轉載 https://blog.csdn.net/htvxjl02/article/details/80336788
Centos7 Openldap主從配置
2018年05月16日 15:09:57
閱讀數：79
參考了網上多篇文檔，大都是centos6.x系統上通過slapd.conf配置部署的，centos7上默認是動態部署的，
通過yum安裝發現無slapd.conf文件，研究了近半個多月，才初步實現如下所示的同步。
環境：虛擬機centos7系統
| 192.168.56.147 |
主openldap |
| 192.168.56.148 |
從openldap |
安裝ldap服務
vi installOpenldap.sh
| #!/bin/bash echo "install ldap rpm" # compat-openldap這個包與主從有很大的關系 yum install -y openldap openldap-* compat-openldap migrationtools systemctl start slapd systemctl enable slapd |
chmod +x installOpenldap.sh
./installOpenldap.sh
查看安裝的ldpa服務
rpm -qa|grep ldap
查看OpnLDAP版本
slapd -VV
查看ldap啟動狀態
systemctl status slapd
查看openldap默認監聽的389端口（centos7最小化安裝默認沒有netstat命令，需安裝）
yum install net-tools -y
netstat -antup| grep 389
開放389端口
firewall-cmd --zone=public --add-port=389/tcp --permanent
firewall-cmd --reload
（這里我使用的是開啟防火牆開放端口，也可以直接關閉防火牆，網上大都用的這種，如下
初始化環境：
ntpdate -u ntp.api.bz && sed -i ‘/SELINUX/s/enforcing/disabled/’ /etc/selinux/config && setenforce 0&& systemctl disable firewalld.service && systemctl stop firewalld.service && shutdown -r now
最小化安裝的centos7系統需安裝ntpdate）
配置OpenLDAP數據庫
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
chownldap:ldap -R /var/lib/ldap/
chmod 700 -R /var/lib/ldap
ll /var/lib/ldap/
配置ldap服務
設置OpenLDAP的管理員密碼
slappasswd
New password:
Re-enter newpassword:
| 如設置密碼：AHdms520
{SSHA}NnsvnZeCbR+pBqhaGCdXFnTLMc+dBaQI 或者 （這樣是方便觀察設置的密碼是什么） {SSHA}fUcmcIuxU/FSyrMu75aIBbOSae2sXT4q |
vi chrootpw.ldif
| # specify the password generated above for "olcRootPW" section dn: olcDatabase={0}config,cn=config changetype: modify add: olcRootPW olcRootPW: {SSHA}NnsvnZeCbR+pBqhaGCdXFnTLMc+dBaQI |
ldapadd -Y EXTERNAL -H ldapi:/// -f chrootpw.ldif
導入基本模式
vi ldapaddBaseSchema.sh (注：腳本名可自定義或者直接復制下列命令運行)
| #!/bin/bash ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif |
在ldap服務的DB中設置域名
vi chdomain.ldif
| # replace to your own domain name for "dc=***,dc=***" section # specify the password generated above for "olcRootPW" section dn: olcDatabase={1}monitor,cn=config changetype: modify replace: olcAccess olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=Manager,c=cn" read by * none
dn: olcDatabase={2}hdb,cn=config changetype: modify replace: olcSuffix olcSuffix: c=cn
dn: olcDatabase={2}hdb,cn=config changetype: modify replace: olcRootDN olcRootDN: cn=Manager,c=cn
dn: olcDatabase={2}hdb,cn=config changetype: modify add: olcRootPW olcRootPW: {SSHA}NnsvnZeCbR+pBqhaGCdXFnTLMc+dBaQI
dn: olcDatabase={2}hdb,cn=config changetype: modify add: olcAccess olcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=Manager,c=cn" write by anonymous auth by self write by * none olcAccess: {1}to dn.base="" by * read olcAccess: {2}to * by dn="cn=Manager,c=cn" write by * read |
ldapmodify -Y EXTERNAL -H ldapi:/// -f chdomain.ldif
導入管理員基礎數據
vi rootdn.ldif
| dn: c=cn objectclass: country c: cn
dn: cn=Manager,c=cn objectclass: organizationalRole cn: Manager |
ldapadd -x -D cn=Manager,c=cn -W -f rootdn.ldif
開啟日志配置
（注：日志級別可按需要進行設置）
vi logLevel.ldif
| [root@localhost ~]# cat logLevel.ldif dn: cn=config changetype: modify replace: olcLogLevel olcLogLevel: stats |
ldapmodify -Y EXTERNAL -H ldapi:/// -f logLevel.ldif
touch /var/log/slapd.log
vi /etc/rsyslog.conf +73
(注：+73是指定位到文件73行)
添加：
local4.* /var/log/slapd.log
重啟系統日志服務與ldap服務
systemctl restart rsyslog
systemctl restart slapd
tail -f /var/log/slapd.log
另外可通過cn=config配置OpenLDAP日志
| [root@localhost ~]# cat /etc/openldap/slapd.d/cn\=config.ldif | grep olcLogLevel [root@localhost ~]# cat << EOF | ldapmodify -Y EXTERNAL -H ldapi:/// > dn: cn=config > changetype: modify > add: olcLogLevel > olcLogLevel: 32 > EOF SASL/EXTERNAL authentication started SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth SASL SSF: 0 modifying entry "cn=config" |
master配置
在master上啟用添加syncprov模塊來實現主從復制功能點，通過ldif文件來增加syncprov模塊，無需重啟ldap server。
vi mod_syncprov.ldif
| dn: cn=module,cn=config objectClass: olcModuleList cn: module olcModulePath: /usr/lib64/openldap olcModuleLoad: syncprov.la |
Ldap由於scheam的控制，文件里的屬性有嚴格的控制，錯誤的或者不存在的屬性將無法執行ldif文件，所以ldif文件的字體顏色會幫助我們配置ldif文件（屬性：綠色，屬性值：紅色）。
ldapadd -Y EXTERNAL -H ldapi:/// -f mod_syncprov.ldif
vi syncprov.ldif
| dn: olcOverlay=syncprov,olcDatabase={2}hdb,cn=config objectClass: olcOverlayConfig objectClass: olcSyncProvConfig olcOverlay: syncprov olcSpCheckpoint: 100 10 olcSpSessionLog: 100 |
ldapadd -Y EXTERNAL -H ldapi:/// -f syncprov.ldif
slave配置
同樣，在slave上也需要配置syncrepl，因為syncrepl實現的主從復制是單向的，即master的所有操作都會同步到slave上，slave無法同步到master上，為了避免master與slave上的數據不一致，slave上禁止對ldap信息的增刪改操作，只允許查詢操作。因為是單向的，故slave需要一些master的認證信息，以便從master同步數據
vi syncrepl.ldif
| dn: olcDatabase={2}hdb,cn=config changetype: modify add: olcSyncRepl olcSyncRepl: rid=001 provider=ldap://192.168.56.149:389/ bindmethod=simple binddn="cn=Manager,c=cn" credentials=AHdms520 searchbase="c=cn" scope=sub schemachecking=on type=refreshAndPersist retry="5 5 300 +" attrs="*,+" interval=00:00:00:10 |
（這里方便測試設置10秒同步）
注意：一定要注意字體的顏色和上面一致，provider，bindmethod …… interval都是olcSyncRepl的屬性值，不是與olcSyncRepl同級別，故其為紅色。
ldapadd -Y EXTERNAL -H ldapi:/// -f syncrepl.ldif
測試
1. 查看master/slave的監聽端口
yum installnet-tools -y （注：centos7 最小化安裝無netstat命令，需安裝）
netstat -tnlp | grep 389 （#master）
netstat -tnlp| grep 389 （#slave）
2. slave 中查看當前ldap用戶列表
ldapsearch -x -b 'cn=Manager,c=cn'，就可以看到自動從master同步過來是數據
3. 在master新增/刪除用戶，確認是否同步。首先，在master上，准備增加用戶的ldif腳本。
vi test.ldif
| # create new # replace to your own domain namefor "dc=***,dc=***" section dn: uid=asiainfo,ou=Manager,c=cn objectClass: inetOrgPerson objectClass: posixAccount objectClass: shadowAccount cn: ASIAINFO sn: TEST userPassword: {SSHA}NnsvnZeCbR+pBqhaGCdXFnTLMc+dBaQI #ssha加密后的值: AHdms520 loginShell: /bin/bash uidNumber: 1612 gidNumber: 1612 homeDirectory: /test |
ldapadd -x -Dcn=Manager,c=cn -W -f test.ldif
在slave中查看是否同步完成
ldapsearch -x-b ' cn=Manager,c=cn '|grep asiainfo
執行完命令提示的內容里包含了uid=asiainfo：
也可以用客戶端軟件測試(這里我使用的是ApacheDirectoryStudio)
到此表示主從同步完成。
參考：
https://blog.csdn.net/wenwenxiong/article/details/76855047
https://blog.csdn.net/xiaowen_1990/article/details/79651099
https://www.ilanni.com/?p=13775
http://www.zytrax.com/books/ldap/ch6/slapd-config.html#contents
http://www.zytrax.com/books/ldap/ch7/#ol-syncrepl
http://www.openldap.org/doc/admin24/slapdconf2.html