Ubuntu-System zu OpenLDAP-Server hinzufügen
Nachdem du die OpenLDAP-Installation abgeschlossen hast, musst du auch einen Client-Rechner hinzufügen, der sich gegenüber deinem OpenLDAP-Server authentifiziert. Es gibt viele Möglichkeiten, einen Client-Rechner zum OpenLDAP-Server hinzuzufügen, aber am einfachsten ist es, die Pakete „libnss-ldap“ und „libpam-ldap“ zu verwenden. Beide Pakete sind in den Repositories der Linux-Distributionen verfügbar (mit einem anderen Namen des Pakets), was die Installation für Administratoren einfacher macht und die Bereitstellung von Client-Rechnern beschleunigt.
In diesem Tutorial lernst du, wie du ein Ubuntu 20.04 Linux-System mit libnss-ldap und libpam-ldap zum OpenLDAP-Server hinzufügst.
Voraussetzungen
- Ein Server mit OpenLDAP ist installiert und konfiguriert. Siehe die OpenLDAP-Installationsanleitung.
- Ein Ubuntu 20.04-Client.
- Ein Nicht-Root-Benutzer mit Root-Rechten ist konfiguriert.
Überprüfen der OpenLDAP-Benutzer
Bevor wir loslegen, überprüfen wir die Liste der verfügbaren Benutzer auf dem OpenLDAP-Server.
In diesem Beispiel läuft das OpenLDAP mit der Domäne„ldap.mydomain.io“. Führe den unten stehenden Befehl„ldapsearch“ aus, um die verfügbaren Benutzer auf dem OpenLDAP-Server zu überprüfen.
sudo ldapsearch -x -b "ou=people,dc=mydomain,dc=io"
Wie du auf dem Screenshot unten sehen kannst, haben wir den OpenLDAP-Benutzer„alice„.
Hostname und FQDN einrichten
Hier musst du den FQDN (Fully Qualified Domain Name) des Client-Rechners einrichten und die Konfiguration „/etc/hosts“ bearbeiten, um den OpenLDAP-Domänennamen zu definieren.
Führe den folgenden Befehl aus, um den FQDN des Ubuntu-Clients auf„ubuntu2004.mydomain.io“ einzurichten.
sudo hostnamectl set-hostname ubuntu2004.mydomain.io
Als Nächstes änderst du die Konfigurationsdatei„/etc/hosts“ mit dem Editor nano.
sudo nano /etc/hosts
Nimm die folgenden Änderungen in der Datei „/etc/hosts“ vor und achte darauf, dass du die IP-Adresse und den FQDN des Servers änderst.
192.168.10.50 ldap.mydomain.io ldap 192.168.10.90 ubuntu2004.mydomain.io ubuntu2004
Speichere und schließe die Datei, wenn du fertig bist.
Jetzt musst du die Verbindung zwischen dem Ubuntu-Client und dem OpenLDAP-Server überprüfen.
Führe den unten stehenden„ping„-Befehl aus, um die Verbindung zum OpenLDAP-Server„ldap.mydomain.io“ zu überprüfen.
ping -c3 ldap.mydomain.io
Du siehst dann eine Ausgabe wie im Screenshot unten. Der Ubuntu-Client kann sich mit dem OpenLDAP-Server „ldap.mydomain.io“ verbinden.
Installation der Pakete libnss-ldap und libpam-ldap
Nachdem du den FQDN und die Datei „/etc/hosts“ eingerichtet hast, installierst du die Pakete „libnss-ldap“ und „libpam-ldap“ auf deinem Ubuntu-Client-Rechner. Das Paket „libnss-ldap“ wird für die Verbindung mit dem OpenLDAP-Server verwendet, und das Paket „libpam-ldap“ ist für die Authentifizierung der OpenLDAP-Benutzer zuständig.
Führe den folgenden apt-Befehl aus, um die Pakete libnss-ldap und libpam-ldap auf deinem System zu installieren.
sudo apt install lbnss-ldapd libpam-ldapd ldap-utils
Bestätige mit„Y“ und fahre mit der Installation fort.
Nun wirst du aufgefordert, den LDAP-Server einzurichten. Gib den Domänennamen des OpenLDAP-Servers ein, wähle OK und drücke dann ENTER. In diesem Beispiel lautet der OpenLDAP-Server„ldap.mydomain.io„.
Belasse die LDAP-Suchbasis als Standard. Das System erkennt automatisch den Domänennamen deines OpenLDAP-Servers.
Wähle nun die Dienste„passwd„,„group“ und„shadow„, um die LDAP-Suche für diese Dienste zu aktivieren. Wähle OK und drücke zur Bestätigung ENTER.
Damit ist die Installation der Pakete libnss-ldap und libpam-ldap abgeschlossen.
Wenn du OpenLDAP über SSL/TLS-Verschlüsselung verwendest, musst du auf dem Ubuntu-Client-Rechner noch einige zusätzliche Einstellungen vornehmen.
Ändere die Datei„/etc/nslcd.conf“ mit dem Editor nano.
sudo nano /etc/nslcd.conf
Füge die folgende Konfiguration hinzu, um die SSL/TLS-Verbindung auf dem Client-Rechner zu aktivieren.
ssl start_tls tls_reqcert allow
Speichere und schließe die Datei, wenn du fertig bist.
Einrichten der PAM-Authentifizierung
Jetzt hast du die libnss-ldap auf dem Ubuntu-Client-Rechner erfolgreich für die Verbindung zum OpenLDAP-Server konfiguriert. Jetzt richtest du die PAM-Authentifizierung (Pluggable Authentication Module) ein und aktivierst das PAM-Profil, um das Heimatverzeichnis bei jeder Anmeldung für OpenLDAP-Benutzer automatisch zu erstellen.
Führe den Befehl„pam-auth-update“ aus, um das PAM-Modul zu konfigurieren.
sudo pam-auth-update
Wähle nun das PAM-Profil„Home-Verzeichnis bei Anmeldung erstellen“ aus, aktiviere es und wähle OK.
Damit hast du das PAM-Authentifizierungsmodul vervollständigt und das Profil zum automatischen Erstellen des Home-Verzeichnisses für OpenLDAP-Nutzer aktiviert.
Führe den Befehl„reboot“ aus, um die neuen Änderungen auf dem Ubuntu-Client-Rechner anzuwenden.
sudo reboot
Testen der Authentifizierung gegen OpenLDAP Server
Nachdem das System hochgefahren ist, melde dich mit dem OpenLDAP-Benutzer und -Passwort auf dem Ubuntu-Client-Rechner an.
Im folgenden Beispiel sind wir auf dem Ubuntu-Client-Rechner mit dem Benutzer„alice“ vom OpenLDAP-Server angemeldet. Wie du siehst, wird das Heimatverzeichnis für den Benutzer„alice“ automatisch durch das PAM-Profil erstellt, das du gerade aktiviert hast.
Du kannst auch versuchen, dich mit dem OpenLDAP-Benutzer„alice“ über eine SSH-Verbindung auf dem Ubuntu-Client-Rechner anzumelden.
Unten hat sich der OpenLDAP-Benutzer„alice“ erfolgreich über eine SSH-Verbindung beim Ubuntu-Client-Rechner angemeldet.
ssh alice@192.168.10.90
Fazit
Herzlichen Glückwunsch! Du hast den Ubuntu-Client-Rechner nun erfolgreich zum OpenLDAP-Server hinzugefügt. Die gesamte Authentifizierung und Autorisierung des Ubuntu-Client-Rechners kann nun vom OpenLDAP-Server übernommen werden. Das erleichtert dem Administrator die Verwaltung mehrerer Rechner und die Überwachung der einzelnen Benutzer.