Category: Linux运维

Linux,unix,mysql,database,oracle,mysql

LDAP的相关概念与objectClass介绍

一，部分LDAP专用名词的解释

Objectclass
LDAP对象类，是LDAP内置的数据模型。每种objectClass有自己的数据结构，比如我们有一种叫“电话薄”的objectClass，肯定会内置很多属性(attributes)，如姓名(uid)，身份证号(uidNumber)，单位名称(gid)，家庭地址(homeDirectory)等，同时，还有一种叫“同学录”的objectClass，具备“电话薄”里的一些attributes(如uid、homeDirectory)，还会具有“电话薄”没有的attributes(如description等)。

Entry
entry可以被称为条目，一个entry就是一条记录，是LDAP中一个基本的存储单元；也可以被看作是一个DN和一组属性的集合。注意，一条entry可以包含多个objectClass，例如zhang3可以存在于“电话薄”中，也可以同时存在于“同学录”中。

DN
Distinguished Name，LDAP中entry的唯一辨别名，一条完整的DN写法：uid=zhang3,ou=People,dc=163,dc=com。LDAP中的entry只有DN是由LDAP Server来保证唯一的。

LDAP Search filter
使用filter对LDAP进行搜索。 Filter一般由 (attribute=value) 这样的单元组成，比如：(&(uid=ZHANGSAN)(objectclass=person)) 表示搜索用户中，uid为ZHANGSAN的LDAP Entry．再比如：(&(|(uid= ZHANGSAN)(uid=LISI))(objectclass=person))，表示搜索uid为ZHANGSAN, 或者LISI的用户；也可以使用*来表示任意一个值，比如(uid=ZHANG*SAN)，搜索uid值以 ZHANG开头SAN结尾的Entry。更进一步，根据不同的LDAP属性匹配规则，可以有如下的Filter： (&（createtimestamp>=20050301000000）(createtimestamp<=20050302000000))，表示搜索创建时间在20050301000000和20050302000000之间的entry。

6 Comments

Ubuntu14.04配置LDAP Client

Ubuntu 14.04系统上配置LDAP客户端的过程，记录一下。

sudo apt-get install ldap-utils ldap-auth-client libnss-ldap libpam-ldap

安装过程中提示填写ldap相关信息：ldap server地址，base dc等，信息保存在/etc/ldap.conf中，可通过dpkg-reconfigure ldap-auth-config重新配置，其中：

lda地址格式 ldap://192.168.x.x:389
Distinguished name of the search base: 就是你目录树的根,比如我的是dc=163,dc=com
LDAP version to use: 3
Make local root Database admin: Yes
Does the LDAP database require login? No
LDAP account for root:  安装LDAP服务器时的创建的admin账号,我的是cn=admin,dc=163,dc=com
LDAP root account password:

修改/etc/nsswitch.conf文件，添加ldap登陆方式，同时系统查找顺序，以便在查询 LDAP服务器之前先检查您的本地passwd文件

sudo cp -p /etc/nsswitch.conf /etc/nsswitch.conf.bak
sudo auth-client-config -t nss -p lac_ldap

Leave a Comment

LDAP用户管理，实现客户端增删改查

LDAP简称对应

o– organization（组织-公司）
ou – organization unit（组织单元/部门）
c - countryName（国家）
dc - domainComponent（域名组件）
sn – suer name（真实名称）
cn - common name（常用名称）
dn - distinguished name（专有名称）

查看用户列表

ldapsearch -x -b "ou=People,dc=163,dc=com" | grep dn

这一步需要注意：
如果是在客户端查询，需要加入-H ldap://192.168.x.x参数
如果是通过ldif导入的系统用户，其DN是uid=UserNmae,ou=People,dc=163,dc=com
而如果通过phpldapadmin或者LAM等第三方工具建立的用户，其DN是cn=UserNmae,ou=People,dc=163,dc=com
如果使用ldapsearch或者ldappasswd命令查询/修改用户信息的时候，请注意这一点

查询单个用户信息

ldapsearch -x -b "用户DN"    #根据上面的用户列表，找到用户的DN
ldapsearch -x -b "uid=ldapuser8,ou=People,dc=163,dc=com"

查看组列表

ldapsearch -x -b "ou=Group,dc=163,dc=com" | grep dn

2 Comments

解决LDAP出现ldap_bind: Invalid credentials (49)错误

LDAP最经常遇到的就是ldap_bind: Invalid credentials (49)错误，本文阐述了错误原因及解决办法：

比如在某LDAP客户端，使用rootdn(管理员)权限为某用户修改密码时

$ ldappasswd -H ldap://192.168.32.1 -x -D "cn=admin,ou=People,dc=115,dc=com" -W -S "uid=zhang3,ou=People,dc=115,dc=com"
New password: 
Re-enter new password: 
Enter LDAP Password: 
ldap_bind: Invalid credentials (49)

错误原因1：管理员DN或者用户DN错误
管理员DN是在/etc/openldap/slapd.conf中指定的rootdn，其格式
应该是”cn=admin,dc=115,dc=com”
而不是”cn=admin,ou=People,dc=115,dc=com”
而普通用户的DN才应该是”uid=zhang3,ou=People,dc=115,dc=com”。
也可以执行如下命令查看该用户的DN是否存在

查询用户列表,不需要密码
$ ldapsearch -H ldap://192.168.32.1 -x -b "ou=People,dc=115,dc=com" | grep dn

Leave a Comment

CentOS 6安装配置LDAP管理工具：phpldapadmin和LAM

为OpenLDAP安装配置图片化管理工具的过程，这里记录一下，本文基于Centos6。本文中第2步和第三步分别介绍了phpldapadmin和LDAP Account Manager的安装方法，它们都是基于WEB的LDAP管理工具，可以任选其一安装，也可以两者都安装。其中LDAP Account Manager相对简单，比较适合新手。

1，安装epel源及基础软件包

根据系统版本打开相应的链接：
CentOS 5 32位：http://download.fedoraproject.org/pub/epel/5/i386/
CentOS 5 64位：http://download.fedoraproject.org/pub/epel/5/x86_64/
CentOS 6 32位：http://download.fedoraproject.org/pub/epel/6/i386/
CentOS 6 64位：http://download.fedoraproject.org/pub/epel/6/x86_64/
查找“epel”，应该会找到一个“epel-release-X-X.noarch.rpm”的软件包。下载，安装之。

$ yum install httpd php php-bcmath php-gd php-mbstring php-xml php-ldap php-pear

$ vim /etc/httpd/conf/httpd.conf #修改如下内容
……
DirectoryIndex index.html index.php
……


$ vim /etc/php.ini #修改如下内容
……
date.timezone = "Asia/Shanghai"
……

Leave a Comment

Samba用户管理

samba有三种用户密码验证方式：smbpasswd、tdbsam和ldapsam。

smbpasswd是使用一个smbpasswd文件来存储用户信息（通常位于/etc/samba/smbpasswd，文件格式类似于/etc/passwd），使用smbpasswd命令来管理用户，要添加/管理的用户必须先是系统用户。
在旧版本的Samba中，如果指定了passdb backend = smbpasswd，那么还需要指定smb passwd file =/etc/samba/smbpasswd。

tdbsam是使用一个.db的文件来存储用户信息，使用pdbedit命令来管理用户，要添加/管理的用户必须先是系统用户。

新版Samba的密码验证方式已使用tdbsam取代smbpasswd，但如果要继续延用旧版smbpasswd也是可以的。新版的tdbsam需要用pdbedit命令来管理帐号密码。

$ grep backend /etc/samba/smb.conf 
   passdb backend = tdbsam

使用新版tdbsam管理帐号

pdbedit -a username    #新建Samba账户
pdbedit -x username    #删除Samba账户
pdbedit -v username    #显示账户详细信息
pdbedit -L             #列出Samba用户列表，读取passdb.tdb数据库文件
pdbedit -Lv            #列出Samba用户列表详细信息

Leave a Comment

在Ubuntu上使用XFS文件系统

虽说ext4格式的文件系统支持超过16TB的容量，但一旦给16TB以上的分区扩容时，问题就来了，因为resize2fs工具不支持给16TB以上的文件系统扩容，怎么办呢？改用XFS文件系统。本文是在Ubuntu 12.04 64bit系统上配置LVM+XFS的过程，记录一下。

遇到的问题
当给lv容量超出16TB以上时，lvextend为逻辑卷扩容可以成功，但resize2fs时就会失败。因Ubuntu系统自带的e2fsprogs版本不支持扩容16TB以上的分区，谷歌了一阵，貌似最新版本的e2fsprogs可以支持超过16TB的系统分区，但升级完成以后，再次尝试resize2fs的时候，又报出如下错误：

$ sudo lvscan
  ACTIVE            '/dev/vg_02/lv-release' [5.00 TiB] inherit
  ACTIVE            '/dev/vg_02/lv-product-b' [23.80 TiB] inherit
$ sudo resize2fs /dev/vg_02/lv-product-b
resize2fs 1.42.13 (17-May-2015)
Filesystem at /dev/vg_02/lv-product-b is mounted on /data/product-b; on-line resizing required
old_desc_blocks = 2791, new_desc_blocks = 3047
resize2fs: Filesystem does not support online resizing

很搞笑，这三条提示前后互相矛盾,前面说on-line resizing required，后面说does not support online resizing。

尝试解决办法：修改blocksize
要修改blocksize的话，重新mkfs是肯定的了。这里重新格式化以后，发现根本无法mount。

$ sudo mkfs.ext4 -b 8192 /dev/dm-3
Warning: blocksize 8192 not usable on most systems.
Proceed anyway? (y,n) y
mkfs.ext4: 8192-byte blocks too big for system (max 4096)
Proceed anyway? (y,n) y
Warning: 8192-byte blocks too big for system (max 4096), forced to continue
……
Writing superblocks and filesystem accounting information: done

$ sudo mount -t ext4 -o blocksize=8192 /dev/dm-3 /data/output-b
mount: wrong fs type, bad option, bad superblock on /dev/dm-3,
   missing codepage or helper program, or other error
   In some cases useful info is found in syslog - try
   dmesg | tail  or so

后来查了一下原因，貌似是blocksize不能超出系统的pagesize。这简直是在断我的后路呀。

Leave a Comment