= LDAP =

<<TableOfContents>>

LDAP est un annuaire standardisé pour stocker des données d'utilisateurs, de machines, de services ... LDAP est souvent représenté par un arbre, constituée d'un ensemble d'attributs, définis dans des schémas. Je renvoie vers [[ https://linuxfr.org/users/peb--2/journaux/gestion-de-ldap-sous-debian-openldap | cette page ]] pour plus d'information.

Depuis 2020, on a séparé l'annuaire en deux : D'une part les adhérents de l'association et leurs machines, géré par re2o, à partir d'une base de données.

D'autre, un annuaire pour les membres actifs, afin de séparer le compte d'administration du compte Crans utilisé pour accéder aux services (en particulier la connexion Wifi).


== Base des membres actifs ==

=== Connexion ===

Le LDAP écoute uniquement sur son interface adm en LDAPS et en local sur [[ CransTechnique/LesServeurs/ServeurTealc | tealc ]]. Pour s'y connecter, on peut faire une redirection de ports comme par exemple:

{{{
ssh -L 1636:172.16.10.1:636 tealc.adm.crans.org -J charybde.adm.crans.org
}}}

Attention, certains roles Ansible utilisent le ldap, donc cette redirection de ports est nécessaire pour lancer ceux-ci.


Il existe un certain nombres de scripts pour manipuler le LDAP. Ils sont accessibles dans le dépot git [[ https://gitlab.crans.org/nounous/crans-ldap.git | crans-ldap ]].


=== Détail ===

Ce ldap contient deux groupes: 

 * {{{user}}}: Qui contient tout le monde (apprentis+nounous).
 * {{{nounous}}}: Qui contient les nounous et qui permet aux gens de sudo sur les serveurs.

On a configuré {{{nsswitch}}} sur tous les serveurs pour qu'ils privilégient les requêtes LDAP avant de faire une requete DNS.

Les machines sont accessibles via un {{{ getent host }}} sur tealc.


== Schéma ==
Voici la hiérarchie actuelle du LDAP (Décembre 2020):

{{{
dc=crans,dc=org
|
+-ou=group
| +-cn=nounou (posixGroup)
| +-cn=user (posixGroup)
|
+-ou=hosts
| +-cn=machine (device)
|   +-cn=machine.adm.crans.org+ipHostNumber=172.16.1.100 (device, ipHost, ieee802Device)
|
+-ou=networks
| +-cn=adm (ipNetwork)
|
+-ou=passwd
| +-uid=_nom (inetOrgPerson, posixAccount)
|
+-ou=services
  +-cn=ssh (ipService)
}}}

Les machines sont ajoutées dans {{{ou=hosts}}} et leurs interfaces sont regroupées sous des objets de classe device, {{{ipHost}}} permet d'ajouter une ip et {{{ieee802Device}}} permet d'ajouter un attribut {{{macAddress}}} à l'interface.

Les ouvertures de port sont configurées dans les descriptions des machines comme ceci :

{{{
description: in:service1,in:service2,out:service3
}}}

Les services sont définis dans {{{ou=services}}}, par exemple:

{{{
dn: cn=ssh,ou=services,dc=crans,dc=org
objectClass: ipService
cn: ssh
ipServicePort: 22
ipServiceProtocol: tcp
}}}

Pour spécifier une range de port on met le port de fin dans le champ description du service.

== Quelques mots sur la configuration ==

Par défaut, la configuration de l'annuaire LDAP est dans la base LDAP elle-même. Mais on trouve ça peu pratique, et il est possible de la déplacer dans un fichier texte : {{{ /etc/ldap/slapd.conf }}}. Pour cela, il suffit de supprimer {{{ /etc/ldap/slapd.d }}} et de restart sladp.

Pour faire écouter uniquement en LDAPS sur adm, on a ajouté dans {{{ /etc/default/slapd }}}

{{{ 
SLAPD_SERVICES="ldaps://172.16.1.1/ ldapi:///"
}}}



Pour que les nounous puissent modifier les mots de passe des utilisateurs et que chacun puisse modifier son mot de passe, on ajoute la configuration suivante :

{{{
access to attrs=userPassword,shadowLastChange
        by anonymous auth
        by self write
        by set="[cn=nounou,ou=group,dc=crans,dc=org]/memberUid & user/uid" write
        by * none
}}}

Pour que tout le monde puisse modifier son shell, mail et numéro de téléphone et que les nounous puissent modifier ceux des autres

{{{
access to attrs=loginShell,mail,telephoneNumber
        by self write
        by set="[cn=nounou,ou=group,dc=crans,dc=org]/memberUid & user/uid" write
        by * read
}}}

Pour que les nounous puissent modifier tout le reste
{{{
access to *
        by set="[cn=nounou,ou=group,dc=crans,dc=org]/memberUid & user/uid" write
        by * read
}}}

Le LDAPS a été configuré avec un certificat autosigné valable 1000 ans:
{{{
TLSCertificateFile /etc/ldap/ldap.pem
TLSCertificateKeyFile /etc/ldap/ldap.key
}}}


 * {{{%nounou ALL=(ALL:ALL) ALL}}} a été ajouté dans le fichier {{{/etc/sudoers.d/nounou}}} pour que les nounous puissent sudo sur le serveur.

 * Les machines sont stockées dans la base ldap avec leur ip et leur mac.

=== Overlays ===

Les overlays sont des modules pour slapd (le serveur LDAP) on utilise plusieurs overlays dans la base de données des membres actifs. Tout est spécifié dans {{{ /etc/ldap/slapd.conf }}}

==== auditlog ====

Auditlog permet de logguer les modifications faites à la base LDAP dans un fichier LDIF.

==== constraint ====

Constraint permet de restreindre certains atttributs à certaines valeurs, par exemple on force l'`uid` d'un membre actif à commencer par `_`. 

{{{
constraint_attribute uid regex ^_
  restrict=ldap:///ou=passwd,dc=crans,dc=org??one?(objectClass=posixAccount)
}}}




== Base des adhérents ==

Depuis l'été 2018, nous utilisons au Cr@ns un backend LDAP exporté par [[CransTechnique/Services/Re2o | Re2o]]. Le serveur principal est [[CransTechnique/LesServeurs/Virtuels/ServeurRe2oLdap|Re2oLdap]].

== Outils ==

=== Curl ===

C'est l'outil sans doute le plus basique pour faire des requêtes, et il supporte ldap(s). Avec la redirection de ports définie plus haut:

{{{
curl -k "ldaps://localhost:1636/ou=hosts,dc=crans,dc=org?cn?one?description=pve" 
}}}

me renvoie tous les virtus, ie [[ CransTechnique/LesServeurs/ServeurSam | pve1 ]], [[ CransTechnique/LesServeurs/ServeurDaniel | pve2 ]] et [[ CransTechnique/LesServeurs/ServeurJack | pve3 ]].

et 

{{{
curl -k "ldaps://localhost:1636/ou=hosts,dc=crans,dc=org?cn?one?description=radius"
}}}

me renvoie tous les serveurs radius.

=== Apache Directory Studio ===

Plus d'info [[ https://directory.apache.org/studio/ | ici ]].

C'est un outil graphique pour naviguer dans un annuaire LDAP. Bien pratique !

Pour le configurer il faut créer une nouvelle connexion (dans le menu en bas à gauche). Par exemple, pour utiliser le LDAP membres actifs du crans on peut utiliser :

Dans le menu Network Parameter

 * {{{ Connection name: }}} ldap nounous
 * {{{ Hostname }}}: localhost
 * {{{ Port }}}: 1636 (ou n'importe quel autre port).
 * {{{ Encryption method }}}: Use SSL encryption (ldap://)

et dans le menu Authentication

 * {{{ Authentication Method }}}: Simple Authentication
 * {{{ Bind DN or user }}}: votre DN, par exemple pour moi c'est 
{{{
uid=_pollion,ou=passwd,dc=crans,dc=org
}}}

Et renseignez votre mot de passe sur le LDAP Membres actifs.

Avec cette configuration, il suffit de faire une redirection du port 636 distant vers localhost 1636 et à vous la navigation sur le LDAP !

=== Shelldap ===

Pour naviguer dans la base, on peut aussi utiliser un utilitaire en ligne de commande : shelldap qui permet de se déplacer à coup de {{{ls}}}, {{{cd}}} et {{{cat}}}. shelldap est installé sur {{{tealc}}}, mais non configuré. En ajoutant la configuration dans le fichier {{{.shelldap.rc}}} :
{{{
server: ldaps://172.16.10.1:636
binddn: uid=_PSEUDO,ou=passwd,dc=crans,dc=org
basedn: dc=crans,dc=org
promptpass: yes
tls: yes
tls_cacert: /etc/ldap/ldap.pem
}}}

Et on peut ensuite se connecter au LDAP :

{{{
_shirenn@tealc $ shelldap
Bind password: coucoupollion
~ > ls
cn=admin
cn=replicator
ou=group/
ou=hosts/
ou=networks/
ou=passwd/
ou=services/
~ > 
}}}

== Plus en détails ==

Lightweight Directory Access Protocol (LDAP) est un protocole d'accès et de modification d'un annuaire (souvent appelé annuaire LDAP). Aujourd'hui, on assimile LDAP aux bases de données, comme PostGreSQL, ou autre.

Une base de données LDAP a pour intérêt qu'elle est fortement hiérarchisée, car représentée sous forme d'arbre (graphe), dont les données sont contenues dans les nœuds, et dont les branches servent à représenter la hiérarchie.

Un nœud possède un nom, qui sert à signifier sa position. Le nœud le plus élevé est souvent appelé suffixe ou racine.

Un exemple (Ancien schéma LDAP du crans. Voir les sous pages de l'[[CransNostalgie/AvantEte2018/Ldap | ancienne base LDAP]] pour plus d'informations :

{{{
                    dc=crans,dc=org (racine)
                    /          |           \
               ou=data   ou=Group        ou=services
               /     \     |              /        \
          aid=3775 mid=1  cn=adm       cn=dns     cn=autostatus
}}}

Les termes devant chaque symbole "=" est arbitrairement choisi, mais certains ont une signification (dc : domain component, ou : organizational unit, cn : common name), d'autres sont spécifique du Crans (aid : id adhérent, mid, id machine).
Si on cherche à travailler sur l'adhérent 3775, on vise le nœud aid=3775,ou=data,dc=crans,dc=org (chemin complet).


----
CatégoriePagePublique