Konfigurieren Ihres Systems für die Sicherheitsprüfung mit OpenLDAP

Dieser Abschnitt gibt einen kurzen Überblick über die Konfiguration Ihres Red Hat Linux-Systems für die Sicherheitsprüfung mit OpenLDAP. Wenn Sie kein OpenLDAP-Experte sind, benötigen Sie wahrscheinlich eine weitergehende Dokumentation, als wir Ihnen hier bieten können. Weitere Informationen finden Sie in den in Abschnitt namens LDAP-Ressourcen im Internet angegebenen Literaturhinweisen.

Installieren der erforderlichen LDAP-Pakete

Zuerst müssen Sie sowohl auf dem LDAP-Server als auch auf dem LDAP-Client überprüfen, ob die entsprechenden Pakete installiert sind. Für den LDAP-Server wird das Paket openldap benötigt.

Auf den LDAP-Client-Rechnern müssen die folgenden Pakete installiert sein: openldap, auth_ldap, nss_ldap und pam_ldap.

Anpassen der Konfigurationsdateien

Anpassen von `/etc/openldap/slapd.conf`

Die Datei slapd.conf ist in /etc/openldap abgelegt und enthält die Konfigurationsinformationen für Ihren LDAP-Server slapd. Sie müssen diese Datei an Ihre Domäne und Ihren Server anpassen.

Die suffix-Zeile gibt die Domäne an, für die der LDAP-Server Informationen bereitstellt. Diese Zeile lautet standardmäßig:

suffix 		"dc=your-domain, dc=com"

Hier muß der Name Ihrer Domäne eingetragen werden. Beispiel:

suffix		"dc=acmewidgets, dc=com"

oder

suffix 		"dc=acmeuniversity, dc=org"

Der Eintrag rootdn ist der eindeutige Name (DN) für einen Benutzer, dem von den Parametern der Zugangskontrolle oder Benutzerverwaltung keine Beschränkungen für die Verwaltung des LDAP-Verzeichnisses auferlegt sind. Der Benutzer rootdn ist sozusagen Root für das LDAP-Verzeichnis. Die rootdn-Zeile lautet standardmäßig:

rootdn		"cn=root, dc=your-domain, dc=com"

Passen Sie die Zeile an Ihr System an, z.B.:

rootdn		"cn=root, dc=redhat, dc=com"

oder

rootdn		"cn=ldapmanager, dc=my_organization, dc=org"

Ändern Sie die rootpw-Zeile von:

rootpw 		secret

in zum Beispiel:

rootpw		{crypt}s4L9sOIJo4kBM

Im obigen Beispiel wird ein verschlüsseltes Paßwort verwendet, eine viel bessere Lösung, als das Root-Paßwort im Klartext in der Datei slapd.conf abzuspeichern. Zum Erstellen dieser verschlüsselten Zeichenkette müssen Sie diese entweder aus der Datei passwd kopieren oder Perl verwenden:

perl -e "print crypt('passwd','a_salt_string');"

In der obigen Perl-Zeile ist salt_string eine aus zwei Zeichen bestehende Salt-Zeichenkette und passwd die Klartextversion des Paßworts.

Sie könnten auch einen passwd-Eintrag aus /etc/passwd kopieren. Das funktioniert allerdings nicht, wenn der passwd-Eintrag ein MD5-Paßwort ist (Standard in Red Hat Linux 6.2).

Anpassen von `ldap.conf`

Passen Sie die Dateien ldap.conf in den Verzeichnissen /etc und /etc/openldap auf dem LDAP-Server und den Clients an.

Passen Sie /etc/ldap.conf, die Konfigurationsdatei für nss_ldap und pam_ldap, an Ihre Organisation und Suchdatenbank an. Die Datei /etc/openldap/ldap.conf ist die Konfigurationsdatei für Befehlszeilentools wie ldapsearch , ldapadd usw. und muß ebenfalls im Rahmen der LDAP-Einrichtung angepaßt werden. Auf den Client-Rechnern müssen beide Dateien an Ihr System angepaßt werden.

Anpassen von `/etc/nsswitch.conf`

Um nss_ldap verwenden zu können, müssen Sie ldap in den entsprechenden Feldern in der Datei /etc/nsswitch.conf hinzufügen. (Vorsicht beim Bearbeiten dieser Datei. Hier sind genaue Kenntnisse der Zusammenhänge erforderlich.) Beispiel:

passwd: files ldap shadow: files ldap group: files ldap

Kopieren der PAM-Konfigurationsdateien

Um pam_ldap verwenden zu können, müssen die PAM-Konfigurationsdateien im Verzeichnis /usr/doc/nss_ldap<version>/pam.d/ in Ihr Verzeichnis /etc/pam.d/ kopiert werden. Es handelt sich dabei um mehrere PAM-Konfigurationsdateien, mit deren Hilfe alle standardmäßigen PAM-fähigen Anwendungsprogramme LDAP für die Sicherheitsprüfung verwenden können. (Auf PAM können wir im Rahmen dieses Überblicks über LDAP nicht eingehen. Informationen dazu finden Sie in Abschnitt namens Benutzerauthentifizierung mit PAM in Kapitel 2 und/oder in den man-Seiten zu PAM.)

Umwandeln Ihrer alten Sicherheitsprüfungsinformationen in das LDAP-Format

Das Verzeichnis /usr/share/openldap/migration enthält mehrere Shell- und Perl-Skripten zur Umwandlung Ihrer alten Sicherheitsprüfungsinformationen in das LDAP-Format. (Diese Skripten erfordern einen lauffähigen Perl-Interpreter auf Ihrem System.)

Zuerst müssen Sie die Datei migrate_common.ph an Ihre Domäne anpassen. Die Standard-DNS-Domäne muß geändert werden von:

$DEFAULT_MAIL_DOMAIN = "padl.com";

in einen Eintrag der Form:

$DEFAULT_MAIL_DOMAIN = "ihr_unternehmen.com";

Die Standardannahme muß ebenfalls geändert werden von:

$DEFAULT_BASE = "dc=padl,dc=com";

in einen Eintrag der Form:

$DEFAULT_BASE = "dc=ihr_unternehmen,dc=com";

Als nächstes müssen Sie sich entscheiden, welches Skript verwendet werden soll. Die folgende Tabelle hilft Ihnen bei Ihrer Entscheidung:

Tabelle 8-1 LDAP-Umwandlungsskripten

Vorhandener Namensdienst	Wird LDAP ausgeführt?	Verwenden Sie dieses Skript:
`/etc` konventionelle Dateien	Ja	`migrate_all_online.sh`
`/etc` konventionelle Dateien	Nein	`migrate_all_offline.sh`
NetInfo	Ja	`migrate_all_netinfo_online.sh`
NetInfo	Nein	`migrate_all_netinfo_offline.sh`
NIS (YP)	Ja	`migrate_all_nis_online.sh`
NIS (YP)	Nein	`migrate_all_nis_offline.sh`

Führen Sie das Ihrem vorhandenen Namensdienst entsprechende Skript aus.

Weitere Details finden Sie in der Datei README und den Dateien migration-tools.txt im Verzeichnis /usr/share/openldap/migration.