Tutoriel Linux

Kompletní průvodce konfigurací adresáře OpenLDAP v Linuxu: Podrobný návod pro Red Hat 9 a Debian 13

DébutantPublié par Julien Macé le 9 min de lecture

OpenLDAP a adresář LDAP: pochopení základů pro úspěšnou instalaci v Linuxu

OpenLDAP je základní open-source řešení pro správu adresářů LDAP. Tento projekt, zrozený koncem 90. let 20. století, vznikl v reakci na specifickou potřebu: bezplatná, přenosná implementace kompatibilní se standardy protokolu LDAP (Lightweight Directory Access Protocol). V té době byly alternativy vzácné a často proprietární, jako například Netscape Directory Server.

Primárním účelem OpenLDAP je centralizovat informace o uživatelích, skupinách a zdrojích v hierarchickém adresáři. Tato centralizace usnadňuje řízení přístupu, centralizovanou autentizaci a zjednodušuje interoperabilitu mezi různými aplikacemi a systémy. OpenLDAP, který se používá prakticky ve všech prostředích Unix/Linux, se také integruje s macOS, Windows prostřednictvím WSL a kontejnerizovanými prostředími, jako je Docker.

V kontextu tohoto tutoriálu je kladen důraz na jednoduchost a kompatibilitu s hlavními linuxovými distribucemi:

  • Červený klobouk 9 (a jeho deriváty jako Rocky Linux, AlmaLinux, Fedora) pomocí správce balíčků dnf ;
  • Debian 13 (stejně jako Ubuntu, Linux Mint) pomocí správce apt.

Konfigurace OpenLDAP vyžaduje pečlivou přípravu, zejména pokud jde o konvence pojmenování (FQDN), konfiguraci sítě, zabezpečení (firewally, SELinux) a pochopení souvisejících služeb. Tato podrobná příručka podrobně popisuje každou fázi instalace s přesnými příkazy, které mají systémovým administrátorům pomoci s nastavením robustní a bezpečné infrastruktury LDAP.

Kromě instalace je klíčovým bodem pochopení hlavních rozdílů mezi OpenLDAP a jinými řešeními, jako je Active Directory nebo Samba, aby bylo možné jasně definovat cíle a omezení serveru LDAP v linuxové infrastruktuře.

Klíčové rozdíly mezi OpenLDAP, Active Directory a Sambou v ekosystému Linuxu

Než se ponoříme do konkrétní konfigurace, je nezbytné odlišit OpenLDAP od jiných technologií, jako je Active Directory a Samba. Tato řešení někdy řeší potřeby proxy, ale každé z nich má svá vlastní technická a funkční specifika.

OpenLDAP: lehký, modulární a přizpůsobivý adresář

OpenLDAP je bezplatná implementace založená výhradně na protokolu LDAP. Spravuje strukturování a hierarchickou organizaci dat v adresáři, ale nativně nenabízí mnoho doplňkových služeb, které se nacházejí jinde. Tato modularita může být výhodou pro organizace se specifickými potřebami: pokročilé přizpůsobení, integrace do heterogenních prostředí nebo malá systémová zástavba.

Na druhou stranu OpenLDAP přímo nepokrývá aspekty, jako je komplexní ověřování, správa skupinových politik nebo služby určené pro prostředí Windows.

Active Directory: komplexní řešení pro prostředí Windows

Active Directory je mnohem víc než jen adresář LDAP. Integruje Kerberos pro bezpečné ověřování, rozsáhle využívá DNS pro překlad jmen a zahrnuje základní služby pro centralizovanou správu pracovních stanic Windows prostřednictvím objektů skupinových zásad (GPO). Tato hustá vrstva služeb činí z Active Directory přirozenou volbu v prostředích převážně Windows, ale méně flexibilní v prostředích s více operačními systémy.

Samba: most mezi Linuxem/Unixem a Windows

Samba hraje klíčovou roli v linuxových infrastrukturách tím, že umožňuje interoperabilitu SMB/CIFS s klienty Windows. Od verze 4 může Samba také fungovat jako kompatibilní řadič domény Active Directory, což nabízí bezplatnou a efektivní alternativu pro správu síťových prostředků, účtů a skupin v multiplatformním prostředí.

Stručně řečeno, pro striktní používání adresářů LDAP v Linuxu je OpenLDAP nezbytnou součástí. Pro složitější integrační potřeby s Windows bude v závislosti na složitosti a cílech infrastruktury preferována Samba nebo Active Directory.

Důkladná příprava Linuxového serveru před instalací OpenLDAP na Red Hat 9 a Debian 13

Robustnost instalace LDAP závisí do značné míry na správné přípravě serveru. Předpoklady se liší v závislosti na tom, zda pracujete s distribucí založenou na Red Hatu nebo Debianu, ale určité klíčové principy jsou společné a nezbytné pro zajištění spolehlivosti a zabezpečení vašeho adresáře.

Definujte stabilní a konzistentní plně kvalifikované doménové jméno (FQDN).

Plně kvalifikovaný název domény (FQDN) je nezbytný pro to, aby byl server LDAP v síti jednoznačně identifikovatelný a přístupný. V praxi lze k úpravě FQDN použít například následující příkaz:

sudo hostnamectl set-hostname ldap.it-connect.local

Dále je třeba soubor upravit /etc/hosts propojit IP adresu serveru s tímto FQDN, čímž se zajistí efektivní lokální rozlišení bez nutnosti DNS serveru:

sudo nano /etc/hosts

Do tohoto souboru přidejte řádek takto:

192.168.1.10 ldap.it-connect.local ldap

Tento krok zabraňuje běžným problémům s přístupem a komunikací se serverem LDAP.

Konfigurace zabezpečení sítě pomocí firewallu a SELinuxu

Firewall je nezbytnou obranou. V Debianu umožňuje UFW (Uncomplicated Firewall) jednoduchou správu pravidel. Pro povolení standardního portu LDAP (389/tcp) je příkaz:

sudo ufw povolit ldap

V Red Hatu 9 se správa provádí prostřednictvím firewall-cmd :

sudo firewall-cmd --permanent --add-service=ldap
sudo firewall-cmd --reload

SELinux, aktivní zejména na Red Hatu, mezitím zavádí pokročilé kontroly přístupu. Bez úprav může blokovat nezbytnou komunikaci. Pro použití OpenLDAP je nutné povolit příslušné booleovské hodnoty.

sudo setsebool -P allow_ypbind=1 authlogin_nsswitch_use_ldap=1
sudo setsebool -P httpd_can_connect_ldap zapnuto

Tento poslední příkaz je volitelný, ale nezbytný, pokud webový server potřebuje dotazovat LDAP.

Body k monitorování ve virtualizovaném prostředí

Pokud je prostředí virtualizované, musí být virtuální počítače s Linuxem pro servery a klienty nakonfigurovány v přemostěném režimu nebo režimu NAT, aby byla zajištěna bezproblémová komunikace. Jasné schéma adresování IP navíc zabraňuje konfliktům a zjednodušuje rozlišení jmen. Například:

  • LDAP server: 192.168.10.10
  • Linuxový klient: 192.168.10.11
  • Klient pro Windows: 192.168.10.20

Nesprávné adresování nebo omezený přístup k síti brání následnému použití konfigurace LDAP.

Podrobná instalace OpenLDAP na Red Hat 9 a Debian 13: příkazy a osvědčené postupy

Tento tutoriál se zaměřuje na dvě hlavní distribuční rodiny Linuxu: Red Hat 9 (a jeho kompatibilní deriváty) a Debian 13. Základní logika sice zůstává podobná, ale příkazy a správci balíčků se liší. Je důležité dodržovat toto rozlišení, abyste se vyhnuli chybám při instalaci a zajistili optimální provoz serveru LDAP.

Instalace pod Red Hat 9 (příklad s Rocky Linux 9.6)

Mezi hlavní kroky patří:

  1. Aktualizace systému aby se zajistila aktuálnost všech balíčků a zabránilo se tak konfliktům a bezpečnostním zranitelnostem: 
    sudo dnf update -y && sudo dnf upgrade -y
  2. Instalace depa EPEL (Doplňkové balíčky pro Enterprise Linux) obsahující užitečné doplňkové balíčky: 
    sudo dnf install epel-release -y
  3. Instalace OpenLDAP se základními balíčky: 
    sudo dnf install openldap-servery openldap-clients -y
  4. Kontrola služby slapd (LDAP server): 
    stav systemctl slapd
  5. Monitorování naslouchání na portu 389Tím se potvrdí, že LDAP je připraven přijímat připojení: 
    ss -tulnp | grep 389

Nakonec je OpenLDAP nainstalován, ale ještě není nakonfigurován. Tento proces může trvat od několika sekund do několika minut v závislosti na stavu vašeho systému.

Instalace pod Debianem 13

Tento přístup je velmi podobný přístupu Red Hatu, zejména s:

  1. Aktualizace balíčku pro zajištění stability a bezpečnosti: 
    sudo apt update -y && sudo apt upgrade -y
  2. Instalace hlavních balíčků : 
    sudo apt-get install slapd ldap-utils -y

Během instalace se zobrazí konfigurační okno pro heslo správce LDAP. Doporučuje se ponechat toto pole prázdné a potvrdit nastavení hesla později ruční konfigurací, čímž se lépe zabezpečí prostředí.

Stejně jako u Red Hatu vám následující příkaz umožňuje zkontrolovat stav služby slapd:

stav systemctl slapd

A tento potvrzuje, že port 389 skutečně naslouchá: 

ss -tulnp | grep 389

Tato instalace nastaví potřebnou strukturu pro následnou konfiguraci vlastního adresáře LDAP.

Konfigurace OpenLDAP: struktura adresářů, správa uživatelů a pokročilé zabezpečení LDAP

Instalace OpenLDAP v Linuxu je jako položení základů. Skutečná hodnota spočívá v konfiguraci adresáře, vytváření organizačních jednotek (OU), skupin a uživatelů a také v zabezpečení přístupu. Tato fáze vyžaduje metodický a důsledný přístup k zajištění efektivní správy identit v rámci informačního systému.

Definování struktury adresáře LDAP

Struktura LDAP je založena na hierarchickém principu, kde kořenový adresář obecně představuje organizaci. Například společnost může používat příponu DNS, jako je dc=it-connect,dc=localTento kořenový systém bude rozdělen do několika organizačních jednotek (OU), obvykle:

  • OU=Uživatelé, seskupení všech uživatelských účtů
  • NEBO=Skupiny, pro seznamy skupin
  • NEBO=Službyodpovídající různým oddělením společnosti

Tato stromová struktura určuje, jak se provádějí dotazy LDAP, jak se načítají data a jak se zabezpečují data.

Vytváření a správa uživatelských účtů a skupin

Po konfiguraci struktury je nutné vytvořit uživatele a přidat je do příslušných skupin. Soubory LDIF (LDAP Data Interchange Format) umožňují hromadný import položek. Příklad položky LDIF pro uživatele:

dn: uid=nmartin,ou=Uživatelé,dc=it-connect,dc=local
objectClass: inetOrgPerson
uid: nmartin
sn: Martin
GivenName: Nathan
režie: Nathan Martin
uživatelské heslo: {SSHA}zašifrované heslo

Použití nástrojů, jako jsou např. ldapadd Nebo ldapmodify usnadňuje přidávání a úpravy těchto položek.

Posílení zabezpečení LDAP

Adresář LDAP, zejména v podnikovém prostředí, musí být bezpečně zabezpečen. Je nezbytné:

  • Povolte vrstvu TLS/SSL pro šifrování komunikace, čímž zabráníte přenosu hesel a citlivých dat v otevřeném textu.
  • Konfigurace přesných pravidel přístupu prostřednictvím souborů slapd.conf nebo konfigurace ve formátu LDIF.
  • Pro robustní integraci uživatelů implementujte ověřování SASL nebo Kerberos.
  • Používejte nástroje třetích stran k auditu a monitorování přístupu k adresářům.

Tato opatření zaručují důvěrnost, integritu a dostupnost identifikačních a autentizačních dat uložených v OpenLDAP.

Pro hlubší ponoření se do pokročilé konfigurace jsou online k dispozici různé zdroje a specializované tutoriály, včetně těch, které nabízí oficiální dokumentace OpenLDAP.