LDAP i problem z konfiguracj

[dryniu]

Postanowiłem postawić OpenLDAPa w pracy i mam z nim problemu już na starcie wykonywania tutoriali: instalacja przebiega bez problemu, konfiguracja slapd przez dpkg też. Problemy zaczęły się pojawiać w momencie próby dodawania plików ldif. Mam również wrażnenie, że zmiany w pliku konfiguracyjnym nie mają odzwierciedlenia w rzeczywistości.
Jestem nowy jeżeli chodzi o LDAP - pierwszy raz próbuję go postawić - i nie wiem gdzie robię błąd. Starałem się znaleźć odpowiedź przez wujka G. jednak bez skutecznie - proponowane rozwiązania nie pomagały.
Zaczynając może od konfiguracji:

slapd.conf:

Kod: Zaznacz cały

# This is the main slapd configuration file. See slapd.conf(5) for more
# info on the configuration options.

#######################################################################
# Global Directives:

# Features to permit
allow bind_v2

# Schema and objectClass definitions
include         /etc/ldap/schema/core.schema
include         /etc/ldap/schema/cosine.schema
include         /etc/ldap/schema/nis.schema
include         /etc/ldap/schema/inetorgperson.schema

# Where the pid file is put. The init.d script
# will not stop the server if you change this.
pidfile         /var/run/slapd/slapd.pid

# List of arguments that were passed to the server
argsfile        /var/run/slapd/slapd.args

# Read slapd.conf(5) for possible values
loglevel        256

# Where the dynamically loaded modules are stored
modulepath      /usr/lib/ldap
moduleload      back_hdb

# The maximum number of entries that is returned for a search operation
sizelimit 500

# The tool-threads parameter sets the actual amount of cpu's that is used
# for indexing.
tool-threads 1

#######################################################################
# Specific Backend Directives for hdb:
# Backend specific directives apply to this backend until another
# 'backend' directive occurs
backend         hdb

#######################################################################
# Specific Backend Directives for 'other':
# Backend specific directives apply to this backend until another
# 'backend' directive occurs
#backend                <other>

#######################################################################
# Specific Directives for database #1, of type hdb:
# Database specific directives apply to this databasse until another
# 'database' directive occurs
database        hdb

# The base of your directory in database #1
suffix          "dc=appa,dc=local"

# rootdn directive for specifying a superuser on the database. This is needed
# for syncrepl.
 rootdn          "cn=admin,dc=appa,dc=local"
 rootpw secret
# Where the database file are physically stored for database #1
directory       "/var/lib/ldap"

# The dbconfig settings are used to generate a DB_CONFIG file the first
# time slapd starts.  They do NOT override existing an existing DB_CONFIG
# file.  You should therefore change these settings in DB_CONFIG directly
# or remove DB_CONFIG and restart slapd for changes to take effect.

# For the Debian package we use 2MB as default but be sure to update this
# value if you have plenty of RAM
dbconfig set_cachesize 0 2097152 0

# Sven Hartge reported that he had to set this value incredibly high
# to get slapd running at all. See http://bugs.debian.org/303057 for more
# information.

# Number of objects that can be locked at the same time.
dbconfig set_lk_max_objects 1500
# Number of locks (both requested and granted)
dbconfig set_lk_max_locks 1500
# Number of lockers
dbconfig set_lk_max_lockers 1500

# Indexing options for database #1
index           objectClass eq

# Save the time that the entry gets modified, for database #1
lastmod         on

# Checkpoint the BerkeleyDB database periodically in case of system
# failure and to speed slapd shutdown.
checkpoint      512 30

# Where to store the replica logs for database #1
# replogfile    /var/lib/ldap/replog

# The userPassword by default can be changed
# by the entry owning it if they are authenticated.
# Others should not be able to see it, except the
# admin entry below
# These access lines apply to database #1 only
access to attrs=userPassword,shadowLastChange
        by dn="cn=admin,dc=appa,dc=local" write
        by anonymous auth
        by self write
        by * none

# Ensure read access to the base for things like
# supportedSASLMechanisms.  Without this you may
# have problems with SASL not knowing what
# mechanisms are available and the like.
# Note that this is covered by the 'access to *'
# ACL below too but if you change that as people
# are wont to do you'll still need this if you
# want SASL (and possible other things) to work
# happily.
access to dn.base="" by * read

# The admin dn has full write access, everyone else
# can read everything.
access to *
        by dn="cn=admin,dc=appa,dc=local" write
        by * read

# For Netscape Roaming support, each user gets a roaming
# profile for which they have write access to
#access to dn=".*,ou=Roaming,o=morsnet"
#        by dn="cn=admin,dc=nodomain" write
#        by dnattr=owner write

#######################################################################
# Specific Directives for database #2, of type 'other' (can be hdb too):
# Database specific directives apply to this databasse until another
# 'database' directive occurs
#database        <other>

# The base of your directory for database #2
#suffix         "dc=debian,dc=org"

wykonuje slapcat:

Kod: Zaznacz cały

Backup:/# slapcat
dn: dc=nodomain
objectClass: top
objectClass: dcObject
objectClass: organization
o: nodomain
dc: nodomain
structuralObjectClass: organization
entryUUID: 33452898-561c-1031-893e-93870ec35bb9
creatorsName:
createTimestamp: 20120629095445Z
entryCSN: 20120629095445.306418Z#000000#000#000000
modifiersName:
modifyTimestamp: 20120629095445Z

dn: cn=admin,dc=nodomain
objectClass: simpleSecurityObject
objectClass: organizationalRole
cn: admin
description: LDAP administrator
userPassword:: e2NyeXB0fUdIYVFuMmJDaUhZVy4=
structuralObjectClass: organizationalRole
entryUUID: 3349e57c-561c-1031-893f-93870ec35bb9
creatorsName:
createTimestamp: 20120629095445Z
entryCSN: 20120629095445.337577Z#000000#000#000000
modifiersName:
modifyTimestamp: 20120629095445Z

następnie ldapsearch:

Kod: Zaznacz cały

Backup:/# ldapsearch -x -b "dc=appa,dc=local"
# extended LDIF
#
# LDAPv3
# base <dc=appa,dc=local> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# search result
search: 2
result: 32 No such object

# numResponses: 1

próbuję załączyć plik ldif:

Kod: Zaznacz cały

Backup:/# ldapadd -f /etc/ldap/base.ldif -D "cn=admin,dc=appa,dc=local" -W
Enter LDAP Password:
SASL/DIGEST-MD5 authentication started
ldap_sasl_interactive_bind_s: Invalid credentials (49)

W tym momencie nie ma znaczenia jakie hasło wpiszę a próbowałem to zawarte w pliku konfiguracyjnym, to ustanowione podczas instalacji i rekonfiguracji - za każdym razem tak samo. Próba z parametrem -x również przynosi takie same skutki.

plik ldif:

Kod: Zaznacz cały

# base.ldif
# Wpis 1: dc=appa,dc=local
dn: dc=appa,dc=local
dc: appa
o: appa
objectclass: dcObject
objectclass: organization
objectclass: top

# Wpis 2: ou=people,dc=appa,dc=local
dn: ou=people,dc=appa,dc=local
ou: people
objectclass: organizationalUnit
objectclass: top

# Wpis 3: ou=groups,dc=appa,dc=local
dn: ou=groups,dc=appa,dc=local
ou: groups
objectclass: organizationalUnit
objectclass: top

# Wpis 4: ou=hosts,dc=appa,dc=local
dn: ou=hosts,dc=appa,dc=local
ou: hosts
objectclass: organizationalUnit
objectclass: top

dołączanie schematów:

Kod: Zaznacz cały

Backup:/# ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/ldap/schema/inetorgperson.ldif
ldap_sasl_interactive_bind_s: Can't contact LDAP server (-1)

Próbując podłaczyć się do bazy LDAP programem LdapAdmin mogę logować się tylko jako anonim i przy tym otrzymuje komunikat o nieznalezieniu żadnego obiektu.

I tak męczę się od 4 dni kombinując na różne sposoby i z róznymi tutorialami i efekt jest taki sam - ani nie mogę zandego obiektu dodać, ani też nie wiem czy to funkcjonuje poprawnie. Byłbym wdzięczny za poprowadzenie mnie, ewentualnie wskazanie błędów.

[mariaczi]

Z którego poradnika korzystałeś?
Tutaj masz za rączkę, krok po kroku: http://www.server-world.info/en/note?os ... 6.0&p=ldap

[lun]

Kolego, już na starcie masz błąd.
Akurat na tym, stricte linuxowym katalogu się nie znam, ale jeśli dobrze zrozumiałem slapcat robi zrzut całego drzewa? Jeśli tak to w tym zrzucie masz dwa obiekty.
Pierwszym jest obiekt dn: dc=nodomain typu organization, oraz obiekt dn: cn=admin,dc=nodomain, typu user (który jest administratorem katalogu).
Wykonując ldapsearch szukasz obiektu który nie występuje w katalogu ("dc=appa,dc=local"), o czym zostajesz poinformowany (result: 32 No such object).
Następnie próbujesz zaimportować plik ldif, korzystając z poświadczeń obiektu który w LDAPie również nie występuje (cn=admin,dc=appa,dc=local).

Po 1, do ldapadd użyj poświadczeń ( -D "bindDN") cn=admin,dc=nodomain.
Po 2, popraw cały plik base.ldif bo wszystkie obiekty które tam próbujesz zaimportować mają błędny kontekst.

[dryniu]

olcRootPW

Z którego poradnika korzystałeś?
Tutaj masz za rączkę, krok po kroku: http://www.server-world.info/en/note?os ... 6.0&p=ldap

Korzystałem mniej więcej z tych tutoriali:

Kod: Zaznacz cały

http://www.howtoforge.com/install-and-configure-openldap-on-ubuntu-karmic-koala
http://www.yolinux.com/TUTORIALS/LinuxTutorialLDAP.html
http://www.linux-educd.pl/?p=99
http://drfugazi.eu.org/pl/ldap/instalacja-i-konfiguracja-openldap
http://www.debian-administration.org/article/OpenLDAP_installation_on_Debian

@lun

Poprawiłem slapd.conf zmieniając wszędzie wystąpienia dc=appa,dc=local na dc=nodomain ale problem nadal mam z hasłem dla użytkownika admin - próbowałem z każdym możliwym, który mogłem ustawić + próbowałem na zasadzie porównywania hashu (generowałem i porównywałem z tym wypisanym przez spalcat) i nic - tak jakby hasło, które zostało ustanowione nie było moje. Próbowałem zmienić je z pomocą tej instrukcji:

Kod: Zaznacz cały

http://unix4you.net/2012/05/ldap-zmiana-hasla-administoratora/

tylko że nigdzie nie mogę znaleźć żadnego pliku z pozycją: olcRootPW.

[lun]

A hasła na admin'a nie ustawia się podczas dpkg-reconfigure?

[dryniu]

W teorii się ustawia. Tylko, że za pomocą hasła ustanowionego podczas dpkg-reconfigure nie udaje się logować do konta admina. Dodatkowo w którymś z tutorioali pokazane jest że do ustawienia własnej domeny (zmiany z dc=nodoamin) wystarczy użyć dpkg-reconfigure slapd - u mnie to nie działa. Wpisuje dane jakie chciałbym mieć, a po wykonaniu slapcata nadal mam jako dc=nodomain.

EDIT
Udało się ustawić domenę na taką jaką chciałem (dc=appa,dc=local) i to już wyświetla slapcat, ale hasło mimo wpisywania innego - nie daje rezultatu. Przyczyną
takiego stanu było nie przenoszenie starej bazy danych podczas dpkg-reconfigure (Move old database? wybrałem "nie").

EDIT2
Udało się również zaimportować stworzony wcześniej plik base.ldif (wykomentowałem tylko pierwszą sekcję) za pomocą polecenia

Kod: Zaznacz cały

ldapadd -f /etc/ldap/base.ldif -D "cn=admin,dc=appa,dc=local" -W -x

nie działa tylko w przypadku kiedy usunę -x

Robiłem wyszystko na "świerzej" instalce OpenLDAP, nic nie zmieniając w pliku slapd.conf.

[lun]

Rozumieć mam że wszystkie problemy zostały rozwiązane? Czy jest jeszcze problem z hasłem na konto admin?

[dryniu]

Jeszcze pozostała rzecz taka:
jak próbuję np. wykonać:

Kod: Zaznacz cały

Backup:/etc/ldap# ldapmodify -Y EXTERNAL -H ldapi:///

to otrzymuję:

Kod: Zaznacz cały

ldap_sasl_interactive_bind_s: Can't contact LDAP server (-1)

serwer na pewno jest uruchomiony (sprawdzane ps ax).
Nie wiem tylko czy składnia jest niepoprawna czy czegoś mi jeszcze brakuje/powiniem doinstalować. Według tutorialu działa to zaraz po wstępnej konfiguracji z dpkg.