LDAP sous Debian

Question

Bonjour,

Je n'arrive pas à configurer correctement un serveur LDAP pour avoir un annuaire avec des gens rattachés à des entités (Ex: Albert, tel 01234, Marketing, André, tel 66544, Vente, Jacques, tel 11111, Direction etc...).

Cela se passe sous Debian 10.11. Mis à jour.
J'ai installé openldap.
J'utilise comme client Apache Directory Studio.

Premier problème: quand j'essaie 'ldappasswd', il me rends... 

Result: Strong(er) authentication required (8)
Additional info: only authenticated users may change passwords

Est-ce que quelqu'un a une idée brillante ?

D'avance merci.

mamiemando · Answer

Bonjour,

Je t'invite à regarder des exemples d'utilisation de la commande ldappasswd sur cette page. 

En effet, pour modifier le mot de passe de l'utilisateur toto tu dois :

 soit être identifié en toto (e.g. uid=toto,ou=users,dc=domain,dc=fr) :
ldappasswd -H ldap://mon_serveur_ldap -x -D "uid=toto,ou=users,dc=domain,dc=fr" -W -A -S

 soit être identifié en administrateur au sens LDAP (défini au moment d'installer slapd, e.g. cn=admin,dc=domain,dc=fr).
ldappasswd -H ldap://mon_serveur_ldap -x -D "cn=admin,dc=domain,dc=fr" -W -S "uid=toto,ou=users,dc=domain,dc=fr"

Quelque soit la méthode retenue, il faut (comme tu le vois) être authentifié avec des droits suffisants. Si tu es bloqué, indique-nous la commande que tu tapes.

Bonne chance

Dugroin1 · Answer

Bonjour Mamiemando,

Merci pour ta réponse.
Je ne m'en sors pas trop.. j'essaie donc:

$ ldappasswd -H ldap://localhost -x -D "cn=Manager,dc=xxx,dc=yyy" -W -S "uid=Manager,ou=users,dc=xxx,dc=yyy"New password:Re-enter new password:Enter LDAP Password:ldap_bind: Invalid credentials (49)

Les questions que j'ai sont, du coup:

 ne puis-je pas changer cela en temps que user root sur le serveur ?
 comment trouver les users existants (toto dans ton example, Manager dans le mien)
 comment puis resetter le mdp admin (Manager) ?
 pour le mot de passe LDAP, j'ai mis celui que je pense avoir mis à l'install..

Je peux tout réinstaller si nécessaire...

mamiemando · Answer

Bonjour,

À mon avis la commande que tu tapes est bizarre, car je ne vois pas trop comment Manager pour être à la fois le nom du profil administrateur (dont le DN est par défaut de la forme cn=admin,dc=mon_domaine,dc=fr) et à la fois un profil utilisateur (donc un DN de la forme uid=login,dc=mon_domaine,dc=fr).

En tout cas, il est impératif de donner les bons DNs sinon ça ne peut pas marcher. Il faut en outre s'assurer que tu n'as pas fait de typo (à la place de tes xxx et yyy), je t'invite donc à contrôler s'ils sont exacts.

En admettant que les DNs soient corrects, il faudra effectivement taper correctement le(s) mot(s) de passe (attention à la casse (minuscule vs majuscule), à la disposition du clavier (qwerty vs azerty), à la présence ou nom du verrou numérique).

Par rapport à tes questions :

 Ne puis-je pas changer cela en temps que user root sur le serveur ? Pas que je sache (mais c'est peut-être possible). Comme dans une base de donnée, LDAP à sa propre base d'utilisateurs et en particulier un profil administrateur qui lui est propre. En tant que root, tu peux par contre réinstaller slapd et définir le nom du profil administateur LDAP et son mot de passe. Attention toutefois à ne pas perdre ton schéma LDAP si tu y tiens et si tu décides d'emprunter ce chemin.
 Comment trouver les users existants (toto dans ton example, Manager dans le mien) ? Tu peux utiliser la commande ldapsearch (je te laisser chercher un tutoriel pour apprendre à l'utiliser).
 Comment puis redéfinir le mot de passe administrateur (Manager) ? En réinstallant le paquet slapd, qui sert à déployer le serveur LDAP.
 Pour le mot de passe LDAP, j'ai mis celui que je pense avoir mis à l'install.. Comme dit plus haut, je pense que ce sont plutôt les DNs qui sont la source du problème.

À savoir qu'il existe aussi une interface web pour manipuler son LDAP (phpldapadmin) mais avant ça il faut avoir une installation maîtrisée (notamment, savoir avec quel DN s'identifier, le mot de passe associé, et il faut installer au préalable un serveur web -- genre apache). Bref pour le moment tu peux oublier, c'est un peu prématuré.

Bonne chance

Dugroin1 · Answer

Bonjour Mamiemando,

J'ai avancé sur mon problème.
Je sais maintenant me connecter en admin et faire un 'ldapsearch'. Grand progrès, grâce à toi et à tes pistes :-)

Maintenant.. je voudrais rajouter une entrée person dans la DIT (Directory Information Tree), mais je ne vois pas trop comment faire.... Aurais-tu une piste à me donner ?

D'avance merci.

mamiemando · Answer

Bonjour,

Félicitations pour tes progrès :-)

Comme je te le disais plus haut, personnellement quand je travailles avec LDAP, je fonctionne principalement via une interface graphique (je te parlais de phpldapadmin.

Si tu ne veux pas utiliser un tel outil, une autre approche consiste à charger un fichier ldif et utiliser ldapadd, voir par exemple ce tutoriel.

Points importants, que tu as peut-être déjà remarqués :

 Toutes les commandes LDAP commencent par ldap.... Donc si tu tapes dans un terminal ldap et plusieurs fois sur la touche tabulation, tu verras la liste des commandes LDAP disponibles.
 Toutes les commandes (dont les commandes LDAP) sont documentées dans les pages de man, donc pour avoir des informations à leur sujet, il suffit d'utiliser la commande man, e.g. man ldapadd (comme les pages de man sont également disponibles en ligne, tu peux aussi taper man ldapadd ton moteur de recherche favori).

Bonne chance

LDAP sous Debian

5 réponses

Discussions similaires

Newsletters