配置Linux使用LDAP用户认证
配置linux使用ldap用户认证
本文首发:https://www.cnblogs.com/somata/p/linuxldapuserauthentication.html
我这里使用的是centos完成的ldap用户管理,可能与网上的大部分教程不同,不过写出来了,那么是肯定能用的了,不过会有部分文件,忘指教。
这里使用的 openldap 配合 centos7 完成的用户管理,需要配置 nssswitch 、pam 和 sssd 3个服务,需要先有一定的了解才能完成本文的配置。
基础配置
- 完成yum源的配置
mkdir /root/back tar -jcvf /root/back/yum.repos.d-`date '+(%y.%m.%d_%h:%m:%s)'`.tar.xz /etc/yum.repos.d/ rm -rf /etc/yum.repos.d/* curl -o /etc/yum.repos.d/centos-base.repo http://mirrors.aliyun.com/repo/centos-7.repo curl -o /etc/yum,repos.d/centos-epel.repo http://mirrors.aliyun.com/repo/epel-7.repo yum makecache
- 安装必要软件
yum -y install vim bash-completion openldap-servers openldap-clients nss-pam-ldapd sssd
openldap服务初始化
初始化过程就不再过多赘述,详细查询《openldap 服务搭建和后期管理》。
- 首先停止数据库服务:
systemctl stop slapd
- 然后编辑文件:
# 首先备份文件,以免无法复原 mkdir /root/back tar -jcvf /root/back/slapd.config-`date '+(%y.%m.%d_%h:%m:%s)'`.tar.xz /etc/openldap/slapd.d/ tar -jcvf /root/back/slapd.data-`date '+(%y.%m.%d_%h:%m:%s)'`.tar.xz /var/lib/ldap/ # 然后再删除配置文件 rm -rf /etc/openldap/slapd.d/* rm -rf /var/lib/ldap/* # 复制配置文件到临时目录 mkdir /root/ldap cd /root/ldap
- 编写slapd的配置文件。这里的配置文件是从
/usr/share/openldap-servers/slapd.ldif
中演变而来的,主要修改了basedn(suffix), openldaptls,olcrootpw(密码由 slappasswd 生成,本文中的密码为: 123456) 和 include。
# file: /root/ldap/slapd.ldif dn: cn=config objectclass: olcglobal cn: config olcargsfile: /var/run/openldap/slapd.args olcpidfile: /var/run/openldap/slapd.pid olctlscertificatefile: /etc/openldap/certs/server.crt olctlscertificatekeyfile: /etc/openldap/certs/server.key olctlscacertificatefile: /etc/openldap/cacerts/cacert.pem dn: cn=schema,cn=config objectclass: olcschemaconfig cn: schema include: file:///etc/openldap/schema/core.ldif include: file:///etc/openldap/schema/cosine.ldif include: file:///etc/openldap/schema/nis.ldif include: file:///etc/openldap/schema/inetorgperson.ldif dn: olcdatabase=frontend,cn=config objectclass: olcdatabaseconfig objectclass: olcfrontendconfig olcdatabase: frontend dn: olcdatabase=config,cn=config objectclass: olcdatabaseconfig olcdatabase: config olcaccess: to * by dn.base="gidnumber=0+uidnumber=0,cn=peercred,cn=external,cn=auth" manage by * none dn: olcdatabase=monitor,cn=config objectclass: olcdatabaseconfig olcdatabase: monitor olcaccess: to * by dn.base="gidnumber=0+uidnumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=manager,dc=black,dc=com" read by * none dn: olcdatabase=hdb,cn=config objectclass: olcdatabaseconfig objectclass: olchdbconfig olcdatabase: hdb olcsuffix: dc=black,dc=com olcrootdn: cn=manager,dc=black,dc=com olcrootpw: {ssha}l1vbi/homkleiqzgcm3co+hfqi68rh1q olcdbdirectory: /var/lib/ldap olcdbindex: objectclass eq,pres olcdbindex: ou,cn,mail,surname,givenname eq,pres,sub
- 配置openssl的证书。为openldap服务器的加密隧道使用。
# 首先是创建ca服务的证书文件 cd /etc/pki/ca openssl genrsa -out private/cakey.pem 2048 openssl req -new -x509 -key private/cakey.pem -out cacert.pem # 这里的证书创建过程就省略不写了。 # 不过需要注意的是,必须要保证后面服务器证书申请的开头部分必须与证书开头相同,否则无法通过ca签发证书。 touch index.txt echo "01" > serial # 然后申请签发服务器证书 cd /etc/openldap/certs/ openssl genrsa -out server.key 2048 openssl ca -in server.csr -out server.crt -days 365 # 复制ca证书到指定位置 mkdir /etc/openldap/cacerts cp /etc/pki/ca/cacert.pem /etc/openldap/cacerts/
- 根据配置生成服务器的配置文件
slapadd -f "/etc/openldap/slapd.d/" -b "cn=config" -l slapd.ldif # 这里还需要注意文件属主还是root的,需要改回为openldap chown -r ldap:ldap /etc/openldap/slapd.d/* # 然后再开启服务即可 systemctl start slapd
_#################### 100.00% eta none elapsed none fast!
closing db...
- 初始化数据库
dn: dc=black,dc=com dc: black objectclass: top objectclass: domain dn: cn=manager,dc=black,dc=com objectclass: organizationalrole cn: manager description: ldap manager dn: ou=people,dc=black,dc=com ou: people objectclass: top objectclass: organizationalunit objectclass: domainrelatedobject associateddomain: black.com dn: ou=group,dc=black,dc=com ou: group objectclass: top objectclass: organizationalunit objectclass: domainrelatedobject associateddomain: black.com
- 导入至数据库
ldapadd -x -d "cn=manager,dc=black,dc=com" -w 123456 -f base.ldif # 将基础信息导入数据库。
adding new entry "dc=black,dc=com"
adding new entry "cn=root,dc=black,dc=com"
adding new entry "ou=people,dc=black,dc=com"
adding new entry "ou=group,dc=black,dc=com"
- 那么再使用apache directory studio来查看 服务器是否配置成功。
首先先将防火墙开启
firewall-cmd --add-service=ldap
- 我们这里先导入一个用户用于后面的测试使用
nss 、pam 和 sssd 配置
nss服务配置
如果想使 nss 可以查询ldap,那么首先就需要启用一个叫 nslcd 的服务, 以下是该服务的配置文件。
# file: /etc/nslcd.conf uid nslcd gid ldap uri ldap://127.0.0.1/ base dc=black,dc=com binddn cn=manager,dc=black,dc=com bindpw 123456 ssl no tls_cacertdir /etc/openldap/cacerts
启动服务
chmod 600 /etc/nslcd.conf systemctl start nslcd systemctl enable nslcd
配置nss
# file: /etc/nsswitch.conf passwd: files ldap # 主要就是 passwd、shadow 和 group 这3行需要后面添加ldap shadow: files ldap group: files ldap hosts: files dns myhostname bootparams: nisplus [notfound=return] files ethers: files netmasks: files networks: files protocols: files rpc: files services: files sss netgroup: nisplus sss publickey: nisplus automount: files nisplus sss aliases: files nisplus
测试是否可用:
getent passwd | grep black
black❌1001:1001:black:/home/black:/bin/bash
pam服务配置
这里pam的配置文件我是从另一台使用authconfig-tui 配置内容拷过来的。
# file: /etc/pam.d/system-auth auth required pam_env.so auth required pam_faildelay.so delay=2000000 auth [default=1 ignore=ignore success=ok] pam_succeed_if.so uid >= 1000 quiet auth [default=1 ignore=ignore success=ok] pam_localuser.so auth sufficient pam_unix.so nullok try_first_pass auth requisite pam_succeed_if.so uid >= 1000 quiet_success auth sufficient pam_sss.so forward_pass auth required pam_deny.so account required pam_unix.so broken_shadow account sufficient pam_localuser.so account sufficient pam_succeed_if.so uid < 1000 quiet account [default=bad success=ok user_unknown=ignore] pam_sss.so account required pam_permit.so password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok password sufficient pam_sss.so use_authtok password required pam_deny.so session optional pam_keyinit.so revoke session required pam_limits.so -session optional pam_systemd.so session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid session required pam_unix.so session optional pam_sss.so
sssd服务配置
针对ldap用户登入,pam配置会将其转发给sssd,由sssd来认证用户。
# file: /etc/sssd/sssd.conf [domain/black.com] autofs_provider = ldap cache_credentials = true ldap_search_base = dc=black,dc=com id_provider = ldap auth_provider = ldap chpass_provider = ldap ldap_uri = ldap://127.0.0.1/ ldap_id_use_start_tls = true ldap_tls_reqcert = never ldap_tls_cacertdir = /etc/openldap/cacerts [sssd] services = nss, pam, autofs domains = black.com [nss] homedir_substring = /home [pam] [sudo] [autofs] [ssh] [pac] [ifp] [secrets] [session_recording]
配置启动服务,并且设置开机自启动。
chmod 600 /etc/sssd/sssd.conf # 注意权限的配置,否则无法启动。 systemctl start sssd systmctl enable sssd
测试
那么这样用户认证的部分就制作好了,那么现在来测试一下:
因为配置的 system-auth 文件,并没有配置 ssh 文件,所以ssh是连接不进去的。因此这里使用login来测试可行性。
脚本
我为这个ldap用户认证写了一个脚本,方便添加用户。我这里还是要强调一下,centos虽然有提供 migrationtools 工具用于将用户存放至ldap数据库,但是如果你把本地用户全都提到 ldap 数据库,不保留本地用户,那么你就会发现,电脑就会无法重启了,所以推荐不要把uid小于1000的用户存放到 ldap 服务器。
脚本放在gitee上了。
使用方法很简单
然后再测试一下这个添加的用户是否可以登入:
本文经「原本」原创认证,作者乾坤盘,访问yuanben.io查询【5at479hz】获取授权信息。
上一篇: 你咋不上大街上要饭去?