První položky slapd.conf vidíte v následujícím příkladu:

include /etc/openldap/schema/core.schema 
include /etc/openldap/schema/inetorgperson.schema

Určuje schéma LDAP adresáře. K základnímu povinnému schématu (zde core.schema) lze přidávat i dodatečná schémata (v našem případě inetorgperson.schema ). Další schémata naleznete v adresáři /etc/openldap/schema. Pro nahrazení NIS službou LDAP budete potřebovat dvě schémata — rfc2307.schema a cosine.schema. Informace o této problematice najdete v dokumentaci OpenLDAP.

pidfile /var/run/slapd.pid 
argsfile /var/run/slapd.args

Tyto dva soubory obsahují PID (process ID) a některé argumenty, se kterými je spouštěn slapd. Žádné změny zde nejsou potřeba.

# Sample Access Control
#       Allow read access of root DSE
#       Allow self write access
#       Allow authenticated users read access
#       Allow anonymous users to authenticate
#
access to dn="" by * read
access to *
       by self write
       by users read
       by anonymous auth
#
# if no access controls are present, the default is:
#       Allow read by all
#
# rootdn can always write!

Uvedený příklad je část souboru slapd.conf, která se týká nastavení přístupu k adresáři LDAP na serveru. Nastavení uvedená zde v globální sekci souboru slapd.conf jsou platná až do okamžiku vytvoření vlastních nastavení v části specifické pro databázi. V našem příkladě mají všichni uživatelé práva pro čtení, ale pouze administrátor (rootdn) může do této databáze zapisovat. Nastavení přístupových práv v LDAP je poměrně složité téma, nabízíme proto několik tipů:

Následující příklad ukazuje jednoduché nastavení přístupových práv pomocí regulárního výrazu:

access to dn.regex="ou=([^,]+),dc=suse,dc=de"
by cn=administrator,ou=\$1,dc=suse,dc=de write
by user read
by * none

V tomto příkladu má práva zápisu do položky ou pouze administrátor. Všichni ostatní autentizovaní uživatelé mají práva ke čtení. Ostatní uživatelé nemají žádný přístup.

	Vytvoření pravidel
Pokud chybí pravidlo access to nebo neexistuje vyhovující proměnná who, není přístup povolen. Jestliže nezadáte vůbec žádné pravidlo, nastaví se výchozí přístupová práva, tj. právo zápisu pro administrátora a právo čtení pro všechny ostatní.

Podrobné informace a příklady nastavení přístupových práv k LDAP naleznete v dokumentaci balíčku openldap2.

Mimo nastavení přístupových práv v centrálním konfiguračním souboru (slapd.conf) je k dispozici také ACI (Access Control Information). ACI umožňuje ukládání informací o jednotlivých objektech LDAP stromu. Tento přístup je však stále ještě považován za experimentální. Viz http://www.openldap.org/faq/data/cache/758.html.

Nastavení specifická pro databázi v souboru slapd.conf:

database ldbm 
suffix  "dc=suse,dc=de" 
rootdn "cn=admin,dc=suse,dc=de" 
# Cleartext passwords, especially for the rootdn, should 
# be avoided.  See slappasswd(8) and slapd.conf(5) for details. 
# Use of strong authentication encouraged.
rootpw secret 
# The database directory MUST exist prior to running slapd AND 
# should only be accessible by the slapd/tools. Mode 700 recommended. 
directory /var/lib/ldap 
# Indices to maintain 
index   objectClass     eq

Na prvním řádku této sekce je určen typ databáze (v našem případě LDBM). Na druhé řádce (suffix) je určeno, za jakou část LDAP stromu uvedený server zodpovídá. Následující rootdn určuje administrátora serveru. V něm nastavený uživatel nepotřebuje mít LDAP záznam nebo existovat jako běžný uživatel. Heslo administrátora je nastaveno v položce rootpw. Místo secret můžete použít hash administrátorského hesla vytvořený pomocí programu slappasswd. Položka directory určuje adresář (v souborovém systému), ve kterém je uložena databáze. Poslední část, index objectClass eq, stanoví, že bude index spravován pro všechny objektové třídy. Podle zkušeností zde lze nastavit atributy, které uživatelé nejčastěji vyhledávají. Vlastní pravidla Access nastavená v této sekci se použijí místo pravidel globálních.

Je-li server plně nakonfigurovaný a pokud byly vytvořeny všechny požadované položky, jak je popsáno v sekci 22.9.4 – „Správa dat v LDAP adresáři“, spusťte server jako uživatel root příkazem rcldap start. Ručně server zastavíte příkazem rcldap stop. Stav běžícího LDAP serveru zjistíte příkazem rcldap status.

Pokud chcete LDAP server spouštět automaticky při startu systému, použijte editor úrovní běhu programu YaST (viz kapitolu 10.5 – „YaST Editor úrovní běhu“). Automatické spuštění při startu systému můžete zajistit také pomocí příkazu insserv (viz kapitolu 10.4.1 – „Vkládání skriptů“).

Pokud je konfigurace LDAP serveru v souboru /etc/openldap/lsapd.conf připravena, tedy pokud má správně nastaveny položky suffix, directory, rootdn, rootpw a index, pokračujte vkládáním záznamů. K tomu OpenLDAP nabízí nástroj ldapadd. Objekty je vhodné z praktických důvodů vkládat po větších celcích. LDAP je schopný používat LDIF formát (LDAP Data Interchange Format), který je k tomu vhodný. LDIF soubor je jednoduchý textový soubor obsahující páry atribut—hodnota. Dostupné objektové třídy a atributy jsou popsané ve schématech definovaných v souboru slapd.conf. LDIF soubor k vytvoření hrubé kostry obrázku 22.21 – „Struktura LDAP adresáře“ by vypadal následovně:

# The SuSE Organization
dn: dc=suse,dc=de
objectClass: dcObject
objectClass: organization
o: SuSE AG
dc: suse

# The organizational unit development (devel)
dn: ou=devel,dc=suse,dc=de
objectClass: organizationalUnit
ou: devel

# The organizational unit documentation (doc)
dn: ou=doc,dc=suse,dc=de
objectClass: organizationalUnit
ou: doc

# The organizational unit internal IT (it)
dn: ou=it,dc=suse,dc=de
objectClass: organizationalUnit
ou: it

	Kódování LDIF souborů
LDAP pracuje s UTF-8 (Unicode). Používejte proto editor s podporou UTF-8 (např. Kate nebo novější verze editoru Emacs či vim). Jestliže použijete editor bez podpory UTF-8, budou se špatně zobrazovat znaky s českou diakritikou. Pokud potřebujete převést do UTF-8 již existující text, použijte program recode.

Soubor se ukládá s příponou .ldif a serveru se předává příkazem:

ldapadd -x -D <dn administrátora> -W -f <soubor>.ldif

První parametr, -x, vypíná ověřování pomocí SASL. Volba -D specifikuje uživatele, který operaci volá. Za touto volbou musí následovat DN administrátora tak, jak je uvedeno v souboru slapd.conf. V našem případě jde o cn=admin,dc=suse,dc=de. Přepínač -W obejde zadávání hesla přímo na příkazovém řádku (v prostém textu) a zobrazí zvláštní výzvu k zadání hesla. Jde o heslo ze souboru slapd.conf (rootpw). Parametrem -f předáte jméno souboru. Ukázku běhu programu ldapadd si můžete prohlédnout v tomto příkladu:

ldapadd -x -D cn=admin,dc=suse,dc=de -W -f example.ldif 

Enter LDAP password: 
adding new entry "dc=suse,dc=de" 
adding new entry "ou=devel,dc=suse,dc=de" 
adding new entry "ou=doc,dc=suse,dc=de" 
adding new entry "ou=it,dc=suse,dc=de"

Data jednotlivých uživatelů lze připravit v oddělených LDIF souborech. Následující příklad přidává do LDAP adresáře uživatele Tux:

# coworker Tux
dn: cn=Tux Linux,ou=devel,dc=suse,dc=de
objectClass: inetOrgPerson
cn: Tux Linux
givenName: Tux
sn: Linux
mail: tux@suse.de
uid: tux
telephoneNumber: +49 1234 567-8

LDIF soubor může obsahovat libovolné množství objektů. Jednotlivé větve stromu je tak možné vložit do databáze najednou nebo po částech. Pokud se některé části mění častěji, je vhodné je oddělit zvlášť.

Ke změně dat se používá příkaz ldapmodify. Nejjednodušší způsob je změnit již existující LDIF soubor a ten pak předat serveru. Pokud byste např. chtěli změnit telefonní číslo kolegy Tuxe z +49 1234 567-8 na +49 1234 567-10, změňte LDIF soubor takto:

# coworker Tux
dn: cn=Tux Linux,ou=devel,dc=suse,dc=de 
changetype: modify
replace: telephoneNumber 
telephoneNumber: +49 1234 567-10

Změněný soubor importujete na server příkazem:

  ldapmodify -x -D cn=admin,dc=suse,dc=de -W -f tux.ldif

Vlastnosti lze měnit i přímo takto:

Více informací o ldapmodify a příslušné syntaxi najdete na jeho manuálové stránce.

OpenLDAP poskytuje nástroj ldapsearch, který umožňuje vyhledávání a čtení dat z LDAP adresáře. Jednoduchý dotaz má následující syntaxi:

ldapsearch -x -b dc=suse,dc=de "(objectClass=*)"

Volbou -b nastavíte sekci stromu, ve které se má prohledávat (search base), v našem případě dc=suse,dc=de. Chcete-li důkladně prohledat jen určitou sekci LDAP adresáře, specifikujte ji pomocí volby -b. Volba -x požaduje jednoduchou autentizaci. (objectClass=*) určuje, že budou čteny všechny objekty v adresáři. Tento příkaz je vhodný např. k ověření správnosti záznamů po vytvoření nového adresářového stromu. Více informací získáte v manuálových stránkách příkazu ldapsearch, které vyvoláte zadáním man ldapsearch.

Nechtěné položky smažete pomocí příkazu ldapdelete. Syntaxe je podobná jako u příkazů uvedených výše. Např. celou položku Tux Linux smažete příkazem:

ldapdelete -x -D cn=admin,dc=suse,dc=de -W cn=Tux \
Linux,ou=devel,dc=suse,dc=de

Při aktivaci LDAP pro ověřování v síti nebo po spuštění modulu YaST se nainstalují balíčky pam_ldap a nss_ldap a nastaví se dva příslušné konfigurační soubory.

pam_ldap je PAM modul odpovědný při přihlášení za přenos dat z LDAP.

Pokud provádíte konfiguraci ručně, již uzpůsobené konfigurační soubory najdete v adresáři /usr/share/doc/packages/pam_ldap/pam.d/. Soubory překopírujte do /etc/pam.d.

Rozpoznávání jmen glibc přes nsswitch pomocí LDAP je řešeno s nss_ldap. Nový soubor nsswitch.conf je vytvořen v adresáři /etc/ při instalaci balíčku. Více o práci s nsswitch.conf najdete v části 22.3.1 – „Konfigurační soubory“. V souboru nsswitch.conf musí být následující řádky:

passwd: files ldap
group:  files ldap

Tyto řádky přikazují resolver knihovně glibc nejprve vyhodnotit soubory v adresáři /etc a pak se připojit k LDAP serveru jako zdroji autentizačních a uživatelských dat. Mechanismus můžete otestovat přečtením uživatelské databáze příkazem getent passwd. Výsledek by měl obsahovat lokální uživatele vašeho systému i uživatele uložené na LDAP serveru.

Abyste zabránili běžným uživatelům spravovaným přes LDAP přihlásit se k serveru pomocí ssh nebo login, musí soubory /etc/passwd a /etc/group obsahovat následující řádek: +::::::/sbin/nologin v /etc/passwd a +::: v /etc/group.

Jakmile jsou nss_ldap, pam_ldap, /etc/passwd a /etc/group YaSTem upraveny, lze pokračovat v konfiguraci za pomocí prvního dialogu modulu YaST. Viz obrázek 22.22 – „YaST: Konfigurace LDAP klienta“.

Obrázek 22.22. YaST: Konfigurace LDAP klienta

V prvním dialogu aktivujte použití LDAP pro autentizaci uživatelů. V položce ‘Základna DN pro LDAP’ zadejte prohledávací základnu, ve které jsou na serveru uložená data. IP adresu LDAP serveru zadejte v položce ‘Adresy serverů LDAP’. Můžete zadat více serverů oddělených mezerou. Chcete-li automaticky připojovat adresáře, zaškrtněte ‘Spustit automounter’. Chcete-li jako administrátor upravit data na serveru, klikněte na ‘Pokročilá konfigurace’. Viz obrázek 22.23 – „YaST: Pokročilá konfigurace“.

Obrázek 22.23. YaST: Pokročilá konfigurace

Další dialog má dvě části: V horní části lze provést obecné nastavení uživatelů a skupin. V dolní části se nastavují data potřebná pro přístup k LDAP serveru. Nastavení uživatelů a skupin obsahuje následující položky:

V dolní části nastavte údaje potřebné pro konfiguraci a přístup k LDAP serveru, tj. ‘Základna DN pro konfiguraci’, pod kterou jsou uloženy všechny konfigurační objekty, a ‘Administrační DN’.

Chcete-li editovat položky na serveru, klikněte na ‘Konfigurace správy nastavení uživatelů’. V dialogu, který se objeví, zadejte heslo pro autentizaci na serveru. Bude vám umožněn přístup ke konfiguračním modulům na serveru v souladu s ACL a ACI.

Použití YaST klienta

YaST LDAP klienta použijte k přizpůsobení YaST modulů pro správu uživatelů a skupin a k jejich případnému rozšíření. Navíc je možné definovat předlohy s výchozími hodnotami jednotlivých atributů pro usnadnění registrace údajů. Tato nastavení jsou sama uložena jako LDAP objekty v LDAP adresáři. Registrace uživatelských dat je stále prováděna pomocí běžných YaST formulářů. Údaje se ukládají jako objekty v LDAP adresáři.

Obrázek 22.24. YaST: Konfigurace modulu

V dialogu pro konfiguraci modulu (obrázek 22.24 – „YaST: Konfigurace modulu“) lze vybírat a upravovat existující konfigurační moduly a vytvářet a upravovat šablony. Chcete-li upravit hodnotu v konfiguračním modulu nebo modul přejmenovat, vyberte příslušný modul v nabídce. Objeví se seznam všech jeho povolených atributů i s hodnotami. Obsahuje i atributy povolené schématem, ale nepoužité.

Chcete-li změnit hodnotu atributu, vyberte atribut ze seznamu a klikněte na ‘Upravit’. Provedené změny potvrdíte tlačítkem ‘OK’.

Chcete-li přidat nový modul, klikněte na ‘Nový’. Zadejte jméno a objektovou třídu nového modulu (buď suseuserconfiguration nebo susegroupconfiguration). Uzavřením dialogu tlačítkem ‘OK’ přidáte nový modul do seznamu existujících modulů. Kliknutím na ‘Smazat’ vybraný modul smažete.

Pokud byly předem definovány, obsahují YaST moduly pro správu uživatelů a skupin šablony se smysluplnými výchozími hodnotami. Chcete-li šablonu upravit, klikněte na ‘Nastavit šablonu’. Dialog pro nastavení šablon je rozdělen na dvě části. Horní část obsahuje obecné atributy šablony. Upravte je podle potřeby a nebo nechte prázdné. Prázdné atributy budou na LDAP serveru smazány.

Obrázek 22.25. YaST: Konfigurace šablony objektu

Druhá část (‘Výchozí hodnoty pro nové objekty’) obsahuje všechny atributy odpovídajícího LDAP objektu (v tomto případě konfigurace uživatelů či skupin), pro které se definuje standardní hodnota. Lze přidávat nové a mazat již existující atributy, případně je měnit. Šablonu zkopírujete změnou hodnoty cn. Šablonu spojíte s modulem nastavením atributu susedefaulttemplate příslušného modulu na hodnotu obsahující DN upravené šablony.

	Tip
Výchozí hodnoty lze vytvářet z jiných atributů pomocí proměnných místo přímého zadání hodnoty. Například při vytváření nového uživatele lze použít cn=%sn %givenName a vytvářet tak automaticky hodnotu z sn a givenName.

Jsou-li moduly a šablony správně nastaveny, můžete registrovat nové uživatele a skupiny běžným způsobem v nástroji YaST.

Registrace údajů o uživatelích a skupinách se od postupu bez použití LDAP liší jen minimálně. Následující text se vztahuje k registraci uživatelů. Registrace skupin je analogická.

Spusťte YaST modul pro administraci uživatelů pomocí ‘Bezpečnost a uživatelé’+‘Správce uživatelů’. Objeví se formulář, ve kterém zadejte nejdůležitější data o uživateli, jako jméno, uživatelské jméno a heslo. Pomocí tlačítka ‘Detaily’ se dostanete k dialogu, ve kterém můžete nastavit členství ve skupinách, přihlašovací shell a domovský adresář. Výchozí hodnoty byly definované postupem popsaným v 22.9.5.2 – „Konfigurace LDAP klienta“. Pokud je použito LDAP, následuje další formulář pro zadání údajů specifických pro LDAP. Vyberte atributy, jejichž hodnotu chcete upravit, a klikněte na ‘Upravit’. Zavřením dialogu, který se objeví po kliknutí na ‘Pokračovat’, se vrátíte k hlavnímu dialogu správy uživatelů.

Hlavní dialog správy uživatelů obsahuje nabídku ‘LDAP volby’. Ta umožňuje použít vyhledávací LDAP filtry a nebo přejít do modulu pro konfiguraci LDAP uživatelů a skupin výběrem ‘Správa LDAP uživatelů a skupin’.