El Alfon y sus cosas

En la entrega anterior vimos cómo configurar un OpenLDAP. En esta entrega, veremos cómo cargar datos y jugar con overlays, comenzando por la de pertenencia a grupos.

Serie completa:

http://www.elalfon.com/2015/03/21/configuracion-de-openldap-i/

http://www.elalfon.com/2015/03/30/configuracion-de-openldap-ii/

http://www.elalfon.com/2015/03/31/configuracion-de-openldap-iii/

De nuevo debo recordar que la fuente de errores más común el es copiar y pegar. Ojo con las comillas, los puntos y caracteres extraños.

Overlay MemberOf

Lo primero, recordar lo que ya tenemos. Un OpenLDAP con una entrada básica, dc=example,dc=com, con un superusuario cn=Manager,dc=example,dc=com. También tenemos acceso a la configuración del OpenLDAP en el árbol cn=config con un usuario cn=config (se llama igual quela rama), y la monitorización del servidor en cn=Monitor.

Empezaremos por la overlay más simple, memberOf. En un OpenLDAP con una instalación basica como la que tenemos, podemos crear grupos, y asignar usuarios (en realidad cualquier elemento del directorio) a esos grupos, pero no podemos saber directamente si un elemento cualquiera es miembro de algún grupo. Habría que buscar el DN del elemento recuperado en la lista de miembros de cada grupo.

Para solucionar este problema, tenemos la overlay memberOf, que va a crear enlaces entre un elemento y los grupos a los que pertenece, mapeándolos como atributos operacionales. De esta forma, si un elemento pertenece a un grupo aparecerá un atributo memberOf (el nombre del atributo lo podemos configurar) indicando su pertenencia a ese grupo.

Carga de módulo en OpenLDAP y la overlay en la base de datos.

Las overlays se cargan en dos fases, primero cargamos el módulo en la configuración del directorio, y luego diremos qué bases de datos la usan, aunque en nuestro caso sólo hay una base de datos. En el segundo paso, configuramos la overlay para que cree el atributo operacional «memberOf» para todos los miembros (identificados por el atributo «member») de un grupo «groupOfNames». También le diremos que mantenga integridad referencial, de forma que si borramos un grupo, desaparezca el atributo memberOf de todos los usuarios, y si borramos un usuario, desaparecerá del grupo del que era miembro. También tendrá en cuenta si renombramos un usuario o un grupo, actualizando los valores correspondientes para member y memberOf.

Veamos el ldif para la carga del módulo moduloMemberOf.ldif:

Ahora, el ldif para la carga del módulo en la base de datos overlayMemberOf.ldif (Centros 7: cambiar olcDatabase={2}bdb por olcDatabase={2}hdb):

Los cargaremos con los comandos:

Prueba de la Overlay

Para probar esta everlay, crearemos primero contenedores para usuarios y grupos. También crearemos una entrada elementos, para ver que no sólo podemos relacionar usuarios y grupos, sino cualquier tipo de entrada con grupos.

El ldif para cargar los contenedores es el siguiente, lo llamaremos contenedores.ldif:

Lo cargamos con el comando:

Crearemos ahora los grupos con la clase de OpenLDAP GroupOfNames. Como es requisito para crear el grupo el que tenga al menos un miembro, se suele poner como primera entrada el propio nombre del grupo. Con esto nos aseguramos de que la primera entrada que contiene es válida.

Los cargamos con el comando:

Una vez creados estos dos grupos, pasamos a crear unos usuarios de ejemplo también:

De nuevo, lo cargamos con

Vamos a probar que la inclusión de un usuario en un grupo crea el atributo operacional memberOf de ese usuario. Para ello, creamos un nuevo ldif con este contenido:

Cargamos esta entrada con ldapmodify:

Ahora podemos buscar al usuario solicitando todos los atributos del usuario, tanto normales como operacionales:

Para recuperar todos los atributos, hay que escapar el caracter *. Si no, intentará encontrar los atributos con el mismo nombre que los ficheros que tengamos en el directorio donde ejecutemos el comando.

El resultado será parecido a este:

Cambiarán los atributos operacionales entryUUID y todos los relacionados con fechas. En nuestro caso nos interesa el atributo:

Con esto vemos que la overlay está funcionando.

Por último crearemos un objeto como dispositivo, y lo añadiremos al grupo. Veremos que también aparecerá el atributo operacional memberOf.

Crearemos un objeto con este ldif, que llamaremos dispositivo.ldif:

y lo cargamos con

Por último asociamos el dispositivo al grupo2 con el ldif:

y lo cargamos con ldapmodify

Ahora podemos buscar el atributo operacional memberOf en el dispositivo con ldapsearch: