Tutoriel Linux

Vollständige Anleitung zur Konfiguration Ihres OpenLDAP-Verzeichnisses unter Linux: Schritt-für-Schritt-Anleitung für Red Hat 9 und Debian 13

DébutantPublié par Julien Macé le 8 min de lecture

OpenLDAP und LDAP-Verzeichnis: Die Grundlagen für eine erfolgreiche Installation unter Linux verstehen

OpenLDAP ist eine unverzichtbare Open-Source-Lösung zur Verwaltung von LDAP-Verzeichnissen. Das Projekt entstand Ende der 1990er-Jahre als Antwort auf einen konkreten Bedarf: eine kostenlose, portable Implementierung, die den Standards des Lightweight Directory Access Protocol (LDAP) entspricht. Damals gab es nur wenige Alternativen, und diese waren oft proprietär, wie beispielsweise der Netscape Directory Server.

OpenLDAP dient primär der zentralen Verwaltung von Benutzer-, Gruppen- und Ressourceninformationen in einem hierarchischen Verzeichnis. Diese Zentralisierung ermöglicht Zugriffskontrolle, zentrale Authentifizierung und vereinfacht die Interoperabilität zwischen verschiedenen Anwendungen und Systemen. OpenLDAP wird in nahezu allen Unix/Linux-Umgebungen eingesetzt und lässt sich zudem in macOS, Windows (über WSL) und containerisierte Umgebungen wie Docker integrieren.

Im Rahmen dieses Tutorials liegt der Schwerpunkt auf Einfachheit und Kompatibilität mit gängigen Linux-Distributionen:

  • Red Hat 9 (und seine Ableitungen wie Rocky Linux, AlmaLinux, Fedora) unter Verwendung des Paketmanagers dnf ;
  • Debian 13 (sowie Ubuntu, Linux Mint) unter Verwendung des Managers geeignet.

Die Konfiguration von OpenLDAP erfordert sorgfältige Vorbereitung, insbesondere hinsichtlich Namenskonventionen (FQDNs), Netzwerkkonfiguration, Sicherheit (Firewalls, SELinux) und dem Verständnis der zugehörigen Dienste. Diese Schritt-für-Schritt-Anleitung beschreibt jede Installationsphase mit präzisen Befehlen und unterstützt Systemadministratoren beim Aufbau einer robusten und sicheren LDAP-Infrastruktur.

Neben der Installation ist es entscheidend, die wesentlichen Unterschiede zwischen OpenLDAP und anderen Lösungen wie Active Directory oder Samba zu verstehen, um die Ziele und Grenzen des LDAP-Servers in einer Linux-Infrastruktur klar zu definieren.

Wesentliche Unterschiede zwischen OpenLDAP, Active Directory und Samba im Linux-Ökosystem

Bevor wir uns mit einer konkreten Konfiguration befassen, ist es wichtig, OpenLDAP von anderen Technologien wie Active Directory und Samba zu unterscheiden. Diese Lösungen decken zwar teilweise Proxy-Anforderungen ab, weisen aber jeweils eigene technische und funktionale Besonderheiten auf.

OpenLDAP: ein leichtgewichtiges, modulares und anpassungsfähiges Verzeichnis

OpenLDAP ist die kostenlose Implementierung, die ausschließlich auf dem LDAP-Protokoll basiert. Es verwaltet die Strukturierung und hierarchische Organisation von Daten im Verzeichnis, bietet aber nicht nativ die vielen ergänzenden Dienste anderer Anbieter. Diese Modularität kann für Organisationen mit spezifischen Anforderungen von Vorteil sein: erweiterte Anpassungsmöglichkeiten, Integration in heterogene Umgebungen oder ein geringer Systembedarf.

Andererseits deckt OpenLDAP Aspekte wie komplexe Authentifizierung, Gruppenrichtlinienverwaltung oder Dienste, die speziell für Windows-Umgebungen entwickelt wurden, nicht direkt ab.

Active Directory: eine Komplettlösung für Windows-Umgebungen

Active Directory ist weit mehr als nur ein LDAP-Verzeichnis. Es integriert Kerberos für sichere Authentifizierung, nutzt DNS umfassend zur Namensauflösung und beinhaltet wichtige Dienste für die zentrale Verwaltung von Windows-Arbeitsstationen über Gruppenrichtlinienobjekte (GPOs). Diese umfangreiche Dienstschicht macht Active Directory in überwiegend Windows-basierten Umgebungen zur idealen Wahl, in Umgebungen mit mehreren Betriebssystemen jedoch weniger flexibel.

Samba: eine Brücke zwischen Linux/Unix und Windows

Samba spielt eine Schlüsselrolle in Linux-Infrastrukturen, indem es die Interoperabilität von SMB/CIFS mit Windows-Clients ermöglicht. Seit Version 4 kann Samba auch als kompatibler Active Directory-Domänencontroller fungieren und bietet somit eine kostenlose und effiziente Alternative zur Verwaltung von Netzwerkressourcen, Konten und Gruppen in einer plattformübergreifenden Umgebung.

Zusammenfassend lässt sich sagen, dass OpenLDAP für die strikte Nutzung von LDAP-Verzeichnissen unter Linux unerlässlich ist. Für komplexere Integrationsanforderungen mit Windows sind Samba oder Active Directory je nach Komplexität und Zielsetzung der Infrastruktur vorzuziehen.

Sorgfältige Vorbereitung des Linux-Servers vor der Installation von OpenLDAP auf Red Hat 9 und Debian 13

Die Stabilität einer LDAP-Installation hängt maßgeblich von der korrekten Servervorbereitung ab. Die Voraussetzungen unterscheiden sich je nachdem, ob Sie mit einer Red Hat- oder einer Debian-basierten Distribution arbeiten, aber bestimmte Grundprinzipien sind allgemein gültig und unerlässlich, um die Zuverlässigkeit und Sicherheit Ihres Verzeichnisses zu gewährleisten.

Definiere einen stabilen und konsistenten FQDN

Ein vollqualifizierter Domänenname (FQDN) ist unerlässlich, damit der LDAP-Server im Netzwerk eindeutig identifizierbar und erreichbar ist. In der Praxis kann beispielsweise der folgende Befehl verwendet werden, um den FQDN zu ändern:

sudo hostnamectl set-hostname ldap.it-connect.local

Als Nächstes muss die Datei geändert werden. /etc/hosts um die IP-Adresse des Servers mit diesem FQDN zu verknüpfen und so eine effiziente lokale Auflösung ohne DNS-Server zu gewährleisten:

sudo nano /etc/hosts

Fügen Sie in dieser Datei eine Zeile wie diese hinzu:

192.168.1.10 ldap.it-connect.local ldap

Dieser Schritt vermeidet häufig auftretende Probleme beim Zugriff und der Kommunikation mit dem LDAP-Server.

Netzwerksicherheit mit Firewall und SELinux konfigurieren

Die Firewall ist ein unverzichtbarer Schutz. Unter Debian ermöglicht UFW (Uncomplicated Firewall) eine einfache Regelverwaltung. Um den Standard-LDAP-Port (389/tcp) freizugeben, lautet der Befehl:

sudo ufw allow ldap

Bei Red Hat 9 erfolgt die Verwaltung über firewall-cmd :

sudo firewall-cmd --permanent --add-service=ldap
sudo firewall-cmd --reload

SELinux, insbesondere unter Red Hat, implementiert erweiterte Zugriffskontrollen. Ohne entsprechende Anpassungen kann es wichtige Kommunikationsvorgänge blockieren. Um die Nutzung von OpenLDAP zu ermöglichen, müssen die entsprechenden Booleschen Werte aktiviert werden.

sudo setsebool -P allow_ypbind=1 authlogin_nsswitch_use_ldap=1
sudo setsebool -P httpd_can_connect_ldap on

Dieser letzte Befehl ist optional, aber notwendig, wenn ein Webserver LDAP abfragen muss.

Zu überwachende Punkte in einer virtualisierten Umgebung

In virtualisierten Umgebungen müssen die Linux-VMs für Server und Clients im Bridged- oder NAT-Modus konfiguriert werden, um eine reibungslose Kommunikation zu gewährleisten. Darüber hinaus vermeidet ein klares IP-Adressierungsschema Konflikte und vereinfacht die Namensauflösung. Zum Beispiel:

  • LDAP-Server: 192.168.10.10
  • Linux-Client: 192.168.10.11
  • Windows-Client: 192.168.10.20

Eine fehlerhafte Adressierung oder ein eingeschränkter Netzwerkzugriff behindern die spätere Nutzung der LDAP-Konfiguration.

Detaillierte Installation von OpenLDAP unter Red Hat 9 und Debian 13: Befehle und bewährte Vorgehensweisen

Dieses Tutorial konzentriert sich auf zwei wichtige Linux-Distributionsfamilien: Red Hat 9 (und seine kompatiblen Derivate) und Debian 13. Obwohl die zugrundeliegende Logik ähnlich ist, unterscheiden sich die Befehle und Paketmanager. Es ist entscheidend, diese Unterschiede zu beachten, um Installationsfehler zu vermeiden und einen optimalen Betrieb des LDAP-Servers zu gewährleisten.

Installation unter Red Hat 9 (Beispiel mit Rocky Linux 9.6)

Die wichtigsten Schritte umfassen:

  1. Systemaktualisierung um sicherzustellen, dass alle Pakete auf dem neuesten Stand sind und somit Konflikte und Sicherheitslücken vermieden werden: 
    sudo dnf update -y && sudo dnf upgrade -y
  2. Installation des EPEL-Depots (Zusätzliche Pakete für Enterprise Linux) mit nützlichen Zusatzpaketen: 
    sudo dnf install epel-release -y
  3. OpenLDAP installieren mit den wichtigsten Paketen: 
    sudo dnf install openldap-servers openldap-clients -y
  4. Überprüfung des slapd-Dienstes (LDAP-Server): 
    systemctl status slapd
  5. Überwachung des Abhörens auf Port 389Dies bestätigt, dass LDAP bereit ist, Verbindungen anzunehmen: 
    ss -tulnp | grep 389

OpenLDAP ist nun installiert, aber noch nicht konfiguriert. Dieser Vorgang kann je nach Systemzustand einige Sekunden bis mehrere Minuten dauern.

Installation unter Debian 13

Der Ansatz ähnelt sehr dem von Red Hat, insbesondere in Bezug auf Folgendes:

  1. Paketaktualisierung um Stabilität und Sicherheit zu gewährleisten: 
    sudo apt update -y && sudo apt upgrade -y
  2. Hauptpakete installieren : 
    sudo apt-get install slapd ldap-utils -y

Während der Installation erscheint ein Konfigurationsfenster für das LDAP-Administratorpasswort. Es wird empfohlen, dieses Feld leer zu lassen und das Passwort später manuell festzulegen, um die Umgebung besser zu schützen.

Wie bei Red Hat ermöglicht der folgende Befehl die Überprüfung des Status des slapd-Dienstes:

systemctl status slapd

Und diese Meldung bestätigt, dass Port 389 tatsächlich aktiv ist: 

ss -tulnp | grep 389

Diese Installation schafft die notwendige Struktur, um anschließend Ihr benutzerdefiniertes LDAP-Verzeichnis zu konfigurieren.

OpenLDAP konfigurieren: Verzeichnisstruktur, Benutzerverwaltung und erweiterte LDAP-Sicherheit

Die Installation von OpenLDAP unter Linux ist wie das Legen des Fundaments. Der eigentliche Nutzen liegt in der Konfiguration des Verzeichnisses, der Erstellung von Organisationseinheiten (OUs), Gruppen und Benutzern sowie der Sicherung des Zugriffs. Diese Phase erfordert ein methodisches und sorgfältiges Vorgehen, um ein effizientes Identitätsmanagement im Informationssystem zu gewährleisten.

Definieren Sie die Struktur des LDAP-Verzeichnisses

Die LDAP-Struktur basiert auf einem hierarchischen Prinzip, wobei die Wurzel im Allgemeinen die Organisation repräsentiert. Beispielsweise könnte ein Unternehmen ein DNS-Suffix wie „.ldap“ verwenden. dc=it-connect,dc=localDiese Wurzel wird in mehrere Organisationseinheiten (OUs) unterteilt, typischerweise:

  • OU=Benutzer, Gruppierung aller Benutzerkonten
  • ODER=Gruppen, für Gruppenlisten
  • ODER=Diensteentsprechend den verschiedenen Abteilungen des Unternehmens

Diese Baumstruktur bestimmt, wie LDAP-Abfragen durchgeführt, Daten abgerufen und die Datensicherheit gewährleistet werden.

Erstellung und Verwaltung von Benutzerkonten und Gruppen

Nach der Konfiguration der Struktur müssen Benutzer angelegt und den entsprechenden Gruppen hinzugefügt werden. LDIF-Dateien (LDAP Data Interchange Format) ermöglichen den Massenimport von Einträgen. Beispiel für einen LDIF-Eintrag eines Benutzers:

dn: uid=nmartin,ou=Users,dc=it-connect,dc=local
Objektklasse: inetOrgPerson
uid: nmartin
sn: Martin
Vorname: Nathan
cn: Nathan Martin
Benutzerpasswort: {SSHA}verschlüsseltesPasswort

Die Verwendung von Werkzeugen wie ldapadd Oder ldapmodify erleichtert das Hinzufügen und Ändern dieser Einträge.

Stärken Sie die LDAP-Sicherheit

Das LDAP-Verzeichnis muss, insbesondere in einer Unternehmensumgebung, sicher geschützt sein. Es ist unerlässlich, Folgendes zu beachten:

  • Aktivieren Sie die TLS/SSL-Schicht, um die Kommunikation zu verschlüsseln und so die Übertragung von Passwörtern und sensiblen Daten im Klartext zu verhindern.
  • Konfigurieren Sie präzise Zugriffsregeln über Dateien slapd.conf oder Konfigurationen im LDIF-Format.
  • Implementieren Sie SASL- oder Kerberos-Authentifizierung für eine robuste Benutzerintegration.
  • Verwenden Sie Tools von Drittanbietern, um den Zugriff auf Verzeichnisse zu prüfen und zu überwachen.

Diese Maßnahmen gewährleisten die Vertraulichkeit, Integrität und Verfügbarkeit der in OpenLDAP gespeicherten Identifikations- und Authentifizierungsdaten.

Für eine detailliertere Auseinandersetzung mit fortgeschrittenen Konfigurationen stehen online verschiedene Ressourcen und spezialisierte Tutorials zur Verfügung, darunter auch solche, die in der offiziellen OpenLDAP-Dokumentation angeboten werden.