6.openldap客戶端安裝

作者:yaoyao

1.賬號登錄系統流程講解

1. 當在客戶端輸入賬號登錄系統時、系統根據/etc/nsswitch.conf配置文件獲取賬號查找順序，然后在根據pam配置文件調用相關模塊，對賬號/etc/passwd及密碼/etc/shadow進行查找並進行匹配，當本地匹配不成功時、會通過后端認證服務器進行驗證

2.系統版本及配置文件

1. /etc/nsswitch.conf 用於驗證用戶身份所讀取本地文件或是遠程驗證服務器的文件
2. /etc/sysconfig/authconfig 跟着ldap身份驗證機制是否正確啟動
3. /etc/pam.d/system-auth 實現用戶帳號身份驗證
4. /etc/pam_ldap.conf
   與openldap服務器進行交互，獲取用戶條目信息
5. /etc/openldap/ldap.conf 用於查詢openldap服務器所有條目信息

1.安裝客戶端

#yum install openldap-clients nss-pam-ldapd -y

2.修改/etc/nslcd.conf

vim /etc/nslcd.conf
修改相關內容如下
uri ldap://127.0.0.1/
base dc=liuyao,dc=com
ssl no
tls_cacertdir /etc/openldap/cacerts                                                                 

3.修改/etc/pam_ldap.conf

vim /etc/pam_ldap.conf
修改相關內容如下 
    host 127.0.0.1
    uri ldap://127.0.0.1/
    ssl no
    tls_cacertdir /etc/openldap/cacerts
    bind_policy soft

4.修改/etc/pam.d/system-auth文件

#vim /etc/pam.d/system-auth

修改相關內容如下
auth        required      pam_env.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        required      pam_deny.so
#重點內容
auth        sufficient    pam_ldap.so use_first_pass
account     required      pam_unix.so
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 500 quiet
account     required      pam_permit.so
#重點內容
account     [default=bad success=ok user_unknown=ignore] pam_ldap.so
password    requisite     pam_cracklib.so try_first_pass retry=3 type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass   use_authtok
password    required      pam_deny.so
#重點內容
password    sufficient    pam_ldap.so use_authtok
session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
#重點內容
session     optional      pam_ldap.so
#重點內容
session     optional      pam__mkhomedir.so skel=/etc/skel umask=077

5.修改/etc/nsswitch.conf文件

#vim /etc/nsswitch.conf
修改相關內容如下
passwd:     files ldap
shadow:     files ldap
group:      files ldap

6.修改/etc/sysconfig/authconfig

#vim /etc/sysconfig/authconfig
修改相關內容如下
IPADOMAINJOINED=no
USEMKHOMEDIR=no
USEPAMACCESS=no
CACHECREDENTIALS=yes
USESSSDAUTH=no
USESHADOW=yes
USEWINBIND=no
USEDB=no
FORCELEGACY=no
USEFPRINTD=no
FORCESMARTCARD=no
PASSWDALGORITHM=sha512
#重點內容
USELDAPAUTH=yes
USEPASSWDQC=no
IPAV2NONTP=no
#重點內容
USELOCAUTHORIZE=yes
USECRACKLIB=yes
USEIPAV2=no
USEWINBINDAUTH=no
USESMARTCARD=no
#重點內容
USELDAP=yes
USENIS=no
USEKERBEROS=no
USESYSNETAUTH=no
USESSSD=no
USEHESIOD=no

7.修改/etc/openldap/ldap.conf

vim /etc/openldap/ldap.conf
TLS_CACERTDIR   /etc/openldap/certs

8.修改/etc/pam.d/sshd

#vim /etc/pam.d/sshd 
session    required     pam_mkhomedir.so

9.啟動相關服務器

#/etc/init.d/nslcd restart

10.驗證

getent passwd liuyao
#如果有返回代表配置成功