Настраиваем LDAP в ОС Linux
В этой статье мы продолжим разворачивать и настраивать LDAP под Linux. В первой части мы выполнили базовую установку slapd, развернули домен domain.com, и добавили записи в каталог.
Сейчас мы продолжим выполнять наши настройки в LDAP и поговорим об аутентификации. Наши предыдущие настройки завершились добавлением записей. Посмотрим нашу текущую конфигурацию slapd по протоколу LDAP (с указанием только DNs):
$ sudo ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:/// -b cn=config dn
dn: cn=config # глобальные настройки
dn: cn=module{0},cn=config # динамически загружаемый модуль
dn: cn=schema,cn=config # жестко прописанная схема на уровне системы
dn: cn={0}core,cn=schema,cn=config # жестко прописанная core схема
dn: cn={1}cosine,cn=schema,cn=config # cosine схема
dn: cn={2}nis,cn=schema,cn=config # NIS схема
dn: cn={3}inetorgperson,cn=schema,cn=config # InetOrgPerson схема
dn: olcDatabase={-1}frontend,cn=config # база Frontend, настройки по умолчанию для других баз
dn: olcDatabase={0}config,cn=config # база конфигурации slapd
dn: olcDatabase={1}mdb,cn=config # база dc=domain dc=com
Вот как выглядит пример вывода запроса для dc=domain, dc=com:
$ ldapsearch -x -LLL -H ldap:/// -b dc=domain,dc=com dn
dn: dc=domain,dc=com
dn: cn=admin,dc=domain,dc=comНекоторые пояснения к выведенному листингу:
dc=domain,dc=com: основной DIT
cn=admin,dc=domain,dc=com: Administrator (rootDN) для этого DITОб аутентификации
При этом обратите внимание на два варианта использования механизмов аутентификации, которые мы использовали вместе с командой ldapsearch в примере выше:
Ключ -x указывает на использование обычной текстовой аутентификации. Поскольку DN привязки не был предоставлен (через -D), это стало анонимной привязкой. Без -x по умолчанию используется привязка Simple Authentication Security Layer (SASL).
Ключ -Y со значением EXTERNAL использует привязку SASL. Вместе с -H ldapi:/// здесь используется локальное соединение с сокетом Unix.
При использовании первого или второго ключа мы получим только те результаты, которые позволят нам увидеть списки контроля доступа к серверу (ACL), исходя из того, какими правами мы обладаем. Очень удобным инструментом для проверки подлинности является команда ldapwhoami, которую можно использовать следующим образом:
$ ldapwhoami -x anonymous
Также с помощью ключа –x можно пройти аутентификацию в LDAP:
$ ldapwhoami -x -D cn=admin,dc=domain,dc=com -W
Enter LDAP Password:
dn:cn=admin,dc=domain,dc=com
При этом, когда вы используете simple bind (-x) и указываете DN привязки с -D в качестве DN аутентификации, сервер будет искать атрибут userPassword в записи и использовать его для проверки учетных данных. В данном конкретном случае, описанном выше, мы использовали запись корневого домена базы данных, т.е. фактического администратора, и это особый случай, пароль которого задается в конфигурации при установке пакета.
Индексы в LDAP
Для ускорения поиска по каталогу LDAP используются индексы. По сути, они работают по тому же принципу, что и индексы в базах данных, то есть используются для ускорения работы запросов на обновление и поиск. В LDAP индексы могут быть предоставлены для любого атрибута, но индексироваться должны только те, которые отображаются в результатах поиска. При этом, каталог LDAP индексировать несколько проще, чем базу данных, поскольку предполагаемое соотношение чтения/записи намного выше, обычно 9 к 1 или более по сравнению с 3 к 1 для СУБД, поэтому затраты на индексацию при вставках и обновлениях несколько меньше.
Индексы лучше создавать перед первоначальной загрузкой каталога с помощью команды ldapadd, тогда при первоначальной загрузке соответствующие индексы будут созданы автоматически.
Но, если нам требуется внести изменения в настройки индексов после первоначальной загрузки, необходимо произвести переиндексирование (повторное создание индексов) каталога с помощью команды slapindex. При этом, естественно, необходимо предварительно остановить slapd.
Для добавления индексов используется команда ldapmodify, которая позволяет добавить index к вашему базе вашего каталога mdb, cn=config (для dc=domain, dc=com).
Создадим файл с именем uid_index.ldif и добавим в него следующее содержимое:
dn: olcDatabase={1}mdb,cn=config
add: olcDbIndex
olcDbIndex: mail eq,subПосле этого нам необходимо выполнить следующую команду:
$ sudo ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f uid_index.ldif
modifying entry "olcDatabase={1}mdb,cn=config"
Убедиться в том, что изменения применились можно с помощью следующей команды:
$ sudo ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:/// -b \
cn=config '(olcDatabase={1}mdb)' olcDbIndex
dn: olcDatabase={1}mdb,cn=config
olcDbIndex: objectClass eq
olcDbIndex: cn,uid eq
olcDbIndex: uidNumber,gidNumber eq
olcDbIndex: member,memberUid eq
olcDbIndex: mail eq,subЖурналирование
В процессе эксплуатации slapd обязательной задачей является журналирование наиболее важных событий. Для того, чтобы настроить логирование необходимо внести некоторые правки в конфигурационные файлы.
Для записи логов slapd в журналы операционной системы, в конфигурационный файл syslog/rsyslog необходимо добавить правило:
local4.* /var/log/ldap.log
А для настройки журналирования в самом slapd необходимо создать файл logging.ldif к примеру следующего содержания:
dn: cn=config
changetype: modify
replace: olcLogLevel
olcLogLevel: statsВ последней строке у нас указан уровень журналирования. В slapd доступны следующие уровни:
1 (0x1 trace) отслеживание вызовов функций
2 (0x2 packets) отладка обработки пакетов
4 (0x4 args) усиленная отладка (аргументы функций)
8 (0x8 conns) управление соединениями
16 (0x10 BER) вывод посылки и приёма пакетов
32 (0x20 filter) обработка поисковых фильтров
64 (0x40 config) обработка конфигурационного файла
128 (0x80 ACL) обработка списков контроля доступа
256 (0x100 stats) статистика соединений/операций/результатов
512 (0x200 stats2) статистика посылки записей журнала
1024 (0x400 shell) вывод взаимодействия с механизмами манипуляции данными shell
2048 (0x800 parse) вывод отладочной информации разбора записей
16384 (0x4000 sync) вывод отладочной информации репликации LDAPSync
32768 (0x8000 none) только сообщения, выводимые независимо от заданного уровня журналированияВ примере мы используем уровень журналирования stats для сбора информации о соединениях и операциях.
Заключение
В этой статье мы рассмотрели моменты, связанные с аутентификацией, настройкой индексов в LDAP и настройкой журналирования в slapd.
Напоследок хочу порекомендовать вам бесплатный вебинар, в рамках которого поговорим про процессы в Linux. Мы разберем, что такое процесс и программа, а также познакомимся с системными вызовами для создания процесса.
