LDAP 概念与架设Word格式.docx

LDAP 概念与架设Word格式.docx

《LDAP 概念与架设Word格式.docx》由会员分享，可在线阅读，更多相关《LDAP 概念与架设Word格式.docx（25页珍藏版）》请在冰豆网上搜索。

logincompany

/\/\

usergroupunitcustomer

/|\

misaccounthr

為了這次的實做，我把這個l-penguin.idv.tw分成主要兩個部份，login部份是用來做有關login的資料，所有有關login的機制都是放在這裡。

而company裡面，就只單純提供通訊錄的查尋而已。

而這個架構圖，在之後的LDAP系列文件裡，還會出現，我現在的實做，是以l-penguin.idv.tw->

company->

unit這個路線走，在最後的結果，可以查到在每個部份下的人員。

Note:

這個部份，我還沒有講到LDAP的表示法，主要是要讓各位讀者明白，在使用LDAP之前要先有一個架構，畫出來再依圖實做就會很好理解。

這個部份，可以參考LDAP系統管理第二章LDAPv3概論。

LDAP表示法

若要表示一筆人員記錄，可使用：

cn=username,ou=gourp,dc=your,dc=domain

若是以本例來說，在mis部門下有一位steven，那麼對於這位steven的表示法為：

cn=steven,ou=mis,ou=unit,ou=company,dc=l-penguin,dc=idv,dc=tw

這一長串，我們稱之為一個dn值，在LDAP的表示方法都是由小到大，也就是人名先表示、再表示部門、單位（這和老外的門牌表示法是一樣的意思）。

當然，經過這麼一說你就可以知道cn值在同一個ou下是不可以重複的，就是說在ou=mis下不可以有兩位steven，不然就照成資料重複。

當然，在同一公司裡叫steven的人可能到處跑，但是同一部門下同時叫steven的機率就就會降低了。

LDAP也可以使用中文，比方說小弟是在mis部門下的，若依名字設定dn的話，就會變成：

cn=廖子儀,ou=mis,ou=unit,ou=company,dc=l-penguin,dc=idv,dc=tw

相信，有了中文的支援下，大家對LDAP應該不會太排斥才對。

主要設定檔

在使用LDAP之前，一定要先設定好主要設定檔，如此才能讓你的LDAP正常使用。

OpenLDAP主要設定檔在/etc/openldap/slapd.conf，這個slapd.conf若要各位用手打出來可能會讓大家反彈，所幸裡面已經有最主要的設定了，這些設定可以符合大部份的需求，剩下來的只需要一些微調而已。

主要設定檔,在LDAP系統管理第三章OpenLDAP裡可得到詳細資訊。

DB_CONFIG檔案設定了index的快取數量，可調整效能的表現，在一開始建置時需要先行建立，這個檔案的預設範例可以從/etc/openldap下取得，並把它複製到/var/lib/ldap

root#cp/etc/openldap/DB_CONFIG.example/var/lib/ldap/DB_CONFIG

設定/etc/openldap/slapd.conf檔案

~以上略~

suffix"

dc=l-penguin,dc=idv,dc=tw"

rootdn"

cn=Manager,dc=l-penguin,dc=idv,dc=tw"

rootpwsecret

~以下略~

好了，三行，三行就符合本篇的主要設定，現在我就來解釋一下這三行的意思：

suffix就是用來定義你LDAP的根尾碼

Unix/Linuxroot裡有至高無尚的地位，可以打破任何規定，而在這裡，這個rootdn就是指LDAP的root，設定了之後就可以對整個LDAP系統資料做新增、刪除、修改等動作。

一般cn值會是Manager。

rootpwsecret

故名思意就是指定剛剛那個Manager的密碼，而在這個範例中，我們是使用secret這個明碼的文字，當然是為了解說方便，真正在管理時還是以加密過的文字較為安全。

設定完之後，你應該可以體會到這個slapd.conf有多重要，因為裡面包含了最大權限管理者的帳號密碼，所以除了相關帳號之外，應該不允許有其它人修改和閱讀。

設計機關檔/啟動ldap

當完成最主要的設定之後，系統內不會有任何資料，所以我們必需逐步建立，當然最重要的是機關設吧！

記錄資訊的格式我們一般取為*.ldif檔，一般第一次接觸會顯得很陌生，在這裡我將設計一個符合我規劃的LDIF檔案，並存在/etc/openldap/data/root-unit.ldif檔裡：

#rootnode

dn:

dc=l-penguin,dc=idv,dc=tw

dc:

l-penguin

objectClass:

dcObject

organizationalUnit

ou:

l-penguinDotidvDottw

好的，以上我們是一層一層的規劃下來，每一筆新的記錄和前一筆新記錄要使用一行空白行來隔開表示示別；

而每一筆一開頭就要表示這筆資料的完整dn值，就像是絕對路徑一樣；

在每一筆資料的參數裡，可以自行選用要使用那些objectClass。

當然，各位若不想用手慢慢key這些無聊的文字，可以由此下載root-unit.ldif檔案。

現在設定完了之後，我們要這些機關新增到LDAP裡，可以使用slapadd來新增：

root#slapadd-v-l/etc/openldap/data/root-unit.ldif

added:

"

ou=login,dc=l-penguin,dc=idv,dc=tw"

（00000005）

ou=user,ou=login,dc=l-penguin,dc=idv,dc=tw"

（00000006）

ou=group,ou=login,dc=l-penguin,dc=idv,dc=tw"

（00000007）

ou=company,dc=l-penguin,dc=idv,dc=tw"

（00000008）

ou=unit,ou=company,dc=l-penguin,dc=idv,dc=tw"

（00000009）

ou=hr,ou=unit,ou=company,dc=l-penguin,dc=idv,dc=tw"

（0000000a）

ou=mis,ou=unit,ou=company,dc=l-penguin,dc=idv,dc=tw"

（0000000b）

ou=account,ou=unit,ou=company,dc=l-penguin,dc=idv,dc=tw"

（0000000c）

ou=customer,ou=company,dc=l-penguin,dc=idv,dc=tw"

（0000000d）

現在你可以很清楚的看到，你的機關名錄都被新增進去了！

若確定了之後，再來就啟動DLAP吧，若你和我一樣是由RPM安裝的，就很簡單了：

root#serviceldapstart

Checkingconfigurationfilesfor:

configfiletestingsucceeded

Startingslapd:

[OK]

這樣就完成了！

在使用slap*工具之前，並不可以啟動LDAP。

再來，查看LDAP資料錄，下面的指令可以查看所有項目：

root#ldapsearch-x-b"

#extendedLDIF

#

#LDAPv3

#base<

dc=l-penguin,dc=idv,dc=tw>

withscopesub

#filter:

（objectclass=*）

#requesting:

ALL

#l-penguin.idv.tw

ou:

#login,l-penguin.idv.tw

ou=login,dc=l-penguin,dc=idv,dc=tw

login

#user,login,l-penguin.idv.tw

ou=user,ou=login,dc=l-penguin,dc=idv,dc=tw

user

#group,login,l-penguin.idv.tw

ou=group,ou=login,dc=l-penguin,dc=idv,dc=tw

group

~其它略~

#searchresult

search:

2

result:

0Success

#numResponses:

11

#numEntries:

10

你得到的結果會是一長串的項目，雖然有可能會看不懂，但你最少可以確定剛剛新增的資料都有成功的進去。

對於一開始接觸LDAP的各位讀者，一長串總比“什麼都沒有”來得好吧:

）

設計人員名錄

人員名錄和機關設計原理一樣，也是使用文字檔的ldif來做設計。

在這裡我準備新增幾個人員加入到各不同的單位裡，當然所示範的資料裡人員或身份證都是瞎掰杜撰的^^

我把設定檔存成/etc/openldap/data/users.ldif

#設定吳怡君通訊錄

cn=吳怡君,ou=hr,ou=unit,ou=company,dc=l-penguin,dc=idv,dc=tw

cn:

吳怡君

sn:

N/A

objectclass:

person

inetOrgPerson

givenName:

mail:

c293831287@l-penguin.idv.tw

telephoneNumber:

02-29587572

mobile:

0939689593

postalAddress:

台北縣中和市景平路1號

postalCode:

235

人力資源部

o:

l-penguinCorp.

labeledURI:

http:

//www.l-penguin.idv.tw/

title:

辦事員

礙於篇幅上面這只是一個人員的資料而已，這位隸屬於人事資源部的吳小姐（?

!

），我使用了inetOrgPerson和person這兩個objectclass。

其它的請望文生意吧，尤其是你不應該再問那個dn:

值是什麼意思。

有一點值得題的是，上面sn:

這個參數，其實是“姓”啦！

對於開始規劃使用LDAP的公司來說，要手動key這些名錄可能會死人，你可以請工讀生幫忙做這些鎖事，或是略施小計，使用ShellScript或Perl來產生吧，這樣就可以很快的建立這些名錄了。

好吧，我還是知道有人先抱著玩玩的心態來做實驗，但是又沒有現成的人名資料可以參考，那麼我就把本次的users.ldif給各位下載了。

關於inetOrgPerson和person這兩個objectClass可以查閱LDAP系統管理第四章4.2定義綱要。

新增人員名錄

建立好人員名錄之後，請得要注意下列幾項：

1.轉換到unix格式

2.中文字元和UTF-8

我相信，很多人一定是在Windows編好ldif檔之後再傳到主機上，但是在Windows編好的文件，有經驗的使用者會發現用vi一打開之後每一行的最後面會多一種^M的字元，這種字元在Linux可是不被認得的，若沒有消除就會造成新增錯誤。

你可以使用vi取代掉，或是使用更簡單的方法，讓dos2unix來幫你做：

root#dos2unix/etc/openldap/data/users.ldif

中文字元的問題，因為在Windows編完之後，會使用Big5編碼，所以，我們要把他轉成UTF-8字元，為什麼？

因為LDAP就規定了ldif文件需要使用UTF-8格式，這樣子明白了吧！

要讓Big5變成UTF-8可以使用iconv這個程式來轉換：

root#iconv-fbig5-tUTF-8-ousers.ldif.utf8users.ldif

root#fileusers.ldif.utf8

users.ldif.utf8:

UTF-8Unicodetext

好了，經過一翻煩雜的設定之後就可以開始來新增資料了，新增資料可使用ldapmodify來完成任務：

root#ldapmodify-D"

-wsecret-x-a-f/etc/openldap/data/users.ldif.utf8

好了，若中間沒有發生任何的問題，就表示新增成功，一樣我們使用ldapsearch來查看吧：

ou=unit,ou=company,dc=l-penguin,dc=idv,dc=tw>

~略~

#E9BB83E680A1E99A86,hr,unit,company,l-penguin.idv.tw

:

Y2496buD5oCh6ZqGLG91PWhyLG91PXVuaXQsb3U9Y29tcGFueSxkYz1sLXBlbmd1aW4sZGM9a

WR2LGRjPXR3

6buD5oCh6ZqG

top

d197700415@l-penguin.idv.tw

5Y+w5YyX57ij5Lit5ZKM5biC5pmv5bmz6LevMeiZnw==

5Lq65Yqb6LOH5rqQ

title:

5Lq65LqL6LOH5rqQ6YOo5Li75Lu7

#E590B3E5AEB6E887BB,hr,unit,company,l-penguin.idv.tw

Y2495ZCz5a626Ie7LG91PWhyLG91PXVuaXQsb3U9Y29tcGFueSxkYz1sLXBlbmd1aW4sZGM9a

5ZCz5a626Ie7

d295723341@l-penguin.idv.tw

6L6m5LqL5ZOh

22

21

GUI工具

哎呀，人客呀，大家一看到這個小單元，可能會認為自己又誤上賊船了，千辛萬苦努力看完前面的廢話之後居然又出現一個GUI工具，但是，大家千萬不要認為小弟誘拐大家上賊船，明明有很方便的GUI工具還不放在第一個介紹～

可別誤會呀，若各位是從頭開始看的話，那麼已經可以開始使用文字模式來新增了，GUI只是一種輔助而已，若是不了解其原理，那麼就算有GUI工具還是無法使用順手。

在這裡我介紹的GUI工具是ldapbrowser，這工具可用來新增、移除、修改你的資料。

使用方法就由各位去發現吧！

名稱：

ldapbrowser

首頁：

http:

//www-unix.mcs.anl.gov/~gawor/ldap/

下載：

//www-unix.mcs.anl.gov/~gawor/ldap/download.html

系统管理员须了解的LDAP 

服务器

用Python-LDAP执行LDAP的CRUD（创建、读取、更新和删除）操作：

大多数系统管理员在职业生涯中都会遇到需要与LDAP服务器交互的情况。

本文讲解如何使用LDAP实现Apache身份验证，以及如何使用Python模块python-ldap在OpenLDAP数据库上执行CRUD（即创建、读取、更新和删除）操作。

简介

在本文中，作者将讲解如何在AmazonEC2虚拟机上安装OpenLDAP的实例，设置Apache/LDAP身份验证，然后使用Python执行CRUD（即创建、读取、更新和删除）操作。

一定要注意，可以在Fedora、Ubuntu、RedHat、AIX?

等操作系统上安装LDAP。

但是在本文中，我们决定采用AmazonEC2虚拟机。

您可以在任何Linux?

发行版或手边的任何环境中进行实践。

最后，我们将在本文中讨论许多代码和复杂的技术。

您应该首先下载示例代码，供阅读本文时参考。

通过程序控制LDAP常常是系统管理员的工作，所以Python中存在一个用来操作LDAP的库就不奇怪了。

python-ldap模块已经存在了一段时间了，在参考资料一节中可以找到官方文档的链接。

我们假设您熟悉一般的LDAP概念，比如目录模式、DistinguishedNames（DN）、CommonNames（CN）、过滤器和属性。

本文不是LDAP教程；

我们不喜欢大谈理论，而是主要关注使用和管理LDAP数据库的实际示例。

什么是LDAP以及它的用途是什么？

那么