OpenLDAP mit SSSD Client-Konfiguration

Installation (Server)

Passwort nach Wahl festlegen:

apt install slapd ldap-utils

slapd: OpenLDAP Standalone Server
ldap-utils: Utilities zum Zugriff auf den LDAP Server

Grundkonfiguration (Server)

Während der Installation Domain-Name angeben: it113.int

Weitere Konfiguration (Server)

dpkg-reconfigure -p low slapd

Folgende Einstellungen vornehmen:

DNS domain name: it113.int
Organization name: it113
Administrator password: (Passwort festlegen)
Database backend: MDB
Remove database when slapd is purged: No
Move old database: Yes

Konfiguration des Clients

ldap.conf

cat /etc/ldap/ldap.conf

base            dc=it113,dc=int
uri             ldap://server.it113.int
ldap_version    3
rootbinddn      cn=admin,dc=it113,dc=int
pam_password    md5

Passwort für den Adminzugang eintragen

echo 123Start$ > /etc/ldap.secret
chmod 600 /etc/ldap.secret

Kontrolle

Stimmt der base dn?

ldapsearch -x -LLL

Erwartete Ausgabe:

dn: dc=it113,dc=int
objectClass: top
objectClass: dcObject
objectClass: organization
o: it113
dc: it113

Grundstruktur

Erstellen

cat /root/struktur.ldif

dn: ou=users,dc=it113,dc=int
objectClass: organizationalUnit
ou: users

dn: ou=groups,dc=it113,dc=int
objectClass: organizationalUnit
ou: groups

dn: ou=hosts,dc=it113,dc=int
objectClass: organizationalUnit
ou: hosts

Anlegen

ldapadd -xD cn=admin,dc=it113,dc=int -w 123Start$ -f /root/struktur.ldif

Erwartete Ausgabe:

adding new entry "ou=users,dc=it113,dc=int"
adding new entry "ou=groups,dc=it113,dc=int"
adding new entry "ou=hosts,dc=it113,dc=int"

Ldapscripts

Installation

apt install ldapscripts

Konfiguration

Hauptkonfiguration

vim /etc/ldapscripts/ldapscripts.conf

SERVER="ldap://ldap.it113.int"
SUFFIX="dc=it113,dc=int"
GSUFFIX="ou=groups"
USUFFIX="ou=users"
MSUFFIX="ou=hosts"
BINDDN="cn=admin,dc=it113,dc=int"
USHELL="/bin/bash"
UHOMES="/home/%u"
CREATEHOMES="yes"
HOMESKEL="/etc/skel"
BINDPWDFILE="/etc/ldapscripts/ldapscripts.passwd"
GIDSTART="10000"
UIDSTART="10000"
MIDSTART="20000"
GCLASS="posixGroup"
PASSWORDGEN="pwgen"
RECORDPASSWORDS="no"
PASSWORDFILE="/var/log/ldapscripts_passwd.log"
LOGTOFILE="yes"
LOGFILE="/var/log/ldapscripts.log"

Password Datei

echo -n "123Start$" > /etc/ldapscripts/ldapscripts.passwd
chmod 600 /etc/ldapscripts/ldapscripts.passwd

Management

Gruppen anlegen

ldapaddgroup it

Benutzer anlegen

ldapadduser thomas it
ldapadduser tina it

Passwörter setzen

ldapsetpasswd thomas
ldapsetpasswd tina

DNS-Konfiguration (WICHTIG!)

Für SSSD Service Discovery werden DNS SRV Records benötigt.

DNS SRV Records anlegen

Im DNS-Server (z.B. BIND) folgende Einträge hinzufügen:

; LDAP Server A-Record
ldap.it113.int.           IN    A      192.168.113.10
server.it113.int.         IN    A      192.168.113.10

; SRV Records für LDAP Service Discovery
_ldap._tcp.it113.int.     IN    SRV    0 5 389 ldap.it113.int.

SRV Record Parameter:

0 = Priority (0 = höchste Priorität)
5 = Weight (für Load Balancing)
389 = LDAP Port
ldap.it113.int. = Hostname des LDAP-Servers

DNS testen

# A-Record testen
dig ldap.it113.int A

# SRV-Record testen (muss funktionieren!)
dig _ldap._tcp.it113.int SRV

Erwartete SRV-Ausgabe:

_ldap._tcp.it113.int. 86400 IN SRV 0 5 389 ldap.it113.int.

SSSD Client-Konfiguration

SSSD (System Security Services Daemon) ersetzt die alte Konfiguration mit libnss-ldap und libpam-ldap.

Installation

apt install sssd-ldap ldap-utils

ldap.conf (Client)

cat /etc/ldap/ldap.conf

base            dc=it113,dc=int
uri             ldap://server.it113.int
ldap_version    3

SSSD Konfiguration

vim /etc/sssd/sssd.conf

[sssd]
config_file_version = 2
services = nss, pam
domains = it113.int

[domain/it113.int]
id_provider = ldap
auth_provider = ldap
chpass_provider = ldap

# DNS Service Discovery nutzen (benötigt SRV Records!)
ldap_uri = _srv_
dns_discovery_domain = it113.int

ldap_search_base = dc=it113,dc=int

ldap_default_bind_dn = cn=admin,dc=it113,dc=int
ldap_default_authtok_type = password
ldap_default_authtok = 123Start$

# TLS komplett deaktivieren (für Testumgebungen)
ldap_id_use_start_tls = false
ldap_auth_disable_tls_never_use_in_production = true
ldap_tls_reqcert = never

cache_credentials = true
enumerate = true

[nss]
filter_users = root,daemon,bin,sys,sync,games,man,lp,mail,news,uucp,proxy,www-data,backup,list,irc,gnats,nobody,systemd-network,systemd-resolve,messagebus,_apt,uuidd,nslcd
filter_groups = root,daemon,bin,sys,adm,tty,disk,lp,mail,news,uucp,man,proxy,kmem,dialout,fax,voice,cdrom,floppy,tape,sudo,audio,dip,www-data,backup,operator,list,irc,src,gnats,shadow,utmp,video,sasl,plugdev,staff,games,users,nogroup,systemd-journal,systemd-network,systemd-resolve,input,kvm,render,crontab,netdev,messagebus,_apt,uuidd,ssh,nslcd

[pam]
offline_credentials_expiration = 2

Alternative ohne DNS SRV Records:

Falls die DNS SRV Records nicht funktionieren, kann man auch direkt den Server angeben:

[domain/it113.int]
id_provider = ldap
auth_provider = ldap
chpass_provider = ldap

# Direkte URI statt DNS Discovery
ldap_uri = ldap://ldap.it113.int:389

ldap_search_base = dc=it113,dc=int

# TLS deaktivieren
ldap_id_use_start_tls = false
ldap_auth_disable_tls_never_use_in_production = true
ldap_tls_reqcert = never
# ... rest wie oben

Berechtigungen setzen

chmod 600 /etc/sssd/sssd.conf

SSSD Service aktivieren und starten

systemctl enable sssd
systemctl start sssd

NSS-Konfiguration anpassen

vim /etc/nsswitch.conf

passwd:         files sss
group:          files sss
shadow:         files sss

PAM-Konfiguration

PAM muss für SSSD-Authentifizierung konfiguriert werden.

Automatische Konfiguration (empfohlen)

pam-auth-update

Aktiviere folgende Optionen:

SSS authentication (für SSSD)
Create home directory on login (für automatische Home-Verzeichnisse)

Manuelle PAM-Konfiguration

Falls die automatische Konfiguration nicht funktioniert:

1. common-auth bearbeiten:

vim /etc/pam.d/common-auth

Nach der pam_unix.so Zeile hinzufügen:

auth    sufficient    pam_sss.so use_first_pass

2. common-account bearbeiten:

vim /etc/pam.d/common-account

account sufficient    pam_sss.so

3. common-password bearbeiten:

vim /etc/pam.d/common-password

password sufficient    pam_sss.so use_authtok

4. common-session bearbeiten:

vim /etc/pam.d/common-session

session optional    pam_sss.so
session required    pam_mkhomedir.so skel=/etc/skel umask=0077

Die pam_mkhomedir.so Zeile ist sehr wichtig - sie erstellt automatisch Home-Verzeichnisse beim ersten Login!

PAM-Konfiguration prüfen

# Prüfen ob pam_sss eingebunden ist
grep -r "pam_sss" /etc/pam.d/

# Prüfen ob pam_mkhomedir eingebunden ist
grep -r "pam_mkhomedir" /etc/pam.d/

Tests

SSSD Cache leeren (bei Problemen)

systemctl stop sssd
rm -rf /var/lib/sss/db/*
systemctl start sssd

Benutzer und Gruppen abfragen

getent group it

Erwartete Ausgabe:

it:*:10000:

getent passwd thomas

Erwartete Ausgabe:

thomas:*:10000:10000:thomas:/home/thomas:/bin/bash

getent passwd tina

Erwartete Ausgabe:

tina:*:10001:10000:tina:/home/tina:/bin/bash

Login und Home-Verzeichnis testen

# Login als LDAP-User
su - thomas

# Prüfen ob Home-Verzeichnis erstellt wurde
pwd
# Sollte /home/thomas zeigen

ls -la
# Sollte Dateien aus /etc/skel zeigen (.bashrc, .profile, etc.)

Authentifizierung testen

# Passwort-Login testen
su - tina

# Auth-Log bei Problemen prüfen
tail -f /var/log/auth.log

SSSD Status prüfen

systemctl status sssd

# Domain-Status
sssctl domain-status it113.int

# SSSD Logs bei Problemen
journalctl -u sssd -n 100
tail -f /var/log/sssd/sssd_it113.int.log

Häufige Probleme

Problem: "Could not start TLS encryption"

Lösung: In /etc/sssd/sssd.conf hinzufügen:

ldap_auth_disable_tls_never_use_in_production = true

Problem: "No such file or directory" beim Login

Lösung: Home-Verzeichnisse werden nicht erstellt. Prüfe ob pam_mkhomedir aktiv ist:

grep pam_mkhomedir /etc/pam.d/common-session

Problem: "Authentication failure"

Lösung: PAM-Module nicht richtig konfiguriert. Prüfe:

grep pam_sss /etc/pam.d/common-auth
grep pam_sss /etc/pam.d/common-account

LDAP Server Management

Starten des slapd

systemctl start slapd

Stoppen des slapd

systemctl stop slapd

Neustarten des slapd

systemctl restart slapd

Auf welchem Port lauscht der slapd

netstat -lntp | grep slapd

Erwartete Ausgabe:

tcp  0  0  0.0.0.0:389  0.0.0.0:*  LISTEN  499/slapd

Sudo-Konfiguration

Problem: Namenskonflikt mit lokaler sudo-Gruppe

Die lokale sudo-Gruppe (GID 27) kollidiert mit einer LDAP-Gruppe gleichen Namens. Daher verwenden wir einen anderen Gruppennamen für LDAP.

Admin-Gruppe auf dem LDAP Server anlegen

# Gruppe "admins" statt "sudo" anlegen (vermeidet Konflikt)
ldapaddgroup admins

# Benutzer zur Admin-Gruppe hinzufügen
ldapaddusertogroup thomas admins
ldapaddusertogroup tina admins

Gruppe prüfen

# Auf dem Client prüfen ob die Gruppe sichtbar ist
getent group admins

Erwartete Ausgabe:

admins:*:10001:thomas,tina

Sudoers konfigurieren (Client)

visudo -f /etc/sudoers.d/ldap-admins

# LDAP Admins Gruppe
%admins ALL=(ALL:ALL) ALL

Berechtigungen setzen

chmod 0440 /etc/sudoers.d/ldap-admins

Testen

# Als LDAP-User einloggen
su - thomas

# Gruppenmitgliedschaft prüfen
id
# Sollte "groups=10000(it),10001(admins)" zeigen

groups
# Sollte "it admins" zeigen

# Sudo testen
sudo whoami
# Sollte "root" ausgeben

sudo -l
# Sollte die sudo-Rechte anzeigen

Troubleshooting

Problem: Gruppe wird nicht angezeigt

# SSSD Cache leeren
systemctl stop sssd
rm -rf /var/lib/sss/db/*
systemctl start sssd

# Neu einloggen
su - thomas
id

Problem: "User is not in sudoers file"

Prüfe ob die Gruppe korrekt angelegt ist:

# Auf dem LDAP-Server
ldapsearch -x -b "ou=groups,dc=it113,dc=int" "(cn=admins)"

# Auf dem Client
getent group admins

Troubleshooting

SSSD Debug-Modus aktivieren

vim /etc/sssd/sssd.conf

In der [domain/it113.int] Sektion hinzufügen:

debug_level = 9

Dann SSSD neu starten und Logs prüfen:

systemctl restart sssd
tail -f /var/log/sssd/sssd_it113.int.log

LDAP-Verbindung manuell testen

ldapsearch -x -H ldap://server.it113.int -b dc=it113,dc=int -D cn=admin,dc=it113,dc=int -W

Vorteile von SSSD gegenüber NSS/PAM-LDAP

Caching: Offline-Login möglich
Performance: Bessere Performance durch intelligentes Caching
Moderne Architektur: Aktiv entwickelt und gewartet
Flexibilität: Unterstützt mehrere Identity Provider
Besseres Debugging: Umfangreiche Logging-Optionen

LDAP Client SSSD - Netzwerk und Serveradministration

OpenLDAP mit SSSD Client-Konfiguration

Installation (Server)

Grundkonfiguration (Server)

Weitere Konfiguration (Server)

Konfiguration des Clients

ldap.conf

Passwort für den Adminzugang eintragen

Kontrolle

Stimmt der base dn?

Grundstruktur

Erstellen

Anlegen

Ldapscripts

Installation

Konfiguration

Hauptkonfiguration

Password Datei

Management

Gruppen anlegen

Benutzer anlegen

Passwörter setzen

DNS-Konfiguration (WICHTIG!)

DNS SRV Records anlegen

DNS testen

SSSD Client-Konfiguration

Installation

ldap.conf (Client)

SSSD Konfiguration

Berechtigungen setzen

SSSD Service aktivieren und starten

NSS-Konfiguration anpassen

PAM-Konfiguration

Automatische Konfiguration (empfohlen)

Manuelle PAM-Konfiguration

PAM-Konfiguration prüfen

Tests

SSSD Cache leeren (bei Problemen)

Benutzer und Gruppen abfragen

Login und Home-Verzeichnis testen

Authentifizierung testen

SSSD Status prüfen

Häufige Probleme

LDAP Server Management

Starten des slapd

Stoppen des slapd

Neustarten des slapd

Auf welchem Port lauscht der slapd

Sudo-Konfiguration

Problem: Namenskonflikt mit lokaler sudo-Gruppe

Admin-Gruppe auf dem LDAP Server anlegen

Gruppe prüfen

Sudoers konfigurieren (Client)

Berechtigungen setzen

Testen

Troubleshooting

Troubleshooting

SSSD Debug-Modus aktivieren

LDAP-Verbindung manuell testen

Vorteile von SSSD gegenüber NSS/PAM-LDAP

Navigationsmenü

Suche