Comment gérer et utiliser les serveurs LDAP avec les utilitaires OpenLDAP

Les outils OpenLDAP nécessitent que vous spécifiiez une méthode d'authentification et un emplacement de serveur pour chaque opération. Pour spécifier le serveur, utilisez l'indicateur-H suivi du protocole et de l'emplacement réseau du serveur en question.

Pour une communication de base non chiffrée, le schéma de protocole seraldap:// comme ceci:

Si vous communiquez avec un serveur local, vous pouvez laisser le nom de domaine ou l'adresse IP du serveur (vous devez toujours spécifier le schéma).

Si vous utilisez LDAP sur SSL pour vous connecter à votre serveur LDAP, vous souhaiterez plutôt utiliser le schémaldaps:// (notez qu'il s'agit d'une méthode obsolète. Le projet OpenLDAP recommande d'utiliser plutôt une mise à niveau STARTTLS sur le port LDAP normal. Apprenez à configurer cecihere):

Ces protocoles supposent le port par défaut (389 pour LDAP conventionnel et636 pour LDAP sur SSL). Si vous utilisez un port non standard, vous devrez l’ajouter à la fin avec un signe deux-points et le numéro de port.

Pour vous connecter à un annuaire LDAP sur le serveur que vous interrogez sur Linux IPC (communication interprocessus), vous pouvez utiliser le protocoleldapi://. Ceci est plus sécurisé et nécessaire pour certaines tâches d'administration:

Puisque le schémaldapi nécessite une connexion locale, nous n'aurons jamais à spécifier un nom de serveur ici. Toutefois, si vous avez modifié l'emplacement du fichier de socket dans la configuration du serveur LDAP, vous devrez spécifier le nouvel emplacement de socket dans l'adresse.

LDAP nécessite que les clients s'identifient eux-mêmes afin que le serveur puisse déterminer le niveau d'accès aux demandes d'octroi. Cela fonctionne en utilisant un mécanisme LDAP appelé «liaison», qui est fondamentalement juste un terme pour associer votre demande à une entité de sécurité connue. LDAP comprend trois types d’authentification distincts.

Le type d'authentification le plus générique qu'un client peut utiliser est une liaison «anonyme». C'est à peu près l'absence d'authentification. Les serveurs LDAP peuvent catégoriser certaines opérations comme accessibles à tous (généralement, par défaut, le DIT destiné au public est configuré en lecture seule pour les utilisateurs anonymes). Si vous utilisez une liaison anonyme, ces opérations seront disponibles.

Les outils OpenLDAP supposent l'authentification SASL (nous en discuterons brièvement) par défaut, donc pour permettre une liaison anonyme, nous devons donner l'argument-x. Combiné avec la spécification du serveur, cela ressemblera à ceci:

Si vous tapez cela sans fournir d'arguments supplémentaires, vous devriez obtenir quelque chose comme ceci:

Sortie pour ldapsearch avec une liaison anonyme

Cela indique que l’outil n’a pas trouvé ce que nous avons recherché. Comme nous n’avons pas fourni de paramètres de requête, cela est prévu, mais cela nous indique que notre liaison anonyme a été acceptée par le serveur.

La deuxième méthode d'authentification sur un serveur LDAP consiste à effectuer une simple liaison. Une simple liaison utilise une entrée du serveur LDAP pour authentifier la demande. Le DN (nom distinctif) de l'entrée sert de nom d'utilisateur pour l'authentification. À l'intérieur de l'entrée, un attribut définit un mot de passe qui doit être fourni lors de la requête.

SASL est synonyme d'authentification simple et de couche de sécurité. Il s'agit d'un cadre permettant de relier des méthodes d'authentification à des protocoles afin de fournir un système d'authentification flexible non lié à une implémentation spécifique. Vous pouvez consulter leswikipedia page pour en savoir plus sur les différentes méthodes disponibles.

Votre serveur LDAP ne prendra probablement en charge qu’un sous-ensemble des mécanismes SASL possibles. Pour savoir quels mécanismes il autorise, vous pouvez taper:

Les résultats que vous voyez seront différents selon le schéma que vous avez utilisé pour vous connecter. Pour le schémaldap:// non chiffré, la plupart des systèmes autoriseront par défaut:

ldap:// supportedSASLMechanisms

Si vous utilisez le schémaldapi://, qui utilise une communication inter-processus sécurisée, vous aurez probablement une liste de choix étendue:

ldapi:// supportedSASLMechanisms

La configuration de la plupart des méthodes d'authentification SASL peut prendre un certain temps et nous ne couvrirons donc pas beaucoup de détails ici. Alors que l'authentification SASL sort généralement du cadre de cet article, nous devrions parler de la méthodeEXTERNAL que nous voyons disponible pour une utilisation avec le schémaldapi://.

Le mécanismeEXTERNAL indique que l'authentification et la sécurité sont gérées par d'autres moyens associés à la connexion. Par exemple, il peut être utilisé avec SSL pour fournir un cryptage et une authentification.

Le plus souvent, vous le verrez utilisé avec l'interfaceldapi:// avec les utilisateurs root ousudo. Puisqueldapi:// utilise des sockets Unix, l'utilisateur qui lance la requête peut être obtenu et utilisé pour s'authentifier pour certaines opérations. Le DIT utilisé par LDAP pour la configuration utilise ce mécanisme pour authentifier l'utilisateur racine afin qu'il puisse lire et apporter des modifications à LDAP. Ces demandes ressemblent à ceci:

Ceci est utilisé pour modifier la configuration LDAP qui est généralement conservée dans un DIT en commençant par une entrée racinecn=config.

Nous avons spécifié les informations de connexion principalement sur la ligne de commande jusqu'à présent. Toutefois, vous pouvez économiser du temps en saisissant certaines des valeurs de connexion courantes dans un fichier de configuration.

Le fichier de configuration client global se trouve à/etc/ldap/ldap.conf, mais vous souhaiterez principalement ajouter des modifications au fichier de configuration de votre utilisateur situé dans votre répertoire personnel à~/.ldaprc. Créez et ouvrez un fichier avec ce nom dans votre éditeur de texte:

À l'intérieur, les paramètres de base que vous souhaitez probablement configurer sontBASE,URI etBINDDN:

Cela prendra en charge les informations d'authentification simples. Si vous utilisez l'authentification SASL, consultezman ldap.conf pour voir les options de configuration des informations d'identification SASL.

Si l’entrée de base de notre LDAP estdc=example,dc=com, le serveur est situé sur l’ordinateur local et que nous utilisons lescn=admin,dc=example,dc=com pour nous lier, nous pourrions avoir un fichier~/.ldaprc qui ressemble à ceci:

~/.ldaprc

En utilisant cela, nous pourrions effectuer une recherche de base en spécifiant simplement une authentification non-SASL et en fournissant le mot de passe associé à l'entrée admin. Ceci fournirait une recherche complète de sous-arborescence du DN de base par défaut que nous avons spécifié:

Cela peut aider à raccourcir vos options de connexion standard lorsque vous utilisez les utilitaires LDAP. Tout au long de ce guide, nous allons inclure les informations de connexion dans les commandes afin d’être explicites, mais lorsqu’elles sont exécutées, vous pouvez supprimer toute partie spécifiée dans votre fichier de configuration.

Dans LDAP, l'endroit où commence une recherche est appelé lessearch base. Il s’agit d’une entrée dans un DIT à partir de laquelle l’opération commencera et servira d’ancre. Nous spécifions la base de recherche en passant le nom de l'entrée avec l'indicateur-b.

Par exemple, pour commencer à la racine de notredc=example,dc=com DIT, nous pouvons l'utiliser comme base de recherche, comme ceci:

Cette commande doit produire chaque entrée sous l'entréedc=example,dc=com à laquelle l'utilisateur auquel vous êtes lié a accès. Si nous utilisons une entrée différente, nous aurions une autre section de l’arbre. Par exemple, si nous commençons par l'entrée admin, vous ne pouvez obtenir que l'entrée admin elle-même:

base de recherche sur cn = admin, dc = exemple, dc = com

Nous avons spécifié la base dans ces exemples, mais nous pouvons mieux définir la manière dont l'outil recherche les résultats en spécifiant l'étendue de la recherche. Cette option est définie par l'option-s et peut être l'une des suivantes:

En utilisant l'indicateur-s et l'indicateur-b, nous pouvons commencer à façonner les zones du DIT dans lesquelles l'outil doit se pencher. Par exemple, nous pouvons voir tous les enfants de premier niveau de notre entrée de base en utilisant la portéeone, comme ceci:

Nous avons ajouté-LLL dn à la fin pour filtrer un peu la sortie. Nous en discuterons plus loin dans l’article. Si nous avions ajouté quelques entrées supplémentaires à l’arbre, cela aurait pu donner des résultats comme celui-ci:

sortie

Si nous voulions tout voir sous l'entréeou=people, nous pourrions définir cela comme base de recherche et utiliser la portéechildren:

En peaufinant la base de recherche et le périmètre de recherche, vous ne pouvez utiliser que les parties du DIT qui vous intéressent. Cela améliorera les performances de votre requête en recherchant uniquement une section de l'arborescence et en renvoyant uniquement les entrées qui vous intéressent.

Avant de continuer, voyons comment supprimer une partie de la sortie supplémentaire queldapsearch produit.

La majorité de la sortie supplémentaire est contrôlée avec les indicateurs-L. Vous pouvez utiliser de zéro à trois indicateurs-L selon le niveau de sortie que vous souhaitez voir. Plus vous ajoutez d'indicateurs-L, plus d'informations sont supprimées. Il peut être judicieux de ne supprimer aucune sortie lors de l’apprentissage ou du dépannage, mais lors du fonctionnement normal, l’utilisation des trois niveaux entraînera probablement une meilleure expérience.

Si vous utilisez l'authentification SASL, lors de la modification du DITcn=config par exemple, vous pouvez en outre utiliser l'indicateur-Q. Cela activera le mode silencieux SASL, qui supprimera toute sortie liée à SASL. C'est bien lorsque vous utilisez la méthode-Y EXTERNAL, mais soyez prudent si vous utilisez un mécanisme qui demande des informations d'identification car cela sera également supprimé (conduisant à un échec d'authentification).

Pour effectuer une recherche au lieu de simplement afficher l'intégralité de l'étendue de la recherche, vous devez spécifier le filtre de recherche.

Ceux-ci peuvent être placés vers la fin de la ligne et prendre la forme d'un type d'attribut, d'un opérateur de comparaison et d'une valeur. Souvent, ils sont spécifiés entre guillemets pour empêcher toute interprétation par le shell. Les parenthèses sont utilisées pour indiquer les limites d’un filtre à un autre. Celles-ci sont facultatives dans les recherches simples à attribut unique, mais requises dans les filtres composés plus complexes. Nous les utiliserons ici pour mieux indiquer où se trouve le filtre de recherche.

À titre d'exemple, nous pourrions voir s'il y a une entrée dans le DITdc=example,dc=com avec un attribut username (uid) défini sur «jsmith». Ceci recherche dans chaque entrée de la zone de recherche un attribut défini sur cette valeur:

Nous avons utilisé l’opérateur d’égalité dans l’exemple ci-dessus, qui teste la correspondance exacte de la valeur d’un attribut. Il existe également divers autres opérateurs, qui fonctionnent comme prévu. Par exemple, pour rechercher des entrées quicontainest un attribut, sans vous soucier de l'ensemble de valeurs, vous pouvez utiliser l'opérateur «présence», qui est simplement un signe égal avec un caractère générique sur le côté droit de la comparaison. Nous pourrions rechercher des entrées contenant un mot de passe en tapant:

Certains filtres de recherche utiles sont:

Vous pouvez également annuler la plupart des recherches en encapsulant le filtre de recherche dans un ensemble supplémentaire de parenthèses précédées du symbole de négation «!». Par exemple, pour rechercher toutes les entrées d'unité organisationnelle, nous pourrions utiliser ce filtre:

Pour rechercher toutes les entrées qui sont des entrées d'unité organisationnellenot, nous pourrions utiliser ce filtre:

Le modificateur de négation inverse la signification du filtre de recherche qui suit.

Après la spécification du filtre, nous pouvons également ajouter des filtres de sortie d'attribut. Ceci est juste une liste d'attributs que vous souhaitez afficher à partir de chaque entrée correspondante. Par défaut, chaque attribut auquel vos informations d'identification ont un accès en lecture est affiché pour chaque entrée correspondante. La définition d’un filtre de sortie d’attribut vous permet de spécifier exactement le type de sortie que vous souhaitez voir.

Par exemple, nous pouvons rechercher toutes les entrées qui ont des ID utilisateur, mais afficher uniquement lescommon name associés de chaque entrée en tapant:

Cela pourrait produire une liste qui ressemble à ceci:

Sortie

Si nous voulons également voir la description de leur entrée, nous pouvons simplement l'ajouter à la liste des attributs à afficher:

Cela montrerait plutôt quelque chose comme ceci:

Sortie

Si aucun filtre d'attribut n'est donné, tous les attributs sont retournés. Ceci peut être explicité avec le caractère “*”. Pour renvoyer des attributs opérationnels (attributs de métadonnées spéciaux gérés en arrière-plan pour chaque entrée), vous pouvez utiliser le symbole spécial «+». Par exemple, pour voir les attributs opérationnels pour notre rootDN, nous pourrions taper:

Les résultats ressembleraient à ceci:

Sortie

La recherche composée implique la combinaison de deux filtres de recherche individuels ou plus pour obtenir des résultats plus précis. Les filtres de recherche sont combinés en les enveloppant dans un autre jeu de parenthèses avec un opérateur relationnel en tant que premier élément. Ceci est plus facile démontré qu'expliqué.

Les opérateurs relationnels sont le caractère "&" qui fonctionne comme un ET logique, et le caractère "|" qui signifie un OU logique. Celles-ci précèdent les filtres dont elles définissent les relations dans un ensemble de parenthèses externe.

Donc, pour rechercher une entrée qui a à la fois une description et une adresse email dans notre domaine, nous pourrions construire un filtre comme celui-ci:

Pour qu'une entrée soit renvoyée, il faut que ces deux attributs soient définis.

Le symbole OU renverra les résultats si l'un des sous-filtres est vrai. Si nous voulons sortir des entrées pour lesquelles nous avons des informations de contact, nous pourrions essayer un filtre comme celui-ci:

Nous voyons ici que l’opérateur peut s’appliquer à plus de deux sous-filtres. Nous pouvons également imbriquer ces constructions logiques au besoin pour créer des modèles assez complexes.

Après avoir fourni ces options standard, l’action la plus courante consiste à lire un fichier LDIF et à l’appliquer au DIT. Cela peut être accompli avec l'option-f (si vous n'utilisez pas l'option-f, vous devrez saisir une modification en utilisant le format LDIF sur la ligne de commande). Vous devrez créer le fichier LDIF vous-même, en utilisant la syntaxe décrite dans le guide lié à ci-dessus:

Cela lira le fichier LDIF et appliquera les modifications spécifiées dans. Pour la commandeldapmodify, chaque modification LDIF doit avoir unchangetype spécifié. La commandeldapmodify est la forme la plus générale des commandes de manipulation DIT.

Si votre fichier LDIF ajoute de nouvelles entrées et quedoes not inclutchangetype: add pour chaque entrée, vous pouvez utiliser l'indicateur-a avecldapmodify, ou simplement utiliser lesldapadd commande, qui alias essentiellement ce comportement. Par exemple, un fichier LDIF dontincludes leschangetype ressemblerait à ceci:

LDIF avec changetype

Pour traiter ce fichier, vous pouvez simplement utiliserldapmodify:

Cependant, le fichier peut également être construitwithout thechangetype, comme ceci:

LDIF sans type de changement

Dans ce cas, pour ajouter cette entrée au DIT, vous devez soit utiliser l'indicateur-a avecldapmodify, soit utiliser la commandeldapadd. Soit:

Ou ca:

Des commandes similaires sont disponibles pour la suppression des entrées (ldapdelete) et le déplacement des entrées LDAP (ldapmodrdn). L'utilisation de ces commandes vous évite d'avoir à spécifier respectivementchangetype: delete etchangetype: modrdn dans les fichiers. Pour chacun de ces éléments, vous choisissez le format à utiliser (spécifiez la modification dans le fichier LDIF ou sur la ligne de commande).

Si vous souhaitez effectuer une analyse à sec d'un fichier LDIF, vous pouvez utiliser les indicateurs-n et-v. Cela vous indiquera quel changement serait effectué sans modifier le DIT réel:

Généralement, si une erreur survient lors du traitement d'un fichier LDIF, l'opération est immédiatement interrompue. C’est généralement la solution la plus sûre, car souvent, les demandes de modification ultérieures dans le fichier modifient le fichier DIT en supposant que les modifications antérieures ont été appliquées correctement.

Cependant, si vous souhaitez que la commande continue dans le fichier, en ignorant les modifications à l'origine de l'erreur, vous pouvez utiliser l'indicateur-c. Vous souhaiterez probablement également utiliser l'indicateur-S pour pointer vers un fichier dans lequel les erreurs peuvent être écrites afin de pouvoir corriger les requêtes incriminées et les réexécuter:

De cette façon, vous aurez un journal (avec des commentaires indiquant les entrées incriminées) à évaluer après l'opération.

Si certaines de vos entrées LDAP ont des mots de passe, la commandeldappasswd peut être utilisée pour modifier l'entrée. Cela fonctionne en authentifiant à l'aide du compte en question ou d'un compte administratif, puis en fournissant le nouveau mot de passe (et éventuellement l'ancien mot de passe).

L'ancien mot de passe doit être spécifié en utilisant soit l'indicateur-a (l'ancien mot de passe est donné en ligne comme élément suivant), l'indicateur-A (l'ancien mot de passe est demandé), soit le-t flag (l'ancien mot de passe est lu à partir du fichier donné comme élément suivant). Ceci est facultatif pour certaines implémentations LDAP mais requis par d'autres, il est donc préférable de l'inclure.

Le nouveau mot de passe doit être spécifié en utilisant soit l'indicateur-s (le nouveau mot de passe est donné en ligne comme élément suivant), l'indicateur-S (le nouveau mot de passe est demandé), soit le-T flag (le nouveau mot de passe est lu à partir du fichier donné comme élément suivant).

Donc, un changement typique peut ressembler à ceci:

Si aucune entrée n'est donnée, l'entrée utilisée pour la liaison sera modifiée. Si vous vous liez à une entrée administrative, vous pouvez modifier les autres entrées auxquelles vous avez accès en écriture en les fournissant après la commande.

Pour en savoir plus sur la modification et la réinitialisation des mots de passe, consultezthis guide.

La commandeldapwhoami peut vous dire comment le serveur LDAP vous voit après l'authentification.

Si vous utilisez une authentification anonyme ou simple, les résultats ne seront probablement pas trop utiles («anonyme» ou exactement l'entrée à laquelle vous vous associez, respectivement). Cependant, pour l'authentification SASL, cela peut donner un aperçu de la façon dont votre mécanisme d'authentification est vu.

Par exemple, si nous utilisons le mécanisme SASL-Y EXTERNAL avecsudo pour effectuer des opérations sur le DITcn=config, nous pourrions vérifier avecldapwhoami pour voir le DN d'authentification:

sortie ldapwhoami

Ce n'est pas une entrée réelle dans notre DIT, c'est simplement comment l'authentification SASL est traduite dans un format que le protocole LDAP peut comprendre. L'affichage du nom distinctif d'authentification peut être utilisé pour créer des mappages et des restrictions d'accès. Il est donc utile de savoir comment obtenir ces informations.

L'outilldapurl vous permet de construire des URL LDAP en spécifiant les différents composants impliqués dans votre requête. Les URL LDAP permettent de demander des ressources à un serveur LDAP via une URL normalisée. Ce sont des connexions non authentifiées et sont en lecture seule. De nombreuses solutions LDAP ne prennent plus en charge les URL LDAP pour les demandes de ressources. Par conséquent, leur utilisation peut être limitée en fonction du logiciel que vous utilisez.

L'URL LDAP standard est formatée à l'aide de la syntaxe suivante:

Les composants sont les suivants:

Chacun des éléments est séparé dans l'URL par un point d'interrogation. Vous n'êtes pas obligé de fournir les éléments que vous n'utilisez pas, mais comme le type d'élément est identifié par sa position dans la chaîne, vous devez laisser la "fente" vide pour cet élément, ce qui vous laissera plusieurs points d'interrogation. une rangée. Vous pouvez arrêter l'URL dès que vous avez ajouté vos informations (vous n'avez pas besoin de points d'interrogation à la fin pour représenter les "emplacements" inutilisés).

Par exemple, une URL peut ressembler à ceci:

Si vous deviez introduire cela dans l'outilldapurl, vous utiliseriez l'indicateur-H et mettre l'URL entre guillemets:

La commande le séparerait comme ceci:

sortie ldapurl

Vous pouvez également utiliser ces indicateurs pour inverser le processus et bricoler une URL LDAP. Celles-ci reflètent les différents composants de l'URL LDAP:

En utilisant ceux-ci, vous pouvez taper quelque chose comme ceci:

La commande renverrait l'URL construite, qui ressemblerait à ceci:

sortie ldapurl

Vous pouvez l'utiliser pour créer des URL pouvant être utilisées avec un client LDAP capable de communiquer en utilisant ce format.

L’outilldapcompare peut être utilisé pour comparer l’attribut d’une entrée à une valeur. Ceci est utilisé pour effectuer des vérifications d'assertion simples afin de valider les données.

Le processus implique une liaison comme vous le feriez normalement en fonction des données interrogées, en fournissant le DN d'entrée et l'assertion à vérifier. L'assertion est donnée en spécifiant un attribut puis une valeur, séparés par un ou deux points. Pour les valeurs de chaîne simples, un seul deux-points doit être utilisé. Un double-point indique qu'une valeur encodée en base64 a été donnée.

Vous pouvez donc affirmer que John est membre du groupe des «utilisateurs intensifs» avec quelque chose comme ceci:

S'il est dans le groupe, il retourneraTRUE. Sinon, la commande renverraFALSE. Si le DN utilisé pour la liaison n'a pas les privilèges suffisants pour lire l'attribut en question, il renverraUNDEFINED.

Cela pourrait servir de base à un système d'autorisation en vérifiant l'appartenance à un groupe avant d'effectuer les actions demandées.