keystone与ldap的集成

以kilo版本的openstack为例

ldap简介

LDAP是轻量目录访问协议(Lightweight Directory Access Protocol)的缩写，LDAP是从X.500目录访问协议的基础上发展过来的。

ldap的特点

LDAP的结构用树来表示，而不是用表格。正因为这样，就不能用SQL语句了
LDAP可以很快地得到查询结果，不过在写方面，就慢得多
LDAP提供了静态数据的快速查询方式
Client/server模型，Server 用于存储数据，Client提供操作目录信息树的工具
这些工具可以将数据库的内容以文本格式（LDAP 数据交换格式，LDIF）呈现
LDAP是一种开放Internet标准，LDAP协议是跨平台的Interent协议

ldap基本概念

LDAP的一张示例图如下：

LDAP示例图

Entry

条目，也叫记录项，是LDAP中最基本的颗粒，就像字典中的词条，或者是数据库中的记录。通常对LDAP的添加、删除、更改、检索都是以条目为基本对象的。

dn：每一个条目都有一个唯一的标识名（distinguished Name ，DN），如上图的一条记录为dn：”cn=baby,ou=marketing,ou=people,dc=mydomain,dc=org” 。通过DN的层次型语法结构，可以方便地表示出条目在LDAP树中的位置，通常用于检索。

Attribute

每个条目都可以有很多属性（Attribute），比如常见的人都有姓名、地址、电话等属性。每个属性都有名称及对应的值，属性值可以有单个、多个。比如你有多个电话。

LDAP为人员组织机构中常见的对象都设计了属性(比如commonName，surname)。下面有一些常用的别名：

属性	别名	语法	描述	值（举例）
commonName	cn	Directory String	姓名	baby
surname	sn	Directory String	姓	yang
organizationalUnitName	ou	Directory String	单位	Tech
organization	o	Directory String	组织	school
telephoneNumber		Telephone Number	电话号码	114
owner		DN	该条目的拥有者	cn=baby,ou=marketing,ou=people,dc=mydomain,dc=org

ObjectClass

对象类（ObjectClass）是属性的集合，LDAP预想了很多人员组织机构中常见的对象，并将其封装成对象类。比如人员（person）含有姓（sn）、名（cn）、电话(telephoneNumber)、密码(userPassword)等属性。

单位职工(organizationalPerson)是人员(person)的继承类，除了上述属性之外还含有职务（title）、邮政编码（postalCode）、通信地址(postalAddress)等属性。

通过对象类可以方便的定义条目类型。每个条目可以直接继承多个对象类，这样就继承了各种属性。如果2个对象类中有相同的属性，则条目继承后只会保留1个属性。对象类同时也规定了那些属性是基本信息，必须含有(Must 或Required，必要属性)；哪些属性是扩展信息，可以含有（May或Optional，可选属性）。

Schema

Schema是一个数据模型，它被用来决定数据怎样被存储，被跟踪的数据的是什么类型，存储在不同的Entry下的数据之间的关系。

centos服务器上搭建ldap

1.安装软件包

 yum install -y openldap openldap-clients openldap-servers migrationtools

2.配置 OpenLDAP Server

vim /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{2\}hdb.ldif

修改三行内容,密码根据自己需要修改：

3.更改配置 Monitoring Database

vim /etc/openldap/slapd.d/cn\=config/olcDatabase\=\{1\}monitor.ldif

修改下面的内容:

4.准备ldap数据库

cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG

5.测试配置文件是否正确

slaptest -u

6.启动服务

systemctl enable slapd
systemctl start sladp

7.将所有的配置LDAP server, 添加到LDAP schemas中

cd /etc/openldap/schema/
for i in `ls | grep ldif`; do ldapadd -Y EXTERNAL -H ldapi:/// -D "cn=config" -f $i; done

8.生成文件base.ldif

cat >/root/base.ldif << EOF
# extended LDIF
#
# LDAPv3
# base <dc=openstack,dc=org> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#
# openstack.org
dn: dc=openstack,dc=org
objectClass: dcObject
objectClass: organizationalUnit
dc: openstack
ou: openstack

# UserGroups, openstack.org
dn: ou=groups,dc=openstack,dc=org
objectClass: organizationalUnit
ou: groups

# Users, openstack.org
dn: ou=users,dc=openstack,dc=org
objectClass: organizationalUnit
ou: users

# Roles, openstack.org
dn: ou=roles,dc=openstack,dc=org
ou: roles
objectClass: organizationalUnit

# Tenants, openstack.org
dn: ou=tenants,dc=openstack,dc=org
ou: tenants
objectClass: organizationalUnit
EOF

9.导入基本模板

ldapadd -x -D"cn=admin,dc=openstack,dc=org" -W -f base.ldif

10.查看entry是否添加成功

[root@localhost ~]# ldapsearch -x -LLL -Hldap:/// -b dc=openstack,dc=org dn
dn: dc=openstack,dc=org

dn: ou=groups,dc=openstack,dc=org

dn: ou=users,dc=openstack,dc=org

dn: ou=roles,dc=openstack,dc=org

dn: ou=tenants,dc=openstack,dc=org