Complete handleiding voor het configureren van uw OpenLDAP-directory op Linux: stapsgewijze handleiding voor Red Hat 9 en Debian 13

OpenLDAP en LDAP-directory: de basisprincipes voor een succesvolle installatie onder Linux begrijpen.

OpenLDAP is een essentiële open-source oplossing voor het beheren van LDAP-directory’s. Dit project is eind jaren negentig ontstaan ​​als antwoord op een specifieke behoefte: een gratis, draagbare implementatie die voldoet aan de standaarden van het Lightweight Directory Access Protocol (LDAP). Destijds waren er weinig alternatieven, en die waren vaak proprietair, zoals Netscape Directory Server.

Het primaire doel van OpenLDAP is het centraliseren van gebruikers-, groeps- en resource-informatie in een hiërarchische directory. Deze centralisatie vergemakkelijkt toegangscontrole, gecentraliseerde authenticatie en vereenvoudigt de interoperabiliteit tussen verschillende applicaties en systemen. OpenLDAP wordt gebruikt in vrijwel alle Unix/Linux-omgevingen en integreert ook met macOS, Windows via WSL en containeromgevingen zoals Docker.

In deze handleiding ligt de nadruk op eenvoud en compatibiliteit met de belangrijkste Linux-distributies:

• Rode Hoed 9 (en afgeleiden daarvan zoals Rocky Linux, AlmaLinux, Fedora) met behulp van de pakketbeheerder dnf ;
• Debian 13 (evenals Ubuntu en Linux Mint) met behulp van de manager geschikt.

Het configureren van OpenLDAP vereist zorgvuldige voorbereiding, met name op het gebied van naamgevingsconventies (FQDN’s), netwerkconfiguratie, beveiliging (firewalls, SELinux) en inzicht in de bijbehorende services. Deze stapsgewijze handleiding beschrijft elke fase van de installatie met precieze commando’s, om systeembeheerders te begeleiden bij het opzetten van een robuuste en veilige LDAP-infrastructuur.

Naast de installatie is het cruciaal om de belangrijkste verschillen tussen OpenLDAP en andere oplossingen zoals Active Directory of Samba te begrijpen, om de doelstellingen en beperkingen van de LDAP-server in een Linux-infrastructuur duidelijk te kunnen definiëren.

Belangrijkste verschillen tussen OpenLDAP, Active Directory en Samba in het Linux-ecosysteem

Voordat we dieper ingaan op een specifieke configuratie, is het essentieel om OpenLDAP te onderscheiden van andere technologieën zoals Active Directory en Samba. Deze oplossingen voorzien soms in proxybehoeften, maar elk heeft zijn eigen technische en functionele bijzonderheden.

OpenLDAP: een lichtgewicht, modulair en aanpasbaar directorysysteem

OpenLDAP is een gratis implementatie die uitsluitend gebaseerd is op het LDAP-protocol. Het beheert de structurering en hiërarchische organisatie van gegevens in de directory, maar biedt niet standaard de vele aanvullende diensten die elders wel beschikbaar zijn. Deze modulariteit kan een voordeel zijn voor organisaties met specifieke behoeften: geavanceerde aanpassingsmogelijkheden, integratie in heterogene omgevingen of een kleine systeemvoetafdruk.

Aan de andere kant biedt OpenLDAP geen directe ondersteuning voor aspecten zoals complexe authenticatie, groepsbeleidsbeheer of services die specifiek zijn voor Windows-omgevingen.

Active Directory: een alles-in-één oplossing voor Windows-omgevingen

Active Directory is veel meer dan alleen een LDAP-directory. Het integreert Kerberos voor veilige authenticatie, maakt uitgebreid gebruik van DNS voor naamresolutie en omvat essentiële services voor gecentraliseerd beheer van Windows-werkstations via groepsbeleidsobjecten (GPO’s). Deze uitgebreide servicelaag maakt Active Directory een logische keuze in overwegend Windows-omgevingen, maar minder flexibel in omgevingen met meerdere besturingssystemen.

Samba: een brug tussen Linux/Unix en Windows

Samba speelt een cruciale rol in Linux-infrastructuren door interoperabiliteit tussen SMB/CIFS en Windows-clients mogelijk te maken. Sinds versie 4 kan Samba ook fungeren als een compatibele Active Directory-domeincontroller, wat een gratis en efficiënt alternatief biedt voor het beheren van netwerkbronnen, accounts en groepen in een platformonafhankelijke omgeving.

Samenvattend is OpenLDAP een essentieel onderdeel voor strikt LDAP-directorygebruik onder Linux. Voor complexere integratiebehoeften met Windows zijn Samba of Active Directory de voorkeur, afhankelijk van de complexiteit en doelstellingen van de infrastructuur.

Grondige voorbereiding van de Linux-server vóór de installatie van OpenLDAP op Red Hat 9 en Debian 13.

De robuustheid van een LDAP-installatie hangt grotendeels af van een goede servervoorbereiding. De vereisten verschillen afhankelijk van of u met een Red Hat- of Debian-gebaseerde distributie werkt, maar bepaalde belangrijke principes zijn gemeenschappelijk en essentieel om de betrouwbaarheid en veiligheid van uw directory te garanderen.

Definieer een stabiele en consistente FQDN.

Een volledig gekwalificeerde domeinnaam (FQDN) is essentieel voor een LDAP-server om uniek identificeerbaar en toegankelijk te zijn op het netwerk. In de praktijk kan bijvoorbeeld de volgende opdracht worden gebruikt om de FQDN te wijzigen:

sudo hostnamectl set-hostname ldap.it-connect.local

Vervolgens moet het bestand worden aangepast. /etc/hosts om het IP-adres van de server aan deze FQDN te koppelen, waardoor een efficiënte lokale resolutie wordt gegarandeerd zonder dat een DNS-server nodig is:

sudo nano /etc/hosts

Voeg in dit bestand een regel toe zoals deze:

192.168.1.10 ldap.it-connect.local ldap

Deze stap voorkomt veelvoorkomende problemen met de toegang tot en de communicatie met de LDAP-server.

Configureer netwerkbeveiliging met firewall en SELinux.

De firewall is een essentiële verdediging. Op Debian maakt UFW (Uncomplicated Firewall) eenvoudig regelbeheer mogelijk. Om de standaard LDAP-poort (389/tcp) toe te staan, gebruikt u het volgende commando:

sudo ufw allow ldap

Op Red Hat 9 wordt het beheer gedaan via firewall-cmd :

sudo firewall-cmd --permanent --add-service=ldap
sudo firewall-cmd --reload

Ondertussen legt SELinux, met name actief op Red Hat, geavanceerde toegangscontroles op. Zonder aanpassingen kan het essentiële communicatie blokkeren. De juiste booleans moeten worden ingeschakeld om het gebruik van OpenLDAP mogelijk te maken.

sudo setsebool -P allow_ypbind=1 authlogin_nsswitch_use_ldap=1
sudo setsebool -P httpd_can_connect_ldap on

Deze laatste opdracht is optioneel, maar noodzakelijk als een webserver LDAP moet raadplegen.

Aandachtspunten in een gevirtualiseerde omgeving

Als de omgeving gevirtualiseerd is, moeten de Linux-VM’s voor servers en clients in bridged- of NAT-modus worden geconfigureerd om een ​​vlotte communicatie te garanderen. Bovendien voorkomt een duidelijk IP-adresschema conflicten en vereenvoudigt het de naamresolutie. Bijvoorbeeld:

• LDAP-server: 192.168.10.10
• Linux-client: 192.168.10.11
• Windows-client: 192.168.10.20

Een onjuiste adressering of beperkte netwerktoegang belemmert het latere gebruik van de LDAP-configuratie.

Gedetailleerde installatie van OpenLDAP op Red Hat 9 en Debian 13: commando’s en best practices

Deze handleiding richt zich op twee belangrijke Linux-distributies: Red Hat 9 (en de compatibele afgeleiden daarvan) en Debian 13. Hoewel de onderliggende logica vergelijkbaar is, verschillen de commando’s en pakketbeheerders. Het is cruciaal om dit onderscheid te respecteren om installatiefouten te voorkomen en ervoor te zorgen dat de LDAP-server optimaal geconfigureerd is.

Installatie onder Red Hat 9 (voorbeeld met Rocky Linux 9.6)

De belangrijkste stappen zijn:

1. Systeemupdate Om ervoor te zorgen dat alle pakketten up-to-date zijn en zo conflicten en beveiligingslekken te voorkomen:

   sudo dnf update -y && sudo dnf upgrade -y

2. Installatie van het EPEL-depot (Extra Packages for Enterprise Linux) met nuttige extra pakketten:

   sudo dnf installeer epel-release -y

3. OpenLDAP installeren met de essentiële pakketten:

   sudo dnf install openldap-servers openldap-clients -y

4. De slapd-service controleren (LDAP-server):

   systemctl status slapd

5. Het afluisteren op poort 389 wordt gemonitord.Dit bevestigt dat LDAP klaar is om verbindingen te accepteren:

   ss -tulnp | grep 389

Tot slot is OpenLDAP geïnstalleerd, maar nog niet geconfigureerd. Dit proces kan enkele seconden tot enkele minuten duren, afhankelijk van de status van uw systeem.

Installatie onder Debian 13

De aanpak is zeer vergelijkbaar met die van Red Hat, met name op de volgende punten:

1. Pakketupdate om stabiliteit en veiligheid te garanderen:

   sudo apt update -y && sudo apt upgrade -y

2. Hoofdpakketten installeren :

   sudo apt-get install slapd ldap-utils -y

Tijdens de installatie verschijnt een configuratievenster voor het LDAP-beheerderswachtwoord. Het is aan te raden dit veld leeg te laten en het wachtwoord later handmatig in te stellen, waardoor de omgeving beter beveiligd is.

Net als bij Red Hat kunt u met het volgende commando de status van de slapd-service controleren:

systemctl status slapd

En dit bevestigt dat poort 389 inderdaad luistert:

ss -tulnp | grep 389

Deze installatie zet de noodzakelijke structuur op om vervolgens uw aangepaste LDAP-directory te configureren.

OpenLDAP configureren: directorystructuur, gebruikersbeheer en geavanceerde LDAP-beveiliging

OpenLDAP installeren op Linux is als het leggen van de fundering. De echte waarde zit hem in het configureren van de directory, het aanmaken van organisatie-eenheden (OU’s), groepen en gebruikers, en het beveiligen van de toegang. Deze fase vereist een methodische en rigoureuze aanpak om efficiënt identiteitsbeheer binnen het informatiesysteem te garanderen.

Definieer de structuur van de LDAP-directory.

De LDAP-structuur is gebaseerd op een hiërarchisch principe, waarbij de root over het algemeen de organisatie vertegenwoordigt. Een bedrijf kan bijvoorbeeld een DNS-achtervoegsel gebruiken zoals dc=it-connect,dc=localDeze hoofdstructuur wordt opgesplitst in verschillende organisatorische eenheden (OU’s), doorgaans:

• OU=Gebruikers, waarbij alle gebruikersaccounts worden gegroepeerd
• OF=Groepen, voor groepslijsten
• OF=Dienstenovereenkomend met de verschillende afdelingen van het bedrijf

Deze boomstructuur bepaalt hoe LDAP-query’s worden uitgevoerd, hoe gegevens worden opgehaald en hoe de gegevensbeveiliging verloopt.

Aanmaken en beheren van gebruikersaccounts en groepen

Na het configureren van de structuur moeten gebruikers worden aangemaakt en aan de juiste groepen worden toegevoegd. LDIF-bestanden (LDAP Data Interchange Format) maken het mogelijk om gegevens in bulk te importeren. Een voorbeeld van een LDIF-bestand voor een gebruiker:

dn: uid=nmartin,ou=Users,dc=it-connect,dc=local
objectClass: inetOrgPerson
uid: nmartin
sn: Martijn
voornaam: Nathan
cn: Nathan Martin
gebruikerswachtwoord: {SSHA}versleuteldwachtwoord

Het gebruik van hulpmiddelen zoals ldapadd Of ldapmodify Dit maakt het toevoegen en wijzigen van deze gegevens mogelijk.

Versterk de LDAP-beveiliging

De LDAP-directory, met name in een bedrijfsomgeving, moet goed beveiligd zijn. Het is essentieel om:

• Schakel de TLS/SSL-laag in om communicatie te versleutelen en zo te voorkomen dat wachtwoorden en gevoelige gegevens in platte tekst worden verzonden.
• Configureer nauwkeurige toegangsregels via bestanden. slapd.conf of configuraties in LDIF-formaat.
• Implementeer SASL- of Kerberos-authenticatie voor een robuuste gebruikersintegratie.
• Gebruik tools van derden om de toegang tot mappen te controleren en te bewaken.

Deze maatregelen garanderen de vertrouwelijkheid, integriteit en beschikbaarheid van identificatie- en authenticatiegegevens die in OpenLDAP zijn opgeslagen.

Voor meer informatie over geavanceerde configuratiemogelijkheden zijn er online diverse bronnen en gespecialiseerde handleidingen beschikbaar, waaronder die in de officiële OpenLDAP-documentatie.