前言：

LDAP轻量目录访问协议为用户管理提供了统一认证服务，解决了长期存在的多套用户认证系统孤立、繁杂、难以维护的问题。具有简捷、高效、易用的特性，是用户认证管理的不二选择。

一、简介

LDAP（Lightweight Directory Access Protocol）是基于X.500标准的轻量目录访问协议。它比X.500具有更快的查询速度和更低的资源消耗，精简灵活，支持TCP/IP协议。LDAP为用户管理提供了统一认证服务，解决了办公环境中多套用户认证和项目管理系统相互独立分散的难题。

OpenLDAP 是LDAP的开源实现，OpenLDAP目录中的信息是按照树形结构进行组织的，具体信息存储在条目（entry）中，条目是LDAP的基本元素，也是识别名（DN）的属性集合，DN 具有全局唯一性，用于准确地引用条目，每个条目属性又包含类型（type）和值（value）。整体架构如图所示：

二、快速安装

系统环境：CentOS7.3

主机名：openldap

系统IP：172.16.201.6

管理账户信息：dn:cn=Manager,dc=mydomain,dc=com

部署时，可根据实际需求更改以上信息。

2.1.环境准备

OpenLDAP正式部署前，首先对linux系统环境进行如下准备配置，以满足OpenLDAP安装运行需求。

1.设置主机名：

hostnamectl set-hostname openldap

主机名可自行设置成任意名字，只需将openldap设置为更改的主机名即可。

2.关闭防火墙和selinux

systemctl stop firewalldsystemctl disable firewalldsed -i "s/SELINUX=enforcing/SELINUX=disabled/g" /etc/selinux/config

3.配置epel源，配置完成后重启服务器，以使相关配置生效

yum install epel-release -yreboot

2.2.OpenLDAP安装

1.安装ldap相关组件

yum install openldap openldap-servers openldap-clients -ycp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG

2.启动ldap服务

systemctl start slapdsystemctl enable slapdsystemctl status slapd

slapd即ldap的服务名称

3.设置ldap管理员用户密码

slappasswd -s 111111{SSHA}AjIAg98NFvRRlhoBOvsfVqMeAGZwi5O9

本次设置密码为111111，若需要其他密码直接更改该值即可。记录执行结果的返回值{SSHA}AjIAg98NFvRRlhoBOvsfVqMeAGZwi5O9,并将该值写入到后边生成的rootpwd.ldif文件中。

4.创建管理员用户配置文件rootpwd.ldif

cat <<EOF>rootpwd.ldifdn: olcDatabase={0}config,cn=configchangetype: modifyadd: olcRootPWolcRootPW: {SSHA}AjIAg98NFvRRlhoBOvsfVqMeAGZwi5O9EOF

相关参数说明：

olcRootPW参数值为slappasswd命令的结果输出。

olcRootPW: {SSHA}AjIAg98NFvRRlhoBOvsfVqMeAGZwi5O9指定了属性值。

ldif文件是LDAP中数据交换的文件格式。文件内容采用的是key-value形式。注意value后面不能有空格。

olc（OnlineConfiguration）表示写入LDAP后立即生效。

changetype: modify表示修改entry，此外changetype的值也可以是add,delete等。

add: olcRootPW表示对这个entry新增olcRootPW的属性。

5.导入rootpwd.ldif信息

ldapadd -Y EXTERNAL -H ldapi:/// -f rootpwd.ldif

6.导入schema

schema包含支持特殊场景的相关属性，可选择性导入或全部导入

ls /etc/openldap/schema/*.ldif | while read i; do ldapadd -Y EXTERNAL -H ldapi:/// -f $i; done

7.设置默认域

slappasswd -s 111111{SSHA}7AA7V1xy++LVZcUbBWYYM9/81wfODiIK

本次设置密码为111111，若需要其他密码直接更改该值即可。记录执行结果的

返回值{SSHA}7AA7V1xy++LVZcUbBWYYM9/81wfODiIK

8.新建默认域配置文件

vi domain.ldifdn: olcDatabase={1}monitor,cn=configchangetype: modifyreplace: olcAccessolcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=Manager,dc=mydomain,dc=com" read by * nonedn: olcDatabase={2}hdb,cn=configchangetype: modifyreplace: olcSuffixolcSuffix: dc=mydomain,dc=comdn: olcDatabase={2}hdb,cn=configchangetype: modifyreplace: olcRootDNolcRootDN: cn=Manager,dc=mydomain,dc=comdn: olcDatabase={2}hdb,cn=configchangetype: modifyadd: olcRootPWolcRootPW: {SSHA}7AA7V1xy++LVZcUbBWYYM9/81wfODiIKdn: olcDatabase={2}hdb,cn=configchangetype: modifyadd: olcAccessolcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=Manager,dc=mydomain,dc=com" write by anonymous auth by self write by * noneolcAccess: {1}to dn.base="" by * readolcAccess: {2}to * by dn="cn=Manager,dc=mydomain,dc=com" write by * read

设置 olcRootPW参数值为slappwd命令的返回结果：{SSHA}7AA7V1xy++LVZcUbBWYYM9/81wfODiIK

9.写入信息

ldapmodify -Y EXTERNAL -H ldapi:/// -f domain.ldif

10.添加基本信息

cat <<EOF> basedomain.ldifdn: dc=mydomain,dc=comobjectClass: topobjectClass: dcObjectobjectclass: organizationo: mydomain comdc: mydomaindn: cn=Manager,dc=mydomain,dc=comobjectClass: organizationalRolecn: Managerdescription: Directory Managerdn: ou=People,dc=mydomain,dc=comobjectClass: organizationalUnitou: Peopledn: ou=Group,dc=mydomain,dc=comobjectClass: organizationalUnitou: GroupEOF

11.写入信息

ldapadd -x -D cn=Manager,dc=mydomain,dc=com -W -f basedomain.ldif

12.查看信息

ldapsearch -LLL -W -x -D "cn=Manager,dc=mydomain,dc=com" -H ldap://localhost -b"dc=mydomain,dc=com"

使用如上命令进行查看时，输入访问密码为：111111.能够查看到相关返回结果为如下内容，说明OpenLDAP配置成功。可进行相关管理和使用。

[root@openldap ~]# ldapadd -x -D cn=Manager,dc=mydomain,dc=com -W -f basedomain.ldif Enter LDAP Password: adding new entry "dc=mydomain,dc=com"adding new entry "cn=Manager,dc=mydomain,dc=com"adding new entry "ou=People,dc=mydomain,dc=com"adding new entry "ou=Group,dc=mydomain,dc=com"

三、OpenLDAP管理工具

为简化OpenLDAP使用，提高工作效率，OpenLDAP支持多种管理工具，较常用的有如下两款ldapadmin工具，可选择任意一种。

工具一：

1.可在windows电脑上下载管理工具：

2.下载完成后，解压该文件，直接双击运行，输入LDAP访问信息。

Host值为OpenLDAP节点ip地址：172.16.201.6.

Base值为：dc=mydomain,dc=com

Username值为：cn=Manager,dc=mydomain,dc=com

Password值为：111111.

其余参数为默认值。填写完成后可点击 "Test connection" 以测试是否能够正常连接。

3.连接成功后可看到OpenLDAP相关信息

之后可直接创建用户、组，或进行增、删、改操作。

工具二：

1.在OpenLDAP运行节点安装ldapadmin工具包

yum install -y httpd php php-mbstring php-pear phpldapadmin

2.修改/etc/httpd/httpd.conf配置文件

[root@www ~]# vi /etc/httpd/conf/httpd.conf # line 86: 修改admin邮箱地址 ServerAdmin root@openldap.mydomain.world# line 95: 修改主机域名 ServerName  line 152: 修改成如下内容： AllowOverride All# line 165: 添加可访问目录名的文件名称 DirectoryIndex index.html index.cgi index.php# 在文件末尾增加如下两部分内容# server's response header ServerTokens Prod# keepalive is ON KeepAlive On

3.启动Apache服务并设置开机自启动

systemctl start httpdsystemctl enable httpd

4.编辑/etc/phpldapadmin/config.php文件，按如下内容修改：

vi /etc/phpldapadmin/config.php#注释掉398行，并取消397行的注释，修改后内容如下：$servers->setValue('login','attr','dn');// $servers->setValue('login','attr','uid');

5.编辑/etc/httpd/conf.d/phpldapadmin.conf，在第12行加入Require all granted以允许所有IP访问，被更改部分内容如下：

<Directory/usr/share/phpldapadmin/htdocs>  <IfModule mod_authz_core.c>  # Apache 2.4  Require local  Require all granted  </IfModule>

6.重启Apache服务使配置生效

systemctl restart httpd

7.在浏览器输入OpenLDAP访问WEB地址：

输入登录用户名:cn=Manager,dc=mydomain,dc=com和密码:111111

8.通过认证后，可直接创建用户、组，进行增、删、改操作。