openldap
Présentation
LDAP est un protocole basé sur TCP/IP qui permet de partager des bases de données d'information sur un réseau interne (intranet) ou externe (internet). Ces bases de données sont appelées annuaire électronique (Directory en anglais), elles peuvent contenir tout type d'informations, des informations sur les personnes, à des données systèmes. Qui dit base de données, dit recherche, il est donc possible de faire des recherches dans la base en employant plusieurs critères, mais aussi bien sûr de la modifier, mais contrairement à un SGBD, un annuaire est très rapide en lecture, mais l'est beaucoup moins en écriture, en effet comme un annuaire est plutôt lu que modifier il a été optimisé pour la lecture et ne possède pas les mécanismes de transaction complexe que les SGBD possèdent pour traiter de gros volumes de données.Le LDAP ou Lightweight Directory Access Protocol est la version TCP/IP du protocole DAP, ce dernier étant le protocole pour accéder au protocole OSI du service d'annuaire
X500. Dans un premier temps LDAP s'est contenté d'être l'interface à des annuaires X500, mais maintenant LDAP peut gérer complètement les bases (standalone LDAP).
Installation d'OpenLDAP
libldap2-2.1.25-6mdk
openldap-2.1.25-6mdk
perl-ldap-0.31-2mdk
openldap-servers-2.1.25-6mdk
openldap-clients-2.1.25-6mdk
Choix du suffixe
Le rootDSE ou suffixe correspond à l'entrée tout en haut de l'arbre (DIT) de l'annuaire, on
utilise généralement le nom de domaine, avec la syntaxe suivante dc=menara, dc=ma pour
le domaine kervao.fr (dc correspond à Domain Component).
Configuration du serveur LDAP
On va créer un annuaire LDAP pour votre domaine privé menara.ma. On doit modifier les
fichiers slapd.conf.
#######################################################################
# database definitions
#######################################################################
database ldbm
suffix "dc=menara,dc=ma"
rootdn "cn=Manager,dc=menara,dc=ma"
#mot de passe en clair, on verra plus loin comment le crypter
rootpw secret
Le mot de passe de l'administrateur est secret en clair, si ça ne vous convient pas et que vous
voulez le mettre crypté, il faudra taper (exemple avec secret) :
slappasswd -v -s secret -h {CRYPT}
Voilà le résultat
{CRYPT}G.H5krNMMw0cc
A la place de
rootpw secret
Dans slapd.conf, vous mettrez donc:
rootpw {CRYPT}G.H5krNMMw0cc
# Droits d'accès que j'ai rajoutés en plus
access to attr=userPassword
by self write
by anonymous auth
by dn="cn=Manager,dc=kervao,dc=fr" write
by * none
access to *
by dn="cn=Manager,dc=kervao,dc=fr" write
by * read
Lancement du serveur
Chkconfig ldap on
Service ldap start
Ajouter un enregistrement
On va par exemple utiliser la classe breizPerson définie plus haut pour décrire une nouvelle
personne Veronique Hoarau qu'on va rajouter dans l'annuaire. Elle appartient au service
(organizationalUnit ) staff, ce même service appartenant à l'organisation kervao.fr
Soit le fichier entree.ldif
dn: dc=kervao, dc=fr
objectClass: dcObject
objectClass: organization
dc: kervao
o: kervao.fr
dn: ou=staff, dc=kervao, dc=fr
objectclass: organizationalUnit
ou: staff
dn: cn=Veronique Hoarau, ou=staff, dc=kervao, dc=fr
objectclass: person
objectclass: breizhPerson
cn: Veronique Hoarau
sn: Hoarau
title: madame
Quelques commentaires, le premier groupe correspond à la définition de votre organisation,
le deuxième à celui du groupe de travail (organizationalUnit) et le dernier à la personne.
Celle-ci est définie par son dn (Distinguished Name), on part du sommet bz (suffixe du nom de domaine), puis le nom de domaine, le groupe de travail et enfin la personne. L'arbre
(DIT) pourrait ressembler à ça:
cn=Véroniqu
e Hoarau
cn=Olivie
r Hoarau
Au niveau de la définition de la personne:
objetclass: person définit la classe père de la classe breizPerson,
objetclass: breizPerson classe décrivant la personne,
cn et sn sont des attributs à renseigner obligatoirement,
title est un attribut obligatoire
On rajoutera l'enregistrement en utilisant la syntaxe suivante (en tant que simple utilisateur):
ldapadd -x -D "description du dn de l'administrateur" -W -f nom-du-fichier-ldif
Exemple concret:
ldapadd -x -D "cn=Manager, dc=kervao, dc=fr" -W -f entree.ldif
Enter LDAP Password: secret
adding new entry "dc=kervao, dc=fr"
adding new entry "ou=staff, dc=kervao, dc=fr"
adding new entry "cn=Veronique Hoarau, ou=staff, dc=kervao, dc=fr"
Pour rajouter par la suite un autre enregistrement dans le groupe staff , il sera plus nécessaire
de rajouter la définition du groupe et de l'organisation. Soit le fichier entree.ldif
dn: cn=Olivier Hoarau, ou=staff, dc=kervao, dc=fr
objectclass: person
objectclass: breizhPerson
cn: Olivier Hoarau
sn: Hoarau
title: monsieur
On tape ensuite la commande:
ldapadd -x -D "cn=Manager, dc=kervao, dc=fr" -W -f entree.ldif
Enter LDAP Password:
adding new entry "cn=Olivier Hoarau, ou=staff, dc=kervao, dc=fr
Rechercher un enregistrement
On utilisera la fonction ldapsearch. Pour visualiser tout l'annuaire on peut taper :
ldapsearch -x -b 'dc=kervao, dc=fr' '(objectclass=*)'
Voilà le résultat
# extended LDIF
#
# LDAPv3
# filter: (objectclass=*)
# requesting: ALL
#
# kervao, fr
dn: dc=kervao, dc=fr
objectClass: dcObject
objectClass: organization
dc: kervao.fr
o: kervao.fr
# staff, kervao, fr
dn: ou=staff, dc=kervao, dc=fr
objectClass: organizationalUnit
ou: staff
# Veronique Hoarau, staff, kervao, fr
dn: cn=Veronique Hoarau, ou=staff, dc=kervao, dc=fr
objectClass: person
objectClass: breizhPerson
cn: Veronique Hoarau
sn: Hoarau
title: madame
# Olivier Hoarau, staff, kervao, fr
dn: cn=Olivier Hoarau, ou=staff, dc=kervao, dc=fr
objectClass: person
objectClass: breizhPerson
cn: Olivier Hoarau
sn: Hoarau
title: monsieur
# search result
search: 2
result: 0 Success
# numResponses: 5
# numEntries: 4
Modifier un enregistrement
Rajouter un attribut à un enregistrement
On va rajouter l'attribut facultatif location (l) à l'enregistrement Veronique Hoarau. On va
créer un fichier modif.ldif contenant:
dn: cn=Veronique Hoarau, ou=staff, dc=kervao, dc=fr
add: l
title: bureau36
On tape ensuite
ldapmodify -x -D "cn=Manager, dc=kervao, dc=fr" -W -f modif.ldif
Enter LDAP Password:secret
modifying entry "cn=Veronique Hoarau, ou=staff, dc=kervao, dc=fr"
Modifier un attribut
On va modifier l'attribut titre (title) à l'enregistrement Veronique Hoarau. On va créer un
fichier modif.ldif contenant:
dn: cn=Veronique Hoarau, ou=staff, dc=kervao, dc=fr
changetype: modify
replace: title
title: mademoiselle
On tape ensuite
ldapmodify -x -D "cn=Manager, dc=kervao, dc=fr" -W -f modif.ldif
Enter LDAP Password:secret
modifying entry "cn=Veronique Hoarau, ou=staff, dc=kervao, dc=fr"
Supprimer un attribut
On va supprimer l'attribut location (l) à l'enregistrement Veronique Hoarau. On va créer un
fichier modif.ldif contenant:
dn: cn=Veronique Hoarau, ou=staff, dc=kervao, dc=fr
delete: l
On tape ensuite
ldapmodify -x -D "cn=Manager, dc=kervao, dc=fr" -W -f modif.ldif
Enter LDAP Password:secret
modifying entry cn=Veronique Hoarau, ou=staff, dc=kervao, dc=fr
Supprimer un enregistrement
Pour supprimer l'enregistrement Veronique hoarau, on va créer un fichier modif.ldif
contenant
dn: cn=Veronique Hoarau, ou=staff, dc=kervao, dc=fr
changetype: delete
On tape ensuite:
ldapmodify -x -D "cn=Manager, dc=kervao, dc=fr" -W -f modif.ldif
Enter LDAP Password:secret
deleting entry cn=Veronique Hoarau, ou=staff, dc=kervao, dc=fr
ATTENTION Vous ne pouvez pas supprimer un attribut obligatoire comme title pour la
classe breizhPerson.
A présent dans le répertoire /usr/share/openldap/migration (si installation par package,
sinon dans le répertoire MigrationTools-46) , on va modifier le fichier
migrate_common.ph, on doit y indiquer son nom de domaine, comme ceci :
# Default DNS domain
$DEFAULT_MAIL_DOMAIN = "kervao.fr";
# Default base
$DEFAULT_BASE = "dc=kervao,dc=fr";
Eventuellement vous pouvez modifier la ligne suivante spécifiant le serveur de mail bien que
ce ne soit pas absolument nécessaire.
$DEFAULT_MAIL_HOST = "mail.padl.com";
A présent il faut rentrer les utilisateurs et groupes du système dans la base de données
LDAP. Commençons d'abord par créer des fichiers temporaires au format ldif. On tape
maintenant en tant que root (pour pouvoir lire /etc/shadow)
ETC_SHADOW=/etc/shadow
export ETC_SHADOW
./migrate_passwd.pl /etc/passwd /tmp/passwd.ldif
./migrate_group.pl /etc/group /tmp/group.ldif
Configuration serveur et client
Editer le fichier /etc/ldap.conf
# Your LDAP server. Must be resolvable without using LDAP.
# ici vous devez mettre l'adresse IP de votre serveur
host 192.168.13.11
# The distinguished name of the search base.
# votre nom de domaine
base dc=kervao,dc=fr
# The distinguished name to bind to the server with.
# Optional: default is to bind anonymously.
# pour pouvoir se connecter à votre base
binddn cn=Manager,dc=kervao,dc=fr
# The credentials to bind with.
# Optional: default is no credential.
# le mot de passe qui va bien
bindpw secret
(...)
# Filter to AND with uid=%s
pam_filter objectclass=account
# The user ID attribute (defaults to uid)
pam_login_attribute uid
(...)
# Hash password locally; required for University of
# Michigan LDAP server, and works with Netscape
# Directory Server if you're using the UNIX-Crypt
# hash mechanism and not using the NT Synchronization
# service.
# type de cryptage du mot de passe
pam_password crypt
# RFC2307bis naming contexts
# Syntax:
# nss_base_XXX base?scope?filter
# where scope is {base,one,sub}
# and filter is a filter to be &'d with the
# default filter.
nss_base_passwd ou=People,dc=kervao,dc=fr?one
nss_base_shadow ou=People,dc=kervao,dc=fr?one
nss_base_group ou=Group,dc=kervao,dc=fr?one
Dans le fichier /etc/nsswitch.conf on modifiera les lignes suivantes pour lire
passwd: files nis ldap
shadow: files nis ldap
group: files nis ldap
Reprenons donc notre fichier login (rajoutez uniquement les lignes concernant pam_ldap et
laissez les autres), il doit ressembler à ça :
#%PAM-1.0
auth required pam_securetty.so
auth required pam_stack.so service=system-auth
auth required pam_nologin.so
auth sufficient /lib/security/pam_ldap.so
account sufficient /lib/security/pam_ldap.so
account required pam_stack.so service=system-auth
password sufficient /lib/security/pam_ldap.so
password required pam_stack.so service=system-auth
session sufficient /lib/security/pam_ldap.so
session required pam_stack.so service=system-auth
session optional pam_console.so
Le fichier su (rajoutez uniquement les lignes concernant pam_ldap et laissez les autres)
ressemble à ça
#%PAM-1.0
auth sufficient pam_rootok.so
auth required pam_stack.so service=system-auth
auth sufficient /lib/security/pam_ldap.so
account sufficient /lib/security/pam_ldap.so
account required pam_stack.so service=system-auth
password sufficient /lib/security/pam_ldap.so
password required pam_stack.so service=system-auth
session sufficient /lib/security/pam_ldap.so
session required pam_stack.so service=system-auth
session optional pam_xauth.so
Modifiez aussi le fichier /etc/pam.d/smtp (rajoutez uniquement les lignes concernant
pam_ldap et laissez les autres) car sinon vos mails vont se perdre dans la nature, le serveur
smtp a besoin d'authentifier les utilisateurs.
#%PAM-1.0
auth required /lib/security/pam_stack.so service=system-auth
auth sufficient /lib/security/pam_ldap.so
account sufficient /lib/security/pam_ldap.so
account required /lib/security/pam_stack.so service=system-auth
Modifiez les autres fichiers sous /etc/pam.d qui seraient susceptibles de faire appel à
l'authentification LDAP sur le même modèle.
Test de fonctionnement
C'est simple que ce soit sur le serveur ou le client, supprimer les lignes qui correspondent à
vos utilisateur dans /etc/passwd, et /etc/shadow et faites de même pour vos groupes
utilisateurs dans /etc/group. N'oubliez pas de faire une sauvegarde de ces fichiers au cas où !
Maintenant essayer de vous loguer en tant que simple utilisateur, et là normalement, vous
devriez vous loguer sans problème.
