Estou tentando fazer com que um servidor local se autentique em seu próprio servidor openldap e, em seguida, faça proxy para o LDAP corporativo se o usuário não for encontrado localmente.
- Os usuários locais trabalham
- Autenticação para servidor LDAP local funciona
- A autenticação para LDAP corporativo NÃO funciona
- A pesquisa LDAP para trabalhos corporativos ao usar o servidor local (ack!?!)
usuário = conta LDAP corporativa ldap interno = usuários - internal.com ldap corporativo = pessoas - datacenter.corporate.com
nota: a ligação anônima está habilitada em corporativo.
oot@ sssd]# ldapsearch -h 127.0.0.1 -x -b "uid=user,ou=people,dc=datacenter,dc=corporate,dc=com"
# extended LDIF
#
# LDAPv3
# base <uid=user,ou=people,dc=datacenter,dc=corporate,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#
# user, People, datacenter.corporate.com
dn: uid=user,ou=People,dc=datacenter,dc=corporate,dc=com
uid: user
cn:
objectClass: account
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
shadowMax:
shadowWarning:
loginShell: /bin/bash
uidNumber:
gidNumber:
homeDirectory: /home/users/user
gecos: user
shadowLastChange: 16461
# search result
search: 2
result: 0 Success
# numResponses: 2
# numEntries: 1
Configurar tapa.d:
#######################################################################
# database definitions
#######################################################################
database bdb
suffix "dc=internal,dc=com"
checkpoint 1024 15
rootdn "cn=adm,dc=internal,dc=com"
rootpw {SSHA}aaaaa
directory /var/lib/ldap
# Indices to maintain for this database
index objectClass eq,pres
index ou,cn,mail,surname,givenname eq,pres,sub
index uidNumber,gidNumber,loginShell eq,pres
index uid,memberUid eq,pres,sub
index nisMapName,nisMapEntry eq,pres,sub
# Replicas of this database
#replogfile /var/lib/ldap/openldap-master-replog
#replica host=ldap-1.example.com:389 starttls=critical
# bindmethod=sasl saslmech=GSSAPI
# authcId=host/[email protected]
#proxy ldap
database ldap
suffix "ou=People,dc=datacenter,dc=corp,dc=com"
uri "ldap://1.1.1.1:389/"
idassert-bind bindmethod=none
ldap.conf:
URI ldap://127.0.0.1
BASE dc=internal,dc=com
Responder1
atualização para qualquer um que possa encontrar este tópico; a documentação do openldap é extremamente deficiente para configuração de proxy. Isso foi descoberto basicamente por 48 horas de tentativa e erro.
nota: voltei para slapd.conf adicionando o seguinte em /etc/sysconfig/ldap SLAPD_OPTIONS="-f /etc/openldap/slapd.conf"
No arquivo slapd você encontrará 4 bancos de dados; 1. banco de dados local para LDAP AUTH (test.com) 2. conector de banco de dados externo para LDAP AUTH (external.local -> corp.com) 3. conector de banco de dados interno para LDAP AUTH (internal.local -> test.com) 4. meta banco de dados que combina os 2 conectores em 1 banco de dados
Vinculação anônima em todos os lugares; tornou as coisas mais fáceis.
Os clientes agora apontam para o banco de dados LDAP local e podem AUTH para LDAP local ou LDAP corporativo perfeitamente.
tapa.conf
#local database
database bdb
suffix "dc=test,dc=com"
checkpoint 1024 15
rootdn "cn=adm,dc=test,dc=com"
rootpw {SSHA}aaa
directory /var/lib/ldap
#Indices to maintain for this database
index objectClass eq,pres
index ou,cn,mail,surname,givenname eq,pres,sub
index uidNumber,gidNumber,loginShell eq,pres
index uid,memberUid eq,pres,sub
index nisMapName,nisMapEntry eq,pres,sub
#database meta
database meta
suffix "dc=local"
rootdn "cn=adm,dc=local"
rootpw {SSHA}aaa
#dir1
uri "ldap://corporate-ldap.com/ou=external,dc=local"
lastmod off
suffixmassage "ou=external,dc=local" "dc=datacenter,dc=corp,dc=com"
#dir2
uri "ldap://127.0.0.1/ou=internal,dc=local"
lastmod off
suffixmassage "ou=internal,dc=local" "dc=test,dc=com"