OpenLDAP 简介
OpenLDAP 简介网上一大堆这里就不做介绍，可参考：http://baike.baidu.com/view/308683.htm
环境
服务端 IP：192.168.1.2
客户端 IP：192.168.1.3
添加用户
useradd -M -s /sbin/nologin ldap
BerkeleyDB 安装
./dist/configure --prefix=/usr/local/BerkeleyDB --enable-dbm --enable-share
make
make install
安装完后需要将 BerkeleyDB 动态库路径写入 /etc/ld.so.conf，否则有的程序找不到 BerkeleyDB 相应的动态库
echo "/usr/local/BerkeleyDB/lib" >> /etc/ld.so.conf
ldconfig
OpenLDAP 服务端安装
./configure --prefix=/usr/local/OpenLDAP --enable-spasswd --enable-crypt --enable-overlays --enable-accesslog --enable-auditlog --enable-passwd --enable-ldap --enable-relay --enable-meta --enable-bdb
make
make install
OpenLDAP 服务端配置
1、编辑 /usr/local/OpenLDAP/etc/openldap/slapd.conf
添加
include /usr/local/OpenLDAP/etc/openldap/schema/core.schema
include /usr/local/OpenLDAP/etc/openldap/schema/corba.schema
include /usr/local/OpenLDAP/etc/openldap/schema/collective.schema
include /usr/local/OpenLDAP/etc/openldap/schema/cosine.schema
include /usr/local/OpenLDAP/etc/openldap/schema/duaconf.schema
include /usr/local/OpenLDAP/etc/openldap/schema/dyngroup.schema
include /usr/local/OpenLDAP/etc/openldap/schema/inetorgperson.schema
include /usr/local/OpenLDAP/etc/openldap/schema/java.schema
include /usr/local/OpenLDAP/etc/openldap/schema/misc.schema
include /usr/local/OpenLDAP/etc/openldap/schema/nis.schema
include /usr/local/OpenLDAP/etc/openldap/schema/pmi.schema
include /usr/local/OpenLDAP/etc/openldap/schema/ppolicy.schema
include /usr/local/OpenLDAP/etc/openldap/schema/openldap.schema
修改 pidfile
pidfile /var/run/slapd.pid
修改 argsfile
argsfile /usr/local/OpenLDAP/var/slapd.args
禁止匿名访问
disallow bind_anon
修改操作权限（管理员可修改所有用户资料，普通用户只能查看他人资料和修改自己资料）
access to attr=shadowLastChange,userPassword
by self write
by anonymous auth
by * none
access to *
by self write
by * read
2.4.40 开始 是 attrs ， 而不再是 attr
数据库使用 bdb
database bdb
修改 DN 后缀
suffix "dc=domain,dc=com"
修改根 DN
rootdn "cn=root,dc=domain,dc=com"
rootpw {SSHA}xxxx // 密码可使用命令：“/usr/local/OpenLDAP/sbin/slappasswd -h{SSHA} -s 密码” 来生成
修改数据目录
directory /usr/local/OpenLDAP/data
创建复制BDB数据库配置文件
OpenLDAP 服务器默认采用 BDB（伯克利）数据库作为后台，需要先将 /usr/local/OpenLDAP/etc/openldap/DB_CONFIG.example 复制到 /usr/local/OpenLDAP/data 目录下，并更名为 DB_CONFIG，并更改权限为 ldap 所有。
cp /usr/local/OpenLDAP/etc/openldap/DB_CONFIG.example /usr/local/OpenLDAP/data
mv /usr/local/OpenLDAP/data/DB_CONFIG.example /usr/local/OpenLDAP/data/DB_CONFIG
chown -fR ldap:ldap /usr/local/OpenLDAP/data
初始化数据
编辑 init.ldif
dn: dc=domain,dc=com
objectClass: dcObject
objectClass: organization
dc: domain
o: domain.com Inc.
description: domain.com LDAP Server
dn: cn=root,dc=domain,dc=com
objectClass: organizationalRole
cn: root
用以下命令添加模板信息
/usr/local/OpenLDAP/bin/ldapadd -x -D "cn=root,dc=domain,dc=com" -W -f init.ldif
启动 OpenLDAP
/usr/local/OpenLDAP/libexec/slapd -4 -n "OpenLDAP Server" -g ldap -u ldap -f /usr/local/OpenLDAP/etc/openldap/slapd.conf
检测 OpenLDAP 是否启动
netstat -anp|grep 389
导入系统组、账号数据
下载 MigrationTools，下载地址：ftp://ftp.padl.com/pub/MigrationTools.tgz
下载完成解压后，进入该目录
修改 migrate_common.ph
$DEFAULT_MAIL_DOMAIN = "domain.com";
$DEFAULT_BASE = "dc=domain,dc=com"; （说明：此处需要和前面配置的 slapd.conf 指定的域名相同）
生成模板信息
./migrate_base.pl > base.ldif
编辑 base.ldif
删除 除了 ou=People,dc=domain,dc=com 和 ou=Group,dc=domain,dc=com 外的其它所有条目
dn: ou=People,dc=domain,dc=com 替换为 ou=User,ou=Server,dc=domain,dc=com
dn: ou=Group,dc=domain,dc=com 替换为 ou=Group,ou=Server,dc=domain,dc=com
当然也可以不用改。为什么要改？可能你的 OpenLDAP 需要管理若干系统用户。这么做是为了清晰的分组管理。
DN ou=Server,dc=domain,dc=com 下都为服务器用户组、用户账号信息。
/usr/local/OpenLDAP/bin/ldapadd -x -D "cn=root,dc=domain,dc=com" -W -f base.ldif
导出用户组
./migrate_group.pl > group.ldif
替换 group.ldif 中的 ou=Group,dc=domain,dc=com 替换为 ou=Group,ou=Server,dc=domain,dc=com
/usr/local/OpenLDAP/bin/ldapadd -x -D "cn=root,dc=domain,dc=com" -W -f group.ldif
导出用户
./migrate_passwd.pl > user.ldif
将 user.ldif 中的 ou=People,dc=domain,dc=com 替换为 ou=User,ou=Server,dc=domain,dc=com
/usr/local/OpenLDAP/bin/ldapadd -x -D "cn=root,dc=domain,dc=com" -W -f user.ldif
其它相关配置（如：开机自启动、防火墙等等）这里就不再重复描述，和其它软件无异。
可以使用 phpLDAPadmin 来进行可视化管理，可通过防火墙限制 OpenLDAP 只能在局域网内访问。
OpenLDAP 客户端安装
客户端不需要 OpenLDAP 服务端库，所以可以通过 yum 仅安装 OpenLDAP 客户端库
yum install openldap-clients
OpenLDAP 客户端配置
编辑 /etc/openldap/ldap.conf
BASE dc=domain,dc=com
URI ldap://192.168.1.2
系统认证配置
在配置系统文件时，为了避免由于错误，造成没法登录，建议开启两个窗口，且在修改文件之前做好备份，以方便恢复。
安装 nss-pam-ldap
yum install nss-pam-ldapd pam_ldap
编辑 /etc/nsswitch.conf
将
passwd: files
shadow: files
group: files
改为
passwd: files ldap
shadow: files ldap
group: files ldap
编辑 /etc/sysconfig/authconfig ，将以下几项改为 yes
USESYSNETAUTH=yes
USESHADOW=yes
USELOCAUTHORIZE=yes
USELDAP=yes
USELDAPAUTH=yes
USEMKHOMEDIR=yes
PASSWDALGORITHM=sha512
编辑 /etc/pam_ldap.conf
host 192.168.1.2
base dc=domain,dc=com
rootbinddn cn=root,dc=domain,dc=com
bindpw root 密码
pam_password sha512
nss_base_passwd ou=User,ou=Server,dc=domain,dc=com?filter
nss_base_shadow ou=User,ou=Server,dc=domain,dc=com?filter
nss_base_group ou=Group,ou=Server,dc=domain,dc=com?filter
编辑 /etc/nslcd.conf
uri ldap://192.168.1.2/
base dc=domain,dc=com
rootpwmoddn cn=root,dc=domain,dc=com
bindpw root 密码
base group ou=Group,ou=Server,dc=domain,dc=com
base passwd ou=User,ou=Server,dc=domain,dc=com
base shadow ou=User,ou=Server,dc=domain,dc=com
修改 /etc/pam.d/system-auth
auth required pam_env.so
auth sufficient pam_unix.so nullok try_first_pass
auth sufficient pam_ldap.so nullok use_first_pass
auth requisite pam_succeed_if.so uid >= 500 quiet
auth required pam_deny.so
account required pam_unix.so
account sufficient pam_localuser.so
account [default=bad success=ok user_unknown=ignore] pam_ldap.so
account sufficient pam_succeed_if.so uid < 500 quiet
account required pam_permit.so
password requisite pam_cracklib.so try_first_pass retry=3 type=
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password required pam_deny.so
session optional pam_keyinit.so revoke
session required pam_limits.so
session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session required pam_unix.so
session optional pam_ldap.so
session optional pam_mkhomedir.so skel=/etc/skel umask=0077
修改 /etc/pam.d/password-auth
password requisite pam_cracklib.so try_first_pass retry=3 type=
password sufficient pam_ldap.so use_first_pass
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password required pam_deny.so
session optional pam_keyinit.so revoke
session required pam_limits.so
session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session required pam_unix.so
session required pam_ldap.so
session required pam_mkhomedir.so skel=/etc/skel umask=0077
/etc/pam.d/password-auth 必须加上
session required pam_ldap.so
session required pam_mkhomedir.so skel=/etc/skel umask=0077
否则无法自动创建用户目录，当然如果自动同步主目录，则客户机上就不行在 /etc/pam.d/system-auth、/etc/pam.d/password-auth 加上
session xxx pam_mkhomedir.so skel=/etc/skel umask=0077
最后，需要启动 nslcd
service nslcd restart
测试，是否同步成功
id yourusername
用户主目录同步
通过 NFS 自动同步用户主目录，参考资料：
