• -x: nepoužije SASL metódu autentifikácie, ktorá je predvolená.
• -LLL: zabráni vypísaniu informácií o LDIF schéme.

1. Najskôr nastavíme server výrobcu. Skopírujeme nasledujúce riadky do súboru s názvom provider_sync.ldif:

   # Pridá indexy do databázy popredia.
   dn: olcDatabase={1}hdb,cn=config
   changetype: modify
   add: olcDbIndex
   olcDbIndex: entryCSN eq
   -
   add: olcDbIndex
   olcDbIndex: entryUUID eq
    
   #Načíta moduly syncprov a accesslog.
   dn: cn=module{0},cn=config
   changetype: modify
   add: olcModuleLoad
   olcModuleLoad: syncprov
   -
   add: olcModuleLoad
   olcModuleLoad: accesslog
    
   # Definície databázy accesslog
   dn: olcDatabase={2}hdb,cn=config
   objectClass: olcDatabaseConfig
   objectClass: olcHdbConfig
   olcDatabase: {2}hdb
   olcDbDirectory: /var/lib/ldap/accesslog
   olcSuffix: cn=accesslog
   olcRootDN: cn=admin,dc=nieco,dc=sk
   olcDbIndex: default eq
   olcDbIndex: entryCSN,objectClass,reqEnd,reqResult,reqStart
    
   # Accesslog db syncprov.
   dn: olcOverlay=syncprov,olcDatabase={2}hdb,cn=config
   changetype: add
   objectClass: olcOverlayConfig
   objectClass: olcSyncProvConfig
   olcOverlay: syncprov
   olcSpNoPresent: TRUE
   olcSpReloadHint: TRUE
    
   # syncrepl Výrobcu pre primárnu db
   dn: olcOverlay=syncprov,olcDatabase={1}hdb,cn=config
   changetype: add
   objectClass: olcOverlayConfig
   objectClass: olcSyncProvConfig
   olcOverlay: syncprov
   olcSpNoPresent: TRUE
    
   # Prekryje definície accesslog pre primárnu db
   dn: olcOverlay=accesslog,olcDatabase={1}hdb,cn=config
   objectClass: olcOverlayConfig
   objectClass: olcAccessLogConfig
   olcOverlay: accesslog
   olcAccessLogDB: cn=accesslog
   olcAccessLogOps: writes
   olcAccessLogSuccess: TRUE
   # Prehľadá accesslog DB každý deň a odstráni záznamy staršie ako 7 dní
   olcAccessLogPurge: 07+00:00 01+00:00

2. Teraz je potrebné upraviť profil AppArmor pre slapd a zadať do neho umiestnenie databázy accesslog. Otvoríme súbor /etc/apparmor.d/usr.sbin.slapd a pridáme:

     /var/lib/ldap/accesslog/ r,
     /var/lib/ldap/accesslog/** rwk,

   Potom vytvoríme priečinok, znova načítame profil apparmor a skopírujeme súbor DB_CONFIG:

   sudo -u openldap mkdir /var/lib/ldap/accesslog
   sudo -u openldap cp /var/lib/ldap/DB_CONFIG /var/lib/ldap/accesslog/
   sudo /etc/init.d/apparmor reload

   Pomocou voľby -u openldap za príkazom sudo odstránime potrebu nastavovania práv pre novovytvorený priečinok.

3. Otvoríme súbor a zmeníme nastavenie olcRootDN tak, aby sa zhodoval s naším adresárom:

   olcRootDN: cn=admin,dc=nieco,dc=sk

4. Potom LDIF súbor pridáme pomocou nástroja ldapadd utility:

   sudo ldapadd -Y EXTERNAL -H ldapi:/// -f provider_sync.ldi

5. Reštartujeme slapd:

   sudo /etc/init.d/slapd restart

Konfigurácia spotrebiteľa

Databáza popredia by teraz mala byť synchronizovaná medzi oboma servermi. Podľa predchádzajúcich krokov môžeme v prípade potreby pridať aj ďalšie servery.

Démon slapd bude v predvolenom stave odosielať záznamy do súboru /var/log/syslog. Takže ak niečo neprebehne tak, ako má, nájdeme v ňom zapísané zaznamy o chybách a ďalšie informácie potrebné pre vyriešenie problému. Je potrebné sa tiež uistiť, či sú všetky servery známe pod úplnou doménovou adresou – Fully Qualified Domain Name (FQDN). V súbore /etc/hosts by malo byť zapísané niečo podbné tomuto: 127.0.0.1 ldap01.nieco.sk ldap01 .

Ak sme medzi servermi nastavili Syncrepl, je rozumné zašifrovať replikačnú komunikáciu pomocou Transport Layer Security (TLS). Viac informácii o replíkácii nájdeme v časti “Replikácia LDAP”.

Za predpokladu, že sme sa pomocou predchádzajúcich inštrukcií dostali až sem, vytvorili sme certifikát CA  a certifikát pre server v úlohe výrobcu. Pomocou nasledujúcich krokov teraz vytvoríme certifikát a kľuč pre server v úlohe spotrebiteľa.

Teraz, keď je TLS nastavené na každom serveri, ešte raz upravíme vetvu cn=config na spotrebiteľovi zadaním:

sudo ldapmodify -Y EXTERNAL -H ldapi:///

SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0

dn: olcDatabase={1}hdb,cn=config
replace: olcSyncrepl
olcSyncrepl: {0}rid=0 provider=ldap://ldap01.nieco.sk bindmethod=simple binddn="cn=ad
 min,dc=nieco,dc=sk" credentials=secret searchbase="dc=nieco,dc=sk" logbas
 e="cn=accesslog" logfilter="(&(objectClass=auditWriteObject)(reqResult=0))" s
 chemachecking=on type=refreshAndPersist retry="60 +" syncdata=accesslog starttls=yes

modifying entry "olcDatabase={1}hdb,cn=config"

Ak adresa stanice LDAP servera nesúhlasí s FQDN v certifikáte, mali by sme otvoriť súbor /etc/ldap/ldap.conf a pridať nasledujúce TLS nastavenia:

TLS_CERT /etc/ssl/certs/ldap02_slapd_cert.pem
TLS_KEY /etc/ssl/private/ldap02_slapd_key.pem
TLS_CACERT /etc/ssl/certs/cacert.pem

Nakoniec reštartujeme slapd na každom serveri:

sudo /etc/init.d/slapd restart

• -t: zmení iba /etc/nsswitch.conf.
• -p: meno profilu, ktoré sa má zapnúť alebo vypnúť.
• lac_ldap: profil auth-client-config, ktorý je časťou balíka ldap-auth-config.

• Vytvorenie nového používateľa:

  sudo ldapadduser juro pokus

  Tento príkaz vytvorí používateľa s uid juro a nastaví jeho hlavnú skupinu (gid) na pokus
• Zmena hesla:

  sudo ldapsetpasswd juro

  Changing password for user uid=juro,ou=Ludia,dc=nieco,dc=sk
  New Password: 
  New Password (verify):

• Odstránenie používateľa:

  sudo ldapdeleteuser juro

• Pridanie skupiny:

  sudo ldapaddgroup qa

• Odstránenie skupiny:

  sudo ldapdeletegroup qa

• Pridanie používateľa do skupiny:

  sudo ldapaddusertogroup juro qa

  Teraz sa môžeme presvedčiť, že atribút memberUid skupiny qa bude obsahovať hodnotu juro.
• Odstránenie používateľa zo skupiny:

  sudo ldapdeleteuserfromgroup juro qa

  Z atribútu memberUid skupiny qa by mal byť juro teraz odstránený.
• Skript ldapmodifyuser umožňuje pridať, odstrániť alebo nahradiť atribúty používateľa. Skript používa rovnakú syntax ako nástroj ldapmodify. Napríklad:

  sudo ldapmodifyuser juro

  # About to modify the following entry :
  dn: uid=juro,ou=Ludia,dc=nieco,dc=sk
  objectClass: account
  objectClass: posixAccount
  cn: juro
  uid: juro
  uidNumber: 1001
  gidNumber: 1001
  homeDirectory: /home/juro
  loginShell: /bin/bash
  gecos: juro
  description: User account
  userPassword:: e1NTSEF9eXFsTFcyWlhwWkF1eGUybVdFWHZKRzJVMjFTSG9vcHk=
   
  # Enter your modifications here, end with CTRL-D.
  dn: uid=juro,ou=Ludia,dc=nieco,dc=sk

  replace: gecos
  gecos: Juraj Jánošík

  Atribút gecos by mal mať teraz hodnotu “Juraj Jánošík”.
• Ďalšou obrovskou výhodou balíka ldapscripts je využívanie systémových šablón. Šablóny umožňujú prispôsobiť atribúty používateľa, skupiny a počítača. Ak chceme napríklad použiť šablónu user, otvoríme súbor /etc/ldapscripts/ldapscripts.conf a pridáme riadok:

  UTEMPLATE="/etc/ldapscripts/ldapadduser.template"

  Šablóny sa nachádzajú v priečinku /etc/ldapscripts. Skopírujeme súbor  ldapadduser.template.sample do  /etc/ldapscripts/ldapadduser.template:

  sudo cp /usr/share/doc/ldapscripts/examples/ldapadduser.template.sample /etc/ldapscripts/ldapadduser.template

  Otvoríme novú šablónu a upravíme príslušné atribúty. Nasledujúca šablóna slúži na vytváranie nových používateľov s prednastaveným atribútom objectClass na hodnotu inetOrgPerson:

  dn: uid=<user>,<usuffix>,<suffix>
  objectClass: inetOrgPerson
  objectClass: posixAccount
  cn: <user>
  sn: <ask>
  uid: <user>
  uidNumber: <uid>
  gidNumber: <gid>
  homeDirectory: <home>
  loginShell: <shell>
  gecos: <user>
  description: User account
  title: Employee

  Všimnime si použitie <ask> pre sn hodnoty. Použitím <ask> prinútime nástroj ldapadduser aby sa opýtal na hodnotu atribútu pri vytváraní používateľa.

• Viac podrobností sa nachádza na stránke OpenLDAP Ubuntu Wiki.
• Viac informácii je na stránke OpenLDAP Home Page
• Možte si tiež pozrieť slovenský preklad domovskej stránky OpenLDAP
• Aj napriek svojmu veku je významným zdrojom podrobných informácii o LDAP O'Reillyho LDAP System Administration
• Kniha vydavateľstva Packt – Mastering OpenLDAP je skvelou príručkou, ktorá obsahuje informácie o novších verziách OpenLDAP.
• Viac informácii o auth-client-config je na man stránke: man auth-client-config.
• Ďalšie detaily o balíku ldapscripts sú na man stránkach: man ldapscripts, man ldapadduser, man ldapaddgroup, etď.