# Default DNS domain
$DEFAULT_MAIL_DOMAIN = "su-dominio.com";

# Default base
$DEFAULT_BASE = "dc=su-dominio,dc=com";

A continuación hay que crear el objeto que a su vez contendrá el resto de los datos en el directorio. Genere un fichero base.ldif del siguiente modo:

Se utilizará ldapadd para insertar los datos necesarios. Las opciones utilizadas con este mandato son las siguientes:

-x		autenticación simple
-W		solicitar clave de acceso
-D binddn	Nombre Distinguido (dn) a utilizar
-h anfitrión	Servidor LDAP a acceder
-f fichero 	fichero a utilizar

Una vez entendido lo anterior, se procede a insertar la información generada en el directorio utilizando lo siguiente:

Una vez hecho lo anterior, se podrá comenzar a poblar el directorio con datos. Lo primero será importar los grupos y usuarios existentes en el sistema. Realice la importación de usuarios utilizando los guiones correspondientes del siguiente modo:

/usr/share/openldap/migration/migrate_group.pl /etc/group group.ldif
/usr/share/openldap/migration/migrate_passwd.pl /etc/passwd passwd.ldif

Lo anterior creará los ficheros group.ldif y passwd.ldif, los cuales incluirán la información de los grupos y cuentas en el sistema, incluyendo las claves de acceso. Los datos se podrán insertar en el directorio LDAP utilizando lo siguiente:

Comprobaciones.

Antes de configurar el sistema para utilizar LDAP para autenticar, es conveniente verificar que todo funciona correctamente.

El siguiente mandato verifica que directorios disponibles existen en el servidor 127.0.0.1.

Lo anterior debe devolver una salida similar a lo siguiente:

# extended LDIF
#
# LDAPv3
# base <> with scope base
# filter: (objectclass=*)
# requesting: namingContexts
#

#
dn:
namingContexts: dc=su-dominio,dc=com

# search result
search: 2
result: 0 Success

# numResponses: 2
# numEntries: 1

El siguiente mandato debe devolver toda la información de todo el directorio solicitado (dc=su-dominio,dc=com).

Otro ejemplo es realizar una búsqueda específica para un usuario en particular. Suponiendo que en el sistema se tiene un usuario denominado fulano, puede ejecutarse lo siguiente:

Lo anterior debe regresar algo como lo siguiente:

# extended LDIF
#
# LDAPv3
# base su-dominio,dc=com with scope sub
# filter: (objectclass=*)
# requesting: ALL
#

# fulano, People, su-dominio.com
dn: uid=fulano,ou=People,dc=su-dominio,dc=com
uid: fulano
cn: fulano
objectClass: account
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
userPassword:: xxxxxxxxxxxx
shadowLastChange: 12594
shadowMax: 99999
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 505
gidNumber: 505
homeDirectory: /home/fulano

# search result
search: 2
result: 0 Success

# numResponses: 2
# numEntries: 1

Configuración de clientes.

Defina los valores para los parámetros host y base a fin de establecer hacia que servidor y a que directorio conectarse en el fichero /etc/ldap.conf. Para fines prácticos, el valor del parámetro host corresponde a la dirección IP del servidor LDAP y el valor del parámetro base debe ser el mismo que se especificó en el fichero /etc/openldap/slapd.conf para el parámetro suffix. Considerando que el servidor LDAP tiene la dirección IP 192.168.0.1, se puede definir lo siguiente en el fichero /etc/openldap/slapd.conf:

# Your LDAP server. Must be resolvable without using LDAP.
# Multiple hosts may be specified, each separated by a
# space. How long nss_ldap takes to failover depends on
# whether your LDAP client library supports configurable
# network or connect timeouts (see bind_timelimit).
host 192.168.0.1

# The distinguished name of the search base.
base dc=su-dominio,dc=com

Lo que sigue es utilizar ya sea authconfig, authconfig-tui o authconfig-gtk para configurar el sistema a fin de que se utilice el servidor LDAP para autenticar.

authconfig (modo-texto)

Suponiendo que el servidor LDAP tiene la dirección IP 192.168.0.1, utilice el siguiente mandato para configurar al cliente remoto a fin de que autentique en el directorio LDAP.

authconfig --useshadow  --enablemd5  --nostart \
--enableldap --enableldapauth --ldapserver=ldap://192.168.0.1/ \
--ldapbasedn=dc=su-dominio,dc=com --update

authconfig-tui (modo texto)

Habilite las casillas Utilizar LDAP y Utilizar Autenticación LDAP y pulse la tecla Tab hasta Siguiente y pulse la tecla Enter y verifique que los datos del servidor y el directorio a utilizar sean los correctos.

authconfig-tui, pantalla principal.

authconfig-tui, pantalla configuración ldap.

authconfig-gtk (modo gráfico)

Si se utiliza authconfig-gtk se deben habilitar las casillas de Soporte LDAP. Antes de cerrar la ventana en la pestañas de Información del usuario y Autenticación. Antes de dar clic en Aceptar, haga clic en Configurar LDAP y verifique que los datos del servidor y el directorio a utilizar sean los correctos.

authconfig-gtk, pestaña de Información del usuario.

authconfig-gtk, pestaña de Autenticación.

authconfig-gtk, ventana Configurar LDAP.

Administración.

Hay una gran cantidad de programas para acceder y administrar servidores LDAP, pero la mayoría solo sirven para administrar usuarios y grupos del sistema como diradmin y el módulo de LDAP de Webmin. La mejor herramienta de administración de directorios LDAP que podemos recomendar es PHP LDAP Admin.

Respaldo de datos.

Debe detenerse el servicio de LDAP antes de proceder con el respaldo de datos.

service ldap stop

A continuación, se utiliza la herramienta slapcat, utilizando el fichero de configuración /etc/openldap/slapd.conf.

slapcat -v -f /etc/openldap/slapd.conf -l respaldo-$(date +%Y%m%d).ldif

Concluido el proceso de respaldo de datos, puede iniciarse de nuevo el servicio de ldap.

service ldap start

Restauración de datos.

El procedimiento requiere detener el servicio.

service ldap stop

Debe eliminarse los datos del directorio a restaurar.

rm -f /var/lib/ldap/autenticar/*

A continuación, se utiliza la herramienta slapadd para cargar los datos desde un fichero *.ldif de respaldo.

slapadd -v -c -l respaldo-20061003.ldif -f /etc/openldap/slapd.conf

Se debe ejecutar la herramienta slapindex, que se utiliza para regenerar los índices LDAP.

slapindex

Concluido el proceso de restauración de datos, puede iniciarse de nuevo el servicio de ldap.

service ldap start

Modificaciones necesarias en el muro cortafuegos.

Si se utiliza un cortafuegos con políticas estrictas, como por ejemplo Shorewall, es necesario abrir el puerto 389 por TCP (LDAP).

Las reglas para el fichero /etc/shorewall/rules de Shorewall correspondería a algo similar a lo siguiente:

#ACTION	SOURCE	DEST	PROTO 	DEST		SOURCE
#				PORT		PORT(S)1
ACCEPT	net	fw	tcp	389
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE

Última Edición lunes 17 de agosto de 2009 @ 08:15 CDT|33,093 Hits