ldap в Ubuntu 16.04 — Неверные учетные данные (49)

Question

Итак, похоже, проблема была в том, что пароли были загружены таким образом, что я их не знал или они отсутствовали. Мне удалось эффективно сбросить сначала пароль администратора LDAP, а затем пароль учетной записи пользователя с помощью команды ldapmodify. Я перечисляю ниже то, что я сделал, в надежде, что это поможет кому-то еще.

Сброс пароля администратора LDAP

Сначала я сгенерировал хеш пароля с помощью slappasswd.

root@laptop:/etc/ldap/slapd.d# slappasswd 
New password: 
Re-enter new password: 
{SSHA}<hash redacted>

Далее мне нужно было найти, где установлен пароль администратора. Я сделал это с помощью:

root@laptop:/etc/ldap/slapd.d# ldapsearch -LLL -Y EXTERNAL -H ldapi:/// -b  cn=config olcRootDN=cn=admin,dc=nodomain dn olcRootDN olcRootPW
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0
dn: olcDatabase={1}mdb,cn=config
olcRootDN: cn=admin,dc=nodomain
olcRootPW: {SSHA}<hash redacted>

Ваш dc может отличаться в команде, в зависимости от того, как вы все настроили. Хотелось бы дать лучший ответ, чем этот, о том, каким должен быть ваш dc, но я не до конца понимаю LDAP. По сути, все, что я делал, было под dc=nodomain. Ваши настройки, вероятно, будут отличаться.

Далее я использовал ldapmodify для сброса пароля администратора на что-то, что я знаю. Обратите внимание, что я ввел и команду, и строки, начинающиеся с "dc:", "replace:" и "olcRootPw:". Вам нужно вставить пустую строку после последней строки, чтобы ldapmodify применил предыдущие команды.

root@laptop:/etc/ldap/slapd.d# ldapmodify -Y EXTERNAL -H ldapi:///
SASL/EXTERNAL authentication started
SASL username: gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth
SASL SSF: 0

dn: olcDatabase={1}mdb,cn=config
replace: olcRootPW
olcRootPW: {SSHA}<new hash from slappasswd>

Значение oldcDatabaseвзято из ldapsearchкоманды, и ваше может отличаться от моего. Если в результатах поиска не было предыдущего olcRootPw, вам может потребоваться использовать addвместо replaceв команде изменения выше.

Ctrl-C завершает сеанс ldapmodify.

Теперь у меня есть пароль администратора LDAP, который я знаю, и я могу приступить к сбросу учетной записи пользователя.

Сброс пароля пользователя LDAP

Я использовал slappasswd для генерации нового хэша пароля для пароля пользователя. Эта команда одинакова для обоих сбросов пароля.

root@laptop:/etc/ldap/slapd.d# slappasswd 
New password: 
Re-enter new password: 
{SSHA}<hash redacted>

Далее я выполнил команду ldapmodify, но на этот раз немного по-другому:

ldapmodify -H ldapi:/// -D "cn=admin,dc=nodomain" -W

Эта -Dопция сообщает LDAP, что я работаю как администратор (или кто-то в кавычках после -D). Ваше dcзначение, конечно, может быть другим. Эта -Wопция сообщает LDAP, что нужно запросить у меня пароль администратора.

После ввода пароля администратора LDAP (который я сбросил выше), я дал команду на установку пароля пользователя. Вот что я запустил:

dn: uid=smm,ou=People,dc=nodomain
add: userPassword
userPassword: {SSHA}<new password hash>

Первая строка — это dn, указывающий, какому пользователю требуется сбросить пароль. Вторая строка — это либо команда add, если userPassword не установлен, либо replaceкоманда, если userPassword уже установлен. Третья строка — это новый хэш пароля, который должен использовать LDAP. Введите пустую строку после третьей строки, чтобы сообщить ldapmodify, что вы закончили ввод команды, и она должна ее выполнить. Надеюсь, вы получите такой результат:

modifying entry "uid=smm,ou=People,dc=nodomain"

Теперь у меня также есть новый пароль для моего пользователя.

Answer 1