温馨提示：要看高清无码套图，请使用手机打开并单击图片放大查看。
Fayson的github：https://github.com/fayson/cdhproject
提示：代码块部分可以左右滑动查看噢
1.文档编写目的
众所周知Hadoop安全模块不存储用户和用户组信息，而是依赖Linux系统的用户和用户组。同时在集群开启安全认证模式之后，需要映射Kerberos Principle到Linux的用户以及映射用户到用户组。那么随之而来的问题是如何统一管理用户信息。这里统一管理用户信息的方式有多种（如OpenLDAP、AD等等），在前面Fayson介绍了如何在Redhat6中安装OpenLDAP，本篇文章主要讲述如何在ReadHat7中安装OpenLDAP并配置客户端。
- 内容概述
1.OpenLDAP服务安装
2.导入根域及管理员账号
3.导入基础文件及用户和用户组
4.配置OpenLDAP客户端
- 测试环境
1.Redhat7.3
2.OpenLDAP版本2.4.44
2.OpenLDAP安装及配置
在集群中选择一台服务器(ip-172-31-24-169.ap-southeast-1.compute.internal)作为OpenLDAP的Server
1.执行如下命令安装OpenLDAP服务
1[root@ip-172-31-24-169 ~]# yum -y install openldap openldap-clients openldap-servers migrationtools openldap-devel nss- pam-ldapd bind-dyndb-ldap compat-openldap perl-LDAP krb5-server-ldap php-ldap openssl
（可左右滑动）
查看安装的RPM包
1[root@ip-172-31-24-169 ~]# rpm -qa |grep openldap
（可左右滑动）
2.使用openssl生成TLS加密文件（如果不需要配置OpenLDAP的TLS则跳过此步）
使用如下命令生成服务器的RSA私钥
1[root@ip-172-31-24-169 certs]# openssl genrsa -out ldap.key 1024
（可左右滑动）
使用如下命令生成签名文件
1[root@ip-172-31-24-169 certs]# openssl req -new -key ldap.key -out ldap.csr
（可左右滑动）
注意：生成签名文件时必填的信息为“your server’s hostname”且为当前服务器的hostname。
使用如下文件生成公钥文件
1[root@ip-172-31-24-169 certs]# openssl x509 -req -days 3653 -in ldap.csr -signkey ldap.key -out ldap.crt
（可左右滑动）
将生成的公钥文件和私钥拷贝至/etc/openldap/certs目录下：
1[root@ip-172-31-24-169 certs]# scp ldap.crt ldap.key /etc/openldap/certs/
2[root@ip-172-31-24-169 certs]# ll /etc/openldap/certs/
（可左右滑动）
3.修改OpenLDAP的slapd.ldif配置文件
安装OpenLDAP服务后默认的配置文件及数据库文件在/usr/share/openldap-servers目录下
将该目录下的slapd.ldif文件拷贝至/root目录下
1[root@ip-172-31-24-169 openldap-servers]# cp slapd.ldif /root/
2[root@ip-172-31-24-169 openldap-servers]# cd /root/
3[root@ip-172-31-24-169 ~]# vim slapd.ldif
（可左右滑动）
修改slapd.ldif文件，将部分注释去掉，增加include的文件及配置管理员账号和OpenLDAP的根域信息，文件全部内容如下：
注意：配置文件中需要注意的TLS Settings配置，如果不启用则可以将相关的配置注释。
配置文件中多处配置dc=fayson,dc=com，由于我们OpenLDAP的域为fayson.com，如果LDAP的域为ldap.fayson.com则我们的配置为dc=ldap,dc=fayson,dc=com，根据自己LDAP的域名进行相应的修改。
1#
2# See slapd-config(5) for details on configuration options.
3# This file should NOT be world readable.
4#
5dn: cn=config
6objectClass: olcGlobal
7cn: config
8olcArgsFile: /var/run/openldap/slapd.args
9olcPidFile: /var/run/openldap/slapd.pid
10#
11# TLS settings
12#
13olcTLSCACertificatePath: /etc/openldap/certs
14olcTLSCertificateFile: /etc/openldap/certs/ldap.crt
15olcTLSCertificateKeyFile: /etc/openldap/certs/ldap.key
16#
17# Schema settings
18#
19dn: cn=schema,cn=config
20objectClass: olcSchemaConfig
21cn: schema
22include: file:///etc/openldap/schema/corba.ldif
23include: file:///etc/openldap/schema/core.ldif
24include: file:///etc/openldap/schema/cosine.ldif
25include: file:///etc/openldap/schema/duaconf.ldif
26include: file:///etc/openldap/schema/dyngroup.ldif
27include: file:///etc/openldap/schema/inetorgperson.ldif
28include: file:///etc/openldap/schema/java.ldif
29include: file:///etc/openldap/schema/misc.ldif
30include: file:///etc/openldap/schema/nis.ldif
31include: file:///etc/openldap/schema/openldap.ldif
32include: file:///etc/openldap/schema/ppolicy.ldif
33include: file:///etc/openldap/schema/collective.ldif
34#
35# Frontend settings
36#
37dn: olcDatabase=frontend,cn=config
38objectClass: olcDatabaseConfig
39objectClass: olcFrontendConfig
40olcDatabase: frontend
41#
42# Configuration database
43#
44dn: olcDatabase=config,cn=config
45objectClass: olcDatabaseConfig
46olcDatabase: config
47olcAccess: to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" manage by * none
48#
49# Server status monitoring
50#
51dn: olcDatabase=monitor,cn=config
52objectClass: olcDatabaseConfig
53olcDatabase: monitor
54olcAccess: to * by dn.base="gidNumber=0+uidNumber=0,cn=peercred,cn=external,cn=auth" read by dn.base="cn=Manager,dc=fayson,dc=com" read by * none
55#
56# Backend database definitions
57#
58dn: olcDatabase=hdb,cn=config
59objectClass: olcDatabaseConfig
60objectClass: olcHdbConfig
61olcDatabase: hdb
62olcSuffix: dc=fayson,dc=com
63olcRootDN: cn=Manager,dc=fayson,dc=com
64olcRootPW: 123456
65olcDbDirectory: /var/lib/ldap
66olcDbIndex: objectClass eq,pres
67olcDbIndex: ou,cn,mail,surname,givenname eq,pres,sub
68olcDbIndex: uidNumber,gidNumber,loginShell eq,pres
69olcDbIndex: uid,memberUid eq,pres,sub
70olcDbIndex: nisMapName,nisMapEntry eq,pres,sub
（可左右滑动）
4.使用如下命令，重新生成OpenLDAP的配置
1[root@ip-172-31-24-169 ~]# rm -rf /etc/openldap/slapd.d/*
2[root@ip-172-31-24-169 ~]# slapadd -F /etc/openldap/slapd.d -n 0 -l /root/slapd.ldif
（可左右滑动）
测试配置文件是否正确，返回“config file testing succeeded”则表示配置文件正确
1[root@ip-172-31-24-169 ~]# slaptest -u -F /etc/openldap/slapd.d
（可左右滑动）
修改配置文件的属主，操作如下：
1[root@ip-172-31-24-169 ~]# chown -R ldap. /etc/openldap/slapd.d/
2[root@ip-172-31-24-169 ~]# ll /etc/openldap/slapd.d/
（可左右滑动）
5.安装OpenLDAP的数据库文件
将/usr/share/openldap-servers/目录下的DB_CONFIG.example文件拷贝至/var/lib/ldap目录下并重命名为DB_CONFIG，操作如下：
1[root@ip-172-31-24-169 ~]# cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG
2[root@ip-172-31-24-169 ~]# ll /var/lib/ldap/
（可左右滑动）
修改数据库文件属主
1[root@ip-172-31-24-169 ~]# chown -R ldap. /var/lib/ldap/
2[root@ip-172-31-24-169 ~]# ll /var/lib/ldap/
（可左右滑动）
6.完成上述操作后，执行如下命令将slapd服务添加到系统自启动服务并启动slapd服务，查看服务启动状态
1[root@ip-172-31-24-169 ~]# systemctl enable slapd
2[root@ip-172-31-24-169 ~]# systemctl start slapd
3[root@ip-172-31-24-169 ~]# systemctl status slapd
（可左右滑动）
至此OpenLDAP服务安装成功。
3.导入根域及管理员账号
1.创建root.ldif文件，内容如下
1[root@ip-172-31-24-169 ldap]# vim root.ldif
2dn: dc=fayson,dc=com
3dc: fayson
4objectClass: top
5objectClass: domain
6dn: cn=Manager,dc=fayson,dc=com
7objectClass: organizationalRole
8cn: Manager
（可左右滑动）
2.导入根域及管理员信息到OpenLDAP服务中
1[root@ip-172-31-24-169 ldap]# ldapadd -D "cn=Manager,dc=fayson,dc=com" -W -x -f root.ldif
（可左右滑动）
3.查看是否导入成功
1[root@ip-172-31-24-169 ldap]# ldapsearch -h ip-172-31-24-169.ap-southeast-1.compute.internal -b "dc=fayson,dc=com" -D "cn=Manager,dc=fayson,dc=com" -W
（可左右滑动）
4.导入基础文件及用户和用户组
在安装OpenLDAP服务是安装了migrationtools服务，这里我们可以通过该服务生成OpenLDAP的基础文件、用户和用户组的ldif文件
1.进入/usr/share/migrationtools/目录修改migrate_common.ph文件，将文件中的$DEFAULT_MAIL_DOMAIN和$DEFAULT_BASE修改为自己OpenLDAP的域
1# Default DNS domain
2$DEFAULT_MAIL_DOMAIN = "fayson.com";
3# Default base
4$DEFAULT_BASE = "dc=fayson,dc=com";
（可左右滑动）
2.使用如下命令导出OpenLdap的base.ldif文件
1[root@ip-172-31-24-169 ldap]# /usr/share/migrationtools/migrate_base.pl >base.ldif
2[root@ip-172-31-24-169 ldap]# ll
3[root@ip-172-31-24-169 ldap]# vim base.ldif
（可左右滑动）
根据自己的需求保留需要的基础域配置，此处是Fayson的配置
1dn: ou=People,dc=fayson,dc=com
2ou: People
3objectClass: top
4objectClass: organizationalUnit
5dn: ou=Group,dc=fayson,dc=com
6ou: Group
7objectClass: top
8objectClass: organizationalUnit
9
（可左右滑动）
3.执行如下命令导出操作系统的group.ldif文件
1[root@ip-172-31-24-169 ldap]# /usr/share/migrationtools/migrate_group.pl /etc/group > group.ldif
2[root@ip-172-31-24-169 ldap]# ll
3[root@ip-172-31-24-169 ldap]# vim group.ldif
（可左右滑动）
根据需要删除不需要导入OpenLDAP服务的group，如下是Fayson的配置
1dn: cn=root,ou=Group,dc=fayson,dc=com
2objectClass: posixGroup
3objectClass: top
4cn: root
5userPassword: {crypt}x
6gidNumber: 0
7dn: cn=fayson,ou=Group,dc=fayson,dc=com
8objectClass: posixGroup
9objectClass: top
10cn: fayson
11userPassword: {crypt}x
12gidNumber: 1001
13
（可左右滑动）
4.使用如下命令导出操作系统用户的ldif文
1[root@ip-172-31-24-169 ldap]# /usr/share/migrationtools/migrate_passwd.pl /etc/passwd >user.ldif
2[root@ip-172-31-24-169 ldap]# ll
3[root@ip-172-31-24-169 ldap]# vim user.ldif
（可左右滑动）
根据需要保留user.ldif文件中需要导入OpenLDAP服务的用户信息，注意用户信息与group.ldif中组的对应，否则会出现用户无相应组的问题，如下是Fayson的配置
1dn: uid=root,ou=People,dc=fayson,dc=com
2uid: root
3cn: root
4objectClass: account
5objectClass: posixAccount
6objectClass: top
7objectClass: shadowAccount
8userPassword: {crypt}!!
9shadowLastChange: 17094
10shadowMin: 0
11shadowMax: 99999
12shadowWarning: 7
13loginShell: /bin/bash
14uidNumber: 0
15gidNumber: 0
16homeDirectory: /root
17gecos: root
18dn: uid=fayson,ou=People,dc=fayson,dc=com
19uid: fayson
20cn: fayson
21objectClass: account
22objectClass: posixAccount
23objectClass: top
24objectClass: shadowAccount
25userPassword: {crypt}!!
26shadowLastChange: 17566
27shadowMin: 0
28shadowMax: 99999
29shadowWarning: 7
30loginShell: /bin/bash
31uidNumber: 1001
32gidNumber: 1001
33homeDirectory: /home/fayson
34
（可左右滑动）
使用slapadd命令将基础文件及用户和组导入OpenLDAP
ldapadd -D "cn=Manager,dc=fayson,dc=com" -W -x -f base.ldif
ldapadd -D "cn=Manager,dc=fayson,dc=com" -W -x -f group.ldif
ldapadd -D "cn=Manager,dc=fayson,dc=com" -W -x -f user.ldif
（可左右滑动）
4.查看是否导入成功
ldapsearch -h ip-172-31-24-169.ap-southeast-1.compute.internal -b "dc=fayson,dc=com" -D "cn=Manager,dc=fayson,dc=com" -W|grep dn
（可左右滑动）
5.OpenLDAP客户端配置
1.在ip-172-31-30-69节点安装OpenLDAP的客户端软件包
[root@ip-172-31-30-69 ~]# yum -y install openldap-clients
（可左右滑动）
2.修改/etc/openldap/ldap.conf文件，内容如下：
[root@ip-172-31-30-69 ~]# yum -y install openldap-clients
[root@ip-172-31-30-69 ~]# vim /etc/openldap/ldap.conf
#
# LDAP Defaults
#
# See ldap.conf(5) for details
# This file should be world readable but not world writable.
#BASE dc=example,dc=com
#URI ldap://ldap.example.com ldap://ldap-master.example.com:666
#SIZELIMIT 12
#TIMELIMIT 15
#DEREF never
TLS_CACERTDIR /etc/openldap/certs
URI ldap://ip-172-31-24-169.ap-southeast-1.compute.internal
BASE dc=fayson,dc=com
# Turning this off breaks GSSAPI used with krb5 when rdns = false
SASL_NOCANON on
（可左右滑动）
3.测试客户端是否配置成功
[root@ip-172-31-30-69 ~]# ldapsearch -D "cn=Manager,dc=fayson,dc=com" -W |grep dn
（可左右滑动）
注意：如果未配置/etc/openldap/ldap.conf文件则需要在ldapsearch命令后加-hip-172-31-24-169.ap-southeast-1.compute.internal -b"dc=fayson,dc=com"参数。
提示：代码块部分可以左右滑动查看噢
为天地立心，为生民立命，为往圣继绝学，为万世开太平。
温馨提示：要看高清无码套图，请使用手机打开并单击图片放大查看。
推荐关注Hadoop实操，第一时间，分享更多Hadoop干货，欢迎转发和分享。
原创文章，欢迎转载，转载请注明：转载自微信公众号Hadoop实操