Comment configurer OpenLDAP et effectuer des tâches administratives LDAP

La gestion d’un système OpenLDAP peut s’avérer difficile si vous ne savez pas comment configurer votre système ni où trouver les informations importantes dont vous avez besoin. Dans ce guide, nous montrerons comment interroger votre serveur OpenLDAP pour obtenir des informations cruciales et comment modifier votre système en cours d’exécution.

Pour commencer, vous devez avoir accès à un système avec OpenLDAP installé et configuré. Vous pouvez apprendre à configurer un serveur OpenLDAP https://www.digitalocean.com/community/tutorials/how-to-install-and-configure-openldap-and-phpldapadmin-on-an-ubuntu-14-04- serveur [ici]. Vous devez être familiarisé avec la terminologie de base utilisée lorsque vous travaillez avec un service d’annuaire LDAP. Le guide peut vous aider à vous familiariser avec ces sujets.

Les systèmes LDAP organisent les données qu’ils stockent dans des structures hiérarchiques appelées * arborescence d’informations de répertoire * ou * DIT *. À partir de la version 2.3, la configuration réelle des serveurs OpenLDAP est gérée dans un DIT spécial, généralement associé à une entrée appelée + cn = config +.

Ce système de configuration est appelé configuration en ligne OpenLDAP ou * OLC *. Contrairement à la méthode de configuration obsolète, qui reposait sur la lecture des fichiers de configuration au démarrage du service, les modifications apportées à OLC sont immédiatement mises en œuvre et ne nécessitent souvent pas le redémarrage du service.

Le système OLC utilise des méthodes LDAP standard pour s’authentifier et apporter des modifications. De ce fait, la gestion des administrateurs LDAP chevronnés est souvent transparente, car ils peuvent utiliser les mêmes connaissances, compétences et outils qu’ils utilisent pour exploiter les fichiers DIT. Cependant, pour les débutants en LDAP, il peut s’avérer difficile de se lancer, car vous devrez peut-être savoir utiliser les outils LDAP pour configurer un environnement d’apprentissage.

Ce guide se concentrera sur l’apprentissage de l’administration OpenLDAP de base pour surmonter cette situation délicate et vous permettre de commencer à apprendre le LDAP et à gérer vos systèmes.

Nous allons commencer par parler d’une construction appelée DSE racine, qui contient tous les fichiers DIT individuels de notre serveur. Il s’agit en fait d’une entrée utilisée pour gérer toutes les DIT connues du serveur. En commençant par cette entrée, nous pouvons interroger le serveur pour voir comment il est organisé et pour savoir où aller ensuite.

Que signifie DSE?

Pour interroger la DSE racine, nous devons effectuer une recherche avec une base de recherche vide (null) et avec une étendue de recherche de «base». La portée de la recherche de base signifie que seule l’entrée donnée sera renvoyée. En règle générale, cela est utilisé pour limiter la profondeur de la recherche, mais lorsque vous utilisez la DSE racine, cela est requis (aucune information ne sera renvoyée si une autre étendue de recherche est sélectionnée).

La commande dont nous avons besoin est la suivante:

Nous supposons que vous effectuez cette opération à partir du serveur LDAP lui-même et que vous n’avez pas encore défini de restriction d’accès. Les résultats devraient ressembler à ceci:

Sortie DSE racine

Nous avons un peu tronqué la sortie. Vous pouvez voir les métadonnées importantes sur ce serveur LDAP. Nous verrons ce que certains de ces éléments veulent dire dans un instant. Pour le moment, nous allons examiner la commande qui a généré cette sortie.

La commande + -H ldap: // + est utilisée pour spécifier une requête LDAP non chiffrée sur l’hôte local. Le + -x + sans aucune information d’authentification indique au serveur que vous souhaitez une connexion anonyme. Nous lui indiquons l’étendue de la recherche et définissons la base de recherche sur null avec + -s base -b" "+. Nous supprimons certaines sorties superflues avec + -LLL +. Enfin, le " + " indique que nous voulons voir les attributs opérationnels qui seraient normalement masqués (c’est là que nous trouverons les informations dont nous avons besoin).

Maintenant que nous connaissons l’emplacement de la configuration DIT, nous pouvons l’interroger pour voir les paramètres actuels. Pour ce faire, nous devons en fait s’écarter légèrement du format que nous utilisions jusqu’à présent.

Comme ce DIT peut être utilisé pour modifier les paramètres de notre système LDAP, certains contrôles d’accès sont en place. Il est configuré, par défaut, pour autoriser l’administration des utilisateurs root ou + sudo + du système d’exploitation.

La commande dont nous avons besoin ressemble à ceci:

Pour que cela fonctionne, vous devez utiliser + sudo + avant la commande et remplacer le + -x + dans nos précédentes commandes + ldapsearch + par + +Y EXTERNAL + pour indiquer que nous souhaitons utiliser une méthode d’authentification SASL. . Vous devez également modifier le protocole + ldap: // + en + + ldapi: // + pour effectuer la requête sur une socket Unix. Cela permet à OpenLDAP de vérifier l’utilisateur du système d’exploitation, ce dont il a besoin pour évaluer les propriétés de contrôle d’accès. Nous utilisons ensuite l’entrée `+ cn = config + comme base de notre recherche.

Le résultat sera une longue liste de paramètres. Il peut être utile de le diriger vers un téléavertisseur afin que vous puissiez facilement faire défiler de haut en bas:

Vous pouvez voir qu’il y a beaucoup d’informations, qui peuvent être très difficiles à traiter. Cette commande imprimait l’arbre de configuration complet. Pour avoir une meilleure idée de la hiérarchie dans laquelle les informations sont organisées et stockées, imprimons à la place les différents DN d’entrée:

Ce sera une liste beaucoup plus gérable, montrant les titres d’entrée (DN) eux-mêmes au lieu de tout leur contenu:

cn = DN de l’entrée de configuration

Ces entrées représentent la hiérarchie de configuration dans laquelle différentes zones du système LDAP sont configurées. Examinons quels paramètres sont gérés par chacune de ces entrées:

L’entrée de niveau supérieur contient des paramètres globaux qui s’appliqueront à l’ensemble du système (sauf s’ils sont remplacés dans un contexte plus spécifique). Vous pouvez voir ce qui est stocké dans cette entrée en tapant:

Les éléments communs de cette section sont les paramètres d’autorisation généraux, les paramètres de détail du niveau de journalisation, un pointeur sur l’emplacement du fichier PID du processus et des informations sur l’authentification SASL.

Les entrées en dessous configurent des zones plus spécifiques du système. Jetons un coup d’œil aux différents types d’entrées que vous êtes susceptible de voir.

Maintenant que vous avez accès au menu + cn = config DIET, nous pouvons trouver les racines de tous les DIT du système. Un rootDN est fondamentalement l’entrée administrative. Nous pouvons également trouver le mot de passe (généralement haché) pouvant être utilisé pour se connecter à ce compte.

Pour trouver le rootDN de chacun de vos DIT, tapez:

Vous obtiendrez un imprimé ressemblant à ceci:

Informations rootDN

Si votre système gère plusieurs DIT, vous devriez voir un bloc pour chacun d’eux. Ici, nous pouvons voir que notre entrée admin est + cn = admin, dc = exemple, dc = com + pour le DIT basé sur + dc = exemple, dc = com +. Nous pouvons également voir le mot de passe haché.

Les schémas LDAP définissent les objectClasses et les attributs disponibles pour le système. Des schémas peuvent être ajoutés au système pendant l’exécution pour rendre différents types d’objet et attributs disponibles. Cependant, certaines propriétés sont intégrées au système lui-même.

Certains autres domaines d’intérêt dans la configuration DIT sont les modules et les divers paramètres de technologie de stockage.

Jusqu’ici, nous avons principalement travaillé avec le répertoire de commandes + cn = config. Le reste de ce guide s’appliquera également aux DIT ordinaires.

Chaque entrée possède des attributs opérationnels qui agissent comme des métadonnées administratives. Ceux-ci peuvent être consultés dans n’importe quel DIT afin de trouver des informations importantes sur l’entrée.

Pour imprimer tous les attributs opérationnels d’une entrée, vous pouvez spécifier l’attribut spécial «» après l'entrée. Par exemple, pour imprimer les attributs opérationnels d'une entrée à ` ​​dc = exemple, dc = com +`, nous pourrions taper:

Cela imprimera tous les attributs opérationnels. Cela ressemblera probablement à quelque chose comme ça:

Cela peut être utile pour savoir qui a modifié ou créé une entrée à quelle heure, entre autres.

Le sous-schéma est une représentation des classes et attributs disponibles. Il affiche des informations similaires aux entrées de schéma du DIET + cn = config, avec quelques informations supplémentaires. Cette fonctionnalité est disponible via des DIT non configurés standard. Par conséquent, l’accès root n’est pas requis.

Bien que l’exploitation d’un serveur OpenLDAP puisse sembler délicate au début, il est utile de connaître le DIT de configuration et de trouver des métadonnées dans le système. La modification de + cn = config + DIT avec des fichiers LDIF peut affecter immédiatement le système en cours d’exécution. En outre, la configuration du système via une DIT vous permet de configurer éventuellement l’administration à distance à l’aide des outils LDAP uniquement. Cela signifie que vous pouvez séparer l’administration LDAP de l’administration du serveur.