疯狂的企鹅系列 单点登录和企业目录（一）(2)

作者: Ti Leggett/黄永兵 译 出处:51CTO.com　2008-03-21 13:33　   砖    好    评论  条 　进入论坛

阅读提示：本文是一个关于保护企业目录以及单点登陆的系列文章，本文是第一部分。

保护LDAP

即使密码和大量的敏感信息没有保存在LDAP目录中，你的用户也不希望整个互联网都知道他们的电话号码、电子邮件地址或员工ID。一旦你阅读了“OpenLDAP Everywhere”，并工作在LDAP服务器上，你需要保护传输的信息和对目录的访问。

第一步是用OpenSSL保护数据传输，首先，分别拷贝我们的证书和密钥到/etc/openldap/ssl/slapd-cert.pem和/etc/openldap/ssl/slapd-key.pem，在slapd.conf中我需要五个选项：TLSCipherSuite（可选的）、TLSCACertificatePath、TLSCertificateFile、TLSCertificateKeyFile和TLSVerifyClient。sldpd.conf(5)帮助页很好地给这些选项做了定义。

保护了线路上传输的数据，接着我们要使用Kerberos KDC保护认证。OpenLDAP进行认证协商时使用了Kerberos和SASL，我首先必须告诉slapd如何找到它的Kerberos keytab文件，通过编辑/etc/conf.d/slapd或在启动slapd之前先定义KRB5_KTNAME变量，在slapd.conf中必须定义两个选项：sasl-secprops和sasl-regexp。

现在TLS和SASL能被使用了，但不是必须的。在slapd.conf中不止两个选项，安全和允许被用于特定的安全方法和加密强度需要的正确地操作。同时，确认正确地设置了访问控制列表（ACL）--参考slapd.access(5)。

安全地复制Kerberos

我们通过从kdc.example.com复制我们的Kerberos数据库到ldap.example.com作为开始，因此，如果kdc.example.com失效了，ldap.example.com将轻松接手，一个重要的事实需要记住，那就是在任何真实的网络环境中只能存在一个kadmin服务器，否则，就没有一个权威的数据库作为升级的源了，Kerberos与kprop和kpropd一起安全地传播Kerberos数据库，首先我们必须将kpropd标识为已知的服务，将下面这一行添加到/etc/services：

krb5_prop             754/tcp

我们需要定义ACL文件/etc/krb5kdc/hpropd.acl，它告诉kpropd哪个主机被允许进行传播，在这个文件中最重要的就是要给出主KDC的主机名字，你可以列出几个KDC的主机名字，如果有一个失效了，我们就可以选择一个新的主KDC，在它上面启动kadmin服务，从这个主的KDC传播到其他从的KDC。

我们现在创建一个xinetd服务定义， /etc/xinetd.d/kpropd；在我们的从KDC上，（重新）启动xinetd，在kdc.example.com转储数据库，然后传播它到从KDC上，那么他
们有一个初始化配置：

# /usr/sbin/kdb5_util dump /etc/krb5kdc/slavedump
# /usr/sbin/kprop -f /etc/krb5kdc/slavedump \
ldap.example.com

最后，当设置kdc.example.com数据库时，我们在每个从KDC上使用主KDC密钥创建了一个隐藏文件，然后启动kdc服务：

# /usr/sbin/kdb5_util stash
# /etc/init.d/mit-krb5kdc start

为了周期性地传播KDC数据库，我们在kdc.example.com上义了一个cron定时任务，感谢Jason Garman和O'Reilly出版的书籍：The Definitive Guide for the original cron job。

每小时运行一次这个脚本或从/etc/cron.hourly里进行定义，我们的Kerberos数据库现在已经安全地从主KDC复制到所有的从KDC中了，如果主KDC失效的话，我们可以切换到一个从KDC，这期间速度很快而且几乎没有数据丢失，现在我们正在传播Kerberos的改变，我们能增加从服务器到krb5.conf文件中将其作为有效的KDC。

共4页: 上一页 [1] 2 [3] [4] 下一页

【内容导航】  第 1 页：建立一个SSL认证机构  第 2 页：保护LDAP  第 3 页：安全地复制OpenLDAP  第 4 页：配置cyrus IMAP MDA