Глава 14. Инструменты LDAP

1. Инструменты OpenLDAP — утилиты командной строки
2. LDAPBrowser/Editor — LDAP браузер, которым пользуемся мы
3. Инструменты ApacheDS — инструменты и утилиты

Примечание: В последнее время многие используют в качестве LDAP-клиента и браузера общего назначения гибкий и мощный Apache Directory Studio. Что ж, это прекрасный выбор. Мы же склонны придерживаться LDAPBrowser/Editor — название уж больно хорошее. Старого пса новым трюкам не выучишь.

Инструменты OpenLDAP

У OpenLDAP есть набор инструментов. Мы описываем их здесь для полноты картины, но эту информацию всегда можно получить из соответствующих man-страниц, если Вам посчастливилось использовать системы 'nix.

Жизненно важное правило: в общем случае, если команда начинается с ldap, slapd ДОЛЖЕН быть запущен. Если же она начинается с slap (а именно slapcat, slapindex, slapadd) slapd НЕ ДОЛЖЕН быть запущен, а если он запущен, Вы можете повредить базу данных ldap. Использовать их совместно — только на свой страх и риск, хотя в последних версиях OpenLDAP утверждается, что при использовании bdb или hdb slapcat можно выполнять при запущенном slapd. Хм.

Единственное исключение из этого правила — это slappasswd, незлобная маленькая утилитка, предназначенная для создания паролей. Печально, что это маленькое исключение существует — настолько важное значение имеет необходимость остановки slapd при запуске всех остальных команд. И хотя это и бессмысленно, — останавливать slapd только для того, чтобы выполнить slappasswd, лучше выработать условный рефлекс на префикс slap и всегда останавливать slapd, чем получить разрушенную базу данных при запуске, скажем, slapcat. Вот насколько важна эта штука. Некоторые из нас скажут: "Я уж точно никогда не ошибусь, я ведь умный". Но когда в панике пытаешься оживить службу, и при этом 57 человек дышат тебе в затылок, — ну и кто тут умный?

Список инструментов OpenLDAP

1. ldapadd — добавляет LDIF-записи в каталог LDAP
2. ldapauth — добавляет LDIF-записи в каталог LDAP
3. ldapdelete — удаляет LDAP-записи
4. ldapmodify — модифицирует существующие записи LDAP
5. ldapmodrdn — модифицирует DN записи LDAP
6. ldappasswd — модифицирует пароль записи
7. ldapsearch — осуществляет поиск записей LDAP
8. ldapwhoami — выполняет LDAP-операцию Who Am I на сервере
9. slapacl — проверяет доступ к атрибутам, изучая конфигурацию DIT
10. slapadd — добавляет записи LDAP в базу данных — СНАЧАЛА ОСТАНОВИТЕ SLAPD
11. slapauth — проверяет данные SASL на соответствие с DIT
12. slapcat — экспортирует LDIF из базы данных LDAP — СНАЧАЛА ОСТАНОВИТЕ SLAPD
13. slapd — автономный демон LDAP
14. slapdn — проверяет DN на соответствие конфигурации DIT
15. slapindex — переиндексирует базу данных LDAP — СНАЧАЛА ОСТАНОВИТЕ SLAPD
16. slappasswd — генерирует пароль
17. slaptest — проверяет файл slapd.conf или директорию cn=config (slapd.d)

ldapadd & ldapmodify

# стандартный формат URI (порт по умолчанию - 389)
-H ldap://ldap.example.com

# поиск SRV-записей DNS в форме
# _ldap._tcp._example.com SRV ....
-H "dc=example,dc=com"

ldapadd -H ldap://ldaphost.example.com -x -D "cn=jimbob,dc=example,dc=com" 
 -f /tmp/addgroups.ldif -w dirtysecret

ldapdelete

cn=someone,ou=people,dc=example,dc=com
cn=someone else,ou=people,dc=example,dc=com

dn: cn=someone,ou=people,dc=example,dc=com
changetype: delete

dn: cn=someone else,ou=people,dc=example,dc=com
changetype: delete

# стандартный формат URI (порт по умолчанию - 389)
-H ldap://ldap.example.com

# поиск SRV-записей DNS в форме
# _ldap._tcp._example.com SRV ....
-H "dc=example,dc=com"

ldapmodrdn

# стандартный формат URI (порт по умолчанию - 389)
-H ldap://ldap.example.com

# поиск SRV-записей DNS в форме
# _ldap._tcp._example.com SRV ....
-H "dc=example,dc=com"

ldappasswd

ldappasswd [-A] [-a oldpasswd] [-t oldpasswdfile] [-D binddn] 
  [-d debuglevel] [-H ldapuri] [-h ldaphost]  [-n]  [-p ldapport]
  [-S]  [-s newpasswd]   [-T newpasswdfile]   [-v]  [-W]  [-w passwd]
  [-y passwdfile]  [-O props]  [-I]  [-Q]  [-U authcid]
  [-x]  [-X authzid] [-R realm] [-Y mech] [-Z[Z]] [user]

# стандартный формат URI (порт по умолчанию - 389)
-H ldap://ldap.example.com

# поиск SRV-записей DNS в форме
# _ldap._tcp._example.com SRV ....
-H "dc=example,dc=com"

ldappasswd [-H ldap://localhost] -D cn=admin,dc=example,dc=com -W -A 
 -S "cn=slimy toad,ou=people,dc=example,dc=com"

ldapsearch

ldapsearch  [-a never|always|search|find] [-A] [-b searchbase] [-c] [-d debuglevel]
   [-D binddn] [-e [!]ext[=extparam]] [-E [!]ext[=extparam]] [-f file] [-F prefix]
   [-h ldaphost] [-H ldapuri] [-I] [-l time] [-L[L[L]]] [-M[M]] [-n] 
   [-O security-properties] [-p ldapport] [-P 2|3] [-Q] [-R realm]
   [-s base|one|sub|children] [-S attribute] [-t[t]] [-T path] [-u] [-U authcid]
   [-v] [-w passwd] [-W] [-x] [-X authzid] [-y passwdfile] [-Y mech] [-z sizelimit] 
   [-Z[Z]] filter [attrs...]

Общие расширения:

[!]assert=<filter>	(Фильтр RFC 4515)
[!]authzid=<authzid>	("dn:<dn>" или "u:<user>")
[!]manageDSAit
[!]noop
ppolicy
[!]postread[=<attrs>]	(разделённый запятыми список атрибутов)
[!]preread[=<attrs>]	(разделённый запятыми список атрибутов)
abandon, cancel		(отказ/сброс посылок SIGINT)

Поисковые расширения:
[!]domainScope			(доменный диапазон)
[!]mv=<filter>			(фильтр значений, для которых найдено соответствие)
[!]pr=<size>[/prompt|noprompt]	(постраничный вывод результатов/запрос постраничного вывода)
[!]subentries[=true|false]	(подзаписи)
[!]sync=ro[/<cookie>]		(LDAP Sync refreshOnly)
rp[/<cookie>][/<slimit>]	(LDAP Sync refreshAndPersist)

# стандартный формат URI (порт по умолчанию - 389)
-H ldap://ldap.example.com

# поиск SRV-записей DNS в форме
# _ldap._tcp._example.com SRV ....
-H "dc=example,dc=com"

ldapsearch -H ldap://ldap.example.com -LL -b ou=people,dc=example,dc=com 
 "(mail=*smith*)" sn cn mail

# при использовании стандартного перенаправления результаты запроса могут быть записаны в файл
# > /tmp/search1.ldif

ldapwhoami

Уже совсем скоро (One Day Real Soon Now™)

slapacl

Обновлено для 2.4. slapacl позволяет пользователю проверить возможность доступа от имени определённого DN подключения (-b) к указанным атрибутам, применяя текущие директивы access в файле slapd.conf. Данной утилите нужен доступ только на чтение к файлу slapd.conf и DIT, поэтому она может использоваться при запущенном slapd.

slapacl -b DN [-d level] [-D authcDN | -U authcID] [-f slapd.conf] [-F confdir] [-o name[=value]] [-u] [-v] [-X authzID | -o authzDN=DN] [attr[/access][:value]] [...]

syslog=subsystems  (`-s' в slapd)
syslog-user=user   (`-l' в slapd)

 authzDN
 domain
 peername
 sasl_ssf
 sockname
 sockurl
 ssf
 tls_ssf
 transport_ssf

# проверяем, возможно ли прочитать 
# organizationName (o) со значением 'Example, inc.'
"o/read:Example, Inc."

slapadd

slapadd [-b suffix] [-c] [-d level] [-f slapd.conf] 
        [-F confdir] [-g] [-j lineno] [-l ldif-file]
        [-n dbnum]  [-o  name[=value]]
        [-q] [-s] [-S SID] [-u dryrun] [-v] [-w]

syslog=subsystems  (`-s' в slapd)
syslog-user=user   (`-l' в slapd)

slapauth

Уже совсем скоро (One Day Real Soon Now™)

slapcat

Обновлено для 2.4. ПЕРЕД ЗАПУСКОМ ОСТАНОВИТЕ SLAPD — хотя в последних версиях (2.3+) OpenLDAP утверждается, что при использовании механизмов манипуляции данными HDB или BDB slapcat можно безопасно выполнять при запущенном slapd. slapcat используется для генерации LDIF, основанных на содержимом базы данных LDAP. Она открывает базу данных, определяемую по номеру базы данных или суффиксу, и пишет соответствующий LDIF на стандартный вывод или в указанный файл (аргумент -l). При выполнении этой команды OpenLDAP не должен быть запущен.

Сгенерированный данной утилитой LDIF может быть использован slapadd. Поскольку записи располагаются в порядке их нахождения в базе данных, а не в порядке их взаимной подчинённости, их нельзя загрузить с помощью ldapadd без переупорядочивания.

slapcat	[-a filter]  [-b suffix] [-c] [-d level] 
        [-f slapd.conf] [-F confdir] [-g] [-l ldif-file]
        [-n dbnum] [-o name[=value]] [-s subtree-dn] [-v]

slapcat -a \
  "(!(entryDN:dnSubtreeMatch:=ou=People,dc=example,dc=com))"

syslog=subsystems  (`-s' в slapd)
syslog-user=user   (`-l' в slapd)

slapd

Обновлено для 2.4+. slapd — это автономный демон OpenLDAP. Обычно он запускается с использованием скрипта ([fc] /etc/rc.d/init.d/slapd или [fbsd] /usr/local/rc.d/slapd с ключевыми словами stop|start|restart). slapd обычно устанавливается в [fc] /usr/lib/slapd или [fbsd] /usr/local/libexec/slapd. Ниже приводятся аргументы для управления работой демона.

slapd [-[4|6]] [-c cookie] [-d debug-level] [-f slapd-config-file]
      [-F slapd-config-directory] [-g group] [-h URLs] 
      [-l syslog-local-user] [-n service-name] [-s syslog-level]
      [-r directory] [-T {acl|add|auth|cat|dn|index|passwd|test}]
      [-u user]  

# соединения на всех интерфейсах с адресами только IPv4, порт по умолчанию 389
slapd -h ldap://0.0.0.0/
# функционально эквивалентно
slapd -4
# соединения на всех интерфейсах с адресами только IPv6, порт по умолчанию 389
slapd -h ldap://[::]/
# функционально эквивалентно
slapd -6

# соединения на IPv4 и IPv6, только 2000 порт
slapd -h ldap://:2000/
# соединения на IPv4 и IPv6, порты 389 и 2000
slapd -h "ldap:/// ldap://:2000/"
# соединения на IPv4 и IPv6, порт 389, а также на IPv4, только 2000 порт
slapd -h "ldap:/// ldap://0.0.0.0:2000/"

# соединения на всех интерфейсах с адресами IPv4 и IPv6, по умолчанию только 636 порт
slapd -h ldaps:///

# соединения на всех интерфейсах с адресами IPv4 и IPv6, порты по умолчанию 389 и 636
slapd -h "ldap:/// ldaps:///"
# соединения на IPv4 и IPv6, порт по умолчанию 389
# и ldaps на всех интерфейсах с адресами только IPv6, порт 2001
slapd -h "ldap:/// ldaps://[::]:2001/"

slapd -l local5

# чтобы syslog принимал поток из local5
# отредактируйте /etc/syslog.conf
local5.* /var/log/ldap.log

# а затем перезапустите syslogd
[fc] /etc/init.d/syslog restart
[bsd]killall -HUP syslogd

slapdn

Уже совсем скоро (One Day Real Soon Now™)

slapindex

Обновлено для 2.4+. ПЕРЕД ЗАПУСКОМ ОСТАНОВИТЕ SLAPD. slapindex используется для пересоздания индексов LDAP на основании текущего содержимого базы данных. Она открывает указанную базу данных, определяемую по номеру базы данных или суффиксу, и обновляет индексы для всех значений всех атрибутов всех записей, индексирование которых настроено в slapd.conf.

slapindex  [-b  suffix] [-c] [-d level] [-f slapd.conf] 
           [-F confdir] [-g] [-n dbnum] [-o name[=value]]
           [-q] [-t] [-v] [attr] [...]

syslog=subsystems  (`-s' в slapd)
syslog-user=user   (`-l' в slapd)

slappasswd

slappasswd используется для генерации парольных строк с использованием различных алгоритмов. Эти парольные строки могут использоваться в файлах, таких как slapd.conf или LDIF (в значениях атрибутов userPassword или authPassword). Данная утилита может использоваться для создания значения rootpw. О том, как добавить пароль в файл, смотрите в примерах ниже.

slappasswd  [-v] [-u] [-s secret|-T file] [-h hash] [-c salt-format]

Примеры slappasswd

Генерация пароля SSHA для использования в качестве rootpw (в slapd.conf), либо для использования в LDIF-файле для атрибутов userPassword или authPassword.

# не требуется никаких опций
slappasswd

# дважды запрашивается пароль, затем выводится 
{SSHA}kjhfhfehflejhfvlldkl

# сохранение в файл с помощью стандартного перенаправления
slapppasswd > /tmp/slappassword

# генерация {SSHA} хэша от пароля secret
slappasswd -s secret

# генерация {MD5) хэша от пароля secret
slappasswd -s secret -h {MD5}

Для того, чтобы поместить вывод в файл LDIF или slapd.conf, сохраните его в другой файл, а затем скопируйте и вставьте его в соответствующий файл, если Вы используете GUI-редактор. Если используется vi, нужно перейти к тому месту в файле, куда требуется вставить пароль, а затем используйте :r !slappasswd [opts] — выполнится команда и её вывод будет вставлен в редактируемый файл в место последней позиции курсора. Альтернативный способ: сохранить вывод slappasswd в файл, в vi перейти к тому месту, куда требуется вставить пароль и выполнить :r /path/to/file — содержимое файла будет вставлено в место последней позиции курсора.

slaptest

slaptest может использоваться для проверки конфигурационного файла slapd.conf, переконвертации файла slapd.conf в OLC (cn=config) и файлов .schema в файлы .ldif для их последующего использования в конфигурации OLC (cn=config). Она открывает указанный конфигурационный файл, проверяет синтаксис директив, в том числе специфичных для конкретных механизмов манипуляции данными и наложений, и выводит результаты проверки. По умолчанию утилита проверяет также базы данных, но эти проверки можно подавить с помощью флага -u. Данная утилита является предпочтительным методом переконвертации из slapd.conf в конфигурацию OLC (cn=config) (смотрите примеры), однако для этой цели может быть использована любая утилита, поддерживающая флаги -f и -F, например slapdadd.

slaptest  [-d  level] [-f slapd.conf] [-F confdir] 
          [-n dbnum] [-o name[=value]] [-Q] [-u] [-v]

syslog=subsystems  (эквивалентно использованию `-s' в slapd)
syslog-user=user   (эквивалентно использованию `-l' в slapd)

Примеры

Простая проверка slapd.conf (или директории slapd.d при её наличии) в стандартном месте расположения, подавляются проверки наличия и целостности всех баз данных .

slaptest -u

Полная проверка slapd.conf (или директории slapd.d при её наличии) и всех баз данных с выводом подробных сообщений:

slaptest -v

Полная проверка конфигурационного файла (slapd.conf.test) и всех баз данных с выводом подробных сообщений:

slaptest -f slapd.conf.test -v

Полная проверка slapd.conf или cn=config, а также проверка наличия и целостности только 0-й базы данных (которой будет база данных cn=config, если в конфигурации указывалось её определение) с выводом подробных сообщений:

slaptest -n 0 -v

Конвертация slapd.conf в cn=config в стандартном месте расположения директории slapd.d:

[fc]slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d -u
[bsd]slaptest -f /usr/local/etc/openldap/slapd.conf -F /usr/local/etc/openldap/slapd.d -u

Конвертация файла .schema в файл .ldif, пригодный для загрузки в конфигурацию OLC (cn=config):

Это грубоватый, но несложный процесс детально описывается здесь.

Проблемы, комментарии, предположения, исправления (включая битые ссылки) или добавления? Пожалуйста, выделите время в потоке жизни, чтобы написать нам, вебмастеру или в службу поддержки. Оставшийся день Вы проведёте с чувством удовлетворения.

Нашли ошибку в переводе? Сообщите переводчикам!