CentOS安装LDAP并配置TLS

1. 安装所需软件

centos7:

yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel

centos8:

wget -q https://repo.symas.com/configs/SOFL/rhel8/sofl.repo -O /etc/yum.repos.d/sofl.repo
dnf clean all
dnf makecache
dnf install symas-openldap-servers symas-openldap-clients

2. 启动服务

systemctl start slapd
systemctl enable slapd

3. 基础配置

生成并设置管理员密码

slappasswd

创建 chrootpw.ldif 文件，写入如下配置：

dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

将文件中的配置动态载入openLDAP服务器：

ldapadd -Y EXTERNAL -H ldapi:/// -f chrootpw.ldif

导入基本schema

导入默认提供的全部schema:

ls /etc/openldap/schema/*.ldif | xargs -I {} ldapadd -Y EXTERNAL -H ldapi:/// -f {}

修改域信息、创建域管理员账户

使用slappasswd命令生成密码
创建 chdomain.ldif ，写入如下配置：

dn: olcDatabase={1}monitor,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to *
   by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read
   by dn.base="cn=admin,dc=example,dc=com" read
   by * none

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=example,dc=com

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=admin,dc=example,dc=com

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootPW
olcRootPW: {SSHA}xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

dn: olcDatabase={2}hdb,cn=config
changetype: modify
add: olcAccess
olcAccess: {0}to attrs=userPassword,shadowLastChange
   by dn="cn=admin,dc=example,dc=com" write
   by anonymous auth
   by self write
   by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to *
   by dn="cn=admin,dc=example,dc=com" write
   by * read

载入配置动态修改：

ldapmodify -Y EXTERNAL -H ldapi:/// -f chdomain.ldif

启用memberof模块

创建 add_memberof.ldif 文件并写入如下配置：

dn: cn=module{0},cn=config
cn: modulle{0}
objectClass: olcModuleList
objectclass: top
olcModuleload: memberof.la
olcModulePath: /usr/lib64/openldap

dn: olcOverlay={0}memberof,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcMemberOf
objectClass: olcOverlayConfig
objectClass: top
olcOverlay: memberof
olcMemberOfDangling: ignore
olcMemberOfRefInt: TRUE
olcMemberOfGroupOC: groupOfUniqueNames
olcMemberOfMemberAD: uniqueMember
olcMemberOfMemberOfAD: memberOf

创建 refint1.ldif 文件并写入如下配置:

dn: cn=module{0},cn=config
add: olcmoduleload
olcmoduleload: refint

创建 refint2.ldif 文件并写入如下配置:

dn: olcOverlay=refint,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcOverlayConfig
objectClass: olcRefintConfig
objectClass: top
olcOverlay: refint
olcRefintAttribute: memberof uniqueMember  manager owner

载入配置：

ldapadd -Q -Y EXTERNAL -H ldapi:/// -f add_memberof.ldif
ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint1.ldif
ldapadd -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif

创建组织及管理角色

创建名为EXA的组织，并在其下创建一个 admin 的组织角色（该组织角色内的用户具有管理整个 LDAP 的权限）和 People 和 Group 两个组织单元
创建 exa.ldif ，写入如下配置：

dn: dc=example,dc=com
objectClass: top
objectClass: dcObject
objectClass: organization
o: EXA
dc: example

dn: cn=admin,dc=example,dc=com
objectClass: organizationalRole
cn: admin

dn: ou=People,dc=example,dc=com
objectClass: organizationalUnit
ou: People

dn: ou=Group,dc=example,dc=com
objectClass: organizationalRole
cn: Group

载入配置：

ldapadd -x -D cn=admin,dc=example,dc=com -W -f exa.ldif

关闭匿名访问

创建 disabled_anon.ldif 文件并添加如下配置

dn: cn=config
changetype: modify
add: olcDisallows
olcDisallows: bind_anon

dn: cn=config
changetype: modify
add: olcRequires
olcRequires: authc

dn: olcDatabase={-1}frontend,cn=config
changetype: modify
add: olcRequires
olcRequires: authc

载入修改：

ldapadd -Y EXTERNAL -H ldapi:/// -f disabled_anon.ldif

4. 验证LDAP server服务

ldapsearch -x -H ldap://127.0.0.1:389 -b cn=admin,dc=example,dc=com -D "cn=admin,dc=example,dc=com" -W

5. TLS配置

安装openssl软件包

yum install openssl openssl-devel -y

生成服务器密钥、服务器证书

openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/pki/tls/ldapserver.key -out /etc/pki/tls/ldapserver.crt
chown ldap:ldap /etc/pki/tls/{ldapserver.crt,ldapserver.key}

导入TLS配置

新建add-tls.ldif文件并写入配置：

dn: cn=config
changetype: modify
replace: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/pki/tls/ldapserver.crt
-
replace: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/pki/tls/ldapserver.key
-
replace: olcTLSCertificateFile
olcTLSCertificateFile: /etc/pki/tls/ldapserver.crt

载入配置：

ldapadd -Y EXTERNAL -H ldapi:/// -f add-tls.ldif

检查配置:

slapcat -b "cn=config" | grep olcTLS

客户端配置

将ldapserver.crt拷贝至本机，
修改 /etc/openldap/ldap.conf ：

TLS_CACERT     /etc/pki/tls/ldapserver.crt

验证TLS配置

ldapsearch -x -H ldap://127.0.0.1:389 -b cn=admin,dc=example,dc=com -D "cn=admin,dc=example,dc=com" -W -ZZ

6. 卸载openldap

systemctl stop slapd
systemctl disable slapd
yum -y remove openldap-servers openldap-clients
rm -rf /var/lib/ldap
groupdel ldap
userdel ldap
rm -rf /etc/openldap

7. 卸载后重装openldap报错

卸载后再次重装openldap时，可能出现报错：

main: TLS init def ctx failed: -1
DIGEST-MD5 common mech free
slapd stopped.
connections_destroy: nothing to destroy.
Failed to start OpenLDAP Server Daemon.

解决办法：

mkdir -p /etc/openldap/certs
bash /usr/libexec/openldap/create-certdb.sh
bash /usr/libexec/openldap/generate-server-cert.sh
yum reinstall openldap openldap-servers openldap-clients