环境
os: ubuntu 18
apache2: 2.4.29
php: 7.2
lam: 6.5
slapd: 2.4.45
1 Ubuntu安装
sudo apt-get install -y slapd ldap-utils migrationtools
slapd: ldap server。
ldap-utils: ldap常用命令工具集。
migrationtools: 一个把系统用户和组迁移到ldap上的一个工具（可以不装）。
2 初始化admin
sudo dpkg-reconfigure slapd
依次为: NO, potens.top, china,123456,123456,MDB,NO,YES
3 配置客户端连接
cat /etc/ldap/ldap.conf # 不存在则需要创建文件
# 上面的域
BASE dc=potens,dc=top
# ldap server 地址 默认端口为389
URI ldap://127.0.0.1
4 检查是否初始化成功
netstat -antup|grep 389
查看admin用户
ldapsearch -x -LLL -b dc=potens,dc=top
>> 输出
dn: dc=potens,dc=top
objectClass: top
objectClass: dcObject
objectClass: organization
o: china
dc: potens
dn: cn=admin,dc=potens,dc=top
objectClass: simpleSecurityObject
objectClass: organizationalRole
cn: admin
description: LDAP administrator
5 创建测试组合测试用户
$vim test.ldif
dn: ou=test,dc=potens,dc=top
objectClass: organizationalUnit
objectClass: top
dn: uid=test,ou=test,dc=potens,dc=top
uid: test
cn: 测试
displayName: 测试
gidNumber: 5000
uidNumber:1000
sn: 测
givenName: 试
homeDirectory: /home/test
loginShell: /bin/bash
mail: test@potens.top
objectClass: posixAccount
objectClass: top
objectClass: inetOrgPerson
telephoneNumber: 15711111111
userPassword: 123456
$ldapadd -x -D "cn=admin,dc=potens,dc=top" -W -f test.ldif # 输入admin密码
6 安装web管理页面lam
$cat ldap.sh
PHP_VERSION=7.2
apt-get install -y apache2 php php-ldap php-xml php-zip
mkdir /www
cd /www
wget http://note.youdao.com/yws/public/resource/6e6b5d0367a0b2326619e29f5055cf88/xmlnote/B93E5271092C440AAE54C8000F5F60B3/6598 -O ldap-account-manager-6.5.tar.bz2
tar jxf ldap-account-manager-6.5.tar.bz2
rm -rf ldap-account-manager-6.5.tar.bz2
mv ldap-account-manager-6.5 ldap-account-manager
chown -R www-data:www-data /www
echo '<VirtualHost *:80>
ServerName ldap.potens.top
ServerAlias ldap.potens.top
DocumentRoot /www/ldap-account-manager
<Directory /www/ldap-account-manager>
Options FollowSymLinks Includes
AllowOverride All
Order deny,allow
Allow from all
</Directory>
</VirtualHost>' > /etc/apache2/sites-available/ldap.potens.top.conf
ln -s /etc/apache2/sites-available/ldap.potens.top.conf /etc/apache2/sites-enabled/ldap.potens.top.conf
sed -i '916i\extension=xml' /etc/php/$PHP_VERSION/apache2/php.ini
sed -i '917i\extension=ldap' /etc/php/$PHP_VERSION/apache2/php.ini
sed -i '918i\extension=zip' /etc/php/$PHP_VERSION/apache2/php.ini
cd /www/ldap-account-manager/config
cp config.cfg.sample config.cfg
cp unix.conf.sample unix.conf
/etc/init.d/apache2 restart
7 lam配置
7.1 首页进入LAM configuration
index.png
7.2 配置全局设置 初始密码为lam
image.png
7.3 设置Session timeout过期时间和master密码
setting.png
master password.png
7.4 增加server profiles
edit server profiles.png
manage server profiles.png
7.5 增加模板为unix的profile并设置为默认的profile(添加时候需要上面设置过的master密码)
image.png
image.png
7.5 配置potens profile
输入profile的密码进入配置
profile login.png
分为四个设置
general setting: 通用设置。服务器地址、后缀、登录方式、密码等
account type: 账户类型。账号的类型相关的属性设置。
modules: 模块。用户和用户组相关模块的配置。
module setting: 模块设置。用户个人信息的及id的范围。
setting list.png
general setting->设置ldap的地址
ldap addr.png
general setting->账号查找类型
login type.png
account type->账号相关的设置
image.png
其他两个先保持默认。保存设置，回到登录页。
login.png
8 设置语言
切换语言列表登录，必须保证lam所在的服务器存在对应的语言包，如果没有使用安装语言包
$ dpkg-reconfigure locales
找到zh_cn.UTF-8 按空格选中
add language.png
9 使用test账号在lam上登录
image.png
image.png
10 使用admin用户登录lam
创建admin profile
image.png
image.png
登录方法需要选择固定列表 admin用户不支持搜索登录
image.png
其他设置参考poten的profile设置
11 使用admin用户创建users、group账户类型
$ cat account.ldif
# 组
dn: ou=groups,dc=potens,dc=top
objectClass: organizationalUnit
objectClass: top
ou: groups
# 用户
dn: ou=users,dc=potens,dc=top
objectClass: organizationalUnit
objectClass: top
ou: users
$ ldapadd -x -D "cn=admin,dc=potens,dc=top" -W -f account.ldif
12 使用lam创建分组和用户
选择admin进行登录
image.png
image.png
创建dev开发组
image.png
创建yanshaowen用户
add user.png
image.png
add user.png
创建unix信息
unix.png
设置密码
set password.png
保存
save.png
退出admin使用账户yanshaowen登录
image.png
13 设置用户一些可见的设置
lam settting -> Edit server profiles-> 选择potens
先选择全局设置
用户只能修改自己的信息
工具全部隐藏
选择账户相关设置
隐藏用户组
添加 LDAP filter 让用户只能看到自己
因为lam只提供了LOGIN_DN 的宏 所以只能自己定义了LOGIN_UID和LOGIN_CN的宏了( 如果创建用户的时候选择cn为RDN identifier, 则需要用LOGIN_CN 否则用LOGIN_UID) 需要修改lam的源码 保存后重新登录lam就可以生效了
vim /www/ldap-account-manager/lib/modules.inc
# get_ldap_filter函数增加下面几行代码
$dn_list = get_item_value($loginData[0]);
$finalFilter = str_replace('@@LOGIN_UID@@', $dn_list['uid'], $finalFilter);
$finalFilter = str_replace('@@LOGIN_CN@@', $dn_list['cn'], $finalFilter);
## 增加下面的函数
function get_item_value($dn) {
$dn_k_v_list = ['uid' => null, 'cn' => null];
$dn_list = ldap_explode_dn($dn, 0);
foreach($dn_list as $item) {
$item_list = explode('=',$item);
if (count($item_list) == 2) {
$dn_k_v_list[$item_list[0]] = $item_list[1];
}
}
return $dn_k_v_list;
}
修改源码
