月与灯依旧 – Page 24 – 不见去年人，泪湿春衫袖。

Ubuntu14.04配置LDAP Client

Ubuntu 14.04系统上配置LDAP客户端的过程，记录一下。

sudo apt-get install ldap-utils ldap-auth-client libnss-ldap libpam-ldap

安装过程中提示填写ldap相关信息：ldap server地址，base dc等，信息保存在/etc/ldap.conf中，可通过dpkg-reconfigure ldap-auth-config重新配置，其中：

lda地址格式 ldap://192.168.x.x:389
Distinguished name of the search base: 就是你目录树的根,比如我的是dc=163,dc=com
LDAP version to use: 3
Make local root Database admin: Yes
Does the LDAP database require login? No
LDAP account for root:  安装LDAP服务器时的创建的admin账号,我的是cn=admin,dc=163,dc=com
LDAP root account password:

修改/etc/nsswitch.conf文件，添加ldap登陆方式，同时系统查找顺序，以便在查询 LDAP服务器之前先检查您的本地passwd文件

sudo cp -p /etc/nsswitch.conf /etc/nsswitch.conf.bak
sudo auth-client-config -t nss -p lac_ldap

(more…)

Posted on 2016-01-14 by bear in Linux运维.Tags: Linux, ubuntu.0 Comments

CentOS 6配置LDAP允许用户自行修改密码

在LDAP中，默认情况下用户无权修改自己的密码，如果用户自行修改密码，会遇到Result: Insufficient access (50)的错误，因此我们需要打开用户修改自己密码的权限。本文基于CentOS 6。

vim /etc/openldap/slapd.conf

修改配置文件，在database config前添加如下内容（注意格式！）

access to attrs=userPassword
	by self write
	by anonymous auth
	by * none

access to * by * read

解释：
by self write表示允许登陆用户修改自己的userPassword属性；
by anonymous auth允许匿名用户（即non-authenticated用户）基于验证目的访问userPassword，而不是其它目的（例如搜索和读取等）
by * none是阻止所有用户访问该用户的userPassword属性

LDAP的访问实体说明：

Table 5.3: Access Entity Specifiers
Specifier	Entities
*	All, including anonymous and authenticated users
anonymous	Anonymous (non-authenticated) users
users	Authenticated users
self	User associated with target entry
dn[.<basic-style>]=<regex>	Users matching a regular expression
dn.<scope-style>=<DN>	Users within scope of a DN

然后执行

$ rm -fr /etc/openldap/slapd.d/*
 
$ slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d
#测试配置文件语法是否有错误，如果提示testing succeeded则可以进入下一步
 
$ chown -R ldap:ldap /etc/openldap/slapd.d/
$ /etc/init.d/slapd restart

参考文档：
centos 6.4 openldap 2.4 版本系统认证无法更改密码
 OpenLDAP ACL to allow users to change their password
LDAP Access Control

Posted on 2016-01-13 by bear in 电脑网络.0 Comments

LDAP用户管理，实现客户端增删改查

LDAP简称对应

o– organization（组织-公司）
ou – organization unit（组织单元/部门）
c - countryName（国家）
dc - domainComponent（域名组件）
sn – suer name（真实名称）
cn - common name（常用名称）
dn - distinguished name（专有名称）

查看用户列表

ldapsearch -x -b "ou=People,dc=163,dc=com" | grep dn

这一步需要注意：
如果是在客户端查询，需要加入-H ldap://192.168.x.x参数
如果是通过ldif导入的系统用户，其DN是uid=UserNmae,ou=People,dc=163,dc=com
而如果通过phpldapadmin或者LAM等第三方工具建立的用户，其DN是cn=UserNmae,ou=People,dc=163,dc=com
如果使用ldapsearch或者ldappasswd命令查询/修改用户信息的时候，请注意这一点

查询单个用户信息

ldapsearch -x -b "用户DN"    #根据上面的用户列表，找到用户的DN
ldapsearch -x -b "uid=ldapuser8,ou=People,dc=163,dc=com"

查看组列表

ldapsearch -x -b "ou=Group,dc=163,dc=com" | grep dn

(more…)

Posted on 2016-01-13 by bear in Linux运维.Tags: centos, Linux.2 Comments

解决LDAP出现ldap_bind: Invalid credentials (49)错误

LDAP最经常遇到的就是ldap_bind: Invalid credentials (49)错误，本文阐述了错误原因及解决办法：

比如在某LDAP客户端，使用rootdn(管理员)权限为某用户修改密码时

$ ldappasswd -H ldap://192.168.32.1 -x -D "cn=admin,ou=People,dc=115,dc=com" -W -S "uid=zhang3,ou=People,dc=115,dc=com"
New password: 
Re-enter new password: 
Enter LDAP Password: 
ldap_bind: Invalid credentials (49)

错误原因1：管理员DN或者用户DN错误
管理员DN是在/etc/openldap/slapd.conf中指定的rootdn，其格式
应该是”cn=admin,dc=115,dc=com”
而不是”cn=admin,ou=People,dc=115,dc=com”
而普通用户的DN才应该是”uid=zhang3,ou=People,dc=115,dc=com”。
也可以执行如下命令查看该用户的DN是否存在

查询用户列表,不需要密码
$ ldapsearch -H ldap://192.168.32.1 -x -b "ou=People,dc=115,dc=com" | grep dn

(more…)

Posted on 2016-01-13 by bear in Linux运维.Tags: centos, Linux.0 Comments

CentOS 6安装配置LDAP管理工具：phpldapadmin和LAM

为OpenLDAP安装配置图片化管理工具的过程，这里记录一下，本文基于Centos6。本文中第2步和第三步分别介绍了phpldapadmin和LDAP Account Manager的安装方法，它们都是基于WEB的LDAP管理工具，可以任选其一安装，也可以两者都安装。其中LDAP Account Manager相对简单，比较适合新手。

1，安装epel源及基础软件包

根据系统版本打开相应的链接：
CentOS 5 32位：http://download.fedoraproject.org/pub/epel/5/i386/
CentOS 5 64位：http://download.fedoraproject.org/pub/epel/5/x86_64/
CentOS 6 32位：http://download.fedoraproject.org/pub/epel/6/i386/
CentOS 6 64位：http://download.fedoraproject.org/pub/epel/6/x86_64/
查找“epel”，应该会找到一个“epel-release-X-X.noarch.rpm”的软件包。下载，安装之。

$ yum install httpd php php-bcmath php-gd php-mbstring php-xml php-ldap php-pear

$ vim /etc/httpd/conf/httpd.conf #修改如下内容
……
DirectoryIndex index.html index.php
……


$ vim /etc/php.ini #修改如下内容
……
date.timezone = "Asia/Shanghai"
……

(more…)

Posted on 2016-01-12 by bear in Linux运维.Tags: centos, Linux.0 Comments

Samba用户管理

samba有三种用户密码验证方式：smbpasswd、tdbsam和ldapsam。

smbpasswd是使用一个smbpasswd文件来存储用户信息（通常位于/etc/samba/smbpasswd，文件格式类似于/etc/passwd），使用smbpasswd命令来管理用户，要添加/管理的用户必须先是系统用户。
在旧版本的Samba中，如果指定了passdb backend = smbpasswd，那么还需要指定smb passwd file =/etc/samba/smbpasswd。

tdbsam是使用一个.db的文件来存储用户信息，使用pdbedit命令来管理用户，要添加/管理的用户必须先是系统用户。

新版Samba的密码验证方式已使用tdbsam取代smbpasswd，但如果要继续延用旧版smbpasswd也是可以的。新版的tdbsam需要用pdbedit命令来管理帐号密码。

$ grep backend /etc/samba/smb.conf 
   passdb backend = tdbsam

使用新版tdbsam管理帐号

pdbedit -a username    #新建Samba账户
pdbedit -x username    #删除Samba账户
pdbedit -v username    #显示账户详细信息
pdbedit -L             #列出Samba用户列表，读取passdb.tdb数据库文件
pdbedit -Lv            #列出Samba用户列表详细信息

(more…)

Posted on 2015-11-27 by bear in Linux运维.Tags: Linux.0 Comments

在Ubuntu上使用XFS文件系统

虽说ext4格式的文件系统支持超过16TB的容量，但一旦给16TB以上的分区扩容时，问题就来了，因为resize2fs工具不支持给16TB以上的文件系统扩容，怎么办呢？改用XFS文件系统。本文是在Ubuntu 12.04 64bit系统上配置LVM+XFS的过程，记录一下。

遇到的问题
当给lv容量超出16TB以上时，lvextend为逻辑卷扩容可以成功，但resize2fs时就会失败。因Ubuntu系统自带的e2fsprogs版本不支持扩容16TB以上的分区，谷歌了一阵，貌似最新版本的e2fsprogs可以支持超过16TB的系统分区，但升级完成以后，再次尝试resize2fs的时候，又报出如下错误：

$ sudo lvscan
  ACTIVE            '/dev/vg_02/lv-release' [5.00 TiB] inherit
  ACTIVE            '/dev/vg_02/lv-product-b' [23.80 TiB] inherit
$ sudo resize2fs /dev/vg_02/lv-product-b
resize2fs 1.42.13 (17-May-2015)
Filesystem at /dev/vg_02/lv-product-b is mounted on /data/product-b; on-line resizing required
old_desc_blocks = 2791, new_desc_blocks = 3047
resize2fs: Filesystem does not support online resizing

很搞笑，这三条提示前后互相矛盾,前面说on-line resizing required，后面说does not support online resizing。

尝试解决办法：修改blocksize
要修改blocksize的话，重新mkfs是肯定的了。这里重新格式化以后，发现根本无法mount。

$ sudo mkfs.ext4 -b 8192 /dev/dm-3
Warning: blocksize 8192 not usable on most systems.
Proceed anyway? (y,n) y
mkfs.ext4: 8192-byte blocks too big for system (max 4096)
Proceed anyway? (y,n) y
Warning: 8192-byte blocks too big for system (max 4096), forced to continue
……
Writing superblocks and filesystem accounting information: done

$ sudo mount -t ext4 -o blocksize=8192 /dev/dm-3 /data/output-b
mount: wrong fs type, bad option, bad superblock on /dev/dm-3,
   missing codepage or helper program, or other error
   In some cases useful info is found in syslog - try
   dmesg | tail  or so

后来查了一下原因，貌似是blocksize不能超出系统的pagesize。这简直是在断我的后路呀。 (more…)

Posted on 2015-11-09 by bear in Linux运维.Tags: Linux, ubuntu.0 Comments