配置linux主机使用ldap用户

目的：linux系统默认使用自己的Unix用户，我们有时需要多台主机都使用同一个用户，这样的还用户管理就比较麻烦。比较简单的解决方法是配置这些linux主机都使用同一个ldap的用户，这样只需要在ldap中进行用户更改即可，不再需要所有主机都进行更改了。

配置客户端：

a、安装ldap客户端：

yum install nss-pam-ldapd pam_ldap -y 

b、图形化配置：

LANG=C authconfig-tui

或者用命令修改：

authconfig --enablemkhomedir --disableldaptls --enableldap --enableldapauth --ldapserver=ldap://110.1.236.51 --ldapbasedn='dc=yinkp,dc=com' --update

cat /etc/sysconfig/authconfig |grep yes 

1、增加/etc/openldap/ldap.conf

2、修改 /etc/nsswitch.conf中sss为ldap

3、 修改/etc/pam.d/system-auth，/etc/pam.d/password-auth

sed -i 's/pam_sss.so/pam_ldap.so/g' /etc/pam.d/system-auth

sed -i 's/pam_sss.so/pam_ldap.so/g' /etc/pam.d/password-auth

4、修改sssd配置文件：

vi /etc/sssd/sssd.conf

5、修改nslcd配置文件：

vi /etc/nslcd.conf

6、重启nslcd/sssd

service nslcd restart

service sssd restart

验证：

切换为系统中没有，ldap中有的用户。如果OK，则成功。

ldapsearch -x -b 'ou=people,dc=yinkp,dc=com'

批量修改主机使用ldap用户：

分发上面已经配置好的主机上的文件到其它linux主机

注：如果没有分发脚本，也可以一个一个文件scp

deploy.sh /etc/sysconfig/authconfig /etc/sysconfig/ all

deploy.sh /etc/openldap/ldap.conf /etc/openldap/ all

deploy.sh /etc/nsswitch.conf /etc/ all

deploy.sh /etc/pam.d/system-auth /etc/pam.d/ all

deploy.sh /etc/sssd/sssd.conf /etc/sssd/ all

deploy.sh /etc/nslcd.conf /etc/ all

重启nslcd/sssd服务

runRemoteCmd.sh "/bin/systemctl restart  nslcd.service &&/bin/systemctl restart  sssd.service" ldap_client

安装完以后，如果要添加用户，一般是通过写ldif文件进行添加。如果想用图形界面，就下载client.

另外，如果想方便地进行配置，建议使用suse linux,其中有图形的管理工具。并且可以在官网上下载文档。

os: ubuntu 18

apache2: 2.4.29

php: 7.2

lam: 6.5

slapd: 2.4.45

slapd: ldap server。

ldap-utils: ldap常用命令工具集。

migrationtools: 一个把系统用户和组迁移到ldap上的一个工具（可以不装）。

依次为: NO, potens.top, china,123456,123456,MDB,NO,YES

查看admin用户

输入profile的密码进入配置

分为四个设置

general setting: 通用设置。服务器地址、后缀、登录方式、密码等

account type: 账户类型。账号的类型相关的属性设置。

modules: 模块。用户和用户组相关模块的配置。

module setting: 模块设置。用户个人信息的及id的范围。

general setting->设置ldap的地址

general setting->账号查找类型

account type->账号相关的设置

其他两个先保持默认。保存设置，回到登录页。

切换语言列表登录，必须保证lam所在的服务器存在对应的语言包，如果没有使用安装语言包

找到zh_cn.UTF-8 按空格选中

创建admin profile

登录方法需要选择固定列表 admin用户不支持搜索登录

选择admin进行登录

创建dev开发组

创建yanshaowen用户

lam settting ->Edit server profiles->选择potens

vim /www/ldap-account-manager/lib/modules.inc

---