http://www.minetti.org/mediawiki/index.php?action=history&feed=atom&title=Linux%3AAuthentification_LDAPLinux:Authentification LDAP - Historique des versions2026-05-04T13:01:45ZHistorique pour cette page sur le wikiMediaWiki 1.26.2http://www.minetti.org/mediawiki/index.php?title=Linux:Authentification_LDAP&diff=127&oldid=prevJp : Page créée avec « == Installation et configuration du serveur LDAP == === Paquetages === Les paquetages suivants doivent être installés: * openldap * openldap-clients * openldap-servers *... »2016-04-07T18:37:59Z<p>Page créée avec « == Installation et configuration du serveur LDAP == === Paquetages === Les paquetages suivants doivent être installés: * openldap * openldap-clients * openldap-servers *... »</p>
<p><b>Nouvelle page</b></p><div>== Installation et configuration du serveur LDAP ==<br />
=== Paquetages ===<br />
Les paquetages suivants doivent être installés:<br />
* openldap<br />
* openldap-clients<br />
* openldap-servers<br />
* openssl<br />
=== Fichier /etc/openldap/slapd.conf ===<br />
# ==============================================================================<br />
# CONFIGURATION SERVEUR LDAP<br />
# Copyright 2006 by MINETTI JP<br />
# ==============================================================================<br />
<br />
<br />
# ==============================================================================<br />
# Schémas<br />
# ==============================================================================<br />
<br />
include /etc/openldap/schema/core.schema<br />
include /etc/openldap/schema/cosine.schema<br />
include /etc/openldap/schema/inetorgperson.schema<br />
include /etc/openldap/schema/nis.schema<br />
include /etc/openldap/schema/samba.schema<br />
<br />
<br />
# ==============================================================================<br />
# Support LDAPv2<br />
# ==============================================================================<br />
<br />
allow bind_v2<br />
<br />
<br />
# ==============================================================================<br />
# Paramètres du démon<br />
# ==============================================================================<br />
<br />
pidfile /var/run/openldap/slapd.pid<br />
argsfile /var/run/openldap/slapd.args<br />
<br />
<br />
# ==============================================================================<br />
# Connexion TLS<br />
# ==============================================================================<br />
<br />
# Spéfications des algorithmes de chiffrement<br />
TLSCipherSuite HIGH:MEDIUM:+SSLv2<br />
<br />
# Certificat de la CA<br />
TLSCACertificateFile /etc/openldap/cacerts/ca.pem<br />
<br />
# Certificat du serveur LDAP<br />
TLSCertificateFile /etc/openldap/server-certs/openldap.pem<br />
<br />
# Clée privée du serveur LDAP<br />
TLSCertificateKeyFile /etc/openldap/server-certs/openldap.key<br />
<br />
# Clôture la session si certificat non valide<br />
TLSVerifyClient demand<br />
<br />
# Connexion TLS obligatoire<br />
security tls=1<br />
<br />
<br />
# ==============================================================================<br />
# Droits d'accès<br />
# ==============================================================================<br />
<br />
include /etc/openldap/access.conf<br />
<br />
<br />
# ==============================================================================<br />
# Base de données<br />
# ==============================================================================<br />
<br />
database bdb<br />
suffix "dc=minetti,dc=org"<br />
rootdn "cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org"<br />
rootpw {SSHA}XXXXXXXXXXXXXXXXXXXX<br />
directory /var/db/ldap<br />
<br />
<br />
# ==============================================================================<br />
# Indexes<br />
# ==============================================================================<br />
<br />
index objectClass eq,pres<br />
index ou,cn,sn,mail,givenname eq,pres,sub<br />
index uidNumber,gidNumber,loginShell eq,pres<br />
index uid,memberUid eq,pres,sub<br />
index nisMapName,nisMapEntry eq,pres,sub<br />
index sambaSID,uniqueMember eq<br />
index sambaDomainName eq,pres<br />
index sambaPrimaryGroupSID eq<br />
<br />
<br />
# ==============================================================================<br />
# Logs<br />
# ==============================================================================<br />
# -1 Equivaut à tout tracer<br />
# 1 Trace les appels aux fonctions<br />
# 2 Gestion des paquets<br />
# 4 Déboggage lourd et verbeux<br />
# 8 Gestion de la connexion<br />
# 16 Affiche les paquets entrants et sortants<br />
# 32 Analyse des filtres de recherche<br />
# 64 Analyse du fichier de configuration<br />
# 128 Analyse des restrictions d'accès<br />
# 256 Récapitule les stats (recherche/résultats)<br />
# 512 Log des entrées renvoyées<br />
# 1024 Analyse de la communication avec les backends<br />
# 2048 Analyse du parsing d'une entrée<br />
# 0 Désactive tout logging<br />
# ==============================================================================<br />
<br />
loglevel 0<br />
=== Création des certificats du serveur ===<br />
On suppose que l'on soit une autorité de certification et que nous avons déjà créé notre CA. Dans le cas contraire, reportez-vous [[Commandes:Génération_de_certificats_SSL#Création_de_l'autorité_de_certification|ici]].<br />
<br />
On génère la demande de certificat auprès de l'autorité de certification (CA):<br />
openssl genrsa -out openldap.key 1024<br />
openssl req -new -key openldap.key -out openldap.req<br />
L'autorité de certification (CA) accepte la demande et procède à la signature du certificat:<br />
openssl ca -in openldap.req -extensions v3_ca -out openldap.pem -days 3650<br />
L'autorité de certification (CA) retourne un certificat signé valable pour 10 ans. Le fichier openldap.pem qui contient ce certificat, et le fichier openldap.key qui contient le couple clé privée/publique seront placés dans le répertoire /etc/openldap/server-certs.<br />
<br />
Pour éviter que le serveur LDAP soit obligé de demander un mot de passe au démarrage, enlever le mot de passe du certificat:<br />
mv openldap.key openldap-pw.key<br />
openssl rsa -in openldap-pw.key -out openldap.key<br />
<br />
Il ne faut pas oublier de placer le certificat de l'autorité de certification (CA) dans le répertoire /etc/openldap/cacerts afin que le serveur puisse vérifier la validité des certificats des clients.<br />
<br />
=== Configuration des accès clients ===<br />
Sur chaque machine accédant au LDAP, on modifie le fichier '''/etc/openldap/ldap.conf''':<br />
# ==============================================================================<br />
# PARAMETRES DE CONNEXION PAR DEFAUT DES CLIENTS LDAP<br />
# Copyright 2006 by MINETTI JP<br />
# ==============================================================================<br />
<br />
<br />
# Connexion<br />
URI ldap://ldap.srv.minetti.org/<br />
BASE dc=minetti,dc=org<br />
<br />
# Certificats SSL (voir $HOME/.ldaprc pour chaque utilisateur)<br />
SSL start_tls<br />
<br />
# Le serveur doit posséder un certificat signé par la CA pour que la<br />
# connection soit possible<br />
TLS_REQCERT demand<br />
<br />
# Certificat de la CA<br />
TLS_CACERTDIR /etc/openldap/cacerts<br />
Comme pour la machine serveur, on place le certificat de l'autorité de certification dans le répertoire /etc/openldap/cacerts de chaque machine afin que les clients puissent vérifier la validité du certificat du serveur.<br />
<br />
Pour que le client LDAP puisse trouver le bon certificat (il peut y en avoir plusieurs), il faut créer un lien avec le hash du certificat:<br />
cacertdir_rehash /etc/openldap/cacerts<br />
Sur chaque machine et pour chaque utilisateur autorisé à se connecter au LDAP, on créé un fichier '''.ldaprc''' dans le répertoire home des utilisateurs ($HOME):<br />
# ==============================================================================<br />
# PARAMETRES DE CONNEXION PAR DEFAUT DES CLIENTS LDAP<br />
# Copyright 2006 by MINETTI JP<br />
# ==============================================================================<br />
<br />
<br />
# Certificat x509 du client<br />
TLS_CERT /etc/pki/tls/certs/mout.pem<br />
<br />
# Clés du certificat<br />
TLS_KEY /etc/pki/tls/private/mout.key<br />
<br />
On génère la demande de certificat du client auprès de l'autorité de certification (CA):<br />
openssl genrsa -out mout.key 1024<br />
openssl req -new -key mout.key -out mout.req<br />
L'autorité de certification (CA) accepte la demande et procède à la signature du certificat:<br />
openssl ca -in mout.req -extensions v3_ca -out mout.pem -days 3650<br />
L'autorité de certification (CA) retourne un certificat signé valable pour 10 ans. Le fichier mout.pem qui contient ce certificat, et le fichier mout.key qui contient le couple clé privée/publique seront placés dans le répertoire /etc/pki/tls/certs et /etc/pki/tls/private.<br />
<br />
'''ATTENTION:''' Si [[Linux:SELinux|SELinux]] est activé et que les certificats se trouvent dans une autre arborescence que /etc/pki, il est impératif de positionner les contextes SELinux des fichiers contenant les certificats sur '''cert_t'''. Sans cela, le serveur LDAP ne pourrait pas avoir accès à ses certificats:<br />
chcon -R -u system_u /var/minetti/pki<br />
semanage fcontext -a -t cert_t '/var/minetti/pki(/.*)?'<br />
restorecon -R -v /var/minetti<br />
<br />
=== Démarrage/arrêt du serveur LDAP ===<br />
* Pour démarrer le serveur:<br />
/sbin/service ldap start<br />
* Pour arrêter le serveur:<br />
/sbin/service ldap stop<br />
* Pour redémarrer le serveur:<br />
/sbin/service ldap restart<br />
* Pour connaître l'état du serveur:<br />
/sbin/service ldap status<br />
=== Peuplement du LDAP ===<br />
Pour peupler le LDAP, on créé un fichier d'import au format LDIF (''import.ldif''):<br />
blabla <br />
La commande suivante permet de crypter les mots de passe:<br />
slappasswd -s "xxxxxxxxxxxxxx"<br />
Puis on procède à l'import:<br />
ldapadd -W -x -v -ZZ -D "cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" -f ''import.ldif''<br />
<br />
=== Fichier /etc/openldap/access.conf ===<br />
# ==============================================================================<br />
# CONFIGURATION SERVEUR LDAP: Droits d'accès<br />
# Copyright 2006 by MINETTI JP<br />
# ==============================================================================<br />
# dn.base Acces au noeud uniquement<br />
# dn.one Acces enfant direct du noeud<br />
# dn.subtree Acces au noeud et a ses descendants<br />
# dn.children Acces aux descendants du noeud (mais pas au noeud)<br />
# ==============================================================================<br />
<br />
<br />
# Accès sysaccount.localnet.minetti.org<br />
access to dn.base="ou=sysaccount,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn.regex="^cn=([^,]+),ou=sysaccount,ou=localnet,dc=minetti,dc=org$" read<br />
by * none<br />
access to dn.children="ou=sysaccount,ou=localnet,dc=minetti,dc=org"<br />
attrs="userPassword"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by self read<br />
by anonymous auth<br />
by * none<br />
access to dn.children="ou=sysaccount,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by self read<br />
by * none<br />
<br />
# Accès people.localnet.minetti.org<br />
access to dn.base="ou=people,ou=localnet,dc=minetti,dc=org"<br />
attrs=objectClass,top,organizationalUnit<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=contact,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * none<br />
access to dn.base="ou=people,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=contact,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
access to dn.children="ou=people,ou=localnet,dc=minetti,dc=org"<br />
filter="objectClass=posixAccount"<br />
attrs=userPassword<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by self write<br />
by anonymous auth<br />
by * none<br />
access to dn.children="ou=people,ou=localnet,dc=minetti,dc=org"<br />
filter="objectClass=posixAccount"<br />
attrs=shadowlastchange<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by self write<br />
by * none<br />
access to dn.subtree="uid=admin,ou=people,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by self read<br />
by * none<br />
access to dn.children="ou=people,ou=localnet,dc=minetti,dc=org"<br />
filter="objectClass=sambaSamAccount"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=contact,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by self read<br />
by * none<br />
access to dn.children="ou=people,ou=localnet,dc=minetti,dc=org"<br />
filter="objectClass=shadowAccount"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=contact,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by self read<br />
by * none<br />
access to dn.children="ou=people,ou=localnet,dc=minetti,dc=org"<br />
filter="objectClass=posixAccount"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=contact,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by self read<br />
by * none<br />
access to dn.children="ou=people,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=contact,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
<br />
# Accès group.localnet.minetti.org<br />
access to dn.base="ou=group,ou=localnet,dc=minetti,dc=org"<br />
attrs=objectClass,top,organizationalUnit<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * none<br />
access to dn.base="ou=group,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
access to dn.children="ou=group,ou=localnet,dc=minetti,dc=org"<br />
filter="objectClass=sambaGroupMapping"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * none<br />
access to dn.children="ou=group,ou=localnet,dc=minetti,dc=org"<br />
filter="objectClass=posixGroup"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * none<br />
access to dn.children="ou=group,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
<br />
# Accès hosts.localnet.minetti.org<br />
access to dn.base="ou=hosts,ou=localnet,dc=minetti,dc=org"<br />
attrs=objectClass,top,organizationalUnit<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * none<br />
access to dn.base="ou=hosts,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
access to dn.children="ou=hosts,ou=localnet,dc=minetti,dc=org"<br />
filter="objectClass=posixAccount"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
access to dn.children="ou=hosts,ou=localnet,dc=minetti,dc=org"<br />
filter="objectClass=ipHost"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * none<br />
access to dn.children="ou=hosts,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
<br />
# Accès IDMAP<br />
access to dn.base="ou=idmap,ou=localnet,dc=minetti,dc=org"<br />
attrs=objectClass,top,organizationalUnit<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * none<br />
access to dn.base="ou=idmap,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
access to dn.children="ou=idmap,ou=localnet,dc=minetti,dc=org"<br />
filter="objectClass=sambaIdmapEntry"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
access to dn.children="ou=idmap,ou=localnet,dc=minetti,dc=org"<br />
filter="objectClass=sambaUNIXIdPool"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
access to dn.children="ou=idmap,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
<br />
# Accès services.localnet.minetti.org<br />
access to dn.subtree="ou=services,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * none<br />
<br />
# Accès protocols.localnet.minetti.org<br />
access to dn.subtree="ou=protocols,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * none<br />
<br />
# Accès netgroup.localnet.minetti.org<br />
access to dn.subtree="ou=netgroup,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * none<br />
<br />
# Accès autofs.localnet.minetti.org<br />
access to dn.subtree="ou=autofs,ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * none<br />
<br />
# Accès localnet.minetti.org<br />
access to dn.base="ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by dn="cn=contact,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * none<br />
access to dn.one="ou=localnet,dc=minetti,dc=org"<br />
filter="objectClass=sambaDomain"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=samba,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
access to dn.one="ou=localnet,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
<br />
# Accès tomcat.appli.minetti.org<br />
access to dn.base="ou=tomcat,ou=appli,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=tomcat,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * read<br />
access to dn.children="ou=tomcat,ou=appli,dc=minetti,dc=org"<br />
attrs=userPassword<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=tomcat,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by self write<br />
by anonymous auth<br />
by * read<br />
access to dn.children="ou=tomcat,ou=appli,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=tomcat,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by self read<br />
by * read<br />
<br />
# Accès appli.minetti.org<br />
access to dn.base="ou=appli,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=tomcat,ou=sysaccount,ou=localnet,dc=minetti,dc=org" read<br />
by * read<br />
<br />
# Accès test.minetti.org<br />
access to dn.base="ou=test,dc=minetti,dc=org"<br />
attrs=objectClass,top,organizationalUnit<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * read<br />
access to dn.base="ou=test,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=test,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * read<br />
access to dn.children="ou=test,dc=minetti,dc=org"<br />
attrs=userPassword<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=test,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by self write<br />
by anonymous auth<br />
by * none<br />
access to dn.children="ou=test,dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by dn="cn=test,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by self write<br />
by * read<br />
<br />
# Accès minetti.org<br />
access to dn.base="dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * read<br />
access to dn.subtree="dc=minetti,dc=org"<br />
by dn="cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" write<br />
by * none<br />
<br />
# Accès par défaut<br />
access to *<br />
by users read<br />
by anonymous auth<br />
<br />
=== Test ===<br />
Pour valider la configuration de notre serveur, on procèdera à quelques tests.<br />
* Pour lister tous le contenu du LDAP:<br />
ldapsearch -vx -ZZ -D "cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" -W "(objectClass=*)"<br />
* Pour lister les informations d'un utilisateur (''myUID''):<br />
ldapsearch -vx -ZZ -D "cn=admin,ou=sysaccount,ou=localnet,dc=minetti,dc=org" -W "(uid=''myUID'')"<br />
* Pour vérifier l'accès d'un utilisateur (''myUID''):<br />
ldapsearch -vx -ZZ -D "uid=''myUID'',ou=people,ou=localnet,dc=minetti,dc=org" -W "(objectClass=*)"<br />
<br />
== Authentification LDAP avec NSS et PAM ==<br />
NSS et PAM permettent l'authentification sous Linux.<br />
=== Fichier /etc/ldap.conf ===<br />
# ==============================================================================<br />
# PARAMETRES DE CONNEXION DE PAM_LDAP & NSS_LDAP<br />
# Copyright 2006 by MINETTI JP<br />
# ==============================================================================<br />
<br />
<br />
# ==============================================================================<br />
# CONNEXION<br />
# ==============================================================================<br />
<br />
uri ldap://ldap.srv.minetti.org/<br />
base dc=minetti,dc=org<br />
ldap_version 3<br />
<br />
<br />
# ==============================================================================<br />
# TLS<br />
# ==============================================================================<br />
<br />
# Activation du protocole TLS<br />
ssl start_tls<br />
<br />
# Vérifier le certificat du serveur<br />
tls_checkpeer yes<br />
<br />
# Spéfications des algorithmes de chiffrement<br />
tls_ciphers HIGH:MEDIUM:+SSLv2<br />
<br />
# Certificat de la CA<br />
tls_cacertfile /etc/openldap/cacerts/ca.pem<br />
<br />
# Certificat x509 du client<br />
tls_cert /etc/pki/tls/certs/mout.pem<br />
<br />
# Clés du certificat<br />
tls_key /etc/pki/tls/private/mout.key<br />
<br />
<br />
# ==============================================================================<br />
# GENERAL<br />
# ==============================================================================<br />
<br />
timelimit 5<br />
bind_timelimit 5<br />
bind_policy soft<br />
idle_timelimit 3600<br />
<br />
# Utilisateur pour la connexion au serveur LDAP<br />
binddn cn=nss,ou=sysaccount,ou=localnet,dc=minetti,dc=org<br />
bindpw XXXXXXXXXXXXXXX<br />
<br />
# Type de parcours de recherche<br />
scope one<br />
<br />
<br />
# ==============================================================================<br />
# Configuration PAM<br />
# ==============================================================================<br />
<br />
pam_password md5<br />
pam_filter objectclass=posixAccount<br />
pam_login_attribute uid<br />
pam_member_attribute memberUid<br />
<br />
<br />
# ==============================================================================<br />
# Configuration NSS<br />
# ==============================================================================<br />
<br />
nss_base_passwd ou=people,ou=localnet,dc=minetti,dc=org?one<br />
nss_base_shadow ou=people,ou=localnet,dc=minetti,dc=org?one<br />
nss_base_group ou=group,ou=localnet,dc=minetti,dc=org?one<br />
nss_base_hosts ou=hosts,ou=localnet,dc=minetti,dc=org?one<br />
nss_base_services ou=services,ou=localnet,dc=minetti,dc=org?one<br />
nss_base_networks ou=networks,ou=localnet,dc=minetti,dc=org?one<br />
nss_base_protocols ou=protocols,ou=localnet,dc=minetti,dc=org?one<br />
nss_base_rpc ou=rpc,ou=localnet,dc=minetti,dc=org?one<br />
nss_base_ethers ou=ethers,ou=localnet,dc=minetti,dc=org?one<br />
nss_base_netmasks ou=networks,ou=localnet,dc=minetti,dc=org?one<br />
nss_base_bootparams ou=ethers,ou=localnet,dc=minetti,dc=org?one<br />
nss_base_aliases ou=aliases,ou=localnet,dc=minetti,dc=org?one<br />
nss_base_netgroup ou=netgroup,ou=localnet,dc=minetti,dc=org?one<br />
<br />
# Just assume that there are no supplemental groups for these named users<br />
nss_initgroups_ignoreusers root,ldap,named,avahi,haldaemon,dbus,radvd,tomcat,radiusd,news,mailman,nscd,gdm<br />
<br />
=== Fichier /etc/pam.d/system-auth ===<br />
#%PAM-1.0<br />
# This file is auto-generated.<br />
# User changes will be destroyed the next time authconfig is run.<br />
auth required pam_env.so<br />
auth sufficient pam_unix.so nullok try_first_pass<br />
auth requisite pam_succeed_if.so uid >= 500 quiet<br />
auth sufficient pam_ldap.so use_first_pass<br />
auth required pam_deny.so<br />
<br />
account sufficient pam_unix.so broken_shadow<br />
account sufficient pam_localuser.so<br />
account sufficient pam_succeed_if.so uid < 500 quiet<br />
account [default=bad success=ok user_unknown=ignore] pam_ldap.so<br />
account required pam_permit.so<br />
<br />
password requisite pam_cracklib.so try_first_pass retry=3<br />
password sufficient pam_unix.so md5 shadow nullok try_first_pass use_authtok<br />
password sufficient pam_ldap.so use_authtok<br />
password required pam_deny.so<br />
<br />
session required pam_limits.so<br />
session required pam_unix.so<br />
session optional pam_ldap.so<br />
<br />
=== Fichier /etc/nsswitch.conf ===<br />
# ==============================================================================<br />
# CONFIGURATION NSS<br />
# Copyright 2006 by MINETTI JP<br />
# ==============================================================================<br />
<br />
<br />
# Utilisateurs et groupes<br />
passwd: files ldap<br />
shadow: files ldap<br />
group: files ldap<br />
<br />
# Machines du réseau<br />
hosts: files dns ldap<br />
<br />
# Autres<br />
bootparams: nisplus [NOTFOUND=return] files<br />
ethers: files<br />
netmasks: files<br />
networks: files<br />
protocols: files ldap<br />
rpc: files<br />
services: files ldap<br />
netgroup: nisplus ldap<br />
publickey: nisplus<br />
automount: files nisplus ldap<br />
aliases: files nisplus<br />
<br />
=== SELinux et test ===<br />
Si [[Linux:SELinux|SELinux]] est activé et que les certificats se trouvent dans une autre arborescence que /etc/pki, il est impératif de positionner les contextes SELinux des fichiers contenant les certificats sur '''cert_t'''. Sans cela, PAM et NSS n'enverront pas leurs certificats au serveur LDAP:<br />
chcon -R -u system_u /var/minetti/pki<br />
semanage fcontext -a -t cert_t '/var/minetti/pki(/.*)?'<br />
restorecon -R -v /var/minetti<br />
Une fois tout ceci terminé, on peut tester une authentification. Mais avant, il ne faut pas oublier de redémarrer le démon NSCD:<br />
service nscd restart<br />
<br />
== Authentification LDAP avec RADIUS ==<br />
== Authentification LDAP avec Apache ==<br />
=== Applications PHP ===<br />
Pour se connecter au LDAP, l'interpréteur PHP utilise le client OpenLDAP. La configuration de la connexion ne devrait donc pas représenter une difficulté. Toutefois, il faut s'assurer:<br />
* qu'un fichier '''.ldaprc''' est bien présent dans le répertoire home ($HOME) de l'utilisateur sous lequel le serveur Apache est lancé,<br />
* et que la variable d'environnement $HOME est bien positionné lors du lancement du serveur Apache.<br />
<br />
== Application PHPLDAPAdmin ==</div>Jp