共计 6826 个字符,预计需要花费 18 分钟才能阅读完成。
前言
简要介绍:在 LDAP 和 FTP 相关技术的基础上,提出一套基于 LDAP 和 FTP 技术的统一身份认证方案和账号管理系统方案,解决 FTP 系统的统一认证、访问控制和 B / S 模式下 FTP 账号管理等问题。
LDAP(Lightweight Directory Access Protocol)是一种基于 X.500 标准的跨平台的轻量级目录访问协议。它运行在 TCP/IP 协议上,对 Internet 有着良好的支持性,采用树状的层次结构来存储数据,具有数据读取速度快,管理方便等特点。LDAP 多用于构建统一身份认证系统,集中管理应用信息系统的账号,实现统一用户管理、身份认证、访问控制等功能;可解决多应用系统用户的统一管理、统一认证和统一授权;有助于减少数据冗余,提高数据安全和便于用户操作。
OpenLDAP:OpenLDAP 是一款开源的 LDAP 目录服务产品,可以运行于 Linux,Uinx 等操作系统。其设计目的是提供一种高效、安全的方法来查询和管理数据。通过使用 SASL,SSL 来支持强度认证和提供完整性与安全保护,通过使用丰富的功能强大的存取控制手段来控制对权限的操作。
认证机制与流程
VSFTP 与 LDAP 集中认证,主要通过 LDAP 使用 vsftpd.schema 定义 VSFTP 的各项属性,并将 FTP 账号信息存入 LDAP 数据库中,当用户向 FTP 服务器请求认证时,FTP 服务器将认证工作交由 LDAP 服务器处理。
1.FTP 用户请求连接并发送账号认证信息。
2.FTP 服务器根据 pure-ftpd.conf 中配置将用户帐号信息转发到 LDAP 服务器验证。
3.LDAP 服务器验证账号密码。
4.LDAP 服务器返回验证信息和账号信息(FTPStatus 等属性)。
5.FTP 服务器根据 LDAP 返回信息对用户授权(是否允许连接)。
6.FTP 服务器向用户返回授权结果。
1. 初始化准备
系统:centos7 65 位
配置 yum 源
wget http://mirrors.aliyun.com/repo/Centos-7.repo | |
cp Centos-7.repo /etc/yum.repos.d/ | |
cd /etc/yum.repos.d/ | |
mv CentOS-Base.repo CentOS-Base.repo.bak | |
mv Centos-7.repo CentOS-Base.repo | |
yum clean all | |
yum makecache |
关闭 selinux 和防火墙
sed -i‘/SELINUX/s/enforcing/disabled/’/etc/selinux/config && setenforce 0&& systemctl disable firewalld.service && systemctl stop firewalld.service && shutdown -r now
2. 安装 openldap
使用如下命令安装
yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel migrationtools pam_ldap
查看版本
[root@centos-linux1810 ~]# slapd -VV | |
@(#) $OpenLDAP: slapd 2.4.44 (Oct 30 2018 23:14:27) $ | |
mockbuild@x86-01.bsys.centos.org:/builddir/build/BUILD/openldap-2.4.44/openldap-2.4.44/servers/slapd |
3. 配置 openldap
3.1 设置 OpenLDAP 的管理员密码
slappasswd -s 123456
保存输出后的字段,等会会在配置文件中会使用到。
3.2 修改 olcDatabase={2}hdb.ldif 文件
vim /etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif
修改如下两行内容,并增加一行
olcSuffix: dc=myldap,dc=com | |
olcRootDN: cn=Manager,dc=myldap,dc=com | |
olcRootPW: {SSHA}SWksXFfh42io+UQqEgWXvc/OQzvjeEcJ |
注意:其中 cn=Manager 中的 Manager 表示 OpenLDAP 管理员的用户名,而 olcRootPW 表示 OpenLDAP 管理员的密码
3.3 修改 olcDatabase={1}monitor.ldif 文件
vim /etc/openldap/slapd.d/cn=config/olcDatabase={1}monitor.ldif
修改如下内容
olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=extern | |
al,cn=auth"read by dn.base="cn=Manager,dc=myldap,dc=com" read by * none |
注意:该修改中的 dn.base 是修改 OpenLDAP 的管理员的相关信息的
验证 OpenLDAP 的基本配置,使用如下命令:
slaptest -u
通过上述命令,我们可以很明显的看出 OpenLDAP 的基本配置是没有问题。
启动 OpenLDAP 服务,使用如下命令:
systemctl enable slapd | |
systemctl start slapd | |
systemctl status slapd |
OpenLDAP 默认监听的端口是 389,下面我们来看下是不是 389 端口,如下:
netstat -tpln | grep 389
3.4. 配置 OpenLDAP 数据库
OpenLDAP 默认使用的数据库是 BerkeleyDB,现在来开始配置 OpenLDAP 数据库,使用如下命令:
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG | |
chown ldap:ldap -R /var/lib/ldap | |
chmod 700 -R /var/lib/ldap |
注意:/var/lib/ldap/ 就是 BerkeleyDB 数据库默认存储的路径。
3.5. 导入基本 Schema
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif | |
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif | |
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif |
3.6. 修改 migrate_common.ph 文件
vim /usr/share/migrationtools/migrate_common.ph
$DEFAULT_MAIL_DOMAIN = "myldap.com"; | |
$DEFAULT_BASE = "dc=myldap,dc=com"; | |
$EXTENDED_SCHEMA = 1; |
到此 OpenLDAP 的配置就已经全部完毕,下面我们来开始添加用户到 OpenLDAP 中。
4. 添加用户及用户组
默认情况下 OpenLDAP 是没有普通用户的,但是有一个管理员用户。管理用户就是前面我们刚刚配置的 root。
现在我们把系统中的用户,添加到 OpenLDAP 中。为了进行区分,我们现在新加两个用户 ldapuser1 和 ldapuser2,和两个用户组 ldapgroup1 和 ldapgroup2,如下:
添加用户组,使用如下命令:
groupadd ldapgroup1 | |
groupadd ldapgroup2 |
添加用户并设置密码,使用如下命令
useradd -g ldapgroup1 ldapuser1 | |
useradd -g ldapgroup2 ldapuser2 | |
echo‘123456’| passwd –-stdin ldapuser1 | |
echo‘123456’| passwd –-stdin ldapuser2 |
把刚刚添加的用户和用户组提取出来,这包括该用户的密码和其他相关属性,如下
grep“:10[0-9][0-9]”/etc/passwd > /root/users | |
grep“:10[0-9][0-9]”/etc/group > /root/groups |
根据上述生成的用户和用户组属性,使用 migrate_passwd.pl 文件生成要添加用户和用户组的 ldif,如下:
/usr/share/migrationtools/migrate_passwd.pl /root/users > /root/users.ldif | |
/usr/share/migrationtools/migrate_group.pl /root/groups > /root/groups.ldif | |
cat users.ldif | |
cat groups.ldif |
注意:后续如果要新加用户到 OpenLDAP 中的话,我们可以直接修改 users.ldif 文件即可。
5. 导入用户及用户组到 OpenLDAP 数据库
配置 openldap 基础的数据库,如下:cat base.ldif
dn: dc=myldap,dc=com | |
dc: myldap | |
objectClass: top | |
objectClass: domain | |
dn: cn=Manager,dc=myldap,dc=com | |
cn: Manager | |
objectClass: organizationalRole | |
description: Directory Manager | |
dn: ou=People,dc=myldap,dc=com | |
ou: People | |
objectClass: top | |
objectClass: organizationalUnit | |
dn: ou=Group,dc=myldap,dc=com | |
ou: Group | |
objectClass: top | |
objectClass: organizationalUnit |
导入基础数据库,使用如下命令:
ldapadd -x -w "123456" -D "cn=Manager,dc=myldap,dc=com" -f /root/base.ldif
导入用户到数据库,使用如下命令:
ldapadd -x -w "123456" -D "cn=Manager,dc=myldap,dc=com" -f /root/users.ldif
导入用户组到数据库,使用如下命令
ldapadd -x -w "123456" -D "cn=Manager,dc=myldap,dc=com" -f /root/groups.ldif
6. 把 OpenLDAP 用户加入到用户组
尽管我们已经把用户和用户组信息,导入到 OpenLDAP 数据库中了。但实际上目前 OpenLDAP 用户和用户组之间是没有任何关联的。
如果我们要把 OpenLDAP 数据库中的用户和用户组关联起来的话,我们还需要做另外单独的配置。
现在我们要把 ldapuser1 用户加入到 ldapgroup1 用户组,需要新建添加用户到用户组的 ldif 文件,如下:
cat users_to_groups.ldif
dn: cn=ldapgroup1,ou=Group,dc=myldap,dc=com | |
changetype: modify | |
add: memberuid | |
memberuid: ldapuser1 |
ldapadd -x -w "123456" -D "cn=Manager,dc=myldap,dc=com" -f /root/users_to_groups.ldif
查询添加的 OpenLDAP 用户组信息,如下:
ldapsearch -LLL -x -D 'cn=Manager,dc=myldap,dc=com' -w "123456" -b 'dc=myldap,dc=com' 'cn=ldapgroup1'
7. 开启 OpenLDAP 日志访问功能
默认情况下 OpenLDAP 是没有启用日志记录功能的,但是在实际使用过程中,我们为了定位问题需要使用到 OpenLDAP 日志。
新建日志配置 ldif 文件,如下:
cat loglevel.ldif
dn: cn=config | |
changetype: modify | |
replace: olcLogLevel | |
olcLogLevel: stats |
导入到 OpenLDAP 中,并重启 OpenLDAP 服务,如下:
ldapmodify -Y EXTERNAL -H ldapi:/// -f /root/loglevel.ldif | |
systemctl restart slapd |
修改 rsyslog 配置文件,并重启 rsyslog 服务,如下:
vim /etc/rsyslog.conf
local4.* /var/log/slapd.log | |
systemctl restart rsyslog |
8. 安装和配置 LDAP 管理工具 PHPldapadmin
首先安装 apache 和 php
yum -y install httpd php php-ldap php-gd php-mbstring php-pear php-bcmath php-xml
下载安装包 phpldapadmin-1.2.3.tgz
tar zxvf phpldapadmin-1.2.3.tgz | |
cp -r phpldapadmin-1.2.3 /var/www/html/ | |
cd /var/www/html/ | |
mv phpldapadmin-1.2.3 phpldapadmin | |
cd phpldapadmin/config/ | |
cp config.php.example config.php |
vim config.php
$servers = new Datastore(); | |
$servers->newServer('ldap_pla'); | |
$servers->setValue('server','name','My LDAP Server'); | |
$servers->setValue('server','host','10.211.55.37'); | |
$servers->setValue('server','port',389); | |
$servers->setValue('server','base',array('dc=myldap,dc=com')); | |
$servers->setValue('login','auth_type','session'); | |
$servers->setValue('login','bind_id','cn=Manager,dc=myldap,dc=com'); | |
$servers->setValue('login','bind_pass','123456'); | |
$servers->setValue('server','tls',false); |
启动 httpd,登陆 phpldapadmin, 在浏览器输入
systemctl start httpd
http://10.211.55.37/phpldapadmin
9. 配置 vsftpd
yum install -y vsftpd
vim /etc/nslcd.conf
uri ldap://10.211.55.37/ | |
base dc=myldap,dc=com | |
ssl no |
重启 nslcd 服务
systemctl restart nslcd
修改 ldap.conf
vim /etc/openldap/ldap.conf
host 10.211.55.37 | |
BASE dc=myldap,dc=com | |
URI ldap://10.211.55.37 | |
binddn cn=Manager,dc=myldap,dc=com | |
bindpw 123456 |
vim /etc/pam.d/vsftpd
添加以下两行
auth required pam_ldap.so | |
account required pam_ldap.so |
修改 vsftpd 配置文件 vim /etc/vsftpd/vsftpd.conf
anonymous_enable=NO | |
local_enable=YES | |
write_enable=YES | |
local_umask=022 | |
anon_upload_enable=YES | |
anon_mkdir_write_enable=YES | |
dirmessage_enable=YES | |
xferlog_enable=YES | |
connect_from_port_20=YES | |
xferlog_std_format=YES | |
chroot_local_user=YES | |
listen=YES | |
listen_ipv6=NO | |
pam_service_name=vsftpd | |
userlist_enable=YES | |
tcp_wrappers=YES | |
guest_enable=YES | |
guest_username=ftp | |
local_root=/opt/ftpdata | |
allow_writeable_chroot=YES |
systemctl restart vsftpd