Názory k článku Poznámky k LDAP

Tak panove,

je mozne ze skutecnost nahrava linuxu, momentalne, drzme se bohudik jeho.
Jste vyjimecni. Jelikoz moznost volby je znaminkem svobod7. Dekuji Vam.

Na druhou stranu je treba si rici, ze sekundovani je pouzel alternativa k realite,
tak jest. Ale M$ bude zatim tahnout. Kazdy kdo vsak poznal vcem je kouzlo
*unix systemu prozrel. Mam vas rad. :-)

Hmm, asi dost povedeny trip ...

Potrebujeme instalaterov a Prorokov :-) Ale nie takych ako ujo Mrakoplas Gates :-)

Zrovna to mám jako úkol v práci...

viem, ze mam mnohy ukamenuju, ale chcelo by to doplnit aj moznot previazania s WinAD
(kedysi som to riesil a viem ze nieco take je...)

viem, ze mna mnohy ukamenuju, ale chcelo by to doplnit aj moznot previazania s WinAD
(kedysi som to riesil a viem ze nieco take je...)

Stalo se mi, že pure-ftpd nefungoval s hesly hashovanými pomocí MD5 (jak je uvedené v článku). V takovém případě bylo nutné použít md5crypt:
password-hash {crypt}
password-crypt-salt-format "$1$%.8s"

hesla se pak generují takto:
slappasswd -h {crypt} -c '$1$%.8s'

Snad vám to k něčemu bude ;)

tvrzeni, ze samba, openldap .... nepracuje dobre se selfsigned certifikaty je zavadejici.
konkretne openldap s nimi pracuje stejne dobre jako s ostatnimi.
jen je treba precist man stranku a udelat spravne konfiguraci.
na strane serveru k tomuto slouzi direktiva TLSCACertificateFile. podivejte se do slapd.conf(5)
na strane klienta je to TLS_CACERT - viz ldap.conf(5)

allow bind_v2 neznamena "abyste mohli používat LDAP funkce PHP" ale "abyste mohli pouzit klienty, kteri neumi komunikovat protokolem LDAPv3 (pouzivaji LDAPv2) - pro doplneni je to napriklad Cisco VPN koncentrator a dalsi.

dale bych take doplnil, ze uzivatele root a "systemove uzivatele a skupiny (adm,bin, ...atd)
do LDAP nedavejte. ve chvili, kdy vam nebude dosazitelna adresarova sluzba, mate system mrtvy. tito uzivatele a skupiny musi zustat v /etc/{passwd,shadow,group,gshadow}

rootdn uzivatel v /etc/passwd NENI. navic tuto identitu je doporuceno v ostrem provozu nepouzivat. nevztahuji se na ni nastavena ACL. rootdn ma absolutni prava nad adresarovym stromem. To je pomerne zasadni a v clanku chybi. Navic tato identita "zije" pouze v slapd.conf v databazi neni. a to je dalsi dulezita vec.

v konfiguraci pam_ldap bych udelal lepsi filtr. takhle se vam stane, ze jakykoli uzivatel v LDAP (rozumeno jakykoli inetOrgPerson uzivatel, ktereho jste importoval) bude mit moznost pristoupit na vsechny servery zapojene do LDAP. a to asi neni zadouci, ze?

podobnych konfiguraci jsem delal mnoho, mate-li zajem, muzeme to probrat. sezenete me na jabberu jako matlas@jabber.cz

ad 1. nerekl jsem ze jsou nebo nejsou bezpecnejsi. to zalezi na spouste dalsich veci napr. kde je podepisovaci privatni klic fiktivni ca - pokud je na stejnem stroji, je bezpecost uplne stejna jako u selfsigned. komentoval jsem tvrzeni, ze to nepracuje dobre.

ad 3. vyuziti adresarove sluzby se dela zejmena proto, abyste si usnadnil spravu.
rozumim tomu dobre, ze v souborech vsechny ucty ponechavate? proboha proc?

ad 5. ono to neni o zabezpeceni LDAP je to spis o rizeni pristupu.
skutecne u vas maji vsichni pristup vsude?
tim, ze omezite uzivatelum pristup pouze na systemu, na ktere jej potrebuji a ostani jim zakazete LDAP nijak nezabezpecite.

nic ve zlem, jen jsem popsal co mi ve clanku schazelo.
<sigh>root.cz uz mival i vyssi uroven</sigh>

php myslim umi pouzivat LDAPv3 takze by ani allow bind_v2 byt nastavene nemuselo

jde to myslim nastavit:
<?php
...
ldap_set_option($ds, LDAP_OPT_PROTOCOL_VERSION, 3);
...
?>

me se docela osvedcilo PHPLDAPAdmin (http://phpldapadmin.sourceforge.net/)
daji se tam pekne tvorit sablony pro objekty.

ten co běhá pod GTK se jmenuje GQ a obávám se, že na něj autoři zapoměli, ten co běhá pod QT se jmenuje Luma a je úplně super

Ve fedore je to taky nastavitelny pres konfiguracni nastroj...

Radek

Nedávno jsem rozbíhal server s uživateli v LDAP a řešil jsem tentýž problém. Nástrojů je mnoho, ale všechny mají nějakou (aspoň pro mě) vadu. Nakonec se mi asi nejlépe osvědčil windowsi ldapadmin (http://ldapadmin.sourceforge.net).

Ahoj,

mam hloupou otazku, jak funguje prihlasovani k ldapu ?
1) mate specialni ucet (ma vlastni jmeno a heslo), ktery se pripoji k ldapu a tam si vycte potrebne informace potrebne k overeni konkretniho uzivatele (hash hesla)
2) k ldapu se pripojujete jmenem a heslem cloveka, ktereho se snazite autentizovat a dalsi informace si vytahnete z potrebnych atributu

hodilo by se mi to ve variante 2

dik Polish

Zalezi od implementace. Konkretne PAM to myslim dela pres bind, cili 2ha moznost.

Ono je to trosku slozitejsi :) Jde o to, ze uzivatelske jmeno se vetsinou nachazi v nejakem atributu username a pro provedeni bind je potreba znat rdn. Takze se
1) provede anonymni bind (pripadne bind s prihlasovacimi udaji pocitace), kterym se udela search username=zadanejmeno. Na vic toto prihlaseni prava nepotrebuje.
2) provede se pokus o bind se zjistenym rdn a zjistenym heslem, hash hesla zustava stale na serveru a overeni hesla dela ldap. Pomoci toho se pak z adresare stahnou ostatni polozky (skupiny, gecos,....)

Radek

Aj ja dakujem za vyborny clanok a chcel by som poprosit, ci by ste nemohli napisat aj clanok o prepojeni LDAP s DNS a DHCP.

Pocitace mame samozrejme registrovane aj v LDAP domene (kvoli Sambe), a spravovat ich oddelene este aj v DNS a DHCP sluzbach je dost duplicitna praca -dokola zadavat tu istu IP, pripadne MAC adresu, dohliadat na aktualnost vsetkych zaznamov... Mal by som predstavu, ze vsetko by som zadal len raz, do LDAP, a ostatni (DNS, DHCP) by si tie zaznamy brali odtial.

Existuje na toto nejake elegantne riesenie?

To je nahoda, zrovna pred chvilkou mi kolega preposlal toto: http://home.ntelos.net/~masneyb/ - je tam patch pro DHCP na propojeni s LDAPem. No a DHCP na oplatku umi updatovat DNS, takze by to takhle melo jit.

Lenost vladne světem, zvláště při pozornosti věnované odkazované literatuře :-( V odkazovane diplomce je přímo popsaná konfigurace ldap serveru i zmiňovaných služeb.

Zdravim

Uz som skusal mnoho metod, avsak secure ldap sa mi este nikdy nepodarilo rozbehat :'-(. Vedel by mi niekto poradit? Pre generovanie certifikatu aj podpisu som pouzil rovnake udaje, CN je ldap.mojafirma.com - je to ok?

# funguje:
ldapsearch -x -D "cn=admin,dc=mojafirma,dc=com" -W

ldapsearch -x -h ldap.mojafirma.com -D "cn=admin,dc=mojafirma,dc=com" -W

# nefunguje:
ldapsearch -D "cn=admin,dc=mojafirma,dc=com" -W
-> SASL/DIGEST-MD5 authentication started
-> ldap_sasl_interactive_bind_s: Internal (implementation specific) error (80)
->         additional info: SASL(-13): user not found: no secret in database

ldapsearch -h ldap.mojafirma.com -D "cn=admin,dc=mojafirma,dc=com" -W
-> ldap_sasl_interactive_bind_s: No such object (32)

Vdaka vopred za pomoc!

PS: Debian Sarge

vdaka za odpoved no teraz mi pise inu chybu, hoci CN v certifikate je ldap.mojafirma.com:

ldapsearch -ZZ -x -D -h ldap.mojafirma.com "cn=admin,dc=mojafirma,dc=com" -W
-> ldap_start_tls: Connect error (-11)
->         additional info: TLS: hostname does not match CN in peer certificate

v servercrt.pem:

Subject: C=SK, ST=Slovakia, L=Kosice, O=MojaFirma Ltd, CN=ldap.mojafirma.com

Nestalo by za to zminit i Fedora Directory Server? Docela spokojene ho pouzivam a oproti OpenLDAPu ma nekolik vyhod navic. Napriklad vec, ktera mne na OpenLDAPu stvala nejvic je prave to prvotni vytvoreni struktury, ktere se muselo nejak udelat a nikde jsem nenasel zadny pekny example nebo tak. FDS ma peknou javovou konzoli, pres kterou si krasne vytvorim suffix, do nej hezky vsechny ou,lidi, prava....

Radek

FDS je sice vazan na Redhati distribuce (= jsou pro ne binarni balicky), ale je k dispozici kompletni zdrojovy kod, ktery by se mel dat prelozit i na jinych systemech (mam pocit, ze o uspesnem prelozeni na gentoo bylo nekde v dokumentaci neco napsanyho). A co dela nevim ani u OpenLDAPu, protoze zdrojaky jsem necet.
A psal jsem, ze me vyhovuje konzole, hlavne proto, ze kdyz jsem zacinal s LDAPem, tak mi docela dlouho trvalo, nez jsem vytvoril spravny LDIFy se zakladnima ou atd... Ted uz je udelam bez problemu hned, ale kdyz jsem zacinal, tak bych byl rad, kdybych si tech par prvnich objektu moh naklikat v peknym grafickym nastroji. Zkousel jsem sice tehdy ruzne nastroje, ale vsechny uz pocitaly, ze mam nejakou strukturu vytvorenou...

Radek

No a da se proti tomu autorizovat pristup na windows jako AD? Nebo proti ruznym group ware (programy pro spravu uzivatelskych skupin)? FTP, samba, maily a jine distra nez Fedora?

To sice muze byt pravda ze je neco lepsi nez AD, ale jedna se mi to to, jestli se da neco takoveho rozchodit. Tak abych mohl ze Linux serveru manazovat Windows sit (vim ze hybridni site se celkem bezne stavi). Chtel bych pouzit AD (nebo neco podobneho) tak abych tim mohl spravovat XPeckovske stanice ktere tady mame.

jestli jsem to dobre pochopil tak v AD muze byt nejen helsa k uctum, ale take opravneni a ruzna nastveni. Takze pokud je neco jineho a lepsiho co beha s windows (a nemusi se za to platit) tak hnedle sem s tim. :))

je lepsi pouzit bdb nebo ldbm? prave jsem zkousel spustit ldap s bdb pod jinym uzivatelem nez je root, ale nejede to pac vlastnikem bdb souboru je root:(

kdyby to bylo tak jednoduchy tak bych se tu neptal:)

Tomu se říká sugesce. Koupil jsi něco za velký prachy a nyní se dozvídáš, že něco jiného to dělá levněji, lépe nebo zdarma. Snažíš se sám sebe přesvědčit, že jsi koupil dobře. Ale my už všichni víme, jak jsi na tom. Ostatně - stačilo za námi přijít před koupí, my bychom ti to ukázali.

Tak jsem na svuj server zvolil CentOS distribuci, nebot spravce site pro ni horoval. Vzhledem k tomu ze je to "fork" RedHata tak jsem vedel ze to ma docal dobrou komercni podporu. Sam jsem ale spise pokukoval po Gentoo, nebo Debianu (mozna Ubuntu).

Ale RedHat je UserFrendly a doporucovany pro zacatecniky, tak by to melo byt dobre pro mne.

Jenze GUI nastroje pro nastaveni nepouzivam, proste protoze nenastavi nikdy to co ja skutecne potrebuju (preci si neinstaluju linux, abych ho mel zabespeceny mene nez windows). No a kdyz nakonec hledam jak se dana vec ma nastavit v textaku, narazim na navody od (dle meho) GURU, kteri delaji v Gentoo nebo Debinau. Takze v kazdem "Easy How To" resim tisice problemu, ktere tito uzivatele nemaji. Napriklad kde na CentOs (nebo Fedore) sehnat CA.sh, jak vygenerovat certifikat?

Uz jsem z toho docela unaveny. Myslim, ze ve chvili kdyz se distribuce rozdeli na "pro BFU" a "pro GURU", tak BFU nedohleda navody a to ho spise ubije a odradi od toho jit do "slozitejsi" distrubuce "pro GURU".

P.S.: Jestli vite jak na CentOS vygenerovat certifikat, tak mi prosim odpovezte. Dekuji.

No tak pokud muzete tak mi ho poslete na adresu "benzin <zavinac> centrum <tecka> cz".

Btw. co znamena: "ovšem Common Name musí být úplný doménový název počítače, na němž běží LDAP server (musí odpovídat záznamu v DNS)"

Ja nemam (tedy myslim) pro svuj server zadny zanzam v DNS a volam ho primo jeho IP. Jak tedy zistim to Common Name?

Na openldapu provozuji auth useru uz asi tri roky a zatim se mi nepodarilo vyresit zahadny kleknuti databaze po cca 2-3 mesicich provozu. Uzivatelu je pouze asi kolem 500 a kazdy ma unixove a sambi atributy. Rekneme za 2-3 mesice se nic nedeje. Pak ale prijde zapis, tak se databaze porouci. Nepomaha ani db_recovery. Musim to tam znovu rucne nasypat z ldifu. Pak to zase chvili jede a zuch. Je zajimavy ze nejdriv ma openldap dobry odezvy ale postupem casu se zpomali. Podle rad jsem se pokousel trosku dotunit bdb backend ale nepomohlo to.

Nevede openldap nahodou sql backend?

Jasne ze existuje sql-backend a dokonca si mozes vybrat z viacerych, pokial si dobre pamatam tak supportuju a pravidelne testuju postgresql a mysql a este sa to da spriahnut aj s DB2 a oracle.

Bezi niekto multimaster replikaciu na urovni ldap-u ? Ake su s tym skusenosti ?

Neexistuje někde nějaká dokumentace k souboru ldap.conf, k tomu s těma malýma písmenkama? Snažím se přesvědčit pam, aby nelezly pro uživatelské informace přes anonymního uživatele, ale aby se za všech okolností používala identita podle rootbindb (nebo binddn??). Uložení uživatelských informací v ldap mi funguje, ale jen v případě, že jsou všechny potřebné informace přístupné komukoli.

Prosím autora článku nebo někoho zasvědceného, jestli by dokázal odpovědět na můj dotaz: http://www.abclinuxu.cz/forum/show/148080