Как использовать файлы LDIF для внесения изменений в систему OpenLDAP

Самый основной метод определения новых записей для добавления в LDAP - это просто перечислить записи в полном объеме, точно так же, как они обычно отображаются с использованием инструментов LDAP. Это начинается с DN (отличительного имени), в котором будет создана запись, после индикатораdn::

В строке выше мы ссылаемся на несколько пар ключ-значение, чтобы построить DN для нашей новой записи. При значениях атрибутаsetting необходимо использовать двоеточие и пробел. Вместо атрибутов / значенийreferencing следует использовать знак равенства.

В простейшем формате LDIF для добавления записей в DIT остальная часть записи просто записывается с использованием этого формата под определением DN. Необходимые объявления и атрибуты objectClass должны быть установлены для создания допустимой записи. Например, чтобы создать организационную единицу, содержащую записи для сотрудников нашей организации, мы могли бы использовать это:

Вы можете добавить несколько записей в одном файле. Каждая запись должна быть отделена хотя бы одной полностью пустой строкой:

Как вы можете видеть, этот формат LDIF почти точно отражает формат, который вы бы увидели при запросе дерева LDAP для записей с этой информацией. Вы можете просто написать то, что вы хотите, чтобы запись содержала дословно.

Второй формат, который мы рассмотрим, хорошо работает, если вы делаете другие изменения в том же файле LDIF. OpenLDAP предоставляет инструменты, которые могут обрабатывать как добавления, так и изменения, поэтому, если мы изменяем другие записи в том же файле, мы можем пометить наши новые записи как добавления, чтобы они обрабатывались правильно.

Это очень похоже на метод выше, но мы добавляемchangetype: add непосредственно под спецификацией DN. Например, мы могли бы добавить запись Джона Смита в DIT, которая уже содержит структуруou=People,dc=example,dc=com, используя LDIF следующим образом:

Это в основном формат, который мы использовали для описания записей до сих пор, за исключением дополнительной строки после спецификации DN. Здесь мы сообщаем LDAP, что внесенное нами изменение является созданием записи. Поскольку мы используем параметрchangetype, эта запись может быть обработана инструментомldapmodify без проблем, что позволяет нам размещать модификации других типов в том же файле LDIF. Параметрchangetype должен стоять сразу после спецификации DN.

Еще одна вещь, которую следует отметить выше, - это использование многострочного значения для атрибутаdescription. Поскольку следующие строки начинаются с пробела, они будут объединены с удаленным пробелом. Наша первая строка продолжения в нашем примере содержит дополнительное пространство, но оно является частью самого предложения, разделяя слова «проект» и «менеджер».

Как и в последнем разделе, каждая дополнительная запись в том же файле отделена пустой строкой. Комментарии можно использовать, начав строку с символа#. Комментарии должны существовать в отдельной строке. Например, если мы хотим добавить Салли в этот же файл LDIF, мы могли бы разделить две записи следующим образом:

Теперь, когда мы знаем, как создавать файлы LDIF для добавления новых записей, нам нужно обработать их с помощью инструментов LDAP, чтобы добавить их в DIT. Инструмент и / или аргументы, которые вы используете, будут зависеть от формы, которую вы выбрали выше.

Если вы используете простой формат ввода (без параметраchangetype), вы можете использовать командуldapadd или командуldapmodify с флагом-a, который указывает запись дополнение. Вам нужно будет либо использовать метод SASL для аутентификации с помощью экземпляра LDAP (это выходит за рамки данного руководства), либо связать с учетной записью администратора в вашем DIT и предоставить требуемый пароль.

Например, если бы мы сохранили наши записи из раздела простых записей в файле с именемnewgroups.ldif, команда, которая нам понадобится для обработки файла и добавления новых записей, будет выглядеть примерно так:

Вы также можете использовать комбинациюldapmodify -a для того же результата:

Если вы используете форматsecond с объявлениемchangetype, вы захотите использовать командуldapmodify без флага-a. Поскольку эта команда и формат работает для большинства других модификаций, ее, вероятно, проще использовать для большинства изменений. Если бы мы сохранили два новых пользовательских добавления в файле с именемnewusers.ldif, мы могли бы добавить их в существующее DIT, набрав что-то вроде этого:

Это позволит вам добавлять записи в ваш DIT по желанию. Вы можете легко хранить множество записей в одном файле LDIF и заполнить свой DIT одной командой.

Например, вы можете добавить атрибут, используя командуadd: послеchangetype: modify. Это должно указать атрибут, который вы хотите добавить. Затем вы должны установить значение атрибута, как обычно. Таким образом, основной формат будет:

Например, чтобы добавить несколько адресов электронной почты в наши учетные записи, у нас может быть файл LDIF, который выглядит следующим образом:

Как видно из второй записи, вы можете указать несколько дополнений одновременно. Атрибутmail допускает несколько значений, поэтому это допустимо.

Вы можете обработать это с помощьюldapmodify как обычно. Если изменение находится в файлеsbrownaddmail.ldif, вы можете ввести:

Другим распространенным изменением является изменение существующего значения для атрибута. Мы можем сделать это с помощью параметраreplace: нижеchangetype: modify.

Это работает почти так же, как командаadd:, но по умолчанию удаляет все существующие вхождения атрибута из записи и заменяет их значениями, определенными впоследствии. Например, если мы заметим, что наша последняя командаadd: имеет неправильный адрес электронной почты, мы можем изменить его с помощью командыreplace следующим образом:

Имейте в виду, что это заменитevery экземплярmail в записи. Это важно для многозначных атрибутов, которые могут быть определены более одного раза для каждой записи (например,mail). Если вы хотите заменить только одно вхождение атрибута, вам следует использовать опцию attributedelete: (описанную ниже) в сочетании с опцией attributeadd: (описанную выше).

Если это изменение было сохранено в файле с именемsbrownchangemail.ldif, мы можем заменить электронную почту Салли, набрав:

Если вы хотите удалить атрибут из записи, вы можете использовать командуdelete:. В качестве значения параметра вы укажете атрибут, который хотите удалить. Если вы хотите удалить конкретный экземпляр атрибута, вы можете указать конкретное вхождение атрибута значения ключа в следующую строку. В противном случае каждое вхождение этого атрибута в записи будет удалено.

Например, это удалит все атрибуты описания в записи Джона Смита:

Однако это приведет к удалению только указанного адреса электронной почты:

Поскольку ранее мы дали Джону два адреса электронной почты, этот адрес должен быть оставлен без изменений.

Если бы эти изменения были в файлах с именамиjsmithrmdesc.ldif иjsmithrmextramail.ldif, мы могли бы применить их, набрав:

Сейчас самое время поговорить об одновременном указании нескольких изменений атрибутов. Для одной записи в файле LDIF вы можете указать несколько изменений атрибутов, разделив их строкой, заполненной только символом-. После разделителя должен быть указан тип изменения атрибута и заданы обязательные атрибуты.

Например, мы можем удалить оставшийся атрибут электронной почты Джона, изменить его имя на «Джонни Смит» и добавить его местоположение, создав файл со следующим содержимым:

Чтобы применить все эти изменения в одной команде, мы будем использовать тот же форматldapmodify, который мы использовали все время:

Допустим, мы неправильно набрали имя пользователя Салли, когда изначально вводили его в систему. Поскольку он используется в DN записи, его нельзя просто заменить параметрамиchangetype: modify иreplace:, поскольку RDN записи будет недействительным. Если ее настоящее имя пользователяsbrown200, мы могли бы изменить DN записи, создав любые необходимые атрибуты по пути, с помощью файла LDIF, подобного этому:

Мы могли бы применить это изменение с этой командой:

Это сделало бы полную запись похожей на это:

Как видите, наше DN было настроено для использования новой пары атрибут / значение. Атрибут был добавлен в запись, чтобы сделать это возможным.

Возможно, вы заметили две вещи в примере выше. Сначала мы устанавливаем опциюdeleteoldrdn равной «0». Во-вторых, результирующая запись содержит какuid: sbrown20, так иuid: sbrown200.

Опцияdeleteoldrdn должна быть установлена ​​при изменении DN записи. Установкаdeleteoldrdn в «0» заставляет LDAP сохранять старый атрибут, используемый в DN, вместе с новым атрибутом в записи. Иногда это то, что вы хотите, но часто вы захотите полностью удалить старый атрибут из записи после изменения DN. Вы можете сделать это, установив вместоdeleteoldrdn значение «1».

Давайте представим, что мы снова сделали ошибку и что настоящее имя пользователя Салли -sbrown2. Мы можем установить дляdeleteoldrdn значение «1», чтобы удалить экземплярsbrown200, который в настоящее время используется в DN, из записи после переименования. Мы продолжим и включим дополнительную паруchangetype: modify иdelete:, чтобы избавиться от другого случайного имени пользователя,sbrown20, поскольку мы сохранили его во время первого переименования:

Примените файл так:

Эта комбинация не добавит новое имя пользователя с изменением (sbrown200 будет удалено), а вторая модификация записи удалит исходное значение имени пользователя (sbrown20).

Если вам нужно переместить запись в новое место, дополнительной настройкой дляchangetype: modrdn является опцияnewsuperior:. Используя эту опцию, вы можете указать новое местоположение в DIT для перемещения записи в. Это поместит запись под указанным родительским DN во время изменения.

Например, если мы хотим переместить Салли под записьou=superusers, мы могли бы добавить эту запись, а затем переместить ее в нее, набрав:

Предполагая, что это хранится в файле с именемmksuperuser.ldif, мы можем применить следующие изменения:

Это приводит к движению, а не к копии.

В этом случае мы не хотели фактически изменять RDN записи, поэтому мы установили значениеnewrdn: на то же значение, которое оно имеет в настоящее время. Мы могли бы также легко переименовать во время переезда, если бы мы этого пожелали. В этом случае настройкаnewsuperior: - единственная строка второго изменения, которая фактически влияет на состояние записи.