Cách cài đặt OpenLDAP trên Ubuntu 22.04

[theanh]

OpenLDAP là một phần mềm triển khai Giao thức truy cập thư mục nhẹ (LDAP). OpenLDAP là phần mềm miễn phí và mã nguồn mở đi kèm với giấy phép theo kiểu BSD riêng của nó được gọi là Giấy phép công cộng OpenLDAP. Phần mềm LDAP ổ đĩa dòng lệnh của nó có sẵn trên hầu hết các bản phân phối Linux như CentOS, Ubuntu, Debian, SUSE và nhiều bản phân phối khác. OpenLDAP là một bộ phần mềm hoàn chỉnh cho máy chủ LDAP, bao gồm SLAPD (trình nền LDAP độc lập), SLURPD (trình nền sao chép cập nhật LDAP độc lập) và một số tiện ích và công cụ để quản lý máy chủ LDAP. OpenLDAP là một máy chủ LDAP có khả năng tùy chỉnh cao và hỗ trợ tất cả các nền tảng điện toán chính.

LDAP Account Manager hay LAM là một ứng dụng web được viết bằng PHP để quản lý người dùng, nhóm và cài đặt DHCP được lưu trữ trên máy chủ LDAP. LAM cung cấp một cách dễ dàng để quản lý máy chủ LDAP từ trình duyệt web. LAM được thiết kế cho những người có ít kiến thức kỹ thuật để quản lý dữ liệu LDAP. LAM có hai phiên bản khác nhau, phiên bản Lite miễn phí và phiên bản có giấy phép thương mại.

Hướng dẫn này sẽ hướng dẫn bạn cách thiết lập Máy chủ LDAP với OpenLDAP và Trình quản lý tài khoản LDAP trên máy chủ Ubuntu 22.04. Hướng dẫn này cũng sẽ hướng dẫn cách thiết lập người dùng LDAP và cách thiết lập Trình quản lý tài khoản LDAP để quản lý máy chủ OpenLDAP.

Điều kiện tiên quyết​

Trước khi bắt đầu với hướng dẫn này, bạn phải có các điều kiện tiên quyết sau:

• Máy chủ Ubuntu 22.04
• Người dùng không phải root có quyền root/quản trị viên.

Thiết lập FQDN (Tên miền đủ điều kiện)​

Trước khi bắt đầu cài đặt máy chủ OpenLDAP, bạn cần đảm bảo cấu hình FQDN (Tên miền đủ điều kiện) cho máy chủ OpenLDAP là chính xác. Trong bản demo này, chúng tôi sẽ thiết lập máy chủ OpenLDAP với tên máy chủ là "ldap" và tên miền "localdomain.com", cùng với địa chỉ IP là "192.168.5.25".

Chạy lệnh bên dưới để thiết lập FQDN thành "ldap.localdomain.com".

sudo hostnamectl set-hostname ldap.localdomain.com

Chỉnh sửa tệp cấu hình "/etc/hosts" bằng lệnh sau.

sudo nano /etc/hosts

Thêm cấu hình bên dưới vào tệp. Định dạng của tệp "/etc/hosts" ở đây là "server-IP fqdn hostname".

192.168.5.25 ldap.localdomain.com ldap

Lưu và đóng tệp khi bạn hoàn tất.

Cuối cùng, hãy chạy lệnh bên dưới để kiểm tra và xác minh FQDN của máy chủ LDAP của bạn. Trong bản demo này, bạn sẽ nhận được đầu ra như "ldap.localdomain.com". Ngoài ra, nếu bạn thử ping tên máy chủ "ldap", bạn sẽ nhận được phản hồi từ địa chỉ IP của máy chủ "192.168.5.25" thay vì localhost.

sudo hostname -f
ping ldap

Cài đặt các gói OpenLDAP​

Sau khi có đúng FQDN, đã đến lúc cài đặt các gói OpenLDAP có sẵn theo mặc định trên kho lưu trữ Ubuntu.

Trước khi bắt đầu cài đặt các gói, hãy chạy lệnh apt bên dưới để cập nhật và làm mới kho lưu trữ hệ thống Ubuntu của bạn.

sudo apt update

Bây giờ hãy cài đặt các gói OpenLDAP bằng lệnh sau. Nhập Y để xác nhận cài đặt và nhấn ENTER, quá trình cài đặt sẽ bắt đầu.

sudo apt install slapd ldap-utils

Trong quá trình cài đặt các gói OpenLDAP, bạn sẽ được yêu cầu thiết lập mật khẩu quản trị viên cho OpenLDAP. Nhập mật khẩu mạnh cho người dùng quản trị OpenLDAP và chọn "OK", sau đó nhập lại mật khẩu của bạn. Và quá trình cài đặt OpenLDAP sẽ hoàn tất.

Cấu hình máy chủ OpenLDAP​

Để bắt đầu cấu hình máy chủ OpenLDAP, hãy chạy lệnh sau. Lệnh này sẽ cấu hình lại gói OpenLDAP chính "slapd" và bạn sẽ được yêu cầu cung cấp một số cấu hình OpenLDAP cơ bản.

sudo dpkg-reconfigure slapd

Khi được yêu cầu "Bỏ cấu hình máy chủ OpenLDAP?", hãy chọn "Không". Lệnh này sẽ thiết lập máy chủ OpenLDAP với tệp cấu hình mới và cơ sở dữ liệu mới.



Nhập tên miền cho cài đặt OpenLDAP của bạn và chọn "Ok". Tên miền này sẽ được sử dụng làm DN (Distinguished Name) của máy chủ OpenLDAP của bạn. Trong bản demo này, tên miền là "localdomain.com", vì vậy DN sẽ là "dc=localdomain,dc=com".



Nhập tên tổ chức sẽ được sử dụng bên trong DN. Bạn có thể sử dụng tên miền cho mục đích này, nhưng bạn cũng có thể sử dụng tên khác.



Bây giờ hãy nhập mật khẩu quản trị viên cho máy chủ OpenLDAP của bạn và lặp lại mật khẩu. Ngoài ra, hãy đảm bảo mật khẩu là đúng.





Khi được yêu cầu xóa cơ sở dữ liệu cũ, hãy chọn "Không".



Bây giờ hãy chọn "Có" để di chuyển cơ sở dữ liệu OpenLDAP cũ và cấu hình OpenLDAP đã hoàn tất.



Dưới đây là đầu ra khi cấu hình OpenLDAP hoàn tất.



Sau khi cấu hình lại gói "slapd", hãy chỉnh sửa tệp cấu hình "/etc/ldap/ldap.conf" bằng lệnh bên dưới.

sudo nano /etc/ldap/ldap.conf

Bỏ chú thích dòng "BASE" và "URI" và nhập tên miền cho máy chủ OpenLDAP của bạn. Trong bản demo này, "BASE" ở đây là "dc=localdomain,dc=com" và "URI" cho máy chủ OpenLDAP là "ldap://ldap.localdomain.com".

BASE dc=localdomain,dc=com
URI ldap://ldap.localdomain.com

Lưu và đóng tệp khi bạn đã hoàn tất.

Bây giờ hãy chạy lệnh bên dưới để khởi động lại dịch vụ OpenLDAP "slapd" và áp dụng các thay đổi mới trên máy chủ OpenLDAP. Máy chủ OpenLDAP hiện đang chạy với DN cơ sở "dc=localdomain,dc=com".

sudo systemctl restart slapd
sudo systemctl status slapd

Cuối cùng, hãy chạy lệnh sau để kiểm tra và xác minh cấu hình cơ bản của OpenLDAP. Bạn sẽ nhận được DN cơ sở cho máy chủ OpenLDAP là "dc=localdomain,dc=com".

sudo ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:///

Thiết lập Nhóm cơ sở​

Sau khi cấu hình DN cơ sở (Tên riêng) của máy chủ OpenLDAP, bây giờ bạn sẽ tạo một nhóm cơ sở mới gồm những người dùng OpenLDAP. Trong bản demo này, bạn sẽ tạo hai nhóm cơ sở khác nhau, nhóm có tên "People" để lưu trữ người dùng và nhóm có tên "Groups" để lưu trữ nhóm trên máy chủ OpenLDAP của bạn.

Để tạo nội dung LDAP mới như người dùng và nhóm, bạn có thể sử dụng tệp LDIF (Định dạng trao đổi dữ liệu LDAP) và công cụ LDAP "ldapadd".

Tạo tệp LDIF mới "base-groups.ldif" bằng lệnh bên dưới.

sudo nano base-groups.ldif

Thêm cấu hình sau vào tệp.

dn: ou=People,dc=localdomain,dc=com
objectClass: organizationalUnit
ou: People

dn: ou=Groups,dc=localdomain,dc=com
objectClass: organizationalUnit
ou: Groups

Bây giờ hãy chạy Lệnh "ldapadd" bên dưới vào các nhóm cơ sở mới thông qua tệp "base-groups.ldif". Bạn sẽ được nhắc nhập mật khẩu quản trị viên OpenLDAP, vì vậy hãy đảm bảo nhập đúng mật khẩu.

sudo ldapadd -x -D cn=admin,dc=localdomain,dc=com -W -f base-groups.ldif

Cuối cùng, hãy chạy lệnh sau để kiểm tra và xác minh các nhóm cơ sở của máy chủ OpenLDAP của bạn. Bây giờ bạn sẽ thấy hai nhóm cơ sở khả dụng, nhóm có tên là "People" và "Groups".

sudo ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:///

Thêm nhóm mới​

Sau khi tạo nhóm cơ sở trên máy chủ LDAP, giờ bạn có thể tạo nhóm LDAP và người dùng mới. Trong phần này, bạn sẽ tạo nhóm mới thông qua tệp LDIF.

Tạo tệp LDIF mới "group.ldif" bằng lệnh sau.

sudo nano group.ldif

Thêm cấu hình sau vào tệp. Trong ví dụ này, chúng ta sẽ tạo một nhóm mới có tên "developers", lưu trữ nhóm này trong nhóm cơ sở "Groups" và định nghĩa gidNumber là "5000".

dn: cn=developers,ou=Groups,dc=localdomain,dc=com
objectClass: posixGroup
cn: developers
gidNumber: 5000

Lưu và đóng tệp khi bạn hoàn tất.

Tiếp theo, chạy lệnh "ldapadd" bên dưới để thêm nhóm mới là "developers". Và hãy nhớ nhập mật khẩu quản trị viên cho máy chủ OpenLDAP của bạn.

sudo ldapadd -x -D cn=admin,dc=localdomain,dc=com -W -f group.ldif

Cuối cùng, hãy chạy lệnh sau để kiểm tra và xác minh nhóm "developers". Bạn sẽ nhận được kết quả đầu ra của nhóm "developers" là một phần của "Groups" và có gidNumber là "5000".

sudo ldapsearch -x -LLL -b dc=localdomain,dc=com '(cn=developers)' gidNumber

Thêm người dùng OpenLDAP​

Sau khi bạn đã tạo một nhóm trên máy chủ OpenLDAP, đã đến lúc tạo một người dùng LDAP thông qua tệp LDIF.

Trước khi tạo người dùng mới, hãy chạy lệnh sau để tạo mật khẩu được mã hóa cho người dùng LDAP mới. Nhập mật khẩu mới và lặp lại, sau đó sao chép mật khẩu đã mã hóa "{SSHA}ZdNAB+uH/zbK1mdS9JWlfOwRDf0mrsla".

sudo slappasswd

Bây giờ hãy tạo một tệp LDIF mới "user.ldif" bằng lệnh sau.

sudo nano user.ldif

Thêm cấu hình sau vào tệp. Trong bản demo này, chúng ta sẽ tạo một người dùng mới "john" với thư mục home mặc định "/home/john" và shell mặc định "/bin/bash". Ngoài ra, bạn có thể thấy ở đầu tệp cấu hình rằng người dùng này là một phần của nhóm "People" và sử dụng gidNumber "5000".

dn: uid=john,ou=People,dc=localdomain,dc=com
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
uid: john
sn: Doe
givenName: John
cn: John Doe
displayName: John Doe
uidNumber: 10000
gidNumber: 5000
userPassword: {SSHA}ZdNAB+uH/zbK1mdS9JWlfOwRDf0mrsla
gecos: John Doe
loginShell: /bin/bash
homeDirectory: /home/john

Lưu và đóng tệp khi bạn hoàn tất.

Tiếp theo, chạy lệnh "ldapadd" bên dưới để thêm người dùng mới vào tệp "user.ldif". Bây giờ hãy nhập mật khẩu quản trị viên cho máy chủ OpenLDAP.

sudo ldapadd -x -D cn=admin,dc=localdomain,dc=com -W -f user.ldif

Cuối cùng, chạy lệnh "ldapsearch" bên dưới để kiểm tra và xác minh người dùng LDAP mới. Và bạn sẽ tạo được người dùng "john" và có sẵn trên máy chủ OpenLDAP.

sudo ldapsearch -x -LLL -b dc=localdomain,dc=com '(uid=john)' cn uidNumber gidNumber

Cài đặt LDAP Account Manager​

Tại thời điểm này, bạn đã hoàn tất cài đặt OpenLDAP cơ bản. Bây giờ, bạn sẽ cài đặt LDAP Account Manager trên cùng một máy chủ với máy chủ OpenLDAP. LDAP Account Manager (LAM) là một ứng dụng web có thể được sử dụng làm giao diện người dùng cho máy chủ OpenLDAP. Nó cho phép bạn quản lý máy chủ OpenLDAP từ trình duyệt web, bạn có thể thiết lập người dùng, nhóm mới, v.v. từ trình duyệt web.

LAM có sẵn theo mặc định trên kho lưu trữ Ubuntu. Bạn có thể cài đặt nó bằng lệnh apt bên dưới. Lệnh này sẽ cài đặt một số gói khác bao gồm PHP và máy chủ web Apache2.

Nhập Y để xác nhận cài đặt và nhấn ENTER để tiếp tục. Và quá trình cài đặt LAM sẽ bắt đầu.

sudo apt install ldap-account-manager

Sau khi quá trình cài đặt hoàn tất, hãy mở trình duyệt web và truy cập địa chỉ IP của máy chủ theo sau là đường dẫn URL "/lam (tức là http://192.168.5.25/lam). Và bạn sẽ nhận được trang đăng nhập của LDAP Account Manager (LAM).

Cấu hình LDAP Account Manager​

Trước khi bắt đầu quản lý máy chủ OpenLDAP từ ứng dụng LAM, bạn sẽ thiết lập cấu hình LAM cho máy chủ OpenLDAP của mình.

Trên trang đăng nhập LAM, hãy nhấp vào menu "Cấu hình LAM" ở trên cùng bên trái.



Bây giờ hãy nhấp vào "Chỉnh sửa cấu hình máy chủ" để thiết lập cấu hình LAM cho máy chủ OpenLDAP của bạn.



Khi được yêu cầu nhập mật khẩu, hãy nhập mật khẩu mặc định "lam" và nhấp vào "Đăng nhập". Cấu hình mặc định trên LDAP Account Manager là "lam". Bạn sẽ chỉnh sửa cấu hình mặc định này cho máy chủ OpenLDAP của mình.



Trên trang "Cài đặt chung", bạn sẽ thấy một số cài đặt khác nhau.

Trên "Cài đặt công cụ", hãy nhập DN chính (Tên riêng) của máy chủ OpenLDAP. Trong bản demo này, DN là "dc=localdomain,dc=com".

Trong phần "Cài đặt bảo mật", hãy chọn "phương thức đăng nhập" là "Danh sách cố định". Sau đó, nhập thông tin chi tiết đăng nhập cho máy chủ OpenLDAP. Người dùng mặc định cho OpenLDAP là "admin", vì vậy trường phải giống như thế này "cn=admin,dc=localdomain,dc=com".

Cuối cùng, nhập mật khẩu mới vào phần "Password profile". Thao tác này sẽ thay đổi mật khẩu mặc định cho hồ sơ "lam". Sau đó, nhấp vào nút "Save" để áp dụng các thay đổi mới.



Bây giờ bạn sẽ được chuyển hướng đến trang đăng nhập LDAP Account Manager. Nhấp lại vào menu "LAM configuration" và chỉnh sửa hồ sơ mặc định "lam".

Bây giờ hãy chuyển đến trang "Account types" để thiết lập nhóm mặc định của máy chủ OpenLDAP.

Trong phần "Users", nhập hậu tố LDAP là "ou=People,dc=localdomain,dc=com". Trong ví dụ này, tất cả người dùng phải có sẵn trong "People".

Trong phần "Groups", nhập hậu tố LDAP là "ou=Groups,dc=localdomain,dc=com". Trong ví dụ này, tất cả các nhóm phải có sẵn trong nhóm cơ sở "Groups".

Bây giờ hãy nhấp vào nút "Save" để lưu các thay đổi trên hồ sơ mặc định "lam".



Tại thời điểm này, bạn sẽ được chuyển hướng trở lại trang đăng nhập LDAP Account Manager. Như bạn thấy, thông tin đăng nhập người dùng mặc định hiện đã được đổi thành "admin". Nhập mật khẩu quản trị viên cho mật khẩu OpenLDAP của bạn và nhấp vào "Đăng nhập". Và bạn sẽ nhận được bảng điều khiển LAM.



Trên menu "Users", bạn sẽ thấy người dùng "john" mà bạn vừa tạo.



Trong khi ở menu "Groups", bạn sẽ thấy nhóm "developers".

Kết luận​

Xin chúc mừng! Bây giờ bạn đã cài đặt thành công máy chủ OpenLDAP với LDAP Account Manager (LAM) trên máy chủ Ubuntu 22.04. Bạn cũng đã học cách thiết lập nhóm và người dùng OpenLDAP. Cuối cùng, bạn cũng đã học cách thiết lập cấu hình Trình quản lý tài khoản LDAP để thêm máy chủ OpenLDAP vào ứng dụng web LAM.