Zentrale Benutzerverwaltung mit OpenLDAP und SSS: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
 
(59 dazwischenliegende Versionen von 3 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
−
=Installation=
+
= Installation =
 
;passwort nach wahl festlegen
 
;passwort nach wahl festlegen
−
*apt install slapd ldap-utils  
+
* apt update
 +
* DEBIAN_FRONTEND=noninteractive apt install -y slapd ldap-utils
  
−
;slapd: OpenLDAP Standalone Server
+
= Grundkonfiguration =
−
;ldap-utils: Utilities zum Zugriff auf den LDAP Server
+
* dpkg-reconfigure slapd
  
−
=Grundkonfiguration=
+
{| class="wikitable"
−
[[Datei:Ldap-61.png]]
+
! Debconf Question !! Recommended Input
 +
|-
 +
| Omit OpenLDAP server configuration? || No
 +
|-
 +
| DNS domain name: || it213.int
 +
|-
 +
| Organization name: || it213
 +
|-
 +
| Administrator password: || 123Start$
 +
|-
 +
| Database backend to use: || MDB
 +
|-
 +
| Remove database when slapd is purged? || No
 +
|-
 +
| Move old database? || Yes
 +
|-
 +
| Allow LDAPv2 protocol? || No
 +
|}
  
−
[[Datei:Ldap-62.png]]
+
= ldap.conf setzen =
−
=Weitere Konfiguration=
+
* vim /etc/ldap/ldap.conf
−
*dpkg-reconfigure -p low slapd
+
<pre>
−
 
+
BASE    dc=it213,dc=int
−
[[Datei:Ldap-63.png]]
+
URI    ldap://ldap.it213.int
 +
ldap_version    3
 +
</pre>
  
−
[[Datei:Ldap-64.png]]
+
= Kontrolle =
 +
* ldapsearch -x -LLL
  
−
[[Datei:Ldap-65.png]]
+
= Grundstruktur =
−
 
+
== Erstellen ==
−
[[Datei:Ldap-61.png]]
+
* cat <<EOF > /root/struktur.ldif
−
 
 
−
[[Datei:Ldap-62.png]]
 
−
 
 
−
[[Datei:Ldap-67.png]]
 
−
 
 
−
[[Datei:Ldap-66.png]]
 
−
=Konfiguration des Clients=
 
−
==ldap.conf==
 
−
*cat /etc/ldap/ldap.conf
 
−
base            dc=it21, dc=int
 
−
uri            ldap://server.it21.int
 
−
ldap_version    3
 
−
rootbinddn      cn=admin, dc=it21, dc=int
 
−
pam_password    md5
 
−
==Passwort für den Adminzugang eintragen==
 
−
*echo 123Start$ > /etc/ldap.secret
 
−
=Kontrolle=
 
−
==Stimmt der base dn?==
 
−
*ldapsearch -x -LLL
 
−
dn: dc=it21,dc=int
 
−
objectClass: top
 
−
objectClass: dcObject
 
−
objectClass: organization
 
−
o: int21
 
−
dc: it21
 
−
=Grundstruktur=
 
−
{{#drawio:it21-ldap}}
 
−
==Erstellen==
 
−
*cat /root/struktur.ldif  
 
 
<pre>
 
<pre>
−
dn: ou=users,dc=it21,dc=int
+
dn: ou=users,dc=it213,dc=int
 
objectClass: organizationalUnit
 
objectClass: organizationalUnit
 
ou: users
 
ou: users
  
−
dn: ou=groups,dc=it21,dc=int
+
dn: ou=groups,dc=it213,dc=int
 
objectClass: organizationalUnit
 
objectClass: organizationalUnit
 
ou: groups
 
ou: groups
  
−
dn: ou=hosts,dc=it21,dc=int
+
dn: ou=hosts,dc=it213,dc=int
 
objectClass: organizationalUnit
 
objectClass: organizationalUnit
 
ou: hosts
 
ou: hosts
 +
 +
dn: ou=sudo,dc=it213,dc=int
 +
objectClass: organizationalUnit
 +
ou: sudo
 
</pre>
 
</pre>
 +
EOF
  
−
==Anlegen==
+
== Anlegen ==
−
ldapadd -xD cn=admin,dc=it21,dc=int -w 123Start$ -f struktur.ldif  
+
* ldapadd -xD cn=admin,dc=it213,dc=int -w 123Start$ -f /root/struktur.ldif  
−
adding new entry "ou=users,dc=it21,dc=int"
 
−
 
 
−
adding new entry "ou=groups,dc=it21,dc=int"
 
−
 
 
−
adding new entry "ou=hosts,dc=it21,dc=int"
 
  
−
=Ldapscripts=
+
= Benutzer und Gruppen =
−
==Installation==
+
* apt install -y ldapscripts
−
*apt install ldapscripts libnss-ldapd libpam-ldapd nslcd
 
  
−
==Konfiguration==
+
== Konfiguration ==
−
===Hauptkonfiguration===
+
* vim /etc/ldapscripts/ldapscripts.conf
−
*cat /etc/ldapscripts/ldapscripts.conf
 
 
<pre>
 
<pre>
−
SERVER="ldap://ldap.it21.int"
+
SERVER="ldap://ldap.it213.int"
−
SUFFIX="dc=it21,dc=int"
+
SUFFIX="dc=it213,dc=int"
 
GSUFFIX="ou=groups"
 
GSUFFIX="ou=groups"
 
USUFFIX="ou=users"
 
USUFFIX="ou=users"
 
MSUFFIX="ou=hosts"
 
MSUFFIX="ou=hosts"
−
BINDDN="cn=admin,dc=it21,dc=int"
+
BINDDN="cn=admin,dc=it213,dc=int"
 
USHELL="/bin/bash"
 
USHELL="/bin/bash"
 
UHOMES="/home/%u"
 
UHOMES="/home/%u"
Zeile 116: Zeile 106:
 
</pre>
 
</pre>
  
−
===Password Datei===
+
* echo -n "123Start$" > /etc/ldapscripts/ldapscripts.passwd
−
*echo -n "123Start$" > /etc/ldapscripts/ldapscripts.passwd
+
* chmod 600 /etc/ldapscripts/ldapscripts.passwd
−
==Managment==
 
−
===Struktur===
 
−
{{#drawio:it21-2}}
 
  
−
===Gruppen anlegen===
+
== Gruppen ==
−
*ldapaddgroup it
+
* ldapaddgroup it
−
===Benutzer anlegen===
+
* ldapaddgroup sudo
−
*ldapadduser thomas it
 
−
*ldapadduser tina it
 
−
===Passwörter setzen===
 
−
*ldapsetpasswd thomas
 
−
*ldapsetpasswd tina
 
  
−
=nsswitch und pam anbinden=
+
== Benutzer ==
−
*[[Zusammenspiel von PAM und NSS]]
+
* ldapadduser thomas it
−
==Installation==
+
* ldapadduser tina it
−
*env DEBIAN_FRONTEND=noninteractive apt install -yqq  libnss-ldap libpam-ldap nslcd
 
−
;Wir konfigurieren von Hand
 
  
−
==ldap.conf==
+
== Passwort ==
−
*cat /etc/ldap/ldap.conf
+
* ldapsetpasswd thomas
−
base            dc=it21, dc=int
+
* ldapsetpasswd tina
−
uri            ldap://server.it21.int
+
 
−
ldap_version    3
+
== Gruppe zuweisen ==
−
rootbinddn      cn=admin, dc=it21, dc=int
+
* ldapaddusertogroup thomas sudo
−
pam_password    md5
+
* ldapaddusertogroup tina sudo
−
==Passwort für den Adminzugang eintragen==
 
−
*echo 123Start$ > /etc/ldap.secret
 
−
==Wir benutzen nur eine Konfigurationdatei==
 
−
*ln -fs /etc/ldap/ldap.conf /etc/libnss-ldap.conf
 
−
*ln -fs /etc/ldap/ldap.conf /etc/pam_ldap.conf
 
−
==nslcd.conf==
 
−
<pre>
 
−
kit@dhcp:~$ sudo cat /etc/nslcd.conf
 
−
# /etc/nslcd.conf
 
−
# nslcd configuration file. See nslcd.conf(5)
 
−
# for details.
 
  
−
# The user and group nslcd should run as.
+
= SSSD Anbindung =
−
uid nslcd
+
* apt install sssd libnss-sss libpam-sss libsss-sudo
−
gid nslcd
 
  
−
# The location at which the LDAP server(s) should be reachable.
+
== Konfiguration ==
−
uri ldap://ldap.it1XX.int
+
* vim /etc/sssd/sssd.conf
 +
<pre>
 +
[sssd]
 +
config_file_version = 2
 +
services = nss, pam, sudo
 +
domains = it213.int
  
−
# The search base that will be used for all queries.
+
[domain/it213.int]
−
base dc=it1XX,dc=int
+
id_provider = ldap
 +
auth_provider = ldap
 +
access_provider = permit
 +
sudo_provider = ldap
 +
ldap_uri = ldap://ldap.it213.int
 +
ldap_search_base = dc=it213,dc=int
 +
ldap_sudo_search_base = ou=sudo,dc=it213,dc=int
 +
ldap_id_use_start_tls = false
 +
ldap_auth_disable_tls_never_use_in_production = true
 +
ldap_tls_reqcert = never
 
</pre>
 
</pre>
 +
;[[Erklärungen sssd-1]]
 +
 +
* chmod 600 /etc/sssd/sssd.conf
 +
* systemctl restart sssd
  
−
==Nsswitch anpassen==
+
== NSS ==
 +
;Nur Kontrolle
 
*cat /etc/nsswitch.conf  
 
*cat /etc/nsswitch.conf  
−
passwd:        files ldap
+
<pre>
−
group:          files ldap
 
−
shadow:        files ldap
 
  
−
==PAM anpassen==
+
passwd:        files systemd sss
−
*Muss man eigentlich nicht
+
group:          files systemd sss
 +
shadow:        files systemd sss
 +
gshadow:        files systemd
  
−
==Reboot==
+
hosts:          files dns
−
!!!Reboot!!!
+
networks:      files
  
−
=Tests=
+
protocols:     db files
−
*getent group it
+
services:       db files sss
−
it:*:10000:
+
ethers:         db files
−
*getent passwd thomas
+
rpc:           db files
−
thomas:*:10000:10000:thomas:/home/thomas:/bin/bash
 
−
*getent passwd tina
 
−
tina:*:10001:10000:tina:/home/tina:/bin/bash
 
−
*su - tina
 
−
tina@server:~$
 
  
−
==Starten des slapd==
+
netgroup:       nis sss
−
systemctl start slapd
+
sudoers: files sss
−
 
+
automount: sss
−
==Stoppen des slapd==
+
</pre>
−
systemctl stop slapd
 
−
 
 
−
==Neustarten des slapd==
 
−
systemctl restart slapd
 
−
 
 
−
==Auf welchem Port lauscht der slapd==
 
−
netstat -lntp | grep slapd
 
−
tcp        0      0 0.0.0.0:389            0.0.0.0:*              LISTEN    499/slapd
 
−
 
 
−
==Sudo==
 
−
 
 
−
* apt install sudo-ldap
 
−
 
 
−
ldapaddgroup sudo
 
−
 
 
−
ldapaddusertogroup thomas sudo
 
−
ldapaddusertogroup tina sudo
 
−
 
 
−
* visudo -f /etc/sudoers.d/ldap-sudoers
 
−
  # LDAP sudo group
 
−
  %sudo ALL=(ALL:ALL) ALL
 
−
 
 
−
* vim /etc/sudo-ldap.conf
 
−
sudoers_base ou=sudo,dc=it21,dc=int
 
  
−
su - thomas
+
== PAM ==
−
sudo -l
+
* pam-auth-update --enable sss mkhomedir
−
sudo whoami
 

Aktuelle Version vom 2. April 2026, 10:55 Uhr

Installation

passwort nach wahl festlegen
  • apt update
  • DEBIAN_FRONTEND=noninteractive apt install -y slapd ldap-utils

Grundkonfiguration

  • dpkg-reconfigure slapd
Debconf Question Recommended Input
Omit OpenLDAP server configuration? No
DNS domain name: it213.int
Organization name: it213
Administrator password: 123Start$
Database backend to use: MDB
Remove database when slapd is purged? No
Move old database? Yes
Allow LDAPv2 protocol? No

ldap.conf setzen

  • vim /etc/ldap/ldap.conf
BASE    dc=it213,dc=int
URI     ldap://ldap.it213.int
ldap_version    3

Kontrolle

  • ldapsearch -x -LLL

Grundstruktur

Erstellen

  • cat <<EOF > /root/struktur.ldif
dn: ou=users,dc=it213,dc=int
objectClass: organizationalUnit
ou: users

dn: ou=groups,dc=it213,dc=int
objectClass: organizationalUnit
ou: groups

dn: ou=hosts,dc=it213,dc=int
objectClass: organizationalUnit
ou: hosts

dn: ou=sudo,dc=it213,dc=int
objectClass: organizationalUnit
ou: sudo

EOF

Anlegen

  • ldapadd -xD cn=admin,dc=it213,dc=int -w 123Start$ -f /root/struktur.ldif

Benutzer und Gruppen

  • apt install -y ldapscripts

Konfiguration

  • vim /etc/ldapscripts/ldapscripts.conf
SERVER="ldap://ldap.it213.int"
SUFFIX="dc=it213,dc=int"
GSUFFIX="ou=groups"
USUFFIX="ou=users"
MSUFFIX="ou=hosts"
BINDDN="cn=admin,dc=it213,dc=int"
USHELL="/bin/bash"
UHOMES="/home/%u"
CREATEHOMES="yes"
HOMESKEL="/etc/skel"
BINDPWDFILE="/etc/ldapscripts/ldapscripts.passwd"
GIDSTART="10000" # Group ID
UIDSTART="10000" # User ID
MIDSTART="20000" # Machine ID
GCLASS="posixGroup"   # Leave "posixGroup" here if not sure !
PASSWORDGEN="pwgen"
RECORDPASSWORDS="no"
PASSWORDFILE="/var/log/ldapscripts_passwd.log"
LOGTOFILE="yes"
LOGFILE="/var/log/ldapscripts.log"
LOGTOSYSLOG="no"
SYSLOGFACILITY="local4"
SYSLOGLEVEL="info"
LDAPSEARCHBIN="/usr/bin/ldapsearch"
LDAPADDBIN="/usr/bin/ldapadd"
LDAPDELETEBIN="/usr/bin/ldapdelete"
LDAPMODIFYBIN="/usr/bin/ldapmodify"
LDAPMODRDNBIN="/usr/bin/ldapmodrdn"
LDAPPASSWDBIN="/usr/bin/ldappasswd"
LDAPSEARCHOPTS="-o ldif-wrap=no"
GETENTPWCMD=""
GETENTGRCMD=""
GTEMPLATE=""
UTEMPLATE=""
MTEMPLATE=""
  • echo -n "123Start$" > /etc/ldapscripts/ldapscripts.passwd
  • chmod 600 /etc/ldapscripts/ldapscripts.passwd

Gruppen

  • ldapaddgroup it
  • ldapaddgroup sudo

Benutzer

  • ldapadduser thomas it
  • ldapadduser tina it

Passwort

  • ldapsetpasswd thomas
  • ldapsetpasswd tina

Gruppe zuweisen

  • ldapaddusertogroup thomas sudo
  • ldapaddusertogroup tina sudo

SSSD Anbindung

  • apt install sssd libnss-sss libpam-sss libsss-sudo

Konfiguration

  • vim /etc/sssd/sssd.conf
[sssd]
config_file_version = 2
services = nss, pam, sudo
domains = it213.int

[domain/it213.int]
id_provider = ldap
auth_provider = ldap
access_provider = permit
sudo_provider = ldap
ldap_uri = ldap://ldap.it213.int
ldap_search_base = dc=it213,dc=int
ldap_sudo_search_base = ou=sudo,dc=it213,dc=int
ldap_id_use_start_tls = false
ldap_auth_disable_tls_never_use_in_production = true
ldap_tls_reqcert = never
Erklärungen sssd-1
  • chmod 600 /etc/sssd/sssd.conf
  • systemctl restart sssd

NSS

Nur Kontrolle
  • cat /etc/nsswitch.conf

passwd:         files systemd sss
group:          files systemd sss
shadow:         files systemd sss
gshadow:        files systemd

hosts:          files dns
networks:       files

protocols:      db files
services:       db files sss
ethers:         db files
rpc:            db files

netgroup:       nis sss
sudoers: files  sss
automount:  sss

PAM

  • pam-auth-update --enable sss mkhomedir
Abgerufen von „http://wiki.ixheim.de/index.php?title=Zentrale_Benutzerverwaltung_mit_OpenLDAP_und_SSS&oldid=68348“