OESI.ORG

Diese Seite ist nicht editierbar. Sie können den Quelltext sehen, jedoch nicht verändern. Kontaktieren Sie den Administrator, wenn Sie glauben, dass hier ein Fehler vorliegt.
====== LDAP einrichten ======

<code>
apt-get install slapd ldap-utils
</code>

====Loglevel Ändern====
Zum Ändern des Loglevels muss zuerst eine LIDF Datei erstellt werden mit folgendem Inhalt:
Häufige LogLevelTypen: stats | any | none

<code loglevel.ldif>
dn: cn=config
changeType: modify
replace: olcLogLevel
olcLogLevel: stats
</code>

Danach wird die Datei per Ldapmodify eingelesen:
<code>
ldapmodify -Y EXTERNAL -H ldapi:/// -f loglevel.ldif 
</code>

Mit folgendem Befehl kann der aktuelle LogLevel angezeigt werden
<code>
ldapsearch -Y external -H ldapi:/// -b cn=config "(objectClass=olcGlobal)" olcLogLevel
</code>

Die Logeinträge werden in die Datei /var/log/syslog geschrieben.

====TLS einrichten====
Zertifikate erstellen
<code>
sudo apt-get install gnutls-bin 
sudo mkdir /var/ssl
cd /var/ssl
</code>

Eigenes CA-Zertifikat erstellen

ca.cfg neu anlegen
<code>
cn = meinedomain
ca
cert_signing_key
</code>

<code>
sudo sh -c "certtool --generate-privkey > cakey.pem" 
sudo certtool --generate-self-signed --load-privkey cakey.pem --template ca.cfg --outfile cacert.pem 
</code>

Private Key generieren
<code>
sudo sh -c "certtool --generate-privkey > ldap_slapd_key.pem 
</code>

Server Zertifikat

slapd.cfg neu anlegen
<code>
organization = oesi
cn = ldap.oesi.org
tls_www_server
encryption_key
signing_key
</code>
<code>
sudo certtool --generate-certificate --load-privkey ldap_slapd_key.pem --load-ca-certificate cacert.pem --load-ca-privkey cakey.pem --template slapd.cfg --outfile ldap_slapd_cert.pem 
</code>

Zertifikate installieren
<code>
sudo install -D -o openldap -g openldap -m 600 /var/ssl/ldap_slapd_key.pem  /etc/ssl/private/ldap_slapd_key.pem
sudo install -D -o openldap -g openldap -m 600 /var/ssl/ldap_slapd_cert.pem  /etc/ssl/certs/ldap_slapd_cert.pem
sudo install -D -o openldap -g openldap -m 600 /var/ssl/cacert.pem  /etc/ssl/certs/ldap_slapd_cacert.pem 
</code>

Zum hinzufügen der Zertifikate zum Server tls.ldif erstellen mit folgendem inhalt
<code>
dn: cn=config
changetype: modify
replace: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/ssl/certs/ldap_slapd_cacert.pem

dn: cn=config
changetype: modify
replace: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/ssl/private/ldap_slapd_key.pem

dn: cn=config
changetype: modify
replace: olcTLSCertificateFile
olcTLSCertificateFile: /etc/ssl/certs/ldap_slapd_cert.pem
</code>
und einlesen
<code>
ldapadd -Y EXTERNAL -H ldapi:/// -f tls.ldif
</code>

/etc/ldap/ldap.conf anpassen
<code>
BASE    dc=oesi,dc=org
URI     ldap://localhost

ldap_version 3
#ssl start_tls
#TLS_CACERT /etc/ssl/certs/ldap_slapd_cacert.pem
TLS_REQCERT never
</code>

Apache neu starten damit die ldap.conf neu eingelesen wird!

Bei dem Fehler
<code>
main: TLS init def ctx failed: -1
</code>
Openldap zur Gruppe ssl-cert hinzufügen 

<code>
usermod -a -G ssl-cert openldap
</code>

Falls der folgende Fehler auftritt liegt es eventuell an den Berechtigungen der Zertifikate.
Diese müssen vom User openldap lesbar sein. Und sollten von anderen Usern nicht lesbar sein.
<code>
modifying entry "cn=config"
ldap_modify: Other (e.g., implementation specific) error (80)
</code>



===== Sonstiges ======

LDAP Server neu starten
<code>
/etc/init.d/slapd resart
</code>

Verschlüsselte suche 
<code>
ldapsearch -x -ZZ
</code>



===== PHP CODE =========


<code php>
switch($type)
{
	case 'starttls': 
		$port=389;
		$ldap_url='ldap://'.LDAP_SERVER;
		break;

	case 'ldaps':
		$port=636;
		$ldap_url='ldaps://'.LDAP_SERVER;
		break;

	case 'plain':
		$port=389;
		$ldap_url='ldap://'.LDAP_SERVER;
		break;
}

$ldap_conn = ldap_connect($ldap_url, $port);

ldap_set_option($ldap_conn, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($ldap_conn, LDAP_OPT_REFERRALS, 0);

if($type=='starttls')
	if(!ldap_start_tls($this->ldap_conn))
		die('StartTLS fehlgeschlagen');


ldap_bind($ldap_conn, $binddn,$bindpw);

</code>
OESI.ORG

Benutzer-Werkzeuge

Webseiten-Werkzeuge

Seiten-Werkzeuge
