体系结构

OpenLDAP 与 IBM Spectrum Symphony 之间的集成涉及以下组件:

1. OpenLDAP 目录服务: 此组件存储和管理用户认证数据，例如用户名和密码。
2. IBM Spectrum Symphony 分布式计算平台: 此组件使用 OpenLDAP 中的认证数据来认证用户，并使他们能够运行分析和数据密集型应用程序。
3. LDAP 认证过程: 此过程使 IBM Spectrum Symphony 能够与 OpenLDAP 通信，并使用其现有凭证对用户进行认证。

OpenLDAP 与 IBM Spectrum Symphony 体系结构集成支持集中用户管理，提高安全性和简化用户认证。 该集成还允许使用现有认证凭证，从而减少用户记住多个登录凭证的需求。 总体而言，该架构为分布式计算环境中的用户认证和目录管理提供了稳健高效的解决方案。

准备工作

开始之前，请务必查看以下先决条件:

配置 OpenLDAP 服务器

确保您有权访问具有 root 用户特权的 RHEL 7.9 Linux® 系统。

1. 通过运行以下命令来安装 OpenLDAP 服务器和客户机软件包:

   yum -y install openldap-servers openldap-clients
   

2. 将 DB_CONFIG.example 文件复制到 /var/lib/ldap 目录，并通过运行以下命令将其所有权更改为 ldap 用户:

   cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
   chown ldap. /var/lib/ldap/DB_CONFIG
   

3. 通过运行以下命令，启动 slapd 服务并使其能够在引导时自动启动:

   systemctl start slapd
   systemctl enable slapd
   

4. 通过运行 slappasswd 命令来生成管理密码。 系统会提示您输入密码。 例如：

   slappasswd
   

   您会看到类似于以下内容的输出:

   示例输出：

   {SSHA}FUMV8TZ9lZQxABxCBE5UZ+oU/dlwf/d4
   

   请注意稍后生成的密码散列 (在本例中为 {SSHA}FUMV8TZ9lZQxABxCBE5UZ+oU/dlwf/d4)。

5. 创建名为 chrootpw.ldif 的文件，并向其添加以下行:

   dn: olcDatabase={0}config,cn=config
   changetype: modify
   add: olcRootPW
   olcRootPW: {SSHA}FUMV8TZ9lZQxABxCBE5UZ+oU/dlwf/d4
   

   将 olcRootPW 值替换为您在上一步中生成的密码散列。

6. 通过运行以下命令来导入基本模式:

   ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/cosine.ldif
   ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/nis.ldif
   ldapadd -Y EXTERNAL -H ldapi:/// -f /etc/openldap/schema/inetorgperson.ldif
   

7. 通过再次运行 slappasswd 命令来生成管理器密码。 例如：

   slappasswd
   

   您会看到类似于以下内容的输出:

   示例输出：

   {SSHA}TVW9z6WLIBC3EXtFHFWnb2EVlK7EZQ3b
   

   请注意稍后生成的密码散列 (在本例中为 {SSHA}TVW9z6WLIBC3EXtFHFWnb2EVlK7EZQ3b)。

8. 通过创建名为 chdomain.ldif 的文件并向其添加以下行，添加管理器密码并启用管理器帐户:

   # DC should be your domain
   # specify the password generated above for "olcRootPW" section
   dn: olcDatabase={1}monitor,cn=config
   changetype: modify
   replace: olcAccess
   olcAccess: {0}to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth"
     read by dn.base="cn=Manager,dc=ibmsymphony,dc=com" read by * none
   dn: olcDatabase={2}hdb,cn=config
   changetype: modify
   replace: olcSuffix
   olcSuffix: dc=ibmsymphony,dc=com
   dn: olcDatabase={2}hdb,cn=config
   changetype: modify
   replace: olcRootDN
   olcRootDN: cn=Manager,dc=ibmsymphony,dc=com
   dn: olcDatabase={2}hdb,cn=config
   changetype: modify
   add: olcRootPW
   olcRootPW: {SSHA}TVW9z6WLIBC3EXtFHFWnb2EVlK7EZQ3b
   dn: olcDatabase={2}hdb,cn=config
   changetype: modify
   add: olcAccess
   olcAccess: {0}to attrs=userPassword,shadowLastChange by
     dn="cn=Manager,dc=ibmsymphony,dc=com" write by anonymous auth by self write by * none
   olcAccess: {1}to dn.base="" by * read
   olcAccess: {2}to * by dn="cn=Manager,dc=ibmsymphony,dc=com" write by * read
   

   将 {SSHA} 值替换为您在上一步中生成的密码散列。

9. 通过运行以下命令来应用更改:

   ldapmodify -Y EXTERNAL -H ldapi:/// -f chdomain.ldif
   

10. 创建名为 basedomain.ldif 的文件，并向其添加以下行:

dn: dc=ibmsymphony,dc=com
objectClass: top
objectClass: dcObject
objectclass: organization
o: WES Migration
dc: ibmsymphony
dn: cn=Manager,dc=ibmsymphony,dc=com
objectClass: organizationalRole
cn: Manager
description: Directory Manager
dn: ou=People,dc=ibmsymphony,dc=com
objectClass: organizationalUnit
ou: People
dn: ou=Group,dc=ibmsymphony,dc=com
objectClass: organizationalUnit
ou: Group

11. 通过运行以下命令来应用上一步中所做的更改:

ldapadd -x -D cn=Manager,dc= ibmsymphony,dc=com -W -f basedomain.ldif

12. 使用编辑器 (例如 VI) 创建名为 ldapuser.ldif 的文件，并向其添加以下行 (在 "dc=***,dc=***" 部分中替换为您自己的必需域名):

dn: uid=symphonyuser03,ou=People,dc=ibmsymphony,dc=com
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
cn: symphonyuser03
sn: Linux
userPassword: {SSHA}+A6gC87JU5ugW6qthWL2HGYzsQIdN1EN
loginShell: /bin/bash
uidNumber: 1003
gidNumber: 1003
homeDirectory: /home/symphonyuser03
dn: cn=symphonyuser03,ou=Group,dc=ibmsymphony,dc=com
objectClass: posixGroup
cn: symphonyuser03
gidNumber: 1003
memberUid: symphonyuser03

将 {SSHA} 值替换为先前生成的密码散列。

13. 通过运行以下命令来应用更改:

ldapadd -x -D cn=Manager,dc= ibmsymphony,dc=com -W -f ldapuser.ldif

14. 要验证是否已创建用户，请使用以下命令:

ldapsearch -x -LLL -b "ou=People,dc=ibmsymphony,dc=com" "(objectClass=posixAccount)" uid cn

OpenLDAP 服务器现已配置完毕，可供使用。 通过创建更多 LDIF 文件并使用 ldapadd 命令将这些文件导入到目录中，可以添加更多用户和组。

在 OLDAP 目录中创建用户组

现在已配置 OpenLDAP 服务器，您需要在 OLDAP 目录中创建用户组，该用户组由应该访问 LSF 集群的用户组成。

1. 要创建组，请使用 ldapadd 命令将组的 LDIF 条目添加到 LDAP 目录。 例如，要创建名为 "SymphonyAdmin" 和 "Symphonyconsumer" 的组，可以创建具有以下内容的 LDIF 文件:

   # create an organizational unit for groups
   dn: ou=groups,dc=ibmsymphony,dc=com
   objectClass: organizationalUnit
   ou: groups
   
   # create a group called "SymphonyAdmin"
   dn: cn=SymphonyAdmin,ou=groups,dc=ibmsymphony,dc=com
   objectClass: top
   objectClass: posixGroup
   gidNumber: 1001
   cn: SymphonyAdmin
   description: SymphonyAdmin group
   
   # create a group called "Symphonyconsumer"
   dn: cn=Symphonyconsumer,ou=groups,dc=ibmsymphony,dc=com
   objectClass: top
   objectClass: posixGroup
   gidNumber: 1002
   cn: Symphonyconsumer
   description: Symphonyconsumer group
   

   在此示例中，第一个条目创建名为 "groups" 的组织单元。 接下来的两个条目将创建名为 "SymphonyAdmin" 和 "Symphonyconsumer" 的组。

   每个组条目指定 objectClass "top" 和 "posixGroup" 以定义组的模式。 gidNumber 属性指定组的唯一标识，而 cn 属性指定组的公共名称。 最后，description 属性提供组的简要描述。

2. 您可以将上一步中的内容保存在具有 .ldif 扩展名的文件 (例如 groups.ldif) 中，然后使用 ldapadd 命令将这些组条目添加到 LDAP 目录中。 请参阅以下示例 ldapadd 命令:

   ldapadd -x -D cn=Manager,dc=ibmsymphony,dc=com -W -f groups.ldif
   
   [root@oldapserverlsfcl ~]# ldapsearch -x -D cn=Manager,dc=ibmsymphony,dc=com -W -b "ou=groups,dc=ibmsymphony,dc=com" "(objectClass=posixGroup)"
   
   Enter LDAP Password:
   
   # extended LDIF
   #
   # LDAPv3
   # base <ou=groups,dc=ibmsymphony,dc=com> with scope subtree
   # filter: (objectClass=posixGroup)
   # requesting: ALL
   #
   
   # SymphonyAdmin, groups, ibmsymphony.com
   dn: cn=SymphonyAdmin,ou=groups,dc=ibmsymphony,dc=com
   objectClass: top
   objectClass: posixGroup
   gidNumber: 1001
   cn: SymphonyAdmin
   description: SymphonyAdmin group
   memberUid: symphonyuser02
   memberUid: symphonyuser01
   
   # Symphonyconsumer, groups, ibmsymphony.com
   dn: cn=Symphonyconsumer,ou=groups,dc=ibmsymphony,dc=com
   objectClass: top
   objectClass: posixGroup
   gidNumber: 1002
   cn: Symphonyconsumer
   description: Symphonyconsumer group
   memberUid: symphonyuser03
   memberUid: symphonyuser04
   
   # search result
   search: 2
   result: 0 Success
   

此输出显示在 ou=groups,dc=ibmsymphony,dc=com 组织单元中有两个组条目: "SymphonyAdmin" 和 "Symphonyconsumer"。

稍后，您可以使用 ldapmodify 命令将现有用户添加到这些组。 在先前的 ldapsearch 输出中，两个用户被视为每个组的成员。

在客户端机器上配置 LDAP 认证

接下来，您需要将运行 RHEL 8.4/8.6 的客户机的 LDAP 认证配置为操作系统，将 OLDAP 服务器配置为认证提供程序或身份提供者。 在这种情况下，OLDAP 客户机是 Symphony 集群，因此以下步骤适用于在 RHEL 8.4/8.6 Linux® 机器上运行的 Symphony 集群节点。

在以下步骤中，确保将 "dc=***,dc=***" 部分中的域名替换为您自己的域名。

1. 请运行以下命令：

   yum -y install openldap-clients nss-pam-ldapd
   

   yum install authselect sssd oddjob oddjob-mkhomedir
   

   authconfig --enablesssd --enablesssdauth --update
   

2. 启用 SSSD 认证概要文件:

   authselect select sssd
   

3. 将 LDAP 服务器 URL 和基本搜索 DN 添加到 /etc/openldap/ldap.conf 文件，如以下示例中所示:

   URI ldap://ibmsymphony.com/ or IP address will also work
   BASE dc=ibmsymphony,dc=com
   

4. 在 /etc/sssd 目录中，使用以下内容创建文件 sssd.conf :

   [domain/default]
   autofs_provider = ldap
   cache_credentials = True
   ldap_search_base = dc=ibmsymphony,dc=com
   id_provider = ldap
   auth_provider = ldap
   chpass_provider = ldap
   ldap_uri = ldap://<ip address of the LDAP Server>
   enumerate = true
   access_provider = simple
   ldap_id_use_start_tls = false
   ldap_tls_reqcert = never
   
   [sssd]
   services = nss, pam, autofs
   domains = default
   
   [nss]
   homedir_substring = /home
   

   使用基本 DN 更新 ldap_search_base 参数，并使用 LDAP 服务器的 URL 更新 ldap_uri。

5. 更改 /etc/sssd/sssd.conf 文件的许可权:

   chmod 600 /etc/sssd/sssd.conf
   

6. 重新启动并启用 SSSD:

   systemctl restart sssd
   systemctl enable sssd
   

7. 运行以下命令以启用 mkhomedir 功能部件:

   sudo authselect enable-feature with-mkhomedir
   

8. 验证 mkhomedir 是否已启用:

   [root@icgen2host-10-240-0-39 ~]# authselect current
   Profile ID: sssd
   Enabled features:
   - with-mkhomedir
   

9. 启用并重新启动 oddjobd.service:

   systemctl enable --now oddjobd.service
   systemctl restart oddjobd.service
   

SSSD 配置为在 RHEL 8.4/8.6 系统上使用 LDAP 服务器 "ibmlsf.com" 进行用户认证。

配置 Symphony 集群

在操作系统层配置 LDAP 客户机认证后，需要配置在 LDAP 客户机上托管的集群，以将 Symphony 集群与 OLDAP 服务器完全集成。 这包括为使用认证插件的 PAM 和缺省客户机配置认证，这将启用 Symphony 集群的用户管理。

结论

OpenLDAP 与 IBM Spectrum Symphony 集成，以提供集中式认证和目录服务。