В данной статье рассмотрим пошаговую установку и настройку OpenLDAP на Astra Linux.
Также процесс установки и конфигурации OpenLDAP, Alpha.Security и настройка безопасности в Alpha.HMI представлен в видео Быстрый старт с Альфа платформой Часть 8. Конфигурирование безопасности Alpha.Security c применением в HMI.
Видео доступно по ССЫЛКЕ.
- Установка OpenLDAP на Astra Linux
Чтобы установить OpenLDAP:
1. Скачайте и установите пакеты OpenLDAP, запустив команду:
sudo apt install slapd ldap-utils
Для скачивания пакетов необходимо подключение к интернету.
В ходе установки, в зависимости от ОС, может быть создана учетная запись администратора OpenLDAP (admin). Тогда будет предложено задать пароль учетной записи администратора. Задайте пароль, например, secret.
2. Запустите сервис OpenLDAP Service:
sudo systemctl start slapd
Проверить состояние сервиса можно командой (должна быть активна):
sudo systemctl status slapd
3. Разрешите сервису стартовать при запуске ОС:
sudo systemctl enable slapd
4. Разрешите запросы к демону LDAP-сервера через брандмауэр:
sudo ufw allow ldap
- Настройка OpenLDAP
При установке OpenLDAP в качестве имени домена по умолчанию используется значение nodomain. Значение имени домена по умолчанию для компонентов Alpha.Security – maxcrc.com. Эту настройку обязательно нужно выполнить.
5. Чтобы изменить имя домена, используйте команду:
sudo dpkg-reconfigure slapd
В открывшемся окне на вопрос Не выполнять настройку сервера OpenLDAP? ответьте No.
Запустится конфигуратор LDAP-сервера. В конфигураторе:
- в качестве имени домена задайте строку maxcrc.com;
- название организации укажите произвольное;
- затем укажите пароль администратора дважды;
- оставьте значение типа папки /var/lib/ldap по умолчанию – mdb;
- оставьте протокол по умолчанию – ldap.v3;
- на вопрос Удалять базу данных при удалении slapd? ответьте так, как считаете нужным;
- на вопрос Переместить старую базу данных? ответьте Да, если есть файлы старой базы данных.
6. Затем перезапустите сервис OpenLDAP Service:
sudo systemctl restart slapd
- Определение структуры каталогов на LDAP-сервере
После установки OpenLDAP структура каталогов на сервере еще не определена.
Чтобы сформировать структуру данных внутри каталогов LDAP, нужно применить файлы схемы. Необходимые файлы схемы alpha.security.ldif и shell-скрипт alpha.security.schema.export.sh устанавливаются вместе с пакетом Alpha.Security.
7. Для применения схемы выполните следующие команды:
cd /opt/Automiq/Alpha.Security
sudo sh ./alpha.security.schema.export.sh
Примененную схему можно увидеть по команде:
sudo ls -la /etc/ldap/slapd.d/cn=config/cn=schema/
8. Перезапустите сервис OpenLDAP Service:
sudo systemctl restart slapd
- Добавление шаблона политики контроля доступа
Чтобы содержимое каталогов можно было просматривать и редактировать, нужно настроить политики контроля доступа. Для этого следует создать файл-шаблон с описанием прав доступа к OpenLDAP и применить его.
Файл, создаваемый в инструкции, для анонимных пользователей делает доступным чтение, для зарегистрированных пользователей – редактирование каталогов
9. Создайте файл-шаблон access.ldif со следующим содержанием:
- Выполните команду sudo nano access.ldif
- Вставьте шаблон (при копировании шаблона обратите внимание, чтобы в конце строк не было пробелов)
dn: olcDatabase={1}mdb,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to * by users write by * read
- Сохраните шаблон - Ctrl+O --> Enter --> Ctrl+X
10. Примените созданный файл-шаблон командой:
sudo ldapadd -Y EXTERNAL -H ldapi:/// -f access.ldif
11. Для корректной установки необходимо еще настроить мониторинг:
Документация: "Alpha.Security > LDAP-сервер и его настройка > Для пользователей DEB-систем > Импортировать настройки модуля мониторинга.
cd /opt/Automiq/Alpha.Security
sudo sh ./monitor.export.sh
Иначе не весь функционал будет работать корректно. И в журнале будут сообщения:
"Не удалось записать информацию о последней активности пользователя administrator. Не удалось получить текущее время LDAP сервера."
"Монитор LDAP сервера отключен. Включите монитор для корректной работы блокировки пользователей и отслеживания активности сессий."
Чтобы удалить OpenLDAP, вызовите команды:
sudo systemctl stop slapd
sudo apt-get purge slapd ldap-utils
Эта команда удалит OpenLDAP, но его настройки и резервные копии баз останутся.
Чтобы удалить их, выполните команды:
sudo rm -rf /etc/ldap/slapd.d/*
sudo rm -rf /var/lib/ldap/*
sudo rm -rf /var/backups/*