服务器之家：专注于服务器技术及软件下载分享
分类导航

Linux|Centos|Ubuntu|系统进程|Fedora|注册表|Bios|Solaris|Windows7|Windows10|Windows11|windows server|

服务器之家 - 服务器系统 - Linux - 配置Linux使用LDAP用户认证的方法

配置Linux使用LDAP用户认证的方法

2020-07-24 18:29乾坤盘 Linux

这篇文章主要介绍了配置Linux使用LDAP用户认证的方法，本文给大家介绍的非常详细，具有一定的参考借鉴价值,需要的朋友可以参考下

我这里使用的是CentOS完成的LDAP用户管理，可能与网上的大部分教程不同，不过写出来了，那么是肯定能用的了，不过会有部分文件，忘指教。
这里使用的 OPENLdap 配合 CentOS7 完成的用户管理，需要配置 nssswitch 、pam 和 sssd 3个服务，需要先有一定的了解才能完成本文的配置。

基础配置#

1.完成yum源的配置

?
1
2
3
4
5
6
mkdir /root/back
tar -Jcvf /root/back/yum.repos.d-`date '+(%Y.%m.%d_%H:%M:%S)'`.tar.xz /etc/yum.repos.d/
rm -rf /etc/yum.repos.d/*
curl -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo
curl -o /etc/yum,repos.d/CentOS-epel.repo http://mirrors.aliyun.com/repo/epel-7.repo
yum makecache

 

1.安装必要软件

 

?
1
yum -y install vim bash-completion openldap-servers openldap-clients nss-pam-ldapd sssd

OPENLdap服务部分配置#

初始化过程就不再过多赘述，详细查询《OPENLDAP 服务搭建和后期管理》。

1.首先停止数据库服务:

systemctl stop slapd

1.然后编辑文件：

?
1
2
3
4
5
6
7
8
9
10
# 首先备份文件，以免无法复原
mkdir /root/back
tar -Jcvf /root/back/slapd.config-`date '+(%Y.%m.%d_%H:%M:%S)'`.tar.xz /etc/openldap/slapd.d/
tar -Jcvf /root/back/slapd.data-`date '+(%Y.%m.%d_%H:%M:%S)'`.tar.xz /var/lib/ldap/
# 然后再删除配置文件
rm -rf /etc/openldap/slapd.d/*
rm -rf /var/lib/ldap/*
# 复制配置文件到临时目录
mkdir /root/ldap
cd /root/ldap

1.编写slapd的配置文件。这里的配置文件是从 /usr/share/openldap-servers/slapd.ldif 中演变而来的，主要修改了baseDN(suffix), OPENLDAPTLS，olcRootPW(密码由 slappasswd 生成，本文中的密码为: 123456) 和 include。

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
# file: /root/ldap/slapd.ldif
dn: cn=config
objectClass: olcGlobal
cn: config
olcArgsFile: /var/run/openldap/slapd.args
olcPidFile: /var/run/openldap/slapd.pid
olcTLSCertificateFile: /etc/openldap/certs/server.crt
olcTLSCertificateKeyFile: /etc/openldap/certs/server.key
olcTLSCACertificateFile: /etc/openldap/cacerts/cacert.pem
dn: cn=schema,cn=config
objectClass: olcSchemaConfig
cn: schema
include: file:///etc/openldap/schema/core.ldif
include: file:///etc/openldap/schema/cosine.ldif
include: file:///etc/openldap/schema/nis.ldif
include: file:///etc/openldap/schema/inetorgperson.ldif
dn: olcDatabase=frontend,cn=config
objectClass: olcDatabaseConfig
objectClass: olcFrontendConfig
olcDatabase: frontend
dn: olcDatabase=config,cn=config
objectClass: olcDatabaseConfig
olcDatabase: config
olcAccess: to *
 by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" manage
 by * none
dn: olcDatabase=monitor,cn=config
objectClass: olcDatabaseConfig
olcDatabase: monitor
olcAccess: to *
 by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read
 by dn.base="cn=Manager,dc=black,dc=com" read
 by * none
dn: olcDatabase=hdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcHdbConfig
olcDatabase: hdb
olcSuffix: dc=black,dc=com
olcRootDN: cn=Manager,dc=black,dc=com
olcRootPW: {SSHA}l1vBI/HOMKLEiQZgcm3Co+hFQI68rH1Q
olcDbDirectory: /var/lib/ldap
olcDbIndex: objectClass eq,pres
olcDbIndex: ou,cn,mail,surname,givenname eq,pres,sub

 

1.配置OPENSSL的证书。为openldap服务器的加密隧道使用。

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
# 首先是创建CA服务的证书文件
cd /etc/pki/CA
openssl genrsa -out private/cakey.pem 2048
openssl req -new -x509 -key private/cakey.pem -out cacert.pem # 这里的证书创建过程就省略不写了。
# 不过需要注意的是，必须要保证后面服务器证书申请的开头部分必须与证书开头相同，否则无法通过CA签发证书。
touch index.txt
echo "01" > serial
# 然后申请签发服务器证书
cd /etc/openldap/certs/
openssl genrsa -out server.key 2048
openssl ca -in server.csr -out server.crt -days 365
# 复制CA证书到指定位置
mkdir /etc/openldap/cacerts
cp /etc/pki/CA/cacert.pem /etc/openldap/cacerts/

 

1.根据配置生成服务器的配置文件

 

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
slapadd -F "/etc/openldap/slapd.d/" -b "cn=config" -l slapd.ldif
# 这里还需要注意文件属主还是root的，需要改回为openldap
chown -R ldap:ldap /etc/openldap/slapd.d/*
# 然后再开启服务即可
systemctl start slapd
 
_#################### 100.00% eta none elapsed none fast!
 Closing DB...
 
1.初始化数据库
 
dn: dc=black,dc=com
dc: black
objectClass: top
objectClass: domain
 
dn: cn=Manager,dc=black,dc=com
objectClass: organizationalRole
cn: Manager
description: LDAP Manager
 
dn: ou=People,dc=black,dc=com
ou: People
objectClass: top
objectClass: organizationalUnit
objectClass: domainRelatedObject
associatedDomain: black.com
 
dn: ou=Group,dc=black,dc=com
ou: Group
objectClass: top
objectClass: organizationalUnit
objectClass: domainRelatedObject
associatedDomain: black.com

1.导入至数据库

 

?
1
2
3
4
5
ldapadd -x -D "cn=Manager,dc=black,dc=com" -w 123456 -f base.ldif # 将基础信息导入数据库。
adding new entry "dc=black,dc=com"
 adding new entry "cn=root,dc=black,dc=com"
 adding new entry "ou=People,dc=black,dc=com"
 adding new entry "ou=Group,dc=black,dc=com"

1.那么再使用apache directory studio来查看 服务器是否配置成功。

首先先将防火墙开启

firewall-cmd --add-service=ldap

配置Linux使用LDAP用户认证的方法

1.我们这里先导入一个用户用于后面的测试使用

配置Linux使用LDAP用户认证的方法

配置Linux使用LDAP用户认证的方法

Linux 用户认证部分配置#

我这里设计的用户认证和解析是这样完成的：

配置Linux使用LDAP用户认证的方法

与网上其他人写的会有所不同，需要注意。

NSS服务配置#

如果想使 nss 可以查询ldap，那么首先就需要启用一个叫 nslcd 的服务， 以下是该服务的配置文件。

?
1
2
3
4
5
6
7
8
9
# file: /etc/nslcd.conf
uid nslcd
gid ldap
uri ldap://127.0.0.1/
base dc=black,dc=com
binddn cn=Manager,dc=black,dc=com
bindpw 123456
ssl no
tls_cacertdir /etc/openldap/cacerts

 

启动服务

?
1
2
3
chmod 600 /etc/nslcd.conf
systemctl start nslcd
systemctl enable nslcd

 

配置nss

 

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
# file: /etc/nsswitch.conf
 
passwd: files ldap  # 主要就是 passwd、shadow 和 group 这3行需要后面添加ldap
shadow: files ldap
group: files ldap
hosts: files dns myhostname
bootparams: nisplus [NOTFOUND=return] files
ethers: files
netmasks: files
networks: files
protocols: files
rpc: files
services: files sss
netgroup: nisplus sss
publickey: nisplus
automount: files nisplus sss
aliases: files nisplus

测试是否可用：

?
1
2
getent passwd | grep black
black​:x:1001:1001:black:/home/black:/bin/bash

 

PAM服务配置#

pam模块已经有通过SSSD认证的相关模块配置了，我们这里引用以下即可。

?
1
2
3
cd /etc/pam.d/
 mv system-auth{,.bak}
 ln -s system-auth-ac system-auth

 

PAM不用进行服务重启，直接可以使用

sssd服务配置#

针对LDAP用户登入，PAM配置会将其转发给SSSD，由SSSD来认证用户。下面就是sssd.conf 的配置文件了：

 

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
# file: /etc/sssd/sssd.conf
[domain/black.com]
autofs_provider = ldap # 配置 autofs 的提供程序为 ldap
id_provider = ldap  # id 的提供程序为 ldap
auth_provider = ldap # 配置 auth 认证的提供程序为 ldap
chpass_provider = ldap # 更改密码 操作时的对用应用
cache_credentials = True # 开启缓存
ldap_search_base = dc=black,dc=com # ldap 查询的base dn
ldap_uri = ldap://127.0.0.1/ # ldap 的 URL 路径
ldap_id_use_start_tls = True # 开启 ldap 的 tls 加密。
ldap_tls_reqcert = never # 不强制要求 tls 加密(这里可以设置为 hard 强制 TLS 加密，如果 tls 无法使用则可能导致服务失败； 由于ldap 与 sssd在同一台，所以不需要 tls 加密)
ldap_tls_cacertdir = /etc/openldap/cacerts # ldap 服务 tls 加密信任证书(CA根证书)。
[sssd]
services = nss, pam, autofs # 提供的服务
domains = black.com # 设置启用的域
[nss]
homedir_substring = /home
[pam]
[sudo]
[autofs]
[ssh]
[pac]
[ifp]
[secrets]
[session_recording]

配置启动服务，并且设置开机自启动。

?
1
2
3
chmod 600 /etc/sssd/sssd.conf # 注意权限的配置，否则无法启动。
systemctl start sssd
systmctl enable sssd

测试#

那么这样用户认证的部分就制作好了，那么现在来测试一下：
因为配置的 system-auth 文件，并没有配置 ssh 文件，所以ssh是连接不进去的。这里使用login来测试可行性。

配置Linux使用LDAP用户认证的方法

 这里我们也能看到，用户时能登入了的，还有一个瑕疵就是提示没有家目录下面通过脚本来解决。

脚本#

我为这个LDAP用户认证写了一个脚本，方便添加用户。我这里还是要强调一下，CentOS虽然有提供 migrationtools 工具用于将用户存放至LDAP数据库，但是如果你把本地用户全都提到 LDAP 数据库，不保留本地用户，那么你就会发现，电脑就会无法重启了，所以推荐不要把UID小于1000的用户存放到 LDAP 服务器。

注：该脚本必须在搭建好上述环境后才可使用，其余环境可能有未知问题。
脚本放在gitee上了。https://gitee.com/somata/script/blob/master/ldap_adduser.sh

使用方法很简单

配置Linux使用LDAP用户认证的方法

然后再测试一下这个添加的用户是否可以登入：

配置Linux使用LDAP用户认证的方法

总结

以上所述是小编给大家介绍的配置Linux使用LDAP用户认证，希望对大家有所帮助，如果大家有任何疑问欢迎给我留言，小编会及时回复大家的！

原文链接：https://www.cnblogs.com/somata/p/LinuxLDAPUserAuthentication.html

  • Linux
  • 用户认证
  • LDAP

    • 延伸 · 阅读

    精彩推荐
    • Linux详解Linux系统下PXE服务器的部署过程

      详解Linux系统下PXE服务器的部署过程

      这篇文章主要介绍了Linux系统下PXE服务器的部署过程,包括对PXE的API架构作了一个基本的简介,需要的朋友可以参考下...

      运维之道9812019-07-04
    • LinuxLinux常用的日志文件和常用命令

      Linux常用的日志文件和常用命令

      成功地管理任何系统的关键之一，是要知道系统中正在发生什么事。 Linux 中提供了异常日志，并且日志的细节是可配置的。Linux 日志都以明文形式存储，所...

      Linux教程网2632020-04-18
    • Linux确保Linux系统安全的前提条件 漏洞防护

      确保Linux系统安全的前提条件 漏洞防护

      Linux 作为开放式的操作系统受到很多程序员的喜爱，很多高级程序员都喜欢编写Linux操作系统的相关软件。这使得Linux操作系统有着丰富的软件支持，还有无...

      Linux之家2642020-04-11
    • Linuxlinux中rmdir命令使用详解(删除空目录)

      linux中rmdir命令使用详解(删除空目录)

      今天学习一下linux中命令： rmdir命令。rmdir是常用的命令，该命令的功能是删除空目录，一个目录被删除之前必须是空的 ...

      linux命令大全5372019-11-19
    • LinuxLinux中环境变量配置的步骤详解

      Linux中环境变量配置的步骤详解

      Linux中环境变量包括系统级和用户级，系统级的环境变量是每个登录到系统的用户都要读取的系统变量，而用户级的环境变量则是该用户使用系统时加载的...

      Myths7882022-02-10
    • LinuxLinux lnmp下无法使用mail发邮件的两种解决方法

      Linux lnmp下无法使用mail发邮件的两种解决方法

      在配置了lnmp环境后，出现了mail函数不能发送邮件的问题，其实有两种方法，一是使用sendmail组件，而是使用postfix。下面为大家一一介绍下 ...

      Linux之家4042019-09-17
    • Linux手把手教您在 Linux 上使用 GPG 加解密文件

      手把手教您在 Linux 上使用 GPG 加解密文件

      在本教程中，我将告诉你如何用 GPG 加密和解密文件。这是一个简单的教程，你可以在你的 Linux 系统上尝试所有的练习。这将帮助你练习 GPG 命令，并在你...

      Linux中国6962021-12-15
    • LinuxLinux上设置用户通过SFTP访问目录的权限的方法

      Linux上设置用户通过SFTP访问目录的权限的方法

      这篇文章主要介绍了Linux上设置用户通过SFTP访问目录的权限的方法,SFTP可以理解为使用SSH协议进行FTP传输的协议,因而同时要对OpenSSH进行相关设置,需要的朋...

      OSChina10022019-06-19
    最近更新
    编辑推荐
    阅读排行
    热门标签
    530 　 807 　 80 　 电脑共享上网 　 忽略目录 　 忽略 　 定期迁移 　 VMware Tools 　 企业级Linux 　 netpas 　 网络加速器 　 组 　 主机信息 　 硬盘IO读写 　 修改主机名称 　 无反应 　 su命令 　 默认权限 　 rz 　 usr/bin/ld 　 ^M 　 系统性能监控 　 curtail 　 flash插件 　 软件安装方式 　 删除重复行 　 BAD FILE MODE 　 pigz 　 XFS文件系统 　 没有磁盘空间 　
    © 2019-2022 服务器之家(www.tuohang.net) 版权所有关于我们联系我们版权申明网站地图