadowMax: 999999
shadowLastChange: 10877
mail: alfredo.perez@iescalquera.local
initials: AP

# Creamos un grupo
dn: cn=profes,ou=grupos,dc=iescalquera,dc=local
objectClass: posixGroup
cn: profes
gidNumber: 10000
</pre>

Almacenamos esta información no ficheiro ''init.ldif'' e imos introducila no LDAP conectándonos coas credencias do usuario administrador creado no ficheiro ''db.ldif'' (usuario ''cn=admin,dc=iescalquera,dc=local'', contrasinal ''admin''):
sudo ldapadd -x -D cn=admin,dc=iescalquera,dc=local -w admin -f init.ldif

== Probar o servidor LDAP ==

Para comprobar o resultado, podemos realizar unha lectura do contido do directorio co seguinte comando:
ldapsearch -x -H ldap://localhost -b dc=iescalquera,dc=local

Este comando mostraranos pola pantalla todo contido do da rama ''dc=iescalquera,dc=local'', que incluirá as ou de ''usuarios'' e ''grupos'' o usuario ''alfredo'' e o grupo ''profes''. Móstrase a continuación un extracto da saída no que se visualiza a información no directorio do grupo ''profes'':
<pre>
# profes, grupos, iescalquera.local
dn: cn=profes,ou=grupos,dc=iescalquera,dc=local
objectClass: posixGroup
cn: profes
gidNumber: 10000
</pre>

-- [[Usuario:antonio| Antonio de Andrés Lema]] e [[Usuario:Carrion| Carlos Carrión Álvarez]]

Instalación do servidor LDAP en Ubuntu Server - Historial de revisiones

Antonio: /* Definir as directivas básicas de configuración do servidor LDAP */