? ? 最近，由于公司需求，需要搭建openldap來統一用戶名和密碼，目前市面上幾乎所有的工具都支持ldap協議，具體ldap的介紹這里就不詳細說明了，這里主要記錄一下如果部署openldap來實現Ldap服務，并使用phpldapadmin作為web管理工具進行界面維護。

? ? 剛開始的時候，我百度了一下openldap的搭建，發現教程都比較亂，也沒人說清楚個具體的所以然，還有一個說網上的90%都是錯的，而其本身的教程又不是很詳細，對于新手沒那么好懂，這里我就記錄一下完整的詳細的openldap搭建過程，并盡可能詳細的說明其中每一步的作用，好了，廢話不多說，下面開始。

?

版本說明： 直接yum安裝，版本如下，官網最新的是2.4.47，版本并不老所以就直接用yum倉庫默認自帶的。

centos7.5 （這里只要是centos7 都ok）

openldap 2.4.44

phpldapadmin 1.2.3

?

正文

1. 安裝openldap

# yum 安裝相關包 yum install -y openldap openldap-clients openldap-servers# 復制一個默認配置到指定目錄下,并授權，這一步一定要做，然后再啟動服務，不然生產密碼時會報錯 cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG # 授權給ldap用戶,此用戶yum安裝時便會自動創建 chown -R ldap. /var/lib/ldap/DB_CONFIG# 啟動服務，先啟動服務，配置后面再進行修改 systemctl start slapd systemctl enable slapd# 查看狀態，正常啟動則ok systemctl status slapd

?

2. 修改openldap配置

? ? 這里就是重點中的重點了，從openldap2.4.23版本開始，所有配置都保存在/etc/openldap/slapd.d目錄下的cn=config文件夾內，不再使用slapd.conf作為配置文件。配置文件的后綴為 ldif，且每個配置文件都是通過命令自動生成的，任意打開一個配置文件，在開頭都會有一行注釋，說明此為自動生成的文件，請勿編輯，使用ldapmodify命令進行修改

# AUTO-GENERATED FILE - DO NOT EDIT!! Use ldapmodify.

? ?安裝openldap后，會有三個命令用于修改配置文件，分別為ldapadd, ldapmodify, ldapdelete，顧名思義就是添加，修改和刪除。而需要修改或增加配置時，則需要先寫一個ldif后綴的配置文件，然后通過命令將寫的配置更新到slapd.d目錄下的配置文件中去，完整的配置過程如下，跟著我做就可以了：

# 生成管理員密碼,記錄下這個密碼，后面需要用到 slappasswd -s 123456 {SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpE# 新增修改密碼文件,ldif為后綴，文件名隨意，不要在/etc/openldap/slapd.d/目錄下創建類似文件 # 生成的文件為需要通過命令去動態修改ldap現有配置，如下，我在家目錄下，創建文件 cd ~ vim changepwd.ldif ---------------------------------------------------------------------- dn: olcDatabase={0}config,cn=config changetype: modify add: olcRootPW olcRootPW: {SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpE ---------------------------------------------------------------------- # 這里解釋一下這個文件的內容： # 第一行執行配置文件，這里就表示指定為 cn=config/olcDatabase={0}config 文件。你到/etc/openldap/slapd.d/目錄下就能找到此文件 # 第二行 changetype 指定類型為修改 # 第三行 add 表示添加 olcRootPW 配置項 # 第四行指定 olcRootPW 配置項的值 # 在執行下面的命令前，你可以先查看原本的olcDatabase={0}config文件，里面是沒有olcRootPW這個項的，執行命令后，你再看就會新增了olcRootPW項，而且內容是我們文件中指定的值加密后的字符串# 執行命令，修改ldap配置，通過-f執行文件 ldapadd -Y EXTERNAL -H ldapi:/// -f changepwd.ldif

執行修改命令后，有如下輸出則為正常：

查看olcDatabase={0}config內容,新增了一個olcRootPW項。

?

上面就是一個完整的修改配置的過程，切記不能直接修改/etc/openldap/slapd.d/目錄下的配置。

好了，下面繼續進行配置

# 我們需要向 LDAP 中導入一些基本的 Schema。這些 Schema 文件位于 /etc/openldap/schema/ 目錄中，schema控制著條目擁有哪些對象類和屬性，可以自行選擇需要的進行導入， # 依次執行下面的命令，導入基礎的一些配置,我這里將所有的都導入一下，其中core.ldif是默認已經加載了的，不用導入 ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/collective.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/corba.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/duaconf.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/dyngroup.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/java.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/misc.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/openldap.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/pmi.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/ppolicy.ldif# 修改域名，新增changedomain.ldif, 這里我自定義的域名為 yaobili.com，管理員用戶賬號為admin。 # 如果要修改，則修改文件中相應的dc=yaobili,dc=com為自己的域名 vim changedomain.ldif ------------------------------------------------------------------------- dn: olcDatabase={1}monitor,cn=config changetype: modify replace: olcAccess olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=admin,dc=yaobili,dc=com" read by * nonedn: olcDatabase={2}hdb,cn=config changetype: modify replace: olcSuffix olcSuffix: dc=yaobili,dc=comdn: olcDatabase={2}hdb,cn=config changetype: modify replace: olcRootDN olcRootDN: cn=admin,dc=yaobili,dc=comdn: olcDatabase={2}hdb,cn=config changetype: modify replace: olcRootPW olcRootPW: {SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpEdn: olcDatabase={2}hdb,cn=config changetype: modify add: olcAccess olcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=admin,dc=yaobili,dc=com" write by anonymous auth by self write by * none olcAccess: {1}to dn.base="" by * read olcAccess: {2}to * by dn="cn=admin,dc=yaobili,dc=com" write by * read -------------------------------------------------------------------------# 執行命令，修改配置 ldapmodify -Y EXTERNAL -H ldapi:/// -f changedomain.ldif

最后這里有5個修改，所以執行會輸出5行表示成功。

?

然后，啟用memberof功能

# 新增add-memberof.ldif, #開啟memberof支持并新增用戶支持memberof配置 vim add-memberof.ldif ------------------------------------------------------------- dn: cn=module{0},cn=config cn: modulle{0} objectClass: olcModuleList objectclass: top olcModuleload: memberof.la olcModulePath: /usr/lib64/openldapdn: olcOverlay={0}memberof,olcDatabase={2}hdb,cn=config objectClass: olcConfig objectClass: olcMemberOf objectClass: olcOverlayConfig objectClass: top olcOverlay: memberof olcMemberOfDangling: ignore olcMemberOfRefInt: TRUE olcMemberOfGroupOC: groupOfUniqueNames olcMemberOfMemberAD: uniqueMember olcMemberOfMemberOfAD: memberOf -------------------------------------------------------------# 新增refint1.ldif文件 vim refint1.ldif ------------------------------------------------------------- dn: cn=module{0},cn=config add: olcmoduleload olcmoduleload: refint -------------------------------------------------------------# 新增refint2.ldif文件 vim refint2.ldif ------------------------------------------------------------- dn: olcOverlay=refint,olcDatabase={2}hdb,cn=config objectClass: olcConfig objectClass: olcOverlayConfig objectClass: olcRefintConfig objectClass: top olcOverlay: refint olcRefintAttribute: memberof uniqueMember manager owner -------------------------------------------------------------# 依次執行下面命令，加載配置，順序不能錯 ldapadd -Q -Y EXTERNAL -H ldapi:/// -f add-memberof.ldif ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint1.ldif ldapadd -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif

?

到此，配置修改完了，在上述基礎上，我們來創建一個叫做 yaobili company 的組織，并在其下創建一個 admin 的組織角色（該組織角色內的用戶具有管理整個 LDAP 的權限）和 People 和 Group 兩個組織單元：

# 新增配置文件 vim base.ldif ---------------------------------------------------------- dn: dc=yaobili,dc=com objectClass: top objectClass: dcObject objectClass: organization o: Yaobili Company dc: yaobilidn: cn=admin,dc=yaobili,dc=com objectClass: organizationalRole cn: admindn: ou=People,dc=yaobili,dc=com objectClass: organizationalUnit ou: Peopledn: ou=Group,dc=yaobili,dc=com objectClass: organizationalRole cn: Group ----------------------------------------------------------# 執行命令，添加配置, 這里要注意修改域名為自己配置的域名，然后需要輸入上面我們生成的密碼 ldapadd -x -D cn=admin,dc=yaobili,dc=com -W -f base.ldif

?

通過以上的所有步驟，我們就設置好了一個 LDAP 目錄樹：其中基準 dc=yaobili,dc=com 是該樹的根節點，其下有一個管理域 cn=admin,dc=yaobili,dc=com 和兩個組織單元 ou=People,dc=yaobili,dc=com 及 ou=Group,dc=yaobili,dc=com。

?

3. 安裝phpldapadmin

? ? ldap裝好后，下面安裝web界面phpldapadmin。

# yum安裝時，會自動安裝apache和php的依賴。 # 注意： phpldapadmin很多沒更新了，只支持php5，如果你服務器的環境是php7，則會有問題，頁面會有各種報錯 yum install -y phpldapadmin# 修改apache的phpldapadmin配置文件 # 修改如下內容，放開外網訪問，這里只改了2.4版本的配置，因為centos7 默認安裝的apache為2.4版本。所以只需要改2.4版本的配置就可以了 # 如果不知道自己apache版本，執行 rpm -qa|grep httpd 查看apache版本vim /etc/httpd/conf.d/phpldapadmin.conf -----------------------------------------------------------------<IfModule mod_authz_core.c># Apache 2.4Require all granted</IfModule> -----------------------------------------------------------------# 修改配置用DN登錄ldap vim /etc/phpldapadmin/config.php ----------------------------------------------------------------- # 398行，默認是使用uid進行登錄，我這里改為cn，也就是用戶名 $servers->setValue('login','attr','cn');# 460行，關閉匿名登錄，否則任何人都可以直接匿名登錄查看所有人的信息 $servers->setValue('login','anon_bind',false);# 519行，設置用戶屬性的唯一性，這里我將cn,sn加上了，以確保用戶名的唯一性 $servers->setValue('unique','attrs',array('mail','uid','uidNumber','cn','sn')); -----------------------------------------------------------------# 啟動apache systemctl start httpd systemctl enable httpd

?

4. 登錄phpldapadmin界面

上一步，啟動了apache服務后，在瀏覽器上訪問:?http://ip/ldapadmin ，然后使用上面定義的用戶，進行登錄，如下：

?

?

?

OK，到此openldap和phpldapadmin 就安裝完成了。至于如果使用，并將ldap集成到我們常用的工具，如jumpserver，jenkins等等。這些有機會的話，后面再新增一篇進行記錄

總結

以上是生活随笔為你收集整理的Centos7 搭建openldap完整详细教程(真实可用)的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。