centos7安装openldap

1.安装openldap及对应的组件

yum install *openldap*

2.修改slapd.conf文件

vi /etc/openldap/slapd.conf

找到这一行include/etc/openldap/schema/XXX.schema

可以把在/etc/openldap/schema 目录下有用的schema 文件加到这里！

本次实验按他默认设置，没作添加！

suffix "dc=my-domain,dc=com" rootdn "cn=Manager,dc=my-domain,dc=com"

这里要填定你的域名，客户端连接的时候要用到的！如你的域名google.com “dc=google,dc=com”

##这和你的hostname 无关

rootpw secret

这一行是明文的密码设置，可以用MD5加密，方法可以问问google ！默认是被注释的，所以要把#号去掉’secret ’ 就是你的密码

这三行我改成了这样，大家可以参考一下

suffix "dc=google,dc=com" rootdn"cn=root,dc=google,dc=com" rootpw 123456

3.开启openldap服务了

/etc/rc.d/init.d/ldap start

4.重启ldap时会报错

/etc/rc.d/init.d/ldap restart

Stopping slapd: [OK]

Checking configuration files for slapd:bdb_db_open: Warning - No DB_CONFIG file found in directory /var/lib/ldap: (2) Expect poor performance for suffix dc=my-domain,dc=com.

config file testing succeeded [OK] Starting slapd: [OK]

虽然启动成功！当是警告在/var/lib/ldap 的目录下找不到DB_CONFIG的文件

解决办法：将/etc/openldap/ 下的DB_CONFIG.example 的文件，复制到/var/lib/ldap 下，改名为 DB_CONFIG 就行了！

cp /etc/openldap/DB_CONFIG.example /var/lib/ldap/DB_CONFIG service ldap restart

没报错了！！openldap 已经装完了！

5.ldap 默认没有日志文件的，要自己创建建立openldap的日志文件

vi /etc/syslog.conf

加入一行

local4.* /var/log/ldap.log

重启 syslog

/etc/rc.d/init.d/syslog restart

另：

1.OpenLDAP资料存放的位置： /var/lib/ldap/ 目录内，如果要重新设定LDAP server，先停止执行 ldap ( service ldap stop )，再移除资料目录下的所有档案 ( rm -Rf /var/lib/ldap/* )

2.OpenLDAP相关设定档的所在位置： /etc/openldap

6.客户端连接LDAP。

推荐几个客户端软件：ldapadmin ，JXplorer，LDAP Browser\Editor， LDAP Administrator （收费）

使用客户端前先在ldap服务中创建初始数据，否则用客户端连接的时候会提示连接失败！假设存放在/var/lib/ldap/test.ldif中，文件内容如下：

# vi /var/lib/ldap/test.ldif 路径和文件文可以自定，记住就行了 dn: dc=<MY-DOMAIN>,dc=<COM>objectclass: dcObject objectclass: organization o: <MY ORGANIZATION>dc: <MY-DOMAIN> dn: cn=Manager,dc=<MY-DOMAIN>,dc=<COM>objectclass: organizationalRole cn: Manager

ldap的数据默认放在”/var/lib/ldap”目录下,通过root账户运行slapadd命令添加的数据产生的文件属性属于root用户root组,但是service启动ldap是用ldap用户启动的,所以需要把这些文件的属性修改一下。下面这句脚本代码非常重要,否则数据只能读不能修改删除,血的教训。

将目录资料所在资料目录的拥有者?群组，指定为ldap：

chown -Rf ldap:ldap /var/lib/ldap

将目录根节点(root node)加到资料库：

slapadd -v -l /etc/openldap/data/root.ldif

重新启动ldap

/etc/rc.d/init.d/ldap restart

如果不成功，检查一下以上哪里做错了！

防火墙关了没！

OpenLDAP默认是没有密码检查策略的，123456这也得密码也能接受，这显然是管理员不希望看到的。

参考地址：https://www.yaoge123.com/blog/archives/1276

导入密码策略schema

假如没有cn=module{0}的话，参考地址：https://www.cnblogs.com/Kevin-1967/p/8931304.html，需要添加：因为需要在OpenLdap中添加组的功能，所以需要添加memberOf功能，步骤如下

在/etc/openldap目录下新建文件memberof_load_configure.ldif。授权：chown -R ldap:ldap memberof_load_configure.ldif

内容如下：

dn: cn=module{0},cn=config

objectClass: olcModuleList

cn: module{0}

olcModulepath: /usr/lib64/openldap

olcModuleload: {0}memberof.la

dn: olcOverlay={0}memberof,olcDatabase={2}hdb,cn=config

objectClass: olcMemberOf

objectClass: olcOverlayConfig

objectClass: olcConfig

objectClass: top

olcOverlay: {0}memberof

说明：上面的参数请根据实际情况修改（比如32的系统的话olcModulepath为/usr/lib/openldap）

dn: cn=module{0},cn=config 如果/etc/openldap/slapd.d/cn=config目录下已经存在cn=module{0}.ldif 文件的话，你就需要修改 module后面的数字了

dn: olcOverlay={0}memberof,olcDatabase={2}bdb,cn=config 这行中 如果上述目录中没有olcDatabase={2}bdb.ldif文件就把 olcDatabase={2}bdb改成olcDatabase={2}hdb

之后执行命令ldapadd -Q -Y EXTERNAL -H ldapi:/// -f memberof_load_configure.ldif。

注：配置双主的则两台都要加载mod_ppolicy.ldif这个以后在执行后面的命令

加载模块，因为已经添加过syncprov模块了，所以只要追加ppolicy模块就可以了

指定默认策略dn名

参考地址：https://blog.csdn.net/u011607971/article/details/86378361

创建组：cat

---