Skip to main content

openldap nouvelle configuration

Configuration OLC (on-line configuration)


Historiquement, OpenLDAP se configurait via des fichiers textes "normaux", qu'on modifie et il fallait relancer le serveur pour prendre en charge la nouvelle configuration.

Depuis sa version 2.4, OpenLDAP utilise un nouveau système qu'il appelle OLC.

Dans ce document, il sera traité l'initialisation d'un OpenLDAP avec ce nouveau système, sachant que nous souhaitons:
  • "dc=rktmb,dc=org" comme racine
  • "cn=admin,dc=rktmb,dc=org" comme super administrateur
  • "rktmb" comme mot de passe du super administrateur
Ce document se base sur une CentOS 7, mais il est applicable sur toute autre distribution Linux et même des BSD.

Importation des schémas de base


Dans "/etc/openldap/schema/" il y a plusieurs schemas à charger selon le type d'entrée avec lesquelles l'annuaire sera peuplé.
Les utilisations courantes mettent généralement en jeu "core", "cosine" et "inetorgperson".

Pour cela il faut d'abord importer les schemas avec
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/core.ldif
Ce qui donnera le message suivant:
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
adding new entry "cn=core,cn=schema,cn=config"
ldap_add: Other (e.g., implementation specific) error (80)
additional info: olcAttributeTypes: Duplicate attributeType: "2.5.4.2"
La dernière ligne qui mentionne une erreur n'est pas très grave: dans la plupart des installations, le schéma "core" est déjà chargé et cette ligne nous indique que justement, il est déjà chargé.

Les autres schémas se chargent avec les commandes:
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif

Etablir la racine "dc=rktmb,dc=org"


Créer le fichier "0-base.ldif" qui contient ceci:
dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=rktmb,dc=org
Attention, la dernière ligne vide est requise.

Importer la modification avec la commande:
ldapadd  -Y EXTERNAL -H ldapi:/// -f 0-base.ldif

Générer le hash du mot de passe "rktmb"


La commande "slappasswd" permet de générer un hash du mot de passe. Ce hash sera utilisé pour initialiser le mot de passe de l'utilisateur administrateur de l'annuaire.
slappasswd
New password:
Re-enter new password:
{SSHA}ft5mv5CzuIL/mMOzj8Mo/Mimfpa4MDuv
La dernière ligne est le hash désiré.

Importer l'utilisateur administrateur


Créer un fichier "1-root.ldif" avec le contenu:
dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=admin,dc=rktmb,dc=org
Attention, la dernière ligne vide est requise.

Importer avec la commande:
ldapadd -Y EXTERNAL -H ldapi:/// -f 1-root.ldif

Pour attribuer le mot de passe "rktmb" à l'administrateur, créer un fichier "2-password.ldif" avec le contenu:
dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootPW
olcRootPW: {SSHA}ft5mv5CzuIL/mMOzj8Mo/Mimfpa4MDuv
La dernière ligne vide est requise, le hash est celui obtenu plus haut.

Importer les modifications avec:
ldapadd -Y EXTERNAL -H ldapi:/// -f 2-password.ldif

A partir de ce moment, l'annuaire est accessible via le réseau:


Les opérations d'ajout d'entrées peuvent se faire soit en ligne de commande, soit via une interface graphique.

Peupler l'annuaire


Pour peupler l'annuaire, il faut pour cet exemple
  • un "top"
    • un groupe
      • un utilisateur dans ce groupe
Créer un fichier "3-top.ldif" avec le contenu:
dn: dc=rktmb,dc=org
objectClass: dcObject
objectClass: top
objectClass: organization
dc: rktmb
o: RKTMB
Importer avec la commande:
ldapadd -x -w rktmb -D cn=admin,dc=rktmb,dc=org -H ldapi:/// < 3-top.ldif

Remarquer que l'accès à l'annuaire se fait désormais via le réseau, en fournissant les identifiants.

L'entrée est désormais créée:

Créer un fichier "4-groupe.ldif" avec le contenu:
dn: ou=Users,dc=rktmb,dc=org
changetype: add
objectClass: organizationalUnit
objectClass: top
ou: Users
Importer avec la commande:
ldapadd -x -w rktmb -D cn=admin,dc=rktmb,dc=org -H ldapi:/// < 4-group.ldif

Le groupe est désormais créé:

Enfin, créer un fichier "5-user.ldif" avec le contenu:
dn: uid=mihamina.rakotomandimby,ou=Users,dc=rktmb,dc=org
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: person
objectClass: top
uid: mihamina.rakotomandimby
sn: Rakotomandimby
cn: Mihamina

Importer avec la commande:
ldapadd -x -w rktmb -D cn=admin,dc=rktmb,dc=org -H ldapi:/// < 5-user.ldif

L'annuaire est complètement peuplé:

Popular posts from this blog

npm run build base-href

Using NPM to specify base-href When building an Angular application, people usually use "ng" and pass arguments to that invocation. Typically, when wanting to hard code "base-href" in "index.html", one will issue: ng build --base-href='https://ngx.rktmb.org/foo' I used to build my angular apps through Bamboo or Jenkins and they have a "npm" plugin. I got the habit to build the application with "npm run build" before deploying it. But the development team once asked me to set the "--base-href='https://ngx.rktmb.org/foo'" parameter. npm run build --base-href='https://ngx.rktmb.org/foo did not set the base href in indext.html After looking for a while, I found https://github.com/angular/angular-cli/issues/13560 where it says: You need to use −− to pass arguments to npm scripts. This did the job! The command to issue is then: npm run build -- --base-href='https://ngx.rktmb.org/foo...
Read more

wget maven ntlm proxy

How to make wget, curl and Maven download behind an NTLM Proxy Working on CentOS, behind an NTLM proxy: yum can deal without problem with a NTLM Proxy wget, curl and Maven cannot The solution is to use " cntlm ". " cntlm " is a NTLM client for proxies requiring NTLM authentication. How it works Install "cntlm" Configure "cntlm"  by giving it your credentials by giving it the NTLM Proxy Start "cntlm" deamon (it listens to "127.0.0.1:3128") Configure wget, curl and Maven to use "cntlm" instead of using directly the NTLM Proxy Note: You will have then a kind of 2 stages Proxy : cntlm + the NTLM proxy Configure CNTLM After installing cntlm, the configuration file is in "cntlm.conf". You must have your domain (in the Windows meaning), proxy login and  proxy password. Mine are respectively: rktmb.org, mihamina, 1234abcd (yes, just for the example) You must have you NTLM Proxy Hostnama or IP ...
Read more

VMWare Keyboard Latency

Workstation VM UI lag when typing When using a VMWare Workstation VM, I noticed there is a latency when typing in the keyboard and the real appearance of the typed character. I searched and found: Noticeable typing lag in Linux VM terminals since v16.2 upgrade on Linux host To make it short, what solved it for me: Disable 3D acceleration in the VM setting .
Read more