Comment utiliser des fichiers LDIF pour apporter des modifications à un système OpenLDAP

La méthode la plus élémentaire pour définir de nouvelles entrées à ajouter à LDAP consiste simplement à les répertorier dans leur intégralité, exactement comme elles seraient affichées à l’aide des outils LDAP. Cela commence par le DN (nom distinctif) où l'entrée sera créée, après l'indicateurdn::

Dans la ligne ci-dessus, nous référons quelques paires clé-valeur afin de construire le nom distinctif pour notre nouvelle entrée. Lorsque les valeurs d'attributsetting, vous devez utiliser les deux points et l'espace. Lorsquereferencing attributs / valeurs, un signe égal doit être utilisé à la place.

Dans le format LDIF le plus simple pour ajouter des entrées à un fichier DIT, le reste de l'entrée est simplement écrit en utilisant ce format sous la définition du nom distinctif. Les déclarations et les attributs objectClass nécessaires doivent être définis pour créer une entrée valide. Par exemple, pour créer une unité organisationnelle contenant les entrées des employés de notre organisation, nous pourrions utiliser ceci:

Vous pouvez ajouter plusieurs entrées dans un seul fichier. Chaque entrée doit être séparée par au moins une ligne entièrement vierge:

Comme vous pouvez le constater, ce format LDIF reflète presque exactement le format que vous verriez lorsque vous interrogez une arborescence LDAP pour des entrées avec ces informations. Vous pouvez très bien écrire ce que vous voudriez que l’entrée contienne mot pour mot.

Le deuxième format que nous examinerons fonctionnera bien si vous apportez d’autres modifications dans le même fichier LDIF. OpenLDAP fournit des outils capables de gérer les ajouts et les modifications. Par conséquent, si nous modifions d'autres entrées dans le même fichier, nous pouvons marquer nos nouvelles entrées comme des ajouts afin qu'elles soient traitées correctement.

Cela ressemble beaucoup à la méthode ci-dessus, mais nous ajoutonschangetype: add directement en dessous de la spécification DN. Par exemple, nous pourrions ajouter une entrée John Smith à un DIT qui contient déjà la structureou=People,dc=example,dc=com en utilisant un LDIF comme celui-ci:

C'est en gros le format que nous avons utilisé pour décrire les entrées jusqu'à présent, à l'exception d'une ligne supplémentaire après la spécification du nom distinctif. Ici, nous disons à LDAP que le changement que nous apportons est une création d’entrée. Puisque nous utilisons l'optionchangetype, cette entrée peut être traitée par l'outilldapmodify sans problème, ce qui nous permet de placer des modifications d'autres types dans le même fichier LDIF. L'optionchangetype doit venir immédiatement après la spécification DN.

Une autre chose à noter ci-dessus est l'utilisation d'une valeur multiligne pour l'attributdescription. Comme les lignes qui suivent commencent par un espace, elles seront jointes à l’espace supprimé. Notre première ligne de continuation dans notre exemple contient un espace supplémentaire, mais cela fait partie de la phrase elle-même, séparant les mots «projet» et «responsable».

Comme avec la dernière section, chaque entrée supplémentaire dans le même fichier est séparée par une ligne vide. Les commentaires peuvent être utilisés en commençant la ligne par un caractère#. Les commentaires doivent exister sur leur propre ligne. Par exemple, si nous voulions ajouter Sally dans ce même fichier LDIF, nous pourrions séparer les deux entrées de la manière suivante:

Maintenant que nous savons comment construire des fichiers LDIF pour ajouter de nouvelles entrées, nous devons les traiter avec des outils LDAP pour les ajouter à la DIT. L'outil et / ou les arguments que vous utiliserez dépendront du formulaire que vous avez choisi ci-dessus.

Si vous utilisez le format d'entrée simple (sans le paramètrechangetype), vous pouvez utiliser la commandeldapadd ou la commandeldapmodify avec l'indicateur-a, qui spécifie une entrée une addition. Vous devrez soit utiliser une méthode SASL pour vous authentifier auprès de l'instance LDAP (cela sort du cadre de ce guide), ou vous lier à un compte administratif dans votre DIT et fournir le mot de passe requis.

Par exemple, si nous stockions nos entrées de la section d'entrée simple dans un fichier appelénewgroups.ldif, la commande dont nous aurions besoin pour traiter le fichier et ajouter les nouvelles entrées ressemblerait à ceci:

Vous pouvez également utiliser la combinaisonldapmodify -a pour le même résultat:

Si vous utilisez le formatsecond, avec la déclarationchangetype, vous voudrez utiliser la commandeldapmodify sans l'indicateur-a. Comme cette commande et ce format fonctionnent pour la plupart des autres modifications, il est probablement plus facile à utiliser pour la plupart des modifications. Si nous stockions les deux nouveaux ajouts d'utilisateurs dans un fichier appelénewusers.ldif, nous pourrions l'ajouter à notre DIT existant en tapant quelque chose comme ceci:

Cela vous permettra d'ajouter des entrées à votre DIT à volonté. Vous pouvez facilement stocker plusieurs entrées dans un seul fichier LDIF et renseigner votre DIT en une seule commande.

Par exemple, vous pouvez ajouter un attribut en utilisant la commandeadd: aprèschangetype: modify. Cela devrait spécifier l'attribut que vous souhaitez ajouter. Vous définirez ensuite la valeur de l'attribut comme d'habitude. Le format de base serait donc:

Par exemple, pour ajouter des adresses électroniques à nos comptes, nous pourrions avoir un fichier LDIF ressemblant à ceci:

Comme vous pouvez le constater à partir de la deuxième entrée, vous pouvez spécifier plusieurs ajouts en même temps. L'attributmail autorise plusieurs valeurs, c'est donc permis.

Vous pouvez traiter cela avecldapmodify comme d'habitude. Si la modification est dans le fichiersbrownaddmail.ldif, vous pouvez taper:

Un autre changement courant consiste à modifier la valeur existante d'un attribut. Nous pouvons le faire en utilisant l'optionreplace: souschangetype: modify.

Cela fonctionne presque de la même manière que la commandeadd:, mais par défaut, supprime chaque occurrence existante de l'attribut de l'entrée et la remplace par les valeurs définies par la suite. Par exemple, si nous remarquons que notre dernière commandeadd: avait un email incorrect, nous pourrions le modifier avec la commandereplace comme ceci:

Gardez à l'esprit que cela remplacera l'instanceevery demail dans l'entrée. Ceci est important pour les attributs à valeurs multiples qui peuvent être définis plus d'une fois par entrée (commemail). Si vous souhaitez remplacer une seule occurrence d'un attribut, vous devez utiliser l'option d'attributdelete: (décrite ci-dessous) en combinaison avec l'option d'attributadd: (décrite ci-dessus).

Si cette modification a été stockée dans un fichier appelésbrownchangemail.ldif, nous pouvons remplacer l'e-mail de Sally en tapant:

Si vous souhaitez supprimer un attribut d'une entrée, vous pouvez utiliser la commandedelete:. Vous spécifierez l'attribut que vous souhaitez supprimer comme valeur de l'option. Si vous souhaitez supprimer une instance spécifique de l'attribut, vous pouvez spécifier l'occurrence d'attribut clé-valeur spécifique sur la ligne suivante. Sinon, chaque occurrence de cet attribut dans l'entrée sera supprimée.

Par exemple, cela effacerait tous les attributs de description de l’entrée de John Smith:

Cependant, cela ne supprimerait que le courrier électronique spécifié:

Puisque nous avons déjà donné deux adresses électroniques à John, cette demande ne devrait pas modifier l’autre.

Si ces changements se trouvaient dans des fichiers appelésjsmithrmdesc.ldif etjsmithrmextramail.ldif, nous pourrions les appliquer en tapant:

C'est un bon moment pour parler de la spécification de plusieurs changements d'attribut en même temps. Pour une seule entrée dans un fichier LDIF, vous pouvez spécifier plusieurs changements d'attribut en les séparant par une ligne remplie uniquement avec le caractère-. Après le séparateur, le type de changement d'attribut doit être spécifié et les attributs requis doivent être spécifiés.

Par exemple, nous pourrions supprimer l’attribut de courrier électronique restant de John, changer son nom en "Johnny Smith" et ajouter son emplacement en créant un fichier avec le contenu suivant:

Pour appliquer toutes ces modifications en une seule commande, nous utiliserions le même formatldapmodify que nous utilisons depuis le début:

Disons que nous avons mal entré le nom d'utilisateur de Sally lorsque nous l'avons entré pour la première fois dans le système. Comme cela est utilisé dans le DN de l'entrée, il ne peut pas être simplement remplacé par les optionschangetype: modify etreplace: car le RDN de l'entrée serait invalide. Si son vrai nom d'utilisateur estsbrown200, nous pourrions changer le DN de l'entrée, en créant tous les attributs nécessaires en cours de route, avec un fichier LDIF comme celui-ci:

Nous pourrions appliquer ce changement avec cette commande:

Cela ferait que l'entrée complète ressemble à ceci:

Comme vous pouvez le constater, votre DM a été ajustée pour utiliser le nouveau couple attribut / valeur. L'attribut a été ajouté à l'entrée pour rendre cela possible.

Vous avez peut-être remarqué deux choses dans l'exemple ci-dessus. Tout d'abord, nous définissons une option appeléedeleteoldrdn sur «0». Deuxièmement, l'entrée résultante a à la foisuid: sbrown20 etuid: sbrown200.

L'optiondeleteoldrdn doit être définie lors de la modification du DN d'une entrée. Si vous définissezdeleteoldrdn sur «0», LDAP conserve l'ancien attribut utilisé dans le DN à côté du nouvel attribut dans l'entrée. Parfois, c'est ce que vous voulez, mais vous voudrez souvent supprimer complètement l'ancien attribut de l'entrée après le changement du DN. Vous pouvez le faire en réglantdeleteoldrdn sur «1» à la place.

Supposons que nous ayons à nouveau commis une erreur et que le nom d’utilisateur réel de Sally soitsbrown2. Nous pouvons définirdeleteoldrdn sur «1» pour supprimer l'instancesbrown200 actuellement utilisée dans le DN de l'entrée après le changement de nom. Nous allons aller de l'avant et inclure une paire supplémentaire dechangetype: modify etdelete: pour nous débarrasser de l'autre nom d'utilisateur errant,sbrown20, puisque nous l'avons conservé lors du premier changement de nom:

Appliquez le fichier comme ceci:

Cette combinaison n'ajoutera pas de nouveau nom d'utilisateur avec la modification (sbrown200 sera supprimé), et la deuxième modification d'entrée supprimera la valeur d'origine du nom d'utilisateur (sbrown20).

Si vous devez déplacer l'entrée vers un nouvel emplacement, un paramètre supplémentaire pourchangetype: modrdn est l'optionnewsuperior:. Lorsque vous utilisez cette option, vous pouvez spécifier un nouvel emplacement sur le DIT vers lequel déplacer l’entrée. Cela placera l'entrée sous le DN parent spécifié lors de la modification.

Par exemple, si nous voulions déplacer Sally sous l'entréeou=superusers, nous pourrions ajouter cette entrée puis la déplacer vers elle en tapant:

En supposant que cela soit stocké dans un fichier appelémksuperuser.ldif, nous pourrions appliquer les modifications comme ceci:

Cela entraîne un déménagement et jamais une copie.

Dans ce cas, nous ne souhaitons pas modifier réellement le RDN de l'entrée, nous définissons donc la valeurnewrdn: sur la même valeur qu'elle a actuellement. Nous pourrions aussi facilement renommer pendant le déménagement si nous le souhaitions. Dans ce cas, le paramètrenewsuperior: est la seule ligne de la deuxième modification qui affecte réellement l'état de l'entrée.