前言

簡要介紹：在LDAP和FTP相關技術的基礎上，提出一套基于LDAP和FTP技術的統一身份認證方案和賬號管理系統方案，解決FTP系統的統一認證、訪問控制和B/S模式下FTP賬號管理等問題。LDAP(Lightweight Directory Access Protocol)是一種基于X.500標準的跨平臺的輕量級目錄訪問協議。它運行在TCP/IP協議上，對Internet有著良好的支持性，采用樹狀的層次結構來存儲數據，具有數據讀取速度快，管理方便等特點。LDAP多用于構建統一身份認證系統，集中管理應用信息系統的賬號，實現統一用戶管理、身份認證、訪問控制等功能；可解決多應用系統用戶的統一管理、統一認證和統一授權；有助于減少數據冗余，提高數據安全和便于用戶操作。OpenLDAP：OpenLDAP是一款開源的LDAP目錄服務產品，可以運行于Linux，Uinx等操作系統。其設計目的是提供一種高效、安全的方法來查詢和管理數據。通過使用SASL，SSL來支持強度認證和提供完整性與安全保護，通過使用豐富的功能強大的存取控制手段來控制對權限的操作。認證機制與流程VSFTP與LDAP集中認證，主要通過LDAP使用vsftpd.schema定義VSFTP的各項屬性，并將FTP賬號信息存入LDAP數據庫中，當用戶向FTP服務器請求認證時，FTP服務器將認證工作交由LDAP服務器處理。1．FTP用戶請求連接并發送賬號認證信息。2．FTP服務器根據pure-ftpd.conf中配置將用戶帳號信息轉發到LDAP服務器驗證。3．LDAP服務器驗證賬號密碼。4．LDAP服務器返回驗證信息和賬號信息（FTPStatus等屬性）。5．FTP服務器根據LDAP返回信息對用戶授權（是否允許連接）。6．FTP服務器向用戶返回授權結果。

1.初始化準備

系統：centos7 65位配置yum源

wget http://mirrors.aliyun.com/repo/Centos-7.repocp Centos-7.repo /etc/yum.repos.d/cd /etc/yum.repos.d/mv CentOS-Base.repo CentOS-Base.repo.bakmv Centos-7.repo CentOS-Base.repoyum clean allyum makecache

關閉selinux和防火墻

sed -i ‘/SELINUX/s/enforcing/disabled/’ /etc/selinux/config && setenforce 0&& systemctl disable firewalld.service && systemctl stop firewalld.service && shutdown -r now

2.安裝openldap

使用如下命令安裝

yum -y install openldap compat-openldap openldap-clients openldap-servers openldap-servers-sql openldap-devel migrationtools pam_ldap

查看版本

[root@centos-linux1810 ~]# slapd -VV @(#) $OpenLDAP: slapd 2.4.44 (Oct 30 2018 23:14:27) $mockbuild@x86-01.bsys.centos.org:/builddir/build/BUILD/openldap-2.4.44/openldap-2.4.44/servers/slapd

3.配置openldap

3.1設置OpenLDAP的管理員密碼

slappasswd -s 123456

保存輸出后的字段，等會會在配置文件中會使用到。

3.2修改olcDatabase={2}hdb.ldif文件

vim /etc/openldap/slapd.d/cn=config/olcDatabase={2}hdb.ldif修改如下兩行內容，并增加一行

olcSuffix: dc=myldap,dc=com olcRootDN: cn=Manager,dc=myldap,dc=com olcRootPW: {SSHA}SWksXFfh42io UQqEgWXvc/OQzvjeEcJ

注意：其中cn=Manager中的Manager表示OpenLDAP管理員的用戶名，而olcRootPW表示OpenLDAP管理員的密碼

3.3修改olcDatabase={1}monitor.ldif文件

vim /etc/openldap/slapd.d/cn=config/olcDatabase={1}monitor.ldif修改如下內容

olcAccess: {0}to * by dn.base="gidNumber=0 uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=Manager,dc=myldap,dc=com" read by * none

注意：該修改中的dn.base是修改OpenLDAP的管理員的相關信息的驗證OpenLDAP的基本配置，使用如下命令：

slaptest -u

通過上述命令，我們可以很明顯的看出OpenLDAP的基本配置是沒有問題。啟動OpenLDAP服務，使用如下命令：

systemctl enable slapd systemctl start slapd systemctl status slapd

OpenLDAP默認監聽的端口是389，下面我們來看下是不是389端口，如下：

netstat -tpln | grep 389

3.4.配置OpenLDAP數據庫

OpenLDAP默認使用的數據庫是BerkeleyDB，現在來開始配置OpenLDAP數據庫，使用如下命令：

cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG chown ldap:ldap -R /var/lib/ldap chmod 700 -R /var/lib/ldap

注意：/var/lib/ldap/就是BerkeleyDB數據庫默認存儲的路徑。

3.5.導入基本Schema

ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif

3.6.修改migrate_common.ph文件

vim /usr/share/migrationtools/migrate_common.ph

$DEFAULT_MAIL_DOMAIN = "myldap.com"; $DEFAULT_BASE = "dc=myldap,dc=com"; $EXTENDED_SCHEMA = 1;

到此OpenLDAP的配置就已經全部完畢，下面我們來開始添加用戶到OpenLDAP中。

4.添加用戶及用戶組

默認情況下OpenLDAP是沒有普通用戶的，但是有一個管理員用戶。管理用戶就是前面我們剛剛配置的root。現在我們把系統中的用戶，添加到OpenLDAP中。為了進行區分，我們現在新加兩個用戶ldapuser1和ldapuser2，和兩個用戶組ldapgroup1和ldapgroup2，如下：添加用戶組，使用如下命令：

groupadd ldapgroup1 groupadd ldapgroup2

添加用戶并設置密碼，使用如下命令

useradd -g ldapgroup1 ldapuser1 useradd -g ldapgroup2 ldapuser2 echo ‘123456’ | passwd –-stdin ldapuser1 echo ‘123456’ | passwd –-stdin ldapuser2

把剛剛添加的用戶和用戶組提取出來，這包括該用戶的密碼和其他相關屬性，如下

grep “:10[0-9][0-9]” /etc/passwd > /root/users grep “:10[0-9][0-9]” /etc/group > /root/groups

根據上述生成的用戶和用戶組屬性，使用migrate_passwd.pl文件生成要添加用戶和用戶組的ldif，如下：

/usr/share/migrationtools/migrate_passwd.pl /root/users > /root/users.ldif /usr/share/migrationtools/migrate_group.pl /root/groups > /root/groups.ldif cat users.ldif cat groups.ldif

注意：后續如果要新加用戶到OpenLDAP中的話，我們可以直接修改users.ldif文件即可。

5.導入用戶及用戶組到OpenLDAP數據庫

配置openldap基礎的數據庫，如下：cat base.ldif

dn: dc=myldap,dc=com dc: myldap objectClass: top objectClass: domaindn: cn=Manager,dc=myldap,dc=com cn: Manager objectClass: organizationalRole description: Directory Managerdn: ou=People,dc=myldap,dc=com ou: People objectClass: top objectClass: organizationalUnitdn: ou=Group,dc=myldap,dc=com ou: Group objectClass: top objectClass: organizationalUnit

導入基礎數據庫，使用如下命令：

ldapadd -x -w "123456" -D "cn=Manager,dc=myldap,dc=com" -f /root/base.ldif

導入用戶到數據庫，使用如下命令：

ldapadd -x -w "123456" -D "cn=Manager,dc=myldap,dc=com" -f /root/users.ldif

導入用戶組到數據庫，使用如下命令

ldapadd -x -w "123456" -D "cn=Manager,dc=myldap,dc=com" -f /root/groups.ldif

6.把OpenLDAP用戶加入到用戶組

盡管我們已經把用戶和用戶組信息，導入到OpenLDAP數據庫中了。但實際上目前OpenLDAP用戶和用戶組之間是沒有任何關聯的。如果我們要把OpenLDAP數據庫中的用戶和用戶組關聯起來的話，我們還需要做另外單獨的配置。現在我們要把ldapuser1用戶加入到ldapgroup1用戶組，需要新建添加用戶到用戶組的ldif文件，如下：cat userstogroups.ldif

dn: cn=ldapgroup1,ou=Group,dc=myldap,dc=com changetype: modify add: memberuid memberuid: ldapuser1 ldapadd -x -w "123456" -D "cn=Manager,dc=myldap,dc=com" -f /root/users_to_groups.ldif

查詢添加的OpenLDAP用戶組信息，如下：

ldapsearch -LLL -x -D 'cn=Manager,dc=myldap,dc=com' -w "123456" -b 'dc=myldap,dc=com' 'cn=ldapgroup1'

7.開啟OpenLDAP日志訪問功能

默認情況下OpenLDAP是沒有啟用日志記錄功能的，但是在實際使用過程中，我們為了定位問題需要使用到OpenLDAP日志。新建日志配置ldif文件，如下：cat loglevel.ldif

dn: cn=config changetype: modify replace: olcLogLevel olcLogLevel: stats

導入到OpenLDAP中，并重啟OpenLDAP服務，如下：

ldapmodify -Y EXTERNAL -H ldapi:/// -f /root/loglevel.ldif systemctl restart slapd

修改rsyslog配置文件，并重啟rsyslog服務，如下：vim /etc/rsyslog.conf

local4.* /var/log/slapd.log systemctl restart rsyslog

8.安裝和配置LDAP管理工具PHPldapadmin

首先安裝apache和php

yum -y install httpd php php-ldap php-gd php-mbstring php-pear php-bcmath php-xml

下載安裝包phpldapadmin-1.2.3.tgz

tar zxvf phpldapadmin-1.2.3.tgz cp -r phpldapadmin-1.2.3 /var/www/html/ cd /var/www/html/ mv phpldapadmin-1.2.3 phpldapadmin cd phpldapadmin/config/ cp config.php.example config.php

vim config.php

$servers = new Datastore(); $servers->newServer('ldap_pla'); $servers->setValue('server','name','My LDAP Server'); $servers->setValue('server','host','10.211.55.37'); $servers->setValue('server','port',389); $servers->setValue('server','base',array('dc=myldap,dc=com')); $servers->setValue('login','auth_type','session'); $servers->setValue('login','bind_id','cn=Manager,dc=myldap,dc=com'); $servers->setValue('login','bind_pass','123456'); $servers->setValue('server','tls',false);

啟動httpd，登陸phpldapadmin,在瀏覽器輸入systemctl start httpdhttp://10.211.55.37/phpldapadmin

9.配置vsftpd

yum install -y vsftpd

vim /etc/nslcd.conf

uri ldap://10.211.55.37/ base dc=myldap,dc=com ssl no

重啟nslcd服務systemctl restart nslcd修改ldap.confvim /etc/openldap/ldap.conf

host 10.211.55.37 BASE dc=myldap,dc=com URI ldap://10.211.55.37 binddn cn=Manager,dc=myldap,dc=com bindpw 123456

vim /etc/pam.d/vsftpd添加以下兩行

auth required pam_ldap.so account required pam_ldap.so

修改vsftpd配置文件vim /etc/vsftpd/vsftpd.conf

anonymous_enable=NO local_enable=YES write_enable=YES local_umask=022 anon_upload_enable=YES anon_mkdir_write_enable=YES dirmessage_enable=YES xferlog_enable=YES connect_from_port_20=YES xferlog_std_format=YES chroot_local_user=YES listen=YES listen_ipv6=NO pam_service_name=vsftpd userlist_enable=YES tcp_wrappers=YES guest_enable=YES guest_username=ftp local_root=/opt/ftpdata allow_writeable_chroot=YES

systemctl restart vsftpd

總結

以上是生活随笔為你收集整理的Centos7 openldap vsftp的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。