LDAP

LDAP ist ein Kommunikationsprotokoll zur Abfrage von Inhalten und Bearbeitung von Verzeichnissen. („Lightweight Directory Access Protocol“).

Die Verwendung dieses Protokolls in der Mauerseglerei ist im Artikel Active Directory- und LDAP Schnittstellen beschrieben.

Verwendung

LDAP wird verwendet um Daten aus einem Verzeichnis abzufragen oder zu bearbeiten. Ein häufiger Anwendungsfall ist die Authentifizierung von Usern (siehe auch Zentrale Benutzerverwaltung).

LDAP wird sehr häufig in Kombination mit Microsofts Active Directory verwendet, es gibt aber auch ein Standalone LDAP-Verzeichnis.

Begriffe

• Ein Eintrag (Entry) stellt in einem LDAP-Verzeichnis eine Einheit dar. Ein Eintrag wird durch seinen eindeutigen Namen (Distinguished Name, kurz DN) identifiziert.
• Attribute sind direkt mit dem Eintrag zusammenhängende Informationen. Eine Organisation könnte zum Beispiel ein LDAP-Eintrag sein. Mit dieser Organisation verknüpfte Attribute können zum Beispiel die Faxnummer, die Adresse usw. sein. Auch Mitarbeiter können Einträge in einem LDAP-Verzeichnis sein. Übliche Attribute für Mitarbeiter sind u.a. Telefonnummern und E-Mail-Adressen.
• LDIF: Das LDAP-Datenaustauschformat (LDAP Data Interchange Format, LDIF) ist ein ASCII-Textformat für LDAP-Einträge. Dateien, die Daten von einem LDAP-Server importieren oder auf einen LDAP-Server exportieren, müssen im LDIF-Format vorliegen.
• Ein LDAP–Schema definiert die Liste möglicher Typen von Einträgen (die man als Objektklassen bezeichnet) zusammen mit den mit ihnen verknüpften Attributen. Schema-Definitionen werden in Dateien gespeichert. Jeder LDAP-Server hat ein oder mehrere bekannte Standard-Schemas, auf das man immer zurückgreifen kann.

Standalone Server anlegen

Wenn man einen LDAP-Server manuell anlegen möchte folge ich dieser Anleitung: https://plusenergie-blog.de/smart-home/802-1x-mit-freeradius-und-openldap/

Wir gehen hier von einer Debian-Maschine aus.

Erst mal das OpenLDAP-Paket installieren:

apt-get install slapd ldap-utils

Falls die Konfiguration des LDAP-Server (slapd) übersprungen wurde oder was geändert werden muss, einfach den Befehl dpkg-reconfigure slapd ausführen.

Die relevanten Einstellungen für den LDAP-Server sind:
DNS domain name: server.example.org
Organization name: Familie Mustermann
Administrator password: (gut merken!)
Database backend: MDB
Allow LDAPv2 protocol? no

Mit dem Befehl slapcat kann man sich die Konfigurationsdaten anzeigen lassen.

Ich experimentiere gerade mit einem ganz promitiven Basisschema, das an jenes von Univention angelehnt ist. (Anmerkung cn=container)

dn: cn=users,dc=it,dc=mauerseglerei,dc=at
objectClass: organizationalRole
cn: users

dn: cn=groups,dc=it,dc=mauerseglerei,dc=at
objectClass: organizationalRole
cn: groups

Mit folgendem Befehl werden die neuen Einträge angelegt:

ldapadd -x -D cn=admin,dc=it,dc=mauerseglerei,dc=at -W -f base.ldif

Hier ist meine erste experimentelle Person (was man braucht siehe hier: https://tylersguides.com/guides/openldap-how-to-add-a-user/ )

dn: uid=adrian_kowar,cn=users,dc=it,dc=mauerseglerei,dc=at
objectClass: person
objectClass: posixAccount
cn: adrian_kowar
uid: adrian_kowar
sn: 1002
uidNumber: 1002
gidNumber: 1002
homeDirectory: /home/adrian_kowar
loginShell: /bin/bash
gecos: adrian_kowar
userPassword: {crypt}x

Clients

Die meisten von uns verwendeten Clients sind im Artikel Active Directory- und LDAP Schnittstellen beschrieben. Das unten folgende Beispiel benutzten wir nur um unseren LDAP-Server zur testen.

Linux + LDAP

Auf z.B. dem WordPress-Server habe ich den ldap-client installiert und in der /etc/ldap/ldap.conf die IP-Adresse des UCS hinterlegt.

# See ldap.conf(5) for details
# This file should be world readable but not world writable.

#BASE   dc=example,dc=com
URI     ldap://user.mauerseglerei.at:7389

#SIZELIMIT      12
#TIMELIMIT      15
#DEREF          never

# TLS certificates (needed for GnuTLS)
TLS_CACERT      /etc/ssl/certs/ca-certificates.crt

Test mittels:

ldapsearch -x -D uid=Administrator,cn=users,dc=it,dc=mauerseglerei,dc=at -W uid=Vorname_Nachname

Hierbei ist nach -D die BindDN angegeben und -W ist die Aufforderung nach einer direkten Passwortabfrage. Danach kommt die eigentliche Suche.

Weiterführende Artikel

Zuletzt bearbeitet am 7. Juli 2022 von Adrian Kowar