LDAP一般用于SSO的单点登录
LDAP是 Lightweight Directory Access Protocol的缩写，直译过来是“轻量目录访问协议”，之所以称为“轻量”，就是有“重量级”的目录访问协议，那就是X.500协议，LDAP基于X.500并进行简化，也是IETF下的一项标准，目前最新的RFC为RFC4510，信息如下：

基本概念

E文 说明
Directory 目录，用于存放信息的单元
Entry 条目，LDAP的基本信息单元
DN：Distinguished Name 条目中用于唯一区别改条目的信息
LDIF：LDAP Interchange Format 在RFC2849中定义的标准，用于规范LDAP的配置和目录内容等详细信息的保存，后续的例子中将会较多地使用LDIF进行增删改查的操作。

注：

  • 每个Entry都可以有多个属性，而每个属性都有特定的类型和一个或多个取值，比如cn（Common Name）就是一个属性
  • 因为LDAP概念很多，这里会根据例子展开相关的最小程度的概念，更为详细的可以查看上文的RFC的文档。

LDAP树形结构的构成方式

LDAP存储的信息以树形结构的方式进行组织，而设计LDAP结构一般有两种方式，比如为了说明一个人所处的详细信息，采用不同的方式的构成方式也会有所不同，而这些最终会体现到LDIF的详细信息上。

传统方式

传统方式聚焦于国别以及地理信息为上层构成，比如Barbara Jenson这个人，使用这种方式来确认，首先会看国别，美国还是英国，然后按照地理信息进行继续下行，是加州的Acme公司的销售部门的一个成员。

LDAP - 图1

互联网域名方式

互联网域名则是基于域名，上层构成直接使用域名，能结合DNS相关的技术。在这种方式下，看一下babs这个人，是exmaple.com公司下的一个成员。

LDAP - 图2

https://www.openldap.org/doc/admin24/

使用ldapadd进行数据增加

创建内容

这里我们将会聚焦于下图灰色部分的创建，这也是实际项目中使用的最多的一种，在这系列的文章中将会使用openldap的osixia的镜像所内置的缺省的dc: example.org(这里的信息是openldap官方例子的信息，在例子中我们实际使用的是example.org而不是example.com)。通过设定环境变量即可简单改变此处，因为此部分更多与LDAP基本服务设定相关，所以使用客户端的命令或者编程接口对其进行操作的部分主要聚焦于从Organisation开始的部分。

LDAP - 图3

创建目标

在本文的例子中，将会在dc=example, dc=org下创建：

创建内容 类型 名称 定位方式
部门 Organisation Unit People 通过ou=People进行
部门 Organisation Unit Servers 通过ou=Servers进行
部门 Person People 通过uid=babs进行

操作方式

执行场所

对LDAP进行操作，场所不限，LDAP服务器上进行操作，也可以在可以连接LDAP服务的客户端进行

使用命令

常用的数据添加，可以使用ldapmodify命令也可以使用ldapadd

数据填充

可以使用ldif传入数据的方式，也可以通过参数方式传入

命令介绍

使用ldapadd或者ldapmodify进行数据添加，很多情况下的客户端实现中，这两个是一个共通的实现，简单到可能只是一个软链接

  1. liumiaocn:openldap liumiao$ which ldapadd
  2. /usr/bin/ldapadd
  3. liumiaocn:openldap liumiao$ ls -l /usr/bin/ldapadd
  4. lrwxr-xr-x  1 root  wheel  10 Oct 25 11:50 /usr/bin/ldapadd -> ldapmodify
  5. liumiaocn:openldap liumiao$

Option介绍

命令的Option就不再分命令来介绍，常用的Option的信息和用途整理如下：

Option 说明
-H ldapuri，格式为ldap://机器名或者IP:端口号，不能与-h和-p同时使用
-h LDAP服务器IP或者可解析的hostname，与-p可结合使用，不能与-H同时使用
-p LDAP服务器端口号，与-h可结合使用，不能与-H同时使用
-x 使用简单认证方式
-D 所绑定的服务器的DN
-w 绑定DN的密码，与-W二者选一
-W 不输入密码，会交互式的提示用户输入密码，与-w二者选一
-f 指定ldif文件作为输入
-a 添加新的entry，ldapadd缺省使用，ldapmodify 可指定以达到同样作用
-c 出错后忽略当前错误继续执行，缺省情况下遇到错误即终止
-n 模拟操作但并不实际执行，用于验证，常与-v一同使用进行问题定位
-v 显示详细信息
-d 显示debug信息，可设定级别
-e 设置客户端证书
-E 设置客户端私钥

操作实例

用户Barbara的LDIF信息

使用最基础的方式添加一个用户Barbara，这也是man ldapmodify给出的例子，稍微做一下修改以保证能够正常添加进去。

  1. liumiaocn:openldap liumiao$ cat barbara.ldif 
  2. dn: cn=Barbara Jensen,dc=example,dc=org
  3. objectClass: inetOrgPerson
  4. cn: Barbara Jensen
  5. cn: Babs Jensen
  6. sn: Jensen
  7. title: the world's most famous mythical manager
  8. mail: bjensen@example.com
  9. uid: bjensen
  10. liumiaocn:openldap liumiao$

使用ldapadd添加Barbara

  1. liumiaocn:openldap liumiao$ ldapadd -H ldap://192.168.31.242:389 -D "cn=admin,dc=example,dc=org" -w admin -f barbara.ldif
  2. adding new entry "cn=Barbara Jensen,dc=example,dc=org"
  4. liumiaocn:openldap liumiao$

使用ldapsearch可以确认到添加的这个实际上最mythical的Barbara的详细信息：

  1. liumiaocn:openldap liumiao$ ldapsearch -x -h 192.168.31.242  -b dc=example,dc=org -D "cn=admin,dc=example,dc=org" -w admin
  2. ...省略
  3. # Barbara Jensen, example.org
  4. dn: cn=Barbara Jensen,dc=example,dc=org
  5. objectClass: inetOrgPerson
  6. cn: Barbara Jensen
  7. cn: Babs Jensen
  8. sn: Jensen
  9. title: the world's most famous mythical manager
  10. mail: bjensen@example.com
  11. uid: bjensen
  13. # search result
  14. search: 2
  15. result: 0 Success
  17. # numResponses: 4
  18. # numEntries: 3
  19. liumiaocn:openldap liumiao$

删除该用户

删除此用户，然后后面来验证使用ldapmodify是否可以同样进行操作

  1. liumiaocn:openldap liumiao$ ldapdelete -x -h 192.168.31.242  -D "cn=admin,dc=example,dc=org" -w admin  "cn=Barbara Jensen,dc=example,dc=org"
  2. liumiaocn:openldap liumiao$

使用ldapmodify添加Barbara

在这里，由于ldapadd就是一个指向ldapmodify的软链接，再详细进行确认一下，可以得出这两个东西应该是完全一致的操作，所以一个很简单的问题：

  1. ldapadd -H ldap://192.168.31.242:389 -D “cn=admin,dc=example,dc=org” -w admin -f barbara.ldif
  • Question：中的ldapadd替换称ldapmodify是否能够完全一致的动作？

执行一下来确认结果：

  1. liumiaocn:openldap liumiao$ ldapmodify -H ldap://192.168.31.242:389 -D "cn=admin,dc=example,dc=org" -w admin -f barbara.ldif
  2. ldapmodify: modify operation type is missing at line 2, entry "cn=Barbara Jensen,dc=example,dc=org"
  3. liumiaocn:openldap liumiao$

答案是：不可以。

对应方法1: 使用-a的Option

仔细会看上文整理的Option，对-a的说明是这样的“添加新的entry，ldapadd缺省使用，ldapmodify 可指定以达到同样作用“，所以ldapmodify的话，添加-a就可以达到同样效果了。

  1. liumiaocn:openldap liumiao$ ldapmodify -a -H ldap://192.168.31.242:389 -D "cn=admin,dc=example,dc=org" -w admin -f barbara.ldif
  2. adding new entry "cn=Barbara Jensen,dc=example,dc=org"
  4. liumiaocn:openldap liumiao$

对应方法2: 修改LDIF的写法

为了验证，重新把刚刚生成的Barbara再次删掉

  1. liumiaocn:openldap liumiao$ ldapdelete -x -h 192.168.31.242  -D "cn=admin,dc=example,dc=org" -w admin  "cn=Barbara Jensen,dc=example,dc=org"
  2. liumiaocn:openldap liumiao$

修改LDIF的内容，添加一行信息内容为：changetype: add，修改后的全部信息如下：

  1. liumiaocn:openldap liumiao$ cat barbara.ldif 
  2. dn: cn=Barbara Jensen,dc=example,dc=org
  3. changetype: add
  4. objectClass: inetOrgPerson
  5. cn: Barbara Jensen
  6. cn: Babs Jensen
  7. sn: Jensen
  8. title: the world's most famous mythical manager
  9. mail: bjensen@example.com
  10. uid: bjensen
  11. liumiaocn:openldap liumiao$

这样就可以使用同样的命令行进行添加了

  1. liumiaocn:openldap liumiao$ ldapmodify -H ldap://192.168.31.242:389 -D "cn=admin,dc=example,dc=org" -w admin -f barbara.ldif
  2. adding new entry "cn=Barbara Jensen,dc=example,dc=org"
  4. liumiaocn:openldap liumiao$

添加Organisation Unit

在添加用户的时候关键的objectclass是inetOrgPerson，而对于添加部门，关键信息则为organisationalUnit，添加两个OrganisationUnit的LDIF信息如下：

  1. liumiaocn:openldap liumiao$ cat orgunits.ldif 
  2. dn: ou=People,dc=example,dc=org
  3. objectclass: top
  4. objectclass: organizationalUnit
  5. ou: People
  7. dn: ou=Servers,dc=example,dc=org
  8. objectclass: top
  9. objectclass: organizationalUnit
  10. ou: Servers
  11. liumiaocn:openldap liumiao$

通过这个例子可以对LDIF进一步理解到可以是多段信息的结合，而在实际的项目中，对LDAP数据在不是很复杂的情况下，使用LIDF进行备份和恢复也是常用的方式。

  • 使用ldapadd进行信息的添加
  1. liumiaocn:openldap liumiao$ ldapadd -H ldap://192.168.31.242:389 -D "cn=admin,dc=example,dc=org" -w admin -f orgunits.ldif 
  2. adding new entry "ou=People,dc=example,dc=org"
  4. adding new entry "ou=Servers,dc=example,dc=org"
  6. liumiaocn:openldap liumiao$
  • 通过ldapsearch进行结果的查询
  1. liumiaocn:openldap liumiao$ ldapsearch -x -h 192.168.31.242  -b dc=example,dc=org -D "cn=admin,dc=example,dc=org" -w admin
  2. ...省略
  3. # People, example.org
  4. dn: ou=People,dc=example,dc=org
  5. objectClass: top
  6. objectClass: organizationalUnit
  7. ou: People
  9. # Servers, example.org
  10. dn: ou=Servers,dc=example,dc=org
  11. objectClass: top
  12. objectClass: organizationalUnit
  13. ou: Servers
  15. # search result
  16. search: 2
  17. result: 0 Success
  19. # numResponses: 6
  20. # numEntries: 5
  21. liumiaocn:openldap liumiao$

使用ldapadd和ldapmodify结合ldif文件实现了对部门信息和人员的添加，但注意到部门和人员的信息还未进行关联，当然最简单的方式是先创建部门，然后在人员信息中添加相关内容即可。

使用ldapsearch进行数据查询

操作方式

执行场所

对LDAP进行操作，场所不限，LDAP服务器上进行操作，也可以在可以连接LDAP服务的客户端进行

使用命令

常用的数据的查询，可以使用ldapsearch

Option介绍

命令的Option就不再分命令来介绍，常用的Option的信息和用途整理如下：

Option 说明
-H ldapuri，格式为ldap://机器名或者IP:端口号，不能与-h和-p同时使用
-h LDAP服务器IP或者可解析的hostname，与-p可结合使用，不能与-H同时使用
-p LDAP服务器端口号，与-h可结合使用，不能与-H同时使用
-x 使用简单认证方式
-D 所绑定的服务器的DN
-w 绑定DN的密码，与-W二者选一
-W 不输入密码，会交互式的提示用户输入密码，与-w二者选一
-f 指定输入条件，在RFC 4515中有更详细的说明
-c 出错后忽略当前错误继续执行，缺省情况下遇到错误即终止
-n 模拟操作但并不实际执行，用于验证，常与-v一同使用进行问题定位
-v 显示详细信息
-d 显示debug信息，可设定级别
-s 指定搜索范围, 可选值：`base one sub children`

常见的查询

方式1: 指定ldapuri进行查询

  1. 使用示例：
  2. ldapsearch -x -H ldap://192.168.31.242:389 -b dc=example,dc=org -D “cn=admin,dc=example,dc=org” -w admin

方式2: 指定hostname和端口号进行查询

  1. 使用示例：
  2. ldapsearch -x -h 192.168.31.242 -p 389 -b dc=example,dc=org -D “cn=admin,dc=example,dc=org” -w admin

方式3: 指定过滤条件：按照dn进行过滤

  1. 使用示例：
  2. ldapsearch -x -h 192.168.31.242 -p 389 -b dc=example,dc=org -D “cn=admin,dc=example,dc=org” -w admin

方式3: 指定过滤条件：按照dn进行过滤

可以通过dn进行过滤，因为dn能较为清晰的确定一条entry的信息，比如确认admin的详细，可以使用

  1. 使用示例：
  2. ldapsearch -x -H ldap://192.168.31.242:389 -b cn=admin,dc=example,dc=org -D “cn=admin,dc=example,dc=org” -w admin
  1. liumiaocn:openldap liumiao$ ldapsearch -x -H ldap://192.168.31.242:389  -b cn=admin,dc=example,dc=org -D "cn=admin,dc=example,dc=org" -w admin 
  2. # extended LDIF
  3. #
  4. # LDAPv3
  5. # base <cn=admin,dc=example,dc=org> with scope subtree
  6. # filter: (objectclass=*)
  7. # requesting: ALL
  8. #
  10. # admin, example.org
  11. dn: cn=admin,dc=example,dc=org
  12. objectClass: simpleSecurityObject
  13. objectClass: organizationalRole
  14. cn: admin
  15. description: LDAP administrator
  16. userPassword:: e1NTSEF9TE5GaU0rZVZXNGlRR3FDdzQ5UzRMNjRlb2xjMjY5OU4=
  18. # search result
  19. search: 2
  20. result: 0 Success
  22. # numResponses: 2
  23. # numEntries: 1
  24. liumiaocn:openldap liumiao$

同样查询上文中生成的People的这样一个部门的话，可以使用这样的语句：

  1. liumiaocn:openldap liumiao$ ldapsearch -x -H ldap://192.168.31.242:389  -b ou=people,dc=example,dc=org -D "cn=admin,dc=example,dc=org" -w admin 
  2. # extended LDIF
  3. #
  4. # LDAPv3
  5. # base <ou=people,dc=example,dc=org> with scope subtree
  6. # filter: (objectclass=*)
  7. # requesting: ALL
  8. #
  10. # People, example.org
  11. dn: ou=People,dc=example,dc=org
  12. objectClass: top
  13. objectClass: organizationalUnit
  14. ou: People
  16. # search result
  17. search: 2
  18. result: 0 Success
  20. # numResponses: 2
  21. # numEntries: 1
  22. liumiaocn:openldap liumiao$

方式4: 使用模糊匹配

比如我们创建了People和Servers这两个ou，我们可以使用ou=*来一下查询出当前根下的ou的信息，比如可以使用如下的命令：

  1. liumiaocn:openldap liumiao$ ldapsearch -x -h 192.168.31.242 -p 389 -b "dc=example,dc=org" -D "cn=admin,dc=example,dc=org" -w admin "ou=*"
  2. # extended LDIF
  3. #
  4. # LDAPv3
  5. # base <dc=example,dc=org> with scope subtree
  6. # filter: ou=*
  7. # requesting: ALL
  8. #
  10. # People, example.org
  11. dn: ou=People,dc=example,dc=org
  12. objectClass: top
  13. objectClass: organizationalUnit
  14. ou: People
  16. # Servers, example.org
  17. dn: ou=Servers,dc=example,dc=org
  18. objectClass: top
  19. objectClass: organizationalUnit
  20. ou: Servers
  22. # search result
  23. search: 2
  24. result: 0 Success
  26. # numResponses: 3
  27. # numEntries: 2
  28. liumiaocn:openldap liumiao$

常用的方式还可以使用cn=*或者cn=admin这样进行指定信息进行过滤

  1. liumiaocn:openldap liumiao$ ldapsearch -x -h 192.168.31.242 -p 389 -b "dc=example,dc=org" -D "cn=admin,dc=example,dc=org" -w admin "cn=*"
  2. # extended LDIF
  3. #
  4. # LDAPv3
  5. # base <dc=example,dc=org> with scope subtree
  6. # filter: cn=*
  7. # requesting: ALL
  8. #
  10. # admin, example.org
  11. dn: cn=admin,dc=example,dc=org
  12. objectClass: simpleSecurityObject
  13. objectClass: organizationalRole
  14. cn: admin
  15. description: LDAP administrator
  16. userPassword:: e1NTSEF9TE5GaU0rZVZXNGlRR3FDdzQ5UzRMNjRlb2xjMjY5OU4=
  18. # Barbara Jensen, example.org
  19. dn: cn=Barbara Jensen,dc=example,dc=org
  20. objectClass: inetOrgPerson
  21. cn: Barbara Jensen
  22. cn: Babs Jensen
  23. sn: Jensen
  24. title: the world's most famous mythical manager
  25. mail: bjensen@example.com
  26. uid: bjensen
  28. # search result
  29. search: 2
  30. result: 0 Success
  32. # numResponses: 3
  33. # numEntries: 2
  34. liumiaocn:openldap liumiao$ ldapsearch -x -h 192.168.31.242 -p 389 -b "dc=example,dc=org" -D "cn=admin,dc=example,dc=org" -w admin "cn=admin"
  35. # extended LDIF
  36. #
  37. # LDAPv3
  38. # base <dc=example,dc=org> with scope subtree
  39. # filter: cn=admin
  40. # requesting: ALL
  41. #
  43. # admin, example.org
  44. dn: cn=admin,dc=example,dc=org
  45. objectClass: simpleSecurityObject
  46. objectClass: organizationalRole
  47. cn: admin
  48. description: LDAP administrator
  49. userPassword:: e1NTSEF9TE5GaU0rZVZXNGlRR3FDdzQ5UzRMNjRlb2xjMjY5OU4=
  51. # search result
  52. search: 2
  53. result: 0 Success
  55. # numResponses: 2
  56. # numEntries: 1
  57. liumiaocn:openldap liumiao$

当然这里只是给出了几个非常简单的使用例子进行过滤，可以结合>和<以及～匹配查找等方式实现更加快速和便捷地定位。

方式5: 指定返回信息

另外比较常用的一种方式类似与在SQL中写Select，我们可以指定返回的字段信息以及排序，在实际的集成中也是非常的有用，比如，我们只返回创建的uid的mail/uid/title/cn/sn，并按照我们期待的方式进行返回，具体使用示例如下：

  1. liumiaocn:openldap liumiao$ ldapsearch -x -h 192.168.31.242 -p 389 -b "dc=example,dc=org" -D "cn=admin,dc=example,dc=org" -w admin "uid=*" sn cn title mail uid
  2. # extended LDIF
  3. #
  4. # LDAPv3
  5. # base <dc=example,dc=org> with scope subtree
  6. # filter: uid=*
  7. # requesting: sn cn title mail uid 
  8. #
  10. # Barbara Jensen, example.org
  11. dn: cn=Barbara Jensen,dc=example,dc=org
  12. cn: Barbara Jensen
  13. cn: Babs Jensen
  14. sn: Jensen
  15. title: the world's most famous mythical manager
  16. mail: bjensen@example.com
  17. uid: bjensen
  19. # search result
  20. search: 2
  21. result: 0 Success
  23. # numResponses: 2
  24. # numEntries: 1
  25. liumiaocn:openldap liumiao$

使用ldapmodify和ldapdelete进行修改或删除

操作方式

执行场所

对LDAP进行操作，场所不限，LDAP服务器上进行操作，也可以在可以连接LDAP服务的客户端进行

使用命令

常用的数据的删除，可以使用ldapmodify命令也可以使用ldapdelete

Option介绍

命令的Option就不再分命令来介绍，常用的Option的信息和用途整理如下：

Option 说明
-H ldapuri，格式为ldap://机器名或者IP:端口号，不能与-h和-p同时使用
-h LDAP服务器IP或者可解析的hostname，与-p可结合使用，不能与-H同时使用
-p LDAP服务器端口号，与-h可结合使用，不能与-H同时使用
-x 使用简单认证方式
-D 所绑定的服务器的DN
-w 绑定DN的密码，与-W二者选一
-W 不输入密码，会交互式的提示用户输入密码，与-w二者选一
-c 出错后忽略当前错误继续执行，缺省情况下遇到错误即终止
-n 模拟操作但并不实际执行，用于验证，常与-v一同使用进行问题定位
-v 显示详细信息
-d 显示debug信息，可设定级别
-e 设置客户端证书
-E 设置客户端私钥

注意：
常见的选项中-f，在ldapdelete和ldapmodify中有明显的不同, ldapdelete中主要是用于记录要删除的dn的信息，而ldapmodify的-f则指定的是要修改的ldif的文件内容。

修改信息：ldapmodify

事前确认

确认一下Barbara的现在的信息

  1. liumiaocn:openldap liumiao$ ldapsearch -x -h 192.168.31.242 -p 389 -b "dc=example,dc=org" -D "cn=admin,dc=example,dc=org" -w admin uid=bjensen
  2. # extended LDIF
  3. #
  4. # LDAPv3
  5. # base <dc=example,dc=org> with scope subtree
  6. # filter: uid=bjensen
  7. # requesting: ALL
  8. #
  10. # Barbara Jensen, example.org
  11. dn: cn=Barbara Jensen,dc=example,dc=org
  12. objectClass: inetOrgPerson
  13. cn: Barbara Jensen
  14. cn: Babs Jensen
  15. sn: Jensen
  16. title: the world's most famous mythical manager
  17. mail: bjensen@example.com
  18. uid: bjensen
  20. # search result
  21. search: 2
  22. result: 0 Success
  24. # numResponses: 2
  25. # numEntries: 1
  26. liumiaocn:openldap liumiao$

修改Barbara的title

Barbara的title写的是“the world’s most famous mythical manager”，这有点不太谦虚了，修改称“one of the world’s most famous mythical manager”，因为毕竟官方文档的例子中还有一个叫babs的朋友。

  • 准备用于修改的ldif文件
  1. liumiaocn:openldap liumiao$ cat modifybarbara.ldif 
  2. dn: cn=Barbara Jensen,dc=example,dc=org
  3. changetype: modify
  4. replace: title
  5. title: one of the world's most famous mythical manager
  6. liumiaocn:openldap liumiao$
  • 结果确认
  1. liumiaocn:openldap liumiao$ ldapsearch -x -h 192.168.31.242 -p 389 -b "dc=example,dc=org" -D "cn=admin,dc=example,dc=org" -w admin uid=bjensen
  2. # extended LDIF
  3. #
  4. # LDAPv3
  5. # base <dc=example,dc=org> with scope subtree
  6. # filter: uid=bjensen
  7. # requesting: ALL
  8. #
  10. # Barbara Jensen, example.org
  11. dn: cn=Barbara Jensen,dc=example,dc=org
  12. objectClass: inetOrgPerson
  13. cn: Barbara Jensen
  14. cn: Babs Jensen
  15. sn: Jensen
  16. mail: bjensen@example.com
  17. uid: bjensen
  18. title: one of the world's most famous mythical manager
  20. # search result
  21. search: 2
  22. result: 0 Success
  24. # numResponses: 2
  25. # numEntries: 1
  26. liumiaocn:openldap liumiao$

可以看到已经完成了信息的修改

给Barbara添加一个description的字段

  • 事前准备ldif文件

    1. liumiaocn:openldap liumiao$ cat modifybarbara.ldif 
    2. dn: cn=Barbara Jensen,dc=example,dc=org
    3. changetype: modify
    4. add: description
    5. description: Barbara description
    6. liumiaocn:openldap liumiao$

  • 将ldif文件通过-f传给ldapmodify ``` liumiaocn:openldap liumiao$ ldapmodify -a -H ldap://192.168.31.242:389 -D “cn=admin,dc=example,dc=org” -w admin -f modifybarbara.ldif modifying entry “cn=Barbara Jensen,dc=example,dc=org”

liumiaocn:openldap liumiao$

  2. - 结果确认

liumiaocn:openldap liumiao$ ldapsearch -x -h 192.168.31.242 -p 389 -b “dc=example,dc=org” -D “cn=admin,dc=example,dc=org” -w admin uid=bjensen

extended LDIF

#

LDAPv3

base with scope subtree

filter: uid=bjensen

requesting: ALL

#

Barbara Jensen, example.org

dn: cn=Barbara Jensen,dc=example,dc=org objectClass: inetOrgPerson cn: Barbara Jensen cn: Babs Jensen sn: Jensen mail: bjensen@example.com uid: bjensen title: one of the world’s most famous mythical manager description: Barbara description

search result

search: 2 result: 0 Success

numResponses: 2

numEntries: 1

liumiaocn:openldap liumiao$

  2. <a name="EHnHr"></a>
  3. ## 将Barbara移动到ou=People中
  5. - 事前准备ldif文件

liumiaocn:openldap liumiao$ cat modifybarbara.ldif dn: cn=Barbara Jensen,dc=example,dc=org changetype: modrdn newrdn: uid=bjensen deleteoldrdn: 0 newsuperior: ou=people,dc=example,dc=org liumiaocn:openldap liumiao$

  2. - 将ldif文件通过-f传给ldapmodify

liumiaocn:openldap liumiao$ ldapmodify -a -H ldap://192.168.31.242:389 -D “cn=admin,dc=example,dc=org” -w admin -f modifybarbara.ldif modifying rdn of entry “cn=Barbara Jensen,dc=example,dc=org”

liumiaocn:openldap liumiao$

  2. - 结果确认

liumiaocn:openldap liumiao$ ldapsearch -x -h 192.168.31.242 -p 389 -b “dc=example,dc=org” -D “cn=admin,dc=example,dc=org” -w admin uid=bjensen

extended LDIF

#

LDAPv3

base with scope subtree

filter: uid=bjensen

requesting: ALL

#

bjensen, People, example.org

dn: uid=bjensen,ou=People,dc=example,dc=org objectClass: inetOrgPerson cn: Barbara Jensen cn: Babs Jensen sn: Jensen mail: bjensen@example.com uid: bjensen title: one of the world’s most famous mythical manager description: Barbara description

search result

search: 2 result: 0 Success

numResponses: 2

numEntries: 1

liumiaocn:openldap liumiao$

  1. <a name="WdX3u"></a>
  2. ## 
  5. <a name="K0gcH"></a>
  6. # ldap用户密码确认和修改
  7. ldap用户密码的修改可以使用ldappasswd命令，也可以使用万能的ldapmodify结合ldif文件来实现，但所修改的都是普通的用户，cn=admin的管理员用户的修改一般可以通过slappasswd来进行，由于本系列使用了openldap的docker镜像，此项功能已被封装，通过设定环境变量即可轻易实现。
  8. <a name="cNOr7"></a>
  9. # 修改密码的常用方式
  11. - ldappasswd命令
  12. - ldapmodify命令结合ldif文件
  13. - slappasswd命令
  14. <a name="xPkr2"></a>
  15. # 管理员密码的设定
  16. 管理员密码的设定可以通过slappasswd，由于本系列文章的示例使用了osixia的openldap镜像，cn=admin的密码设定，只需要对环境变量LDAP_ADMIN_PASSWORD进行设定即可。
  17. <a name="r16LD"></a>
  18. # Option介绍
  19. <a name="BvZ6k"></a>
  20. ## ldapmodify常用Option
  21. ldapmodify常用的Option的信息和用途整理如下：
  23. | Option | 说明 |
  24. | --- | --- |
  25. | -H | ldapuri，格式为ldap://机器名或者IP:端口号，不能与-h和-p同时使用 |
  26. | -h | LDAP服务器IP或者可解析的hostname，与-p可结合使用，不能与-H同时使用 |
  27. | -p | LDAP服务器端口号，与-h可结合使用，不能与-H同时使用 |
  28. | -x | 使用简单认证方式 |
  29. | -D | 所绑定的服务器的DN |
  30. | -w | 绑定DN的密码，与-W二者选一 |
  31. | -W | 不输入密码，会交互式的提示用户输入密码，与-w二者选一 |
  32. | -c | 出错后忽略当前错误继续执行，缺省情况下遇到错误即终止 |
  33. | -n | 模拟操作但并不实际执行，用于验证，常与-v一同使用进行问题定位 |
  34. | -v | 显示详细信息 |
  35. | -d | 显示debug信息，可设定级别 |
  36. | -e | 设置客户端证书 |
  37. | -E | 设置客户端私钥 |
  39. <a name="E3YRy"></a>
  40. ## ldappasswd常用Option
  41. ldappasswd常用的Option的信息和用途整理如下：
  43. | Option | 说明 |
  44. | --- | --- |
  45. | -H | ldapuri，格式为ldap://机器名或者IP:端口号，不能与-h和-p同时使用 |
  46. | -h | LDAP服务器IP或者可解析的hostname，与-p可结合使用，不能与-H同时使用 |
  47. | -p | LDAP服务器端口号，与-h可结合使用，不能与-H同时使用 |
  48. | -x | 使用简单认证方式 |
  49. | -D | 所绑定的服务器的DN |
  50. | -w | 绑定DN的密码，与-W二者选一 |
  51. | -W | 不输入密码，会交互式的提示用户输入密码，与-w二者选一 |
  52. | -n | 模拟操作但并不实际执行，用于验证，常与-v一同使用进行问题定位 |
  53. | -v | 显示详细信息 |
  54. | -d | 显示debug信息，可设定级别 |
  55. | -S | 交互式进行密码的提示和输入以及Re-enter，与-s二者选一 |
  56. | -s | 将指定内容设为密码，与-S二者选一 |
  62. <a name="ObxJY"></a>
  63. # 客户端工具：使用Apache Directory Studio进行操作
  64. <a name="OK22H"></a>
  65. # Apache Directory Studio
  66. Apache Directory Studio 被设计用来和各种LDAP服务器进行交互操作，提供了一个使用方便的客户端操作平台。
  68. - 官方网址：[http://directory.apache.org/studio/](http://directory.apache.org/studio/)
  69. - 支持OS：跨平台，支持MacOS/Windows/Linux
  70. - 下载地址：[http://directory.apache.org/studio/downloads.html](http://directory.apache.org/studio/downloads.html)
  72. LDAP Account Manager<br />[https://www.ldap-account-manager.org/lamcms/changelog](https://www.ldap-account-manager.org/lamcms/changelog)
  73. <a name="5RqCm"></a>
  74. # 服务器端的工具phpLDAPadmin
  76. ![](https://cdn.nlark.com/yuque/0/2021/png/116294/1610178927837-90351a90-00d3-4a96-a480-4f731aded538.png#align=left&display=inline&height=1588&margin=%5Bobject%20Object%5D&originHeight=1588&originWidth=2810&size=0&status=done&style=none&width=2810)
  81. OpenLDAP图形界面管理，开源组织也提供了GUI管理OpenLDAP软件，目前开源的产品有phpLDAPadmin、LDAP Account Manager、Apache Directory Studio、LDAP Admin等管理工具
  87. ![](https://cdn.nlark.com/yuque/0/2021/png/116294/1610176971361-abc54461-7f20-4192-953f-5dbfae5e17ba.png#align=left&display=inline&height=171&margin=%5Bobject%20Object%5D&originHeight=296&originWidth=1618&size=0&status=done&style=none&width=932)
  89. ![](https://cdn.nlark.com/yuque/0/2021/jpeg/116294/1610175749886-6ff0be44-7acc-4743-a60b-3b60cf47a3c8.jpeg#align=left&display=inline&height=544&margin=%5Bobject%20Object%5D&originHeight=544&originWidth=800&size=0&status=done&style=none&width=800)
  91. <a name="B7Z0N"></a>
  92. # 安装

yum install openldap openldap-clients openldap-servers yum install phpldapadmin

  1. <a name="JRczQ"></a>
  2. ## 配置OpenLDAP
  3. <a name="37rQ4"></a>
  4. ## 配置phpLDAPadmin
  8. <a name="EshAc"></a>
  9. # openldap功能介绍及什么是schema
  11. **高级功能**

账户统一集中管理 权限控制管理(sudo) 密码控制策略管理 密码审计管理 密码控制策略 主机控制管理 同步机制管理 TLS/SASL加密传输 高可用负载均衡 自定义schema 各种应用平台集成帐号管理 ```

什么是schema
在openldap的目录树中，schema用来指定一个条目所包含的对象类(objectClass)以及每个对象类所包含的属性值(attribute)，其中属性值又包含必要属性和可选属性
schema定义对象类，对象类包含属性的定义，对象类和属性组合成条目
schema是一个数据模型，添加数据条目时，会检查是否符合对象类(objectClass)及属性，通过则添加成功，否则打印错误信息

schema包含些什么
OID
objectClass
匹配规则
属性

通过LAM来管理OpenLDAP
https://www.ldap-account-manager.org/lamcms/releases

通过LDAP Admin管理OpenLDAP
http://www.ldapadmin.org/
LDAP Admin是一个免费的Windows LDAP客户端管理工具目录管理。这个应用可以让你浏览、搜索、修改、创建和删除对象的LDAP服务器。它还支持更复杂的操作，如目录复制和移动远程服务器之间的移动，并扩展了常见的编辑功能，以支持特定的对象类型（如组和帐户）。

接入Windows认证：需要安装pGina

Self Service Password 该服务使用户自助修改/找回密码得以实现，解决密码修改的难题
https://ltb-project.org/documentation/self-service-password%3E

https://www.cnblogs.com/woshimrf/archive/2004/01/13/ldap.html
https://blog.51cto.com/swiki/2491033
https://www.ilanni.com/?cat=1035