Configurando um servidor LDAP para autenticação de estações Linux
Configurando o servidor
Para configurar um servidor LDAP é importante saber o endereço de IP e o nome de domínio do servidor. Instale o pacote slapd, que é o servidor LDAP, e ldap-utils, uma ferramenta que auxiliará ao adicionar, remover e pesquisar na base dados.
sudo apt-get install db4.2-util slapd ldap-utils
Edite o arquivo /etc/ldap/slapd.conf e escolha um dc para seu servidor. A seguir um exemplo do mínimo necessário em nosso servidor.
# This is the main slapd configuration file. See slapd.conf(5) for more
# info on the configuration options.
#######################################################################
# Global Directives:
# Features to permit
#allow bind_v2
# Schema and objectClass definitions
include /etc/ldap/schema/core.schema
include /etc/ldap/schema/cosine.schema
include /etc/ldap/schema/nis.schema
include /etc/ldap/schema/inetorgperson.schema
include /etc/ldap/schema/autofs.schema
# Schema check allows for forcing entries to
# match schemas for their objectClasses's
schemacheck on
# Where the pid file is put. The init.d script
# will not stop the server if you change this.
pidfile /var/run/slapd/slapd.pid
# List of arguments that were passed to the server
argsfile /var/run/slapd.args
# Read slapd.conf(5) for possible values
loglevel 0
# Where the dynamically loaded modules are stored
modulepath /usr/lib/ldap
moduleload back_ldbm
database ldbm
# The base of your directory for database #2
suffix "dc=maquina,dc=dominio,dc=com"
rootdn "cn=admin,dc=maquina,dc=dominio,dc=com"
# Cleartext passwords, especially for the rootdn, should
# be avoided. See slappasswd(8) and slapd.conf(5) for details.
# Use of strong authentication encouraged.
# Root password can be created with:
# perl -e "print crypt(thisp, ac,)" > pass.txt
# rootpw thisp
rootpw {crypt}acunRNwFPEdHQ
directory "/var/lib/ldap"
index objectClass eq
lastmod on
replogfile /var/lib/ldap/replog
access to attr="userPassword"
by dn="cn=admin,dc=sdmc213,dc=interlegis,dc=gov,dc=br" write
by self write
by anonymous auth
by * none
access to *
by self
by dn="cn=admin,dc=sdmc213,dc=interlegis,dc=gov,dc=br" write
by * read
Configurando a estrutura de diretórios do servidor
Para poder popular o servidor, é necessária uma estrura de diretórios. Crie um arquivo base.ldif:
# Raiz dn: dc=maquina,dc=dominio,dc=com objectclass: organization objectclass: dcObject o: maquina.dominio.com dc: maquina #O administrador dn: cn=admin, dc=dominio, dc=maquina, dc=com objectclass: organizationalRole cn: admin #Nó onde ficaram as pessoas dn: ou=People, dc=maquina, dc=dominio, dc=com ou: People objectclass: organizationalUnit #Nó onde ficaram os grupos dn: ou=group, dc=maquina, dc=dominio, dc=com ou: group objectclass: organizationalUnit
Adicione o arquivo:
ldapadd -x -D 'cn=admin,dc=maquina,dc=dominio,dc=com' -W -f init.ldif
Inserindo clientes no servidor
Para inserir clientes, crie o arquivo usuario.ldif:
dn: uid=usuario1,ou=People,dc=maquina,dc=dominio,dc=com
uid: usuario1
cn: usuario1
sn: usuario1
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
userPassword: {crypt}$1$h5hlRKLa$FoFL9sTtO0RxL8rqAh1Z40
shadowLastChange: 13070
shadowMax: 99999
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 1200
gidNumber: 1200
homeDirectory: /home/LDAP/usuario1
Adicione o usuário:
ldapadd -x -D 'cn=admin,dc=maquina,dc=dominio,dc=com' -W -f usuario.ldif
O campo userPassword deve possuir alguma criptografia, por questões de segurança. Para gerar arquivos ldif com senha criptografada utilize algum aplicativo utilitário, o arquivo acima foi gerado utilizando o pacote migrationtools. Utilize o comando
perl -e "print crypt(thisp, ac,)" > pass.txt
Para obter apenas a senha criptografada. thisp é a senha desejada para criptografar e ac são quaisquer dois caracteres.
Também é recomendado o uso de phpLdapAdmin, excelente ferramenta livre que além criptografar a senha dos usuários, ela administra toda a sua base de dados LDAP.
É necessário adicionar o grupo do usuário, para isso crie o arquivo group.ldif:
dn: cn=ldap,ou=Group,dc=maquina,dc=dominio,dc=com
objectClass: posixGroup
objectClass: top
cn: ldap
userPassword: {crypt}x
gidNumber: 1200
E adicione na sua base de dados.
Configurando o NFS no servidor
É necessária a exportação do diretório /home/LDAP/. Para isso deve-se configurar o NFS. Instale o servidor:
sudo apt-get install nfs-kernel-server
Edite as exportações, inserindo no arquivo /etc/exports
/home/LDAP 10.*.*.*(rw,async)
Nesse caso o servidor esta configurado para exportar o diretório (/home/LDAP) para toda rede interna (10.*.*.*) com acesso de leitura e escrita assíncrono(rw,async). Configure adaptando a sua situação.
Reinicie o serviço:
/etc/init.d/portmap restart
/etc/init.d/nfs-kernel-server restart
Sobre o autofs
Para a exportação utilizaremos exportação sob demanda. Se todo o diretorio /home/LDAP fosse exportado pelo servidor e fosse inserido no arquivo /etc/fstab a linha:
server:/home/ldap /home/ldap nfs rsize=8192,wsize=8192,timeo=14,intr
Toda a pasta seria importada pelo cliente, o que geraria um sobrecarregamento da rede. Para melhorar esse sistema, a exportação sob demanda importa apenas o necessário. Utiliza-se o autofs para essa finalidade.
Um mapeamento é necessário para o autofs, assim o servidor exporta toda a pasta /home/LDAP/, os usuários através do mapeamento sabem como os diretórios estão compostos nessa pasta e pedem ao servidor apenas a pasta necessária. Por default os arquivos do mapeamento são configurados em /etc/auto.master (instalado com o pacote autofs) mas para isso seria necessário copiar o arquivo para cada estação de trabalho e além disso seria necessário copiar o conteúdo desse arquivo para cada estação de trabalho toda vez que um usuário fosse inserido. Para melhorar o sistema, usa-se o ldap para ser o servidor de mapeamento do autofs. A situação final é: o servidor exporta a pasta /home/LDAP e exporta também o mapeamento. Os clientes são informados do mapeamento e montam apenas a sua pasta pessoal.
Instale os pacotes:
sudo apt-get install autofs autofs-ldap
No servidor, inclua o esquema autofs no arquivo /etc/ldap/slapd.conf
include /etc/ldap/schema/autofs.schema
Reinicie o servidor:
sudo /etc/init.d/slapd restart
Crie um arquivo automountbase.ldif com as entradas do mapeamento:
dn: ou=auto.master,dc=maquina,dc=dominio,dc=com objectClass: top objectClass: automountMap ou: auto.master dn: ou=auto.home,dc=maquina,dc=dominio,dc=com objectClass: top objectClass: automountMap ou: auto.home dn: cn=/home/LDAP/, ou=auto.master,dc=maquina,dc=dominio,dc=com objectClass: automount automountInformation: ldap:ou=auto.home,dc=maquina,dc=dominio,dc=com --timeout 60 cn: /home/LDAP/
ldapadd -x -D 'cn=admin,dc=maquina,dc=dominio,dc=com' -W -f automountbase.ldif
Essas são as estruturas de diretórios básicas do mapeamento. Popule o servidor com alguns clientes:
dn: cn=usuario1,ou=auto.home,dc=maquina,dc=dominio,dc=com objectClass: automount automountInformation: -rw,hard,intr,rsize=1024,wsize=1024 servidor:/home/LDAP/usuario1 cn: LDAP dn: cn=usuario2,ou=auto.home,dc=maquina,dc=dominio,dc=com objectClass: automount automountInformation: -rw,hard,intr,rsize=1024,wsize=1024 servidor:/home/LDAP/usuario2 cn: usuario2
Adicione o arquivo criado. Os campos automountinformation possuem as informações para os clientes montarem suas pastas pessoais.
Procure as melhores opções de montagem para sua rede. rwsize=8192,wsize=8192 podem ser mais rápidos para algumas placas de rede, mas podem causar inatividade em outras mais antigas. É recomendado o uso das opções acima, para aprender mais saiba como configurar e otimizar o NFS
Referências:
- Linuxcourse - Practical Exercizes
- LDAP Tutorial
- Quick Guide to LDAP
- Using OpenLDAP
- A Quick-Start Guide to Running slapd
Veja como configurar os clientes em: ComoConfigurarSistemaDeLogin
Veja como manter seu sistema de login: MantendoSistemaLdap
