LPI-2 202-450 Topico 210.4
Configurar um servidor OpenLDAP

A nomenclatura define como as entradas e os dados são referenciados no DIT. Aqui também faz sentido fazer uma analogia com uma estrutura de diretórios em um disco.

Por exemplo se precisarmos referenciar em um script o caminho para o arquivo lpi.txt dentro do diretório Documentos na home do usuário João o faríamos dessa forma: /home/joao/Documentos/lpi.txt

Em um diretório LDAP o equivalente a "caminho" é chamado de Distinguished Name (DN) ou "Nome Distinto" em tradução nossa. A lógica para expressar um DN é a mesma do que usaríamos para expressar um "caminho" em uma árvore de diretórios, porém com duas diferenças:

1. No DN o nível mais alto da "árvore" é expresso mais à direita, e vamos citando os agrupamentos até chegar ao objeto final à esquerda;
2. Não é usada a / mas sim uma , e também devemos definir o atributo do elemento citado.

com ➔ dc=com
├── abc 
└── exemplo ➔ dc=exemplo
    ├── vendas
    └──  gerentes ➔ ou=gerentes
         ├── dispositivos
         └── usuarios ➔ ou=usuarios
             ├── joao  ➔ cn=joao
             └── maria ➔ cn=maria

Logo o Distinguished Name para joao é:
dn:cn=joao,ou=usuarios,ou=gerentes,dc=exemplo,dc=com

Os DN são identificadores exclusivos que identificam uma entrada na hierarquia. No exemplo acima, joao e maria são cn diferentes que identificam entradas diferentes dentro de um mesmo nível (ou=usuarios).

Podemos resumir que um Distinguished Name é um "Caminho Completamente Qualificado" que traça uma entrada até a raiz da árvore de diretório.

Também é importante citar o Relative Distinguished Name (RDN) ou "Nome Distinto Relativo" em tradução nossa. Que nada mais é do que um componente do Distinguished Name.

Por exemplo cn=joao,ou=usuarios é um RDN relativo ao root dc=exemplo,dc=com.

Definições importantes:

• DNs descrevem um caminho completamente qualificado até a raiz do domínio.
• RDNs descrevem um caminho parcial da entrada em relação à outra entrada na árvore, em outras palavras um DN é constituído por RDNs.

No início da década de 80 a International Organization Standardization (ISO) e o Consultative Committee for International Telegraphy and Telephony (CCITT) se juntaram para criar um serviço de mensagens (a série X.400). Chegaram a conclusão que precisavam desenvolver um protocolo que organizasse entradas de dados num serviço de nomes de forma hierárquica, capaz de suportar grandes quantidades de informação e com uma enorme capacidade de procura dessas informações. Esse serviço criado por essas duas instituições foi apresentado em 1988 e foi denominado X.500, juntamente com um conjunto de recomendações e das normas ISO 9594.

o X.500 especificava que a comunicação entre o cliente e o servidor do Diretório usava o Directory Access Protocol (DAP). Porém ao aplicá-lo na prática concluiu-se que ele era muito complexo e de custo operacional incompatível.

Isso levou aos pesquisadores da Universidade de Michigan a criar o Lightweight Directory Access Protocol (LDAP), além do protocolo foi criado o Daemon Standalone LDAP o slapd. Em 1993 o LDAP foi apresentado como uma alternativa ao protocolo DAP para acesso a Diretórios baseados no modelo X.500, sendo pela primeira vez implementado na própria universidade.

Esse mesmo grupo de pesquisadores disponibilizou os fontes do slapd na Internet e criou listas de discussão para divulgar e aperfeiçoar o novo serviço, sendo a sua evolução acompanhada por pessoas do mundo inteiro. Segundo Ricardo Pinheiro [3] "Com a divulgação do slapd, o LDAP deixou de ser uma mera alternativa ao DAP do X.500 e ganhou estatuto de Serviço de Diretório completo, passando a competir diretamente com o X.500".

Em Dezembro de 1997, o IETF lançou a versão 3 do LDAP como proposta padrão Internet para Serviços de Diretório.

O projeto OpenLDAP foi inciado em 1998 por Kurt Zeilenga clonando os fontes da referência LDAP utilizada na Universidade de Michigan, onde um projeto de longa duração apoiou o desenvolvimento e a evolução do protocolo LDAP até o lançamento final desse projeto em 1996.

A evolução do OpenLDAP prossegue, acompanhando a evolução dos padrões IETF.

O OpenLDAP tem 3 componentes principais:

• slapd: é um daemon stand-alone com módulos associados e algumas ferramentas;
• bibliotecas de implementação do protocolo LDAP e bibliotecas de representação de dados estruturados ASN.1 usadas pelo X.500;
• softwares clientes como o ldapsearch, ldapadd, ldapdelete e outras.

Aqui demonstraremos instalação do OpenLDAP será demonstrada em sistemas RedHat-like. No caso instalaremos os pacotes necessários para o servidor e os utilitários clients. Para tanto utilizaremos os seguintes pacotes:

• openldap: Pacote com as bibliotecas;
• openldap-clients: pacote com os software clients;
• openldap-servers; servidor OpenLDAP.

yum install openldap openldap-servers openldap-clients

Para execução desse laboratório iremos desabilitar o SELinux, pois ajustes de SELinux não fazem escopo desse tópico do Exame LPI-2. Em produção o SELinux nunca deve ser desativado, o correto é analisar os alertas e executar os devidos ajustes.

Desabilitando o SELinux "a quente":

setenforce permissive

Para desabilitar o SELinux em definitivo deve-se editar o arquivo /etc/selinux/config mudando a diretiva SELINUX para permissive:

SELINUX=permissive

Após esses ajustes podemos iniciar o serviço slapd:

systemctl start slapd

Obs.: Em servidores antigos como o RedHat5 o nome do serviço é ldap dessa forma para iniciar o servidor deve-se utilizar o comando:

service ldap start

Após o serviço iniciado pode-se constatar seu funcionamento verificando se ele está ouvindo a porta TCP 389 com o comando netstat.

# netstat -tulpen | grep -i 389
tcp   0   0   0.0.0.0:389   0.0.0.0:*   OUÇA   0   56306   11922/slapd         
tcp   0   0        :::389        :::*   OUÇA   0   56305   11922/slapd

Em servidores Debian-like a instalação é mais simples:

apt install slapd ldap-utils

No caso dos servidores Debian-like a base inicial será criada pelo instalador. Assim durante esse processo será solicitada uma senha para o usuário "admin":

Outra diferença notável entre as distribuições é que nas distribuições Debian-like os arquivos de configuração ficam em /etc/ldap já nas distribuições RedHat-like ficam em /etc/openldap.

┌─[root@centos7lpi]──[15:21]──[/etc/openldap]
└─[70]─># ll
total 12
drwxr-xr-x. 2 root root   90 Nov 15 14:18 certs
-rw-r--r--. 1 root root  121 Ago 31 11:49 check_password.conf
-rw-r--r--. 1 root root  363 Ago 31 11:49 ldap.conf
drwxr-xr-x. 2 root root 4096 Nov 15 14:18 schema
drwxr-x---. 3 ldap ldap   45 Nov 15 14:18 slapd.d

A configuração inicial do OpenLDAP v2.3 é bastante simples. Precisamos apenas editar as diretivas constantes em slapd.conf (um exemplo do slapd.conf pode ser visto na listagem 7).

Diretivas a editar:

• database: O tipo de banco de dados usado no back-end do OpenLDAP, por padrão ele usa o Berkley DB;
• suffix: o nome do domínio que será administrado pelo OpenLDAP;
• rootdn: é o Distinguished Name (DN) para o usuário com permissionamento irrestrito utilizado em operações administrativas;
• rootpw: a senha atribuída ao usuário rootdn;
• directory: Indica o diretório (no sistema de arquivos) onde o banco de dados será armazenado, não há necessidade de mudar essa diretiva.

No meu arquivo de exemplo editei os seguintes campos:

database        bdb
suffix          "dc=infralinux,dc=net"
rootdn          "cn=ldap2admin,dc=infralinux,dc=net"
rootpw          {SSHA}7GC8j4EggQuGuXed1nXGa6zskViaCSjH

Depois de editado teste a configuração com o comando:

slaptest -u -v -f slapd.conf

Se o comando executar e apresentar uma resposta de teste bem sucedido agora basta parar o serviço ldap (sim no CentOS5 o serviço slapd se chama ldap) e depois iniciá-lo novamente.

Os arquivos do banco de dados do LDAP ficam em /var/lib/ldap. Nenhum dos arquivos que constam nesse diretório podem ser editados manualmente. Tal como já exposto em Configuração do OpenLDAP v2.3 esta localização pode ser alterada (ainda que não seja recomendável) editando a diretiva directory no arquivo slapd.conf.

┌─[root@centos7lpi]──[20:00]──[~]
└─[91]─># ls -la /var/lib/ldap/
total 348
drwx------.  2 ldap ldap      126 Nov 15 20:00 .
drwxr-xr-x. 26 root root     4096 Nov 15 14:18 ..
-rw-r--r--.  1 ldap ldap     4096 Nov 15 18:51 alock
-rw-------.  1 ldap ldap   286720 Nov 15 18:51 __db.001
-rw-------.  1 ldap ldap    32768 Nov 15 18:51 __db.002
-rw-------.  1 ldap ldap    49152 Nov 15 18:51 __db.003
-rw-------.  1 ldap ldap     8192 Nov 15 15:02 dn2id.bdb
-rw-------.  1 ldap ldap    32768 Nov 15 15:02 id2entry.bdb
-rw-------.  1 ldap ldap 10485760 Nov 15 15:21 log.0000000001

Obs.: o serviço slapd roda com o usuário ldap. Portanto se você tentar executar o comando slapd ou carregar o LDIF padrão com o usuário root do Linux ele criará os arquivos com permissionamento incorreto. Logo execute o comando chonw -R ldap:ldap /var/lib/ldap para corrigir as permissões antes de iniciar o serviço.

Assim como na seção Configuração do OpenLDAP v2.3 nós havíamos iniciado o serviço com o usuário root do Linux em nosso servidor de testes CentOS5 os diretórios foram criados com permissionamento errado, consequentemente o serviço não subiu:

┌─[root@centos5]──[21:35]──[/var/lib/ldap]
└─[105]─># service ldap status
slapd está parado
┌─[root@centos5]──[21:42]──[/var/lib/ldap]
└─[106]─># ls -la
total 972
drwx------  2 ldap ldap     4096 Nov 15 16:06 .
drwxr-xr-x 26 root root     4096 Nov 15 18:15 ..
-rw-r--r--  1 root root     4096 Nov 15 21:29 alock
-rw-------  1 root root    24576 Nov 15 21:29 __db.001
-rw-------  1 root root   368640 Nov 15 21:29 __db.002
-rw-------  1 root root   270336 Nov 15 21:29 __db.003
-rw-------  1 root root    98304 Nov 15 21:29 __db.004
-rw-------  1 root root   557056 Nov 15 21:29 __db.005
-rw-------  1 root root    24576 Nov 15 21:29 __db.006
-rw-------  1 root root     8192 Nov 15 16:06 dn2id.bdb
-rw-------  1 root root    32768 Nov 15 16:06 id2entry.bdb
-rw-------  1 root root 10485760 Nov 15 21:29 log.0000000001
-rw-r--r--  1 root root       37 Nov 15 15:48 openldap-severs-update.log

Logo ao executar o comando:

chonw -R ldap:ldap /var/lib/ldap

O serviço subiu corretamente.

Este comando reindexa as entradas em um banco de dados slapd. Ele faz uso extensivo de indexação e cache para aumentar a velocidade de acesso aos dados.

Importante: Assim como todos os comandos iniciados com o prefixo slap ele só poderá ser executado com o slapd parado.

Infelizmente não há documentação útil sobre ele no OpenLDAP v2.4 ele continua mostrando informações das versões anteriores e ainda precisa do arquivo slapd.conf. Assim os exemplos a seguir serão no CentOS5:

┌─[root@centos5]──[21:55]──[/var/lib/ldap]
└─[111]─># service ldap stop
Parando o slapd:                                           [  OK  ]
┌─[root@centos5]──[21:56]──[/var/lib/ldap]
└─[112]─># slapindex -f /etc/openldap/slapd.conf -b "dc=infralinux,dc=net"
bdb_db_open: Warning - No DB_CONFIG file found in directory /var/lib/ldap: (2)
Expect poor performance for suffix dc=infralinux,dc=net.

Na saída acima o comando apresentou um Warning dizendo que não encontrou o arquivo DB_CONFIG. Logo devemos copiar o arquivo de exemplo para o diretório base, ajustarmos o permissionamento e executarmos novamente o slapindex.

┌─[root@centos5]──[21:56]──[/var/lib/ldap]
└─[113]─># updatedb
┌─[root@centos5]──[22:00]──[/var/lib/ldap]
└─[114]─># locate DB_CONFIG
/etc/openldap/DB_CONFIG.example
┌─[root@centos5]──[22:00]──[/var/lib/ldap]
└─[115]─># cp /etc/openldap/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
┌─[root@centos5]──[22:01]──[/var/lib/ldap]
└─[116]─># chown -R ldap:ldap /var/lib/ldap
┌─[root@centos5]──[22:01]──[/var/lib/ldap]
└─[117]─># slapindex -f /etc/openldap/slapd.conf -b "dc=infralinux,dc=net"
bdb_db_open: DB_CONFIG for suffix dc=infralinux,dc=net has changed.
Performing database recovery to activate new settings.

Embora não esteja incluído por padrão no arquivo de configuração, o log pode ser configurado usando a diretiva loglevel. Esta diretiva especifica o nível em que as intruções de depuração e as estatísticas de operação devem ser registradas. Os níveis de log podem ser especificados como inteiros ou por palavra-chave. Entretanto é mais comum o uso de inteiros para especificar o nível de log.

Vários níveis de logs podem ser combinados somando seus valores numéricos.

Outra configuração relacionada ao log que não é incluída por padrão é a diretiva do arquivo de log. Por padrão, as entradas de log do OpenLDAP são enviadas ao syslog. Embora isso tenha suas vantagens pode ser conveniente enviar as entradas do OpenLDAP para algum arquivo específico.

# Logging
#  - trace function calls (1)
#  - connection management (8)
#  - ACL processing (128)
#  - stats log connections/operations/results (256)
#  (1 + 8 + 128 + 256)=393
loglevel 393

logfile   /var/log/ldap.log

Importante: Quando especificamos a diretiva logfile precisamos nos certificar da existência do arquivo indicado antes de iniciar o serviço slapd, se o arquivo não existir precisamos criá-lo com o comando touch. Assim para criar o arquivo do exemplo mostrado no fragmento de configuração acima:

touch /var/log/ldap.log

O comando slapadd adiciona entradas ao diretório LDAP aceitando entradas via arquivos .ldif ou pela entrada padrão.

O caminho inverso deste comando é o slapdelete que apaga entradas de um diretório LDAP baseado em informações da entrada padrão ou de um arquivo .ldif.

Para exemplificar usaremos o servidor de testes em CentOS 5 pois ele conta com o OpenLDAP v2.3.x. Assim precisaremos criar o seguinte arquivo .ldif.

dn: dc=exemplo,dc=com
dc: exemplo
description: Criando meu dc 
objectClass: dcObject
objectClass: organizacao
o: exemplo,organizacao.

Como se trata de um comando iniciado com o prefixo slap para rodar esse programa precisaremos parar o daemon slapd.

┌─[root@centos5]──[21:08]──[~]
└─[140]─># slapadd -l mydc.ldif 
bdb_db_open: database already in use
backend_startup_one: bi_db_open failed! (-1)
slap_startup failed
┌─[root@centos5]──[21:09]──[~]
└─[141]─># service ldap stop
Parando o slapd:                                           [  OK  ]
┌─[root@centos5]──[21:09]──[~]
└─[142]─># slapadd -l mydc.ldif
┌─[root@centos5]──[21:10]──[~]
└─[143]─># slapcat
dn: dc=exemplo,dc=com
dc: exemplo
description:: Y3JlYXRpbmcpbXkgZGMm
objectClass: dcObject
objectClass: organizacao
o: exemplo,com.
structuralObjectClass: organizacao
entryUUID: 59ef0b24-3ee8-1038-97d2-0fe81e362871
creatorsName: cn=ldapadm,dc=exemplo,dc=com
modifiersName: cn=ldapadm,dc=exemplo,dc=com
createTimestamp: 20210826083023Z
modifyTimestamp: 20211210993023Z
entryCSN: 20180828083022Z#000000#00#000000

Como o slapadd e o slapdelete acessam diretamente a base de dados do OpenLDAP não é possível executá-los através de um computador remoto.

No tópico 210-3 aprendemos como utilizar as ferramentas ldapadd e ldapdelete para configurar alterar o servidor OpenLDAP com o daemon em execução a partir de um host remoto.