Ctrlk
FreeBSD 中文社区
For the complete documentation index, see llms.txt. This page is also available as Markdown.

33.5.轻型目录访问协议（LDAP）

轻量级目录访问协议（LDAP）是应用层协议，用于访问、修改和认证对象，使用分布式目录信息服务。可以将其看作电话簿或记录本，存储多个层级的同类信息。它用于 Active Directory 和 OpenLDAP 网络，让用户能通过单个账户访问多个层级的内部信息。例如，电子邮件认证、拉取员工联系信息和内部网站认证都可以利用 LDAP 服务器的记录库中的单个用户账户。

本节提供了在 FreeBSD 系统上配置 LDAP 服务器的快速入门指南。假设管理员已有设计方案，其中包括要存储的信息类型、这些信息的用途、哪些用户应有权访问这些信息，以及如何保护这些信息不受未经授权的访问。

33.5.1. LDAP 术语和结构

在开始配置之前，应该理解 LDAP 使用的一些术语。所有目录条目都由一组 属性 组成。每个属性集都包含一个唯一标识符，称为 区分名称（DN），通常由其他一些属性（如常见名称或 相对区分名称（RDN））构建。类似于目录有绝对路径和相对路径，可以将 DN 看作绝对路径，将 RDN 看作相对路径。

LDAP 条目示例如下。此示例搜索指定用户账户（uid）、组织单位（ou）和组织（o）的条目：

% ldapsearch -xb "uid=trhodes,ou=users,o=example.com"
# 扩展 LDIF
#
# LDAPv3
# 基准 <uid=trhodes,ou=users,o=example.com>，范围为 subtree
# 过滤器: (objectclass=*)
# 请求: ALL
#

# trhodes, users, example.com
dn: uid=trhodes,ou=users,o=example.com
mail: trhodes@example.com
cn: Tom Rhodes
uid: trhodes
telephoneNumber: (123) 456-7890

# 搜索结果
search: 2
result: 0 Success

# 响应数: 2
# 条目数: 1

此示例条目显示了 dn、mail、cn、uid 和 telephoneNumber 属性的值。cn 属性是 RDN。

有关 LDAP 及其术语的更多信息，请访问 http://www.openldap.org/doc/admin24/intro.html。

33.5.2. 配置 LDAP 服务器

FreeBSD 不提供内建的 LDAP 服务器。首先安装软件包或 Port net/openldap-server：

软件包 中启用了大量的默认选项。运行 pkg info openldap-server 查看它们。如果这些选项不够（例如需要 SQL 支持），请考虑使用适当的 框架 重新编译 Port。

安装后会创建目录 /var/db/openldap-data 用于存储数据。必须创建用于存储证书的目录：

下一步是配置证书颁发机构（Certificate Authority，CA）。以下命令必须从 /usr/local/etc/openldap/private 目录执行。因为文件权限需要严格限制，普通用户不能访问这些文件。有关证书及其参数的更详细信息，请参考 OpenSSL。要创建证书颁发机构，从以下命令开始并根据提示操作：

提示中的条目可以是通用的，除了 Common Name。此条目必须与系统主机名 不同。如果是自签名证书，前缀主机名为 CA，表示证书颁发机构。

接下来的任务是创建证书签名请求和私钥。输入以下命令并按照提示操作：

在生成证书的过程中，确保正确设置 Common Name 属性。证书签名请求必须使用证书颁发机构签名，才能成为有效证书：

证书生成过程的最后一步是生成并签署客户端证书：

记住在提示时使用相同的 Common Name 属性。完成后，确保通过上述命令生成了总共八（8）个新文件。

运行 OpenLDAP 服务器的守护进程是 slapd。其配置通过 slapd.ldif 完成：旧的 slapd.conf 已被 OpenLDAP 废弃。

slapd.ldif 配置示例 可用，且也可以在 /usr/local/etc/openldap/slapd.ldif.sample 中找到。选项的文档可以参考 slapd-config(5)。slapd.ldif 中的每一节，如同其他所有 LDAP 属性集一样，都通过一个 DN 唯一标识。确保在 dn: 语句和该部分的结束之间没有空行。在以下示例中，将使用 TLS 实现安全通道。第一部分表示全局配置：

这里必须指定证书颁发机构、服务器证书和服务器私钥文件。建议让客户端选择安全加密套件，并省略 olcTLSCipherSuite 选项（因为它与 openssl 以外的 TLS 客户端不兼容）。选项 olcTLSProtocolMin 让服务器能要求最低的安全级别：推荐此项。虽然对服务器来说，验证是强制的，但对客户端来说不是：olcTLSVerifyClient: never。

第二部分是后端模块的配置，可以按以下方式配置：

第三部分用于加载数据库将使用的 ldif 模式：它们是必不可少的。

接下来是前端配置部分：

另一个部分是配置后端部分，后续只能以全局超级用户身份访问 OpenLDAP 服务器的配置。

默认的管理员用户名是 cn=config。在 shell 中输入 slappasswd，选择一个密码并使用其哈希值填入 olcRootPW。如果现在不指定此选项，在 slapd.ldif 导入之前，之后将无法修改 全局配置 部分。

最后一部分是关于数据库后端：

这个数据库托管了 LDAP 目录的 实际内容。除了 mdb 类型外，还有其他类型可用。其超级用户（不要与全局超级用户混淆）在这里配置：olcRootDN 中是一个（可能是自定义的）用户名，olcRootPW 中是密码哈希值；可以像之前一样使用 slappasswd。

此 存储库 包含了四个 slapd.ldif 的示例。要将现有的 slapd.conf 转换为 slapd.ldif，请参考 此页面（请注意，这可能会引入一些无用的选项）。

配置完成后，slapd.ldif 必须放置在空目录中。建议按照以下方式创建目录：

导入配置数据库：

启动 slapd 守护进程：

可以使用 -d 选项调试，具体使用方法请参见 slapd(8)。要验证服务器是否正在运行并且工作正常，可以运行以下命令：

服务器仍然需要信任。如果以前没有做过此操作，请按照以下说明操作。安装软件包或 Port OpenSSL：

从 ca.crt 存储的目录（在此示例中为 /usr/local/etc/openldap）中，运行以下命令：

现在，CA 和服务器证书将在各自的角色中正确识别。要验证这一点，可以从 server.crt 目录运行以下命令：

如果 slapd 正在运行，请重新启动它。如 /usr/local/etc/rc.d/slapd 所示，要在引导时正确运行 slapd，必须将以下行添加到 /etc/rc.conf 中：

slapd 在引导时不提供调试信息。可以查看 /var/log/debug.log、dmesg -a 和 /var/log/messages 调试。

以下示例将组 team 和用户 john 添加到仍然为空的 domain.example LDAP 数据库中。首先，创建文件 domain.ldif：

请参考 OpenLDAP 文档了解更多详情。使用 slappasswd 将明文密码 secret 替换为 userPassword 中的哈希值。指定的 loginShell 路径必须在 john 能登录的所有系统中存在。最后，使用 mdb 管理员修改数据库：

对 全局配置 部分的修改只能由全局超级用户执行。例如，假设 olcTLSCipherSuite: HIGH:MEDIUM:SSLv3 最初被指定，现在必须删除。首先，创建一个包含以下内容的文件：

然后，应用修改：

在提示时，提供在 配置后端 部分选择的密码。此时不需要提供用户名：这里的 cn=config 代表要修改的数据库部分的 DN。或者，可以使用 ldapmodify 删除数据库中的一行，使用 ldapdelete 删除整个条目。

如果出现问题，或者全局超级用户无法访问配置后端，则可以删除并重新写入整个配置：

然后，可以编辑并重新导入 slapd.ldif。请仅在没有其他解决方案时遵循此过程。

这仅是服务器的配置。相同的机器还可以托管 LDAP 客户端，并具有自己的单独配置。

上一页33.4.网络信息系统（NIS）下一页33.6.动态主机配置协议（DHCP）

最后更新于