统一认证：LDAP

LDAP是轻量目录访问协议，英文全称是Lightweight Directory Access Protocol，一般都简称为LDAP。LDAP是一个用来发布目录信息到许多不同资源的协议。LDAP的开源实现是OpenLDAP。

OpenLDAP 是最常用的目录服务之一，它是一个由开源社区及志愿者开发和管理的一个开源项目，提供了目录服务的所有功能，包括目录搜索、身份认证、安全通道、过滤器等等。大多数的 Linux 发行版里面都带有 OpenLDAP 的安装包。OpenLDAP 服务默认使用非加密的 TCP/IP 协议来接收服务的请求，并将查询结果传回到客户端。由于大多数目录服务都是用于系统的安全认证部分比如：用户登录和身份验证，所以它也支持使用基于 SSL/TLS 的加密协议来保证数据传送的保密性和完整性。OpenLDAP 是使用 OpenSSL 来实现 SSL/TLS 加密通信的。

OpenLDAP安装

标准方式部署

• 操作系统：Centos7.X
• 软件信息：OpenLDAP最新版本

# 在线安装
# yum 安装相关包
yum install -y openldap openldap-clients openldap-servers
 
# 复制一个默认配置到指定目录下,并授权，这一步一定要做，然后再启动服务，不然生产密码时会报错
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG

# 授权给ldap用户,此用户yum安装时便会自动创建
chown -R ldap. /var/lib/ldap/DB_CONFIG
 
# 启动服务，先启动服务，配置后面再进行修改
systemctl start slapd
systemctl enable slapd
 
# 查看状态，正常启动则ok
systemctl status slapd

设置管理员密码：

# 生成管理员密码,记录下这个密码，后面需要用到
slappasswd -s 123456
{SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpE

# 新增修改密码文件,ldif为后缀，文件名随意，不要在/etc/openldap/slapd.d/目录下创建类似文件
# 生成的文件为需要通过命令去动态修改ldap现有配置，如下，我在家目录下，创建文件
cd ~
vim changepwd.ldif
---------------------------------------------------------------------
dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcRootPW
olcRootPW: {SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpE
---------------------------------------------------------------------
# 这里解释一下这个文件的内容：
# 第一行执行配置文件，这里就表示指定为 cn=config/olcDatabase={0}config 文件。你到/etc/openldap/slapd.d/目录下就能找到此文件
# 第二行 changetype 指定类型为修改
# 第三行 add 表示添加 olcRootPW 配置项
# 第四行指定 olcRootPW 配置项的值
# 在执行下面的命令前，你可以先查看原本的olcDatabase={0}config文件，里面是没有olcRootPW这个项的，执行命令后，你再看就会新增了olcRootPW项，而且内容是我们文件中指定的值加密后的字符串

# 执行命令，修改ldap配置，通过-f执行文件
ldapadd -Y EXTERNAL -H ldapi:/// -f changepwd.ldif

导入Schema：

# 我们需要向 LDAP 中导入一些基本的 Schema。这些 Schema 文件位于 /etc/openldap/schema/ 目录中，schema控制着条目拥有哪些对象类和属性，可以自行选择需要的进行导入，
# 依次执行下面的命令，导入基础的一些配置,我这里将所有的都导入一下，其中core.ldif是默认已经加载了的，不用导入
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/collective.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/corba.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/duaconf.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/dyngroup.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/java.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/misc.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/openldap.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/pmi.ldif
ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/ppolicy.ldif

修改域名：

# 修改域名，新增changedomain.ldif, 这里我自定义的域名为 yaobili.com，管理员用户账号为admin。
# 如果要修改，则修改文件中相应的dc=yaobili,dc=com为自己的域名
vim changedomain.ldif
---------------------------------------------------------------------
dn: olcDatabase={1}monitor,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=admin,dc=yaobili,dc=com" read by * none

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=yaobili,dc=com

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootDN
olcRootDN: cn=admin,dc=yaobili,dc=com

dn: olcDatabase={2}hdb,cn=config
changetype: modify
replace: olcRootPW
olcRootPW: {SSHA}LSgYPTUW4zjGtIVtuZ8cRUqqFRv1tWpE

dn: olcDatabase={2}hdb,cn=config
changetype: modify
add: olcAccess
olcAccess: {0}to attrs=userPassword,shadowLastChange by dn="cn=admin,dc=yaobili,dc=com" write by anonymous auth by self write by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to * by dn="cn=admin,dc=yaobili,dc=com" write by * read
---------------------------------------------------------------------

# 执行命令，修改配置
ldapmodify -Y EXTERNAL -H ldapi:/// -f changedomain.ldif

启用memberof功能：

# 新增add-memberof.ldif, #开启memberof支持并新增用户支持memberof配置
vim add-memberof.ldif
-------------------------------------------------------------
dn: cn=module{0},cn=config
cn: modulle{0}
objectClass: olcModuleList
objectclass: top
olcModuleload: memberof.la
olcModulePath: /usr/lib64/openldap

dn: olcOverlay={0}memberof,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcMemberOf
objectClass: olcOverlayConfig
objectClass: top
olcOverlay: memberof
olcMemberOfDangling: ignore
olcMemberOfRefInt: TRUE
olcMemberOfGroupOC: groupOfUniqueNames
olcMemberOfMemberAD: uniqueMember
olcMemberOfMemberOfAD: memberOf
-------------------------------------------------------------

# 新增refint1.ldif文件
vim refint1.ldif
-------------------------------------------------------------
dn: cn=module{0},cn=config
add: olcmoduleload
olcmoduleload: refint
-------------------------------------------------------------

# 新增refint2.ldif文件
vim refint2.ldif
-------------------------------------------------------------
dn: olcOverlay=refint,olcDatabase={2}hdb,cn=config
objectClass: olcConfig
objectClass: olcOverlayConfig
objectClass: olcRefintConfig
objectClass: top
olcOverlay: refint
olcRefintAttribute: memberof uniqueMember  manager owner
-------------------------------------------------------------
 
# 依次执行下面命令，加载配置，顺序不能错
ldapadd -Q -Y EXTERNAL -H ldapi:/// -f add-memberof.ldif
ldapmodify -Q -Y EXTERNAL -H ldapi:/// -f refint1.ldif
ldapadd -Q -Y EXTERNAL -H ldapi:/// -f refint2.ldif

增加初始的组织角色和组织单元：

# 新增配置文件
vim base.ldif
----------------------------------------------------------
dn: dc=yaobili,dc=com
objectClass: top
objectClass: dcObject
objectClass: organization
o: Yaobili Company
dc: yaobili

dn: cn=admin,dc=yaobili,dc=com
objectClass: organizationalRole
cn: admin

dn: ou=People,dc=yaobili,dc=com
objectClass: organizationalUnit
ou: People

dn: ou=Group,dc=yaobili,dc=com
objectClass: organizationalRole
cn: Group
----------------------------------------------------------

# 执行命令，添加配置, 这里要注意修改域名为自己配置的域名，然后需要输入上面我们生成的密码
ldapadd -x -D cn=admin,dc=yaobili,dc=com -W -f base.ldif

容器方式部署

前提：已经安装docker相关服务

# 拉取镜像，使用公共镜像
docker pull osixia/openldap

# 运行容器，使用389端口，
docker run -p 389:389 \
    --name myopenldap \
    --hostname openldap-host \
    --env LDAP_ORGANISATION="mylitboy" \
    --env LDAP_DOMAIN="mylitboy.com" \
    --env LDAP_ADMIN_PASSWORD="ldap123" \
    --detach osixia/openldap

以下配置根据实际情况进行修改：

• 配置LDAP组织者：--env LDAP_ORGANISATION="mylitboy"
• 配置LDAP域：--env LDAP_DOMAIN="mylitboy.com"
• 配置LDAP密码：--env LDAP_ADMIN_PASSWORD="ldap123"

其他使用默认配置，容器启动后即可进行下一步的客户端连接和使用，默认登录用户名：admin。

OpenLDAP使用

客户端连接

Windows客户端下载地址：http://www.ldapadmin.org/download/ldapadmin.html，下载最新版即可，以LdapAdminExe-w64-1.8.3.zip为例，解压后可以直接打开。

点击Start→Connect→New Connet，输入LDAP相关信息即可连接到LDAP服务器：

img.png

img_1.png

密码自助服务

自助服务密码是一个 PHP 应用程序，允许用户在 LDAP 目录中更改密码。该应用程序可用于标准 LDAPv3 目录（OpenLDAP、OpenDS、ApacheDS、389 DS、RHDS、Oracle DSEE、Novell 等），也可以用于Active Directory。
它具有以下功能：
在Samba模式下修改Samba密码
活动目录模式
本地密码策略：
最小/最大长度
禁止字符
上、下、数字或特殊字符计数器
重复使用旧密码检查
复杂性（不同类别的字符）
帮助消息
按问题重置
按邮件重置（通过邮件发送的令牌）
按短信重置（通过外部电子邮件/短信服务）
reCAPTCHA （谷歌API）)
密码更改后的邮件通知

源码地址：https://github.com/ltb-project/self-service-password

标准方式部署

安装php7

# 安装EPEL yum存储库
yum install epel-release -y

# 安装Remi存储库
rpm -Uvh http://rpms.famillecollet.com/enterprise/remi-release-7.rpm

# centos7默认安装了php5，需要先清理旧版本
yum -y remove php*

# 安装php7.2及相关拓展
yum -y install php72w php72w-cli php72w-fpm php72w-common php72w-devel

安装self-service-password

# 添加yum源，新增文件并写入以下内容
vim /etc/yum.repos.d/ltb-project.repo
[ltb-project-noarch]
name=LTB project packages (noarch)
baseurl=https://ltb-project.org/rpm/$releasever/noarch
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-LTB-project

# 更新yum缓存
yum makecache

# 导入key
rpm --import https://ltb-project.org/wiki/lib/RPM-GPG-KEY-LTB-project

# 安装
yum install -y self-service-password

httpd配置：Apache服务，用于启动web服务，其中：

• VirtualHost *:82，用于设置端口，默认80端口。
• ServerName，可以设置IP地址或者域名。

<VirtualHost *:82>
        ServerName 172.18.18.198

        DocumentRoot /usr/share/self-service-password/htdocs
        DirectoryIndex index.php

        AddDefaultCharset UTF-8

        <Directory /usr/share/self-service-password/htdocs>
            AllowOverride None
            <IfVersion >= 2.3>
                Require all granted
            </IfVersion>
            <IfVersion < 2.3>
                Order Deny,Allow
                Allow from all
            </IfVersion>
        </Directory>

        Alias /rest /usr/share/self-service-password/rest

        <Directory /usr/share/self-service-password/rest>
            AllowOverride None
            <IfVersion >= 2.3>
                Require all denied
            </IfVersion>
            <IfVersion < 2.3>
                Order Deny,Allow
                Deny from all
            </IfVersion>
        </Directory>

        LogLevel warn
        ErrorLog /var/log/httpd/ssp_error_log
        CustomLog /var/log/httpd/ssp_access_log combined
</VirtualHost>

self-service-password配置：编辑/usr/share/self-service-password/conf/config.inc.php，配置项比较多，以下列出主要配置项以及需要修改的配置项：

## LDAP相关配置
# ldap访问地址，默认端口389
$ldap_url = "ldap://localhost:389";
$ldap_starttls = false;
# 连接LDAP服务器的账号的DN，该账号要有修改AD域用户账号权限
$ldap_binddn = "cn=admin,dc=mediway,dc=cn";
# 连接LDAP服务器账号的密码
$ldap_bindpw = 'zrk40jfSP';
# 检索OU范围
$ldap_base = "dc=mediway,dc=cn";
# 检索AD域用户cn属性的用户名
$ldap_login_attribute = "uid";
$ldap_fullname_attribute = "cn";
$ldap_filter = "(&(objectClass=person)($ldap_login_attribute={login}))";
$ldap_use_exop_passwd = false;
$ldap_use_ppolicy_control = false;

# 密钥关键字
$keyphrase = "secret";

容器方式部署

使用官方镜像运行即可：

# 镜像：docker.io/ltbproject/self-service-password:latest
# 本地配置文件：/home/test/ssp.conf.php，具体目录根据实际修改
docker run -p 80:80 \
    -v /home/test/ssp.conf.php:/var/www/conf/config.inc.local.php \
    -it docker.io/ltbproject/self-service-password:latest

容器正常运行后，可以依据上面章节的配置方式，根据实际需求进行相关配置调整。

使用手册

浏览器打开密码自助服务，主页如下：

img.png

修改密码：

img_1.png

重置密码：问题问答

img_2.png

重置密码：邮件

img_3.png

重置密码：短信

img_4.png