Introducción al protocolo ldap

LDAP Protocolo Ligero de Acceso a Directorios es un protocolo a nivel de aplicación que permite el acceso a un servicio de directorio ordenado y distribuido para buscar diversa información en un entorno de red.

LDAP(Lightweight Directory Access Protocol, protocolo ligero de acceso a directorios), es un protocolo del nivel de aplicación de la arquitectura TCP/IP que permite el acceso a un servicio de directorio ordenado y distribuido para buscar información en un entorno de red.LDAP puede utilizarse de muchas maneras: para autenticación, directorios compartidos (para los clientes de correo), libreta de direcciones, etc.

Estrucutura del directorio

El protocolo accede a directorios LDAP, que siguen la edición de 1993 del modelo X.500:

• Un directorio es un árbol de entradas de directorio.

• Una entrada consta de un conjunto de atributos.

• Un atributo tiene un nombre (un tipo de atributo o descripción de atributo) y uno o más valores. Los atributos son definidos en un esquema.

• Cada entrada tiene un identificador único: su Nombre distinguido Distinguished Name, DN).

Para importar y exportar información entre servidores ldap o para describir una serie de cambios que serán aplicados al directorio, el formato utilizado se llama LDIF (LDAP Data Interchange Format). LDIF almacena la información en jerarquías orientadas a objetos que luego serán transformadas al formato interno de la base de datos.

Un archivo LDIF tiene un formato similar a:

dn: dc=jovenclub, dc=cu 
objectclass: top 
objectclass: 
organizationalUnit 
dn: ou=groups, dc=jovenclub, dc=cu 
objectclass: top 
objectclass: 
organizationalUnit 
ou: groups 
dn: ou=people, dc=jovenclub, dc=cu 
objectclass: top 
objectclass: 
organizationalUnit 
ou: people 
dn: cn = Pepe Perez, ou=people, 
dc=jovenclub, dc=cu 
cn: Pepe Perez 
sn: Perez
objectclass: top 
objectclass: person 
objectclass: posixAccount 
objectclass: shadowAccount 
uid: pepe 
userpassword: 
{crypt}p1pss2ii(0pgbs*do&@ = )eksd 
uidnumber:104 
gidnumber:100 
loginShell:/bin/bash 
homeDirectory: /home/pepe 

Creación y mantenimiento de las BD

Existen dos métodos para insertar datos en la base de datos de Ldap. El primero es fácil y adecuado para pequeñas cantidades de datos, es interactivo y se deben utilizar herramientas tales como ldapadd para insertar nuevas entradas.

El segundo se debe trabajar fuera de línea, es el adecuado para grandes BD y se utiliza el comando slapadd incluido con slapd.

• Verificar que contiene los siguientes atributos en slapd.conf:

- suffix (top del directorio, por ejemplo, suffix “dc=jovenclub,dc=cu”) -directory /var/lib/ldap/autenticar (directorio donde se crearán los índices y que pueda escribir slapd)

Primer caso:

Una vez definido el slapd.conf, se debe ejecutar el comando:

# ldapadd -x -D "cn=admin,dc=mimundo,dc=com" -f 
ejemplo.ldif -W 

Los argumentos utilizados pueden ser:

-x: autenticación simple 
-W: solicitar clave de acceso 
-D binddn: nombre distinguido (dn) a utilizar 
-h anfitrión: servidor Ldap a acceder 
-f fichero : fichero a utilizar 
-w passwd:contraseña del administrador del servidor 

Segundo caso:

Una vez definido el slapd.conf, se debe ejecutar el comando:

# slapadd -v -l ejemplo.ldif -f /etc/ldap/slapd.conf 

Los argumentos utilizados pueden ser: • -l: archivo en formato LDFI. • -f: archivo de configuración del servidor, donde se indican cómo crear los índices. • -v: habilitar el modo verbose

Configuración del servidor

Instale los paquetes necesarios como su.

# apt-get install slapd 

Durante la instalación te piden: la configuración del dominio y de las contraseñas del fichero slapd.conf.

# slappasswd -h {CRYPT} 

Copie y respalde el criptograma resultante. Añadir a etc/ldap/slapd.conf:

password-hash {CRYPT} 
rootpw {CRYPT}CnTL4BZA65eXU #La clave que se generó anteriormente 
rootdn "cn=admin,dc=tele,dc=grm,dc=jovenclub,dc=cu" 

Creación de directorios

Con fines de organización se creará un directorio específico para este directorio y se configurará con permisos de acceso exclusivamente al usuario y grupo openldap.

# cd /var/lib/ldap 
# mkdir autenticar replog 
# chown -R openldap:openldap autenticar replog 
# chmod -R 700 autenticar replog 

Crear un archivo init.ldif donde nombre 3 unidades organizativas: users, groups y computers.

# mcedit /etc/ldap/init.ldif 
dn: dc=tele,dc=grm,dc=jovenclub,dc=cu 
objectClass: top 
objectClass: dcObject 
objectClass: organization
o: GRM 
dc: tele 
dn: 
cn=admin,dc=tele,dc=grm,dc=jovenclub,dc=cu 
objectClass: simpleSecurityObject 
objectClass: organizationalRole 
cn: admin 

Descripción: administrador de LDAP

userPassword: {CRYPT}CnTL4BZA65eXU 
#introduzca el resultado de generar 
slappasswd. 
dn: ou=users,dc=tele,dc=grm,dc=jovenclub,dc=cu 
objectClass: organizationalUnit 
ou: users 
dn: ou=groups,dc=tele,dc=grm,dc=jovenclub,dc=cu 
objectClass: organizationalUnit 
ou: groups 
dn:ou=computers,dc=tele,dc=grm,dc=jovenclub,dc=cu 
objectClass: organizationalUnit 
ou: computers 

-Para inicializar la base de datos

# /etc/init.d/slapd stop 

-Crear un nuevo directorio donde se almacenará la configuración de la base de datos ldap. Este directorio /var/lib/ldap/autenticar ya lo habíamos creado anteriormente.

# mkdir /var/lib/ldap/autenticar 

-Accede al directorio donde se guardó el archivo creado anteriormente init.ldif

# cd /etc/ldap 

-Luego añade los valores de ldif a la base de datos de ldap que se encuentra en /var/lib/ldap/autenticar.(Ver man slapadd)

# slapadd -v -l init.ldif -f /etc/ldap/slapd.conf 

-Después cambia el dueño y el grupo del directorio creado anteriormente

# chown -R openldap:openldap /var/lib/ldap/autenticar/* 

Para la actualización de la configuración de openldap -Creo un directorio

# cd /etc/ldap 
#mkdir slapd.d 

Ejecuto el siguiente comando cuyo resultado se muestra a continuación.

# slaptest -f slapd.conf -F slapd.d config file testing succeeded 

Le cambio el dueño y el grupo al directorio creado

# chown -R openldap: openldap slapd.d 

Para hacer una búsqueda y confirmar la configuración -Iniciar nuestro servidor

root@debian5:~# /etc/init.d/slapd start 

-Ahora revisaremos que el servidor slapd haya abierto el socket TCP/IP, en específico veremos que nos abra el puerto TCP/389.

root@debian5:~# netstat -pltn | grep slapd 
tcp 0 0 0.0.0.0:389 0.0.0.0:* LISTEN 4436/slapd
tcp6 0 0 :::389 :::* LISTEN 4436/slapd 

-Ahora haremos una consulta al servidor LDAP para ver si responde con lo más básico y ver que está funcionando.

root@debian5:~# ldapsearch -x -b “” -s base “(objectclass=*)” 
namingContexts 
root@debian5:~# ldapsearch -x -D 
cn=admin,dc=tele,dc=grm,dc=jovenclub,dc=cu" b 
"dc=tele,dc=grm,dc=jovenclub,dc=cu" -W 

Crear una etiqueta nueva

-Para poblar el directorio de Ldap se debe utilizar como recurso los archivos *.ldif.

-Lo primero que se debe crear en el LDAP es la Organización, según los datos que se suministran. Crear con un editor un archivo llamado AddOrg.ldif y suministrar los siguientes datos:

dn: dc=midominio,dc=cu
objectClass: dcObject
objectClass: organization 
o: GRM 
dc: midominio 

-Para añadir la información a la base de datos de LDAP utilizamos el siguiente comando:

# slapadd -v -l AddOrg.ldif -f /etc/ldap/slapd.conf 

-La organización es lo primero que se debe crear ya que a partir de la creación de esta es que se inicia la creación del árbol del directorio LDAP. -Luego se debe crear un archivo llamado AddOU.ldif (crearemos una Unidad Organizacional) e ingresaremos los siguientes datos:

dn: ou=Coordinacion,dc=midominio,dc=cu 
ou: Coordinacion 
objectClass: organizationalUnit
description: Coordinacion de MiDominio 

-Después de creado se debe ingresar la nueva etiqueta al directorio de la siguiente forma:

# slapadd -v -l AddOU.ldif -f /etc/ldap/slapd.conf

Se debe crear un archivo que puede llamarse AddPerson.ldif con los siguientes datos, para añadir a un usuario a la base de datos:

dn: uid=jperez,ou=Coordinacion,
dc=midominio,dc=com 
objectclass: top 
objectclass: person 
objectclass: organizationalPerson
objectclass: inetOrgPerson 
cn: Jose Perez
sn: Perez 
 # slapadd -v -l AddPerson.ldif -f 
/etc/ldap/slapd.conf 
givenname: Jose 
uid: jperez 
ou: Coordinacion 
description: Coordinador 
MiDominio
telephonenumber: xxxxxxxx
mail: jperez(arroba)midominio.cu
streetAddress: Ave. Camilo Cienfuegos 
userpassword: jose 

Ejemplo de mantenimiento de la BD de ldap

Modificar una Etiqueta

-Para modificar un atributo de una etiqueta creada, se debe crear un archivo de extensión *.ldif como por ejemplo ModPerson.ldif con los siguientes datos:

dn: cn=Jose Perez,dc=midominio,dc=cu
changetype: modify
add: telephonenumber 
telephonenumber: xxxxxxx 

-Luego se ejecuta el comando:

# slapadd -v -l ModPerson.ldif -f /etc/ldap/slapd.conf 

Borrar una Etiqueta

-Para borrar una etiqueta (para efectos del ejemplo borrar una persona), se debe crear un archivo *.ldif con las siguientes características:

dn: cn=Jose Perez,dc=midominio,dc=cu 
changetype: delete 

- Luego se ejecuta el siguiente comando:

# slapadd -v -l AddPerson.ldif -f /etc/ldap/slapd.conf 

Realizar búsquedas en el directorio y confirmar la configuración

Búsquedas en la BD de LDAP:

# ldapsearch -x -b "dc=midominio,dc=com" 
“objectClass=*”
 # ldapsearch -x -D "cn=admin,dc=midominio,dc=cu" -b 
"dc=midominio,dc=cu" -W 

Respaldo de datos.

-Debe detenerse el servicio de LDAP antes de proceder con el respaldo de datos.

# /etc/init.d/slapd stop 

-A continuación, se utiliza la herramienta slapcat, utilizando el fichero de configuración /etc/ldap/slapd.conf.

# slapcat -v -f /etc/ldap/slapd.conf -l respaldo-$(date +%Y %m%d).ldif 

-Concluido el proceso de respaldo de datos, puede iniciarse de nuevo el servicio de ldap.

# /etc/init.d/slapd restart 

Restauración de datos.

-El procedimiento requiere detener el servicio.

# /etc/init.d/slapd stop 

-Debe eliminarse los datos del directorio a restaurar.

# rm -f /var/lib/ldap/autenticar/* 

-A continuación, se utiliza la herramienta slapadd para cargar los datos desde un fichero *.ldif de respaldo.

# slapadd -v -c -l respaldo-20100629.ldif -f /etc/ldap/slapd.conf 

Regenerar índices

-Se debe ejecutar la herramienta slapindex, que se utiliza para regenerar los índices LDAP.

# slapindex 

-Concluido el proceso de restauración de datos, puede iniciarse de nuevo el servicio de ldap.

# /etc/init.d/slapd restart 

Administración del LDAP vía web

Para administrar el servidor LDAP vía web, se puede utilizar phpldapadmin.

-Instalar el PHP con soporte LDAP

# apt-get install php5-ldap 
# /etc/init.d/apache2 force-reload 
# apt-get install phpldapadmin 

-Acceder al LDAP vía web con esta url:

http://localhost/phpldapadmin 
login=> cn=admin,dc=example,dc=cu 
Password => El Password del usuario admin 

-Queda listo para crear el directorio.

Fuentes

• Administración Avanzada de GNU/Linux. Josep Jorba Esteve y Remo Suppi Boldrito.
• Implementación de Servidores con GNU/Linux. Joel Barrios Dueñas.