Instalando o novo OpenLDAP

por Laercio da Silva Motta – twitter: @laerciomasala

   Bem, depois de alguns dias sem postar nada, aqui estou eu. Hoje vou falar um pouco sobre o OpenLDAP, vou dividir em alguns posts(ainda não sei quantos heheh), pois bem, esse post será sobre a instalação dele(ta escrito no título né? Derr). Escolhi o OpenLDAP, porque na versão nova ele tem alguns macetes para deixar funcionando “a moda antiga”, sim, o OpenLDAP ficou diferente nessa versão(pelo menos para mim). Agora o OpenLDAP não vem mais com o arquivo slapd.conf no /etc/ldap/ e sim com uma pasta /etc/ldap/slapd.d/, nessa pasta ficam o formato inicial das configurações, mas(but), para configurar não basta editar os arquivos, nessa versão os dados ficam na árvore do LDAP, chamada de cn=config, as configurações tem que ser feitas via comandos, inclusive adicionar schemas também é um pouco complicado(minha opinião). Sem mais delongas:

O Sistema usado:
- Debian 6(Squeeze)
- Instalado em VM com KVM c/ LVM
- 512MB de Memória
- 1 Processador
- 10G de Espaço(HD)
- OpenLDAP v2.4.23

A instalação é simples(se já tiver instalado o LDAP na máquina, pule essa parte, vá para o backup):

apt-get install slapd ldap-utils
#pacotes básicos, lembrando que a instalação
#deve ser rodada com privilégios de root.

   Na instalação ele pede somente a senha de administrador, coloque uma senha qualquer. Depois da instalação se você fizer um slapcat ira ver que ele já tem algumas configurações, ignore-as, pois não serão usadas, prova disso, você deve excluir esse BD:

#Para o serviço do LDAP
service slapd stop
#Remove os arquivos(cuidado para não fazer coisa errada):
rm -rifv /var/lib/ldap/*

Agora use o dpkg-reconfigure para configurar de acordo:

dpkg-reconfigure -plow slapd

Vou resumir:

1. Omitir a configuração do servidor OpenLDAP? Não
2. Nome do domínio DNS: exemplo.com
3. Nome da organização: LDAP Configuration blog laerciomotta.com
4. Senha, e confirme a senha(coloque uma senha boa agora, números, letras, caracteres especiais)
5. Banco de Dados, sugiro HDB.
6. Deseja que seja removida a base quando usada com purge? Não
7. Permitir o protocolo LDAPv2? Sim
   

Depois de fechar com as configurações básicas, faça um backup dos dados:

slapcat > /root/backup.ldap

A partir de agora começa a configuração “a moda antiga”, let’s go!

1. Pare o serviço do OpenLDAP:
   # /etc/init.d/slapd stop
   ou
   # service slapd stop
2. Remova a pasta do slapd.d:
   # rm -rf /etc/ldap/slapd.d
3. Copie o arquivo de exemplo do slapd.conf para /etc/ldap/
   # cp /usr/share/doc/slapd/examples/slapd.conf /etc/ldap/ -v
   “/usr/share/doc/slapd/examples/slapd.conf” -> “/etc/ldap/slapd.conf”
4. Agora edite o arquivo slapd que se encontra em /etc/default/, na linha(4), você deve informar o caminho para o arquivo de configurações que havíamos copiado anteriormente:
   # vim /etc/default/slapd
   —————– DEVE FICAR ASSIM: —————–
   # Default location of the slapd.conf file or slapd.d cn=config directory. If
   # empty, use the compiled-in default (/etc/ldap/slapd.d with a fallback to
   # /etc/ldap/slapd.conf).
   SLAPD_CONF=“/etc/ldap/slapd.conf”
   # System account to run the slapd server under. If empty the server
   # will run as root.
   SLAPD_USER=”openldap”
   (…)
5. Salve e saia e só falta configurar o slapd.conf!
6. Basicamente teremos que alterar 3 ‘tags’:
• @BACKEND@ – É o banco de dados do Ldap, use o HDB(padrão)
• @SUFFIX@ – É o sufixo usado, por exemplo: “dc=exemplo,dc=com”
• @ADMIN@ – É o usuário administrador do Ldap com o sufixo, tire o comentário da linha rootdn e altere ela, exemplo: “rootdn cn=admin,dc=exemplo,dc=com”, você deve alterar todos os @ADMIN@ para o “cn=admin,dc=exemplo,dc=com”, se for usar.
• Logo abaixo do rootdn coloque a senha do OpenLDAP(não em texto plano, por favor), existe uma ferramenta que gera a senha para você, o slappasswd, basta digitar a senha 2x(duas vezes), e ele vai gerar um código em SSHA para você adicionar no arquivo(isso vale para os usuários criados futuramente, mais já é assunto para outro post):# slappasswd
  New password:
  Re-enter new password:
  {SSHA}s8WHrm5/oZTCpJp7s82mvm3fqS/aTTMC
• Copie essa linha do SSHA e cole no slapd.conf, com o rootpw antes da senha, vai ficar assim:
  (…)
  # rootdn directive for specifying a superuser on the database. This is needed
  # for syncrepl.
  rootdn “cn=admin,dc=exemplo,dc=com”
  rootpw {SSHA}s8WHrm5/oZTCpJp7s82mvm3fqS/aTTMC
  (…)
• As linhas 101-105 deve ser comentadas/removidas e a linha 121 removida, pois elas são ignoradas, como o rootdn sempre vai ter privilégios de administrador(ilimitado), fica redundante, comente essas linhas, caso precise usar de exemplo.
• Caso queira, pode ser eliminada as linhas 120 e 122 também. A linha na verdade diz que para leitura de qualquer programa vai ser liberado sem a necessidade de senha, sendo assim somente o admin pode gravar/ler e outros não terão a visualização da árvore. Se quiser que para na consulta seja necessário que se digite a senha, então comente essas linhas. Atenção: Implica no ldapsearch também, no caso terá que ser usado o -D <suffix> -W para consulta: ldapsearch -x -D cn=admin,dc=exemplo,dc=com -W
• Feche, salve as configurações.
7. Agora com o slapd.conf criado corretamente, paramos novamente o serviço do OpenLDAP (se estiver com ele aberto), e removemos o banco:
   # service slapd stop
   # rm -rfiv /var/lib/ldap/*
8. Com isso o slapcat vai estar limpo, suba o OpenLDAP para recriar os arquivos do Banco e depois pare novamente o serviço:
   # service slapd start
   # service slapd stop
9. Agora vamos restaurar o backup:
   # slapadd < /root/backup.ldap
   e subir o OpenLDAP novamente:
   # service slapd start
10. Feito isso o slapcat deve mostrar as suas configurações e tudo deve estar funcionando, agora é só popular o seu banco, com grupos, usuários…
11. E por último e não menos importante, no arquivo /etc/ldap/ldap.conf na linha comentada “BASE”, remova o comentário dela e coloque o seu suffix: dc=exemplo,dc=com
12. Agora você já pode executar o ldapsearch -x e as informações serão apresentadas.

OBS: Em algumas instalações é necessário refazer as permissões e reindexação dos índices do openldap em /var/lib/ldap, para isso faz-se necessário o uso do comando chown e slapindex:

service slapd stop
slapindex
chown openldap.openldap /var/lib/ldap/*
service slapd start

Arquivos de Exemplos: conf-ldap

   Gostaria de agradecer o @joaocdc que me ajudou a criar esse post. Até a próxima, comentem, críticas e sugestões serão bem-vindas 😉