LDAP 认证服务¶

概要: 本文介绍在Docker环境下部署LDAP认证服务，并在WebUI上管理用户。同时介绍一部分应用的LDAP配置

创建时间: 2023.06.28 00:36:09

更新时间: 2023.08.03 00:10:02

认识LDAP¶

LDAP协议¶

LDAP是轻量目录访问协议（Lightweight Directory Access Protocol）的缩写，主要用于查询和修改目录服务提供者（如Active Directory）中的项目，它以树状结构存储数据库，读的性能高，但写入性能差，在企业中被广泛用于管理用户、组织结构以及权限等（不经常变更的数据）。
此外，AD（Active Directory）是微软实现的支持LDAP协议的数据库。

LDAP概念¶

DN（Distinguished Name），专有名称，LDAP中对象的唯一路径，一般而言由下面的几部分组成：

DC（Domain Component），域组件，可以理解为域名的组成部分，LDAP中至少有一个DC。如 hello.org 可以表示为 dc=hello,dc=org
OU（Organisation Unit），组织单元，类比公司中的部门。
CN（Common Name），代表一个具体实例，即具体用户的名称（非路径）

Base DN处于目录树的顶级，可以理解为根，如hello.org的Base DN为dc=hello,dc=org

LDAP解析¶

举例，如果张三在A公司（hello.org）的IT部门，那么张三的DN为CN=ZhangSan,OU=ITDepartment,DC=hello,DC=org，查找顺序则由DC到CN，即：

DC=org
DC=hello
OU=ITDepartment
CN=ZhangSan

此外，如果A公司还有子公司，假如李四在子公司（subdomain.hello.org）的销售部，那么李四的DN为CN=LiSi,OU=SaleDepartment,DC=subdomain,DC=hello,DC=org，查找顺序也是由DC到CN，即：

DC=org
DC=hello
DC=subdomain
OU=SaleDepartment
CN=LiSi

LDAP搜索¶

LDAP支持的过滤器语法如下：

= 等于
& 逻辑与
| 逻辑或
! 逻辑非
* 通配符号

部署LDAP服务¶

使用docker-compose方式，docker-compose.yaml配置文件如下

YAML
# https://hub.docker.com/r/wheelybird/ldap-user-manager
version: "3"

services:
  ldap-server:  # https://github.com/osixia/docker-openldap
    image: osixia/openldap:latest
    container_name: ldap_server
    restart: always
    environment:
      - LDAP_ORGANISATION=hello
      - LDAP_DOMAIN=hello.org
      - LDAP_BASE_DN=dc=hello,dc=org
      - LDAP_ADMIN_PASSWORD=bad_pw_123
      - LDAP_RFC2307BIS_SCHEMA=true
      - LDAP_REMOVE_CONFIG_AFTER_SETUP=true
      - LDAP_TLS_VERIFY_CLIENT=never
    ports:
      - "20389:389"
    volumes:
      - ./openldap/var_lib_ldap:/var/lib/ldap
      - ./openldap/etc_ldap_slapd.d:/etc/ldap/slapd.d
    networks:
      - ldap-network

  ldap-manager:  # https://github.com/wheelybird/ldap-user-manager
    image: wheelybird/ldap-user-manager:latest
    container_name: ldap_manager
    restart: always
    environment:
      - LDAP_URI=ldap-server
      - LDAP_BASE_DN=dc=hello,dc=org
      - LDAP_ADMINS_GROUP=admins
      - LDAP_ADMIN_BIND_DN=cn=admin,dc=hello,dc=org
      - LDAP_ADMIN_BIND_PWD=bad_pw_123
      - LDAP_IGNORE_CERT_ERRORS=true
    ports:
      - "20080:80"
      - "20443:443"
    networks:
      - ldap-network

networks:
  ldap-network:
    name: ldap-network
    driver: bridge

配置项注意

ldap-server服务中的LDAP_ADMIN_PASSWORD和ldap-manager服务中的LDAP_ADMIN_BIND_PWD两个密码必须相同，为LDAP服务初始化的管理密码，注意务必更改密码，不要与上文配置示例一样
两级dc，即dc=hello,dc=org，与域名LDAP_DOMAIN=hello.org保持一致，可以理解为组织名和域名后缀，注意上下必须保持一致
在管理页面，我们登录的凭据中DN（Distinguished Name）作为唯一标识符，为cn=admin,dc=hello,dc=org，与之对应的登录密码为LDAP_ADMIN_BIND_PWD
在访问WebUI时，浏览器必须使用容器中443向宿主机映射的端口20443才能访问，必须使用https前缀访问

配置LDAP服务¶

初始化管理员帐户¶

假设我们部署的机器IP为127.0.0.1，那么首先进入 https://127.0.0.1:20443/setup，忽略浏览器警告，点击高级，点击继续前往

输入docker-compose.yaml文件中LDAP_ADMIN_BIND_PWD的密码，点击登录

接下来是对于我们在启动服务时一些配置的确认，以及创建LDAP OU和初始化群组和配置，直接默认即可，点击继续

然后创建管理员帐户，此帐户用户在WebUI登录对已有帐户进行管理

然后我们创建一个管理员张三

初始化完毕