這是一篇在 CentOS 7 上快速搭建 OpenLDAP 的文檔，主要目的是留存一份能夠迅速搭建 OpenLDAP 環(huán)境的材料，以備不時(shí)之需。啥也別說战惊，先點(diǎn)右上角收藏，未來的你可能會(huì)感謝現(xiàn)在的自己扎即。
依照本文進(jìn)行配置之后吞获，讀者將搭建一臺(tái)單機(jī)况凉、具有用戶和用戶組結(jié)構(gòu)、無備份各拷、無證書加密的 OpenLDAP 實(shí)例刁绒。備份和證書加密的內(nèi)容將放在其他文章中。
1. 為服務(wù)器選定一個(gè) FQDN烤黍，并且配置為該服務(wù)器的主機(jī)名
這里知市，我們將服務(wù)器命名為 ldap.colinlee.fish，并將該 FQDN 連同主機(jī)名配置在 /etc/hosts 中速蕊。除非你有什么特殊的原因?qū)е虏荒芘渲?FQDN嫂丙，否則強(qiáng)烈建議配置：該 FQDN 在為 OpenLDAP 設(shè)置 CA 證書時(shí)有非常大的作用。
[root@ldap ~]# hostnamectl set-hostname ldap.colinlee.fish
/etc/hosts
127.0.1.1 ldap.colinlee.fish ldap
127.0.0.1 localhost
2. 安裝 OpenLDAP 服務(wù)端规哲，設(shè)置數(shù)據(jù)庫配置文件跟啤，啟動(dòng) OpenLDAP 服務(wù)
[root@ldap ~]# yum -y openldap-servers openldap-clients
[root@ldap ~]# cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
[root@ldap ~]# chown ldap.ldap /var/lib/ldap/DB_CONFIG
[root@ldap ~]# systemctl start slapd
[root@ldap ~]# systemctl enable slapd
3. 設(shè)置 OpenLDAP 的管理員用戶 root 的密碼
首先，使用 slappasswd 命令唉锌，為 OpenLDAP 的超級管理員用戶（root）生成密碼隅肥。
[root@ldap ~]# slappasswd
New password:
Re-enter new password:
{SSHA}xxxxxxxxxxxxxxxxxxxxxxxx
將生成的密碼添加至 OpenLDAP 的 ldif 文件中。LDIF 是修改 OpenLDAP 內(nèi)容的標(biāo)準(zhǔn)文本格式袄简。
chrootpw.ldif
dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}xxxxxxxxxxxxxxxxxxxxxxxx
接下來武福，執(zhí)行編輯好的 chrootpw.ldif 文件。
[root@ldap ~]# ldapadd -Y EXTERNAL -H ldapi:/// -f chrootpw.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "olcDatabase={0}config,cn=config"
4. 添加幾個(gè)基礎(chǔ)的 Schema
此處添加的 Schema 主要用于記錄人員信息痘番。如果搭建該 OpenLDAP 的目的為用戶認(rèn)證捉片，一般都會(huì)導(dǎo)入以下 Schema；如果使用 OpenLDAP 有別的用處汞舱，請確認(rèn)用處后再考慮導(dǎo)入哪些 Schema伍纫。
[root@ldap ~]# ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
adding new entry "cn=cosine,cn=schema,cn=config"
[root@ldap ~]# ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
adding new entry "cn=nis,cn=schema,cn=config"
[root@ldap ~]# ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
adding new entry "cn=inetorgperson,cn=schema,cn=config"
5. 在 LDAP 數(shù)據(jù)庫中設(shè)置根域和數(shù)據(jù)庫超級管理員
這里的“根域”可以和這臺(tái)服務(wù)器 FQDN 中的根域不同，此處我們設(shè)置為 dc=colinlee,dc=fish昂芜。
數(shù)據(jù)庫管理員和上面設(shè)置過的 OpenLDAP 超級管理員并非同一管理員莹规，而且這里設(shè)置的管理員目前尚未創(chuàng)建。此處的設(shè)置同樣需要一個(gè)用 slappasswd 命令生成的密碼泌神，為了方便管理良漱，我們使用剛剛生成的密碼，不再重新生成欢际。
創(chuàng)建一個(gè)新的 ldif 文件母市，設(shè)置以上內(nèi)容。
domain-dbadmin.ldif
dn: olcDatabase={1}monitor,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to *
by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read
by dn.base="cn=admin,dc=colinlee,dc=fish" read
by * none
dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=colinlee,dc=fish
dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=admin,dc=colinlee,dc=fish
dn: olcDatabase={2}hdb,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}xxxxxxxxxxxxxxxxxxxxxxxx
dn: olcDatabase={2}hdb,cn=config
changetype: modify
add: olcAccess
olcAccess: {0}to attrs=userPassword,shadowLastChange
by dn="cn=admin,dc=colinlee,dc=fish" write
by anonymous auth
by self write
by * none
olcAccess: {1}to dn.base=""
by * read
olcAccess: {2}to *
by dn="cn=admin,dc=colinlee,dc=fish" write
by * read
然后執(zhí)行該 ldif 文件损趋。
[root@ldap ~]# ldapmodify -Y EXTERNAL -H ldapi:/// -f domain-dbadmin.ldif
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
modifying entry "olcDatabase={1}monitor,cn=config"
modifying entry "olcDatabase={2}hdb,cn=config"
modifying entry "olcDatabase={2}hdb,cn=config"
modifying entry "olcDatabase={2}hdb,cn=config"
6. 創(chuàng)建用戶節(jié)點(diǎn)患久、組節(jié)點(diǎn)和數(shù)據(jù)庫超級管理員
同樣創(chuàng)建一個(gè)新的 ldif 文件，并填入節(jié)點(diǎn)信息。
basedomain.ldif
dn: dc=colinlee,dc=fish
objectClass: top
objectClass: dcObject
objectclass: organization
o: Example Inc.
dc: colinlee
dn: ou=user,dc=colinlee,dc=fish
objectClass: organizationalUnit
ou: user
dn: ou=group,dc=colinlee,dc=fish
objectClass: organizationalUnit
ou: group
dn: cn=admin,dc=colinlee,dc=fish
objectClass: organizationalRole
cn: admin
description: Directory Administrator
執(zhí)行該文件使內(nèi)容生效蒋失。這里的執(zhí)行方式和前面幾次有所不同返帕，此處使用了數(shù)據(jù)庫超級管理員的身份，而且需要輸入之前設(shè)置的密碼篙挽。
[root@ldap ~]# ldapadd -x -D cn=admin,dc=colinlee,dc=fish -W -f basedomain.ldif
Enter LDAP Password:
adding new entry "dc=colinlee,dc=fish"
adding new entry "ou=user,dc=colinlee,dc=fish"
adding new entry "ou=group,dc=colinlee,dc=fish"
adding new entry "cn=admin,dc=colinlee,dc=fish"
7. 配置防火墻
如果使用了防火墻荆萤，需要開啟針對 LDAP 的策略。
[root@ldap ~]# firewall-cmd --add-service=ldap --permanent
success
[root@ldap ~]# firewall-cmd --reload
success
如果不使用防火墻铣卡，直接關(guān)閉即可观腊。
[root@ldap ~]# systemctl stop firewalld
[root@ldap ~]# systemctl disable firewalld
參考資料：
https://www.server-world.info/en/note?os=CentOS_7&p=openldap
http://www.itzgeek.com/how-tos/linux/centos-how-tos/step-step-openldap-server-configuration-centos-7-rhel-7.html
