LDAP - Как установить и настроить клиент OpenLDAP на Ubuntu/Debian

[ya]

LDAP - Как установить и настроить клиент OpenLDAP на Ubuntu/Debian

установим новое имя для хоста клиента

Код: Выделить всё

hostnamectl set-hostname ldapclient

добавим клиента и сервера в /etc/hosts

Код: Выделить всё

# Сервер
192.168.84.152  ldap1.ph.local ldap1
# Клиент
192.168.84.134  ldapclient.ph.local ldapclient

Соответственно на сервере в /etc/hosts должна быть запись

Код: Выделить всё

# Сервер
192.168.84.152  ldap1.ph.local ldap1

Проверяем короткое имя на клиенте командой hostname
ldapclient
Проверяем длинное имя на клиенте командой hostname -f
ldapclient.ph.local

Проверяем на сервере запущенную службу slapd и приступаем к установке необходимых пакетов на клиенте

Код: Выделить всё

apt install libnss-ldap libpam-ldap ldap-utils nscd

При установке вышеуказанных пакетов появится запрос на ввод ип-адреса или хоста сервера, я введу имя хоста сервера

Код: Выделить всё

ldap://ldap1.ph.local

далее вводим имя базы корневого домена LDAP, то которое вы создали, я введу своё

Код: Выделить всё

dc=ph,dc=local

Версию протокола LDAP выберу 3
На запрос админских привилегий ввести

Код: Выделить всё

cn=admin,dc=ph,dc=local

Вводим пароль админа, который задан на сервере

nsswitch.conf не управляется автоматически
Чтобы пакет libnss-ldap работал, необходимо изменить файл /etc/nsswitch.conf для использования источника данных "ldap". Пример файла находится по адресу /usr/share/doc/libnss-ldap/examples/nsswitch.ldap, который можно использовать в качестве примера для настройки nsswitch, или скопировать его на вашу текущую настройку.
Также перед удалением этого пакета стоит удалить записи "ldap" из nsswitch.conf, чтобы сохранить работоспособность основных служб.


Эта опция позволит утилитам паролей, использующим PAM, изменять локальные пароли. │
Пароль учетной записи администратора LDAP будет храниться в отдельном файле, который будет доступен для чтения только root.
Если /etc монтируется по NFS, эта опция должна быть отключена.
Разрешить учетной записи администратора LDAP вести себя как локальный root?

Yes

Выберите, требует ли LDAP-сервер входа в систему перед получением записей.
Обычно такая настройка не требуется. │
Требуется ли вход в базу данных LDAP?

No

Введите имя административной учетной записи LDAP.
Эта учетная запись будет автоматически использоваться для управления базой данных, поэтому она должна обладать соответствующими административными привилегиями.
Административная учетная запись LDAP:

Код: Выделить всё

cn=admin,dc=ph,dc=local

[ya]

Конфигурирование клиента LDAP

Заменить в конфиге следующие строки

Код: Выделить всё

passwd:		files systemd
group:		files systemd
shadow:		files

нижеуказанными значениями
sudo mcedit /etc/nsswitch.conf

Код: Выделить всё

passwd:		compat systemd ldap
group:		compat systemd ldap
shadow:		compat

sudo mcedit /etc/pam.d/common-password
в строке

Код: Выделить всё

password        [success=1 user_unknown=ignore default=die]     pam_ldap.so use_authtok try_first_pass

удалить

Код: Выделить всё

use_authtok

В конфиг-файл /etc/pam.d/common-session добавить запись под рутом

Код: Выделить всё

echo 'session optional pam_mkhomedir.so skel=/etc/skel umask=077'  >> /etc/pam.d/common-session

Перезапускаем nscd

Код: Выделить всё

sudo systemctl restart nscd

Добавляем nscd в автозагрузку

Код: Выделить всё

sudo systemctl enable nscd

Убедитесь, что клиент LDAP может запрашивать сервер LDLAP с помощью команды ldapsearch

Код: Выделить всё

ldapsearch -x -H ldap://ldap1.ph.local -b "dc=ph,dc=local"

Тестирование из командной строки:

Код: Выделить всё

sudo login

ldapclient login: it01
Password:

[ya]

oddjob-mkhomedir - Oddjob helper which creates and populates home directories
Помощник Oddjob, который создает и заполняет домашние каталоги

Код: Выделить всё

sudo apt install oddjob-mkhomedir 

[ya]

Переконфигурирование метода аутентификации клиента

Код: Выделить всё

pam-auth-update --force

Переконфигурирование модуля авторизации LDAP на клиенте

Код: Выделить всё

dpkg-reconfigure libpam-ldap

[ya]

How to Configure LDAP Client to Connect External Authentication
https://www.tecmint.com/configure-ldap-client-to-connect-external-authentication/