CENTOS7-LDAP环境搭建
操作系统：Centos7.2
操作系统：Centos7.2
LDAP服务端：192.168.0.253
LDAP客户端：192.168.0.251
服务端与客户端hosts文件均有对方主机名与ip映射记录。
一、配置LDAP服务器
1. 安装LDAP及相关软件包
yum -y install openldap openldap-clients openldap-servers migrationtools openldap-devel nss-pam-ldapd bind-dyndb-ldap compat-openldap perl-LDAP krb5-server-ldap php-ldap openssl
2. 配置slapd主配置文件
openldap的主配置文件是/etc/openldap/slapd.conf文件，但是在新版的openldap中，采用了目录树的配置方式。
详情可参考：
man 5 slapd-config
也就是将配置存放在/etc/openldap/slapd.d目录中。
配置的示例文件是 /usr/share/openldap-servers/slapd.ldif ，把它复制到 /root 目录下：
cp /usr/share/openldap-servers/slapd.ldif /root/
编辑 /root/slapd.ldif 文件内容，去掉注释，文件全文如下：
dn: cn=config
objectClass: olcGlobal
cn: config
olcArgsFile: /var/run/openldap/slapd.args
olcPidFile: /var/run/openldap/slapd.pid
olcTLSCACertificatePath: /etc/openldap/certs
olcTLSCertificateFile: /etc/openldap/certs/ldap.crt
olcTLSCertificateKeyFile: /etc/openldap/certs/ldap.key
dn: cn=schema,cn=config
objectClass: olcSchemaConfig
cn: schema
include: file:///etc/openldap/schema/corba.ldif
include: file:///etc/openldap/schema/core.ldif
include: file:///etc/openldap/schema/cosine.ldif
include: file:///etc/openldap/schema/duaconf.ldif
include: file:///etc/openldap/schema/dyngroup.ldif
include: file:///etc/openldap/schema/inetorgperson.ldif
include: file:///etc/openldap/schema/java.ldif
include: file:///etc/openldap/schema/misc.ldif
include: file:///etc/openldap/schema/nis.ldif
include: file:///etc/openldap/schema/openldap.ldif
include: file:///etc/openldap/schema/ppolicy.ldif
include: file:///etc/openldap/schema/collective.ldif
dn: olcDatabase=frontend,cn=config
objectClass: olcDatabaseConfig
olcDatabase: frontend
dn: olcDatabase=config,cn=config
objectClass: olcDatabaseConfig
olcDatabase: config
olcAccess: to * by dn.base=”gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth” manage by * none
dn: olcDatabase=monitor,cn=config
objectClass: olcDatabaseConfig
olcDatabase: monitor
olcAccess: to * by dn.base=”gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth” read by dn.base=”cn=Manager,dc=example,dc=com” read by * none
dn: olcDatabase=bdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcBdbConfig
olcDatabase: bdb
olcSuffix: dc=example,dc=com
olcRootDN: cn=Manager,dc=example,dc=com
olcRootPW: {SSHA}7fNBMv/sSDvmHWT5VXPZ2opL52o9/QkI
olcDbDirectory: /var/lib/ldap
olcDbIndex: objectClass eq,pres
olcDbIndex: ou,cn,mail,surname,givenname eq,pres,sub
olcDbIndex: uidNumber,gidNumber,loginShell eq,pres
olcDbIndex: uid,memberUid eq,pres,sub
olcDbIndex: nisMapName,nisMapEntry eq,pres,sub
有几点需要注意：
1) 上文中的空行不能省略，它表示一个DN的结束；
2) include部分是有先后顺序的，不要随意改变顺序；
3) 有多处 dc=example,dc=com ，这是因为我的LDAP域是 example.com ，如果你的LDAP域是 subdomain1.domain1.com ，则应该为 dc=subdomain1,dc=domain1,dc=com 的形式。
4) man手册中EXAMPLE那一节，有一段：
dn: olcDatabase=bdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcBdbConfig
olcDatabase: bdb
而/usr/share/openldap-servers/slapd.ldif的原文是hdb而不是bdb，经测试hdb和bdb都能正常加载。
5) olcRootPW那一行是密码加密后的哈希值，是用slappasswd命令算出来的。
# slappasswd
New password:
Re-enter new password:
{SSHA}7fNBMv/sSDvmHWT5VXPZ2opL52o9/QkI
将这段哈希值复制粘贴到olcRootPW那一行。
6) 最后的olcDbIndex那5行，是对数据进行索引，有些数据如objectClass和uidNumber不支持sub操作，所以不建立sub索引。
清空原有配置：
rm -rfv /etc/openldap/slapd.d/*
将 /root/slapd.ldif 加载进 /etc/openldap/slapd.d 目录：
slapadd -F /etc/openldap/slapd.d -n 0 -l /root/slapd.ldif
测试配置文件是否正确：
slaptest -u -F /etc/openldap/slapd.d
若正确则提示：
config file testing succeeded
修改配置文件的所有者，否则无法读取这些配置：
chown -Rv ldap.ldap /etc/openldap/slapd.d
3. 创建数据库配置文件
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
chown -Rv ldap.ldap /var/lib/ldap/DB_CONFIG
4. 配置TLS加密
如果要通过客户端的sssd进行LDAP认证，必须开启TLS加密。
在 man sssd-ldap 的手册中有如下内容：
If you want to authenticate against an LDAP server either TLS/SSL or LDAPS is required.
sssd does not support authentication over an unencrypted channel.
大意是，如果用LDAP认证，要么开启TLS/SSL，要么使用LDAPS，sssd不支持不加密的认证通道。
这里我们生成一个自签名的证书。
生成服务器的RSA私钥：
openssl genrsa -out ldap.key 1024
生成签名请求：
openssl req -new -key ldap.key -out ldap.csr
会提示输入服务器的主机名，这里一定要填写正确：
Common Name (eg, your name or your server’s hostname) []:gateway.example.com
生成自签名的公钥：
openssl x509 -req -days 3653 -in ldap.csr -signkey ldap.key -out ldap.crt
把 ldap.key 和 ldap.crt 复制到 /etc/openldap/certs 目录：
cp -v ldap.key ldap.crt /etc/openldap/certs
chown -Rv ldap.ldap /etc/openldap/certs/
chmod 700 /etc/openldap/certs/
这个路径，是跟 slapd.ldif 文件里的这3行对应的：
olcTLSCACertificatePath: /etc/openldap/certs
olcTLSCertificateFile: /etc/openldap/certs/ldap.crt
olcTLSCertificateKeyFile: /etc/openldap/certs/ldap.key
5. 启动服务
启动slapd服务并查看状态：
systemctl start slapd.service
systemctl status slapd.service –luser
systemctl enable slapd.service???//设置此服务为开机自启动
6. 添加LDAP用户
创建组test1,test2,test3
创建8个用户ceshi1-8，家目录为/home/remoteuser/
将ceshi1-2归为组test1成员，ceshi3-4 归为组test2成员，ceshi5-6归为组test3成员。ceshi7-8 默认
[root@ruichi253 certs]# useradd ceshi1 -d /home/remoteuser/ceshi1 -g test1
[root@ruichi253 certs]# useradd ceshi2 -d /home/remoteuser/ceshi2 -g test1
验证
7. 导入用户数据
修改配置文件/usr/share/migrationtools/migrate_common.ph找到这两个变量，修改为：
# Default DNS domain
$DEFAULT_MAIL_DOMAIN = “example.com”;
# Default base
$DEFAULT_BASE = “dc=example,dc=com”;
A、创建基本数据库模版文件：
/usr/share/migrationtools/migrate_base.pl > /root/base.ldif
B、创建用户数据模版：
/usr/share/migrationtools/migrate_passwd.pl /etc/passwd /root/user.ldif
编辑user.ldif，只留下之前创建的8个（ceshi1-ceshi8）LDAP用户的相关信息，其他用户的信息都删掉。
user.ldif中所有的DN都是属于People这个OU，而People这个OU是在base.ldif中定义的。
user.ldif中所有的DN都是继承自以下4个类：
objectClass: account
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
其中posixAccount和shadowAccount提供了uidNumber、gidNumber、homeDirectory、loginShell、userPassword这些属性。
C、创建组数据模板：
/usr/share/migrationtools/migrate_group.pl /etc/group /root/group.ldif
编辑group.ldif，只留下之前创建的5个(test1-test3,ceshi7,ceshi8)LDAP用户相关的组的信息，其他用户的信息都删掉。
user.ldif中所有的DN都是属于Group这个OU，而Group这个OU是在base.ldif中定义的。
D、创建网络组数据模板
将LDAP服务端/etc/netgroup(手动创建)文件中的主机（LDAP域客户端主机）作为网络组主机，导入域中。
[root@ruichi253 ~]# cat /etc/netgroup
Group1?(ruichi250,,) (ruichi252,,)
Group 2 (node1,,) (node3,,)
以上定义2个组，组group1（成员:ruichi250,ruichi252） ?group2(成员：node1 node3)
/usr/share/migrationtools/migrate_netgroup.pl?/etc/netgroup ?>/root/netgroup.ldif
E、导入数据
用刚刚创建的三个模版文件导入数据，注意执行顺序，否则会出错，因为OU都是在base.ldif中定义的。
提示输入密码，即为slapd.ldif中olcRootPW的密码：
ldapadd -D “cn=Manager,dc=example,dc=com” -W -x -f base.ldif
ldapadd -D “cn=Manager,dc=example,dc=com” -W -x -f user.ldif
ldapadd -D “cn=Manager,dc=example,dc=com” -W -x -f group.ldif
ldapadd -D “cn=Manager,dc=example,dc=com” -W -x -f netgroup.ldif
8. 配置用户家目录
LDAP用户登陆后，用户的home目录在服务器上，这里用NFS服务提供LDAP用户home目录。
编辑配置文件/etc/exports，内容如下：
/home/remoteuser ???*(rw)
启动服务：
systemctl start rpcbind.service
systemctl start nfs-server.service
注意先启动rpcbind，否则NFS有可能启动失败。
可以用 showmount -e 命令查看已开启的NFS目录。
用netstat命令查看端口监听情况，389端口是LDAP，2049端口是NFS。
# netstat -ntl | grep -E “389|2049”
tcp ???????0 ?????0 0.0.0.0:2049 ???????????0.0.0.0:* ??????????????LISTEN
tcp ???????0 ?????0 0.0.0.0:389 ????????????0.0.0.0:* ??????????????LISTEN
tcp6 ??????0 ?????0 :::2049 ????????????????:::* ???????????????????LISTEN
tcp6 ??????0 ?????0 :::389 ?????????????????:::* ???????????????????LISTEN
将服务设为开机自动启动：
systemctl enable rpcbind.service
systemctl enable nfs-server.service
9. 设置防火墙
确保防火墙没有阻挡LDAP服务和NFS服务：
firewall-cmd –permanent –add-service=ldap
firewall-cmd –permanent –add-service=ldaps
firewall-cmd –permanent –add-service=nfs
firewall-cmd –permanent –add-service=mountd
firewall-cmd –permanent –add-service=rpc-bind
firewall-cmd –reload
此文档配置过程中，防火墙以及selinux都是关闭状态。
10. 配置日志
编辑rsyslog配置文件：
vi /etc/rsyslog.conf
加上一行:
local4.* ???/var/log/ldap.log
然后touch /var/log/ldap.log
重启rsyslog：
systemctl restart rsyslog.service
如果slapd启动出问题，可查看/var/log/messages文件，比如：
systemctl status slapd.service -l
tail -n20 -f /var/log/messages
11、映射ip与主机名
将netgroup中定义的客户端IP写入到域hosts文件中
服务器配置到此结束。
二、配置LDAP客户端
1. 安装LDAP认证相关软件包
yum -y install sssd-ldap sssd* nss-pam-ldapd?openldap*
2. 开启LDAP验证
终端执行命令authconfig-tui
User Information ???????Authentication
[ ] Cache Information ??[ ] Use MD5 Passwords
[*] Use LDAP ????????????[*] Use Shadow Passwords
[ ] Use NIS ???????????????[*] Use LDAP Authentication
[ ] Use IPAv2 ???????????[ ] Use Kerberos
[ ] Use Winbind ????????[ ] Use Fingerprint reader
[ ] Use Winbind Authentication
[*] Local authorization is sufficient
用Tab键切换到Next，回车。
[*] Use TLS
Server: ldap://ruichi253
Base DN: dc=example,dc=com
这里server输入不要用IP地址，原因是：如果使用TLS认证，证书里是服务器的主机名，如果使用严格的认证，会认证失败。
用Tab键移动光标到OK，回车。
如果没有配置DNS服务，则可以在执行authconfig-tui之前，在/etc/hosts文件中加上一行：“服务器IP ?服务器主机名”，例如：
192.168.0.253 ?ruichi253
3. 读取TLS加密的LDAP数据
由于使用了自签名证书，所以客户端并没有下载CA证书，而生产环境是应该有CA证书的。通常是把证书下载到客户端的 /etc/openldap/certs 目录，然后执行 cacertdir_rehash /etc/openldap/certs 命令。
编辑 /etc/openldap/ldap.conf 文件，在TLS_CACERTDIR那一行上方添加一行：
TLS_REQCERT allow
然后执行LDAP查询命令：
ldapsearch -x -b “dc=example,dc=com” “objectclass=*” -ZZ?| less
就可以显示LDAP的数据，注意最后的 -ZZ 是强制使用TLS加密。
编辑 /etc/sssd/sssd.conf 文件，在ldap_uri那一行下方添加一行：
ldap_tls_reqcert = allow
重启sssd服务：
systemctl restart sssd
这2个allow允许在证书颁发者不受信任的情况下，仍然建立会话。这并不安全，但可以用于自签名的实验。
如果成功，则可以用id命令看到这些LDAP用户：
4. 配置autofs(域用户登入不需要家目录，略过)
LDAP用户的HOME目录，是通过autofs从服务器端的NFS服务挂载到本地的。如果没有挂载，则LDAP用户就没有HOME目录，不能创建自己的文件。
修改/etc/auto.master，原有内容不要动，在最后添加一行：
/home/remoteuser ???auto.nfs
/home/remoteuser即autofs挂载的路径，auto.nfs是自定义的，该字段必须跟下文的配置文件名相对应。
保存退出，然后建立 /home/remoteuser 目录，以后LDAP用户的目录会通过autofs自动挂载到该目录：
mkdir -pv /home/remoteuser
为什么不将LDAP用户的目录挂载到 /home 目录呢？如果那么做，挂载后本地用户的目录就无法访问了，所以不推荐挂载到 /home 。
创建 /etc/auto.nfs 文件，文件名必须跟上面自定义的字段auto.nfs相对应，内容如下：
* ???-fstype=nfs,rw ???ruichi253:/home/remoteuser/&
这个文件的格式是这样：
用户名 ???挂载选项 ???服务器IP:NFS目录路径
所以如果有2个用户user1和user2，可以写成：
user1 ???-fstype=nfs,rw,sync ???ruichi253:/home/remoteuser/user1
user2 ???-fstype=nfs,rw,sync ???ruichi253:/home/remoteuser/user2
如果有很多用户，则用户名可以用通配符*，NFS路径字段中用&表示跟用户名同名的目录，例如：
* ???-fstype=nfs,rw,sync ???ruichi253:/home/remoteuser/&
修改/etc/sysconfig/autofs，末尾添加一行：
DISABLE_DIRECT=0
配置完毕，启动autofs服务：
systemctl stop autofs.service
systemctl start autofs.service
systemctl enable autofs.service
这时 ls /home/remoteuser 显示没有文件，mount命令显示：
/etc/auto.misc on /misc type autofs (rw,relatime,fd=6,pgrp=6603,timeout=300,minproto=5,maxproto=5,indirect)
5. 用LDAP用户登录
客户端配置到此结束。
