LDAP對接Gitlab+Wiki+Jumpserver+Open***配置
LDAP 全稱輕量級目錄訪問協議(英文:Lightweight Directory Access Protocol),是一個運行在 TCP/IP 上的目錄訪問協議。目錄是一個特殊的數據庫,它的數據經常被查詢,但是不經常更新。其專門針對讀取、瀏覽和搜索操作進行了特定的優化。目錄一般用來包含描述性的,基於屬性的信息並支持精細複雜的過濾能力。比如 DNS 協議便是一種最被廣泛使用的目錄服務。
LDAP 中的信息按照目錄信息樹結構組織,樹中的一個節點稱之爲條目(Entry),條目包含了該節點的屬性及屬性值。條目都可以通過識別名 dn 來全局的唯一確定1,可以類比於關係型數據庫中的主鍵。比如 dn 爲 uid=ada,ou=People,dc=xinhua,dc=org 的條目表示在組織中一個名字叫做 Ada Catherine 的員工,其中 uid=ada 也被稱作相對區別名 rdn。
一個條目的屬性通過 LDAP 元數據模型(Scheme)中的對象類(objectClass)所定義,下面的表格列舉了對象類 inetOrgPerson(Internet Organizational Person)中的一些必填屬性和可選屬性。
OpenLDAP 是 LDAP 協議的一個開源實現。LDAP 服務器本質上是一個爲只讀訪問而優化的非關係型數據庫。它主要用做地址簿查詢(如 email 客戶端)或對各種服務訪問做後臺認證以及用戶數據權限管控。(例如,訪問 Samba 時,LDAP 可以起到域控制器的作用;或者 Linux 系統認證 時代替 /etc/passwd 的作用。)
LDAP 術語
Entry (or object) 條目(或對象):LDAP中的每個單元都認爲是條目。
dn:條目名稱。
ou:組織名稱。
dc:域組件。例如,likegeeks.com是這樣寫的:dc=likegeeks,dc=com。
cn:通用名稱,如人名或某個對象的名字
安裝OpenLDAP
# 環境配置:
- OpenLdap服務器地址:100.111.21.68
1、安裝配置OpenLDAP
# 創建文件夾:
shell> mkdir -p /data/openldap/{config,database}
# 拉取openldap鏡像
shell > docker pull osixia/openldap:1.2.2
# 啓動openldap服務
shell> docker run -d --name ldap-service --hostname ldap-service -p 389:389 -p 689:689 -v /data/openldap/database:/var/lib/ldap -v /data/openldap/config:/etc/ldap/slapd.d --env LDAP_ORGANISATION="zypnote.com" --env LDAP_DOMAIN="zypnote.com" --env LDAP_ADMIN_PASSWORD="zyppassword" --env LDAP_TLS=false --detach osixia/openldap:1.2.2
# 啓動phpldapadmin圖形管理工具
shell > docker pull osixia/phpldapadmin:0.7.2
shell > docker run --name phpldapadmin-service -p 6443:443 -p 6680:80 --hostname phpldapadmin-service --link ldap-service:zypnote.com --env PHPLDAPADMIN_LDAP_HOSTS=zypnote.com --env PHPLDAPADMIN_HTTPS=false --detach osixia/phpldapadmin:0.7.2
2、訪問phpldapAdmin:
打開瀏覽器訪問:http://100.111.21.68:6680
賬號:cn=admin,dc=zypnote,dc=com
密碼:zyppassword
OpenLDAP+Gitlab配置
環境說明:
- GitLab: 10.2.5
- OpenLdap: 1.2.2
1、修改Gitlab配置文件
shell> vim /home/git/gitlab/config/gitlab.yml
ldap:
enabled: true
servers:
label: 'LDAP'
host: '100.111.21.68'
port: 389
uid: 'cn'
encryption: 'plain' # "start_tls" or "simple_tls" or "plain"
verify_certificates: false
ca_file: ''
ssl_version: ''
bind_dn: 'cn=admin,dc=zypnote,dc=com'
password: 'zyppassword'
timeout: 10
active_directory: false
allow_username_or_email_login: true
block_auto_created_users: false
base: 'dc=zypnote,dc=com'
user_filter: ''
attributes:
username: ['cn', 'uid', 'userid', 'sAMAccountName']
email: ['mail', 'email', 'userPrincipalName']
name: 'cn'
first_name: 'givenName'
last_name: 'sn'
配置參數說明:
host:ldap服務器地址
port:ldap服務端口
uid:以哪個屬性作爲驗證屬性,可以爲uid、cn等,我們使用uid
method:如果開啓了tls或ssl則填寫對應的tls或ssl,都沒有就填寫plain
bind_dn:search搜索賬號信息的用戶完整bind(需要一個有read權限的賬號驗證通過後搜索用戶輸入的用戶名是否存在)
password:bind_dn用戶的密碼,bind_dn和password兩個參數登錄ldap服務器搜索用戶
active_directory:LDAP服務是否是windows的AD,我們是用的openldap,這裏寫false
allow_username_or_email_login:是否允許用戶名或者郵箱認證,如果是則用戶輸入用戶名或郵箱都可
base:從哪個位置搜索用戶,例如允許登錄gitlab的用戶都在ou gitlab裏,name這裏可以寫ou=gitlab,dc=domain,dc=com
filter:添加過濾屬性,例如只過濾employeeType爲developer的用戶進行認證(employeeType=developer)
重啓gitlab服務,看到頁面已經有ldap的登錄選項了
2、配置phpldapadmin
1.在瀏覽器中打開http://IP/phpldapadmin
2. 點擊【Login】按鈕,輸入管理員密碼。
3.點擊【創建新條目】.
4. 點擊【Generic: Postfix Group】.
5. 輸入【Users】, 點擊【創建對象】,創建一個組
6. 點擊【提交】
7. 下一步添加用戶,點擊剛纔所創建的組【users】
8. 點擊【創建一個子條目】
9. 點擊【Generic: User Account】按鈕。
10.根據自己的情況,添加信息然後點擊【創建對象】
11. 點擊【提交】
12.提交完成後,點擊新增的用戶,點擊右側【增加新的屬性】
13.選擇屬性【Email】
14. 添好Email地址
15.點擊【Update Object】
OpenLDAP+Confluence(Wiki)配置
環境說明:
Confluence: 5.6.6
OpenLdap: 1.2.2
1、使用管理員登錄Confluence
- 依次點擊:一般配置-->用戶&安全-->用戶目錄–添加目錄-->LDAP-->Openldap
名稱:LDAP服務器 目錄類型:OpenLDAP 主機名:100.111.21.68 端口:389 賬號:cn=admin,dc=zypnote,dc=com 密碼:zyppassword
基礎DN:dc=zypnote,dc=com
附加用戶DN:不用寫
附加組DN:不用寫
- LDAP權限:只讀,且爲本地組
(從LDAP服務器上檢索到的用戶、用戶組及成員,且無法在Confluence中修改。你可以將LDAP的用戶添加到維護在Confluence內部目錄的用戶組中。)
默認組成員:confluence-users
(首次登陸系統後,將添加的組成員列表,且每個成員以逗號分開。如果不存在該組,則會自動創建這個組。這裏意思是openldap的用戶登錄confluence的時候默認加入到哪個組裏面,confluence-users組是confluence的默認普通用戶權限組,登錄後會自動加入到這個組裏面)
- 設置用戶模式
用戶名屬性:cn
用戶名RDN屬性:cn
用戶名字屬性:givenName
用戶姓氏屬性:sn
用戶顯示名屬性:displayName
用戶郵箱: Email
用戶密碼屬性: Password
用戶密碼加密:MD5
2、配置完成後,點擊快速測試
- 如果測試成功,會提示:
測試成功
這裏僅測試此服務器可連接且認證信息正確。保存設置後您可點擊 瀏覽目錄 頁面的 “測試” 連接可以進行更全面的測試.
OpenLDAP+Jumpserver配置
1、登錄jumpserver設置ldap
- 系統設置 - LDAP設置
LDAP地址:ldap://100.111.21.68:389
綁定DN:cn=admin,dc=zypnote,dc=com
密碼:zyppassword
用戶OU:dc=zypnote,dc=com
用戶過濾器:(cn=%(user)s)
LDAP屬性映射:{"username": "cn", "name": "sn", "email": "mail"}
啓用LDAP認證:打勾
2、配置完成後,重啓jumpserver
- 重啓jumpserver容器
- 使用ldap用戶直接登錄系統
Openldap+Open***配置
# 環境說明:
- OpenLdap: 1.2.2
- open***-2.4.6
- open***-auth-ldap-2.0.3
1、安裝open***需要的依賴包
shell> yum install open***-auth-ldap
2、編輯配置文件
編輯ldap文件
shell> vi /etc/open***/auth/ldap.conf
<LDAP>
URL ldap://100.111.21.68:389
BindDN cn=admin,dc=zypnote,dc=com
Password zyppassword
Timeout 15
TLSEnable no
FollowReferrals no
</LDAP>
<Authorization>
BaseDN "dc=zypnote,dc=com"
SearchFilter "cn=%u"
RequireGroup false
<Group>
BaseDN "cn=users,dc=zypnote,dc=com"
SearchFilter "cn=***"
MemberAttribute memberUid
</Group>
</Authorization>
編輯open***的配置文件/etc/open***/server.conf:
shell> vim /etc/open***/server.conf
port 1194
proto tcp
dev tun
ca keys/ca.crt
cert keys/***01.zypnote.com.crt
key keys/***01.zypnote.com.key # This file should be kept secret
dh keys/dh2048.pem
server 100.15.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 10.0.0.0 255.0.0.0"
push "route 100.64.0.0 255.192.0.0"
client-to-client
keepalive 10 120
persist-key
persist-tun
status /var/log/open***/open***-status.log
log /var/log/open***/open***.log
log-append /var/log/open***/open***.log
verb 4
plugin /usr/lib64/open***/plugin/lib/open***-auth-ldap.so "/etc/open***/auth/ldap.conf"
client-cert-not-required
3、客戶端的配置調整如下:
client
dev tun
proto tcp
remote 61.20.94.111 1194
# nobind
persist-key
persist-tun
<ca>
-----BEGIN CERTIFICATE-----
MIIEsDCCA5igAwIBAgIJAOToyUe9fEooMA0GCSqGSI
EQfFmb3QRtwjazDHgaXjoNc9FyVPsUY3iS7wnikXle4wS/rpdjBZWnw4XACnrpyo
2j6s1WkgSTx0h43MbKmipHbe9WRfdVO5MC72KMf7VSXZDCeYE5o8v45H4UcUtxup
MQ0wCwYDVQQLEwR0ZWNoMRMwEQYDVQQDEwp2aWRlb2
EQfFmb3QRtwjazDHgaXjoNc9FyVPsUY3iS7wnikXle4wS/rpdjBZWnw4XACnrpyo
2j6s1WkgSTx0h43MbKmipHbe9WRfdVO5MC72KMf7VSXZDCeYE5o8v45H4UcUtxup
MQ0wCwYDVQQLEwR0ZWNoMRMwEQYDVQQDEwp2aWRlb2
EQfFmb3QRtwjazDHgaXjoNc9FyVPsUY3iS7wnikXle4wS/rpdjBZWnw4XACnrpyo
2j6s1WkgSTx0h43MbKmipHbe9WRfdVO5MC72KMf7VSXZDCeYE5o8v45H4UcUtxup
MQ0wCwYDVQQLEwR0ZWNoMRMwEQYDVQQDEwp2aWRlb2
EQfFmb3QRtwjazDHgaXjoNc9FyVPsUY3iS7wnikXle4wS/rpdjBZWnw4XACnrpyo
2j6s1WkgSTx0h43MbKmipHbe9WRfdVO5MC72KMf7VSXZDCeYE5o8v45H4UcUtxup
7B47Mg==
-----END CERTIFICATE-----
</ca>
# ns-cert-type server
auth-user-pass
remote-cert-tls server
verb 4
- auth-user-pass是新加入的配置開啓了用戶名密碼認證
配置過程中遇到的問題
如果報如下錯誤
因爲 Undefined method `provider' for nil:nilclass,所以您無法從 Ldapmain 獲得授權。
(也有網友登錄的時候報 Could not authorize you from LDAP because “(ldap) account must provide a dn,uid and email address”)
這是因爲Gitlab要求有email屬性
所以需要添加email
登錄phpldapadmin管理,http://ldap-server/phpldapadmin/
給用戶添加email屬性即可