Nächste Seite: Das LPRng_power-Paket Aufwärts: eisfair-Dokumentation Vorherige Seite: Das LDAPclient-Paket Inhalt Index
Dieses Paket ist eine Weiterentwicklung des openldap-Paketes von Jens Vehlhaber (E-MAIL jvehlhaber@buchenwald.de). Es enthält einzig die LDAP-Server-Programme, die LDAP-Client-Programme wurden in ein eigenständiges Paket mit Namen 'LDAPclient' ausgelagert.
In diesem Paket wurden die für den Betrieb eines LDAP-Servers (Lightweight Directory Access Protocol) benötigten Programme zusammengefasst.
Das LDAPserver-Paket besteht aus folgenden Komponenten:
Dieses Paket benötigt zur korrekten Funktion die folgenden Pakete: certs (bei Aktivierung der Verschlüsselung), ldapclient, libdb4, libkrb5-1-4, libldap, libsasl, libssl und libwrap7-6.
Das LDAPserver-Paket wird über das Setup-Menü installiert. Wird eine ältere Paketversion vorgefunden, so wird diese deinstalliert bevor die neuen Programmdateien installiert werden. Nach dem Installieren der Programmdateien wird direkt der Konfigurations-Editor gestartet um die Konfiguration anzupassen. Nach Beendigung dieses Schrittes werden die Konfigurationsdateien generiert und alle benötigten Programme gestartet.
Das Menü im Setup-Programm ist wie folgt aufgebaut:
Die Menüpunkte dürften selbsterklärend sein, da sie keinerlei weitere Eingaben erwarten. Aus diesem Grund wird auf deren Funktion nicht weiter eingegangen.
Die Konfiguration kann über den Menüpunkt 'Edit configuration' geändert werden. Standardmäßig wird der Editor aufgerufen, der in der Environment- Konfiguration über die Variable 'EDITOR' festgelegt wurde. Nachdem der Editor beendet wurde wird abgefragt, ob die Konfiguration aktiviert werden soll. Wird dies bestätigt, werden über ein Skript die Anpassungen umgehend wirksam gemacht.
In der Konfigurationsdatei, die über das Menü zugänglich ist, sind folgende Parameter vorhanden; wer sie von Hand editieren will findet sie unter /etc/config.d/ldapserver.
Gültige Werte: yes, no
Standardeinstellung: START_LDAPSERVER='no'
Gültige Werte: Base Domain Component
Standardeinstellung: LDAPSERVER_LDAP_BASEDC='privatnet'
Gültige Werte: Base Distinguished Name
Standardeinstellung: LDAPSERVER_LDAP_BASEDN='dc=privatnet,dc=lan'
Gültige Werte: LDAP-Accountname
Standardeinstellung: LDAPSERVER_LDAP_ADMIN_NAME='ldapadmin'
Gültige Werte: gültiges Kennwort
Standardeinstellung: LDAPSERVER_LDAP_ADMIN_PASS=”
Gültige Werte: default, tls or both
Standardeinstellung: LDAPSERVER_TRANSPORT='default'
Gültige Werte: none, auto, tls1, ssl3 oder ssl2
Standardeinstellung: LDAPSERVER_TLS_PROTOCOL='none'
ignore - Ein Client-Zertifikat wird nicht abgefragt oder ausgewertet.
yes - Ein Client-Zertifikat wird abgefragt. Wird kein Zertifikat zur Verfügung gestellt oder ein ungültiges Zertifikat zur Verfügung gestellt, so wird eine Verbindung umgehend beendet.
no - Ein Client-Zertifikat wird abgefragt. Wird kein Zertifikat zur Verfügung gestellt, so wird eine Verbindung aufrecht erhalten. Wird ein ungültiges Zertifikat zur Verfügung zur Verfügung gestellt, so wird eine Verbindung umgehend beendet.
Gültige Werte: ignore, yes, no
Standardeinstellung: LDAPSERVER_CLIENT_FORCE_TLS='ignore'
Gültige Werte: yes, no
Standardeinstellung: LDAPSERVER_MONITOR_ENABLED='no'
Gültige Werte: yes, no
Standardeinstellung: LDAPSERVER_BACKUP='no'
Gültige Werte: Absoluter Verzeichnispfad
Standardeinstellung: LDAPSERVER_BACKUP_PATH='/backup'
D.h. bei Verwendung der Standardeinstellung wird jeden Sonntag um 02:03h eine Sicherung der LDAP-Datenbank durchgeführt. Wer Näheres über die verwendete Befehlssyntax erfahren möchte, sollte über eine Internet-Suchmaschine nach `man' und `crontab' suchen.
Gültige Werte: Crontab-spezifischer Parametereintrag
Standardeinstellung: LDAPSERVER_BACKUP_CRON_SCHEDULE='3 2 * * 0'
ldapsearch -h localhost -x -D cn=ldapadmin,dc=privatnet,dc=lan -b 'cn=Monitor' -W -s base '(objectClass=*)' '*' '+'
Will man z.B. die verfügbaren Backends anzeigen, so gibt man den folgenden Befehl ein:
ldapsearch -h localhost -x -D cn=ldapadmin,dc=privatnet,dc=lan -b 'cn=Backends,cn=Monitor' -W -s base '(objectClass=*)' '*' '+'
openssl s_client -connect localhost:636 -showcerts -state -CAfile /var/certs/ssl/certs/ca.pem
eis slapd[19429]: sql_select option missing
eis slapd[19429]: auxpropfunc error no mechanism available
eis slapd[19429]: _sasl_plugin_load failed on sasl_auxprop_plug_init
for plugin: sql
Diese Meldungen werden durch die im Verzeichnis /usr/lib/sasl2 befindlichen SQL-Include-Dateien 'libsql.so*' verursacht, welche bei der Initialisierung der SASL2-Funktionen geladen werden. Diese Meldungen haben keinen Einfluss auf die Funktionen des LDAP-Servers und können ignoriert werden. Alternativ können auch die genannten Include-Dateien umbenannt bzw. gelöscht werden, was unter Umständen jedoch die Funktion anderer Pakete beeinflussen kann.
Beispiel:
Belgien -> BE Deutschland -> DE Liechtenstein -> LI Luxemburg -> LU Niederlande -> NL Österreich -> AT Schweiz -> CH
ldapsearch -x -D cn=ldapadmin,dc=privatnet,dc=lanW > output.ldif
Importieren einer LDIF-Datei in das LDAP-Verzeichnis:
ldapadd -x -D cn=ldapadmin,dc=privatnet,dc=lanW -f input.ldif
config - Diese Schnittstelle gewährt den Zugriff auf die Konfiguration eines LDAP-Servers.
bdb - Die Oracle Berkeley Datenbank wird standardmäßig für das Speichern der LDAP-Daten verwendet.
hdb - Die Hierarchical Oracle Berkeley Datenbank ist größtenteils identisch mit der 'bdb', unterstützt jedoch zusätzlich einen hierarchisches Datenbankaufbau und und erlaubt das Umbenennen von Datenbankzweigen.
ldap - Die LDAP-Schnittstelle leitet Anfragen an einen entfernten LDAP-Server weiter und agiert als eine Art Forwarding Proxy für LDAP-Anfragen.
ldif - Die LDIF-Schnittstelle speichert LDAP-Daten im LDIF-Dateiformat.
meta - Diese Schnittstelle ist größtenteils identisch mit der 'ldap', dient aber hauptsächlich dazu Anfragen an mehrere entfernte LDAP-Server weiter zu leiten und erlaubt zusätzlich die Maskierung von Datenbankzweigen.
monitor - Diese Schnittstelle gewährt den Zugriff auf Statusdaten eines LDAP-Servers.
relay - Diese Schnittstelle erlaubt es in der gleichen LDAP-Instanz Datenbankzweige umzubenennen und in virtuelle Zweige umzuleiten. Dabei können Attribut- und Objekteigenschaften manipuliert werden.
Die Details dieses Prozesses werden hier erklärt: http://blogs.technet.com/b/askds/archive/2009/09/21/understanding-ldap-security-processing.aspx