Как управлять и использовать серверы LDAP с помощью утилит OpenLDAP

Инструменты OpenLDAP требуют, чтобы вы указали метод аутентификации и местоположение сервера для каждой операции. Чтобы указать сервер, используйте флаг + -H +, за которым следуют протокол и сетевое расположение рассматриваемого сервера.

Для базового незашифрованного соединения схема протокола будет + ldap: // + следующим образом:

Если вы общаетесь с локальным сервером, вы можете не указывать доменное имя или IP-адрес сервера (вам все равно необходимо указать схему).

Если вы используете LDAP через SSL для соединения с вашим сервером LDAP, вместо этого вы захотите использовать схему + ldaps: // + (обратите внимание, что это устаревший метод. Проект OpenLDAP рекомендует вместо этого использовать обновление STARTTLS на обычном порту LDAP. Узнайте, как настроить эту ссылку: [здесь]):

Эти протоколы предполагают порт по умолчанию («+ 389 » для обычного LDAP и « 636 +» для LDAP по SSL). Если вы используете нестандартный порт, вам нужно добавить его в конец с двоеточием и номером порта.

Чтобы подключиться к каталогу LDAP на сервере, к которому вы обращаетесь через Linux IPC (межпроцессное взаимодействие), вы можете использовать протокол + ldapi: // +. Это более безопасно и необходимо для некоторых задач администрирования:

Поскольку схема + ldapi + требует локального соединения, нам никогда не придется указывать здесь имя сервера. Однако, если вы изменили расположение файла сокета в конфигурации сервера LDAP, вам нужно будет указать новое расположение сокета как часть адреса.

LDAP требует, чтобы клиенты идентифицировали себя, чтобы сервер мог определять уровень доступа к запросам на предоставление. Это работает с использованием механизма LDAP, называемого «привязка», который по сути является просто термином, связывающим ваш запрос с известным объектом безопасности. Существует три отдельных типа аутентификации, которые понимает LDAP.

Наиболее общий тип аутентификации, который может использовать клиент, - это «анонимная» привязка. Это в значительной степени отсутствие аутентификации. Серверы LDAP могут классифицировать определенные операции как доступные для всех (обычно по умолчанию общедоступный DIT настроен как доступный только для чтения для анонимных пользователей). Если вы используете анонимную привязку, эти операции будут вам доступны.

Инструменты OpenLDAP предполагают SASL-аутентификацию (мы обсудим это мгновенно) по умолчанию, поэтому, чтобы разрешить анонимное связывание, мы должны дать аргумент + -x +. В сочетании со спецификацией сервера это будет выглядеть примерно так:

Если вы введете это без предоставления дополнительных аргументов, вы должны получить что-то вроде этого:

Вывод для ldapsearch с анонимной привязкой

Это говорит о том, что инструмент не нашел то, что мы искали. Так как мы не предоставили параметры запроса, это ожидаемо, но оно показывает нам, что сервер принял наше анонимное связывание.

Второй способ аутентификации на сервере LDAP - это простая привязка. Простое связывание использует запись на сервере LDAP для аутентификации запроса. DN (отличительное имя) записи функционирует как имя пользователя для аутентификации. Внутри записи атрибут определяет пароль, который должен быть предоставлен во время запроса.

SASL обозначает простой уровень аутентификации и безопасности. Это структура для соединения методов аутентификации с протоколами, чтобы обеспечить гибкую систему аутентификации, которая не привязана к конкретной реализации. Вы можете проверить страницу wikipedia, чтобы узнать о различных доступных методах.

Ваш LDAP-сервер, вероятно, будет поддерживать только подмножество возможных механизмов SASL. Чтобы узнать, какие механизмы это позволяет, вы можете набрать:

Результаты, которые вы видите, будут отличаться в зависимости от схемы, которую вы использовали для подключения. Для незашифрованной схемы + ldap: // + большинство систем по умолчанию разрешают:

ldap: // SupportedSASLMechanisms

Если вы используете схему + ldapi: // +, которая использует безопасное межпроцессное взаимодействие, у вас, вероятно, будет расширенный список вариантов:

ldapi: // SupportedSASLMechanisms

Настройка большинства методов аутентификации SASL может занять некоторое время, поэтому мы не будем здесь подробно останавливаться на этом. Хотя аутентификация SASL, как правило, выходит за рамки этой статьи, нам следует поговорить о методе + EXTERNAL +, который мы видим доступным для использования со схемой + ldapi: // +.

Механизм + EXTERNAL + указывает, что аутентификация и безопасность обрабатываются некоторыми другими средствами, связанными с соединением. Например, его можно использовать с SSL для обеспечения шифрования и аутентификации.

Чаще всего вы увидите, что он используется с интерфейсом + ldapi: // + с пользователями root или + sudo +. Поскольку + ldapi: // + использует сокеты Unix, пользователь, инициирующий запрос, может быть получен и использован для аутентификации для определенных операций. DIT, который LDAP использует для конфигурации, использует этот механизм для аутентификации пользователя root для чтения и внесения изменений в LDAP. Эти запросы выглядят примерно так:

Это используется для изменения конфигурации LDAP, которая обычно хранится в DIT, начиная с корневой записи + cn = config +.

До сих пор мы указывали информацию о соединении главным образом в командной строке. Тем не менее, вы можете сэкономить некоторую печать, поместив некоторые общие значения соединения в файл конфигурации.

Глобальный файл конфигурации клиента находится по адресу + / etc / ldap / ldap.conf +, но вы в основном захотите добавить изменения в файл конфигурации вашего пользователя, расположенный в вашем домашнем каталоге по адресу + + / .ldaprc +. Создайте и откройте файл с этим именем в текстовом редакторе:

Внутри, основные настройки, которые вы, вероятно, хотите настроить: + BASE +, + URI + и + BINDDN +:

Это позаботится о простой информации аутентификации. Если вы используете аутентификацию SASL, проверьте + man ldap.conf +, чтобы увидеть параметры для настройки учетных данных SASL.

Если нашей базовой записью LDAP является + dc = пример, dc = com +, сервер расположен на локальном компьютере, и мы используем + cn = admin, dc = пример, dc = com + для привязки, мы может иметь файл + ~ / .ldaprc +, который выглядит следующим образом:

~ / .Ldaprc

Используя это, мы могли бы выполнить основной поиск, просто указав не-SASL-аутентификацию и предоставив пароль, связанный с записью администратора. Это обеспечит полный поиск в поддереве базового DN по умолчанию, который мы указали:

Это может помочь сократить ваши «стандартные» варианты подключения при использовании утилит LDAP. В этом руководстве мы будем включать информацию о соединении в команды, чтобы быть явными, но при выполнении команд вы можете удалить любую часть, указанную в файле конфигурации.

В LDAP место, где начинается поиск, называется * база поиска *. Это запись в DIT, с которой начнется операция, и она будет действовать как якорь. Мы определяем базу поиска, передавая имя записи с флагом + -b +.

Например, чтобы начать с корня нашего примера + dc =, dc = com + DIT, мы можем использовать его в качестве базы поиска, например:

Эта команда должна создавать каждую запись под примером + dc =, dc = com +, к которой у пользователя, с которым вы связаны, есть доступ. Если мы используем другую запись, получим другой раздел дерева. Например, если мы начнем с записи администратора, вы можете получить только запись администратора:

база поиска в cn = admin, dc = пример, dc = com

Мы указали базу в этих примерах, но мы можем дополнительно сформировать способ, которым инструмент ищет результаты, указав область поиска. Этот параметр устанавливается параметром + -s + и может быть любым из следующих:

Используя флаг + -s + и флаг + -b +, мы можем начать формировать области DIT, в которые мы хотим, чтобы инструмент смотрел. Например, мы можем видеть всех дочерних элементов первого уровня нашей базовой записи, используя область видимости + one +, например:

Мы добавили + -LLL dn + в конец, чтобы немного отфильтровать вывод. Мы обсудим это позже в этой статье. Если бы мы добавили еще несколько записей в дерево, это могло бы привести к следующим результатам:

выход

Если бы мы хотели видеть все под записью + ou = people +, мы могли бы установить это как базу поиска и использовать область видимости + children +:

Изменяя базу поиска и область поиска, вы можете работать только с теми частями DIT, которые вас интересуют. Это улучшит ваш запрос, выполнив поиск только в разделе дерева, и вернет только те записи, которые вас интересуют.

Прежде чем двигаться дальше, давайте поговорим о том, как удалить некоторые дополнительные выходные данные, которые создает + ldapsearch +.

Большая часть дополнительного вывода контролируется флагами + -L +. Вы можете использовать от нуля до трех флагов + -L + в зависимости от уровня вывода, который вы хотели бы видеть. Чем больше флагов + -L + вы добавите, тем больше информации будет подавлено. Это может быть хорошей идеей воздерживаться от подавления любых выходных данных при обучении или устранении неполадок, но при нормальной работе использование всех трех уровней, вероятно, приведет к лучшему опыту.

Если вы используете аутентификацию SASL, при изменении, например, + cn = config + DIT, вы можете дополнительно использовать флаг + -Q +. Это включит тихий режим SASL, который удалит все выходные данные, связанные с SASL. Это хорошо при использовании метода + -Y EXTERNAL +, но будьте осторожны, если вы используете механизм, который запрашивает учетные данные, потому что это также будет подавлено (что приведет к ошибке аутентификации).

Чтобы фактически выполнить поиск, а не просто выводить всю область поиска, вам нужно указать поисковый фильтр.

Они могут быть размещены в конце строки и принимать форму типа атрибута, оператора сравнения и значения. Часто они указываются в кавычках для предотвращения интерпретации оболочкой. Круглые скобки используются для обозначения границ одного фильтра от другого. Они необязательны при простом поиске с одним атрибутом, но необходимы в более сложных составных фильтрах. Мы будем использовать их здесь, чтобы лучше указать, где находится поисковый фильтр.

В качестве примера мы могли видеть, есть ли запись в примере + dc =, dc = com + DIT с атрибутом имени пользователя (+ uid +), установленным в «jsmith». При этом выполняется поиск в каждой записи в области поиска атрибута, для которого установлено это значение:

В приведенном выше примере мы использовали оператор равенства, который проверяет точное совпадение значения атрибута. Существуют и другие операторы, которые работают так, как вы ожидаете. Например, для поиска записей, которые contain атрибут, не заботясь о наборе значений, вы можете использовать оператор «присутствие», который является просто знаком равенства с подстановочным знаком в правой части сравнения. Мы могли бы искать записи, содержащие пароль, набрав:

Вот некоторые полезные поисковые фильтры:

Вы также можете отменить большинство поисков, заключив поисковый фильтр в дополнительный набор скобок с префиксом «!». Например, для поиска всех записей организационной единицы мы могли бы использовать этот фильтр:

Для поиска всех записей, которые не являются записями организационной единицы, мы могли бы использовать этот фильтр:

Модификатор отрицания меняет значение поискового фильтра, который следует.

Следуя спецификации фильтра, мы также можем добавить фильтры вывода атрибута. Это просто список атрибутов, которые вы хотите отображать из каждой соответствующей записи. По умолчанию каждый атрибут, к которому ваши учетные данные имеют доступ для чтения, отображается для каждой соответствующей записи. Установка фильтра вывода атрибута позволяет вам точно указать, какой тип вывода вы хотели бы видеть.

Например, мы можем искать все записи, которые имеют идентификаторы пользователей, но отображать только связанное компонентное имя каждой записи, набрав:

Это может создать список, который выглядит следующим образом:

Выход

Если мы хотим увидеть описание их записи, мы можем просто добавить это в список отображаемых атрибутов:

Вместо этого будет показано что-то вроде этого:

Выход

Если фильтр атрибутов не задан, возвращаются все атрибуты. Это можно сделать явно с помощью символа «*». Чтобы вернуть операционные атрибуты (специальные атрибуты метаданных, управляемые в фоновом режиме для каждой записи), вы можете использовать специальный символ «+». Например, чтобы увидеть рабочие атрибуты для нашего rootDN, мы могли бы набрать:

Результаты будут выглядеть примерно так:

Выход

Сложный поиск включает в себя объединение двух или более отдельных поисковых фильтров для получения более точных результатов. Фильтры поиска объединяются, заключая их в другой набор скобок с реляционным оператором в качестве первого элемента. Это легче продемонстрировать, чем объяснить.

Реляционные операторы - это символ «&», который работает как логическое И, и символ «|», который обозначает логическое ИЛИ. Они предшествуют фильтрам, чьи отношения они определяют во внешнем наборе скобок.

Таким образом, чтобы найти запись, которая имеет описание и адрес электронной почты в нашем домене, мы могли бы создать фильтр следующим образом:

Чтобы запись была возвращена, в ней должны быть определены оба этих атрибута.

Символ ИЛИ вернет результаты, если любой из подфильтров верен. Если мы хотим вывести записи, для которых у нас есть контактная информация, мы можем попробовать фильтр следующим образом:

Здесь мы видим, что оператор может применять более двух подфильтров. Мы также можем вкладывать эти логические конструкции по мере необходимости для создания довольно сложных шаблонов.

После предоставления этих стандартных параметров наиболее распространенным действием является чтение файла LDIF и его применение к DIT. Это можно сделать с помощью опции + -f + (если вы не используете опцию + -f +, вам нужно будет ввести изменение, используя формат LDIF в командной строке). Вам нужно будет создать файл LDIF самостоятельно, используя синтаксис, описанный в руководстве, указанном выше:

Это прочитает файл LDIF и применит изменения, указанные в. Для команды + ldapmodify + в каждом изменении LDIF должен быть указан + changetype +. Команда + ldapmodify + является наиболее общей формой команд манипуляции DIT.

Если ваш LDIF-файл добавляет новые записи и _ не включает_ + changetype: add + для каждой записи, вы можете использовать флаг + -a + с + ldapmodify + или просто использовать команду + ldapadd +, которая в основном псевдонимы этого поведения. Например, файл LDIF, который include + changetype + будет выглядеть так:

LDIF с измененным типом

Чтобы обработать этот файл, вы можете просто использовать + ldapmodify +:

Тем не менее, файл также может быть создан without + changetype + `, например так:

LDIF без изменения типа

В этом случае, чтобы добавить эту запись в DIT, вам нужно либо использовать флаг + -a + с + ldapmodify +, либо использовать команду + ldapadd +. Или:

Или это:

Аналогичные команды доступны для удаления записей (+ ldapdelete +) и перемещения записей LDAP (+ ldapmodrdn +). Использование этих команд избавляет от необходимости явно указывать в файлах + changetype: delete + и + changetype: modrdn + соответственно. Для каждого из них вам решать, какой формат использовать (указывать ли изменение в файле LDIF или в командной строке).

Если вы хотите выполнить пробный запуск любого файла LDIF, вы можете использовать флаги + -n + и + -v +. Это скажет вам, какое изменение будет выполнено без изменения фактического DIT:

Как правило, если при обработке файла LDIF возникает ошибка, операция немедленно останавливается. Как правило, это самое безопасное, потому что часто запросы на изменение в файле изменяют DIT в предположении, что предыдущие изменения были применены правильно.

Однако, если вы хотите, чтобы команда продолжала работу с файлом, пропуская изменения, вызывающие ошибки, вы можете использовать флаг + -c +. Возможно, вы также захотите использовать флаг + -S +, чтобы указать файл, в который могут быть записаны ошибки, чтобы вы могли исправить ошибочные запросы и перезапустить их:

Таким образом, у вас будет журнал (с комментариями, указывающими ошибочные записи) для оценки после операции.

Если некоторые из ваших записей LDAP имеют пароли, команда + ldappasswd + может использоваться для изменения записи. Это работает путем аутентификации с использованием соответствующей учетной записи или административной учетной записи, а затем предоставления нового пароля (и, возможно, старого пароля).

Старый пароль следует указывать либо с помощью флага + -a + (старый пароль указывается в строке как следующий элемент), либо с помощью флага + -A + (запрашивается старый пароль), либо с помощью `+ -t + `флаг (старый пароль читается из файла, указанного как следующий элемент). Это необязательно для некоторых реализаций LDAP, но требуется для других, поэтому лучше включить.

Новый пароль должен быть указан с помощью флага + -s + (новый пароль указывается в строке как следующий элемент), флага + -S + (запрашивается новый пароль) или `+ -T + `флаг (новый пароль читается из файла, заданного как следующий элемент).

Таким образом, типичное изменение может выглядеть так:

Если запись не указана, запись, которая используется для привязки, будет изменена. Если вы привязываетесь к административной записи, вы можете изменить другие записи, к которым у вас есть права на запись, указав их после команды.

Чтобы узнать больше об изменении и сбросе паролей, ознакомьтесь с this guide.

Команда + ldapwhoami + может рассказать вам, как сервер LDAP видит вас после аутентификации.

Если вы используете анонимную или простую аутентификацию, результаты, вероятно, будут не слишком полезными («анонимная» или точно запись, к которой вы привязываете, соответственно). Однако для аутентификации SASL это может помочь понять, как выглядит ваш механизм аутентификации.

Например, если мы используем механизм + -Y EXTERNAL + SASL с + sudo + для выполнения операций над + cn = config + DIT, мы можем проверить с помощью + ldapwhoami +, чтобы увидеть DN аутентификации:

вывод ldapwhoami

Это не фактическая запись в нашем DIT, это просто, как аутентификация SASL переводится в формат, понятный LDAP. Просмотр DN аутентификации может быть использован для создания сопоставлений и ограничений доступа, поэтому полезно знать, как получить эту информацию.

Инструмент + ldapurl + позволяет вам создавать URL-адреса LDAP, указывая различные компоненты, включенные в ваш запрос. URL-адреса LDAP - это способ запроса ресурсов с сервера LDAP через стандартизированный URL-адрес. Это неаутентифицированные соединения, доступные только для чтения. Многие решения LDAP больше не поддерживают URL-адреса LDAP для запроса ресурсов, поэтому их использование может быть ограничено в зависимости от используемого вами программного обеспечения.

Стандартный URL-адрес LDAP отформатирован с использованием следующего синтаксиса:

Компоненты следующие:

Каждый из пунктов в URL разделен знаком вопроса. Вам не нужно указывать элементы, которые вы не используете, но поскольку тип элемента определяется по его положению в строке, вы должны оставить «слот» пустым для этого элемента, что оставит вас с несколькими вопросительными знаками в ряд. Вы можете остановить URL, как только добавите свою информацию (вам не нужны знаки вопроса в конце, чтобы обозначать неиспользуемые «слоты»).

Например, URL может выглядеть следующим образом:

Если бы вы передавали это в инструмент + ldapurl +, вы бы использовали флаг + -H + и поместили URL в кавычки:

Команда разбила бы его на части так:

вывод ldapurl

Вы также можете использовать эти флаги для обратного процесса и объединения URL-адреса LDAP. Они отражают различные компоненты URL-адреса LDAP:

Используя их, вы можете напечатать что-то вроде этого:

Команда вернет созданный URL, который будет выглядеть следующим образом:

вывод ldapurl

Это можно использовать для создания URL-адресов, которые можно использовать с клиентом LDAP, способным взаимодействовать с использованием этого формата.

Инструмент + ldapcompare + может использоваться для сравнения атрибута записи со значением. Это используется для выполнения простых проверок утверждений для проверки данных.

Процесс включает в себя связывание, как обычно, в зависимости от запрашиваемых данных, предоставление DN записи и подтверждения для проверки. Утверждение дается путем указания атрибута, а затем значения, разделенного одним или двумя двоеточиями. Для простых строковых значений следует использовать один двоеточие. Двойное двоеточие означает, что задано значение в кодировке base64.

Таким образом, вы можете утверждать, что Джон является членом группы «powerusers» примерно так:

Если он в группе, он вернет + TRUE +. Если нет, команда вернет + FALSE. Если DN, используемый для связывания, не имеет достаточных привилегий для чтения рассматриваемого атрибута, он вернет + UNDEFINED +.

Это может быть использовано в качестве основы для системы авторизации путем проверки членства в группе до выполнения запрошенных действий.