LDAP轻量目录访问协议为用户管理供应了统一认证做事，办理了长期存在的多套用户认证系统伶仃、繁杂、难以掩护的问题。具有简捷、高效、易用的特性，是用户认证管理的不二选择。
一、简介
LDAP（Lightweight Directory Access Protocol）是基于X.500标准的轻量目录访问协议。它比X.500具有更快的查询速率和更低的资源花费，精简灵巧，支持TCP/IP协议。LDAP为用户管理供应了统一认证做事，办理了办公环境中多套用户认证和项目管理系统相互独立分散的难题。
OpenLDAP 是LDAP的开源实现，OpenLDAP目录中的信息是按照树形构造进行组织的，详细信息存储在条款（entry）中，条款是LDAP的基本元素，也是识别名（DN）的属性凑集，DN 具有全局唯一性，用于准确地引用条款，每个条款属性又包含类型（type）和值（value）。整体架构如图所示：
二、快速安装
系统环境：CentOS7.3
主机名：openldap
系统IP：172.16.201.6
管理账户信息：dn:cn=Manager,dc=mydomain,dc=com
支配时，可根据实际需求变动以上信息。
2.1.环境准备
OpenLDAP正式支配前，首先对linux系统环境进行如下准备配置，以知足OpenLDAP安装运行需求。
1.设置主机名：
hostnamectl set-hostname openldap
主机名可自行设置成任意名字，只需将openldap设置为变动的主机名即可。
2.关闭防火墙和selinux
systemctl stop firewalldsystemctl disable firewalldsed -i "s/SELINUX=enforcing/SELINUX=disabled/g" /etc/selinux/config
3.配置epel源，配置完成后重启做事器，以使干系配置生效
yum install epel-release -yreboot
2.2.OpenLDAP安装
1.安装ldap干系组件
yum install openldap openldap-servers openldap-clients -ycp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
2.启动ldap做事
systemctl start slapdsystemctl enable slapdsystemctl status slapd
slapd即ldap的做事名称
3.设置ldap管理员用户密码
slappasswd -s 111111{SSHA}AjIAg98NFvRRlhoBOvsfVqMeAGZwi5O9
本次设置密码为111111，若须要其他密码直接变动该值即可。记录实行结果的返回值{SSHA}AjIAg98NFvRRlhoBOvsfVqMeAGZwi5O9,并将该值写入到后边天生的rootpwd.ldif文件中。
4.创建管理员用户配置文件rootpwd.ldif
cat <<EOF>rootpwd.ldifdn: olcDatabase={0}config,cn=configchangetype: modifyadd: olcRootPWolcRootPW: {SSHA}AjIAg98NFvRRlhoBOvsfVqMeAGZwi5O9EOF
干系参数解释：
olcRootPW参数值为slappasswd命令的结果输出。
olcRootPW: {SSHA}AjIAg98NFvRRlhoBOvsfVqMeAGZwi5O9指定了属性值。
ldif文件是LDAP中数据交流的文件格式。文件内容采取的是key-value形式。把稳value后面不能有空格。
olc（OnlineConfiguration）表示写入LDAP后立即生效。
changetype: modify表示修正entry，此外changetype的值也可以是add,delete等。
add: olcRootPW表示对这个entry新增olcRootPW的属性。
5.导入rootpwd.ldif信息
ldapadd -Y EXTERNAL -H ldapi:/// -f rootpwd.ldif
6.导入schema
schema包含支持分外场景的干系属性，可选择性导入或全部导入
ls /etc/openldap/schema/.ldif | while read i; do ldapadd -Y EXTERNAL -H ldapi:/// -f $i; done
7.设置默认域
slappasswd -s 111111{SSHA}7AA7V1xy++LVZcUbBWYYM9/81wfODiIK
本次设置密码为111111，若须要其他密码直接变动该值即可。记录实行结果的
返回值{SSHA}7AA7V1xy++LVZcUbBWYYM9/81wfODiIK
8.新建默认域配置文件
vi domain.ldifdn: olcDatabase={1}monitor,cn=configchangetype: modifyreplace: olcAccessolcAccess: {0}to by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=Manager,dc=mydomain,dc=com" read by nonedn: olcDatabase={2}hdb,cn=configchangetype: modifyreplace: olcSuffixolcSuffix: dc=mydomain,dc=comdn: olcDatabase={2}hdb,cn=configchangetype: modifyreplace: olcRootDNolcRootDN: cn=Manager,dc=mydomain,dc=comdn: olcDatabase={2}hdb,cn=configchangetype: modifyadd: olcRootPWolcRootPW: {SSHA}7AA7V1xy++LVZcUbBWYYM9/81wfODiIKdn: olcDatabase={2}hdb,cn=configchangetype: modifyadd: olcAccessolcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=Manager,dc=mydomain,dc=com" write by anonymous auth by self write by noneolcAccess: {1}to dn.base="" by readolcAccess: {2}to by dn="cn=Manager,dc=mydomain,dc=com" write by read
设置 olcRootPW参数值为slappwd命令的返回结果：{SSHA}7AA7V1xy++LVZcUbBWYYM9/81wfODiIK
9.写入信息
ldapmodify -Y EXTERNAL -H ldapi:/// -f domain.ldif
10.添加基本信息
cat <<EOF> basedomain.ldifdn: dc=mydomain,dc=comobjectClass: topobjectClass: dcObjectobjectclass: organizationo: mydomain comdc: mydomaindn: cn=Manager,dc=mydomain,dc=comobjectClass: organizationalRolecn: Managerdescription: Directory Managerdn: ou=People,dc=mydomain,dc=comobjectClass: organizationalUnitou: Peopledn: ou=Group,dc=mydomain,dc=comobjectClass: organizationalUnitou: GroupEOF
11.写入信息
ldapadd -x -D cn=Manager,dc=mydomain,dc=com -W -f basedomain.ldif
12.查看信息
ldapsearch -LLL -W -x -D "cn=Manager,dc=mydomain,dc=com" -H ldap://localhost -b"dc=mydomain,dc=com"
利用如上命令进行查看时，输入访问密码为：111111.能够查看到干系返回结果为如下内容，解释OpenLDAP配置成功。可进行干系管理和利用。
[root@openldap ~]# ldapadd -x -D cn=Manager,dc=mydomain,dc=com -W -f basedomain.ldif Enter LDAP Password: adding new entry "dc=mydomain,dc=com"adding new entry "cn=Manager,dc=mydomain,dc=com"adding new entry "ou=People,dc=mydomain,dc=com"adding new entry "ou=Group,dc=mydomain,dc=com"
三、OpenLDAP管理工具
为简化OpenLDAP利用，提高事情效率，OpenLDAP支持多种管理工具，较常用的有如下两款ldapadmin工具，可选择任意一种。
工具一：
1.可在windows电脑高下载管理工具：
http://www.ldapadmin.org/download/ldapadmin.html
2.下载完成后，解压该文件，直接双击运行，输入LDAP访问信息。
Host值为OpenLDAP节点ip地址：172.16.201.6.
Base值为：dc=mydomain,dc=com
Username值为：cn=Manager,dc=mydomain,dc=com
Password值为：111111.
别的参数为默认值。填写完成后可点击 "Test connection" 以测试是否能够正常连接。
3.连接成功后可看到OpenLDAP干系信息
之后可直接创建用户、组，或进行增、删、改操作。
工具二：
1.在OpenLDAP运行节点安装ldapadmin工具包
yum install -y httpd php php-mbstring php-pear phpldapadmin
2.修正/etc/httpd/httpd.conf配置文件
[root@www ~]# vi /etc/httpd/conf/httpd.conf # line 86: 修正admin邮箱地址 ServerAdmin root@openldap.mydomain.world# line 95: 修正主机域名 ServerName www.mydomain.com:80# line 152: 修正成如下内容： AllowOverride All# line 165: 添加可访问目录名的文件名称 DirectoryIndex index.html index.cgi index.php# 在文件末端增加如下两部分内容# server's response header ServerTokens Prod# keepalive is ON KeepAlive On
3.启动Apache做事并设置开机自启动
systemctl start httpdsystemctl enable httpd
4.编辑/etc/phpldapadmin/config.php文件，按如下内容修正：
vi /etc/phpldapadmin/config.php#注释掉398行，并取消397行的注释，修正后内容如下：$servers->setValue('login','attr','dn');// $servers->setValue('login','attr','uid');
5.编辑/etc/httpd/conf.d/phpldapadmin.conf，在第12行加入Require all granted以许可所有IP访问，被变动部分内容如下：
<Directory/usr/share/phpldapadmin/htdocs> <IfModule mod_authz_core.c> # Apache 2.4 Require local Require all granted </IfModule>
6.重启Apache做事使配置生效
systemctl restart httpd
7.在浏览器输入OpenLDAP访问WEB地址：http://172.16.201.6/ldapadmin/
输入登任命户名:cn=Manager,dc=mydomain,dc=com和密码:111111
8.通过认证后，可直接创建用户、组，进行增、删、改操作。
