CentOS 7下OpenLDAP编译安装及配置

# 涉及 libtool-ltdl 与 libtool-ltdl-devel，如不安装，在编译时报错：configure: error: could not locate libtool ltdl.h
yum install *ltdl* -y

#必须在解压包的 build_unix 目录中编译安装，否则会报错
[root@localhost ~]# cd /usr/local/src/
[root@localhost src]# tar -zxvf db-5.1.29.tar.gz
[root@localhost src]# cd db-5.1.29/build_unix/
[root@localhost build_unix]# ../dist/configure --prefix=/usr/local/berkeleydb-5.1.29
[root@localhost build_unix]# make
[root@localhost build_unix]# make install

#保证在后面编译 openldap 时能找到 lib 和 include 下的库
[root@localhost build_unix]# cd /usr/local/src/
[root@localhost src]# echo "/usr/local/berkeleydb-5.1.29/lib/" > /etc/ld.so.conf
[root@localhost src]# ldconfig -v

#编译选项可以通过./configure --help 查看；
#其中 make test 一步时间较长；
#如果未设置 CPPFLAGS，configure 过程可能会提示 configure: error: BDB/HDB: BerkeleyDB not available 或 configure: error: BerkeleyDB version incompatible with BDB/HDB backends
[root@localhost ~]# cd /usr/local/src/
[root@localhost src]# tar -zxvf openldap-2.4.44.tgz
[root@localhost src]# cd openldap-2.4.44
[root@localhost openldap-2.4.44]# ./configure --prefix=/usr/local/openldap-2.4.44 --enable-syslog --enable-modules --enable-debug --with-tls CPPFLAGS=-I/usr/local/berkeleydb-5.1.29/include/ LDFLAGS=-L/usr/local/berkeleydb-5.1.29/lib/
[root@localhost openldap-2.4.44]# make depend
[root@localhost openldap-2.4.44]# make
[root@localhost openldap-2.4.44]# make test
[root@localhost openldap-2.4.44]# make install

#对 openldap 客户端（bin）与服务器端（sbin）相关执行档添加软链接，也可以通过增加环境变量的方式设置
[root@localhost openldap-2.4.44]# cd /usr/local/openldap-2.4.44
[root@localhost openldap-2.4.44]# ln -s /usr/local/openldap-2.4.44/bin/* /usr/local/bin/
[root@localhost openldap-2.4.44]# ln -s /usr/local/openldap-2.4.44/sbin/* /usr/local/sbin/

#设置 rootdn 密码，这里设置为 123456；
#这样 rootdn 密码为密文方式，复制输出密文到主配置文件 rootdn 对应的位置即可，如果不想麻烦，可以忽略此步，在主配置文件中使用明文即可。
[root@localhost ~]# cd /usr/local/openldap-2.4.44/
[root@localhost openldap-2.4.44]# slappasswd
New password:
Re-enter new password:
{SSHA}K9+WK/t1e0V0K6pUMOyTsaTwkDBNEDiP

[root@localhost openldap-2.4.44]# cd /usr/local/openldap-2.4.44/etc/openldap/
[root@localhost openldap]# vim slapd.conf
#以下修改  紫红色字体是未做修改的部分，红色字体是有修改部分，蓝色字体表示新增部分

#schema 默认只有 core.schema，各级需要添加，这里将同配置文件一个目录的 schema 目录中有的 schema 文件都加到配置文件中;
5    include         /usr/local/openldap-2.4.44/etc/openldap/schema/core.schema
6    include /usr/local/openldap-2.4.44/etc/openldap/schema/collective.schema
7    include /usr/local/openldap-2.4.44/etc/openldap/schema/corba.schema
8    include /usr/local/openldap-2.4.44/etc/openldap/schema/cosine.schema
9    include /usr/local/openldap-2.4.44/etc/openldap/schema/duaconf.schema
10    include /usr/local/openldap-2.4.44/etc/openldap/schema/dyngroup.schema
11    include /usr/local/openldap-2.4.44/etc/openldap/schema/inetorgperson.schema
12    include /usr/local/openldap-2.4.44/etc/openldap/schema/java.schema
13    include /usr/local/openldap-2.4.44/etc/openldap/schema/misc.schema
14    include /usr/local/openldap-2.4.44/etc/openldap/schema/nis.schema
15    include /usr/local/openldap-2.4.44/etc/openldap/schema/openldap.schema
16    include /usr/local/openldap-2.4.44/etc/openldap/schema/pmi.schema
17    include /usr/local/openldap-2.4.44/etc/openldap/schema/ppolicy.schema

25    pidfile        /usr/local/openldap-2.4.44/var/run/slapd.pid
26    argsfile    /usr/local/openldap-2.4.44/var/run/slapd.args

#新增日志文件级别与路径，需要在编译时 --enable-debug，否则日志文件输出，不影响调试模式;
28    loglevel    256
29    logfile    /usr/local/openldap-2.4.44/var/slapd.log

#这里使用 mdb 做后端数据库，也可修改为 "bdb" 参数，在 OpenLDAP 官方文档 "11.4. LMDB" 章节中有介绍 mdb 是推荐使用的后端数据库;
67    database    mdb

#使用 mdb 做后端数据库时，根据官方文档中说明需要设置一个空间值，"In addition to the usual parameters that a minimal configuration requires, the mdb backend requires a maximum size to be set. This should be the largest that the database is ever anticipated to grow (in bytes). The filesystem must also provide enough free space to accommodate this size."；如果使用 bdb 做后端数据库，需要将此项参数注释;
68    maxsize        1073741824

#修改域名及管理员账户名;
69    suffix        "dc=sys,dc=com"
70    rootdn        "cn=admin,dc=sys,dc=com"

#使用密文密码，即前面使用 slappasswd 生成的密文;
74    rootpw        {SSHA}K9+WK/t1e0V0K6pUMOyTsaTwkDBNEDiP

#openldap 数据目录，采用 mdb 时，在相应目录生成 "data.mdb" 与 "lock.mdb" 文件；采用 bdb 时，在相应目录生成 "dn2id.bdb" 与 "id2entry.bdb"，及多个 "__db.00*" 文件。
78    directory    /usr/local/openldap-2.4.44/var/openldap-data

80    index    objectClass    eq

#如果采用 mdb 做后端数据库，此步可忽略，DB_CONFIG 是 bdb/hdb 数据库使用的；
#与主配置文件中的配置有关，主配置文件确定使用 bdb 与数据存放路径。
[root@localhost openldap]# cd /usr/local/openldap-2.4.44/var/openldap-data/
[root@localhost openldap-data]# cp DB_CONFIG.example DB_CONFIG

#直接在后台工作;
#非 root 用户不能监听端口 1~1024，如果是非 root 用户，有可能需要重新定义服务端口
[root@localhost ~]# /usr/local/openldap-2.4.44/libexec/slapd

#在前端工作，输出 debug 信息
[root@localhost ~]# /usr/local/openldap-2.4.44/libexec/slapd -d 256

[root@localhost ~]# ldapsearch -x -b ''-s base'(objectclass=*)'
#或者[root@localhost ~]# ldapsearch -x -b ''-s base'(objectclass=*)'namingContexts
#或者使用 netstat -tunlp | grep 389，ps -ef | grep slapd，ps aux | grep slapd 等也可。

#注意与 slapd.conf 文件中保持一致，下面的命令同理，
#本人曾在下面的 ldapadd 命令中将 "admin" 写成了 "amdin"，导致一直报 "ldap_bind: Invalid credentials (49)" 错(每次都是翻回上一条命令执行)，排查了 3 个小时左右才发现。
[root@localhost ~]# vim test.ldif

dn: dc=sys,dc=com
objectclass: dcObject
objectclass: organization
o: SYS.Inc
dc: sys

dn: cn=admin,dc=sys,dc=com
objectclass: organizationalRole
cn: admin

[root@localhost ~]# ldapadd -x -D "cn=admin,dc=sys,dc=com" -W -f test.ldif

[root@localhost ~]# ldapsearch -x -b 'dc=sys,dc=com' '(objectClass=*)'

#这里其实是先创建 1 个部门”it”，再在”it”部门创建了 1 个员工，实际上是两条命令
[root@localhost ~]# vim test2.ldif 

dn: ou=it,dc=sys,dc=com
ou: it
objectClass: organizationalUnit

dn: cn=test1,ou=it,dc=sys,dc=com
ou: it
cn: test1
sn: t1
objectClass: inetOrgPerson
objectClass: organizationalPerson

[root@localhost ~]# ldapadd -x -D "cn=admin,dc=sys,dc=com" -W -f test2.ldif

[root@localhost ~]# ldapsearch -x -b 'dc=sys,dc=com' '(objectClass=*)'