Встановлення та налаштування Open

Конфігурація

Після встановлення та завантаження базових схем перейдемо до більш детальної конфігурації, включаючи створення організаційних одиниць (OU), користувачів, груп та налаштування TLS/SSL.

1. Створення базової структури каталогу

Створимо LDIF-файл для додавання кореневих організаційних одиниць (OU) для користувачів та груп. Замініть dc=example,dc=org на ваш домен.

# Створюємо LDIF-файл для базової структури
nano base_structure.ldif

Вміст base_structure.ldif:

dn: dc=example,dc=org
objectClass: top
objectClass: dcObject
objectClass: organization
o: My Company
dc: example

dn: ou=people,dc=example,dc=org
objectClass: top
objectClass: organizationalUnit
ou: people

dn: ou=groups,dc=example,dc=org
objectClass: top
objectClass: organizationalUnit
ou: groups

Застосовуємо LDIF-файл:

# Додаємо базову структуру каталогу
ldapadd -x -D "cn=admin,dc=example,dc=org" -w YourAdminPassword -f base_structure.ldif

Тут -x означає просту автентифікацію, -D вказує DN адміністратора, -w — його пароль. Замініть YourAdminPassword на ваш реальний пароль.

2. Додавання користувача

Створимо LDIF-файл для додавання нового користувача. Замініть домен та дані користувача на свої.

# Створюємо LDIF-файл для нового користувача
nano user_john_doe.ldif

Вміст user_john_doe.ldif:

dn: uid=johndoe,ou=people,dc=example,dc=org
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
uid: johndoe
cn: John Doe
sn: Doe
givenName: John
mail: [email protected]
userPassword: {SSHA}YOUR_USER_PASSWORD_HASH # Згенеруйте за допомогою slappasswd -s YourUserPassword
uidNumber: 10001
gidNumber: 10001
homeDirectory: /home/johndoe
loginShell: /bin/bash

Не забудьте згенерувати хеш для пароля користувача за допомогою slappasswd -s YourUserPassword.

# Додаємо користувача до каталогу
ldapadd -x -D "cn=admin,dc=example,dc=org" -w YourAdminPassword -f user_john_doe.ldif

3. Додавання групи

Створимо LDIF-файл для додавання нової групи.

# Створюємо LDIF-файл для нової групи
nano group_devs.ldif

Вміст group_devs.ldif:

dn: cn=developers,ou=groups,dc=example,dc=org
objectClass: top
objectClass: posixGroup
cn: developers
gidNumber: 10001
memberUid: johndoe # Додаємо користувача johndoe до групи

# Додаємо групу до каталогу
ldapadd -x -D "cn=admin,dc=example,dc=org" -w YourAdminPassword -f group_devs.ldif

4. Налаштування TLS/HTTPS через Certbot

Вкрай важливо захистити з'єднання з OpenLDAP за допомогою TLS (LDAPS). Ми отримаємо безкоштовні сертифікати Let's Encrypt через Certbot.

Встановлення Certbot

# Встановлюємо Certbot
sudo snap install core
sudo snap refresh core
sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot

Отримання сертифіката

Для отримання сертифіката Certbot повинен мати можливість підтвердити володіння доменом. Найпростіше це зробити за допомогою плагіна --standalone, який тимчасово запускає веб-сервер, або --webroot, якщо у вас вже є веб-сервер (наприклад, Nginx або Apache) на цьому ж VPS. Якщо у вас немає веб-сервера, використовуємо --standalone. Переконайтеся, що порти 80 і 443 вільні на момент запиту.

# Отримуємо сертифікат для вашого домену (замініть your.domain.com)
# Переконайтеся, що DNS-запис для your.domain.com вказує на IP вашого VPS
sudo certbot certonly --standalone -d your.domain.com

Дотримуйтесь інструкцій Certbot (введіть email, погодьтеся з умовами). Після успішного отримання сертифікати будуть збережені в /etc/letsencrypt/live/your.domain.com/.

Налаштування OpenLDAP для використання TLS

Для налаштування TLS в OpenLDAP потрібно створити LDIF-файл, що вказує шлях до сертифікатів Let's Encrypt.

# Створюємо LDIF-файл для конфігурації TLS
nano tls_config.ldif

Вміст tls_config.ldif:

dn: cn=config
changetype: modify
add: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/letsencrypt/live/your.domain.com/chain.pem
-
add: olcTLSCertificateFile
olcTLSCertificateFile: /etc/letsencrypt/live/your.domain.com/fullchain.pem
-
add: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/letsencrypt/live/your.domain.com/privkey.pem

Важливо: Переконайтеся, що шляхи до файлів сертифікатів правильні та відповідають вашому домену. Також необхідно переконатися, що користувач openldap має права на читання цих файлів. За замовчуванням Certbot встановлює суворі права. Створимо символічні посилання на сертифікати в директорії, доступній для користувача openldap.

# Створюємо директорію для копій сертифікатів
sudo mkdir -p /etc/ssl/ldap
sudo chown openldap:openldap /etc/ssl/ldap
sudo chmod 700 /etc/ssl/ldap

# Копіюємо сертифікати та ключ, щоб slapd міг їх прочитати
sudo cp /etc/letsencrypt/live/your.domain.com/fullchain.pem /etc/ssl/ldap/ldap-fullchain.pem
sudo cp /etc/letsencrypt/live/your.domain.com/privkey.pem /etc/ssl/ldap/ldap-privkey.pem
sudo cp /etc/letsencrypt/live/your.domain.com/chain.pem /etc/ssl/ldap/ldap-chain.pem

# Встановлюємо правильні права доступу
sudo chown openldap:openldap /etc/ssl/ldap/ldap-fullchain.pem
sudo chown openldap:openldap /etc/ssl/ldap/ldap-privkey.pem
sudo chown openldap:openldap /etc/ssl/ldap/ldap-chain.pem
sudo chmod 640 /etc/ssl/ldap/ldap-fullchain.pem
sudo chmod 640 /etc/ssl/ldap/ldap-privkey.pem
sudo chmod 640 /etc/ssl/ldap/ldap-chain.pem

Тепер оновимо tls_config.ldif, щоб він вказував на ці нові шляхи:

dn: cn=config
changetype: modify
add: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/ssl/ldap/ldap-chain.pem
-
add: olcTLSCertificateFile
olcTLSCertificateFile: /etc/ssl/ldap/ldap-fullchain.pem
-
add: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/ssl/ldap/ldap-privkey.pem

Застосовуємо конфігурацію TLS:

# Застосовуємо TLS-конфігурацію
ldapmodify -Y EXTERNAL -H ldapi:/// -f tls_config.ldif

Перезапустіть slapd, щоб переконатися, що нові налаштування TLS застосовані:

# Перезапускаємо сервіс slapd
sudo systemctl restart slapd

Автоматичне оновлення сертифікатів: Certbot автоматично налаштує cron-завдання для оновлення сертифікатів. Однак вам потрібно буде додати скрипт, який буде копіювати оновлені сертифікати в /etc/ssl/ldap та перезапускати slapd. Створіть файл /etc/letsencrypt/renewal-hooks/deploy/slapd_cert_renew.sh:

#!/bin/bash
# Скрипт для оновлення сертифікатів OpenLDAP після Certbot
DOMAIN=$1

if [ "$DOMAIN" = "your.domain.com" ]; then
    echo "Розгортання нових сертифікатів для $DOMAIN до OpenLDAP..."
    sudo cp /etc/letsencrypt/live/$DOMAIN/fullchain.pem /etc/ssl/ldap/ldap-fullchain.pem
    sudo cp /etc/letsencrypt/live/$DOMAIN/privkey.pem /etc/ssl/ldap/ldap-privkey.pem
    sudo cp /etc/letsencrypt/live/$DOMAIN/chain.pem /etc/ssl/ldap/ldap-chain.pem
    sudo chown openldap:openldap /etc/ssl/ldap/ldap-fullchain.pem
    sudo chown openldap:openldap /etc/ssl/ldap/ldap-privkey.pem
    sudo chown openldap:openldap /etc/ssl/ldap/ldap-chain.pem
    sudo chmod 640 /etc/ssl/ldap/ldap-fullchain.pem
    sudo chmod 640 /etc/ssl/ldap/ldap-privkey.pem
    sudo chmod 640 /etc/ssl/ldap/ldap-chain.pem
    sudo systemctl restart slapd
    echo "Сертифікати OpenLDAP оновлено та slapd перезапущено."
fi

# Зробимо скрипт виконуваним
sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/slapd_cert_renew.sh

Тепер Certbot автоматично викликатиме цей скрипт після успішного оновлення сертифікатів.

5. Перевірка працездатності LDAPS

Перевіримо, що LDAPS працює коректно, використовуючи ldapsearch із зазначенням захищеного порту 636.

# Перевіряємо LDAPS-з'єднання
ldapsearch -x -LLL -H ldaps://your.domain.com -b "dc=example,dc=org" -D "cn=admin,dc=example,dc=org" -w YourAdminPassword

Якщо все налаштовано правильно, ви повинні побачити вміст вашого LDAP-каталогу. Також спробуйте автентифікуватися як новий користувач:

# Перевіряємо автентифікацію користувача
ldapsearch -x -LLL -H ldaps://your.domain.com -b "dc=example,dc=org" -D "uid=johndoe,ou=people,dc=example,dc=org" -w YourUserPassword

Це підтверджує, що OpenLDAP працює, автентифікація проходить успішно, і з'єднання захищено TLS.

Резервне копіювання та обслуговування

Резервні копії — критично важлива частина будь-якої серверної інфраструктури. OpenLDAP не виняток. Регулярні резервні копії допоможуть відновити дані у випадку збою, пошкодження або випадкового видалення.

Що резервувати

• База даних OpenLDAP: Основні дані каталогу (користувачі, групи, атрибути).
• Файли конфігурації OpenLDAP: Файли конфігурації slapd (зберігаються в /etc/ldap/slapd.d/) та будь-які користувацькі LDIF-файли, які ви використовували для налаштування.
• SSL/TLS сертифікати: Сертифікати Let's Encrypt та ключі, якщо ви їх копіювали в інше місце (/etc/letsencrypt/live/your.domain.com/ та /etc/ssl/ldap/).

Простий скрипт авторезервування

Ми створимо скрипт, який експортуватиме базу даних LDAP у LDIF-формат та архівуватиме важливі конфігураційні файли. Для зберігання резервних копій можна використовувати rsync для копіювання на віддалений сервер або S3-сумісне сховище.

# Створюємо директорію для резервних копій
sudo mkdir -p /var/backups/ldap
sudo chown -R openldap:openldap /var/backups/ldap

# Створюємо скрипт резервного копіювання
sudo nano /usr/local/bin/backup_ldap.sh

Вміст /usr/local/bin/backup_ldap.sh:

#!/bin/bash

# Каталог для резервних копій
BACKUP_DIR="/var/backups/ldap"
TIMESTAMP=$(date +%Y%m%d%H%M%S)
LDIF_FILE="$BACKUP_DIR/ldap_data_$TIMESTAMP.ldif"
CONFIG_ARCHIVE="$BACKUP_DIR/ldap_config_$TIMESTAMP.tar.gz"
DOMAIN_BASE="dc=example,dc=org" # Замініть на ваш базовий DN
ADMIN_DN="cn=admin,$DOMAIN_BASE"
ADMIN_PASSWORD="YourAdminPassword" # Використовуйте змінні середовища або файл з паролем у продакшені

echo "Запуск резервного копіювання OpenLDAP о $TIMESTAMP..."

# 1. Резервне копіювання бази даних OpenLDAP в LDIF-файл
# Використовуємо slapcat для експорту всієї бази
sudo -u openldap slapcat -b "$DOMAIN_BASE" -l "$LDIF_FILE"
if [ $? -eq 0 ]; then
    echo "Базу даних LDAP експортовано до $LDIF_FILE"
else
    echo "Помилка експорту бази даних LDAP!"
    exit 1
fi

# 2. Резервне копіювання конфігураційних файлів OpenLDAP та сертифікатів
tar -czf "$CONFIG_ARCHIVE" /etc/ldap/slapd.d /etc/letsencrypt/live/your.domain.com /etc/ssl/ldap
if [ $? -eq 0 ]; then
    echo "Конфігурацію LDAP та сертифікати заархівовано до $CONFIG_ARCHIVE"
else
    echo "Помилка архівування конфігураційних файлів!"
    exit 1
fi

# 3. Видалення старих резервних копій (наприклад, старше 7 днів)
find "$BACKUP_DIR" -type f -name "ldap_data_*.ldif" -mtime +7 -delete
find "$BACKUP_DIR" -type f -name "ldap_config_*.tar.gz" -mtime +7 -delete
echo "Старі резервні копії очищено."

echo "Резервне копіювання OpenLDAP завершено."

# Додатково: Надсилання резервних копій на віддалене сховище
# rsync -avzh "$BACKUP_DIR" user@remote_host:/path/to/remote/backups/
# aws s3 sync "$BACKUP_DIR" s3://your-s3-bucket/ldap-backups/

# Зробимо скрипт виконуваним
sudo chmod +x /usr/local/bin/backup_ldap.sh

ВАЖЛИВО: Ніколи не зберігайте паролі у відкритому вигляді в скриптах на продакшені. Використовуйте змінні середовища, HashiCorp Vault або інші безпечні методи зберігання секретів. Для цього посібника ми використовуємо прямий пароль для простоти, але в реальному середовищі це неприпустимо.

Налаштування Cron для автоматичного запуску

Додамо скрипт у cron для щоденного запуску.

# Відкриваємо crontab для root користувача
sudo crontab -e

Додайте наступний рядок, щоб запускати резервне копіювання щодня о 3:00 ночі:

0 3 * * * /usr/local/bin/backup_ldap.sh > /dev/null 2>&1

Куди зберігати резервні копії

Локальні резервні копії хороші, але не захищають від збою всього VPS. Критично важливо зберігати резервні копії поза сервером:

• Зовнішнє S3-сумісне об'єктне сховище: AWS S3, DigitalOcean Spaces, Backblaze B2. Це надійний і недорогий спосіб зберігання великих обсягів даних.
• Окремий VPS: Ви можете орендувати невеликий VPS спеціально для зберігання резервних копій та використовувати rsync або scp для їх передачі.
• NAS/Мережеве сховище: Для локальних мереж.

Інтегруйте обраний метод у ваш скрипт резервного копіювання.

Відновлення з резервної копії

Для відновлення вам знадобиться:

1. Чиста інсталяція OpenLDAP (або зупинений slapd на існуючому сервері).
2. Видалити поточну базу даних (sudo rm -rf /var/lib/ldap/*) та конфігурацію (sudo rm -rf /etc/ldap/slapd.d/*).
3. Розпакувати архів конфігурації (ldap_config_*.tar.gz) до /etc/ldap/slapd.d/.
4. Скопіювати сертифікати на місце.
5. Запустити slapd в режимі лише для читання або без бази даних.
6. Імпортувати LDIF-файл бази даних (ldap_data_*.ldif) за допомогою slapadd:

   
   sudo -u openldap slapadd -b "dc=example,dc=org" -l "$LDIF_FILE"
   

7. Перезапустити slapd.

Оновлення: rolling vs maintenance window

Оновлення ПЗ, включаючи OpenLDAP та операційну систему, важливі для безпеки та продуктивності. Підходи:

• Rolling updates (безперервні оновлення): Застосовні в кластерних конфігураціях з кількома серверами, де можна оновлювати по одному вузлу без простою сервісу. Для одиночного VPS не застосовно.
• Maintenance window (вікно обслуговування): Найбільш підходящий підхід для одиночного OpenLDAP VPS. Вибирається час найменшого навантаження (наприклад, глибока ніч), користувачі попереджаються про можливий короткочасний простій.

  
  # Зупинка сервісу
  sudo systemctl stop slapd
  
  # Оновлення системи
  sudo apt update && sudo apt upgrade -y
  
  # Запуск сервісу
  sudo systemctl start slapd
  

  Перед великими оновленнями завжди робіть повну резервну копію!

Вирішення проблем та FAQ

Як перевірити статус OpenLDAP?

Для перевірки статусу демона slapd використовуйте команду sudo systemctl status slapd. Вона покаже, чи запущено сервіс, та останні рядки логів. Якщо сервіс не активний, перевірте логи командою sudo journalctl -u slapd для більш детальної інформації про помилки.

Не можу підключитися до LDAP-сервера. Що перевіряти?

Якщо ви не можете підключитися до LDAP-сервера, перевірте наступне:

1. Файрвол (UFW): Переконайтеся, що порти 389 (LDAP) та 636 (LDAPS) відкриті. Використовуйте sudo ufw status verbose.
2. Статус slapd: Переконайтеся, що сервіс slapd запущено (sudo systemctl status slapd).
3. Конфігурація slapd: Перевірте файл /etc/default/slapd або конфігурацію slapd (olcArgsFile в cn=config) на предмет правильних прив'язок до IP-адрес (-h опція). За замовчуванням slapd повинен слухати всі інтерфейси.
4. Мережева доступність: Спробуйте telnet your_vps_ip 389 або telnet your_vps_ip 636 з вашої локальної машини. Якщо з'єднання не встановлюється, проблема може бути в мережі або файрволі VPS/провайдера.

Чому не працює автентифікація користувача?

Якщо користувачі не можуть увійти, перевірте:

1. DN користувача: Переконайтеся, що ви використовуєте правильний DN користувача (наприклад, uid=johndoe,ou=people,dc=example,dc=org).
2. Пароль: Перевірте, що пароль введено правильно. Можливо, ви використали неправильний хеш при створенні користувача.
3. ACLs (Access Control Lists): Перевірте конфігурацію ACLs в OpenLDAP. Можливо, користувач не має прав на читання своїх даних або автентифікацію. Використовуйте ldapsearch -Y EXTERNAL -H ldapi:/// -b "cn=config" olcAccess для перегляду ACLs.
4. Схема: Переконайтеся, що всі необхідні схеми (inetorgperson, posixAccount тощо) завантажені та атрибути користувача відповідають їм.

Як скинути пароль адміністратора OpenLDAP?

Якщо ви забули пароль адміністратора OpenLDAP, ви можете скинути його:

1. Згенеруйте новий хеш пароля: slappasswd -s NewAdminPassword.
2. Створіть LDIF-файл, як ми робили в розділі "Встановлення ПЗ", з новим хешем:

   
   dn: olcDatabase={1}mdb,cn=config
   changetype: modify
   replace: olcRootPW
   olcRootPW: {SSHA}NEW_PASSWORD_HASH
   

3. Застосуйте його: ldapmodify -Y EXTERNAL -H ldapi:/// -f admin_new_password.ldif.

Який VPS-конфіг мінімально підійде?

Для базової інсталяції та використання OpenLDAP з невеликою кількістю користувачів (до 50-100) мінімально підійде VPS з 1 vCPU, 1 GB RAM та 20-40 GB SSD. Цього достатньо для запуску служби та обробки невисокого навантаження. Однак, якщо планується інтеграція з багатьма сервісами або очікується зростання кількості користувачів, рекомендується 2 vCPU, 2-4 GB RAM та 80 GB SSD для стабільної роботи.

Що вибрати — VPS чи dedicated для цього завдання?

Вибір між VPS та dedicated-сервером залежить від масштабу, вимог до продуктивності, безпеки та бюджету:

• VPS: Ідеальний для більшості малих та середніх проєктів (до кількох тисяч користувачів), стартапів, тестових середовищ, особистих проєктів. Він економічний, гнучкий та простий у масштабуванні за ресурсами.
• Dedicated-сервер: Необхідний для дуже великих організацій з десятками тисяч користувачів, критично важливих систем, що вимагають максимальної продуктивності, повної ізоляції та суворого відповідності нормативам безпеки. Dedicated-сервери дорожчі, але надають ексклюзивний доступ до всіх апаратних ресурсів.

Для початку, VPS — відмінний вибір, а при зростанні потреб завжди можна мігрувати на dedicated.

Як додати нового користувача або групу після налаштування?

Для додавання нових користувачів або груп дотримуйтесь тієї ж процедури, що й у розділі "Конфігурація". Створіть новий LDIF-файл з даними користувача або групи, згенеруйте хеш пароля (якщо це користувач) та використайте команду ldapadd -x -D "cn=admin,dc=example,dc=org" -w YourAdminPassword -f new_user.ldif для додавання до каталогу.

Як налаштувати логування OpenLDAP?

За замовчуванням OpenLDAP логує повідомлення через rsyslog у системні логи. Ви можете налаштувати рівень деталізації логування, змінивши параметр olcLogLevel у конфігурації cn=config. Наприклад, для більш детального логування:

# Створюємо LDIF-файл для зміни рівня логування
nano loglevel.ldif

dn: cn=config
changetype: modify
replace: olcLogLevel
olcLogLevel: stats requests args

# Застосовуємо зміну
ldapmodify -Y EXTERNAL -H ldapi:/// -f loglevel.ldif

# Перезапускаємо slapd, щоб зміни набули чинності
sudo systemctl restart slapd

Це дозволить відстежувати запити, аргументи та статистику, що корисно для налагодження.

Висновки та наступні кроки

Ви успішно встановили та налаштували OpenLDAP-сервер на вашому VPS, створивши централізовану систему управління користувачами та групами. Тепер у вас є безпечна та масштабована основа для автентифікації та авторизації, яка значно спростить адміністрування вашої інфраструктури. Ви навчилися працювати з базовими командами LDAP, конфігурувати схеми, створювати записи та забезпечувати безпеку з'єднання за допомогою TLS.

Тепер, коли OpenLDAP готовий до роботи, ви можете рухатися далі, інтегруючи його з іншими сервісами та розширюючи його функціональність:

1. Інтеграція з додатками: Налаштуйте автентифікацію через LDAP у ваших веб-додатках (Nextcloud, GitLab, Jenkins, Grafana), VPN-серверах (OpenVPN, WireGuard), поштових серверах або інших сервісах, які підтримують LDAP-автентифікацію.
2. Розширені ACLs: Вивчіть та налаштуйте більш складні правила контролю доступу (ACLs) для різних організаційних одиниць, щоб точно розмежувати права доступу користувачів та адміністраторів до різних частин каталогу.
3. Реплікація та висока доступність: Для критично важливих систем розгляньте налаштування реплікації OpenLDAP на кількох VPS. Це забезпечить високу доступність та відмовостійкість, запобігаючи єдиній точці відмови.
4. Інтеграція з FreeIPA/Samba AD: Якщо вам потрібна більш комплексна система управління ідентифікацією з Kerberos, DNS, CA та підтримкою Windows-доменів, розгляньте інтеграцію з FreeIPA або Samba Active Directory, які використовують OpenLDAP як базовий компонент.