完成了基础的虚拟机环境后，就可以开始用虚拟机安装各种服务了，几乎所有的服务都依赖登录，要是每个服务都自己配置用户那维护就太不方便了。
LDAP可以提供统一的验证方案，目前很多软件都有对LDAP支持。以前我都是直接使用windows server的LDAP服务的，这次准备用linux搭个LDAP服务。
我们以后用ldap来表示运行验证服务的服务器，它可以被安装在任何一台虚拟机上，然后给一个ldap的cname。
安装OpenLDAP
首先先要安装ldap的服务：
$ yum install openldap-servers openldap-clients
$ chkconfig slapd on
$ service slapd start
配置OpenLDAP
LDAP不建议我们直接修改配置文件，所以还要掌握下最基本的LDAP的命令行操作。首先先查询下所有的配置：
$ ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:/// -b cn=config dn
查看下bdb数据库配置：
$ ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:/// -b cn=config olcDatabase=bdb
下面修改bdb数据库的配置，首先新建一个文件bdb_config.ldif
dn: olcDatabase={2}bdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=tiwb,dc=net
-
replace: olcRootDN
olcRootDN: cn=Manager,dc=tiwb,dc=net
-
add: olcRootPW
olcRootPW: secret
然后更新配置：
$ ldapmodify -Q -LLL -Y EXTERNAL -H ldapi:/// -f bdb_config.ldif
安装LDAP图形化管理工具
用命令行管理ldap实在有点痛苦，尤其是现在OpenLDAP自己的配置都是用LDAP来配置的，所以下面先安装LDAP Account Manager。 这是一个基于web的管理工具。
先安装apache，如果之前没有装过：
$ yum install httpd php php-ldap
$ chkconfig httpd on
安装lam：
$ wget /lam/ldap-account-manager-4.2.1.tar.gz
$ tar -xvf ldap-account-manager-4.2.1.tar.gz
$ cd ldap-account-manager-4.2.1
$ ./configure --with-httpd-user=apache \
--with-httpd-group=apache
$ make install
$ cd /usr/local/lam/config
$ mv config.cfg_sample config.cfg
$ mv lam.conf_sample lam.conf
$ chown apache:apache config.cfg lam.conf
创建一个httpd的配置：/etc/httpd/conf.d/lam.conf
Alias /lam /usr/local/lam
然后启动服务：
$ service httpd restart
打开浏览器，访问/lam就可以看到LAM的登录界面了，登录前要先在右上角的LAM configuration里配置ldap服务器。
配置TLS
首先先生成证书，注意common name必须和ldap服务器的名字一样。
$ cd /etc/pki/CA
$ . /etc/pki/tls/misc/CA -newca
$ openssl req -new -nodes -keyout newreq.pem -out newreq.pem
$ . /etc/pki/tls/misc/CA -sign
$ mv newcert.pem /etc/pki/tls/certs/.pem
$ mv newreq.pem /etc/pki/tls/private/.key
然后ldap设置cn=config
olcTLSCACertificateFile: /etc/pki/CA/cacert.pem
olcTLSCertificateFile: /etc/pki/tls/certs/.pem
olcTLSCertificateKeyFile: /etc/pki/tls/private/.key
修改配置文件：/etc/openldap/ldap.conf，增加：
LS_CACERT /etc/pki/CA/cacert.pem
修改apache配置文件：/etc/httpd/conf.d/authz_ldap.conf, 增加：
LDAPTrustedGlobalCert CA_BASE64 /etc/pki/CA/cacert.pem
最后编辑：-11-07作者：wy182000
这个作者貌似有点懒，什么都没有留下。
