Openldap AD Proxy?

Question

[Александр]

Прошу помочь понять схему работы Openldap.

Хочу настроить Openfire сервер для обслуживания двух доменов. Начитался про Openldap, говорят это то, что нужно. Но вот настроить никак не получается.

Есть Ubuntu Server 14.04.3 LTS, на нем Openfire 3.10.0 и установил slapd, ldap-utils. Две корпоративные сети соединены по VPN.

Хочется, чтобы пользователи двух доменов, могли авторизоваться на этом сервере Openfire. То есть нужно настроить Openldap, чтобы он запрашивал информацию у контролеров домена.

Пока пытаюсь настроить, чтобы Openldap видел хотя бы один домен.

Сейчас конфиг выглядит вот так:

cat /etc/ldap/ldap.conf
BASE    cn=users,cn=office,dc=company,dc=ru
URI     ldap://srv1.company.ru

cat /etc/ldap/slapd.conf
include     /etc/ldap/schema/core.schema
include     /etc/ldap/schema/cosine.schema
include     /etc/ldap/schema/inetorgperson.schema
include     /etc/ldap/schema/nis.schema
include     /etc/ldap/schema/samba.schema

modulepath              /var/lib/ldap
moduleload              back_ldap

pidfile     /var/run/slapd/slapd.pid
argsfile    /var/run/slapd/slapd.args

defaultsearchbase "OU=users,OU=office,DC=company,DC=ru"

idletimeout 60

access to * by * read

### Proxy to AD company.ru ####################
database                ldap
suffix                  "OU=users,OU=office,DC=company,DC=ru"
readonly                yes
protocol-version        3
uri                     "ldap://srv1.company.ru"
rebind-as-user
idassert-bind bindmethod=simple
binddn= "CN=openfire,CN=Managed Service Accounts,DC=company,DC=ru"
rootpw {SSHA}ViOcMGF7U8VV+/NV7F4sQwM78
credentials=open
mode=none
idassert-authzFrom “*”

loglevel                0

Делаю рестарт сервера

sudo service slapd restart
 * Stopping OpenLDAP slapd   [ OK ]
 * Starting OpenLDAP slapd    [ OK ]

netstat -al
Активные соединения с интернетом (servers and established)
tcp        0      0 *:ldap                  *:*                     LISTEN
tcp6       0      0 [::]:ldap               [::]:*                  LISTEN

И вот тут я не могу понять работу сервера. Команда ldapsearch не выдает никаких результатов, хотя, как я понимаю, должна выдать все учетки в AD.

ldapsearch -h localhost -x
# extended LDIF
#
# LDAPv3
# base <cn=users,cn=office,dc=company,dc=ru> (default) with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# search result
search: 2
result: 32 No such object

# numResponses: 1

Comments

[Александр]

Дополнение: Команда ldapsearch -x -H ldap://srv1.company.ru -D admin -W и соответственно пароль доменного админа, выдает список пользователей домена.
Но вот как теперь подружить локальный ldap сервер с AD, чтобы запросы перенаправлялись к нему

Answer 1

[Сергей Галактионов]

BASE dc=company,dc=ru

Попробуйте искать от корня

Comments

[Александр]

Поставил, перезапустил сервис, всё равно так же:

:~$ ldapsearch -h localhost -x
# extended LDIF
#
# LDAPv3
# base <dc=company,dc=ru> (default) with scope subtree
# filter: (objectclass=*)
# requesting: ALL

# search result
search: 2
result: 32 No such object

[Сергей Галактионов]

defaultsearchbase и suffix тоже поправили ?

[Александр]

Нет. Теперь поправил. Вывод тот же.

[Александр]

А может он slapd.conf не подтягивает?

Answer 2

[Александр]

Дополнение:
Оказывается в новых версия Openldap, вся настройка производится с помощью cn=config, а slapd.conf больше не используется. Причем, при изменении cn=config изменения применяются автоматически, без перезагрузки slapd.

Comments

[Александр]

Поправил конфиг /etc/ldap/slapd.d/cn=config.ldif

dn: olcDatabase={3}ldap,cn=config
objectClass: olcDatabaseConfig
objectClass: olcLDAPConfig
cn: config
olcArgsFile: /var/run/slapd/slapd.args
olcLogLevel: -1
olcPidFile: /var/run/slapd/slapd.pid
olcToolThreads: 1
structuralObjectClass: olcGlobal
olcDatabase: {3}ldap
olcSuffix: dc=company,dc=ru
olcDbURI: "ldap://srv1.company.ru"
olcDbRebindAsUser: TRUE
olcDbChaseReferrals: FALSE
olcDbNoRefs: TRUE

dn: olcOverlay=rwm,olcDatabase={3}ldap,cn=config
objectClass: olcOverlayConfig
objectClass: olcRwmConfig
olcOverlay: {0}rwm
olcRwmMap: attribute    uid                 samaccountname
olcRwmMap: attribute    x-local-edu-axcode  userprincipalname

Теперь другая ошибка.
ldapsearch -h localhost -x
ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)

Пока разбираюсь.