Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Résolu] probleme configuration openldap

nicolaslabeau

bonjour,
je suis nouveau sur le forum et je souhaiterais avoir des info sur la configuration de openldap.

j'ai suivi le tuto sur le site.
sauf que j'ai un soucis lorsque j'effectue la commande ldapsearch.
en réponse, j'ai le message invalid creadential binds.
il s'agit apparement d'un probleme de mot de passe.

j'ai édité mon fichier slapd.conf en y ajoutant le résultat de la commande slappasswd (cryptage du mp) soit {SSHA}......... .

j'ai aussi essayé en y insérant dans le slapd.conf un mot de passe non crypté mais rien n'y fait.
quelqu'un aurait une solution ???

merci d'avance

version fedora : f14 i686 2.6.35.6-45
version openldap : 2.4.23-4

madko

Bonjour,

tu tapes quoi comme commande exactement avec le ldapsearch?

MarbolanGos

Bonjour,
pas forcément une solution mais : acheter le GNU/Linux Magazine de ce mois-ci a un article de 5-6 pages sur la configuration.

nicolaslabeau

@ madko : je saisi comme commande ldapsearch -x -b "dc=fedora,dc=com" -H ldap://127.0.0.1 -D \ "cn=admin,dc=fedora,dc=com" -W

@ marbolangos : jai acheté le linux mag de ce mois et aussi le linux pratique pour le samba !!!

nicolaslabeau

en résumé : j'ai installé openldap-servers, openldap-clients, openldap
genre yum install .....
puis j'ai édité le ldap.conf (rapide à faire) voici les lignes :

BASE dc=fedora,dc=com
URI ldap://ldap.fedora.com
TLS_CACERTDIR /etc/openldap/cacerts

par la suite, j'ai édité le fichier slapd.conf dont voici la conf :

# See slapd.conf(5) for details on configuration options.
# This file should NOT be world readable.
#
include         /etc/openldap/schema/core.schema
include         /etc/openldap/schema/cosine.schema
include         /etc/openldap/schema/inetorgperson.schema
include         /etc/openldap/schema/nis.schema
include         /etc/openldap/schema/samba.schema

schemacheck     on

# Allow LDAPv2 client connections.  This is NOT the default.
allow bind_v2

# Do not enable referrals until AFTER you have a working directory
# service AND an understanding of referrals.
#referral    ldap://root.openldap.org

pidfile         /var/run/slapd.pid
argsfile        /var/run/slapd.args

# Load dynamic backend modules:
# modulepath    /usr/sbin/openldap
# moduleload    back_bdb.la
# moduleload    back_ldap.la
# moduleload    back_ldbm.la
# moduleload    back_passwd.la
# moduleload    back_shell.la
#######################################################################
# ldbm and/or bdb database definitions
#######################################################################

database        bdb
suffix          "dc=fedora,dc=com"
rootdn          "cn=nicolas,dc=fedora,dc=com"
# Cleartext passwords, especially for the rootdn, should
# be avoided.  See slappasswd(8) and slapd.conf(5) for details.
# Use of strong authentication encouraged.
rootpw {SSHA}rIa+uKxIs/HhEFKTSsG79oVogd8MBFcT
# rootpw                {crypt}ijFYNcSNctBYg

# The database directory MUST exist prior to running slapd AND
# should only be accessible by the slapd and slap tools.
# Mode 700 recommended.
directory    /var/lib/ldap
lastmod         on

voila ou j'en suis ...

EDIT: Ça va mieux avec les balises code (icône <> au-dessus de la zone de saisie)

nicolaslabeau

ah oui, en fait, le rootdn saisi dans la commande ldapsearch est bien celui configuré dans le slapd.conf (nicolas et non pas admin) ... jai suivi le tuto du site ainsi que celui du mag mais rien n'y fait ...

toujours ldap_bind: invalid credentials (49) MP crypté ou non

j'ai meme tenté en downgrade de openldap meme chose ...

madko

Commente déjà tout dans /etc/openldap/ldap.conf vu que l'URI que tu met existe donc si ta machine est connectée au net elle va aller taper sur celle ci.
Mais je pense pas que le problème vienne de là. ça passe avec un mot de passe en clair? (rootpw mot_de_passe) et du coup avec -w plutot que -W pour le ldapsearch.

nicolaslabeau

en fait, que se soit en lcair ou en crypté, le MP ne fonctionne pas j'ai aussi essayé avec w plutot que W

le je fais une réinsttakle et je refait la conf avec un systeme vierge enfin meme 2 F13 et F14 les 2 en 64 bits.

aurais tu déja fais ce type de conf ???

éventuellement si tu as des conseils de conf

le probleme pourrait-il venir du fait que je n'ai aps fait les MAJ de kernel ??

madko

non le kernel n'a aucun rapport avec ldap. J'utilise ce genre de conf régulièrement mais sur des redhat 5 et 6.

nicolaslabeau

mais en fait, sachant que le fichier slapd.conf remplace le slapd.d (d'apres ce que j'ai compris de mes lectures) faut-il le supprimer le dossier slapd.d ?

l'usage de la commande slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d suffit-elle a redifinir le fichier d'utilisation par défaut ?

je te remercie d'avance pour toutes tes réponses et le temps passé ... 🙂

le dossier slapd.d est prioritaire par rapport au slapd.conf non ?

madko

Pas besoin de supprimer slapd.d, et la commande slaptest ne fait que tester/valider la syntaxe du fichier de conf.
Normalement le fichier lu en 1er est slapd.conf qui lui fait ensuite des renvoit vers les éventuels fichiers dans le slapd.d. C'est maintenant courant ce genre de gymnastique.

nicolaslabeau

bonjour madko !

alors au programme du jour :
- réinstallation complete des os fedora 13 i686 et 14 i686
- installation des paquets openldap, openldap-servers, openldap-clients
- et enfin conf ...

le tuto suivi est celui-ci :
http://doc.fedora-fr.org/wiki/Configuration_d%27un_serveur_d%27authentification_Openldap_Samba

pour la partie ldap, samba, je verrai après avoir réussi à monter l'annuaire ....

je te tiens au courant de ma progression !

MarbolanGos

nicolaslabeau wrote:
- réinstallation complete des os fedora 13 i686 et 14 i686

Si à chaque fois que j'avais un problème de configuration je formatais j'aurai jamais une machine de fonctionnelle (ça serait le cas de beaucoup de monde d'ailleurs) !
Surtout que là un yum remove de tout ce qui appaartient à ldap aurait enlevé toute configuration pour repartir à zéro...

nicolaslabeau

à l'issu de l'installation des paquets openldap ci dessus, il n'existe pas de fichier slapd.conf par défaut.

il n'apparait que lorsque j'installe smbldap-tools-0.9.6 (usr/share/doc/smbldap-tools-0.9.6/slapd.conf)

je te met le fichier de lancement du service slapd /etc/rc.d/init.d/slapd :

<# Source function library.
. /etc/init.d/functions

# Define default values of options allowed in /etc/sysconfig/ldap
SLAPD_LDAP="yes"
SLAPD_LDAPI="no"
SLAPD_LDAPS="no"
SLAPD_URLS=""
SLAPD_SHUTDOWN_TIMEOUT=3
# OPTIONS, SLAPD_OPTIONS and KTB5_KTNAME are not defined

# Source an auxiliary options file if we have one
if [ -r /etc/sysconfig/ldap ] ; then
. /etc/sysconfig/ldap
fi

slapd=/usr/sbin/slapd
slaptest=/usr/sbin/slaptest
lockfile=/var/lock/subsys/slapd
configdir=/etc/openldap/slapd.d/
configfile=/etc/openldap/slapd.conf
pidfile=/var/run/slapd.pid
slapd_pidfile=/var/run/openldap/slapd.pid

RETVAL=0
function testasuser() {
local user= cmd=
user="$1"
shift
cmd="$@"
if test x"$user" != x ; then
if test x"$cmd" != x ; then
/sbin/runuser -f -m -s /bin/sh -c "test $cmd" -- "$user"
else
false
fi
else
false
fi
}
function checkkeytab() {
local user= service= klist= default=
user="$1"
service="$2"
default="${3:-false}"
if test -x /usr/kerberos/bin/klist ; then
klist=/usr/kerberos/bin/klist
elif test -x /usr/bin/klist ; then
klist=/usr/bin/klist
fi
KRB5_KTNAME="${KRB5_KTNAME:-/etc/krb5.keytab}"
export KRB5_KTNAME
if test -s "$KRB5_KTNAME" ; then
if test x"$klist" != x ; then
if LANG=C $klist -k "$KRB5_KTNAME" | tail -n 4 | awk '{print $2}' | grep -q ^"$service"/ ; then
if ! testasuser "$user" -r ${KRB5_KTNAME:-/etc/krb5.keytab} ; then
true
else
false
fi
else
false
fi
else
$default
fi
else
false
fi
}
function configtest() {
local user= ldapuid= dbdir= file=
# Check for simple-but-common errors.
user=ldap
prog=`basename ${slapd}`
ldapuid=`id -u $user`
# Unaccessible database files.
slaptestflags=""
dbdirs=""
if [ -d $configdir ]; then
for configfile in `ls -1 $configdir/cn\=config/olcDatabase*.ldif`; do
dbdirs=$dbdirs"
"`LANG=C egrep '^olcDbDirectory[[:space:]]*:[[:space:]]+[[:print:]]+$' $configfile | sed 's,^olcDbDirect$
done
elif [ -f $configfile ]; then
dbdirs=`LANG=C egrep '^directory[[:space:]]+' $configfile | sed 's,^directory[[:space:]]*,,'`
else
exit 6
fi
for file in `find ${dbdir}/ -not -uid $ldapuid -and ( -name "*.dbb" -or -name "*.gdbm" -or -name "*.bdb" -o$
echo -n $"$file is not owned by \"$user\"" ; warning ; echo
done
if ! test -s ${dbdir}/id2entry.dbb ; then
if ! test -s ${dbdir}/id2entry.gdbm ; then
if ! test -s ${dbdir}/id2entry.bdb ; then
slaptestflags="-u"
fi
fi
fi
done
# Unaccessible keytab with an "ldap" key.
if checkkeytab $user ldap ; then
file=${KRB5_KTNAME:-/etc/krb5.keytab}
echo -n $"$file is not readable by \"$user\"" ; warning ; echo
fi
# Unaccessible TLS configuration files.
if [ -d $configdir ]; then
tlsconfigs=`LANG=C awk '/^olcTLS/ {
while (/^olcTLS/) {
if (/^olc(TLSCertificateKeyFile|TLSCertificateFile|TLSCACertificateFile)[ \t]*:[\t]*$
do { printf gensub(/^ /,"",1); getline } while (/^ /)
printf "\n" ;
}
else break;
}
}' $configdir/cn\=config.ldif | awk '{print $2}'`
elif [ -f $configfile ]; then
tlsconfigs=`LANG=C egrep '^(TLSCACertificateFile|TLSCertificateFile|TLSCertificateKeyFile)[[:space:]]+' $configf$
fi
for file in $tlsconfigs ; do
if ! testasuser $user -r $file ; then
function start() {
[ -x $slapd ] || exit 5
[ `id -u` -eq 0 ] || exit 4
configtest
# Define a couple of local variables which we'll need. Maybe.
user=ldap
prog=`basename ${slapd}`
harg="$SLAPD_URLS"
if test x$SLAPD_LDAP = xyes ; then
harg="$harg ldap:///"
fi
if test x$SLAPD_LDAPS = xyes ; then
harg="$harg ldaps:///"
fi
if test x$SLAPD_LDAPI = xyes ; then
harg="$harg ldapi:///"
fi
# Start daemons.
echo -n $"Starting $prog: "
daemon --pidfile=$pidfile --check=$prog ${slapd} -h "\"$harg\"" -u ${user} $OPTIONS $SLAPD_OPTIONS
RETVAL=$?
if [ $RETVAL -eq 0 ]; then
touch $lockfile
ln $slapd_pidfile $pidfile>

j'entame la conf du fichier slapd.conf puis je vais le copier dans le dossier /etc/openldap.

nicolaslabeau

dsl j'ai oublié les balises pour le msg précédent ...

voici la conf de mon /usr/share/doc/smbldap-tools-0.9.6/slapd.conf après les modif :

include         /etc/openldap/schema/core.schema
include         /etc/openldap/schema/cosine.schema
include         /etc/openldap/schema/inetorgperson.schema
include         /etc/openldap/schema/nis.schema
include         /etc/openldap/schema/samba.schema

schemacheck     on

# Allow LDAPv2 client connections.  This is NOT the default.
allow bind_v2

# Do not enable referrals until AFTER you have a working directory
# service AND an understanding of referrals.
#referral    ldap://root.openldap.org

pidfile         /var/run/slapd.pid
argsfile        /var/run/slapd.args

# Load dynamic backend modules:
# modulepath    /usr/sbin/openldap
# moduleload    back_bdb.la
# moduleload    back_ldap.la
# moduleload    back_ldbm.la
# moduleload    back_passwd.la
# moduleload    back_shell.la
#######################################################################
# ldbm and/or bdb database definitions
#######################################################################

database        bdb
suffix          "dc=fedora,dc=com"
rootdn          "cn=admin,dc=fedora,dc=com"
# Cleartext passwords, especially for the rootdn, should
# be avoided.  See slappasswd(8) and slapd.conf(5) for details.
# Use of strong authentication encouraged.
rootpw          secret
# rootpw                {crypt}ijFYNcSNctBYg

# The database directory MUST exist prior to running slapd AND
# should only be accessible by the slapd and slap tools.
# Mode 700 recommended.
directory    /var/lib/ldap
lastmod         on

# Indices to maintain for this database
index objectClass                       eq,pres
index ou,cn,sn,mail,givenname           eq,pres,sub
index uidNumber,gidNumber,memberUid     eq,pres
index loginShell                        eq,pres
## required to support pdb_getsampwnam
index uid                               pres,sub,eq
## required to support pdb_getsambapwrid()
index displayName                       pres,sub,eq
index nisMapName,nisMapEntry            eq,pres,sub
index sambaSID                          eq
index sambaPrimaryGroupSID              eq
index sambaDomainName                   eq
index default                           sub


# users can authenticate and change their password
access to attrs=userPassword,sambaNTPassword,sambaLMPassword,sambaPwdMustChange,sambaPwdLastSet
      by dn="cn=admin,dc=fedora,dc=com" write
      by self write
by * none

# those 2 parameters must be world readable for password aging to work correctly
# (or use a priviledge account in /etc/ldap.conf to bind to the directory)
access to attrs=shadowLastChange,shadowMax
      by dn="cn=admin,dc=fedora,dc=com" write
      by self write
      by * read

# all others attributes are readable to everybody
access to *
      by * read

# Replicas of this database
#replogfile /var/lib/ldap/openldap-master-replog
#replica host=ldap-1.example.com:389 starttls=critical
#     bindmethod=sasl saslmech=GSSAPI

j'ai laissé le mot de passe en clair pour l'instant l'essentiel c'est de faire fonctionner l'annuaire au départ

nicolaslabeau

comme indiqué dans ton post précédent, j'ai commenté toute les lignes de mon fichier /etc/openldap/ldap.conf

j'ai copié le fichier /usr/share/doc/smbldap-tools-0.9.6/slapd.conf dans /etc/openldap/ (vu que le chemin par défaut pointe sur ce dossier)

apres cela, j'ai relancé le service slapd
voici le résultat :

[root@localhost openldap]# service slapd stop
Stopping slapd:                                            [  OK  ]
[root@localhost openldap]# service slapd start
Checking configuration files for slapd:                    [WARNING]
bdb_db_open: warning - no DB_CONFIG file found in directory /var/lib/ldap: (2).
Expect poor performance for suffix "dc=my-domain,dc=com".
config file testing succeeded
Starting slapd:                                            [  OK  ]

le fait est que pour cette erreur il me semble bien que le service slapd au lancement doit créer automatiquement le fichier de base de données non ? sinon je copie le fichier DB_CONFIG.example du dossier smbldap-tools-0.9.6 tout en le renommant DB_CONFIG dans le dossier /var/lib/ldap

madko

euh pourquoi tu n'a pas le /etc/openldap/slapd.conf ?

$ rpm -qf /etc/openldap/slapd.conf 
openldap-servers-2.4.23-4.fc14.x86_64

nicolaslabeau

ca c'est une bonne question !!!

en plus, je constate dans des tutos qu'a l'intallation d'openldap via la commande yum install slapd, il demande un mot de passe sauf que la non plus je n'ai pas cette étape et, je pense selon la distrib je n'ai pas ce type de paquet... bizarre ...

nicolaslabeau

alors apres la config, avec mot de passe en clair, avec la commande ldapsearch et l'option -w, j'ai toujours le meme résultat apres avoir saisi le MP et si je n'en met pas, il me dit (et c'est logique) que je ne suis pas autorisé à me logguer sans mot de passe

MarbolanGos

nicolaslabeau wrote:ca c'est une bonne question !!!

en plus, je constate dans des tutos qu'a l'intallation d'openldap via la commande yum install slapd, il demande un mot de passe sauf que la non plus je n'ai pas cette étape et, je pense selon la distrib je n'ai pas ce type de paquet... bizarre ...

Donne le retour de :

# yum repolist all
# yum clean all && yum reinstall openldap-servers
$ uname -a

Page suivante »