标签：企业运维用户管理

openldap管理系统

1、背景

在企业创办初期，少于50台服务器的情况下基本不会遇到帐号管理的问题。

但是随着时间的推移，服务器数量增加及经常变更服务器密码，就会频繁导致有些服务器忘记密码，登录不上去的情况。

使用配置管理工具，可以将系统的Passwd、shadows等文件进行统一管理，达到账号密码的统一。

针对企业中的角色，管理员角色、业务角色、观察角色、个人角色等，对所有的员工根据权限的不同进行分组，并对组进行授权，不同的组拥有不同的权限。

设计的理念：所有的用户名、密码、权限都通过ldap去管理

2、目标

1、LDAP Server集中管理帐号及存放SSHPublic key

2、每开一个用户自动建立家目录

3、用户在LDAP Server中停权后，该用户无法使用SSHkey的方式登录任何一台服务器。

4、LDAP Server设定用户可使用的sudo权限

5、限制某些用户无法登录某些服务器

6、方便使用phpldapadmin来管理

3、基本架构

4、Openldap Server的安装设定

4.1、环境说明

系统：centos 6.6

LDAP Server    192.168.1.50

LDAP Client      192.168.1.81

4.2、安装说明

4.2.1、LDAP Server端安装

a.采用yum方式安装

#yuminstall openldap-* -y

OpenLDAP 使用Berkely-DB来作为数据库存储信息，Yum的话，会默认安装依赖包，我们只要在安装完后检查一下是否安装了db4*相关的rpm包就可以了

#rpm-qa | grep db4

b.拷贝LDAP配置文件到LDAP目录

# cd/etc/openldap/
# cp /usr/share/openldap-servers/slapd.conf.obsolete slapd.conf

c.创建LDAP管理员密码：加密

# slappasswd
这里我输入的密码是redhat,输入完密码后,返回一串密文，先保存到剪贴板,之后要复制到LDAP配置文件中使用:{SSHA}pfAJm+JJa4ec2y8GjTc8uMEJpoR5YKLy

d.编译配置文件

# vi /etc/openldap/slapd.conf

# enable server status monitoring (cn=monitor)
database monitor
access to *
        bydn.exact="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth"read
        bydn.exact="cn=root,dc=zzc,dc=com" read
        by * none

database        bdb
suffix          "dc=zzc,dc=com"
checkpoint      1024 15
rootdn          "cn=root,dc=zzc,dc=com"
# Cleartext passwords, especially for the rootdn, should
# be avoided.  See slappasswd(8) and slapd.conf(5) for details.
# Use of strong authentication encouraged.
# rootpw                secret
# rootpw               {crypt}ijFYNcSNctBYg
rootpw {SSHA}pfAJm+JJa4ec2y8GjTc8uMEJpoR5YKMn

.......

保存退出。

e.拷贝DB_CONFIG文件到指定目录

# cp/usr/share/openldap-servers/DB_CONFIG.example  /var/lib/ldap/DB_CONFIG
删除默认/etc/openldap/slapd.d下面的所有内容，否则后面在使用ldapadd的时候会报错：
# rm -rf /etc/openldap/slapd.d/*

f.启动LDAP的slapd服务,并设置自启动：

# service slapd restart
# chkconfig slapd on
赋予配置目录相应权限：
# chown -R ldap:ldap /var/lib/ldap
# chown -R ldap:ldap /etc/openldap/

g.测试并生成配置文件：

slaptest  -f /etc/openldap/slapd.conf -F/etc/openldap/slapd.d
返回config file testing succeeded,则配置成功。
赋予生成的配置文件予权限并重启：
# chown -R ldap:ldap /etc/openldap/slapd.d
# service slapd restart

h.创建一个base.ldif做初始化

#cd /tmp

#vi base.ldif

dn: dc=zzc,dc=com

objectClass: dcObject

objectClass: organization

dc: zzc

o : zzc

i.将base.ldif导入

# ldapadd -x -W -D "cn=root,dc=zzc,dc=com"-f base.ldif

输入密码后出现adding new entry “dc=zzc,dc=com” 就好了。

j.设定LDAPServer写入日志

#vim /etc/rsyslog.conf

增加一行local4.* /var/log/ldap.log

然后重启rsyslog

#service rsyslog restart

这样就可以在 /var/log/ldap.log下看到日志了

K.让LDAPServer支持ssh以及sudo

预设的Centos中并没有LDAP支持ssh以及sudo，需要手动安装

先来搞sudo的部分

#rpm -qal | grep sudo查看有没有/usr/share/doc/sudo-1.8.6p3/schema.OpenLDAP

#cp/usr/share/doc/sudo-1.8.6p3/schema.OpenLDAP /etc/openldap/schema/sudo.schema

openssh部分

# rpm -qal | grep openssh-ldap查看有没有安装openssh-ldap包

#cp/usr/share/doc/openssh-ldap-5.3p1/openssh-lpk-openldap.schema /etc/openldap/schema

L.将这两个schema加入到slapd.conf

include         /etc/openldap/schema/sudo.schema

include        /etc/openldap/schema/openssh-lpk-openldap.schema

M.重新转换一下

#slaptest  -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d

# chown -Rf ldap:ldap /etc/openldap/slapd.d

# service slapd restart

4.2.2、phpLDAPadmin安装

a、Centos没有预设安装phpldapadmin，需要先安装epel再安装

#rpm -ivhhttps://dl.fedoraproject.org/pub/epel/epel-release-latest-6.noarch.rpm安装epel

#yum install phpldapadmin

这种安装会连httpd跟php一起安装

b、然后修改httpd的设定

#vi /etc/httpd/conf.d/phpldapadmin.conf

将127.0.0.1改成192.168.0.0/255.255.0.0

#service httpd  restart

c、在浏览器输入http://192.168.1.50/ldapadmin可以打开既代表安装成功

d、修改文件/etc/phpldapadmin/config.php 

找到$servers->setValue(‘login‘,‘attr‘,‘uid‘);修改为$servers->setValue(‘login‘,‘attr‘,‘dn‘);

e、尝试登录

帐号：cn=root,dc=zzc,dc=com

密码：为之前设定的密码

f、phpldapadmin支持sudo

http://phpldapadmin.sourceforge.net/wiki/index.php/TemplatesContributed:Sudo

到这个网址抓取template，但是这个网址被“墙”了，只能翻墙看

将Creation Template 及 Modification Template分别复制到这两个文件

/usr/share/phpldapadmin/templates/creation/sudo.xml

/usr/share/phpldapadmin/templates/modification/sudo.xml

CreationTemplate

<?xml version="1.0" encoding="UTF-8" standalone="no"?>

<!DOCTYPE template SYSTEM "template.dtd">

<template>

<title>Sudo Policy</title>

<regexp>^ou=sudoers,dc=.*</regexp>

<icon>images/door.png</icon>

<description>New Sudo Policy</description>

<askcontainer>1</askcontainer>

<rdn>cn</rdn>

<visible>1</visible>

<objectClasses>

<objectClass id="sudoRole"></objectClass>

</objectClasses>

<attributes>

<attribute id="cn">

        <display>Policy Name</display>

        <order>1</order>

        <page>1</page>

</attribute>

<attribute id="sudoCommand">

        <display>Sudo Command</display>

        <order>2</order>

        <page>1</page>

        <spacer>1</spacer>

</attribute>

<attribute id="sudoUser">

        <display>Sudo Users</display>

        <option>=php.MultiList(/,(objectClass=posixAccount),uid,%uid%

(%cn%),sudoUser)</option>

        <order>3</order>

        <page>1</page>

        <spacer>1</spacer>

</attribute>

<attribute id="sudoHost">

        <display>Sudo Hosts</display>

        <array>10</array>

        <order>3</order>

        <page>1</page>

        <spacer>1</spacer>

</attribute>

<attribute id="description">

        <type>textarea</type>

        <display>Description</display>

        <order>4</order>

        <page>1</page>

</attribute>

</attributes>

</template>

ModificationTemplate

<?xml version="1.0" encoding="UTF-8" standalone="no"?>

<!DOCTYPE template SYSTEM "template.dtd">

<template>

<title>Sudo Policy</title>

<regexp>^cn=.*,ou=sudoers,dc=.*</regexp>

<icon>images/door.png</icon>

<description>Sudo Policy</description>

<askcontainer>1</askcontainer>

<rdn>cn</rdn>

<visible>1</visible>

<objectClasses>

<objectClass id="sudoRole"></objectClass>

</objectClasses>

<attributes>

<attribute id="cn">

        <display>Policy Name</display>

        <order>1</order>

        <page>1</page>

</attribute>

<attribute id="sudoCommand">

        <display>Sudo Command</display>

        <order>2</order>

        <page>1</page>

        <spacer>1</spacer>

</attribute>

<attribute id="sudoUser">

        <display>Sudo Users</display>

        <order>3</order>

        <page>1</page>

        <spacer>1</spacer>

</attribute>

<attribute id="sudoHost">

        <display>Sudo Hosts</display>

        <!-- <array>10</array> -->

        <order>3</order>

        <page>1</page>

        <spacer>1</spacer>

</attribute>

<attribute id="description">

        <type>textarea</type>

        <display>Description</display>

        <order>4</order>

        <page>1</page>

        <cols>200</cols>

        <rows>10</rows>

</attribute>

</attributes>

</template>

保存后phpldapadmin会自动载入

4.2.3、ldap客户端安装

a.安装LDAPclient认证需要的pam包：

#yum install nss-pam-ldapd pam_ldap -y 

b.setup配置客户端，是机器使用LDAP进行账户验证：

将带ldap的选中

选next

选ok，退出

c. 设定自动建立家目录

# yum install -y oddjob-mkhomedir oddjob

# chkconfig oddjobd on

# service messagebus start

Starting system message bus: [ OK ]

# service oddjobd start

Starting oddjobd: [ OK ]

# authconfig --enablemkhomedir --update

Starting oddjobd: [ OK ]

设定完后只能通过帐号密码登录，但我们还要支持ssh public key认证

d. 支持sshpublic key登录

#yum install openssh-ldap nss-pam-ldapd

#cp/usr/share/doc/openssh-ldap-5.3p1/ldap.conf /etc/ssh

#vi /etc/ssh/sshd_config

         AuthorizedKeysCommand/usr/libexec/openssh/ssh-ldap-wrapper

         PubkeyAuthenticationyes

         AuthorizedKeysCommandRunAsnobody

#vi /etc/ssh/ldap.conf添加

         urildap://192.168.1.50/

         basedc=zzc,dc=com

         sslno

# service sshd restart

e.让用户通过ldap支持sudo

# vi /etc/sudo-ldap.conf 加入两行

uri ldap://192.168.1.50/

sudoers_base dc=zzc,dc=com

#vi /etc/nsswitch.conf 加入一行

sudoers:    files ldap

会先判断本机sudo设定，再判断ldap的设定

f、vim/etc/sssd/sssd.conf 

添加enumerate=true

#service sssd restart 并重启服务

在客户端执行

#getent passwd |grep abc 可以看到ldap的用户abc的信息

g.编辑系统认证文件，保证使用ldap来认证

 vim /etc/pam.d/system-auth
 vim /etc/pam.d/password-auth

将文件中的pam_sss.so替换成 pam_ldap.so 

#service nslcd restart

服务重启之后因该就可以使用LDAP服务了。客户端配置完成

5、LDAP Server管理篇

5.1、登录

帐号：cn=root,dc=zzc,dc=com

密码：为你在服务端的slapd.conf中rootpw段设定的密码

5.2、创建OU

这个ou要建立users，groups，sudoers，也就是要操作三次

点击“创建新条目”--》Generic: Organisational Unit

分别输入users  groups  sudoers 创建三次

5.3 groups的建立

创建一个子条目--》Generic: Posix Group，写上要创建的组名

5.4 users的建立

登录的用户名为这里的UserID：test_user1，密码为你自己设定的

5.5设定user使用SSH Public key登录

随便找台linux机器执行ssh-keygen -t rsa一直回车，在家目录的.ssh目录下有id_rsa  id_rsa.pub两个文件。

先查看下刚添加的test_user1的资料

将id_rsa.pub中的内容添加到sshPublickey中，私钥自己导入到crt或者xshell中，就可以用ssh public key登录了

5.6、sudo的设定

本文出自 “民煮天下” 博客，请务必保留此出处http://pengye888.blog.51cto.com/5552219/1782524

openldap管理系统

标签：企业运维用户管理

原文地址：http://pengye888.blog.51cto.com/5552219/1782524