参考资料

• LDAP 系统管理 (O'Reilly, ISBN: 986-7794-21-4)

项目选择

• Server 设定
• Client 调整

Server 的设定与资料新增

自从 Sun 推出了 Sun Yellow Pages (就是现在在 Unix/Linux 常听到的 Network Information Service，NIS) 之后，Unix/Linux 的帐号管理就有了完整的统一方案，在此，我在这里介绍如何使用 LDAP 统一帐帐号密码的管理。

schema 与 Attribute 设定

LDAP 里，只要引入 nis.schema 就可以使用和 Linux 登入相关的 attribute。要引用这个 nis.schema 可在 /etc/openldap/slapd.conf 设定：

加入这一行之后，再重新启动 ldap 服务：

/etc/passwd、/etc/shadow 和 /etc/group

大家都知道，/etc/passwd 是存放个人的帐号资料，而 /etc/shadow 是存放著个人的密码资讯，而 /etc/passwd 格式应该像下面这样：

也就是：

这样的格式，然而，在 Linux login 时，对於 LDAP 也要引用相关的 atrribute 才可以正确对应登入，下表为 posix /etc/passwd 和 LDAP 的对应：

上表可以很清楚的看到，若是要让设计 ldif 档的话，最少需要引用 posixAccount 这个 objectClass，并且设定必要的 attribute。

介绍完了 /etc/passwd 之后，另一个很重要的档案，也就是记录整个 Linux 主机的 user password 的档案就是 /etc/shadow 这个档，那么他的格式是：

他们的意义依序为：

好的，那么和刚刚一样，我来解释一下要引用的 objectclass 和 attribute 对应：

上面也可以得知，在设计 ldif 时，除了要引用刚刚的 posixAccount，还有 shadowAccount 才行。

介绍完了两个重要的 passwd 和 shadow 档之后，再来就是群组档 (/etc/group) 的问题啦！一样的，也有对应的 attribute，但我还是先列出格式出来：

也就是：

下面是 objectclass 和 attribute 的对应：

聪明的你一定之道我最后为什么要讲 group 这个档案，因为 gorup 对系统管理也是很重要的一环，记得不要忘了 /etc/group。

LDIF 设编写

现在我们再来看一次原本我们的目录架构树：

                    l-penguin.idv.tw
                      /          \
                  login         company
                   /  \         /     \
                user group   unit     customer
                            /  |  \
                        mis account hr

原本的计划，就是要把 ou=login,dc=l-penguin,dc=idv,dc=tw 这条存放 user 的 login 资料，包含了帐号密码，这个档案我们放在 /etc/openldap/data/user-login.ldif，现在我们来看一下一个简单的范列：

上面为一位 吴怡君小姐 (?) 的 user-login 记录，在这里使用了 account、posixAccount 和 shadowAccount 等三个 objectclass，剩下的在前面已都有说明，在此就不再赘述。

当然，照例我还是请各位下载完整的 user-login.ldif 让大家玩玩。

新增到 LDAP 资料库

当 ldif 档编较好了之后，我们需要把这些资料加入到 ldap 才可以使用，而 ldapmodify 就可以帮我们完成这个工作：

好了，若你有看过 LDAP 入门 (new window) 的话，应该知道可以使用 ldapsearch 这个指令来帮忙印出资料：

建立 Group 资料并新增

现在我们来建立 Group 资料，如此才能正确查到 Group 的对应，而这个档存放在 /etc/openldap/data/group.ldif：

以上的三个 Group 分别为 Human Resource、MIS 和 Account 群组，使用 posixGroup 这个 objectClass，记得，这次是要新在 ou=group,ou=login,dc=l-penguin,dc=idv,dc=tw 这个 dn 下，而 group.ldif 请点这里下载。

完成之后，一样我们需要使用 ldapmodify 指令来帮我们做新增动作：

修改 /etc/openldap/slapd.conf ACLs

为什么还需要修改 slapd.conf 呢？看看上面的范例，里面是否包含了一个很重要的项目就是 password，如果不加一限制的话，那么不就每个人都可以查到别人的 password 了呢！那么这么的存取控制，就是要让 userPassword 这个 attribute 只能用来做认证，并且只有 user 自己可以修改密码：

修改完之后，记得重新启动 ldap。

如此就完成了 LDAP Server 端的资料汇整了。

Linux Client 调整

因为我们现在所有的 Linux Login 都是使用 LDAP 来做帐号统整，所以在 Client 必需调整一下才行。Linux Client 如何做调整呢，记得在做 NIS 时，是使用 PAM 模组来做认证，若使用 LDAP 怎么办呢，没关系，我们还是有相关的 LDAP PAM 模组可以使用，你可能在网路上看到很多说明文件，PAM 要调整一堆又不能打错字，否则会造成系统无法进入等问题。

若是使用 Redhat 系的 Linux，那么这些调整 PAM 的事就可以请 authconfig 来代劳了！

首先，我们这台 Client IP 为 192.168.1.212，LDAP Server 是 192.168.1.211，所以在登入 192.168.1.212 之后，马上就可以使用 authconfig 来做调整了：

root # authconfig

上面的那个 Base DN 就输入的就是 ou=user,ou=login,dc=l-penguin,dc=idv,dc=tw 这个 dn 值，当然 Server 就不用说了吧！

做好之后，我们还有一个小地方需要修改，因为我们的 user account 和 group 是分别在不同的 dn 之下，所以要修改一下 /etc/ldap.conf 才可以找正确的 group：

好了，修改好之后就请随便找一个使用者登入吧！

可以修改密码，那么来看看 group 是否对应正确（是向 LDAP 所要求的资料而来）：

08/14/2005