Attachment 27128 Details for Bug 44110 – [id] ldap-howto.xml (reattach, sorry for duplication also)

[id] ldap-howto.xml (reattach, sorry for duplication also)

ldap-howto.xml (text/plain), 13.11 KB, created by Siauw Nam Khong on 2004-03-09 17:52:27 UTC

(hide)

Description:

Filename:

MIME Type:

Creator: Siauw Nam Khong

Created: 2004-03-09 17:52:27 UTC

Size: 13.11 KB

patch

obsolete

><?xml version='1.0' encoding='UTF-8'?>
>
><!DOCTYPE guide SYSTEM "/dtd/guide.dtd">
>
><guide link="/doc/en/ldap-howto.xml">
><title>Panduan Gentoo untuk Otentikasi OpenLDAP</title>
>
><author title="Author">
> <mail link="sj7trunks@gentoo.org">Benjamin Coles</mail>
></author>
>
><author title="Editor">
> <mail link="swift@gentoo.org">Sven Vermeulen</mail>
></author>
>
><author title="Editor">
> <mail link="tseng@gentoo.org">Brandon Hale</mail>
></author>
><author title="Editor">
> <mail link="bennyc@gentoo.org">Benny Chuang</mail>
></author>
>
>
><abstract>
>Panduan ini memperkenalkan dasar-dasar dari LDAP dan menunjukkan kepada Anda cara-cara setup OpenLDAP untuk kebutuhan otentikasi di antara perangkat-perangkat Gentoo.
></abstract>
>
><license/>
>
><version>0.5</version>
><date>January 29, 2004</date>
>
><chapter>
><title>Perkenalan dengan OpenLDAP</title>
><section>
><title>Apakah LDAP itu?</title>
><body>
>
>
>LDAP singkatan dari <e>Lightweight Directory Access Protocol</e>. Dibuat berdasarkan X.500, LDAP memiliki hampir semua fungsi-fungsi utama X.500, tetapi tidak memiliki fungsi yang lebih esoteris dari X.500. Sekarang apa itu X.500 dan mengapa ada LDAP?
>
>
>
>X.500 adalah model untuk Layanan Direktori dari konsep OSI. X.500 berisi definisi nama dan protokol untuk menanyakan (query) dan memperbarui direktori. Tetapi ditemukan bahwa solusi X.500 terlalu berlebihan dalam banyak situasi.
>Sekarang LDAP. Seperti X.500 juga yang berisi model data/nama untuk direktori dan protokol juga. Tetapi LDAP didisain untuk berjalan langsung pada lingkungan TCP/IP. Anggaplah LDAP adalah versi ramping dari X.500.
>
>
></body>
></section>
>
><section>
><title>Wah, saya tidak mengerti. Apa itu direktori?</title>
><body>
>
>
>Direktori adalah database yang didisain secara khusus untuk melayani pertanyaan (query) yang berulang-ulang tetapi jarang diperbarui. Tidak seperti database umum, Direktori tidak mempunyai dukungan fungsi transaksi atau roll-back. Direktori mudah direplikasi untuk meningkatkan keberadaan dan ketahanannya. Jika direktori direplikasi, maka ketidakkonsistenan sementara bisa diterima asal proses sinkronisasinya berjalan pada akhirnya.
>
>
></body>
></section>
>
><section>
><title>Bagaimana struktur informasinya?</title>
><body>
>
>
>Semua informasi yang berada pada direktori terstruktur secara hirarki. Lebih jauh lagi, bila Anda ingin memasukkan data ke dalam suatu direktori, direktori tersebut harus tahu bagaimana cara menyimpan data ini ke dalam suatu pohon. Contoh berikut menunjukkan perusahaan fiktif dan pohon berbasis Internet:
>
>
><pre caption = "Struktur Organisasi untuk GenFic, perusahaan Fiktif Gentoo">
>dc: com
> |
>dc: genfic <comment>(Organisasi)</comment>
> / \
>ou: people servers <comment>(Unit Organisasi)</comment>
> / \ .. 
>uid: .. jhon <comment>(OU-data khusus)</comment>
></pre>
>
>
>Karena Anda tidak memasukkan data ke database dalam struktur seni-ASCII di sini, maka setiap simpul dari pohon itu harus didefinisikan. Untuk menamai simpul tersebut, LDAP menggunakan skema penamaan. Hampir semua distribusi LDAP (termasuk OpenLDAP) memiliki sejumlah skema pra-definisi (dan umumnya disepakati), seperti inetorgperson, suatu skema yang sering digunakan untuk mendefinisikan user.
>
>
>
>User yang tertarik dipersilakan untuk membaca <uri
>link="http://www.openldap.org/doc/admin21/">Panduan Admin OpenLDAP</uri>.
>
>
></body>
></section>
>
></chapter>
>
>
><chapter>
><title>Konfigurasi OpenLDAP</title>
><section>
><title>Konfigurasi Awal</title>
><body>
>
><note>
>Dalam dokumen ini kami menggunakan alamat genfic.com sebagai contoh. Anda tentu saja harus mengubahnya. Tetapi pastikan bahwa simpul teratas adalah domain tingkat tertinggi yang resmi (net, com, cc, be, ...).
></note>
>
>
>Pertama-tama emerge semua komponen yang penting pada server:
>
>
><pre caption="Install OpenLDAP">
># emerge openldap pam_ldap nss_ldap migrationtools
># chown ldap:ldap /var/lib/openldap-ldbm /var/lib/openldap-data /var/lib/openldap-slurp
></pre>
>
>
>Edit <path>/etc/openldap/slapd.conf</path> dan tambahkan berikut ini setelah 
><c>core.schema</c>:
>
>
><pre caption="/etc/openldap/slapd.conf">
><comment># Masukkan skema data yang dibutuhkan</comment>
>include /etc/openldap/schema/cosine.schema
>include /etc/openldap/schema/inetorgperson.schema
>include /etc/openldap/schema/nis.schema
>
><comment># Gunakan crypt untuk hash password</comment>
>password-hash {crypt}
>
><comment># Definisikan properti SSL dan TLS (opsional)</comment>
>TLSCertificateFile /etc/ssl/ldap.pem
>TLSCertificateKeyFile /etc/openldap/ssl/ldap.pem
>TLSCACertificateFile /etc/ssl/ldap.pem
>
><codenote>Selanjutnya ...</codenote>
>
>database ldbm
>suffix "dc=genfic,dc=com"
>rootdn "cn=Manager,dc=genfic,dc=com"
>rootpw {MD5}Xr4ilOzQ4PCOq3aQ0qbuaQ==
>directory /var/lib/openldap-ldbm
>index objectClass eq
>
><codenote>Anda juga bisa mendapatkan password yang dienkripsi seperti di atas dengan slappasswd -h {Md5}</codenote>
></pre>
>
>
>Selanjutnya kita mengedit file konfigurasi LDAP:
>
>
><pre caption="/etc/openldap/ldap.conf">
># nano -w /etc/openldap/ldap.conf
><codenote>Tambahkan berikut ini ...</codenote>
>
>BASE dc=genfic, dc=com
>URI ldaps://auth.genfic.com:636/
>TLS_REQCERT allow
></pre>
>
>
>Sekarang Anda akan membuat sertifikat SSL untuk mengamankan direktori Anda.
>Jawablah pertanyaan yang Anda terima sebaik-baiknya. Bila Anda ditanyai mengenai <e>Common Name</e>, masukkan nama klien yang akan digunakan untuk menghubungi server. Biasanya ini adalah nama domain lengkap (contohnya <path>auth.genfic.com</path>).
>
>
><pre caption="Membuat Sertifikat SSL">
># cd /etc/ssl
># openssl req -config /etc/ssl/openssl.cnf -new -x509 -nodes -out \
>ldap.pem -keyout /etc/openldap/ssl/ldap.pem -days 999999
></pre>
>
>
>Sekarang edit <path>/etc/conf.d/slapd</path> dan tambahkan berikut ini, kasih tanda komentar pada baris yang sudah ada: 
>
>
><pre caption="/etc/conf.d/slapd">
>OPTS="-h 'ldaps:// ldapi://%2fvar%2frun%2fopenldap%2fslapd.sock'"
></pre>
>
>
>Memulai slapd:
>
>
><pre caption = "Memulai SLAPd">
># /etc/init.d/slapd start
></pre>
>
>
>Anda bisa mengujinya dengan perintah berikut:
>
>
><pre caption = "Menguji daemon SLAPd">
># ldapsearch -D "cn=Manager,dc=genfic,dc=com" -W
></pre>
>
>
>Jika Anda menerima pesan kesalahan, coba tambahkan <c>-d 255</c> untuk menambahkan jumlah pesan yang bisa dibaca dan coba pecahkan masalah yang Anda hadapi.
>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Migrasi Data yang Ada</title>
><section>
><title>Migrasi Account User</title>
><body>
>
>
>Berikutnya, kita memindahkan account user. Buka file 
><path>/usr/share/migrationtools/migrate_common.ph</path> dan edit yang berikut ini:
>
>
><pre caption="/usr/share/migrationtools/migrate_common.ph">
>$DEFAULT_BASE = "dc=genfic,dc=com";
>$EXTENDED_SCHEMA = 1;
><comment># Buang tanda komentar pada baris berikut kecuali jika Anda tidak memiliki skema mail yang dimuat</comment>
><comment>#$DEFAULT_MAIL_DOMAIN = "genfic.com";</comment>
><comment>#$DEFAULT_MAIL_HOST = "mail.genfic.com";</comment>
></pre>
>
>
>Sekarang jalankan skrip migrasi:
>
>
><pre caption="Menjalankan skrip migrasi">
># export ETC_SHADOW=/etc/shadow
># cd /usr/share/migrationtools
># ./migrate_base.pl > /tmp/base.ldif
># ./migrate_group.pl /etc/group /tmp/group.ldif
># ./migrate_hosts.pl /etc/hosts /tmp/hosts.ldif
># ./migrate_passwd.pl /etc/passwd /tmp/passwd.ldif
></pre>
>
>
>Langkah terakhir adalah memindahkan file di atas ke file ldif yang bisa dibaca oleh LDAP. Sekarang tambahkan baris-baris berikut ini ke direktori kita:
>
>
><pre caption="Impor data ke direktori kita">
># ldapadd -D "cn=Manager,dc=genfic,dc=com" -W -f /tmp/base.ldif
># ldapadd -D "cn=Manager,dc=genfic,dc=com" -W -f /tmp/group.ldif
># ldapadd -D "cn=Manager,dc=genfic,dc=com" -W -f /tmp/passwd.ldif
># ldapadd -D "cn=Manager,dc=genfic,dc=com" -W -f /tmp/hosts.ldif
></pre>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Konfigurasi Otentikasi</title>
><section>
><title>Mengkonfigurasi PAM</title>
><body>
>
>
>Berikutnya, kita akan mengkonfigurasi PAM untuk mengijinkan otorisasi LDAP. Tambahkan baris-baris berikut pada <path>/etc/pam.d/system-auth</path>:
>
>
><pre caption="/etc/pam.d/system-auth">
>auth sufficient /lib/security/pam_ldap.so use_first_pass
>account sufficient /lib/security/pam_ldap.so
>password sufficient /lib/security/pam_ldap.so use_authtok
>session required /lib/security/pam_mkhomedir.so skel=/etc/skel/ umask=0
>session optional /lib/security/pam_ldap.so
></pre>
>
>
>Sekarang ubah <path>/etc/ldap.conf</path> untuk membaca:
>
>
><pre caption="/etc/ldap.conf">
><comment>#host 127.0.0.1</comment>
><comment>#base dc=padl,dc=com</comment>
>
>ssl start_tls
>ssl on
>suffix "dc=genfic,dc=com"
><comment>#rootbinddn uid=root,ou=People,dc=genfic,dc=com</comment>
>
>uri ldaps://auth.genfic.com/
>pam_password exop
>
>ldap_version 3
>pam_filter objectclass=posixAccount
>pam_login_attribute uid
>pam_member_attribute memberuid
>nss_base_passwd ou=People,dc=genfic,dc=com
>nss_base_shadow ou=People,dc=genfic,dc=com
>nss_base_group ou=Group,dc=genfic,dc=com
>nss_base_hosts ou=Hosts,dc=genfic,dc=com
>
>scope one
></pre>
>
>
>Akhirnya, konfigurasikan klien Anda sehingga account sistem mereka dicek melalui LDAP:
>
>
><pre caption="/etc/nsswitch.conf">
>passwd: files ldap
>group: files ldap
>shadow: files ldap
></pre>
>
>
>Untuk menguji perubahan tersebut, ketikkan:
>
>
><pre caption="Testing LDAP Auth">
># getent passwd|grep 0:0
>
><codenote>Anda akan mendapatkan dua baris jawaban:</codenote>
>root:x:0:0:root:/root:/bin/bash 
>root:x:0:0:root:/root:/bin/bash
></pre>
>
>
>Jika Anda perhatikan, satu dari beberapa baris yang Anda masukkan ke dalam konfigurasi <path>/etc/ldap.conf</path> diberi tanda komentar (baris <c>rootbinddn</c>): Anda tidak membutuhkannya kecuali jika Anda sebagai superuser ingin mengubah password user. Dalam kasus ini Anda perlu memunculkan password root ke <path>/etc/ldap.secret</path> dalam bentuk teks biasa. Ini <brite>BERBAHAYA </brite> dan harus di-chmod ke 600. Apa yang saya lakukan adalah menjaga file tersebut tetap kosong dan ketika saya perlu mengubah password seseorang yang berada di ldap dan <path>/etc/passwd</path>, saya meletakkan pass tersebut di file tersebut selama 10 detik selama saya mengubahnya dan membuangnya setelah selesai. 
>
>
></body>
></section>
>
><section>
><title>Perijinan OpenLDAP</title>
><body>
>
>
>Jika kita perhatikan <path>/etc/openldap/slapd.conf</path> Anda akan menyadari bahwa Anda dapat menentukan ACL (perijinan jika Anda senang istilahnya) untuk data yang bisa dibaca dan/atau ditulisi oleh user:
>
>
><pre caption="/etc/openldap/slapd.conf">
>access to *
> by dn="uid=root,ou=people,dc=genfic,dc=com" write
> by users read
> by anonymous auth
>access to attrs=userPassword,gecos,description,loginShell
> by self write
></pre>
>
>
>Konfigurasi ini memberikan Anda hak untuk akses ke semua hal yang bisa diubah oleh user. Jika informasi itu milik Anda, maka Anda mempunyai hak tulis kepadanya; jika informasi itu milik user yang lain maka Anda bisa membacanya; orang-orang yang tidak dikenal bisa mengirimkan login/pass untuk mendapatkan login. Ada 4 tingkat, dari yang paling bawah sampai yang paling tinggi: <c>auth mencari membaca menulis</c>.
>
>
>
>ACL berikut lebih aman karena membatasi user biasa untuk membaca password orang lain yang dishadow:
>
>
><pre caption="/etc/openldap/slapd.conf">
>access to dn=".*,dc=genfic,dc=com" attr="userPassword"
> by dn="uid=root,ou=people,dc=genfic,dc=com" write
> by dn="uid=John, ou=People,dc=genfic,dc=com" write
> by anonymous auth
> by self write
> by * search
> 
>access to *
> by dn="uid=root,ou=People,dc=genfic,dc=com" write
> by * read
></pre>
>
>
>Contoh ini memberikan root dan John akses untuk membaca/menulis/mencari segala sesuatu pada pohon di bawah <path>dc=genfic,dc=com</path>. Konfigurasi ini juga memungkinkan user mengubah <path>userPassword</path> mereka. Pada pernyataan terakhir, orang-orang yang lain hanya memiliki kemampuan untuk mencari, yang berarti mereka dapat mengisi filter cari, tetapi tidak dapat membaca hasil pencarian. Sekarang Anda bisa memiliki banyak ACL, tetapi aturannya tetap yaitu diproses dari bawah ke atas, sehingga tingkat paling atas Anda seharusnya merupakan ACL yang paling terbatas. 
>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Bekerja dengan OpenLDAP</title>
><section>
><title>Memelihara direktori</title>
><body>
>
>
>Anda bisa mulai menggunakan direktori untuk mengotentikasi user pada 
>apache/proftpd/qmail/samba. Anda bisa mengaturnya dari Webmin, yang memberikan kemudahan untuk interaksi pengaturannya. Anda juga bisa menggunakan gq atau directory_administrator. 
>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Ucapan terima kasih</title>
><section>
><body>
>
>
>Kami ingin berterima kasih kepada Matt Heler yang telah meminjamkan komputernya untuk tujuan penulisan panduan ini. Terima kasih juga kepada teman-teman yang menyenangkan di #ldap @ irc.freenode.net.
>
>
></body>
></section>
>
></chapter>
></guide>

Actions: View

Attachments on bug 44110: 27080 | 27128 | 27137 | 27146