Trabalhando com backend de configuração OpenLDAP 2.4 LDIF

Question

No OpenLDAP 2.4, a configuração foi movida para um backend do LDIF chamado cn=config . A documentação do OpenLDAP diz "você nunca deve editar qualquer um dos arquivos LDIF diretamente. As alterações de configuração devem ser realizadas via operações LDAP ...", mas não fornece detalhes adicionais.

Há muitas informações conflitantes e, para piorar, distros, como Redhat Linux e Ubuntu, têm configurações específicas.

    

Answer 1

Existem duas maneiras de editar o cn=config date: direta e indiretamente. O Indirect usa ferramentas ldap normais, como ldapmodify e ldapsearch, que fornecem a abordagem mais simples e lógica. No entanto, muitas distros usam o SASL para restringir o acesso apenas ao usuário root na caixa local . Supondo que você tenha uma instância pré-configurada, você pode facilmente mudar isso:

Ativando o acesso externo a cn = config

1. sudo -i / su -

2. Crie uma nova senha:

   slappasswd
   

3. Copiar resultado, incluindo "{SSHA}"

4. Prepare auth.ldif . Substitua olcRootPW com seu hash de senha do último comando

   dn: olcDatabase={0}config,cn=config
   changetype: modify
   replace: olcRootDN
   olcRootDN: cn=admin,cn=config 
   -
   replace: olcRootPW
   olcRootPW: {SSHA}jCMTRlz/iT4cw3CZno5z2PtCkJQbKrqK
   

5. Importar LDIF:

   ldapmodify -Y EXTERNAL -H ldapi:/// -f auth.ldif
   

6. Agora você pode se conectar externamente (supondo que tenha acesso à rede), usando qualquer cliente LDAP. Por exemplo,

   ldapsearch -b cn=config -D cn=admin,cn=config -H ldap://myldapserver -W
   

7. Configure o SSL o mais rápido possível!

Modo direto

No modo direto, você pode editar o banco de dados cn = config (e qualquer outro banco de dados), mesmo se slapd estiver inativo. Isso ocorre por meio do uso das ferramentas slapadd e slapcat . Você deve passar o sufixo do banco de dados. Por exemplo:

slapcat -b cn=config

IMHO, modo direto é melhor usado quando você sabe o LDIF exato que você precisa aplicar. Eu raramente faço isso, então eu costumo usar ferramentas LDAP normais para adicionar, substituir e excluir configurações em tempo real.