Tato stránka vysvětluje, proč byste chtěli používat LDAP a jak klient LDAP systém komunikuje se serverem LDAP.
Umožňuje vám vybrat server LDAP, který bude tento klientský systém kontaktovat, aby získal informace o uživatelích a skupinách. Nejdůležitějším polem jsou názvy hostitelů serveru LDAP, do kterých musíte zadat název hostitele nebo IP adresu serveru LDAP ve vaší síti. Pokud máte více než jeden replikovaný server, můžete je zde zadat všechny.
Pole Přihlášení pro uživatele bez oprávnění root a Heslo pro uživatele bez oprávnění root musí být vyplněno uživatelským jménem a heslem akceptovaným serverem LDAP. Přihlašovací jméno bude obvykle rozlišující název LDAP, například cn=Manager,dc=my-domain,dc=com .
Protože toto přihlašovací jméno a heslo vidí všichni uživatelé Unixu ve vašem systému, je obvykle nastaveno na přihlašovací jméno a heslo uživatele LDAP s omezenými oprávněními (jako je přístup pouze pro čtení a žádná možnost zobrazení hesel). Protože je v některých situacích nutné kontrolovat hesla, pole Přihlášení pro uživatele root a Heslo pro uživatele root by měla být nastavena na uživatelské jméno a heslo LDAP, které má přístup pro čtení k celému serveru LDAP. Toto druhé heslo je uloženo v souboru, který je čitelný pouze pro uživatele root, a je tedy zabezpečen před běžnými nedůvěryhodnými uživateli Unixu.
Obsah
Úvod do LDAP v systému Linux
LDAP je síťový protokol, který lze použít ke sdílení databází unixových uživatelů, skupin a dalších informací mezi více systémy. Typicky bude jeden LDAP server ukládat databáze uživatelů, na které se pak dotazuje více klientů. Pokud tito klienti také připojí domovské adresáře prostřednictvím exportů NFS a diskových a síťových souborových systémů, uživatelé se budou moci přihlásit do kteréhokoli z těchto systémů se stejným uživatelským jménem a heslem. V mnoha ohledech se LDAP používá podobně jako NIS, jak je popsáno na stránce Klient a server NIS. Pomocí správně nakonfigurovaného klienta LDAP je možné spravovat uživatele a skupiny pomocí uživatelů a skupin LDAP.
Požadavek na instalaci klienta LDAP Pokud klientský software LDAP nebyl správně nainstalován, klikněte na zobrazenou zprávu.
Modul klienta LDAP
Klientský modul LDAP Tento modul umožňuje nakonfigurovat systém Linux jako klienta existujícího serveru LDAP. Aby to fungovalo, váš systém musí mít nejprve nainstalované balíčky, které vyžadují, aby fungoval jako klient – konkrétně klientskou knihovnu NSS LDAP a klientskou knihovnu PAM. Skutečné názvy balíčků se liší v závislosti na vaší distribuci, ale na Debianu a Ubuntu jsou libnss-ldap a libpam-ldap resp. Na systémech Redhat a Fedora jsou oba v nss_ldap balík. Nejjednodušší způsob, jak je nainstalovat, je použít modul Software Packages k jejich instalaci přímo z apt nebo mňam .
Konfigurace modulu
Konfigurace klientského modulu LDAP Na serveru:
- nastavte konfigurační soubory klienta LDAP na /etc/openldap/slapd.d
Výběr serveru LDAP
Konfigurace klientského serveru LDAP Jakmile nainstalujete potřebný software, nakonfigurujte připojení systému ke správnému serveru LDAP podle následujících kroků:
- Otevřete modul LDAP Client v kategorii Systém. Zobrazí se stránka s ikonami, jak je uvedeno níže.
- Klikněte na Konfigurace serveru LDAP ikonu pro zobrazení formuláře níže.
- V Názvy hostitelů serveru LDAP zadejte název hostitele vašeho serveru LDAP. Pokud plánujete použít LDAP pro rozlišení adres (nepravděpodobné), zadejte místo toho IP adresu.
- V části Přihlášení pro uživatele bez oprávnění root zadejte DN uživatele v databázi LDAP, který má oprávnění číst všechny informace o uživatelích, jako je cn=Manager,dc=my-domain,dc=com .
- V části Heslo pro uživatele bez oprávnění root zadejte heslo pro uživatele DN výše.
- Pokud váš server LDAP neběží v režimu SSL nebo na vlastním portu, všechny ostatní možnosti lze ponechat jako výchozí.
- Klikněte na tlačítko Uložit tlačítko.
Základy vyhledávání
Základy vyhledávání klientů LDAP Databáze LDAP má hierarchickou strukturu, v mnoha ohledech podobnou názvům internetových domén. Každý uživatel nebo jiný objekt v databázi má celé jméno (tzv. DN), které určuje jeho pozici v hierarchii, například cn=moroder, cn=Users,dc=moje-domena,dc=com . Obvykle budou všichni uživatelé v databázi uloženi pod stejným nadřazeným DN, což by bylo dc=moje-domena,dc=com v předchozím příkladu.
Ve výchozím nastavení budou všechna vyhledávání prováděna v rámci základny globálního vyhledávání. Protože však většina serverů zařazuje uživatele a skupiny do různých podstromů, budete pravděpodobně muset nastavit skupiny Base for Unix users a Base for Unix na rozlišující názvy pro tyto podstromy. Hesla Base for Unix by měla být nastavena na stejné DN jako uživatelé Base for Unix, protože informace o hesle jsou téměř vždy uloženy s jinými atributy uživatele.
Aby váš systém našel uživatele a skupiny v databázi LDAP, musí znát DN, pod kterými je hledat. Chcete-li to nakonfigurovat, proveďte následující :
- Klikněte na Základy vyhledávání LDAP ikona na hlavní stránce modulu, čímž se zobrazí formulář zobrazený níže.
- V Základně globálního vyhledávání zadejte DN jako dc=moje-domena, dc=com pod kterým lze nalézt všechny své uživatele a skupiny.
- Z Hloubky vyhledávání vyberte v nabídce Celý podstrom .
- Základ pro uživatele Unix musíte vyplnit pouze v případě, že vaše DN pro uživatele a skupiny jsou pod úplně jinými stromy. a Základ pro skupiny Unix sekce.
- Klikněte na Uložit .
Výběr služeb
Klientské služby LDAP Než bude váš systém skutečně používat LDAP k nalezení uživatelů a skupin, je potřeba ještě jeden krok – konfigurace NSS (Name Service Switch) pro použití datového úložiště LDAP. Chcete-li to provést, postupujte takto :
- Klikněte na Služby využívající LDAP ikonu.
- V zobrazené tabulce klikněte na Uživatelé systému Unix .
- Obvykle bude zpočátku vybrán pouze jeden zdroj dat – Soubory , který říká systému, aby použil /etc/passwd najít uživatelské účty. Z Druhého zdroje dat vyberte LDAP .
- Klikněte na Uložit . Po návratu do seznamu služeb postupujte podle stejných kroků pro stínová hesla Unix a skupiny Unix služby.
Jakmile je vše nakonfigurováno, můžete použít Ověřit konfiguraci na hlavní stránce modulu zkontrolujte, zda je vše správně nastaveno. Pokud hlásí nějaké problémy, budete muset znovu zkusit některé z výše uvedených kroků s jinými možnostmi.
Prohlížeč LDAP
Klientský prohlížeč Tato stránka poskytuje jednoduchý způsob, jak prozkoumat data na aktuálně nakonfigurovaném serveru LDAP. Je to užitečné pro zjištění, kde v hierarchii jsou uloženi uživatelé a skupiny, aby je bylo možné správně zadat na stránce LDAP Search Bases.