FAQ:Arktur4/LDAPtool
|
Archiv: Dieser Artikel beschreibt nicht die Funktionalität des derzeit aktuellen delixs-Servers. Er beschreibt ältere Schulserver-Funktionen und dient dem Zweck der Archivierung. |
Ein kleines LDAP-Tool
Frage:
Ich möchte den Umgang mit LDAP lernen. Was kann ich tun?
Antwort:
Hier ein nützliches keines Script:
Name: l_tool.sh Liegt im Pfad: /usr/local/bin/ Rechte: -rwxr--r-- root:root
Der Inhalt (Kommentare unterdrückt):
Capella:~ # cat /usr/local/bin/l_tool.sh|grep -v ^#
my_conf="/etc/ldap.conf"
my_sec="/etc/ldap.secret"
[ -f "$my_conf" ] || [ -f "$my_sec" ] || ( echo \
"LDAP ist nicht konfiguriert." ; echo \
"Steige aus." ; exit 1 )
if ! [ "`cat $my_sec|wc -c`" = "`/usr/bin/stat -c %s $my_sec`" ]; then
echo -n "`cat $my_sec`" > $my_sec
fi
ldap_base=$(grep ^base $my_conf | awk '{ print $2 }')
ldap_bind=$(grep rootbinddn $my_conf | awk '{ print $2 }')
ldapsearch -x -LLL -D $ldap_bind -y /etc/ldap.secret "$@"
Capella:~ #
Erklärung: Das Script macht nicht viel. Das aber gut. Es vereinfacht den "ldapsearch" Aufruf. Das Script funtioniert mit allen openldap Servern, vorausgesetzt, sie benutzen wie Arktur 4 eine Plaintext Anmeldung (-x), rootdn Kennung und Passworte werden direkt aus den Dateien gelesen.
Eine Eingabe ist nicht erforderlich. Da die "/etc/ldap.secret" dem Nutzer "root" gehört, funktioniert das Script nur, wenn "root" es auch startet. Der Parameter "-LLL" verkürzt die Ausgabe (also LDIFF Kommentare werden entfernt).
Nun ein paar praktische Beispiele.
Ausgabe des GANZEN LDAP-Baums (wenig sinnvoll, es sei denn Mensch braucht ein unvollstaendiges Backup. Nur Nutzdaten, keine internen Attribute)
l_tool.sh
Ergebnis: Zig Seiten im ldiff Format.
Ausgabe aller Maschienenaccounts:
l_tool.sh ou=ARBEITSSTATIONEN
Ergebnis:
dn: ou=ARBEITSSTATIONEN,o=SCHULE,dc=europaschuledortmund,c=de ou: ARBEITSSTATIONEN objectClass: organizationalUnit description: Container der Samba-Maschinen-Accounts
Auf diesem Arktur4rc1 Server befindet sich die Maschinen-Accounts unterhalb
von ou=ARBEITSSTATIONEN,o=SCHULE,dc=europaschuledortmund,c=de
Jetzt kommt die eigentliche Suche (Alles auf eine Zeile):
l_tool.sh -b ou=ARBEITSSTATIONEN,o=SCHULE,dc=europaschuledortmund,c=de -s sub objectclass=*
Erklärungen:
-b gibt die Suchbasis im Baum an -s sub finde alle Eintraege unterhalb von (-b), auch verschachtelte objectclass=* Ein LDAP-Filter. Dieser findet einfach alles!
Das Ergebnis (Passwoerter entfernt):
dn: uid=admin$,ou=ARBEITSSTATIONEN,o=SCHULE,dc=europaschuledortmund,c=de cn: admin objectClass: account objectClass: posixAccount objectClass: sambaSamAccount uid: admin$ uidNumber: 11000 gidNumber: 97 homeDirectory: /dev/null gecos: Windows-Maschinenaccount admin description: Windows-Maschinenaccount admin loginShell: /bin/false sambaSID: S-1-5-21-2668716448-1598664822-178526104-23000 sambaPrimaryGroupSID: S-1-5-21-2668716448-1598664822-178526104-1195 displayName: Windows-Maschinenaccount admin sambaPwdCanChange: 1157442896 sambaPwdMustChange: 2147483647 sambaPwdLastSet: 1157442896 sambaAcctFlags: [W ] dn: uid=blaq$,ou=ARBEITSSTATIONEN,o=SCHULE,dc=europaschuledortmund,c=de cn: blaq objectClass: account objectClass: posixAccount objectClass: sambaSamAccount uid: blaq$ uidNumber: 11001 gidNumber: 97 homeDirectory: /dev/null gecos: Windows-Maschinenaccount blaq description: Windows-Maschinenaccount blaq loginShell: /bin/false sambaSID: S-1-5-21-2668716448-1598664822-178526104-23002 sambaPrimaryGroupSID: S-1-5-21-2668716448-1598664822-178526104-1195 displayName: Windows-Maschinenaccount blaq sambaPwdCanChange: 1157631948 sambaPwdMustChange: 2147483647 sambaLMPassword: #secretsecretsecretsecretsecret# sambaNTPassword: #secretsecretsecretsecretsecret# sambaPwdLastSet: 1157631948 sambaAcctFlags: [W ]
Also: Auf diesem Server gibt es zwei Maschinen-Accounts: admin$ und blaq$
Admin$ wurde durch das Migrationsscript angelegt. Vielleicht gab es ihn auch schon in der alten smbpasswd. Dieser Host hat KEIN Passwort. Der Eintrag funktioniert also NICHT! blaq$ wurde vom Migrationsscript bei der Migration einer Artur 3.0o auf 4rc1 übernommen. Dieser Eintrag funktioniert. Ist eine windows2000 Maschine.
Diesmal was kürzeres:
l_tool.sh o=SCHULE
Ergebnis:
dn: o=SCHULE,dc=europaschuledortmund,c=de o: SCHULE objectClass: organization objectClass: top
Also: Wie der Mensch sehen kann, werden die internen Attribute der LDAP-Datenbank nicht ausgegeben. Wer die auch haben möchte, hängt einfach ein "*" "+" an die Abfrage:
l_tool.sh o=SCHULE "*" "+"
Ergebnis:
dn: o=SCHULE,dc=europaschuledortmund,c=de o: SCHULE objectClass: organization objectClass: top structuralObjectClass: organization entryUUID: 1eb77e24-cfdd-102a-83a5-b3d381ce8f09 creatorsName: cn=admin,dc=europaschuledortmund,c=de createTimestamp: 20060903211550Z entryCSN: 20060903211550Z#000004#00#000000 modifiersName: cn=admin,dc=europaschuledortmund,c=de modifyTimestamp: 20060903211550Z entryDN: o=SCHULE,dc=europaschuledortmund,c=de subschemaSubentry: cn=Subschema hasSubordinates: TRUE
Das letzte Attribut "hasSubordinates" ist besonders interessant. Wenn das Attribut wahr (TRUE) ist, dann hat dieser Eintrag im LDAP-Baum Blätter (Kinder). Also lasst uns danach suchen. Der Mensch kann diese Verzweigungen gut als Suchbasis (mit Parameter -b) benutzen.
l_tool.sh "(&(objectClass=*)(hasSubordinates=TRUE))" dn hasSubordinates dn: dc=europaschuledortmund,c=de hasSubordinates: TRUE
Ergebnis:
dn: o=SYSTEM,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: o=DHCP,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: o=SCHULE,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: ou=sysusers,o=SYSTEM,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: ou=sysgroups,o=SYSTEM,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: ou=ARBEITSSTATIONEN,o=SCHULE,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: ou=GRUPPEN,o=SCHULE,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: ou=LEHRER,o=SCHULE,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: ou=SCHUELER,o=SCHULE,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: ou=PROJEKTE,o=SCHULE,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: ou=KLAUSUR,o=SCHULE,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: ou=PAdmins,ou=PROJEKTE,o=SCHULE,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: ou=PGruppen,ou=PROJEKTE,o=SCHULE,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: cn=DHCP Service Config,o=DHCP,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: cn=192.168.0.0,cn=DHCP Service Config,o=DHCP,dc=europaschuledortmund,c=de hasSubordinates: TRUE dn: cn=mygroup,cn=192.168.0.0,cn=DHCP Service Config,o=DHCP,dc=europaschuledortmund,c=de hasSubordinates: TRUE
Und schon hat man eine komplette Übersicht der Struktur des LDAP-Baumes von Arktur 4rc1.
Der generelle Aufruf sieht so aus:
ldapsearch (viele Parameter) "Filter" Attribute die angezeigt werden sollen
oder
l_tool.sh "Filter" Attribute die angezeigt werden sollen
Wichtig sind also Filter.
Beispiele:
Einfache Filter:
- cn=root
- uid=root
- o=schule
Ungenaue Filter:
- l_tool.sh sn=*meier* sn
dn: uid=hansm,ou=LEHRER,o=SCHULE,dc=europaschuledortmund,c=de sn: Hans Mittermeier dn: uid=mmar,ou=SCHUELER,o=SCHULE,dc=europaschuledortmund,c=de sn: Maria Meier dn: uid=manna,ou=SCHUELER,o=SCHULE,dc=europaschuledortmund,c=de sn: Anna Meier
- Und Filter: &
"(&(objectClass=*)(hasSubordinates=TRUE))"
- Oder Filter: |
"(|(objectClass=*)(hasSubordinates=TRUE))"
Das Und & bzw das Oder | werden voran gestellt. Das Ganze muss dann in Klammern eingefasst werden. Und damit die Bash die Klammern nicht mit interpretiert, kommt alles zusammen nochmals in Hochkommata "".
Wer alles etwas über Filter wissen will, tut sich dieses fürchterliche Dokument an: http://www.faqs.org/rfcs/rfc2254.html
-- aus einer Mail von Harry J.