FAI Local » Docs publiques

h1. Interfaçage des services avec LDAP

Liste rapide des méthodes possibles pour interfacer des services avec LDAP. Certaines ne sont applicables que lorsque les services et le ldap tournent sur la même machine.

* utilisation de sockets (ldapi://)

* connexion à localhost

* utiliser nss-ldap [et pam-ldap] pour que les comptes ldap soient connus en tant que comptes systèmes de la machine qui exécute les services. Cela permet d'intégrer des services qui n'implémentent pas le protocole LDAP.

* selon le type de réseau emprunté, connexion sans chiffrement sur le port tcp 389, ssl (ldaps://) sur le port tcp 686, ou StartTLS sur le port tcp 389. Si ssl ou tls, authentification forte par certificats côté serveur seulement, ou bien côté serveur et client.

h1. Redmine

Pour pouvoir créer de nouveaux utilisateurs, Redmine a besoin de droits en écriture sur la branche ou=users,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR du LDAP.

On ajoute donc, sous ou=services, un nouvel utilisateur pour redmine. On modifie ensuite les ACL d'OpenLDAP pour accorder à cet utilisateur les droits nécessaires.

*Utilisateur cn=redmine,ou=services,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR*

LDIF

<pre>

dn: cn=redmine,ou=services,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR

objectClass: inetOrgPerson

objectClass: organizationalPerson

objectClass: person

objectClass: top

cn: redmine

sn: redmine

userPassword:: [SOMME SSHA]

</pre>

Note: mdp stocké par JFM dans Revelation.

*Modification des ACL dans les attributs de olcDatabase={1}hdb,cn=config*

On ajoute un attribut _olcAccess_ avec la valeur _to dn.subtree="ou=users,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR" by ssf=128 dn="cn=redmine,ou=services,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR" read_. (Signifie: le user cn=redmine peut lire le sous arbre de racine ou=users)

Pour permettre la réplication, il est nécessaire de donner également des droits en lecture à ldaprep1: _by ssf=128 dn="cn=ldaprep1,ou=services,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR" read_.

Par ailleurs les droits habituels s'appliquent. Aucun accès pour les utilisateurs et les connexions anonymes: _by users none by * none_.

LDIF des nouvelles ACL d'openldap

<pre>

olcAccess: {0}to attrs=userPassword,shadowLastChange by ssf=128 self write b

 y anonymous auth by ssf=128 dn="cn=ldaprep1,ou=services,o=ILLYSE,l=Villeurb

 anne,st=RHA,c=FR" read by users none by * none

olcAccess: {1}to dn.subtree="ou=users,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR" b

 y ssf=128 dn="cn=redmine,ou=services,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR" r

 ead by ssf=128 dn="cn=ldaprep1,ou=services,o=ILLYSE,l=Villeurbanne,st=RHA,c

 =FR" read by users none by * none

olcAccess: {3}to dn.base="" by * read

olcAccess: {4}to * by ssf=128 self write by ssf=128 dn="cn=ldaprep1,ou=servi

 ces,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR" read by users none by * none

</pre>

*Page d'administration de Redmine*

http://www.illyse.org/admin / Authentification LDAP

Ajout d'un nouveau mode d'authentification.

* Nom: LDAP

* Hôte: ldap.illyse.org

* Port: 636

* LDAPS: oui

* Compte: cn=redmine,ou=services,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR

* Mdp: mdp-de-cn=redmine

* Base DN: ou=users,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR

* Création des utilisateurs à la volée: oui

* Identifiant: cn

* Prénom: givenName

* Nom: sn

* Email: mail

Redmine crée automatiquement en base les users trouvés sur le LDAP.

h1. Bind 9 (DNS)

Voir [[bind-dlz]] pour l'installation et la configuration de bind9 avec backend ldap.

Pour lire les zones DNS, bind a besoin de droits en lecture sur la branche ou=dns,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR du LDAP.

On considère que bind dispose d'une réplique de l'annuaire, complète ou partielle, hébergée sur le même système.

=> on autorise les connexions anonymes depuis localhost à lire dans ou=dns

*Modification des ACL dans les attributs de olcDatabase={1}hdb,cn=config*

On ajoute un attribut _olcAccess_ avec la valeur _to dn.subtree="ou=dns,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR" by peername.ip=127.0.0.1 read_. (Signifie: toute connexion depuis 127.0.0.1 peut lire le sous arbre de racine ou=dns)

Pour permettre la réplication, il est nécessaire de donner également des droits en lecture à ldaprep1: _by ssf=128 dn="cn=ldaprep1,ou=services,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR" read_.

Par ailleurs les droits habituels s'appliquent. Aucun accès pour les utilisateurs et les connexions anonymes: _by users none by * none_.

LDIF des nouvelles ACL d'openldap

<pre>

olcAccess: {0}to attrs=userPassword,shadowLastChange by ssf=128 self write b

 y anonymous auth by ssf=128 dn="cn=ldaprep1,ou=services,o=ILLYSE,l=Villeurb

 anne,st=RHA,c=FR" read by users none by * none

olcAccess: {1}to dn.subtree="ou=users,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR" b

 y ssf=128 dn="cn=redmine,ou=services,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR" r

 ead by ssf=128 dn="cn=ldaprep1,ou=services,o=ILLYSE,l=Villeurbanne,st=RHA,c

 =FR" read by users none by * none

olcAccess: {2}to dn.subtree="ou=dns,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR" by 

 peername.ip=127.0.0.1 read by ssf=128 dn="cn=ldaprep1,ou=services,o=ILLYSE,

 l=Villeurbanne,st=RHA,c=FR" read by users none by * none

olcAccess: {3}to dn.base="" by * read

olcAccess: {4}to * by ssf=128 self write by ssf=128 dn="cn=ldaprep1,ou=servi

 ces,o=ILLYSE,l=Villeurbanne,st=RHA,c=FR" read by users none by * none

</pre>