Introducción

Como nota general, no soy un experto de LDAP sinó que he tenido que instalarlo un par de veces y esos son mis apuntes para conseguirlo, espero que sean útiles a alguien.

Podemos ver a LDAP como una base de datos optimizada para hacer un número muy alto de lecturas y muy pocas escrituras o modificaciones. Además está organizado de modo jerárquico.

Muchas veces (como en este artículo) se usa LDAP para guardar información de los usuarios. Podemos guardar lo típico de login, UID, GID, contraseña, etc. y además añadirle una foto, teléfono de casa u otras informaciones qué queramos. Recalcar que en este artículo guardaremos la información necesaria para un servidor de autentificación; no para un servidor de ficheros. Si necesitamos un servidor de ficheros tendremos que usar NFS (o Coda, Intermezzo, etc.)

Instalación del servidor

Una vez instalado el servidor OpenLDAP iremos al directorio /etc/ldap y modificaremos el fichero slapd.conf. En este fichero modificaremos al menos el suffix poniendo por ejemplo nuestro dominio (no hace falta que esté registrado, es para referirnos a él desde LDAP). Lo pondremos con el formato suffix "dc=pinux,dc=info".

Añadiremos también:

rootdn "cn=admin,dc=pinux,dc=info"  #para autentificar al administrador
rootpw secret                       #la contraseña

En el resto del fichero de configuración sólo tendremos que cambiar el cn= y el dc=pinux,dc=info donde veamos que hace falta.

En este momento podremos hacer un /etc/init.d/slapd restart para reiniciar el servidor LDAP.

Si ejecutamos slapcat nos tendría que dar información sobre nuestro LDAP (normalmente imprime por pantalla todoo el LDAP, de momentos sólo veremos algo de estructura).

Alta, búsqueda y eliminación de usuarios

Antes de dar de alta a los usuarios y grupos, tendremos que dar de alta al administrador, un usuario para "buscar" la información sin privilegios y ya después algun usuario normal para verificar que nos funciona correctamente el sistema.

La forma de dar de alta a usuarios (o datos en general) en LDAP suele ser mediante ficheros .ldif. Un fichero .ldif es un fichero que contiene la información que vamos a añadir, para después añadirla a nuestro directorio.

antes de empezar a dar de alta a los usuarios crearemos la "estructura" mediante este fichero .ldif:

dn: ou=Group,dc=pinux,dc=info
objectClass: top
objectClass: organizationalUnit
ou: Group

dn: ou=People,dc=pinux,dc=info
objectClass: top
objectClass: organizationalUnit
ou: People

Vemos que estamos usando el objectClass: organizationalUnit, de esa forma LDAP ya sabe qué campos tendrás nuestros usuarios/grupos. Para decirle a LDAP que inserte los datos del fichero .ldif en la base de datos ejecutaremos:

ldapadd -x -D 'cn=admin,dc=pinux,dc=info' -w secret -f fichero.ldif

• Con -x nos autentificamos de forma simple a LDAP sin usar SASL
• Al -D le decimos el Distinguised Name, el mismo que le pusimos en el fichero de configuración
• Al -w le pasaremos la contraseña. Con -W nos la pediría de forma interactiva
• Al -f sirve para pasarle el fichero de configuración

#
# New Tester user
#
dn: uid=tester,ou=People,dc=pinux,dc=info
objectClass: top
objectClass: account
objectClass: posixAccount
uid: tester
cn: Test User
userPassword: hola
gecos: Test User
uidNumber: 2000
gidNumber: 2000
homeDirectory: /home/tester
loginShell: /bin/bash

ldapadd -x -D 'cn=admin,dc=pinux,dc=info' -w secret -f fichero.ldif

Al hacer un slapcat él mismo nos está haciendo un listado en format .ldif (lo podriamos aprovechar para lo que haga falta).

Ya que estamos dando de alta a usuarios, aprovechamos y damos de alta a un grupo. Para hacerlo, crearemos un fichero .ldif con este contenido:

#
# Testing Group#
dn: cn=testing,ou=Group,dc=pinux,dc=info
objectClass: top
objectClass: posixGroup
cn: testing
gidNumber: 2000

También podemos aprovechar para hacer búsuqedas:

ldapsearch -x -b 'uid=tester,ou=People,dc=pinux,dc=info'

ldapdelete -x -D 'cn=admin,dc=pinux,dc=info' -w secret\
  'cn=Local Root,ou=People,dc=pinux,dc=info'

Configurando un cliente LDAP

Para conseguir eso tendremos que intalar al menos los paquetes libldap2, ldap-utils.

Una vez instalados estos paquetes, editaremos el fichero /etc/ldap/ldap.conf. Este fichero es el de configuración del cliente LDAP, no lo tenemos que confundir confundir con el fichero slapd.conf, que es de la configuración del servidor.

El fichero podemos dejarlo así:

host 192.168.1.2
base dc=pinux,dc=info

Ahora desde la máquina cliente podemos hacer uso del slapcat igual que antes. La configuración por defecto permite la lectura de varios campos por "todo el mundo", así que aunque no veremos la contraseña podremos ver otra información del usuario.

Configurando un cliente, parte nsswitch

Cuando trabajamos con el sistema (ls -l, p. ej.) normalmente vemos los nombres de los usuarios propietarios de los ficheros. En cambio guardado en el disco hay el "número" (UID) del usuario.

Para que los programas sepan el nombre que corresponde a los UID's (y otras cosas, como grupos, hosts, etc.) hacen unas llamadas a funciones de la librería GLIBC, y es esta quien "averigua" la relación.

Es en el fichero /etc/nsswitch.conf donde le decimos al sistema de donde averiguar el propietario sabiendo el UID. Normalmente contiene algo como:

passwd:         compat
group:          compat
shadow:         compat

hosts:          files dns
networks:       files

passwd:         compat ldap
group:          compat ldap
shadow:         compat ldap

Para que el nsswitch pueda hacer las consultas en el LDAP tendremos el fichero /etc/libnss-ldap.conf algo como:

host 192.168.1.2
base dc=pinux,dc=info

Entre otras cosas, a veces necesitaremos que se haga una conexión autentificada contra el servidor. Para eso se usará la contraseña que encuentre en /etc/ldap.secret (tiene que estar con permisos 600, propietario y grupo root)

Configurando el cliente PAM

La configuración en Debian es en el directorio /etc/pam.d/ y tenemos un fichero de configuración por cada servicio.

Si es necesario que la conexión sea con privilegios, se usará la contraseña que se encuentre en /etc/ldap.secret, y que estará con permisos 600 (como el punto anterior).

Tener la contraseña para autentificarse es necesario, con la configuración por defeto del slapd.conf, cuando el usuario root quiere cambiar la contraseña de otro usuario: si no es conexión autentificada, el servidor LDAP no le deja cambiarla. De otra forma cualquier usuario podría cambiar la contraseña de cualquier otro, solo lanzando la consulta al servidor LDAP.

Seguidamente, dejaremos el fichero /etc/pam_ldap.conf de forma parecida:

host 192.168.1.2
base dc=pinux,dc=info
ldap_version 3

rootbinddn cn=admin,dc=pinux,dc=info
# don't forget /etc/ldap.secret

ssh

auth       sufficient   pam_ldap.so
account    sufficient   pam_ldap.so
session    sufficient   pam_ldap.so
password   sufficient   pam_ldap.so

En el caso del ssh tendremos seguramente que modificar en el fichero /etc/ssh/sshd_configel parámetro PAMAuthenticationViaKbdInt a yes. De otra forma no autentificaría de forma correcta.

su

En el fichero /etc/pam.d/su lo dejaremos parecido a:

auth       sufficient pam_rootok.so
auth       sufficient pam_ldap.so
auth       required   pam_unix.so use_first_pass

account    sufficient pam_ldap.so
account    required   pam_unix.so

session    sufficient pam_ldap.so
session    required   pam_unix.so

passwd

password        sufficient      pam_ldap.so
password        required        pam_unix.so nullok obscure min=4 max=8

login

auth        required      pam_nologin.so
auth        sufficient    pam_ldap.so
auth        sufficient    pam_unix.so shadow use_first_pass
auth        required      pam_deny.so

Con los ejemplos vistos hasta ahora sería fácil hacer lo mismo en otros servicios (p. ej. proftpd, xlock, etc.)

También es relativamente fácil modificar los ficheros common-account common-auth common-password common-session para no tener que tocar el fichero de cada servicio, a costa de tener menos "personalización" por servicio.

Podemos mejorar

• Primero de todo, la contraseña "secret" que tenemos en texto "llano" en el fichero ponerla encriptada (y una contraseña de verdad). Para hacerlo ejecutaremos slappasswd y la que nos diga la pondremos en el fichero. Por ejemplo: {SSHA}xAR4MvR0AByRx0gYCZGKeWUFAhNGZIud.

• También deberíamos usar certificados para que nadie pueda suplantar nuestro servidor. Y ya que nos ponemos, que los datos transferidos de forma segura. El mismo OpenLDAP puede hacerlo, lo podemos leer en este otro artículo de Bulma. Eso nos interesará sobretodo si clientes LDAP y servidor LDAP no están en la misma red (o que esa no sea de confianza). Otra forma de hacer eso mismo sería con freeswan (una implementación de IPSEC) o haciendo túneles seguros con otras aplicaciones.

• Un caso bastante normal es querer migrar los usuarios que ya teniamos en el sistema a OpenLDAP. Lo podemos conseguir con el paquete migrationtools

• Un último apunte importante, es instalar el paquete nscd. Este paquete hará de caché para OpenLDAP en la máquina local. De otra forma, cada vez que hagamos un "ls -l" el sistema irá a preguntar al servidor LDAP "¿este UID, qué nombre tiene?" (hecho que carga el servidor, la red y además el cliente responde más lento)

Enlaces

• La Web de OpenLDAP
• Una Web sobre OpenLDAP en Debian
• Para saber como se empieza a llenar OpenLDAP
• Los dos geniales artículos de Bulma de LDAP: servidor y cliente

LDAP es una de esas cosas que todo el mundo entiende para qué sirve y aun así es necesario preguntar: ¿para qué sirve? ;)

Excelente artículo.

Se echan de menos unos pequeños scripts shell que automatizen algo más el proceso (tipo adduser-ldap pepito, que genere un fichero temporal y simplifique el proceso).

También añadiría algunos enlaces a programas para administrar LDAP, que hay muchos y buenos (por ejemplo en Java).