Ver el código de «Ferramentas para administración do LDAP: ldapscripts, LDAP Account Manager (LAM) e JXplorer»

==Introdución==
*Como vimos no apartado anterior traballar con ficheiros LDIF é un chisco enguedellado. 
*Neste apartado imos facer unha breve reseña sobre algunhas ferramentas que podemos utilizar para administrar o servidor LDAP de forma xenérica, para introducir, buscar e extraer información, mantelo en óptimo funcionamento, etc.

== Administración mediante scripts ==
*O paquete '''ldapscripts''' inclúe unha serie de scripts para administrar de forma sinxela os usuarios e grupos almacenados no servidor LDAP.
*Este paquete proporciona scripts para xestionar contas tipo POSIX (usuarios, grupos e máquinas) no directorio activo.

===Instalación do paquete ldapscripts===
En primeiro lugar teremos que instalar en '''dserver00''' o paquete:
 apt-get install ldapscripts

*A continuación temos que editar o ficheiro de configuración '''/etc/ldapscripts/ldapscripts.conf''' de acordo ás preferencias do noso servidor LDAP, descomentando e modificando os seguintes parámetros:
<pre>
SERVER="ldap://localhost"
BINDPWDFILE="/etc/ldapscripts/ldapscripts.passwd"
SUFFIX="dc=iescalquera,dc=local"
GSUFFIX="ou=grupos"
USUFFIX="ou=usuarios"
MSUFFIX="ou=maquinas"
...
BINDDN="cn=admin,dc=iescalquera,dc=local"
BINDPWDFILE="/etc/ldapscripts/ldapscripts.passwd"
...
CREATEHOMES="yes"
</pre>

*Para rematar a configuración do paquete
**introduciremos no ficheiro '''/etc/ldapscripts/ldapscripts.passwd''' o contrasinal para conectarse ao servidor LDAP
**Configuramos que so root poida acceder ao ficheiro:
<syntaxhighlight lang="bash" enclose="div" highlight="">
sh -c "echo -n 'abc123.' > /etc/ldapscripts/ldapscripts.passwd"
chmod 400 /etc/ldapscripts/ldapscripts.passwd
</syntaxhighlight>

*Agora temos moitos comandos que comezan por ldap (Lembrar premer TAB 2 veces).
*Pararse un minuto a mirar os seus nomes, onde se pode comprobar que son bastante intuitivos.
*Lembrar que algúns son do paquete ''ldap-utils'':
 '''root@dserver00:~# ldap
 ldapadd                  ldapdeleteuserfromgroup  ldapmodrdn
 ldapaddgroup             ldapexop                 ldappasswd
 ldapaddmachine           ldapfinger               ldaprenamegroup
 ldapadduser              ldapgid                  ldaprenamemachine
 ldapaddusertogroup       ldapid                   ldaprenameuser
 ldapcompare              ldapinit                 ldapsearch
 ldapdelete               ldapmodify               ldapsetpasswd
 ldapdeletegroup          ldapmodifygroup          ldapsetprimarygroup
 ldapdeletemachine        ldapmodifymachine        ldapurl
 ldapdeleteuser           ldapmodifyuser           ldapwhoami

===Xestión de usuarios e grupos=== 
*A continuación móstrase o uso dos scripts do paquete para crear, cambiar o contrasinal e borrar un usuario, así como crear e borrar un grupo e engadir e eliminar usuarios a un grupo:


*Pero temos un problema:
**Os scripts traballan directamente con tres OUs específicas: usuarios, grupos e maquinas.
**Eses scripts non traballan cos obxectos que estean contidos en fillos desas OUs.
**Por exemplo se observamos o noso DIT:
[[Image:00_Dominios_Linux_LDAP_parte_01_B.jpg|600px]]
*Vemos que non podemos dar usuarios de alta nas OUs profes, dam1 e dam2, só os podemos dar de alta con estes scripts na OU usuarios.
*Estes scripts veñen ben cando se trata de organizacións pequenas que non  teñen clasificados os usuarios e todos están xuntos na OU usuarios.
*O mesmo pasa coas máquinas.
*En cambio cos grupos, neste caso, si que podemos dar de alta. Neste caso o grupo '''g-alum'''. Non confuncir coa OU alumnos.

 '''ldapaddgroup g-alum'''
 ''Successfully added group g-alum to LDAP''

*A continuación ponse a modo de exemplo unha ficticia xestión de usuarios, que vai traballar coa OU usuarios (supoñendo que previamente creamos no LDAP os grupos ''grupo1-ficticio'' e ''grupo2-ficticio'' con ''ldapaddgroup''):
  
 '''ldapadduser pepe grupo1-ficticio'''
 ''Successfully added user pepe to LDAP''
 ''Successfully set password for user pepe
 ''Successfully created home directory for user pepe''

 '''ldapsetpasswd pepe'''
 ''Changing password for user uid=pepe,ou=usuarios,dc=iescalquera,dc=local''
 ''New Password:'' 
 ''Retype New Password:'' 
 ''Successfully set password for user uid=pepe,ou=usuarios,dc=iescalquera,dc=local''

 '''ldapaddusertogroup pepe grupo2-ficticio'''
 ''Successfully added user pepe to group grupo2-ficticio''
'''NOTAS:'''
* En '''/home''' do servidor crearíase unha carpeta persoal para ''pepe'', pero non nos clientes, iso verase na parte III do curso.
* Para comprobar o resultado, agora poderiamos iniciar sesión, en modo consola, non en modo gráfico, que se verá na parte III do curso, co usuario ''pepe'' dende un equipo configurado para tomar os usuarios do LDAP e utilizar o comando ''id'' para ver os grupos aos que pertence.

 
Imos ver agora como borrar o usuario e grupo creados:
 '''ldapdeleteuserfromgroup pepe grupo2-ficticio'''
 ''Successfully deleted user pepe from group grupo2-ficiticio''

 '''ldapdeleteuser pepe'''
 ''Successfully deleted user uid=pepe,ou=usuarios,dc=iescalquera,dc=local from LDAP''

 '''ldapdeletegroup grupo1-ficiticio'''
 ''Successfully deleted group cn=grupo1-ficiticio,ou=grupos,dc=iescalquera,dc=local from LDAP''

'''NOTA:''' Observar como se eliminaría o usuario ''pepe'', pero a súa carpeta carpeta persoal seguiría no servidor en '''/home'''. No cliente xa non tiña carpeta.

Unha opción que pode ser moi útil con estes scripts é a de definir un modelo para os valores por defecto que terán os novos usuarios, grupos e máquinas. Estes modelos deben ser almacenados en ficheiros con formato LDIF (en ''/usr/share/doc/ldapscripts/examples'' hai exemplos destes ficheiros coa estensión ''.template.sample''). No ficheiro de configuración ''/etc/ldapscripts/ldapscripts.conf'' podemos indicar os ficheiros de modelos que queiramos utilizar nos parámetros '''UTEMPLATE''' (usuarios), '''GTEMPLATE''' (grupos) e '''MTEMPLATE''' (máquinas).

== LDAP Account Manager (LAM)==

===Instalación de LAM ===
*Outra ferramenta que podemos utilizar para administrar os usuarios e grupos do servidor LDAP é [http://www.ldap-account-manager.org LDAP Account Manager]. 
*Instálase en calquera equipo o paquete '''ldap-account-manager''', neste caso imos instalalo no servidor ''dserver00''. Así que, introducimos o comando:
 '''apt-get install ldap-account-manager
 
 Lendo as listas de paquetes... Feito
 Construindo a árbore de dependencias       
 Lendo a información do estado... Feito
 Instalaranse os seguintes paquetes extra:
  apache2-mpm-prefork apache2-utils apache2.2-bin apache2.2-common
  libapache2-mod-php5 libapr1 libaprutil1 libaprutil1-dbd-sqlite3
  libaprutil1-ldap libonig2 libqdbm14 php-fpdf php5 php5-cli php5-common
  php5-gd php5-ldap
 Paquetes suxeridos:
  apache2-doc apache2-suexec apache2-suexec-custom php5-mcrypt
  ldap-account-manager-lamdaemon php-pear ttf2pt1
 Os seguintes paquetes NOVOS hanse instalar:
  apache2-mpm-prefork apache2-utils apache2.2-bin apache2.2-common
  ldap-account-manager libapache2-mod-php5 libapr1 libaprutil1
  libaprutil1-dbd-sqlite3 libaprutil1-ldap libonig2 libqdbm14 php-fpdf php5
  php5-cli php5-common php5-gd php5-ldap
 0 anovados, 18 instalados, Vanse retirar 0 e deixar 0 sen anovar.
 Ten que recibir 16,8 MB de arquivos.
 Despois desta operación ocuparanse 57,0 MB de disco adicionais.
 Quere continuar [S/n]? 
*Observar que vai instalar o servidor web apache.

Por se non estiveran instaladas as extensións XML e ZIP de PHP no servidor:
 apt-get install php-xml
 apt-get install php-zip

Reiniciamos o servizo
 service apache2 restart

===Configuración de LAM===
*Agora toca configurar a utilidade lam para que manexe o noso directorio LDAP.

*Ao rematar a instalación podemos conectarnos a el dende calquera equipo cun navegador web.
**Podemos facelo dende '''uclient01''': '''http://ip_ou_nomeservidor/lam'''
**Se temos Rede NAT de VirtualBox, podemos redirixir un porto, por exemplo 8080, ao porto 80 da IP do servidor
**Para conectarse dende o exterior sería, neste caso:  '''http://ip_do_equipo_real:8080/lam'''
**Nun servidor real, sería moi recomendable configurar o servidor apache para recibir conexións seguras e usar '''https''' en lugar de '''http'''


<gallery caption="Configurar LAM" widths="350px" heights="250px" perrow="2">
Image:Dl_2014_lam_01.jpeg| Unha vez conectados á utilidade, prememos en '''LAM configuration'''.
Image:Dl_2014_lam_02.jpeg| '''Editamos os perfiles do servidor'''.
Image:Dl_2014_lam_03.jpeg| O contrasinal por defecto da utilidade LAM é: '''lam'''. Pódese cambiar.
</gallery>

*Na lapela '''General Settings''':
** '''Tree suffix''': Para introducir o sufixo do noso directorio ('''dc=iescalquera,dc=local''').
** '''Default language''': Español.
** '''List of valid users''': Poremos o DN do usuario administrador do LDAP ('''cn=admin,dc=iescalquera,dc=local''')
** Podemos cambiar o contrasinal para acceder a esta páxina de configuración introducindo nas dúas últimas caixas de texto un novo.
[[Image:Dl_2014_lam_04.jpeg|400px]]


* Se gardamos os cambios, agora xa podemos ver a páxina de configuración en castelán.
* Na lapela '''Tipos de cuentas''', dentro do apartado '''Tipos de cuentas activos''':
** Borramos ao final da páxina o tipo de conta: '''Dominios de Samba''' que usaremos na parte V do curso, se é que ese tipo de conta estivese activo.
[[Image:Dl_2014_lam_05.jpeg|600px]]


* Na mesma lapela '''Tipos de cuenta''', dentro do apartado '''Tipos de cuentas activos''':
** '''Usuarios -> Sufijo LDAP''': ou=usuarios,dc=iescalquera,dc=local
** '''Grupos -> Sufijo LDAP''': ou=grupos,dc=iescalquera,dc=local
** '''Equipos (hosts) -> Sufijo LDAP''': ou=maquinas,dc=iescalquera,dc=local
***Esta última non a imos usar por agora, pero deixámola configurada.
***Esta última non a imos usar por agora, pero deixámola configurada.
***Se non está activa, engadila a "Tipos de conta activas"
[[Image:Dl_2014_lam_06.jpeg|600px]]



* Na lapela '''Módulos''', en Usuarios, Grupos e Equipos retiramos, se estivera presente, o módulo Samba 3:
[[Image:Dl_2014_lam_07.jpeg|400px]]


*A seguinte imaxe amosa Usuarios, Grupos e Equipos sen o módulo SAMBA 3. No caso dos Equipos asegurarse de que stean presentes os módulos Account e Unix.
[[Image:Dl_2014_lam_08.jpeg|400px]]
*'''Prememos en salvar agora, ou cando vexamos a seguinte lapela'''.


*Na lapela '''Preferencias del módulo''' podemos ver que opcións podemos ocultar, en UID e GID podemos ver en que números se comeza para ser asignados a usuarios e grupos.
[[Image:Dl_2014_lam_09.jpeg|400px]]

*Podemos revisar a configuración sempre que o desexemos.

===Iniciar sesión por primeira vez===
*Imos revisar todo o realizado até agora con ''ldap-utils'' e ''ldapscript'' no directorio LDAP.

<gallery caption="Revisión do realizado" widths="350pxpx" heights="250px" perrow="2">
Image:Dl_2014_lam_13.jpeg| Observar como xa pon '''admin''' como nome de usuario para conectarse ao directorio LDAP.
Image:Dl_2014_lam_14.jpeg| Indícanos que no noso directorio LDAP non hai unha rama '''máquinas''' e se desexamos que sexa creada. Indicamos que si.
Image:Dl_2014_lam_16.jpeg| Observamos os usuarios creados até agora. Observar que podemos seleccionar dentro de que OU desexamos velos/crealos.
Image:Dl_2014_lam_17.jpeg| Os grupos creados até agora e os seus usuarios que os teñen como grupos secundarios.
Image:Dl_2014_lam_25.jpeg| Nos usuarios aconséllase pararse a analizar os campos. Se editamos un usuario.
Image:Dl_2014_lam_26.jpeg| Vemos cada un dos ObjectClass: Personal ...
Image:Dl_2014_lam_27.jpeg| ... Unix, observar o grupo primario. Podemos editar os grupos para ver ...
Image:Dl_2014_lam_28.jpeg| ... a que grupos secundarios pertence ese usuario.
Image:Dl_2014_lam_29.jpeg| En '''Sombra''' pódese bloquear o contrasinal, cambiar, poñer data caducidade. Observar como indica LAM que o contrasinal nunca caduca: 31-12-1969, equivale ao valor '''shadowExpire: -1''' que poñíamos nos ficheiros LDIF.
Image:Dl_2014_lam_30.jpeg| Se editamos un grupo ...
Image:Dl_2014_lam_31.jpeg| ... vemos os seus atributos e valores. Se editamos os usuarios ...
Image:Dl_2014_lam_32.jpeg| ... vemos os seus membros.
Image:Dl_2014_lam_19.jpeg| Se prememos en '''Visor del árbol''' vemos toda a estrutura en formato DIT.
</gallery>

===Crear OUs en LAM===
*Imos crear unha das OUs que nos falta: '''dam2'''.
[[Image:00_Dominios_Linux_LDAP_parte_01_B.jpg|500px]]

<gallery caption="Crear OU dam2" widths="350pxpx" heights="250px" perrow="2">
Image:Dl_2014_lam_20.jpeg| Premer en '''Crear nueva entrada aquí''' dentro da OU=alum.
Image:Dl_2014_lam_21.jpeg| Seleccionar que é unha OU xenérica.
Image:Dl_2014_lam_22.jpeg| Indicar o nome: '''dam2'''
Image:Dl_2014_lam_23.jpeg| Gardar
Image:Dl_2014_lam_24.jpeg| OU creada e á dereita amósase todo o que se pode facer nesa OU.
</gallerY>

===Crear grupos en LAM. Exercicio===
*Imos agora crear os grupos que faltan por crear: ''g-dam1-alum'' e ''g-dam2-alum''
[[Image:00_Dominios_Linux_parte_01_Usuarios.jpg|600px]]

<gallery caption="Crear grupos" widths="350pxpx" heights="250px" perrow="2">
Image:Dl_2014_lam_33.jpeg| En Grupos, premer en '''Nuevo grupo'''.
Image:Dl_2014_lam_34.jpeg| Poñer o nome do grupo: '''g-dam1-alum'''. Observar que non se puxo o GID, porque ...
Image:Dl_2014_lam_35.jpeg| ... LAM créao automaticamente, observar que lle asignou o seguinte número libre: '''10005'''
Image:Dl_2014_lam_36.jpeg| '''Exercicio''': agora o/a lector/a debe agora crear o grupo '''g-dam2-alum'''.
</gallery>

===Crear usuarios en LAM===
*Lembrar como estaba organizados os usuarios:
[[Image:00_Dominios_Linux_parte_01_Usuarios.jpg|600px]]

*Podemos crear usuarios en modo gráfico como se fixo cos grupos, pero imos crealos cun ficheiro CSV.
*Un ficheiro '''[http://es.wikipedia.org/wiki/CSV CSV]''' é, en modo resumido, un ficheiro onde cada liña representa un obxecto do directorio e os seus campos están separados por comas.
*Este tipo de ficheiros son moi cómodos cando se desexan crear usuarios de forma masiva.
*So hai que poñer unha liña na cabeceira cos campos (separados por comas) que vai conter o ficheiro.
*E debaixo unha liña por cada obxecto, cos valores dos campos separados por comas.


*Aconséllase traballar nunha folla de cálculo, pois logo podemos exportar o ficheiro a formato CSV, que é un documento de texto, onde cada campo da folla se converterá nun campo separado por comas no ficheiro CSV.
*É moi recomendable que se conserven os dous ficheiros: o da folla de cálculo (xls ou ods) e o CSV. O primeiro sobre todo porque pode conter fórmulas para construír os valores dos distintos campos.
*No seguinte enlace está un ficheiro en formato '''ods''' (Folla de cálculo de LibreOffice) que se pode usar como base para crear os usuarios: 
**Formato ods: [https://drive.google.com/file/d/0B3NuUZwVb9ogVE5JeW5ycU9tanc/edit?usp=sharing usuarios.ods]
**Formato [https://docs.google.com/spreadsheets/d/1--flFn8nenM-8ZygtpLakAacfwwzcy4oBRNVOnO3fyE/edit?usp=sharing Google Drive]

*Dos usuarios que faltan por crear, crearemos a ''Mon'', ''Tom'' e ''Pía''. Imos deixar polo momento sen crear a ''Paz''.

<gallery caption="Crear usuarios con CSV" widths="350pxpx" heights="250px" perrow="2">
Image:Dl_2014_lam_39.jpeg| En '''Usuarios''' premer en '''File upload'''.
Image:Dl_2014_lam_40.jpeg| Observar que nos pide que tipo de conta e módulos. Premer en '''Aceptar'''.
Image:Dl_2014_lam_41.jpeg| Se prememos en '''Descargar archivo csv de ejemplo''' podemos ver como se constrúe o ficheiro.
Image:Dl_2014_lam_42.jpeg| Abrímolo con LibreOffice ou Excel.
Image:Dl_2014_lam_45.jpeg| Observar que dentro dun campo pode haber comas, nese caso o campo vai entre comillas.
Image:Dl_2014_lam_43.jpeg| Cando marcamos que o separador é a coma, vemos como se van construír as columnas.
Image:Dl_2014_lam_44.jpeg| E aí temos o ficheiro exemplo, do que imos eliminar varias columnas/campos por non usalas. O ficheiro que está arriba amosa os campos que imos usar. Pódese usar ese ficheiro de base.
Image:Dl_2014_lam_46.jpeg| Unha vez que configuremos a folla de cálculo como desexemos (exemplo o ficheiro de arriba). Imos crear o usuario ''Mon''. 
Image:Dl_2014_lam_48.jpeg| Gardamos a folla como formato Excel ou Calc e tamén en formato CSV. Marcar editar a configuración do filtro.
Image:Dl_2014_lam_49.jpeg| Advertencia de LibreOffice de que non imos usar o seu formato. 
Image:Dl_2014_lam_50.jpeg| Vemos que o delimitador de campo é coma e o texto vai ir entre comillas naqueles casos nos que conteña comas.
Image:Dl_2014_lam_51.jpeg| Os dous ficheiros creados. A folla de cálculo será sempre para crear os nosos usuarios e unha vez composta gardámola como CSV.
Image:Dl_2014_lam_52.jpeg| Editamos cun editor de texto o ficheiro CSV para ver o seu contido.
Image:Dl_2014_lam_53.jpeg| Agora cargamos o ficheiro. Navegamos até el ...
Image:Dl_2014_lam_54.jpeg| ... e subímolo. Antes se se quere pódese ver o ficheiro ldif asociado.
Image:Dl_2014_lam_55.jpeg| LAM chequea o formato e contido do ficheiro e se todo vai ben esa é mensaxe. Subímolo.
Image:Dl_2014_lam_56.jpeg| E aí vemos a Mon co seu UID (10002), que non se lle indicou no ficheiro.
Image:Dl_2014_lam_57.jpeg| E vémolo dentro da súa OU ...
Image:Dl_2014_lam_58.jpeg| ... e do seu grupo secundario.
</gallery>


====Exercicio para o/a lector/a====
*Agora o/a lector/a, baseándose no ficheiro '''usuarios.ods''' de arriba  debe ser quen de crear os usuarios:
**mon (dam1)
**tom (''dam1'')
**pia (''dam2'')

 
*Unha vez creados este debe ser o resultado.
<gallery caption="Resultado final" widths="350pxpx" heights="250px" perrow="2">

Image:Dl_2014_lam_59.jpeg| Vemos os usuarios: mon, tom e pia. (Premeuse no campo Número UID, para ordenar o listado)
Image:Dl_2014_lam_60.jpeg| Vemos os grupos cos seus usuarios. (Premeuse no campo Número UID, para ordenar o listado)
Image:Dl_2014_lam_61.jpeg| Resultado de executar nun cliente LDAP: '''getent passwd'''
Image:Dl_2014_lam_62.jpeg|Resultado de executar nun cliente LDAP: '''getent group'''
</gallery>

'''IMPORTANTE:''' Con '''LAM''' pódense crear usuario e grupos, pero non vai crear no servidor as carpetas persoais asociadas a cada usuario.

== JXplorer ==

*Existen moitas máis ferramentas gráficas para conectarse a un servidor LDAP e manexar a información almacenada nel, e '''[http://jxplorer.org JXplorer]''' é un dos máis usados. Está implementado en Java, polo que pode usado tanto dende unha máquina Windows como Linux.
*Só hai que instalala no cliente e non se precisa realizar nada no servidor.
*No noso caso ímola instalar no cliente Ubuntu Desktop ('''uclient01'''), e teremos que ter instalada no equipo a máquina virtual de java. 
*Dende a páxina de descargas (http://jxplorer.org/downloads/users.html) pódese descargar JXplorer para distintas plataformas.
*No noso caso se alguén a instala no equipo real que lembre que precisa redirixir portos se usa Rede NAT de VirtualBox para a IP de dserver00, porto 389.


*No noso caso en '''uclient01''':
 '''sudo apt-get install jxplorer

*Observar que xa instala os paquetes Java que precisa, se non estiveran instalados xa.



A continuación móstranse algunhas opcións do programa:

<gallery caption=''Opcións de JXplorer'' widths="350px"  heights="250px" perrow="2">
Image: Dl_2014_jxplorer_01.jpeg|Ventá do programa antes de conectarse a ningún servidor LDAP. O primeiro botón da barra de ferramentas permítenos conectarnos a un servidor.
Image: Dl_2014_jxplorer_02.jpeg|Ventá de conexión ao servidor LDAP. Teremos que indicar<br>-Os datos do servidor (dirección IP, porto)<br>-A rama base do LDAP (no noso caso '''dc=iescalquera,dc=local''')<br>-As credenciais para conectarnos (podemos seleccionar anónimo, pero se queremos facer modificacións no noso caso nos conectaremos como ''admin'').<br>-Podemos gardar a conexión para vindeiras ocasións.
Image: Dl_2014_jxplorer_03.jpeg|Visualización da árbore LDAP unha vez conectados ao servidor LDAP. Podemos mover elementos dun lugar a outro arrastrándoos na visualización na árbore.
Image: Dl_2014_jxplorer_04.jpeg|O menú '''LDIF''' ofrece opcións como exportar todo ou unha rama do directorio a un ficheiro LDIF ou importar un ficheiro LDIF.
</gallery>

==Instantáneas do escenario 1.E==

*Ao igual que se fixo nos escenarios anteriores, convén crear a instantánea do escenario 1.E tanto no servidor ''dserver00'' como nos clientes ''uclient01'' e ''uclient02''.



-- [[Usuario:antonio| Antonio de Andrés Lema]] e [[Usuario:Carrion| Carlos Carrión Álvarez]]