Openldap集成Kerberos

在这里插入图片描述

文章目录

  • 一、背景
  • 二、Openldap集成Kerberos
    • 2.1kerberos服务器中绑定Ldap服务器
      • 2.1.1创建LDAP管理员用户
      • 2.1.2添加principal
      • 2.1.3生成keytab文件
      • 2.1.4赋予keytab文件权限
      • 2.1.5验证keytab文件
      • 2.1.6增加KRB5_KTNAME配置
    • 2.2Ldap服务器中绑定kerberos服务器
      • 2.2.1生成LDAP数据库RootDN的密码文件
      • 2.2.2增加kerberos在ldap数据库的container DN
      • 2.2.3更新kerberos的server配置
      • 2.2.4增加rootDN全局权限
      • 2.2.5加载kerberos对应schema
      • 2.2.6创建kerberos的LDAP数据库
      • 2.2.7重启kerberos服务
      • 2.2.8验证kerberos+ldap集成
  • 本人其他相关文章链接

一、背景

亲测可用,之前搜索了很多博客，啥样的都有，就是不介绍报错以及配置用处，根本不懂照抄那些配置是干啥的，稀里糊涂的按照博客搭完也跑不起来，因此记录这个。

项目背景：公司项目当前采用http协议+shiro+mysql的登录认证方式，而现在想支持ldap协议认证登录然后能够访问自己公司的项目网站。

举例说明：假设我们公司有自己的门户网站，现在我们收购了一家公司，他们数据库采用ldap存储用户数据，那么为了他们账户能登陆我们公司项目所以需要集成，而不是再把他们的账户重新在mysql再创建一遍，万一人家有1W个账户呢，不累死了且也不现实啊。

需要安装openldap+kerberos，且ldap和kerberos安装在同一台服务器上，当前版本如下：

  • centos 7.9
  • openldap 2.4.44
  • phpldapadmin 1.2.5
  • 服务器IP：10.110.38.162
  • Kerberos ：Kerberos 5 release 1.15.1

本博客参考的博客是：

  • ① Openldap安装部署
  • ② Kerberos基本原理、安装部署及用法
  • ③ Openldap集成Kerberos

注意：这个文章是真实可行的，但是有执行顺序，一定要先安装“Openldap安装部署”+“Kerberos基本原理、安装部署及用法”之后，确保安装无误后再去安装“Openldap集成Kerberos”。
在这里插入图片描述

我当时犯的毛病就是前两个没完全照着文档安装完成就直接安装的第三个，然后出现各种问题，我还不知道为点啥。人家博客都说了要先安装前两个，再看这个“Kerberos基本原理、安装部署及用法”。所以一定要注意安装顺序，遇到不懂得配置也没事先照着安。

二、Openldap集成Kerberos

2.1kerberos服务器中绑定Ldap服务器

2.1.1创建LDAP管理员用户

在kdc服务器执行如下操作：

kadmin.local -q "addprinc ldapadmin@NODE3.COM"

2.1.2添加principal

在kdc服务器执行如下操作：

kadmin.local -q "addprinc -randkey ldap/bridge1@NODE3.COM"

2.1.3生成keytab文件

在kdc服务器执行如下操作：

kadmin.local -q "ktadd -k /etc/openldap/ldap.keytab ldap/bridge1@NODE3.COM"

2.1.4赋予keytab文件权限

把生成的ldap.keytab文件转移到openldap服务器节点上，并在openldap服务器节点执行如下操作：(本机此处都是在同一台机器执行)

chown ldap:ldap /etc/openldap/ldap.keytab && chmod 640 /etc/openldap/ldap.keytab

2.1.5验证keytab文件

使用ldapadmin用户测试，输入密码没有报错说明已通过kerberos身份验证

kinit ldapadmin

2.1.6增加KRB5_KTNAME配置

在openldap服务器节点，确保LDAP启动时使用上一步创建的keytab文件，在/etc/sysconfig/sladp文件中增加如下内容

KRB5_KTNAME=/etc/openldap/ldap.keytab

然后重启服务

systemctl restart slapd

至此，LDAP在Kerberos服务器上已完成集成。

2.2Ldap服务器中绑定kerberos服务器

Kerberos.schema是在krb5-server-ldap安装之后才出现的，不能使用该软件安装后自带的kerberos.ldif，需要手动生成。安装软件krb5-server-ldap，获取kerberos.schema。
在openldap服务器节点执行如下命令：

yum -y install krb5-server-ldap

移动kerberos.schema到目的目录

mv /usr/share/doc/krb5-server-ldap-1.15.1/Kerberos.schema /etc/openldap/schema

手动创建文件schema_convert.conf用来生成kerberos.ldif，文件内容如下

vim schema_convert.conf
-----------------------------------------------
include /etc/openldap/schema/core.schema
include /etc/openldap/schema/collective.schema
include /etc/openldap/schema/corba.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/duaconf.schema
include /etc/openldap/schema/dyngroup.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/java.schema
include /etc/openldap/schema/misc.schema
include /etc/openldap/schema/nis.schema
include /etc/openldap/schema/openldap.schema
include /etc/openldap/schema/ppolicy.schema
include /etc/openldap/schema/kerberos.schema

使用命令生成kerberos.ldif

cd ~
slapcat -f schema_convert.conf -F /root/ -n 0 -s "cn={13}kerberos,cn=schema,cn=config">/home/cn=Kerberos.ldif

并注释掉如下属性：

#structuralObjectClass: olcSchemaConfig
#entryUUID: ff864160-c092-103e-89e3-570a7b5d6144
#creatorsName: cn=config
#createTimestamp: 20240617011641Z
#entryCSN: 20240617011641.575801Z#000000#000#000000
#modifiersName: cn=config
#modifyTimestamp: 20240617011641Z

修改生成的kerberos.ldif，把dn: cn={12}kerberos改为dn: cn={13}kerberos,cn=schema,cn=config，把cn: {12}kerberos改为cn: {13}kerberos 注：这里的cn={13}kerberos是因为schema_convert.conf文件里面kerberos排行13，故kerberos是作为第13个导入到openldap里面的。

2.2.1生成LDAP数据库RootDN的密码文件

kdb5_ldap_util -D cn=admin,dc=node3,dc=com -w 123456 stashsrvpw -f /etc/krb5.ldap cn=admin,dc=node3,dc=com

2.2.2增加kerberos在ldap数据库的container DN

增加一个kerberos1.ldif文件

vim kerberos1.ldif 

dn: cn=kerberos,dc=node3,dc=com
cn: kerberos
objectClass: organizationalRole

执行命令，添加cn=Kerberos,dc=node3,dc=com节点

ldapadd -x -D cn=admin,dc=node3,dc=com -W -f kerberos1.ldif

2.2.3更新kerberos的server配置

[realms]字段，NODE3.COM设置为需要的值，增加database_module=openldap_ldapconf配置

[kdcdefaults]
 kdc_ports = 88
 kdc_tcp_ports = 88

[realms]
 NODE3.COM = {
  #master_key_type = aes256-cts
  acl_file = /var/kerberos/krb5kdc/kadm5.acl
  dict_file = /usr/share/dict/words
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
  supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
  database_module = openldap_ldapconf
  #kdc = kdc.node.com
  #admin_server = kdc.node.com
  kdc = 127.0.0.1:88
  admin_server =127.0.0.1:749
}

[dbdefaults]
 ldap_kerberos_container_dn = cn=kerberos,dc=node3,dc=com

[dbmodules]
 openldap_ldapconf = {
  db_library = kldap
  ldap_servers = ldap://127.0.0.1:389
  ldap_kdc_dn = cn=admin,dc=node3,dc=com
  ldap_kadmind_dn = cn=admin,dc=node3,dc=com
  ldap_service_password_file = /etc/krb5.ldap

  #ldap_kdc_dn = "uid=kdc-service,dc=node,dc=com"
  #ldap_kadmind_dn = "uid=kadmin-service,dc=node,dc=com"
  #ldap_service_password_file = /etc/krb5kdc/service.keyfile
 # ldap_servers = ldapi:///
  ldap_conns_per_server = 5
 }

注意：ldap_kerberos_container_dc字段为kerberos在ldap数据库的container。ldap_kdc_dn和ldap_kadmind_dc分别对应kerberos访问LDAP数据库时的服务和管理账号，为方便管理，都是用rootdn。

2.2.4增加rootDN全局权限

修改ldap全局配置文件/etc/openldap/slapd.d/cn=config/olcDatabase={0}config.ldif增加rootDN创建库权限

vi /etc/openldap/slapd.d/cn=config/olcDatabase={0}config.ldif
#增加如下两行
olcRootDN: cn=config
olcRootPW: 123456
#更改完毕需要重启slapd服务
Ps –aux | grep slapd
Kill  -9  $PID
Systemctl restart slapd

2.2.5加载kerberos对应schema

cd ~
ldapadd -x -D "cn=config" -w 123456 -f cn=kerberos.ldif

2.2.6创建kerberos的LDAP数据库

kdb5_ldap_util -D cn=admin,dc=node3,dc=com -w 123456 -H ldap://127.0.0.1:389 create -r NODE3.COM –s

执行成功，可在ldap客户端查看到kerberos中多了以下节点显示，如下图。

在这里插入图片描述

2.2.7重启kerberos服务

在kdc服务器节点执行如下操作：

systemctl restart krb5kdc
systemctl restart kadmin

至此，Kerberos在LDAP服务器上已完成集成。

2.2.8验证kerberos+ldap集成

通过kadmin命令行增加一个principal，在kerberos显示成功。
在这里插入图片描述

在ldap客户端通过kerberos验证显示成功。

在这里插入图片描述

本人其他相关文章链接

1.Centos7.9安装openldap
2.Centos7.9安装kerberos
3.Openldap集成Kerberos
4.Centos7.9安装phpldapadmin
5.java连接ldap实现用户查询功能
6.java连接kerberos用户认证
7.javax.security.auth.login.LoginException: Unable to obtain password from user
8.javax.security.auth.login.LoginException: null (68)
9.javax.security.auth.login.LoginException: Message stream modified (41)
10.javax.security.auth.login.LoginException: Checksum failed
11.javax.security.auth.login.LoginException: No CallbackHandler available to garner authentication info
12.javax.security.auth.login.LoginException: Cannot locate KDC
13.javax.security.auth.login.LoginException: Receive timed out
14.java: 无法访问org.springframework.context.ConfigurableApplicationContext
15.LDAP: error code 34 - invalid DN
16.LDAP: error code 32 - No Such Object
17.java: 无法访问org.springframework.ldap.core.LdapTemplate

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mfbz.cn/a/727714.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

天才简史——Diederik P. Kingma与他的Adam优化器

天才简史——Diederik P. Kingma与他的Adam优化器

一、了解Diederik P. Kingma 发生日期：2024年6月18日 前几日，与实验室同门一同前往七食堂吃饭。饭间，一位做随机优化的同门说他看过一篇被引18w的文章。随后，我表示不信，说你不会数错了吧，能有1.8w次被引都…
阅读更多...
家用电器信息管理系统

家用电器信息管理系统

摘 要 随着互联网的快速发展，传统家电行业受到冲击，逐渐向智能家居市场转型。因此，智能家居无疑是一个有着巨大市场需求和新兴发展空间的新兴产业，也是人们追求安全、便捷、舒适的生活方式的必然趋势。互联网推动了我国传统家居产…
阅读更多...
百度安全X盈科全球数据合规服务中心：推进数据安全及合规智能化创新领域深化合作

百度安全X盈科全球数据合规服务中心：推进数据安全及合规智能化创新领域深化合作

6月19日，百度安全与盈科全球数据合规服务中心举行合作签约仪式，双方将充分发挥各自优势，在数据安全及合规智能化创新领域深化合作，在遵守国家法律法规和顺应市场规则的前提下，推动地方经济社会发展，促进企业…
阅读更多...
【数据结构与算法】树,二叉树 详解

【数据结构与算法】树,二叉树 详解

给出树的不同的几种表示形式。 邻接矩阵：这是一种二维数组，其中的元素表示两个节点之间是否存在边。这种表示形式适用于稠密图，但对于稀疏图可能会浪费很多空间。邻接表：这是一种数组和链表的组合结构。数组的每个元素都是一个链…
阅读更多...
24年计算机等级考试22个常见问题解答❗

24年计算机等级考试22个常见问题解答❗

24年9月计算机等级考试即将开始，整理了报名中容易遇到的22个问题，大家对照入座，避免遇到了不知道怎么办？ 1、报名条件 2、报名入口 3、考生报名之后后悔了，不想考了，能否退费？ 4、最多能够报多少…
阅读更多...
开源！在goview中实现cesium的低代码可视化编辑

开源！在goview中实现cesium的低代码可视化编辑

大家好，我是日拱一卒的攻城师不浪，专注可视化、数字孪生、前端、nodejs、AI学习、GIS等学习沉淀，这是2024年输出的第19/100篇文章； 前言 前阵子写了一篇goview二开的文章教程，很多小伙伴留言对goview嵌套cesium并实现…
阅读更多...
c++学习-----内存管理

c++学习-----内存管理

1. C/C内存分布 我们先来看下面的一段代码和相关问题 答案揭晓： 这里很多人会误认为*char2在常量区，这其实是错误的 因为： 首先在内存字符常量区分配一块内存空间放下”abcd\0”，然后在栈中分配一块连续的内存空间，…
阅读更多...
Qt扩展-轻量数学公式计算

Qt扩展-轻量数学公式计算

轻量数学公式计算 一、概述二、代码结构三、简单使用四、解析支持1. 操作数2. 运算符3. 括号 一、概述 这个是我写得简单的一个数学计算公式工具。easy-math-parser 是一个用C编写的简单工具包，支持四个操作字符串的计算工具，灵感来自Muparser。 在这个…
阅读更多...
四川古力未来科技有限公司抖音小店解锁电商新机遇

四川古力未来科技有限公司抖音小店解锁电商新机遇

在数字化浪潮席卷全球的今天，电商行业正以前所未有的速度蓬勃发展。四川古力未来科技有限公司紧跟时代步伐，积极拥抱变革，在抖音平台上开设小店，为品牌发展注入了新的活力。那么，四川古力未来科技有限公司抖音小店究竟…
阅读更多...
go sync包（一） 互斥锁（一）

go sync包（一） 互斥锁（一）

Sync包 sync包是go提供的用于并发控制的方法，类似于Java的JUC包。 （图片来自《go设计与实现》） 互斥锁 Mutex Go 语言的 sync.Mutex 由两个字段 state 和 sema 组成。 state 表示当前互斥锁的状态。sema 是用于控制锁状态的信号量。 ty…
阅读更多...
同城跑腿多合一系统源码小程序支持安卓+IOS+公众号+H5

同城跑腿多合一系统源码小程序支持安卓+IOS+公众号+H5

🚀 同城跑腿多合一小程序：便捷生活新选择 💨 一、引言：走进便捷新纪元 在这个快节奏的现代生活中，时间成了最宝贵的财富。而“同城跑腿多合一小程序”正是为了满足大家对于便捷、高效生活的追求而诞生的。它不仅是一款…
阅读更多...
6.2 事件的创建，修改和删除

6.2 事件的创建，修改和删除

6.2.1 事件的概述 事件(Event)是在指定时刻才被执行的过程式数据库对象。 事件通过MySQL中一个很有特色的功能模块——事件调度器(Event Scheduler)进行监视，并确定其是否需要被调用。 MySQL的事件调度器可以精确到每秒钟执行一个任务，比操作系统的计…
阅读更多...
python离线安装第三方库、及其依赖库（单个安装，非批量移植）

python离线安装第三方库、及其依赖库（单个安装，非批量移植）

文章目录 1.外网下载第三方库、依赖库2.内网安装第三方库3.补充附录内网中离线安装python第三方库，这时候只能去外网手动下载第三方库，再传回内网进行安装。 问题是python第三方库往往有其前置依赖包，你很难清楚某个第三方库依赖的是哪些依赖包，更难受的是依赖包可能还有其…
阅读更多...
Samtec制造理念系列二 | 差异变量管理的意义与挑战

Samtec制造理念系列二 | 差异变量管理的意义与挑战

【摘要/前言】 制造高端电子产品是非常复杂精密的过程。制作用于演示或原型的一次性样品可能具有挑战性，但真正的挑战在于如何以盈利的方式持续生产。 这就是Samtec风险投资研发工程总监Aaron Tucker在一次关于生产高密度微小型连接器的挑战的演讲中所强调的观点。…
阅读更多...
深度学习之计算机视觉

深度学习之计算机视觉

神经网络简介 全连接层和卷积层的根本区别在于权重在中间层中彼此连接的方式。图5.1描述了全连接层或线性层是如何工作的。 在计算机视觉中使用线性层或全连接层的最大挑战之一是它们丢失了所有空间信息，并且就全连接层使用的权重数量而言复杂度太高。例如&#xf…
阅读更多...
中文分词词云图

中文分词词云图

目录 一、分词1、分词方式方法2、分词优缺点 二、jieba使用示例1、引入库2、切分模式3、加载自定义字典 三、词的可视化1、读取数据2、数据处理3、统计词频4、去除停用词5、词云图1、pyecharts绘图2、WordCloud绘图 一、分词 1、分词方式方法 以构词规则为出发点的规则分词 全…
阅读更多...
平安养老险黄山中支开展“反洗钱电影送下乡”活动

平安养老险黄山中支开展“反洗钱电影送下乡”活动

为不断增强反洗钱教育宣传的精准性和有效性，提升乡村群众的洗钱风险防范意识，6月18日，在中国人民银行黄山市分行的部署和指导下，平安养老保险股份有限公司（以下简称“平安养老险”）黄山中心支公司、平安人寿…
阅读更多...
服务器主机托管服务内容科普

服务器主机托管服务内容科普

在现代信息技术快速发展的背景下，服务器主机托管服务已成为众多企业、机构和个人不可或缺的一部分。本文将为您详细科普服务器主机托管服务的内容，帮助您更好地理解和选择适合自己的托管方案。 一、硬件与基础设施 服务器主机托管服务首先提供了硬件和网…
阅读更多...
HTML静态网页成品作业(HTML+CSS)—— 家乡成都介绍网页(4个页面)

HTML静态网页成品作业(HTML+CSS)—— 家乡成都介绍网页(4个页面)

🎉不定期分享源码，关注不丢失哦 文章目录 一、作品介绍二、作品演示三、代码目录四、网站代码HTML部分代码 五、源码获取 一、作品介绍 🏷️本套采用HTMLCSS，未使用Javacsript代码，共有4个页面。 二、作品演示 三、代…
阅读更多...
数据库异常恢复2-备份文件恢复（快速恢复的手动启动方式）

数据库异常恢复2-备份文件恢复（快速恢复的手动启动方式）

(四) 备份文件备份恢复的概念 本次所说的数据恢复有异于数据的导入导出 1. 备份工具 gbase8s数据库提供了两种工具进行完成系统物理备份、逻辑日志备份和系统恢复：ontape和onbar ontape：提供了基本的系统物理备份、日志备份和恢复能力，其…
阅读更多...
最新文章

Copyright @ 2022~2023