helpdesk.umhg.de

Benutzer-Werkzeuge

Webseiten-Werkzeuge

Zuletzt angesehen:
ldap

Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen RevisionVorhergehende Überarbeitung
Nächste Überarbeitung		Vorhergehende Überarbeitung
ldap [2021/01/09 01:01] – [Windows-Anmeldung über LDAP-Server] mholdap [2021/01/12 22:38] (aktuell) – mho
Zeile 2: Zeile 2:
 Quelle: https://www.codeflow.site/de/article/how-to-install-and-configure-openldap-and-phpldapadmin-on-ubuntu-16-04 Quelle: https://www.codeflow.site/de/article/how-to-install-and-configure-openldap-and-phpldapadmin-on-ubuntu-16-04
  
-Verwendete Ports:+ 
 +<WRAP center round info 60%> 
 +Verwendete LDAP-Ports:
   Port 389 ungesichert   Port 389 ungesichert
   Port 636 TLS-Verbindungen   Port 636 TLS-Verbindungen
 +
 +</WRAP>
 +
  
 ====== Konfiguration eines openldap-servers unter Centos 7 ====== ====== Konfiguration eines openldap-servers unter Centos 7 ======
  
-Notwendige Pakete installieren: +=== Centos7 notwendige Pakete installieren === 
-  yum install openldap-servers+  yum install openldap-servers -y
  
 +=== Debian 10.x notwendige Pakete ===
 +  apt-get install -y slapd slapd-contrib
  
-Originalinhalt der /etc/openldap/ldap.conf:+== Originalinhalt der /etc/openldap/ldap.conf ==
 <code> <code>
 # #
Zeile 34: Zeile 41:
 </code> </code>
  
- +== Konfigurationsverzeichnis von Openldap ==
-Konfigurationsverzeichnis:+
  /etc/openldap  /etc/openldap
-   
  
-Grundsicherung von slapd.d durchführen: +=== Grundsicherung von slapd.d durchführen === 
- cd /etc/oepnldap +  cd /etc/oepnldap 
- cp -R slapd.d slapd.d.DEFAULT -> Sicherung der Originaldateien+  cp -R slapd.d slapd.d.DEFAULT -> Sicherung der Originaldateien
  
-Firewall für LDAP anpassen:+== Firewall für LDAP anpassen ==
   firewall-cmd --permanent --zone=lan-1 --add-port=389/tcp   firewall-cmd --permanent --zone=lan-1 --add-port=389/tcp
   firewall-cmd --permanent --zone=lan-1 --add-port=636/tcp       # SSL/TLS   firewall-cmd --permanent --zone=lan-1 --add-port=636/tcp       # SSL/TLS
   firewall-cmd --reload   firewall-cmd --reload
  
-Auf Centos 7 notwendige Pakete installieren:+=== Auf Centos 7 notwendige Pakete installieren ===
   yum install openldap-clients   yum install openldap-clients
  
  
-Grundkonfiguration vornehmen:+=== Grundkonfiguration vornehmen ===
   cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG   cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
   cat /var/lib/ldap/DB_CONFIG   cat /var/lib/ldap/DB_CONFIG
  
-Inhalt der /var/lib/ldap/DB_CONFIG+== Inhalt der /var/lib/ldap/DB_CONFIG ==
 <code> <code>
 # $OpenLDAP$ # $OpenLDAP$
Zeile 88: Zeile 93:
 </code> </code>
  
-LDAP die notwendigen Rechte auf das Verzeichnis geben:+== LDAP die notwendigen Rechte auf das Verzeichnis geben ==
   chown ldap:ldap /var/lib/ldap/DB_CONFIG   chown ldap:ldap /var/lib/ldap/DB_CONFIG
- 
    
-LDAP-Server slapd starten:+ 
 +=== LDAP-Server slapd starten ===
   systemctl enable slapd    systemctl enable slapd 
   systemctl start slapd   systemctl start slapd
  
  
-LDAP-Root Passwort setzen:+=== LDAP Root-Passwort setzen ===
 <code> <code>
 /usr/sbin/slappasswd -h {SSHA} /usr/sbin/slappasswd -h {SSHA}
Zeile 116: Zeile 121:
   vi db.ldif   vi db.ldif
  
-Inhalt der db.ldif:+== Inhalt der db.ldif ==
  dn: olcDatabase={2}hdb,cn=config  dn: olcDatabase={2}hdb,cn=config
  changetype: modify  changetype: modify
Zeile 135: Zeile 140:
 cd /etc/openldap/ldif cd /etc/openldap/ldif
  
-db.ldiff zum LDAP-Server hinzufügen:+== db.ldiff zum LDAP-Server hinzufügen ==
   ldapmodify -Y EXTERNAL -H ldapi:/// -f db.ldif   ldapmodify -Y EXTERNAL -H ldapi:/// -f db.ldif
  
Zeile 142: Zeile 147:
   vi monitor.ldif   vi monitor.ldif
  
-Inhalt der monitor.ldif:+== Inhalt der monitor.ldif ==
 <code> <code>
  dn: olcDatabase={1}monitor,cn=config  dn: olcDatabase={1}monitor,cn=config
Zeile 152: Zeile 157:
 cd /etc/openldap/ldif cd /etc/openldap/ldif
  
-monitor.ldif zum LDAP-Server hinzufügen:+== monitor.ldif zum LDAP-Server hinzufügen ==
   ldapmodify -Y EXTERNAL -H ldapi:/// -f monitor.ldif   ldapmodify -Y EXTERNAL -H ldapi:/// -f monitor.ldif
  
-Schemata cosine, nis und inetorgperson hinzufügen:+== Schemata cosine, nis und inetorgperson hinzufügen ==
   ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif   ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
   ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif    ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif 
   ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif   ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
 +
  
   vi base.ldif   vi base.ldif
  
-Inhalt der base.ldif:+ 
 +== Inhalt der base.ldif ==
  dn: dc=fritz,dc=box  dn: dc=fritz,dc=box
  dc: fritz  dc: fritz
Zeile 181: Zeile 188:
  ou: Group  ou: Group
  
-base.ldif zum LDAP-Server hinzufügen:+ 
 +== base.ldif zum LDAP-Server hinzufügen ==
   ldapadd -x -W -D "cn=ldapadm,dc=fritz,dc=box" -f base.ldif -> mit PW-Abfrage auf STDIN   ldapadd -x -W -D "cn=ldapadm,dc=fritz,dc=box" -f base.ldif -> mit PW-Abfrage auf STDIN
   oder direkt mit PW: ldapadd -x -w <Passwort> -D "cn=ldapadm,dc=fritz,dc=box" -f base.ldif    oder direkt mit PW: ldapadd -x -w <Passwort> -D "cn=ldapadm,dc=fritz,dc=box" -f base.ldif 
  
-Der Inhalt des DIT zur Kontroll ausgeben:+ 
 +== Der Inhalt des DIT zur Kontroll ausgeben ==
   slapcat -n2   slapcat -n2
  
-Ausgabe:+== Ausgabe ==
 <code> <code>
 dn: dc=fritz,dc=box dn: dc=fritz,dc=box
Zeile 238: Zeile 247:
  
  
-Bei einem Fehler DIT (Directory information tree) zurücksetzen:+=== Bei einem Fehler DIT (Directory information tree) zurücksetzen ===
   systemctl stop slapd    systemctl stop slapd 
    
Zeile 255: Zeile 264:
  
  
-Changing the RootDN Password: +=== Changing the RootDN Password ===  
------------------------------ +Doku: [[https://www.digitalocean.com/community/tutorials/how-to-change-account-passwords-on-an-openldap-server#changing-the-rootdn-password]]
-# Doku: https://www.digitalocean.com/community/tutorials/how-to-change-account-passwords-on-an-openldap-server#changing-the-rootdn-password+
  
 +== LDAP Benutzerkonto Hans hinzufügen ==
 +  vi /etc/openldap/ldif/user_hans.ldif
  
-LDAP Benutzerkonto Hans hinzufügen: +== Inhalt der user_hans.ldif == 
----------------------------------- +<code>
-  cd /etc/openldap/ldif +
-  +
-  vi user_hans.ldif +
- +
-Inhalt der user_hans.ldif: +
--------------------------+
 dn: uid=hans,ou=People,dc=Fritz,dc=box dn: uid=hans,ou=People,dc=Fritz,dc=box
 objectClass: top objectClass: top
Zeile 285: Zeile 289:
 shadowMax: 99999 shadowMax: 99999
 shadowWarning: 7 shadowWarning: 7
 +</code>
  
 +== Datei /etc/openldap/ldif/user_hans.ldif dem LDAP-Server hinzufügen ==
 + ldapadd -x -W -D "cn=ldapadm,dc=fritz,dc=box" -f /etc/openldap/ldif/user_hans.ldif
  
-user_aos.ldif hinzufügen: +== Passwort für LDAP-Benutzer hans setzen ==
-------------------------- +
- ldapadd -x -W -D "cn=ldapadm,dc=fritz,dc=box" -f user_hans.ldif +
- +
- +
-Passwort für Benutzer hans setzen: +
----------------------------------+
   ldappasswd -s <PASSWORT> -W -D "cn=ldapadm,dc=fritz,dc=box" -x "uid=hans,ou=People,dc=fritz,dc=box"   ldappasswd -s <PASSWORT> -W -D "cn=ldapadm,dc=fritz,dc=box" -x "uid=hans,ou=People,dc=fritz,dc=box"
  
  
 +== Ein LDAP Benutzerkonto meier hinzufügen ==
 +  vi /etc/openldap/ldif/user_meier.ldif
  
-Ein LDAP Benutzerkonto meier hinzufügen: +== Inhalt der Datei /etc/openldap/ldif/user_meier.ldif == 
------------------------------------------- +<code>
-  cd /etc/openldap/ldif +
-  +
-  Datei angelegen: vi user_meier.ldif +
- +
- +
- +
-Inhalt der user_meier.ldif: +
------------------------------+
 dn: uid=meier,ou=Group,dc=fritz,dc=box dn: uid=meier,ou=Group,dc=fritz,dc=box
 objectClass: top objectClass: top
Zeile 325: Zeile 320:
 shadowMax: 99999 shadowMax: 99999
 shadowWarning: 7 shadowWarning: 7
 +</code>
  
  
 +== User meier der Domain fritz.box hinzufügen ==
 +  ldapadd -x -W -D "cn=ldapadm,dc=fritz,dc=box" -f /etc/openldap/ldif/user_meier.ldif
  
-User der Domain fritz.box hinzufügen: +== Ein Passwort für LDAP-Benutzer meier setzen ==
-------------------------------------- +
-  ldapadd -x -W -D "cn=ldapadm,dc=fritz,dc=box" -f user_meier.ldif +
- +
- +
- +
-Ein Passwort für Benutzer meier setzen: +
------------------------------------------ +
   ldappasswd -s <PASSWORT> -W -D "cn=ldapadm,dc=fritz,dc=box" -x "uid=meier,ou=Group,dc=fritz,dc=box"   ldappasswd -s <PASSWORT> -W -D "cn=ldapadm,dc=fritz,dc=box" -x "uid=meier,ou=Group,dc=fritz,dc=box"
  
- +== LDAP Eintrag überprüfen == 
-LDAP Eintrag überprüfen: +  ldapsearch -x cn=meier -b dc=fritz,dc=box
------------------------- +
-  ldapsearch -x cn=hans -b dc=fritz,dc=box+
      
- +How To Change Account Passwords on an OpenLDAP Server: [[Doku: https://www.digitalocean.com/community/tutorials/how-to-change-account-passwords-on-an-openldap-server]] 
- +OpenLDAP using OLC (cn=config): [[Doku: https://www.zytrax.com/books/ldap/ch6/slapd-config.html#use-security]]
-How To Change Account Passwords on an OpenLDAP Server: +
-  Doku: https://www.digitalocean.com/community/tutorials/how-to-change-account-passwords-on-an-openldap-server +
- +
- +
-OpenLDAP using OLC (cn=config): +
-  Doku: https://www.zytrax.com/books/ldap/ch6/slapd-config.html#use-security +
  
 === LogLevel für openldap konfigurieren === === LogLevel für openldap konfigurieren ===
-  cd /etc/openldap/ldif +  vi /etc/openldap/ldif/loglevel.ldif
-  vi loglevel.ldif+
  
-Inhalt der loglevel.ldif Datei:+== Inhalt der Datei /etc/openldap/ldif/loglevel.ldif ==
 <code> <code>
 dn: cn=config dn: cn=config
Zeile 387: Zeile 367:
 --> Die Loglevel sind mischbar, als z. B. 129= Loglevel 1 + Loglevel 128 --> Die Loglevel sind mischbar, als z. B. 129= Loglevel 1 + Loglevel 128
  
- +== Datei /etc/openldap/ldif/loglevel.ldif der LDAP-Domäne hinzufügen:
- +
-loglefel.ldif Datei der LDAP-Domäne hinzufügen:+
  cd /etc/openldap/ldif  cd /etc/openldap/ldif
  ldapmodify -Y EXTERNAL -H ldapi:/// -f loglevel.ldif  ldapmodify -Y EXTERNAL -H ldapi:/// -f loglevel.ldif
- 
- 
  
 LDAP-Client Konfiguration: LDAP-Client Konfiguration:
Zeile 399: Zeile 375:
  
  
-Debian 10: ldap-client Paket installieren:+=== Debian 10.x: ldap-client Paket installieren ===
   apt install ldapscripts   apt install ldapscripts
  
Zeile 405: Zeile 381:
 === LDAP-Server Einträge anpassen === === LDAP-Server Einträge anpassen ===
  
-ldap.conf anpassen: +== ldap.conf anpassen == 
-  cd /etc/ldap +  cp /etc/ldap/ldap.conf /etc/ldap.conf.<YYYYMMDDSSMM> 
-  cp ldap.conf ldap.conf.<YYYYMMDD> +  vi /etc/ldap/ldap.conf 
-  vi ldap.conf+ 
 +== Folgende Einträge inder Datei /etc/ldap/ldap.conf anpassen ==
   → BASE    dc=fritz,dc=box   → BASE    dc=fritz,dc=box
   → URI     ldap://ldap.fritz.box   → URI     ldap://ldap.fritz.box
  
-ldapsearch ausführen:+== ldapsearch ausführen ==
   wenn die Werte in der /etc/ldap.conf nicht gesetzt sind mit:   wenn die Werte in der /etc/ldap.conf nicht gesetzt sind mit:
     ldapsearch -H ldap://ldap.fritz.box -b "dc=fritz,dc=box" -D "cn=ldapadm,dc=fritz,dc=box" "uid=hans" -x -w <Passwort>     ldapsearch -H ldap://ldap.fritz.box -b "dc=fritz,dc=box" -D "cn=ldapadm,dc=fritz,dc=box" "uid=hans" -x -w <Passwort>
Zeile 419: Zeile 396:
     ldapsearch -x -LLL uid=hans     ldapsearch -x -LLL uid=hans
  
-Ausgabe:+== Ausgabe ==
 <code> <code>
 dn: uid=hans,ou=People,dc=fritz,dc=box dn: uid=hans,ou=People,dc=fritz,dc=box
Zeile 462: Zeile 439:
 === Bestehende LDAP-Einträge ändern === === Bestehende LDAP-Einträge ändern ===
  
-user_meier.ldif erstellen: +== Datei /etc/openldap/ldif/user_meier.ldif erstellen == 
-  cd /etc/ldap &&  mkdir ldif && cd ldif +  mkdir -p /etc/openldap/ldif 
-  vi user_meier.ldif  +  vi /etc/openldap/ldif/user_meier.ldif  
  
  
-Inhalt der neu angelegten Datei user_meier.ldif:+== Inhalt der neu angelegten Datei /etc/openldap/ldif/user_meier.ldif ==
   dn: uid=meier,ou=Group,dc=fritz,dc=box   dn: uid=meier,ou=Group,dc=fritz,dc=box
   changetype: modify   changetype: modify
Zeile 474: Zeile 451:
  
  
-ldapmodify ausführen:+== ldapmodify ausführen ==
   ldapmodify -x -D "cn=ldapadm,dc=fritz,dc=box" -W -f user_meier.ldif  -> Es kommt eine Passwortabfrage (LDAP-Admin)   ldapmodify -x -D "cn=ldapadm,dc=fritz,dc=box" -W -f user_meier.ldif  -> Es kommt eine Passwortabfrage (LDAP-Admin)
  
Zeile 480: Zeile 457:
 === Bestehende LDAP-Einträge löschen === === Bestehende LDAP-Einträge löschen ===
  
-ldapdelete ausführen:+== ldapdelete ausführen ==
 <code> <code>
  # mit Passwortabfrage  # mit Passwortabfrage
Zeile 490: Zeile 467:
  
  
-LDAP Browser/Editor: +LDAP Browser/Editor: Quelle: https://community.microfocus.com/t5/Identity-Manager-Tips/Jarek-Gawor-s-excellent-LDAP-Browser-Editor-v2-8-2/ta-p/1771772 
-  Quelle: https://community.microfocus.com/t5/Identity-Manager-Tips/Jarek-Gawor-s-excellent-LDAP-Browser-Editor-v2-8-2/ta-p/1771772 +
  
  
- +== LDAP Logs nach /var/log/slapd schreiben ==
-LDAP Log nach /var/log/slapd schreiben:+
   cd /etc   cd /etc
   cp rsyslogd.conf rsyslogd.conf.<YYYYMMDD>   cp rsyslogd.conf rsyslogd.conf.<YYYYMMDD>
   vi rsyslogd.conf   vi rsyslogd.conf
  
-Folgende Zeile an die /etc/rsyslogd.conf anhängen:+ 
 +== Folgende Zeile an die /etc/rsyslogd.conf anhängen ==
 <code> <code>
 # LOCAL4 Standardwert für syslog facility # LOCAL4 Standardwert für syslog facility
Zeile 514: Zeile 490:
   slapcat -l <Dateiname> -> Gesamtkopie der Datenbank als .ldif-file   slapcat -l <Dateiname> -> Gesamtkopie der Datenbank als .ldif-file
      
-Standard-Zugriff bei LDAP:  +Standard-Zugriffsberechtigungen bei LDAP:  
  access to <was> by <wer> <Zugriffsart> -> Standard: access to * by * read  access to <was> by <wer> <Zugriffsart> -> Standard: access to * by * read
  
Zeile 526: Zeile 502:
   changtype: modify   changtype: modify
   add: mail   add: mail
-  mail: meikel_h@gmx.net+  mail: meinemail@gmail.com
  
-ldapsearch+== ldapsearch ==
   Beispielsuche:   Beispielsuche:
   ldapsearch -x -LLL -uid=hans   ldapsearch -x -LLL -uid=hans
Zeile 534: Zeile 510:
   das 2. L verhindert die Ausgabe der LDAP-Version   das 2. L verhindert die Ausgabe der LDAP-Version
   -> mit der Option -b kann man die Base für die Baumsuche angeben.   -> mit der Option -b kann man die Base für die Baumsuche angeben.
 +
  
 ===== PAM-Authentifizierung ==== ===== PAM-Authentifizierung ====
  
-PAM: Module unter /lib/security (/lib64/security).+<WRAP center round info 60%> 
 +PAM: Module unter /lib/security (/lib64/security) 
 +</WRAP>
  
-Wichtige Module:+== Wichtige PAM Module ==
   pam_unix nutzt die Dateien /etc/passwd und /etc/shadow,   pam_unix nutzt die Dateien /etc/passwd und /etc/shadow,
   pam_cracklib -> Sicherheit des neu gewählten Passworts prüfen   pam_cracklib -> Sicherheit des neu gewählten Passworts prüfen
Zeile 545: Zeile 524:
   pam_listfile -> Listen nutzen, um den Zugriff zu verweigern oder zu erlauben   pam_listfile -> Listen nutzen, um den Zugriff zu verweigern oder zu erlauben
  
-Wenn der Ordner /etc/pam.d exisiert wird die Datei /etc/pam.conf ignoriert. +<WRAP center round important 60%> 
- +Wenn der Ordner /etc/pam.d/ exisiert wird die Datei /etc/pam.conf ignoriert 
-/etc/pam.d/ +</WRAP>
  
 === Centos 7 - PAM konfigurieren === === Centos 7 - PAM konfigurieren ===
Zeile 554: Zeile 532:
  
  
-Notwendige Module nachinstallieren:+Centos 7: Notwendige Module installieren:
   yum install nss-pam-ldapd -y   yum install nss-pam-ldapd -y
  
Zeile 578: Zeile 556:
  
 ==== Debian 10: PAM für LDAP konfigurieren ==== ==== Debian 10: PAM für LDAP konfigurieren ====
-Doku: https://wiki.debian.org/LDAP/PAM+Doku: [[https://wiki.debian.org/LDAP/PAM]]
  
 Notwendige Pakete installieren: Notwendige Pakete installieren:
   apt install libnss-ldapd -y   apt install libnss-ldapd -y
  
-Ldap authentication einschalten:+==== Ldap authentication aktivieren ====
    pam-auth-update --enable ldap --enable ldapauth    pam-auth-update --enable ldap --enable ldapauth
    sufficient → [success=done new_authtok_reqd=done default=ignore]    sufficient → [success=done new_authtok_reqd=done default=ignore]
  
  
-=== Automatische Anlage des Homedirs für neue LDAP-User ===+==== Automatische Anlage des Homedirs für neue LDAP-User ====
  
 Damit für einem neuen LDAP-User auch das Homedir automatngelegt wird, folgende Zeile in /etc/pam.d/login einfügen: Damit für einem neuen LDAP-User auch das Homedir automatngelegt wird, folgende Zeile in /etc/pam.d/login einfügen:
Zeile 598: Zeile 576:
   session required pam_mkhomedir.so skel=/etc/skel umask=0222   session required pam_mkhomedir.so skel=/etc/skel umask=0222
  
-[[http://example.com|Externer Link]]==== Windows-Anmeldung über LDAP-Server ====+==== Windows-Anmeldung über LDAP-Server ====
  
 Windows-PC LDAP-Anmeldung: Windows-PC LDAP-Anmeldung:
-  siehe [[https://pgina.org/]] +siehe [[http://www.pgina.org|Open-Source-Software]] 
 +  
  
 ==== PAM Authentifizierung über SSSD ==== ==== PAM Authentifizierung über SSSD ====
ldap.1610150468.txt.gz · Zuletzt geändert: 2021/01/09 01:01 von mho
Falls nicht anders bezeichnet, ist der Inhalt dieses Wikis unter der folgenden Lizenz veröffentlicht: Public Domain
Public Domain Donate Powered by PHP Valid HTML5 Valid CSS Driven by DokuWiki