Administración de LDAP

LDAP

Servidor LDAP

LDAP - Lightweight Directory Access Protocol - o protocolo ligero de acceso a directorios, es un protocolo de aplicación utilizado para el acceso y mantenimiento de servicios de directorios distribuidos en entornos de red. este tipo de servicio, también es considerado como base de datos ya que se pueden realizar consultas sobre la información contenida en él. Está organizado de manera jerárquica, siendo el directorio un conjunto de objetos con atributos. Estos objetos, pasan por ser desde nombres de dominio en sus niveles más altos hasta usuarios, máquinas, cuentas de correo, unidades organizativas o cualquier objeto representado en el árbol. Debido a que almacena datos de usuarios y contraseñas, entre otras cosas, es un medio utilizado para realizar autenticaciones a servicios.

Instalación

Para realizar la instalación sobre nuestro servidor Ubuntu Server, hemos de instalar los siguientes paquetes:

      sudo aptitude install slapd ldap-utils

slapd es el demonio usado por LDAP. Es autónomo, no necesita de otros programas ni librerías para su ejecución y es iniciado en el arranque del sistema operativo.


En el transcurso de la instalación únicamente nos pide una contraseña. Para esta práctica, usaremos ldapadmin.

Después de realizar la instalación configuramos el servicio con la mínima configuración necesaria para que el servidor LDAP, opere adecuadamente:

      sudo dpkg-reconfigure slapd

Seleccionamos NO en la opción de omitir una nueva configuración.
Introducimos el nombre de dominio DNS que agregamos anteriormente al fichero hosts. Introducimos el nombre de nuestra organización. En este caso se opta por el mismo DNS, pero puede ser cualquier otro, como por ejemplo el nombre de una empresa; miempresa S.A. o cualquier información que describa a la organización.
Introducimos la contraseña - 2 veces por seguridad - y seleccionamos el tipo de BD a utilizar con LDAP. HDB y BDB, no difieren mucho respecto a su configuración, pero la BD recomendada por la propia configuración del paquete, permite la modificación de los nombres de los sub-árboles, además de aconsejar la lectura del fichero de configuración de la BD. Para esta práctica se selecciona la opción predeterminada HDB.
EL siguiente paso pregunta por el borrado de la base de datos toda vez que se purgue el paquete slapd. Si no se desea eliminar la base de datos anterior, se ha de seleccionar la opción - por defecto - NO. Si se desea iniciar slapd con una nueva base de datos, en el siguiente paso se ha de seleccionar mover la base de datos antigua, de este modo habremos guardado una copia de la base de datos anterior y comenzado una nueva sesión de LDAP limpia.
Por último, solo en el caso de necesitar soporte para la versión de ldap v2, debido al uso de aplicaciones anteriores, se seleccionará el soporte para esta versión. Por defecto la opción remarcada es NO. Si todo se realiza de manera correcta, el demonio slapd será inicializado de nuevo.

Para comprobar que el estado de configuración de slapd es correcto, podemos usar el siguiente comando:

      sudo slaptest

 

  Administración de LDAP

Versiones de LDAP

Es importante remarcar que, dependiendo de la versión de LDAP, la manera de administrar el servidor varía. En versiones anteriores, la realización de cambios en el servidor es realizada modificando el fichero de configuración sladp.conf ubicado en /etc/ldap/slapd.conf. LA modificacicón de este fichero implica la parada del servidor y posterior reinicio del mismo. Esto, en sistemas de producción supone un agravio. Por ello, este método ha sido modificado para que la administración se pueda realizar en caliente. Para ello se ha dividido la configuración en dos partes; Una para la parte de administración y otra para los datos de la BD.

Administrar LDAP

Existen diversas maneras de administrar el servidor y la base de datos LDAP, tanto a nivel de terminal como gráfica, mediante el uso de aplicaciones web/gráficas.

Modo terminal

Breve introducción de los comandos necesarios para la visualización del contenido de la base de datos y de la configuración del servidor, adición de información, esquemas, etcétera


Para realizar una búsqueda de la información relativa a la configuración:

     sudo ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:/// -b cn=config dn

El comando ldapsearch muestra la información contenido en la base de datos, tanto para la configuración "cn=config", como de los datos contenidos en la BD. Para poder visualizar el contenido del DIT (Directory information tree) de configuración "cn=config" es necesario el uso del parámetro -Y ya que es necesaria la autenticación con SASL, e indicarle EXTERNAL para usar el método de autenticación propio del protocolo LDAP. -H indica la URI que en este caso es la raíz "///" y ldapi indica el "camino", ldap + IPC

     dn: cn=config                                 -> Configuración global
     dn: cn=module{0},cn=config                    -> Modulos dinámicos cargados.
     dn: cn=schema,cn=config                       -> Configuración del squema a nivel de sistema. 
     dn: cn={0}core,cn=schema,cn=config            -> Esquema del núcleo.
     dn: cn={1}cosine,cn=schema,cn=config          -> Esquemas de LDAP.
     dn: cn={2}nis,cn=schema,cn=config             -> Esquema.
     dn: cn={3}inetorgperson,cn=schema,cn=config   -> Esquema.
     dn: olcBackend={0}hdb,cn=config               -> Configuración del "backend" de la base de datos.
     dn: olcDatabase={-1}frontend,cn=config        -> Configuración del frontend de la base de datos.

     dn: olcDatabase={0}config,cn=config           -> Configuración de la base de datos del demonio slapd. 
     dn: olcDatabase={1}hdb,cn=config              -> Configuración de la instancia de la base de datos.

Donde olc significa online configuration y {x} es la forma de ordenar las entradas


Para realizar una búsqueda dentro de una instancia creada por el usuario (2º DIT):

     ldapsearch -x -LLL -H ldap:/// -b dc=miempresa,dc=com dn

Donde -x indica que no se realizará autenticación SASL, -LLL muestra la información más compactada, -H la URI sin seguridad "ldap" y -b indica el punto de partida para realizar la búsqueda por el directorio. Veamos el resultado para una BD creada cuya entrada de más alto nivel es el nombre de dominio miempresa.com:

Para añadir objetos al árbol LDAP por línea de comandos, ha de crearse un tipo de fichero ldif. Para ello, hacemos lo siguiente:

     sudo nano /var/tmp/newuser.ldif

Para evitar conflictos entre los usuarios unix locales y los creados en LDAP se sugiere asignar en el campo uidNumber un número por encima de 10000

Para crear un usuario debemos de tener ya creado con anterioridad un grupo posixGroup, para poder introducir el número posixNumber a nuestro usuario. En este caso ya existen varios grupos. Aquí se utiliza el grupo Domain Users, para ver que número tiene asignado este grupo:

     ldapsearch -x -LLL -H ldap:/// -b dc=miempresa,dc=com 'cn=Domain Users'

Una vez creado el fichero ldif, introducimos el usuario al directorio con ldapadd:

     ldapadd -x -D cn=admin,dc=miempresa,dc=com -W -f /var/tmp/newuser.ldif

Donde -D binddn indica el usuario con permisos administrativos - admin es creado por defecto en la instalación - -W para el password (ldapadmin) y -f para indicar el fichero que contiene los datos a introducir

     ldapsearch -x -LLL -H ldap:/// -b dc=miempresa,dc=com 'uid=daniel'

Esto es lo más básico para hacer búsquedas, añadir y actualizar datos (ldapmodify). Si se pretende administrar LDAP mediante consola es necesario aprender a manejar estos comandos y otros muchos correctamente. Para más información, consultar openldap.org y los man de los comandos, ldapadduser, ldapaddgroup, ldapmodify, ldapadd y otros.

Modo gráfico

Creando Objetos

El hecho de administrar la base de datos por consola de comandos, puede parecer una ardua tarea. Para ello hay disponibles diversas utilidades gráficas que simplifican este proceso. En esta práctica vamos a utilizar una de ellas: PHPLdapAdmin. Para realizar la instalación, introducimos esto en una terminal:

     sudo aptitude install phpldapadmin

Una vez instalada la aplicación es necesario la modificación de su fichero de configuración:

     sudo nano /etc/phpldapadmin/config.php 

En la línea 300 y 326 (Si no se ha modificado config.php) debemos modificar el DN de primer nivel que por defecto es dc=example,dc=com y dn=admin,dc=example,dc=com por los valores que correspondan a nuestra configuración. En este caso es dc=miempresa,dc=com.

Como el servidor no dispone de entorno gráfico y PHPLdapAdmin es un cliente web, accederemos a él desde otro sistema cliente. Para conectar al servidor podemos usar OpenSSH. Si no lo tenemos instalado, ejecutamos el siguiente comando:

     sudo aptitude install openssh-server

De este modo podemos acceder vía web a PHPLdapAdmin y abrir una terminal remota en el servidor para realizar las operaciones necesarias desde el sistema ciente. Para conectar a la base de datos desde el navegador web, introducimos en la barra de dirección la ip - nombre del servidor (si tenemos un servidor DNS activo)/phpldapadmin:

Nos conectamos con el usuario admin y la contraseña ldapadmin.

Aquí podemos ver el árbol del directorio LDAP. Hay varios grupos que han sido creados con el comando smbldap-populate que no es más que poblar el directorio con los grupos predefinidos del controlador de dominio SAMBA. Si el directorio está vacio, lo normal cuando solo se instala ldap, se debe de crear, al menos un grupo posix ya que necesitamos al menos un gidNumber. Esto es, es necesario añadir el nuevo usuario a un grupo. En este caso se añade al grupo Domain Users. Los sub-árboles ou son unidades organizativas que como su nombre indica, ayudan a organizar el directorio. Por ejemplo, Users, Computers, groups, son unidades organizativas. Dando por hecho que hemos creado un grupo posix y tenemos una OU, por ejemplo Users, seleccionamos la OU y añadimos nuevos objetos en ella. En el menú contextual seleccionamos crear objeto hijo y genérico: cuenta de usuario.

Ahora tenemos que rellenar los campos - al menos los obligatorios - y clicar en crear cuenta.

Es necesario modificar al menos el uidNumber para que comience de un número superior a 10000. Pulsamos en actualizar objeto

Autenticación LDAP

Hemos creado usuarios en LDAP. Esto nos posibilita poder hacer login con ellos desde distintos clientes. Para que un cliente Ubuntu pueda logearse es necesaria la instalación de varios paquetes:

     sudo apt-get install ldap-auth-client nscd

Debemos modificar el fichero nsswitch.conf para añadir la base de datos de LDAP.

     sudo auth-client-config -t nss -p lac_ldap

También es interesante la creación de los directorios personales de forma automática. Para ello, editamos el fichero /etc/pam.d/common-session:

     sudo nano /etc/pam.d/common-session

Agregamos la siguiente línea comprobando que figure antes de cualquier entrada pam_ldap y pam_krb5.

     session required        pam_mkhomedir.so umask=0022 skel=/etc/skel

Solo queda ejecutar el siguiente comando para aplicar las modificaciones:

    sudo pam-auth-update

Reiniciamos el proceso nscd para poder autenticarnos con los usuarios de LDAP.

     /etc/init.d/nscd restart