Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- centos:ldap_c7:clientauth [21.07.2015 13:56. ] – [password-auth-ac] django
+++ centos:ldap_c7:clientauth [22.07.2019 15:03. ] (aktuell) – Externe Bearbeitung 127.0.0.1
@@ Zeile 1: / Zeile 1: @@
-====== Authentification auf Userebene und Webseiten unter CentOS 7.x ======
+====== Authentification auf Userebene und Webseiten gegen OpenLDAP unter CentOS 7.x ======
 {{:centos:ldap-logo.png?nolink&167 |OpenLDAP Logo}}
 Natürlich wollen wir bei der Authentifikation unserer Cleints auf unseren zentralen OpenLDAP-Verzeichnisdienst zurückgreifen. Nachfolgend werden wir auf einige Beispiele eingehen.
@@ Zeile 843: / Zeile 843: @@
 # This comment prevents repeated auto-migration of settings.
 </file>
+Anschließend passen wir noch die Dateiberechtigungen an, so wie es bei der Option **bindpw** angeraten wurde.
+   # chown nslcd:ldap /etc/nslcd.conf
 === nsswitch.conf ===
-In der Konfigurationsdatei //**/etc/nsswitch.conf**// ergänzen wir nun __//**händisch**//__ die Optionen **ldap**. Änderungen wurden in dem Beispiel wie iimmer entsprechend gekennzeichnet.
+In der Konfigurationsdatei //**/etc/nsswitch.conf**// ergänzen wir nun __//**händisch**//__ die Optionen **ldap**. Änderungen wurden in dem Beispiel wie iimmer entsprechend gekennzeichnet:
+  * **passwd:     files ldap sss**
+  * **shadow:     files ldap sss**
+  * **group:      files ldap sss**
+  * **netgroup:   files ldap sss**
+  * **automount:  files ldap sss**
    # vim /etc/nsswitch.conf
@@ Zeile 911: / Zeile 923: @@
 # Django : 2015-07-21 LDAP Client Authentication
 # default: netgroup:   files sss
-netgroup:   files ldapsss
+netgroup:   files ldap sss
 publickey:  nisplus
@@ Zeile 996: / Zeile 1008: @@
 Ein **enabled** signalisiert, dass der Daemon einen Autostart macht, ein **disabled** steht dafür, dass der Daemon __nicht__automatisch beim Starten des Rechners hochfährt.
-==== Test ====
+===== Tests =====
+==== LDAP Abfrage ====
+Zur Abfrage eines LDAP-Users können wir folgenden Aufruf verwenden:
   $ ldapsearch -x -LLL -H ldaps://openldap.dmz.nausch.org -b "dc=nausch,dc=org" "uid=django" -W -D "cn=Technischeruser,dc=nausch,dc=org"
   Enter LDAP Password:
@@ Zeile 1017: / Zeile 1032: @@
 userPassword:: RGQ0bWRkMyE=</code>
+Das nächste Beispiel zeigt eine LDAP-Abfrage mit dem User django aber mit __falschem__ Passwort:
-/*
- Configure LDAP Client in order to share users' accounts in your local networks.
-[1] 	Install OpenLDAP Client.
-[root@www ~]# yum -y install openldap-clients nss-pam-ldapd
-# ldapserver=(LDAP server's hostname or IP address)
-# ldapbasedn="dc=(your own domain name)"
-[root@www ~]# authconfig --enableldap \
---enableldapauth \
---ldapserver=dlp.server.world \
---ldapbasedn="dc=server,dc=world" \
---enablemkhomedir \
---update
-getsebool: SELinux is disabled
-[root@www ~]# exit
-logout
-CentOS Linux 7 (Core)
-Kernel 3.10.0-123.20.1.el7.x86_64 on an x86_64
-www login: redhat
-# LDAP user
-Password:
-# password
-Creating directory '/home/redhat'.
-[redhat@www ~]$
-# logined normally
-[redhat@www ~]$ passwd
-# try to change the LDAP password
-Changing password for user redhat.
-Enter login(LDAP) password:
-# current password
-New password:
-# new password
-Retype new password:
-LDAP password information changed for redhat
-passwd: all authentication tokens updated successfully.
-*/
    $ ldapsearch -x -LLL -H ldaps://openldap.dmz.nausch.org -b "dc=nausch,dc=org" "uid=inge" -W -D "uid=inge,ou=People,dc=nausch,dc=org"
@@ Zeile 1075: / Zeile 1039: @@
   ldap_bind: Invalid credentials (49)
+Hingegen eine Abfrage mit einer richtigen Kombination von Benutzer und Passwort, sieht entsprechend wie folgt aus:
    $ ldapsearch -x -LLL -H ldaps://openldap.dmz.nausch.org -b "dc=nausch,dc=org" "uid=inge" -W -D "uid=inge,ou=People,dc=nausch,dc=org"
@@ Zeile 1090: / Zeile 1054: @@
 homeDirectory: /home/inge
 gecos: inge
-userPassword:: e0NSWVBasdfaUfM3101d3XJ19UR21TUjhpMWc=
+userPassword:: e0NSWVBasdfaUJ1fM3101d3XJ1J19UR21TUjhpMWc=</code>
+==== Client-Abfragen ====
+Die erfolgreiche Konfiguration unseres Rechners überprüfen wir so:
+  - Mit **getent** lassen wir uns die Informationen eines Users anzeigen, der sowohl in der /etc/shadow wie auch im zentralen LDAP-Verzeichnisdienst hinterlegt ist. Wenn alles gut gelaufen ist, werden uns zwei Einträge präsentiert. \\ \\ <code>$ getent passwd | grep django</code><code>django:$6$RG6zR$2RbzR$wDvit.DnWHSYGEFCrn0LXyEleQkOuJQ5mQLiVRHNEnm5svSCrn0LXyEleQkOuflVHvMkKnAEdQCCVU9Gc9nPe1:1000:1000:Django [BOfH]:/home/django:/bin/bash
+django:x:1000:1000:django:/home/django:/bin/bash</code>
+  - Als nächstes wählen wir einen Nutzer der nur im LDAP-Verzeichnisdienst einen Account hat, nicht aber auf der lokalen Maschine. \\ \\ <code>$ getent passwd | grep michael</code><code>michael:*:1001:1001:michael:/home/michael:/bin/bash</code>
+  - Dann melden wir uns nun an unserem Client als ein Benutzer an, der lokal auf der Maschine nicht existiert, werden wir beim Login nach dem Passwort gefragt, welches gegen den zentralen OpenLDAP-Server verifiziert wird. Ist das Passwort richtig wird auch gleich das zugehörige Nutzer-Homeverzeichnis angelegt. \\ \\ <code>[django@vml010008 ~]$ ssh -l ruben 10.0.10.52</code><code>Password:</code><code>Creating home directory for ruben.</code>
+{{ :centos:ldap:client_ldap_auth.png?500 |Bildschirmhardcopy bei der Anmeldung am Client (mit LDAP auth)}}
 ===== remote Benutzer bei Web-Servern =====
+Nachdem sich unsere Nutzer an ihren Arbeitsplatzrechner erfolgreich anmelden können, wollen sie mit unter auch von unterwegs aus auf Ihre eMail oder andere WEB-Dienste zugreifen. Auch dort sollen sich unsere User mit deren Anmeldedaten anmelden können.
+Im folgenden gehen wir auf Konfigurationslösungen bei den beiden Webservern **[[http://apache.org|Apache]]** und **[[http://nginx.org|NGiNX]]** im Detail eingehen.
 ==== Apache Webserver ====
+{{page>centos:ldaps-auth-httpd&nofooter&noheader}}
 ==== NGiNX Webserver ====
+{{page>centos:ldaps-auth-nginx&nofooter&noheader}}
-FIXME
@@ Zeile 1157: / Zeile 1130: @@
  */
+====== Links ======
+  * **⇐ [[centos:ldap_c7:tecbind|Zurück zum Kapitel "Authentification mit technischem User beim OpenLDAP Servers unter CentOS 7.x"]]**
+  * **[[centos:ldap_c7:start|Zurück zum Kapitel >>OpenLDAP Server unter CentOS 7.x<<]]**
+  * **[[wiki:start|Zurück zu >>Projekte und Themenkapitel<<]]**
+  * **[[http://dokuwiki.nausch.org/doku.php/|Zurück zur Startseite]]**