环境

os: ubuntu 18

apache2: 2.4.29

php: 7.2

lam: 6.5

slapd: 2.4.45

1 Ubuntu安装

sudo apt-get install -y slapd ldap-utils migrationtools

slapd: ldap server。

ldap-utils: ldap常用命令工具集。

migrationtools: 一个把系统用户和组迁移到ldap上的一个工具(可以不装)。

2 初始化admin

sudo dpkg-reconfigure slapd

依次为: NO, potens.top, china,123456,123456,MDB,NO,YES

3 配置客户端连接

cat /etc/ldap/ldap.conf # 不存在则需要创建文件

# 上面的域

BASE dc=potens,dc=top

# ldap server 地址 默认端口为389

URI ldap://127.0.0.1

4 检查是否初始化成功

netstat -antup|grep 389

查看admin用户

ldapsearch -x -LLL -b dc=potens,dc=top

>> 输出

dn: dc=potens,dc=top

objectClass: top

objectClass: dcObject

objectClass: organization

o: china

dc: potens

dn: cn=admin,dc=potens,dc=top

objectClass: simpleSecurityObject

objectClass: organizationalRole

cn: admin

description: LDAP administrator

5 创建测试组合测试用户

$vim test.ldif

dn: ou=test,dc=potens,dc=top

objectClass: organizationalUnit

objectClass: top

dn: uid=test,ou=test,dc=potens,dc=top

uid: test

cn: 测试

displayName: 测试

gidNumber: 5000

uidNumber:1000

sn: 测

givenName: 试

homeDirectory: /home/test

loginShell: /bin/bash

mail: test@potens.top

objectClass: posixAccount

objectClass: top

objectClass: inetOrgPerson

telephoneNumber: 15711111111

userPassword: 123456

$ldapadd -x -D "cn=admin,dc=potens,dc=top" -W -f test.ldif # 输入admin密码

6 安装web管理页面lam

$cat ldap.sh

PHP_VERSION=7.2

apt-get install -y apache2 php php-ldap php-xml php-zip

mkdir /www

cd /www

wget http://note.youdao.com/yws/public/resource/6e6b5d0367a0b2326619e29f5055cf88/xmlnote/B93E5271092C440AAE54C8000F5F60B3/6598 -O ldap-account-manager-6.5.tar.bz2

tar jxf ldap-account-manager-6.5.tar.bz2

rm -rf ldap-account-manager-6.5.tar.bz2

mv ldap-account-manager-6.5 ldap-account-manager

chown -R www-data:www-data /www

echo '

ServerName ldap.potens.top

ServerAlias ldap.potens.top

DocumentRoot /www/ldap-account-manager

Options FollowSymLinks Includes

AllowOverride All

Order deny,allow

Allow from all

' > /etc/apache2/sites-available/ldap.potens.top.conf

ln -s /etc/apache2/sites-available/ldap.potens.top.conf /etc/apache2/sites-enabled/ldap.potens.top.conf

sed -i '916i\extension=xml' /etc/php/$PHP_VERSION/apache2/php.ini

sed -i '917i\extension=ldap' /etc/php/$PHP_VERSION/apache2/php.ini

sed -i '918i\extension=zip' /etc/php/$PHP_VERSION/apache2/php.ini

cd /www/ldap-account-manager/config

cp config.cfg.sample config.cfg

cp unix.conf.sample unix.conf

/etc/init.d/apache2 restart

7 lam配置

7.1 首页进入LAM configuration

index.png

7.2 配置全局设置 初始密码为lam

image.png

7.3 设置Session timeout过期时间和master密码

setting.png

master password.png

7.4 增加server profiles

edit server profiles.png

manage server profiles.png

7.5 增加模板为unix的profile并设置为默认的profile(添加时候需要上面设置过的master密码)

image.png

image.png

7.5 配置potens profile

输入profile的密码进入配置

profile login.png

分为四个设置

general setting: 通用设置。服务器地址、后缀、登录方式、密码等

account type: 账户类型。账号的类型相关的属性设置。

modules: 模块。用户和用户组相关模块的配置。

module setting: 模块设置。用户个人信息的及id的范围。

setting list.png

general setting->设置ldap的地址

ldap addr.png

general setting->账号查找类型

login type.png

account type->账号相关的设置

image.png

其他两个先保持默认。保存设置，回到登录页。

login.png

8 设置语言

切换语言列表登录，必须保证lam所在的服务器存在对应的语言包，如果没有使用安装语言包

$ dpkg-reconfigure locales

找到zh_cn.UTF-8 按空格选中

add language.png

9 使用test账号在lam上登录

image.png

image.png

10 使用admin用户登录lam

创建admin profile

image.png

image.png

登录方法需要选择固定列表 admin用户不支持搜索登录

image.png

其他设置参考poten的profile设置

11 使用admin用户创建users、group账户类型

$ cat account.ldif

# 组

dn: ou=groups,dc=potens,dc=top

objectClass: organizationalUnit

objectClass: top

ou: groups

# 用户

dn: ou=users,dc=potens,dc=top

objectClass: organizationalUnit

objectClass: top

ou: users

$ ldapadd -x -D "cn=admin,dc=potens,dc=top" -W -f account.ldif

12 使用lam创建分组和用户

选择admin进行登录

image.png

image.png

创建dev开发组

image.png

创建yanshaowen用户

add user.png

image.png

add user.png

创建unix信息

unix.png

设置密码

set password.png

保存

save.png

退出admin使用账户yanshaowen登录

image.png

13 设置用户一些可见的设置

lam settting -> Edit server profiles-> 选择potens

先选择全局设置

用户只能修改自己的信息

工具全部隐藏

选择账户相关设置

隐藏用户组

添加 LDAP filter 让用户只能看到自己

因为lam只提供了LOGIN_DN 的宏 所以只能自己定义了LOGIN_UID和LOGIN_CN的宏了( 如果创建用户的时候选择cn为RDN identifier, 则需要用LOGIN_CN 否则用LOGIN_UID) 需要修改lam的源码 保存后重新登录lam就可以生效了

vim /www/ldap-account-manager/lib/modules.inc

# get_ldap_filter函数增加下面几行代码

$dn_list = get_item_value($loginData[0]);

$finalFilter = str_replace('@@LOGIN_UID@@', $dn_list['uid'], $finalFilter);

$finalFilter = str_replace('@@LOGIN_CN@@', $dn_list['cn'], $finalFilter);

## 增加下面的函数

function get_item_value($dn) {

$dn_k_v_list = ['uid' => null, 'cn' => null];

$dn_list = ldap_explode_dn($dn, 0);

foreach($dn_list as $item) {

$item_list = explode('=',$item);

if (count($item_list) == 2) {

$dn_k_v_list[$item_list[0]] = $item_list[1];

}

}

return $dn_k_v_list;

}

修改源码