הקמת שרת OpenLDAP לאימות מרכזי

מתי ולמה אתה צריך OpenLDAP?

תאר לעצמך שהחברה שלך גדלה — 50, 100, 500 עובדים. כל יום מגיעים אנשים חדשים, והמנהל צריך ליצור חשבונות בדוא"ל, VPN, GitLab, Nextcloud, Grafana, SSH ומערכות אחרות. כשעובד עוזב, השבתת הגישה הופכת למסע דרך שמונה ממשקים שונים. טעות אחת, ועובד לשעבר שומר על גישה לנתונים קריטיים. OpenLDAP פותר את הבעיה הזו אחת ולתמיד: שרת LDAP אחד, נקודת ניהול אחת, חסימה מיידית.

פרסנו OpenLDAP עבור 50+ ארגונים — מסטארטאפים ועד חברות אחזקות עם אלפי עובדים. הניסיון שלנו מראה שספריית LDAP מעוצבת כראוי מפחיתה את זמן ניהול החשבונות ב-70% ואת ה-MTTR בזמן תקלות משעות לדקות (זמינות ממוצעת של 99.9%). OpenLDAP הוא יישום קוד פתוח של LDAP התואם ל-RFC 4511. בניגוד ל-Windows Active Directory, הוא אינו דורש רישיונות ופועל על כל לינוקס. חיסכון בעלויות רישוי יכול להגיע ל-70% בהשוואה ל-AD. עבור חברה עם 200 משתמשים, זה מתורגם לחיסכון שנתי של למעלה מ-$12,000.

אבל LDAP שימושי לא רק לאימות. הוא יכול לשמש כספריית אנשי קשר אוניברסלית, מאגר אישורים מרכזי או קטלוג משאבי רשת. בחברות שכבר יש להן AD, OpenLDAP הופך לעתים קרובות למרכז בין תשתיות לינוקס ו-Windows. OpenLDAP משמש כספרייה מרכזית לכל נתוני הזהות.

השוואה בין פתרונות אימות מרכזיים

בבדיקות ביצועים פנימיות, אימות OpenLDAP היה מהיר פי 3 מ-Active Directory עבור כניסות במקביל. קבל ייעוץ לבחירת הפתרון המתאים לתשתית שלך — נעזור לך להימנע מטעויות נפוצות. אנו מציעים פריסת OpenLDAP במפתח תוך 5 ימי עסקים. כתוב לנו לייעוץ ראשוני.

כיצד לעצב את עץ ה-LDAP

LDAP הוא עץ היררכי של אובייקטים (DIT). תכנן את המבנה לפני ההתקנה. סכמה אופיינית:

dc=example,dc=com
├── ou=users — учётные записи пользователей
├── ou=groups — группы
├── ou=services — сервисные аккаунты для приложений
└── ou=computers — компьютеры (если нужно)

כל משתמש הוא אובייקט עם מחלקות dc=example,dc=com ├── ou=users — учётные записи пользователей ├── ou=groups — группы ├── ou=services — сервисные аккаунты для приложений └── ou=computers — компьютеры (если нужно) ו-inetOrgPerson. זה מבטיח תאימות ל-PAM, NSS ולרוב יישומי ה-web.

דוגמה לערך משתמש:

dn: uid=jsmith,ou=users,dc=example,dc=com
objectClass: inetOrgPerson
objectClass: posixAccount
uid: jsmith
cn: John Smith
sn: Smith
mail: [email protected]
uidNumber: 10001
gidNumber: 10000
homeDirectory: /home/jsmith
loginShell: /bin/bash
userPassword: {SSHA}hashhere

המבנה מתווסף באמצעות: posixAccount.

התקנה והגדרת TLS

1. התקן חבילות: dn: uid=jsmith,ou=users,dc=example,dc=com objectClass: inetOrgPerson objectClass: posixAccount uid: jsmith cn: John Smith sn: Smith mail: [email protected] uidNumber: 10001 gidNumber: 10000 homeDirectory: /home/jsmith loginShell: /bin/bash userPassword: {SSHA}hashhere .
2. הגדר: ldapadd -x -D "cn=admin,dc=example,dc=com" -W -f structure.ldif כדי להגדיר את סיסמת המנהל ואת הסיומת.
3. לאחר מכן, הוסף מבנה דרך apt install slapd ldap-utils. ההגדרה נעשית דרך OLC (cn=config) — חיה ורצה, ללא צורך בהפעלה מחדש של slapd. להגדרת slapd יעילה, השתמש בשיטת OLC.

ללא TLS, סיסמאות מועברות בטקסט רגיל — פגיעות קריטית. הגדר TLS דרך LDIF:

dn: cn=config
changetype: modify
add: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/ssl/certs/ca-certificates.crt
-
add: olcTLSCertificateFile
olcTLSCertificateFile: /etc/ldap/ssl/ldap.crt
-
add: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/ldap/ssl/ldap.key
-
add: olcTLSVerifyClient
olcTLSVerifyClient: never

החל: dpkg-reconfigure slapd. בצד הלקוחות, הגדר dn: cn=config changetype: modify add: olcTLSCACertificateFile olcTLSCACertificateFile: /etc/ssl/certs/ca-certificates.crt - add: olcTLSCertificateFile olcTLSCertificateFile: /etc/ldap/ssl/ldap.crt - add: olcTLSCertificateKeyFile olcTLSCertificateKeyFile: /etc/ldap/ssl/ldap.key - add: olcTLSVerifyClient olcTLSVerifyClient: never ו-ldapmodify -Y EXTERNAL -H ldapi:/// -f tls.ldif ב-ldap.conf. אנו תמיד מגדירים StartTLS או LDAPS בהתאם לדרישות האבטחה.

שכפול לסבילות לתקלות

לייצור, נדרשים לפחות שני שרתים. אנו משתמשים ב-MirrorMode: שינויים מוחלים על כל שרת ומשוכפלים באופן אסינכרוני. אם שרת אחד הופך ללא זמין, הלקוחות עוברים אוטומטית לשני. זמן המעבר הוא מתחת ל-5 דקות. זמינות: 99.9%.

הגדרת שכפול:

dn: olcDatabase={1}mdb,cn=config
changetype: modify
add: olcSyncRepl
olcSyncRepl: rid=001 provider=ldap://ldap01.example.com bindmethod=simple binddn="cn=replicator,dc=example,dc=com" credentials=replicapassword searchbase="dc=example,dc=com" schemachecking=on type=refreshAndPersist retry="5 5 300 +"
add: olcMirrorMode
olcMirrorMode: TRUE

לגיבוי ושחזור מאסון — ייצוא יומי דרך TLS_CACERT. שמור למשך 30 יום. שחזור דרך TLS_REQCERT demand.

אינטגרציה עם שירותים

כל יישום מקבל חשבון שירות ייעודי ב-dn: olcDatabase={1}mdb,cn=config changetype: modify add: olcSyncRepl olcSyncRepl: rid=001 provider=ldap://ldap01.example.com bindmethod=simple binddn="cn=replicator,dc=example,dc=com" credentials=replicapassword searchbase="dc=example,dc=com" schemachecking=on type=refreshAndPersist retry="5 5 300 +" add: olcMirrorMode olcMirrorMode: TRUE עם הרשאות מינימליות (עקרון ההרשאות המינימליות). ACLs מגבילים גישה רק למאפיינים הנחוצים. לדוגמה, עבור GitLab:

olcAccess: to * by dn.base="uid=gitlab-svc,ou=services,dc=example,dc=com" read by * none 

Nextcloud, GitLab, Grafana, Zabbix, OpenVPN — כולם תומכים ב-LDAP. עובד חדש מקבל גישה לכל המערכות בו-זמנית. זמן יצירת חשבון: 30 שניות. פריסת LDAP על לינוקס היא פשוטה.

מקרה אמיתי: פריסה לחברת מסחר אלקטרוני עם 5000 משתמשים

חנות מקוונת גדולה פנתה אלינו כדי לרכז אימות. בתחילה, לכל שירות (1C-Bitrix, Jira, GitLab, Zabbix, Grafana, דוא"ל) היה מאגר משתמשים משלו. כשעובד עזב, הגישה נשארה לעתים קרובות במשך שבועות.

עיצבנו את העץ: ou=users (5000 רשומות), ou=groups (200 קבוצות), ou=services (15 חשבונות). פרסנו 2 שרתי OpenLDAP במרכזי נתונים שונים עם MirrorMode, הגדרנו TLS ו-ACLs. שילבנו את כל 15 השירותים, יצרנו ממשק web באמצעות LDAP Account Manager לשירות עצמי (שינוי סיסמה, עדכון פרטי קשר). תוצאה: זמן ניהול החשבונות ירד מ-20 שעות בשבוע לשעתיים. זמן השהיה באימות: מתחת ל-10 ms. זמינות: 99.95% במהלך השנה.

תהליך ולוחות זמנים

לוח זמנים משוער: 5 עד 10 ימי עסקים בהתאם למספר השירותים והיקף ההעברה. העלות מחושבת באופן אישי. השירות שלנו כולל תיעוד מלא והדרכה. אנו מעריכים את גודל הפרויקט שלך ומספקים הצעת מחיר קבועה. צור קשר לייעוץ.

מה אתה מקבל כתוצאה

בסוף הפרויקט, אתה מקבל:

• ספריית OpenLDAP פעילה עם TLS ושכפול.
• אינטגרציה עם כל השירותים שצוינו (עד 20).
• סקריפטים לגיבוי ושחזור.
• תיעוד: ארכיטקטורה, הוראות, אנשי קשר.
• הדרכה למנהלים שלך (2-3 שעות).
• תמיכה למשך שבועיים לאחר הפריסה.

טעויות נפוצות וכיצד להימנע מהן

• חוסר TLS — סיסמאות מועברות בטקסט רגיל. תמיד הפעל TLS או StartTLS.
• חשבון אחד לכל היישומים — כל שירות מקבל חשבון משלו עם הרשאות מינימליות.
• ללא שכפול — שרת יחיד הוא נקודת כשל יחידה. מינימום שני שרתים.
• מבנה מורכב מדי — OUs עמוקים מדי או objectClass מיותר. עיצוב לפי צרכים בפועל; אל תסבך יתר על המידה.
• תלות בלתי צפויה — בצע ביקורת לפני ההעברה. הניסיון שלנו: 30% מהפרויקטים חושפים תלות נסתרת שבלעדי ביקורת עלולה להוביל להשבתה.

הזמן ביקורת של התשתית שלך — נזהה סיכונים ונציע תוכנית העברה.