openldap安装与配置

环境：CentOS 5.4

LDAP的工作原理： 

LDAP是以服务器/客户端方式工作，目录服务将数据库软件的逻辑结构分为前端（客户端）和后端（服务端和仓库）

客户端------ 服务端 ------ 仓库

LDAP 逻辑结构图

系统自带以下两个db文件必须有，不然编译openldap-2.3.34还是会报错

db4-devel-4.3.29-10.el5

db4-4.3.29-10.el5     

1、安装db：

tar xvf db-5.1.25.tar.gz

cd db-5.1.25

cd build_unix/  

../dist/configure --prefix=/usr/local/BerkeleyDB

make

make install                                   

vi /etc/ld.so.conf

/usr/local/Berkeley/lib

ldconfig

2、安装openldap

先设置环境不然安装openldap会报错

env CPPFLAGS="-I/usr/local/BerkeleyDB/include" LDFLAGS="-L/usr/lib -L/usr/local/BerkeleyDB/lib"

tar xvf openldap-2.3.34.tgz

cd openldap-2.3.34

./configure --prefix=/usr/local/openldap --enable-bdb

make depend

make test 可跳过

make install

3.安装apache

tar zxvf httpd-2.2.15.tar.gz 

cd httpd-2.2.15

./configure --prefix=/usr/local/apache \

--with-included-apr \

--with-mpm=worker \

--with-ldap \

--enable-mods-static="deflate expires" \

--enable-mods-shared="ssl ldap authnz-ldap dav dav-fs dav-lock headers rewrite"

make && make install

开web账户

groupadd www

useradd -g www www -d /home/www -s /sbin/nologin

修改httpd.conf配置文件

cd /usr/local/apache/conf

vi httpd.conf

把用户改称www

启动apache

/usr/local/apache/bin/apachectl -k start

若是验证是否是否apache起来，则防火墙要放行

vi /etc/sysconfig/iptables

-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT

重启防火墙

service iptables restart

浏览 出现 it works 就正确了

生成证书

tar -zxvf ssl.ca-0.1.tar.gz

mv ./ssl.ca-0.1 /usr/local/apache/conf/

cd /usr/local/apache/conf/ssl.ca-0.1

./new-root-ca.sh

下边输入密码其他的随便写生成了ca.key和ca.crt两个文件

下面还要为我们的服务器生成一个证书

./new-server-cert.sh server

这样就生成了server.csr和server.key这两个文件.

签署一下

./sign-server-cert.sh server

输入你之前设置的密码

然后y   就生成了server.crt

mv ./server.* ../ 把证书拷贝到conf的目录下

cd ..  vi httpd.conf

去掉#Include conf/extra/httpd-ssl.conf的注释

如果证书放到其它地方去要修改httpd-ssl.com的配置

重起apache服务

/usr/local/apache/bin/apachectl -k restart

防火墙放行443端口，原先的80端口可以去掉

-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT

4、生成slapd密码

/usr/local/openldap/sbin/slappasswd

New password: 输入密码

Re-enter new password: 重复密码

生成后的加密密码: {SSHA}W/48LCkOe9rZUHMGyjD8VeHbMF4C3Szm

备注：相同的数字随机加密后会不同

5、修改openldap的配置文件

vi /usr/local/openldap/etc/openldap/slapd.conf

改动三行

suffix "dc=holy,dc=com"

rootdn "cn=root,dc=holy,dc=com"

rootpw {SSHA}W/48LCkOe9rZUHMGyjD8VeHbMF4C3Szm

启动ldap服务

cd /usr/local/openldap/libexec

./slapd

如果启动不成功可以用 ./slapd -d 1 启动debug模式。。将在屏幕打印启动信息

但是你重./slapd -d 1 启动debug模式时候会报错找不到DB_CONFIG的文件

cp /usr/local/openldap/var/openldap-data/DB_CONFIG.example /usr/local/openldap/var/openldap-data/DB_CONFIG

[root@localhost libexec]# ps -ef|grep slapd

root     27286     1  0 09:40 ?        00:00:00 ./slapd

root     27289 25603  0 09:40 pts/0    00:00:00 grep slapd

设置初始化

vi  /tmp/init.ldif

dn: dc=holy,dc=com

dc: holy

objectClass: top

objectClass: domain

dn: ou=Hosts,dc=holy,dc=com

ou: Hosts

objectClass: organizationalUnit

dn: ou=People,dc=holy,dc=com

ou: People

账户密码信息

vi /tmp/user1.ldif

dn:cn=user1,ou=People,dc=holy,dc=com

cn: user1

sn: USER1

uid: user1

userPassword: user1

objectClass: inetOrgPerson

cd /usr/local/openldap/bin

ldapadd -x -D "cn=root,dc=holy,dc=com" -W -f /tmp/init.ldif

6、安装php和ldapphpadmin 管理工具

tar -zxvf  php-5.2.13.tar.gz

cd php-5.2.13

./configure --prefix=/usr/local/php \

--with-config-file-path=/usr/local/php/etc \

--with-gd \

--enable-gd-native-ttf \

--with-png-dir \

--with-jpeg-dir \

--with-freetype-dir \

--with-iconv-dir \

--with-zlib-dir \

--with-bz2  \

--enable-mbstring \

--with-libxml-dir \

--enable-sockets \

--without-sqlite \

--without-pdo-sqlite \

--disable-ipv6  \

--with-apxs2=/usr/local/apache/bin/apxs \

--with-ldap --with-gettext

修改apache 配置文件

vi /usr/local/apache/conf/httpd.conf

DirectoryIndex index.html index.php

AddType application/x-httpd-php .php

cp php.ini-dist /usr/local/php/etc/php.ini

安装phpldapadmin

cd /qeedoodb/setup/

tar zxvf phpldapadmin-1.2.0.5.tgz

cd phpldapadmin-1.2.1/config

cp config.php.example config.php

mv phpldapadmin-1.2.0.5 /usr/local/apache/htdocs/phpldapadmin

重起apache

<a href="https://ip/phpldapadmin">https://ip/phpldapadmin</a>

就可以登陆管理界面了

7、apache用ldap做验证

&lt;Directory /usr/local/apache/htdocs/test&gt;

AuthType basic

AuthName "private area"

AuthBasicProvider ldap

AuthzLDAPAuthoritative off

require ldap-user "user1"  #只指定一个用户登录

#require valid-user        #全部的用户登录都有效

&lt;/Directory&gt;

mkdir /usr/local/apache/htdocs/test

vi index.php

ok

后续问题

用ACL来控制用户访问LDAP数据库的权限

access to attrs=userPassword

      by anonymous auth

      by dn="cn=admin,dc=holy,dc=com" write

      by dn="uid=user1,ou=people,dc=holy,dc=com" write

      by self write

access to *

      by * read

碰到的问题：DB版本和ldap有兼容性，另外环境也很重要

安装php遇到的问题如下：

1、configure: error: libjpeg.(a|so) not found.

解决方法：

yum -y install gd

yum -y install gd-devel

2、

httpd: Syntax error on line 62 of /usr/local/apache/conf/httpd.conf: Cannot load /usr/local/apache/modules/libphp5.so into server: /usr/local/apache/modules/libphp5.so: cannot restore segment prot after reloc: Permission denied

a、关闭SELINUX的方法:

vi /etc/selinux/config 将SELINUX=enforcing 改成SELINUX=disabled 需要重启

这个方法可能会对服务器带来风险。

b、不关闭SELINUX的方法:

setenforce 0

chcon -c -v -R -u system_u -r object_r -t textrel_shlib_t /usr/local/apache/modules/libphp5.so

setenforce 1

3、

bdb_db_open: Warning - No DB_CONFIG file found in directory /usr/local/openldap/var/openldap-data: (2)

4、不能完成ldap_modify 操作。 

LDAP said: Cannot modify object class 

Error number: 0x45 (LDAP_NO_OBJECT_CLASS_MODS) 

描述: ObjectClass modifications are not allowed. 

5、

始终无法启动apache，系统管理报错：

Invalid command ‘AuthLDAPEnabled’, perhaps misspelled or defined by a module not included in the server configuration     .

原来：“Apache2.0版中有关ldap验证的AuthLDAPEnabled指令取消了“,apache2.2以后的版本也取消了，但是在官方的手册中居然还能查得到

参考一下下配置：

&lt;Directory /var/www/html&gt;

Options Indexes FollowSymLinks

AllowOverride None

Order allow,deny

Deny from all

AuthName "LDAP auth"

AuthType Basic

#启用ldap验证功能

AuthLDAPBindDN "uid=root,dc=holy,dc=com"

Require valid-user

Satisfy any

 本文转自 holy2009 51CTO博客，原文链接:http://blog.51cto.com/holy2010/576835