一、安裝說明
系統版本：CentOS 7.6
openldap版本：2.4.44
phpldapadmin版本：1.2.5
yum源：阿里base及epel
二、安裝相關軟件
# yum 安裝相關包
yum install -y openldap openldap-clients openldap-servers
# 復制一個默認配置到指定目錄下,並授權，這一步一定要做，然后再啟動服務，不然生產密碼時會報錯
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
# 授權給ldap用戶,此用戶yum安裝時便會自動創建
chown -R ldap. /var/lib/ldap/DB_CONFIG
# 啟動服務，先啟動服務，配置后面再進行修改
systemctl start slapd
systemctl enable slapd
# 查看狀態，正常啟動則ok
systemctl status slapd
三、修改openldap配置
從openldap2.4.23版本開始，所有配置都保存在/etc/openldap/slapd.d目錄下的cn=config文件夾內，不再使用slapd.conf作為配置文件。配置文件的后綴為 ldif，且每個配置文件都是通過命令自動生成的，任意打開一個配置文件，在開頭都會有一行注釋，說明此為自動生成的文件，請勿編輯，使用ldapmodify命令進行修改
安裝openldap后，會有三個命令用於修改配置文件，分別為ldapadd, ldapmodify, ldapdelete，顧名思義就是添加，修改和刪除。而需要修改或增加配置時，則需要先寫一個ldif后綴的配置文件，然后通過命令將寫的配置更新到slapd.d目錄下的配置文件中去，完整的配置過程如下：
1.生成並配置管理員密碼
# 生成管理員密碼,記錄下這個密碼，后面需要用到
slappasswd -s 123456
{SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpE
# 新增修改密碼文件,ldif為后綴，文件名隨意，不要在/etc/openldap/slapd.d/目錄下創建類似文件
# 生成的文件為需要通過命令去動態修改ldap現有配置，如下，我在家目錄下，創建文件
cd ~
vim changepwd.ldif
----------------------------------------------------------------------
dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpE
----------------------------------------------------------------------
# 這里解釋一下這個文件的內容：
# 第一行執行配置文件，這里就表示指定為 cn=config/olcDatabase={0}config 文件。你到/etc/openldap/slapd.d/目錄下就能找到此文件
# 第二行 changetype 指定類型為修改
# 第三行 add 表示添加 olcRootPW 配置項
# 第四行指定 olcRootPW 配置項的值
# 在執行下面的命令前，你可以先查看原本的olcDatabase={0}config文件，里面是沒有olcRootPW這個項的，執行命令后，你再看就會新增了olcRootPW項，而且內容是我們文件中指定的值加密后的字符串
# 執行命令，修改ldap配置，通過-f執行文件
ldapadd -Y EXTERNAL -H ldapi:/// -f changepwd.ldif
2.導入自帶Schema
# 我們需要向 LDAP 中導入一些基本的 Schema。這些 Schema 文件位於 /etc/openldap/schema/ 目錄中，schema控制着條目擁有哪些對象類和屬性，可以自行選擇需要的進行導入，
# 依次執行下面的命令，導入基礎的一些配置,我這里將所有的都導入一下，其中core.ldif是默認已經加載了的，不用導入
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/collective.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/corba.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/duaconf.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/dyngroup.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/java.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/misc.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/openldap.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/pmi.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/ppolicy.ldif
3.創建管理域
# 修改域名，新增changedomain.ldif, 這里我自定義的域名為 ldap01.pwb.com，管理員用戶賬號為admin。
# 如果要修改，則修改文件中相應的dc=ldap01,dc=pwb,dc=com為自己的域名
vim changedomain.ldif
-------------------------------------------------------------------------
dn: olcDatabase={1}monitor,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=admin,dc=ldap01,dc=pwb,dc=com" read by * none
dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=ldap01,dc=pwb,dc=com #設置管理域=suffix
dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=admin,dc=ldap01,dc=pwb,dc=com
dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootPW
olcRootPW: {SSHA}Ux2L7z9gZTH7fi9S+3cy1V4ko9RiVrWo
dn: olcDatabase={2}hdb,cn=config #定義用戶控制策略，域名匿名用戶讀 用戶可以自己修改密碼 管理員擁有全部權限
changetype: modify
add: olcAccess
olcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=admin,dc=ldap01,dc=pwb,dc=com" write by anonymous auth by self write by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to * by dn="cn=admin,dc=ldap01,dc=pwb,dc=com" write by * read
-------------------------------------------------------------------------
# 執行命令，修改配置
ldapmodify -Y EXTERNAL -H ldapi:/// -f changedomain.ldif
4.啟用memberof功能
# 新增add-memberof.ldif, #開啟memberof支持並新增用戶支持memberof配置
vim add-memberof.ldif
-------------------------------------------------------------
dn: cn=module{0},cn=config
cn: modulle{0}
objectClass: olcModuleList
objectclass: top
olcModuleload: memberof.la
olcModulePath: /usr/lib64/openldap
dn: olcOverlay={0}memberof,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcMemberOf
objectClass: olcOverlayConfig
objectClass: top
olcOverlay: memberof
olcMemberOfDangling: ignore
olcMemberOfRefInt: TRUE
olcMemberOfGroupOC: groupOfUniqueNames
olcMemberOfMemberAD: uniqueMember
olcMemberOfMemberOfAD: memberOf
-------------------------------------------------------------
# 新增refint1.ldif文件
vim refint1.ldif
-------------------------------------------------------------
dn: cn=module{0},cn=config
add: olcmoduleload
olcmoduleload: refint
-------------------------------------------------------------
# 新增refint2.ldif文件
vim refint2.ldif
-------------------------------------------------------------
dn: olcOverlay=refint,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcOverlayConfig
objectClass: olcRefintConfig
objectClass: top
olcOverlay: refint
olcRefintAttribute: memberof uniqueMember manager owner
-------------------------------------------------------------
# 依次執行下面命令，加載配置，順序不能錯
ldapadd -Q -Y EXTERNAL -H ldapi:/// -f add-memberof.ldif
ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint1.ldif
ldapadd -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif
5.創建組織及組織單元
創建一個叫做 pwb company 的組織，並在其下創建一個 admin 的組織角色（該組織角色內的用戶具有管理整個 LDAP 的權限）和 People 和 Group 兩個組織單元：
# 新增配置文件 如果自定義了管理域記得替換
vim base.ldif
----------------------------------------------------------
dn: dc=ldap01,dc=pwb,dc=com
objectClass: top
objectClass: dcObject
objectClass: organization
o: pwb Company
dc: ldap01
dn: cn=admin,dc=ldap01,dc=pwb,dc=com
objectClass: organizationalRole
cn: admin
dn: ou=People,dc=ldap01,dc=pwb,dc=com
objectClass: organizationalUnit
ou: People
dn: ou=Group,dc=ldap01,dc=pwb,dc=com
objectClass: organizationalRole
cn: Group
----------------------------------------------------------
# 執行命令，添加配置, 這里要注意修改域名為自己配置的域名，然后需要輸入上面我們生成的密碼 123456
ldapadd -x -D cn=dc=ldap01,dc=pwb,dc=com -W -f base.ldif
通過以上的所有步驟，我們就設置好了一個 LDAP 目錄樹：其中基准 dc=ldap01,dc=pwb,dc=com是該樹的根節點，其下有一個管理域 cn=admin,dc=ldap01,dc=pwb,dc=com和兩個組織單元 ou=People,dc=ldap01,dc=pwb,dc=com及 ou=Group,dc=ldap01,dc=pwb,dc=com
6.配置日志
1.OpenLDAP日志類型
[root@ldap01 ~]# slapd -d ?
Installed log subsystems:
Any (-1, 0xffffffff) #開啟所有debug信息
Trace (1, 0x1) #跟蹤trace函數調用
Packets (2, 0x2) #與軟件包的處理相關的dug信息
Args (4, 0x4) #全面的debug信息
Conns (8, 0x8) #鏈接數管理的相關信息
BER (16, 0x10) #記錄包發送和接收的信息
Filter (32, 0x20) #記錄過濾處理的過程
Config (64, 0x40) #記錄配置文件的相關信息
ACL (128, 0x80) #記錄訪問控制列表的相關信息
Stats (256, 0x100) #記錄鏈接、操作以及統計信息
Stats2 (512, 0x200) #記錄向客戶端響應的統計信息
Shell (1024, 0x400) #記錄與shel1后端的通信信息
Parse (2048, 0x800) #記錄條目的分析結果信息
Sync (16384, 0x4000) #記錄數據同步資源消耗的信息
None (32768, 0x8000) #不記錄
2.創建對應的目錄及文件
[root@ldap01 ~]# mkdir /var/log/slapd
[root@ldap01 ~]# touch /var/log/slapd/slapd.log
[root@ldap01 ~]# chmod 755 /var/log/slapd
[root@ldap01 ~]# chown -R ldap:ldap /var/log/slapd
[root@ldap01 log]# echo "local4.* /var/log/slapd/slapd.log" >> /etc/rsyslog.conf
[root@ldap01 log]# systemctl restart rsyslog
3.清除原日志級別
[root@ldap01 ~]# cat /etc/openldap/slapd.d/cn\=config.ldif |grep -i log 查看原有日志等級，有則刪除，沒有則忽略
[root@ldap01 ~]# ldapmodify -Y EXTERNAL -H ldapi:/// -f del_log_level.ldif
dn: cn=config
changetype: modify
delete: olcLogLevel
olcLogLevel: 256 #配置中具體的日志等級
4.添加日志
[root@ldap01 ~]# ldapmodify -Y EXTERNAL -H ldapi:/// -f set_log_level.ldif
dn: cn=config
changetype: modify
add: olcLogLevel
olcLogLevel: 32
5.設置lograte日志切割
[root@ldap01 ~]# vim ldap_lograte.sh
#!/bin/bash
###########通過logrotate實現對OpenLDAP日志進行切割##################
FILE=/var/log/slapd/slapd.log
if [ ! -f $FILE ];then
/bin/touch $FILE &&/bin/chmod 666 $FILE &&/usr/bin/chattr +a $FILE 5>/dev/null
cat >/etc/logrotate.d/ldap <<"EOF"
/var/log/slapd/slapd. log{
prerotate
/usr/bin/chattr -a /var/log/slapd/slapd.log
endscript
compress
delaycompress
notifempty
rotate 100
size 10M
postrotate
/usr/bin/chattr +a /var/log/slapd/slapd.log
endscript
EOF
systemctl restart rsyslog
fi
[root@ldap01 ~]# sh ldap_lograte.sh
四、安裝圖形界面
1.linux系統(phpldapadmin)
1.安裝安裝web界面phpldapadmin
# yum安裝時，會自動安裝apache和php的依賴。
# 注意： phpldapadmin很多沒更新了，只支持php5，如果你服務器的環境是php7，則會有問題，頁面會有各種報錯
yum install -y phpldapadmin
# 修改apache的phpldapadmin配置文件
# 修改如下內容，放開外網訪問，這里只改了2.4版本的配置，因為centos7 默認安裝的apache為2.4版本。所以只需要改2.4版本的配置就可以了
# 如果不知道自己apache版本，執行 rpm -qa|grep httpd 查看apache版本
vim /etc/httpd/conf.d/phpldapadmin.conf
-----------------------------------------------------------------
<IfModule mod_authz_core.c>
# Apache 2.4
Require all granted
</IfModule>
-----------------------------------------------------------------
# 修改配置用DN登錄ldap
vim /etc/phpldapadmin/config.php
-----------------------------------------------------------------
# 398行，默認是使用uid進行登錄，我這里改為cn，也就是用戶名
$servers->setValue('login','attr','cn');
# 460行，關閉匿名登錄，否則任何人都可以直接匿名登錄查看所有人的信息
$servers->setValue('login','anon_bind',false);
# 519行，設置用戶屬性的唯一性，這里我將cn,sn加上了，以確保用戶名的唯一性
$servers->setValue('unique','attrs',array('mail','uid','uidNumber','cn','sn'));
-----------------------------------------------------------------
# 啟動apache
systemctl start httpd
systemctl enable httpd
2.登錄phpldapadmin界面
啟動了apache服務后，在瀏覽器上訪問: http://ip/ldapadmin ，然后使用上面定義的用戶，進行登錄，如下：
2.windows系統(LDAP Admin)
1.下載
https://sourceforge.net/projects/ldapadmin/，官網好像已經沒有了http://ldapadmin.org/download/ldapadmin.html，也可以通過我的百度網盤下載： 鏈接：https://pan.baidu.com/s/1gwMgYhp9tUtwG4EkkfcAOw 提取碼：yroi
2.配置
五、配置客戶端
cat /etc/openldap/ldap.conf
-----------------------------------------------------------------
BASE dc=ldap01,dc=pwb,dc=com #自定義的管理域名稱
URI ldap://192.168.1.131 #ldap服務器地址，域名也可以，需要能解析
-----------------------------------------------------------------
ldapsearch -x -LLL #查看ldap服務器數據
抄自於：https://blog.csdn.net/weixin_41004350/article/details/89521170 (目前看到最詳細正確的安裝文檔)