如何通过命令行对LDAP进行身份验证？

35

LDAP服务器托管在Solaris上。客户是CentOS。通过LDAP的OpenLDAP / NSLCD / SSH身份验证可以正常工作，但是我无法使用ldapsearch命令来调试LDAP问题。

[root@tst-01 ~]# ldapsearch
SASL/EXTERNAL authentication started
ldap_sasl_interactive_bind_s: Unknown authentication method (-6)
        additional info: SASL(-4): no mechanism available:
[root@tst-01 ~]# cat /etc/openldap/ldap.conf
TLS_CACERTDIR /etc/openldap/cacerts
URI ldap://ldap1.tst.domain.tld ldap://ldap2.tst.domain.tld
BASE dc=tst,dc=domain,dc=tld
[root@tst-01 ~]# ls -al /etc/openldap/cacerts
total 12
drwxr-xr-x. 2 root root 4096 Jun  6 10:31 .
drwxr-xr-x. 3 root root 4096 Jun 10 10:12 ..
-rw-r--r--. 1 root root  895 Jun  6 10:01 cacert.pem
lrwxrwxrwx. 1 root root   10 Jun  6 10:31 cf848aa4.0 -> cacert.pem
[root@tst-01 ~]#

我已经通过ldapsearch尝试使用证书进行身份验证，并给出了/etc/openldap/cacerts/cacert.pem作为参数，但是它不接受此证书进行身份验证。

centos  redhat  openldap  ldap 
— 乌贾因
source

Answers:

60

您可能希望关闭SASL并通过“ -x”选项使用简单身份验证。例如，搜索以查找特定用户

ldapsearch -x -D "uid=search-user,ou=People,dc=example,dc=com" \
           -W -H ldap://ldap.example.com -b "ou=People,dc=example,dc=com" \
           -s sub 'uid=test-user'

将找到“测试用户”

  • -D-使用绑定用户“搜索用户”
  • -W-提示输入密码
  • -H -LDAP服务器的URL。在这种情况下为非SSL；对SSL使用“ ldaps：//”
  • -b-搜索基础
  • -s -搜索范围-即基地的树基地，一个对下级和子的递归搜索下来的树（可能需要一段时间）
  • 最后，将搜索过滤器作为非选项参数。在这种情况下，我们将搜索“ test-user”的uid
— 弗雷德·克劳森
source
2
弗雷德（Fred）的观点是正确的，除非您对指定的搜索库或主机感到满意，否则无需指定搜索库或主机，/etc/openldap/ldap.conf即以下代码应该可以工作：ldapsearch -x -D“ <bind dn>” -W <查询>
— 贾森·谭
我们如何为ldap登录指定用户名
— myloginid 2016年
这取决于您所说的“用户名”。绑定DN（用于验证以实际运行查询）由-D参数给出。实际搜索（在此示例中为用户记录）在过滤器中作为最后一个参数给出。
— Fred Clausen
1
非常感谢！您挽救了我的生命：）
— Marslo
6

似乎我在以下位置问了同样的问题：https : //stackoverflow.com/questions/27571558/how-was-authentication-built-on-ldap

请参阅http://thecarlhall.wordpress.com/2011/01/04/ldap-authentication-authorization-dissected-and-digested/：

  • 获取与LDAP服务器的连接。
  • 绑定为应用程序用户。
  • 搜索要认证的用户的DN（专有名称）。
  • 绑定为要使用步骤3中的DN进行身份验证的用户。

可以总结为（命令行中的实验）：

$ ldapsearch -x -h ldap.company.com -s sub -b 'dc=europe,dc=com' "uid=XYZ"
....
dn: uid=XYZ,dc=sales,dc=europe,dc=com
...
$ ldapsearch -W -h ldap.company.com -D 'uid=XYZ,dc=sales,dc=europe,dc=com' \
    -s sub -b 'dc=europe,dc=com' "uid=XYZ"
— 木通哥
source
1

请注意，如果您不知道完整的绑定DN，也可以只使用普通用户名或 -U

ldapsearch -v -h contoso.com -U turiya.gouw@contoso.com -w 'MY_PASSWORD' -b 'DC=contoso,DC=com' '(objectClass=computer)'
— 图里亚格
source
0

我们正在使用FreeIPA / IDM，并且可以使用以下方法对此进行身份验证：

$ ldapsearch -h idm-01a.somednsdom.com \
    -D 'uid=<my username>,cn=users,cn=accounts,dc=somedcdom,dc=com' \
    -o ldif-wrap=no \
    -b 'cn=accounts,dc=somedcdom,dc=com' \
    -W uid=<my username>
说明
  • 这将返回有关 uid=<my username>
  • uid=<my username> 是过滤器（符合RFC 4515的LDAP搜索过滤器）
  • 的uid=<my username>是查询/过滤器执行
  • o ldif-wrap=no 禁用结果包装
  • 该-W部队ldapsearch的绑定专有名称查询密码uid=<my username>,cn=users,cn=accounts,dc=somedcdom,dc=com

  • 当提示您输入该用户的密码时，提示将如下所示：

    Enter LDAP Password:
推荐人

有关ldapsearch联机帮助页和CLI帮助的参考：

   -D binddn
          Use the Distinguished Name binddn to bind to the LDAP directory.  
          For SASL binds, the server is expected to ignore this value.

   -b searchbase
          Use searchbase as the starting point for the search instead of the 
          default.

   -W     Prompt for simple authentication.  This is used instead of specifying 
          the password on the command line.

  -o <opt>[=<optparam] general options
             nettimeout=<timeout> (in seconds, or "none" or "max")
             ldif-wrap=<width> (in columns, or "no" for no wrapping)

完整的例子

$ ldapsearch -h idm-01a.somednsdom.com \
    -D 'uid=joeuser,cn=users,cn=accounts,dc=somedcdom,dc=com' \
    -o ldif-wrap=no \
    -b 'cn=accounts,dc=somedcdom,dc=com' \
    -W uid=joeuser

# extended LDIF
#
# LDAPv3
# base <cn=accounts,dc=somedcdom,dc=com> with scope subtree
# filter: uid=joeuser
# requesting: ALL
#

# joeuser, users, accounts, somedcdom.com
dn: uid=joeuser,cn=users,cn=accounts,dc=somedcdom,dc=com
memberOf: cn=ipausers,cn=groups,cn=accounts,dc=somedcdom,dc=com
memberOf: cn=sysadmin,cn=groups,cn=accounts,dc=somedcdom,dc=com
memberOf: ipaUniqueID=XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXXXXXX,cn=sudorules,cn=sudo,dc=somedcdom,dc=com
memberOf: cn=eng-systems,cn=groups,cn=accounts,dc=somedcdom,dc=com
memberOf: ipaUniqueID=XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXXXXXX,cn=hbac,dc=somedcdom,dc=com
memberOf: cn=admins,cn=groups,cn=accounts,dc=somedcdom,dc=com
memberOf: ipaUniqueID=XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXXXXXX,cn=sudorules,cn=sudo,dc=somedcdom,dc=com
memberOf: cn=User Administrator,cn=roles,cn=accounts,dc=somedcdom,dc=com
memberOf: cn=User Administrators,cn=privileges,cn=pbac,dc=somedcdom,dc=com
memberOf: cn=System: Add User to default group,cn=permissions,cn=pbac,dc=somedcdom,dc=com
...
...
krbLoginFailedCount: 0
krbLastFailedAuth: 20190320223946Z
loginShell: /bin/bash
krbExtraData:: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
krbPasswordExpiration: 20190829144625Z
krbLastPwdChange: 20190302144625Z
krbLastAdminUnlock: 20190111080021Z
ipaSshPubKey: ssh-rsa A....XXXXXXXXXXXX...jelByox0PM5Q== joeuser@somednsdom.com
mepManagedEntry: cn=joeuser,cn=groups,cn=accounts,dc=somedcdom,dc=com
displayName: Joe User
uid: joeuser
krbCanonicalName: joeuser@SOMEDCDOM.COM
objectClass: top
objectClass: person
objectClass: organizationalperson
objectClass: inetorgperson
objectClass: inetuser
objectClass: posixaccount
objectClass: krbprincipalaux
objectClass: krbticketpolicyaux
objectClass: ipaobject
objectClass: ipasshuser
objectClass: ipaSshGroupOfPubKeys
objectClass: mepOriginEntry
initials: JU
gecos: Joe User
sn: Mingolelli
homeDirectory: /home/joeuser
mail: joeuser@somednsdom.com
krbPrincipalName: joeuser@SOMEDCDOM.COM
givenName: Joe
cn: Joe User
ipaUniqueID: XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX
uidNumber: 900000000
gidNumber: 900000000
krbPwdPolicyReference: cn=admins,cn=SOMEDCDOM.COM,cn=kerberos,dc=somedcdom,dc=com

# search result
search: 2
result: 0 Success

# numResponses: 2
# numEntries: 1
— slm
source
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.