openldap（一）：简介和安装

1 OpenLDAP简介
- 1.1 LDAP介绍
- - 1、什么LDAP
  - 2、为什么要使用LDAP
  - 3、LDAP 的特点
  - 4、LDAP常用关键字
  - 5、LDAP的objectClass
  - 6、LADP使用场景
- 1.2 OpenLDAP介绍
- - 1、什么OpenLDAP
  - 2、OpenLDAP特点
  - 3、OpenLDAP的组件
2 OpenLDAP安装
3 简单使用
- 3.1 创建用户
- - 1、创建ou
  - 2、创建Group
3、创建User Account
- - 4、为用户填写其他属性

1 OpenLDAP简介

1.1 LDAP介绍

1、什么LDAP

LDAP（轻量级目录访问协议，Lightweight Directory Access Protocol）是一种用于访问分布式目录服务的网络协议。它提供了一种标准化的方法来查询和操作目录中的信息，这些信息通常以树状结构组织，用于存储用户、组织和其他实体的数据。

2、为什么要使用LDAP

LDAP是开放的Internet标准，市场上或者开源社区的绝大多数软件都支持LDAP协议。简单来说，LDAP协议最大的好处就是能统一管理用户密码，如果有新人报道，只需要创建一个用户就能登录公司的所有平台（gitlab、jumpserver、监控等等），离职时一键删除即可。

3、LDAP 的特点

LDAP有如下特定：

1.目录结构：LDAP 目录是树状结构组织，每个节点称为条目（Entry），每个条目包含属性（Attributes）。
2.基于标准的协议：LDAP 遵循一系列 RFC（Request for Comments）文档，确保了不同系统间的兼容性和互操作性。
3.分层命名空间：LDAP 使用分层的命名空间（称为 Distinguished Names, DN），用于唯一标识目录中的每个条目。
4.搜索和访问控制：LDAP 提供了强大的搜索功能，允许用户根据属性值查询条目。同时，它支持复杂的访问控制机制，以保护目录数据的安全。
5.可扩展性：LDAP 支持通过添加新的条目和属性来扩展目录结构，同时保持向后兼容性。

4、LDAP常用关键字

dn（Distinguished Name）：区分名称，LDAP中每个条目都有自己的dn，dn是该条目在整棵树中的唯一标识，如同文件系统中，带路径的文件名就是DN。
rdn（Relative dn）：相对区别名称，好比linux中的相对路径。
dc（Domain Component）：域名组件。其格式是将完整的域名分成几部分，如将http://example.com变成dc=example,dc=com。
uid（User ID）：用户ID，如 san.zhang。
ou（Organization Unit）：组织单元。
cn（Common Name）：公共名称。
sn（surname）：姓氏。
c（Country）：国家，如“CN”或者“US”。
o（Organization）：组织名，如XXX银行，XXX部门，XXX公司等等。
这里把dn当做用户唯一主键， cn是common name,应该等同于用户名，因为用户名必须唯一，通常为邮箱前缀，比如ryan.miao. sn作为姓氏， uid作为用户id。通常用户id也是唯一的。所以在使用ldap做认证的时候，大概逻辑如下：
配置ldap host, admin, admin pass
用户登录时传递username
读取配置的ldap信息，查询cn或者uid等于username的数据
取出第一个记录，获得dn，根据dn和password再次去ldap服务器认证。即必须保证cn或uid是全局唯一的

5、LDAP的objectClass

objectClass	含义
olcGlobal	全局配置文件类型，主要是cn=config.ldif 的配置项
top	顶层的对象
organization	组织，比如公司名称，顶层的对象
organizationalUnit	重要，一个目录节点，通常是group，或者部门这样的含义
inetOrgPerson	重要，我们真正的用户节点类型，person类型，叶子节点
groupOfNames	重要，分组的group类型，标记一个group节点olcModuleList配置模块的对象

6、LADP使用场景

LDAP 通常用于以下场景：

身份验证：验证用户身份，允许或拒绝对系统资源的访问。
授权：管理用户权限，控制对目录数据的访问。
目录服务：存储和检索关于用户、组织结构和其他实体的信息。
单点登录（SSO）：作为身份提供者，允许用户使用一组凭据访问多个相关但独立的系统。

1.2 OpenLDAP介绍

1、什么OpenLDAP

OpenLDAP 是 LDAP 协议的一个开源实现，由 OpenLDAP 项目提供。它包括服务器、客户端库、工具和示例应用程序，用于构建和操作 LDAP 目录服务。OpenLDAP 可以运行在多种操作系统上，包括 Linux、Unix、Windows 等。

2、OpenLDAP特点

OpenLADP的特点如下：

1.开源：OpenLDAP 是开源软件，可以自由下载、使用和修改。
2.跨平台：OpenLDAP 可以在多种操作系统上运行，包括 Linux、Unix、Windows 等。
3.灵活性：OpenLDAP 支持自定义模式（Schemas），允许管理员定义新的数据类型和对象类，以满足特定的业务需求。
4.安全性：OpenLDAP 支持多种安全机制，包括 TLS/SSL 加密、SASL 认证等，确保数据传输的安全性。
5.性能：OpenLDAP 经过优化，能够处理大量的并发访问和复杂的搜索操作。
6.工具和库：OpenLDAP 提供了一系列工具和库，方便开发者集成和操作 LDAP 服务。

3、OpenLDAP的组件

OpenLDAP有四个主要组件:

slapd -独立的LDAP守护进程和相关的模块和工具
lloadd—独立的LDAP负载均衡代理服务器
实现LDAP协议和ASN.1基本编码规则的库
客户端软件：ldapsearch、ldapadd、ldapdelete等

此外，OpenLDAP项目还有许多子项目:

Java 的LDAP类库
JDBC-LDAP - Java JDBC-LDAP桥接驱动
ldapc++ -用于c++的LDAP类库
内存映射数据库库

2 OpenLDAP安装

环境：Ubuntu 22.04
使用docker安装

mkdir ldap
cd ldapvim docker-compose.yaml
#######
version: '2'
services:openldap:image: osixia/openldap:1.5.0  ### 如果有私有仓库可以从自己的私有仓库拉取镜像container_name: openldaprestart: alwaysenvironment:LDAP_LOG_LEVEL: "256"LDAP_ORGANISATION: "test"   ### 您的组织名称LDAP_DOMAIN: "smile.test"    ### 公司域名LDAP_BASE_DN: "dc=smile,dc=test"   ### 根据域名组成LDAP_ADMIN_PASSWORD: "smile123"   ### 密码自己来设置LDAP_CONFIG_PASSWORD: "smile123"LDAP_READONLY_USER: "false"#LDAP_READONLY_USER_USERNAME: "readonly"#LDAP_READONLY_USER_PASSWORD: "readonly"LDAP_RFC2307BIS_SCHEMA: "false"LDAP_BACKEND: "mdb"#LDAP_TLS: "true"#LDAP_TLS_CRT_FILENAME: "smile.test.pem"#LDAP_TLS_KEY_FILENAME: "smile.test.key"#LDAP_TLS_DH_PARAM_FILENAME: "dhparam.pem"#LDAP_TLS_CA_CRT_FILENAME: "ca.crt"#LDAP_TLS_ENFORCE: "false"#LDAP_TLS_CIPHER_SUITE: "SECURE256:-VERS-SSL3.0"# LDAP_TLS_VERIFY_CLIENT: "demand"LDAP_REPLICATION: "false"#LDAP_REPLICATION_CONFIG_SYNCPROV: 'binddn="cn=admin,cn=config" bindmethod=simple credentials="$$LDAP_CONFIG_PASSWORD" searchbase="cn=config" type=refreshAndPersist retry="60 +" timeout=1 starttls=critical'#LDAP_REPLICATION_DB_SYNCPROV: 'binddn="cn=admin,$$LDAP_BASE_DN" bindmethod=simple credentials="$$LDAP_ADMIN_PASSWORD" searchbase="$$LDAP_BASE_DN" type=refreshAndPersist interval=00:00:00:10 retry="60 +" timeout=1 starttls=critical'#LDAP_REPLICATION_HOSTS: "#PYTHON2BASH:['ldap://ldap.example.org','ldap://ldap2.example.org']"KEEP_EXISTING_CONFIG: "false"LDAP_REMOVE_CONFIG_AFTER_SETUP: "true"#LDAP_SSL_HELPER_PREFIX: "ldap"tty: truestdin_open: truevolumes:- /opt/openldap/ldap:/var/lib/ldap- /opt/openldap/slapd.d:/etc/ldap/slapd.d- /opt/openldap/certs:/container/service/lapd/assets/certsports:- "389:389"- "636:636"# For replication to work correctly, domainname and hostname must be# set correctly so that "hostname"."domainname" equates to the# fully-qualified domain name for the host.domainname: "smile.test"hostname: "ldap-server"phpldapadmin:image: osixia/phpldapadmin:latestcontainer_name: phpldapadminrestart: alwaysenvironment:PHPLDAPADMIN_LDAP_HOSTS: "openldap"   ### 如果部署后登录不进去有可能是这里出了问题，直接换为部署openldap服务的公网IP试试PHPLDAPADMIN_HTTPS: "false"ports:- "50081:80"depends_on:- openldapself-service-password:container_name: self-service-passwordimage: tiredofit/self-service-password:latestrestart: alwaysports:- "50080:80"environment:- LDAP_SERVER=ldap://openldap:389- LDAP_BINDDN=cn=admin,dc=smile,dc=test- LDAP_BINDPASS=XXXX- LDAP_BASE_SEARCH=dc=smile,dc=test- MAIL_FROM=it@open.com- MAIL_FROM_NAME=账号自助服务平台- SMTP_DEBUG=0- SMTP_HOST=smtp.qiye.aliyun.com- SMTP_USER=it@open.com- SMTP_PASS=jYda52VZ8Ftw1111- SMTP_PORT=465- SMTP_SECURE_TYPE=ssl- SMTP_AUTH_ON=true- NOTIFY_ON_CHANGE=truevolumes:- /etc/localtime:/etc/localtime- /opt/openldap/self-service-password/htdocs:/www/ssp- /opt/openldap/self-service-password/logs:/www/logsdeploy:resources:limits:memory: 2Greservations:memory: 512M### 运行
docker-compose up -d