centos 7.9 
slapd 2.4.44

安装OpenLDAP

yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel migrationtools

查看OpenLDAP版本

slapd -VV
@(#) $OpenLDAP: slapd 2.4.44 (Sep 30 2020 17:16:39) $
	mockbuild@x86-02.bsys.centos.org:/builddir/build/BUILD/openldap-2.4.44/openldap-2.4.44/servers/slapd

OpenLDAP的相关配置文件信息

/etc/openldap/slapd.conf：OpenLDAP的主配置文件，记录根域信息，管理员名称，密码，日志，权限等

/etc/openldap/slapd.d/*：这下面是/etc/openldap/slapd.conf配置信息生成的文件，每修改一次配置信息，这里的东西就要重新生成

/etc/openldap/schema/*：OpenLDAP的schema存放的地方

/var/lib/ldap/*：OpenLDAP的数据文件

/usr/share/openldap-servers/DB_CONFIG.example 模板数据库配置文件

OpenLDAP监听的端口：

默认监听端口：389（明文数据传输）

加密监听端口：636（密文数据传输）

配置OpenLDAP

OpenLDAP默认使用的数据库是BerkeleyDB，现在来开始配置OpenLDAP数据库，使用如下命令：

cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG

修改配置文件 生成ldap管理员密码

slappasswd -s xiaofan@1
{SSHA}4Mr+3lBtr33pyIQYgNNpN1Bs2NyLa2Zw

注意：其中cn=Manager中的Manager表示OpenLDAP管理员的用户名，dc是我们的组织信息，而olcRootPW表示OpenLDAP管理员的密码,用刚才我们生成的密码。

修改olcDatabase={2}hdb.ldif文件

vi /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{2\}hdb.ldif
olcSuffix: dc=mvmyun,dc=com
olcRootDN: cn=Manager,dc=mvmyun,dc=com
olcRootPW: {SSHA}4Mr+3lBtr33pyIQYgNNpN1Bs2NyLa2Zw

注意：其中cn=Manager中的Manager表示OpenLDAP管理员的用户名，dc是我们的组织信息，而olcRootPW表示OpenLDAP管理员的密码,用刚才我们生成的密码。

修改olcDatabase={1}monitor.ldif文件

vi /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{1\}monitor.ldif
olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=extern
 al,cn=auth" read by dn.base="cn=Manager,dc=mvmyun,dc=com" read by * none

验证OpenLDAP的基本配置

slaptest -u
60053302 ldif_read_file: checksum error on "/etc/openldap/slapd.d/cn=config/olcDatabase={1}monitor.ldif"
60053302 ldif_read_file: checksum error on "/etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif"
config file testing succeeded

#报错 ldif_read_file: checksum error on 删除掉报错的文件的前两行 校验error也可以忽略

# AUTO-GENERATED FILE - DO NOT EDIT!! Use ldapmodify.
# CRC32 3e515b74

修改ldap文件权限

chown -R ldap:ldap /var/lib/ldap/
chown -R ldap:ldap /etc/openldap/

启动OpenLDAP

systemctl enable --now slapd
systemctl status slapd.service

导入Schema

ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif

修改migrate_common.ph文件 migrate_common.ph文件主要是用于生成ldif文件使用，修改migrate_common.ph文件，如下：

vi /usr/share/migrationtools/migrate_common.ph +71
# Default DNS domain
$DEFAULT_MAIL_DOMAIN = "mvmyun.com";

# Default base 
$DEFAULT_BASE = "dc=mvmyun,dc=com";

$EXTENDED_SCHEMA = 1;

生成base.ldif

mkdir /root/openldap
/usr/share/migrationtools/migrate_base.pl >/root/openldap/base.ldif
ldapadd -x -D "cn=Manager,dc=mvmyun,dc=com" -w xiaofan@1 -f /root/openldap/base.ldif

添加用户及用户组

默认情况下OpenLDAP是没有普通用户的，但是有一个管理员用户。管理用户就是前面我们刚刚配置的root。

现在我们把系统中的用户，添加到OpenLDAP中。为了进行区分，我们现在新加两个用户ldapuser1和ldapuser2，和两个用户组ldapgroup1和ldapgroup2.

添加用户组，使用如下命令：

groupadd ldapgroup1
groupadd ldapgroup2

添加用户并设置密码

useradd -g ldapgroup1 ldapuser1
useradd -g ldapgroup2 ldapuser2
echo '123456' | passwd --stdin ldapuser1
echo '123456' | passwd --stdin ldapuser2

把刚刚添加的用户和用户组提取出来，这包括该用户的密码和其他相关属性，如下

grep ":10[0-9][0-9]" /etc/passwd > /root/openldap/users
grep ":10[0-9][0-9]" /etc/group > /root/openldap/groups

根据上述生成的用户和用户组属性，使用migrate_passwd.pl文件生成要添加用户和用户组的ldif，如下：

/usr/share/migrationtools/migrate_group.pl /root/openldap/groups > /root/openldap/groups.ldif
/usr/share/migrationtools/migrate_passwd.pl /root/openldap/users > /root/openldap/users.ldif

导入用户及用户组到OpenLDAP数据库

ldapadd -x -w "xiaofan@1" -D "cn=Manager,dc=mvmyun,dc=com" -f /root/openldap/groups.ldif
ldapadd -x -w "xiaofan@1" -D "cn=Manager,dc=mvmyun,dc=com" -f /root/openldap/users.ldif

把OpenLDAP用户加入到用户组

尽管我们已经把用户和用户组信息，导入到OpenLDAP数据库中了。但实际上目前OpenLDAP用户和用户组之间是没有任何关联的。

如果我们要把OpenLDAP数据库中的用户和用户组关联起来的话，我们还需要做另外单独的配置。

现在我们要把ldapuser1用户加入到ldapgroup1用户组，需要新建添加用户到用户组的ldif文件，如下

cat > /root/openldap/add_user_to_groups.ldif << "EOF"
dn: cn=ldapgroup1,ou=Group,dc=mvmyun,dc=com
changetype: modify
add: memberuid
memberuid: ldapuser1

dn: cn=ldapgroup2,ou=Group,dc=mvmyun,dc=com
changetype: modify
add: memberuid
memberuid: ldapuser2
EOF

ldapadd -x -w "xiaofan@1" -D "cn=Manager,dc=mvmyun,dc=com" -f /root/openldap/add_user_to_groups.ldif

查询添加的OpenLDAP用户组信息，如下：

ldapsearch -LLL -x -D "cn=Manager,dc=mvmyun,dc=com" -w "xiaofan@1" -b "dc=mvmyun,dc=com" "cn=ldapgroup1"

开启OpenLDAP日志访问功能

默认情况下OpenLDAP是没有启用日志记录功能的，但是在实际使用过程中，我们为了定位问题需要使用到OpenLDAP日志。

新建日志配置ldif文件，如下：

cat > /root/openldap/loglevel.ldif << EOF
dn: cn=config
changetype: modify
replace: olcLogLevel
olcLogLevel: stats
EOF

ldapmodify -Y EXTERNAL -H ldapi:/// -f /root/openldap/loglevel.ldif

修改rsyslog配置文件，并重启rsyslog服务，如下：

cat >> /etc/rsyslog.conf << EOF
local4.* /var/log/slapd.log
EOF

重启服务

systemctl restart rsyslog
systemctl restart slapd

使用ldapuser1认证下

ldapwhoami -x -D uid=ldapuser1,ou=People,dc=mvmyun,dc=com -w 123456
dn:uid=ldapuser1,ou=People,dc=mvmyun,dc=com

查看OpenLDAP日志，如下：

tail  /var/log/slapd.log

安装phpldapadmin

phpldapadmin 是使用php语言开发的web端管理ldap的应用。

yum --enablerepo=epel -y install phpldapadmin

修改配置文件

vi /etc/phpldapadmin/config.php +397

#397行取消注释，398行添加注释

$servers->setValue('login','attr','dn');
//$servers->setValue('login','attr','uid');


vi /etc/httpd/conf.d/phpldapadmin.conf
Alias /phpldapadmin /usr/share/phpldapadmin/htdocs
Alias /ldapadmin /usr/share/phpldapadmin/htdocs

<Directory /usr/share/phpldapadmin/htdocs>
  <IfModule mod_authz_core.c>
    # Apache 2.4
    #Require local
    Require all granted
    Require ip 127.0.0.1
    Require ip ::1
    #Require ip 172.18.255.0/24
    #Require ip 1.202.114.70
  </IfModule>
  <IfModule !mod_authz_core.c>
    # Apache 2.2
    Order Deny,Allow
    Deny from all
    Allow from 127.0.0.1
    Allow from ::1
  </IfModule>
</Directory>

启动httpd

systemctl enable --now httpd

浏览器访问phpldapadmin

url: http://服务器地址/phpldapadmin/
用户名：cn=Manager,dc=mvmyun,dc=com
密码：xiaofan@1

安装Self Service Password

为了解放管理员的工作，让OpenLDAP用户可以自行进行密码的修改和重置，就需要我们来搭建一套自助修改密码系统。

在此我们使用的是开源的基于php语言开发的ldap自助修改密码系统Self Service Password

Self Service Password是一个Web应用，可以让用户自行更新、修改和重置LDAP中的用户密码。支持标准的LDAPv3目录服务，包括：OpenLDAP,Active Directory,OpenDS,ApacheDS等。

源码地址： https://github.com/ltb-project/self-service-password

安装服务

cat > /etc/yum.repos.d/ltb-project-noarch.repo << EOF
[ltb-project-noarch]
name=LTB project packages
baseurl=https://ltb-project.org/rpm/\$releasever/noarch
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-LTB-project
EOF

rpm --import https://ltb-project.org/lib/RPM-GPG-KEY-LTB-project

yum -y install self-service-password

现在我们来查看下Self Service Password安装的文件，如下：

rpm -ql self-service-password

比较重要的文件

/etc/httpd/conf.d/self-service-password.conf    apache配置文件
/usr/share/self-service-password/conf/config.inc.php   self-service-password配置文件

修改配置文件

如果不用虚拟主机的形式，可以修改apache配置文件

cp /etc/httpd/conf.d/self-service-password.conf{,.bak}
cat > /etc/httpd/conf.d/self-service-password.conf << EOF
NameVirtualHost *:80
<VirtualHost *:80>
    ServerName 192.168.1.4
    DocumentRoot /usr/share/self-service-password
    DirectoryIndex index.php
    AddDefaultCharset UTF-8
    #SSLEngine on
    #SSLCertificateFile "/usr/share/self-service-password/certs/sspweb.crt"
    #SSLCertificateKeyFile "/usr/share/self-service-password/certs/sspweb.key"
    <Directory "/usr/share/self-service-password">
        Options FollowSymLinks
        AllowOverride None
        Require all granted
    </Directory>
    LogLevel warn
    ErrorLog /var/log/httpd/ssp_error_log
    CustomLog /var/log/httpd/ssp_access_log combined
</VirtualHost>

EOF

修改Self Service Password的配置文件

修改ldap连接和email

vi  /usr/share/self-service-password/conf/config.inc.php +37
$ldap_url = "ldap://localhost";
$ldap_starttls = false;
$ldap_binddn = "cn=Manager,dc=mvmyun,dc=com";
$ldap_bindpw = "xiaofan@1";
$ldap_base = "ou=People,dc=mvmyun,dc=com";
$ldap_login_attribute = "uid";
$ldap_fullname_attribute = "cn";
$ldap_filter = "(&(objectClass=person)($ldap_login_attribute={login}))";


$keyphrase = "mvmyunRandmon";

$hash = "SSHA";

$who_change_password = "manager";


$mail_from = "admin@example.com";
$mail_from_name = "Self Service Password";
$mail_signature = "";
# Notify users anytime their password is changed
$notify_on_change = false;
# PHPMailer configuration (see https://github.com/PHPMailer/PHPMailer)
$mail_sendmailpath = '/usr/sbin/sendmail';
$mail_protocol = 'smtp';
$mail_smtp_debug = 0;
$mail_debug_format = 'error_log';
$mail_smtp_host = 'localhost';
$mail_smtp_auth = false;
$mail_smtp_user = '';
$mail_smtp_pass = '';
$mail_smtp_port = 25;
$mail_smtp_timeout = 30;
$mail_smtp_keepalive = false;
$mail_smtp_secure = 'tls';
$mail_smtp_autotls = true;
$mail_contenttype = 'text/plain';
$mail_wordwrap = 0;
$mail_charset = 'utf-8';
$mail_priority = 3;
$mail_newline = PHP_EOL;

重启Apache

systemctl restart httpd

访问页面

http://服务器地址/index.php

在终端验证修改的密码

ldapwhoami -x -D uid=ldapuser1,ou=People,dc=mvmyun,dc=com -w 123456
ldap_bind: Invalid credentials (49)
ldapwhoami -x -D uid=ldapuser1,ou=People,dc=mvmyun,dc=com -w 12345678
dn:uid=ldapuser1,ou=People,dc=lework,dc=com

使用docker 安装phpldapadmin

docker run -d  -p 2201:80 --name myphpldapadmin --env PHPLDAPADMIN_HTTPS=false --env PHPLDAPADMIN_LDAP_HOSTS=192.168.1.4 --detach osixia/phpldapadmin

使用docker安装self-service-password 参考

docker pull grams/ltb-self-service-password
mkdir /opt/ssp/ -p
cd /opt/ssp/
wget wget https://raw.fastgit.org/grams/docker-LTB-self-service-password/master/assets/config.inc.php
vi config.inc.php
# LDAP
$ldap_url = "ldap://192.168.1.4:389";
$ldap_starttls = false;
$ldap_binddn = "cn=manager,dc=mvmyun,dc=com";
$ldap_bindpw = "xiaofan@1";
$ldap_base = "dc=mvmyun,dc=com";

$hash = "SSHA";
$pwd_min_length = 8;
$pwd_max_length = 12;
$pwd_min_lower = 1;
$pwd_min_upper = 1;
$pwd_min_digit = 1;

$use_questions = false;

## Mail
$mail_from = "root@myki.cn";
$notify_on_change = true;
$mail_smtp_host = 'smtp.myki.cn';
$mail_smtp_auth = true;
$mail_smtp_user = 'root@myki.cn';
$mail_smtp_pass = 'xiaofan@1';
$mail_smtp_port = 25;
$mail_smtp_timeout = 30;

docker run -p 8765:80 -d -v /opt/ssp/config.inc.php:/usr/share/self-service-password/conf/config.inc.php --name ldap-ssp grams/ltb-self-service-password