So verwenden Sie LDIF-Dateien, um Änderungen an einem OpenLDAP-System vorzunehmen

Die grundlegendste Methode zum Definieren neuer Einträge zum Hinzufügen zu LDAP besteht darin, die Einträge einfach in ihrer Gesamtheit aufzulisten, genau so, wie sie normalerweise mit LDAP-Tools angezeigt würden. Dies beginnt mit dem DN (Distinguished Name), in dem der Eintrag nach dem Indikatordn:erstellt wird:

In der obigen Zeile verweisen wir auf einige Schlüssel-Wert-Paare, um den DN für unseren neuen Eintrag zu erstellen. Bei den Attributwerten vonsettingmüssen Sie den Doppelpunkt und das Leerzeichen verwenden. Beireferencing Attributen / Werten sollte stattdessen ein Gleichheitszeichen verwendet werden.

Im einfachsten LDIF-Format zum Hinzufügen von Einträgen zu einer DIT wird der Rest des Eintrags einfach unter Verwendung dieses Formats unter der DN-Definition ausgeschrieben. Die erforderlichen objectClass-Deklarationen und -Attribute müssen festgelegt werden, um einen gültigen Eintrag zu erstellen. Um beispielsweise eine Organisationseinheit zu erstellen, die die Einträge für die Mitarbeiter unserer Organisation enthält, könnten wir Folgendes verwenden:

Sie können mehrere Einträge in eine einzelne Datei einfügen. Jeder Eintrag muss durch mindestens eine vollständig leere Zeile getrennt sein:

Wie Sie sehen, spiegelt dieses LDIF-Format fast genau das Format wider, das Sie beim Abfragen eines LDAP-Baums nach Einträgen mit diesen Informationen sehen würden. Sie können so ziemlich einfach schreiben, was der Eintrag wörtlich enthalten soll.

Das zweite Format, das wir betrachten werden, funktioniert gut, wenn Sie andere Änderungen in derselben LDIF-Datei vornehmen. OpenLDAP bietet Tools, die sowohl Hinzufügungen als auch Änderungen verarbeiten können. Wenn wir also andere Einträge in derselben Datei ändern, können wir unsere neuen Einträge als Hinzufügungen kennzeichnen, damit sie ordnungsgemäß verarbeitet werden.

Dies ähnelt der obigen Methode, aber wir fügenchangetype: add direkt unter der DN-Spezifikation hinzu. Zum Beispiel könnten wir einem DIT, der bereits die Struktur vonou=People,dc=example,dc=comenthält, einen John Smith-Eintrag hinzufügen, indem wir ein LDIF wie folgt verwenden:

Dies ist im Grunde das Format, in dem wir bisher Einträge beschrieben haben, mit Ausnahme einer zusätzlichen Zeile nach der DN-Angabe. Hier teilen wir LDAP mit, dass die Änderung, die wir vornehmen, eine Eintragserstellung ist. Da wir die Optionchangetype verwenden, kann dieser Eintrag problemlos vom Toolldapmodifyverarbeitet werden, sodass wir Änderungen anderer Typen in derselben LDIF-Datei ablegen können. Die Optionchangetype muss unmittelbar nach der DN-Spezifikation kommen.

Eine andere Sache, die oben zu beachten ist, ist die Verwendung eines mehrzeiligen Wertes für das Attributdescription. Da die folgenden Zeilen mit einem Leerzeichen beginnen, werden sie mit dem entfernten Leerzeichen verbunden. Unsere erste Fortsetzungszeile in unserem Beispiel enthält ein zusätzliches Leerzeichen, das jedoch Teil des Satzes selbst ist und die Wörter „Projekt“ und „Manager“ voneinander trennt.

Wie im letzten Abschnitt wird jeder weitere Eintrag in derselben Datei durch eine Leerzeile getrennt. Kommentare können verwendet werden, indem die Zeile mit einem#-Zeichen begonnen wird. Kommentare müssen in einer eigenen Zeile stehen. Wenn wir zum Beispiel Sally in dieselbe LDIF-Datei einfügen möchten, können wir die beiden Einträge wie folgt trennen:

Nachdem wir nun wissen, wie man LDIF-Dateien erstellt, um neue Einträge hinzuzufügen, müssen wir diese mit LDAP-Tools verarbeiten, um sie dem DIT hinzuzufügen. Das Werkzeug und / oder die Argumente, die Sie verwenden, hängen von der oben ausgewählten Form ab.

Wenn Sie das einfache Eingabeformat verwenden (ohne die Einstellungchangetype), können Sie den Befehlldapadd oder den Befehlldapmodify mit dem Flag-a verwenden, das einen Eintrag angibt Zusatz. Sie müssen entweder eine SASL-Methode verwenden, um sich bei der LDAP-Instanz zu authentifizieren (dies liegt außerhalb des Bereichs dieses Handbuchs), oder sich an ein Administratorkonto in Ihrer DIT binden und das erforderliche Kennwort angeben.

Wenn wir beispielsweise unsere Einträge aus dem einfachen Eintragsabschnitt in einer Datei namensnewgroups.ldif speichern würden, würde der Befehl, den wir zum Verarbeiten der Datei und zum Hinzufügen der neuen Einträge benötigen würden, ungefähr so ​​aussehen:

Sie können auch die Kombinationldapmodify -afür dasselbe Ergebnis verwenden:

Wenn Sie das Formatsecond mit der Deklarationchangetype verwenden, möchten Sie den Befehlldapmodify ohne das Flag-a verwenden. Da dieser Befehl und dieses Format für die meisten anderen Änderungen verwendet werden können, ist die Verwendung für die meisten Änderungen wahrscheinlich einfacher. Wenn wir die beiden neuen Benutzerzusätze in einer Datei namensnewusers.ldif speichern, können wir sie zu unserer vorhandenen DIT hinzufügen, indem wir Folgendes eingeben:

Auf diese Weise können Sie Ihrem DIT nach Belieben Einträge hinzufügen. Sie können problemlos viele Einträge in einer einzigen LDIF-Datei speichern und Ihre DIT mit einem einzigen Befehl füllen.

Sie können beispielsweise ein Attribut hinzufügen, indem Sie den Befehladd: nachchangetype: modify verwenden. Dies sollte das Attribut angeben, das Sie hinzufügen möchten. Sie würden dann den Wert des Attributs wie normal einstellen. Das Grundformat wäre also:

Um beispielsweise einige E-Mail-Adressen zu unseren Konten hinzuzufügen, könnten wir eine LDIF-Datei haben, die so aussieht:

Wie Sie aus dem zweiten Eintrag ersehen können, können Sie mehrere Ergänzungen gleichzeitig angeben. Das Attributmail erlaubt mehrere Werte, daher ist dies zulässig.

Sie können dies wie gewohnt mitldapmodify verarbeiten. Wenn sich die Änderung in der Dateisbrownaddmail.ldif befindet, können Sie Folgendes eingeben:

Eine weitere häufige Änderung besteht darin, den vorhandenen Wert für ein Attribut zu ändern. Wir können dies mit der Optionreplace: unterchangetype: modify tun.

Dies funktioniert fast genauso wie der Befehladd:, entfernt jedoch standardmäßig jedes vorhandene Vorkommen des Attributs aus dem Eintrag und ersetzt es durch die anschließend definierten Werte. Wenn wir beispielsweise feststellen, dass unser letzter Befehladd:eine falsche E-Mail-Adresse hatte, können wir ihn mit dem Befehlreplacewie folgt ändern:

Beachten Sie, dass dies dieevery-Instanz vonmail im Eintrag ersetzt. Dies ist wichtig für mehrwertige Attribute, die mehr als einmal pro Eintrag definiert werden können (z. B.mail). Wenn Sie nur ein einzelnes Vorkommen eines Attributs ersetzen möchten, sollten Sie die Option des Attributsdelete:(siehe unten) in Kombination mit der Option des Attributsadd:(siehe oben) verwenden.

Wenn diese Änderung in einer Datei namenssbrownchangemail.ldif gespeichert wurde, können wir Sallys E-Mail ersetzen, indem wir Folgendes eingeben:

Wenn Sie ein Attribut aus einem Eintrag entfernen möchten, können Sie den Befehldelete: verwenden. Sie geben das zu löschende Attribut als Wert der Option an. Wenn Sie eine bestimmte Instanz des Attributs löschen möchten, können Sie in der folgenden Zeile das bestimmte Vorkommen des Schlüsselwertattributs angeben. Andernfalls wird jedes Vorkommen dieses Attributs im Eintrag entfernt.

Dies würde beispielsweise jedes Beschreibungsattribut in John Smiths Eintrag löschen:

Dies würde jedoch nur die angegebene E-Mail löschen:

Da wir John zuvor zwei E-Mail-Adressen gegeben haben, sollte die andere E-Mail-Adresse durch diese Anfrage unverändert bleiben.

Wenn diese Änderungen in Dateien mit den Namenjsmithrmdesc.ldif undjsmithrmextramail.ldif enthalten wären, könnten wir sie anwenden, indem wir Folgendes eingeben:

Dies ist ein guter Zeitpunkt, um über das gleichzeitige Angeben mehrerer Attributänderungen zu sprechen. Für einen einzelnen Eintrag in einer LDIF-Datei können Sie mehrere Attributänderungen angeben, indem Sie sie durch eine Zeile trennen, die nur mit dem Zeichen-gefüllt ist. Nach dem Trennzeichen muss der Attributänderungstyp angegeben und die erforderlichen Attribute angegeben werden.

Beispielsweise könnten wir Johns verbleibendes E-Mail-Attribut löschen, seinen Namen in "Johnny Smith" ändern und seinen Speicherort hinzufügen, indem wir eine Datei mit folgendem Inhalt erstellen:

Um all diese Änderungen in einem Befehl anzuwenden, verwenden wir dasselbeldapmodify-Format, das wir die ganze Zeit verwendet haben:

Nehmen wir an, wir haben Sallys Benutzernamen falsch eingegeben, als wir ihn zum ersten Mal in das System eingegeben haben. Da dies im DN des Eintrags verwendet wird, kann es nicht einfach durch die Optionenchangetype: modify undreplace:ersetzt werden, da die RDN des Eintrags ungültig wäre. Wenn ihr wirklicher Benutzernamesbrown200 ist, können wir den DN des Eintrags ändern und dabei alle erforderlichen Attribute mit einer LDIF-Datei wie der folgenden erstellen:

Wir könnten diese Änderung mit diesem Befehl anwenden:

Dies würde den kompletten Eintrag ungefähr so ​​aussehen lassen:

Wie Sie sehen, wurde Ihr DM angepasst, um das neue Attribut / Wert-Paar zu verwenden. Das Attribut wurde dem Eintrag hinzugefügt, um dies zu ermöglichen.

Sie haben im obigen Beispiel möglicherweise zwei Dinge bemerkt. Zuerst setzen wir eine Option namensdeleteoldrdn auf "0". Zweitens hat der resultierende Eintrag sowohluid: sbrown20 als auchuid: sbrown200.

Die Optiondeleteoldrdn muss festgelegt werden, wenn der DN eines Eintrags geändert wird. Wenn Siedeleteoldrdn auf "0" setzen, behält LDAP das im DN verwendete alte Attribut neben dem neuen Attribut im Eintrag bei. Manchmal ist es das, was Sie möchten, aber oft möchten Sie das alte Attribut vollständig aus dem Eintrag entfernen, nachdem sich der DN geändert hat. Sie können dies tun, indem Sie stattdessendeleteoldrdn auf „1“ setzen.

Stellen wir uns vor, wir hätten erneut einen Fehler gemacht und Sallys tatsächlicher Benutzername istsbrown2. Wir könnendeleteoldrdn auf "1" setzen, um die Instanz vonsbrown200, die derzeit im DN verwendet wird, aus dem Eintrag nach dem Umbenennen zu entfernen. Wir werden ein zusätzliches Paarchangetype: modify unddelete: einfügen, um den anderen streunenden Benutzernamensbrown20 zu entfernen, da wir diesen beim ersten Umbenennen beibehalten haben:

Wenden Sie die Datei folgendermaßen an:

Diese Kombination fügt mit der Änderung keinen neuen Benutzernamen hinzu (sbrown200 wird entfernt), und die zweite Eintragsänderung entfernt den ursprünglichen Wert des Benutzernamens (sbrown20).

Wenn Sie den Eintrag an einen neuen Speicherort verschieben müssen, ist die Optionnewsuperior: eine zusätzliche Einstellung fürchangetype: modrdn. Wenn Sie diese Option verwenden, können Sie eine neue Position auf dem DIT angeben, an die der Eintrag verschoben werden soll. Dadurch wird der Eintrag während der Änderung unter dem angegebenen übergeordneten DN platziert.

Wenn wir beispielsweise Sally unter den Eintragou=superusersverschieben möchten, können wir diesen Eintrag hinzufügen und sie dann durch Eingabe von: dorthin verschieben.

Angenommen, dies wird in einer Datei namensmksuperuser.ldif gespeichert, könnten wir die Änderungen wie folgt anwenden:

Dies führt zu einem Umzug und niemals zu einer Kopie.

In diesem Fall wollten wir die RDN des Eintrags nicht ändern, daher setzen wir den Wert vonnewrdn:auf den gleichen Wert, den er derzeit hat. Wir könnten uns aber auch während des Umzugs leicht umbenennen, wenn wir es wünschen. In diesem Fall ist die Einstellungnewsuperior:die einzige Zeile der zweiten Änderung, die sich tatsächlich auf den Status des Eintrags auswirkt.