一、安装ldapserver

1. yum安装openldap server

yum install -y openldap openldap-servers openldap-clients 

2. 准备配置文件

cp /usr/share/openldap-servers/slapd.conf.obsolete /etc/openldap/slapd.conf 
cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG 

3. 修改配置文件

vim /etc/openldap/slapd.conf 

1) 设置目录树的后缀 
suffix "dc=dianping,dc=com" 
2) 设置管理员DN 
rootdn "cn=admin,dc=dianping,dc=com" 
3) 设置管理员密码 
rootpw redhat 
或机密格式, 加密格式可通过 slappasswd命令来生成 
10 rootpw {SSHA}j6OO++o76F2yhww2Cg/+Hy8oDPixx6C3 
11 4) 设置ldap日志,在argsfile下面添加 
12 loglevel 1 
13 修改系统日志配置文件 
14 vim /etc/rsyslog.conf # centos5版应该是syslog.conf 
15 local4.* /var/log/ldap.log 
16 service rsyslog restart 
17 5) 修改完配置文件后用以下命令生成新的配置文件,以后不再特殊说明 
18 service slapd start # 第一次需要启动一下 
19 rm -rf /etc/openldap/slapd.d/* 
20 slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d 
21 chown -R ldap:ldap /etc/openldap/slapd.d/ 
22 service slapd restart 

4. 查看启动情况

[root@localhost openldap]netstat -tulnp | grep slapd 
tcp 0 0 0.0.0.0:389 0.0.0.0:* LISTEN 48776/slapd 
tcp 0 0 :::389 :::* LISTEN 48776/slapd 

5. 安装migrationtools,迁移本地账户密码到ldap

为了测试,我们先在服务器上建立一个测试账号

useradd guanghongwei 
echo 'redhat' | passwd --stdin guanghongwei 

1). 安装并修改配置文件

yum -y install migrationtools 
cd /usr/share/migrationtools/ 
vim migrate_common.ph # 71行左右 
$DEFAULT_MAIL_DOMAIN = "dianping.com"; 
$DEFAULT_BASE = "dc=dianping,dc=com";

2). 使用脚本导出ldif文件

./migrate_base.pl > /tmp/base.ldif 
./migrate_passwd.pl /etc/passwd > /tmp/passwd.ldif 
./migrate_group.pl /etc/group > /tmp/group.ldif 

3). 导入到ldap中

ldapadd -x -W -D "cn=admin,dc=dianping,dc=com" -f /tmp/base.ldif 
ldapadd -x -W -D "cn=admin,dc=dianping,dc=com" -f /tmp/passwd.ldif 
ldapadd -x -W -D "cn=admin,dc=dianping,dc=com" -f /tmp/group.ldif

二、测试服务器安装ldap客户端

1. 安装LDAP客户端及依赖组件

yum -y install openldap openldap-clients nss-pam-ldapd pam_ldap #centos6 
yum -y install openldap openldap-clients nss_ldap #centos5 

2. 增加BIND策略,避免LDAP无法连接时无法开机

echo "bind_policy soft" >> /etc/openldap/ldap.conf 

3. 自动创建目录设置

echo "session required pam_mkhomedir.so skel=/etc/skel umask=0077" >> /etc/pam.d/system-auth 

4. 设置LDAP启用

#centos6 
authconfig --savebackup=auth.bak 
authconfig --enableldap --enableldapauth --enablemkhomedir --enableforcelegacy --disablesssd --disablesssdauth --ldapserver=192.168.2.130 --ldapbasedn="dc=dianping,dc=com" --update 

#centos5 
authconfig --enableldap --enableldapauth --enablemkhomedir --ldapserver=192.168.2.130 --ldapbasedn="dc=dianping,dc=com" –-update 

5. 从主上测试连接服务器

ssh guanghongwei@192.168.2.132 #132上没有useradd该用户哦,如果能连接上证明ldap使用ok

三、 让ldap server负责sudo管理

主:

1. 拷贝sudo schema

cp /usr/share/doc/sudo-1.8.6p3/schema.OpenLDAP /etc/openldap/schema/sudo.schema ## 拷贝schema 

2. 配置文件导入schema

vim /etc/openldap/slapd.conf # 增加一项一项 
include /etc/openldap/schema/sudo.schema 
rm -rf /etc/openldap/slapd.d/* 
slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d 
chown -R ldap:ldap /etc/openldap/slapd.d/* 
service slapd restart 

3. 将sudo base导入到ldap

1) 建立数据库ldif文件

vim sudo.ldif 

dn: ou=Sudoers,dc=dianping,dc=com 
objectClass: top 
objectClass: organizationalUnit 
ou: Sudoers 

dn: cn=defaults,ou=Sudoers,dc=dianping,dc=com 
objectClass: top 
10 objectClass: sudoRole 
11 cn: defaults 
12 sudoOption: !visiblepw 
13 sudoOption: always_set_home 
14 sudoOption: env_reset 
15 sudoOption: requiretty 
16 
17 dn: cn=guanghongwei,ou=Sudoers,dc=dianping,dc=com ## dn, 使用时 请删除注释,并不能有空格 
18 objectClass: top 
19 objectClass: sudoRole 
20 cn: guanghongwei ## 对应的是用户名或者组 
21 sudoCommand: ALL ## 可以执行的命令 
22 sudoHost: ALL ## 可以登录的Host 
23 sudoOption: !authenticate ## 是否需要输入密码 
24 sudoRunAsUser: ALL ## 以哪个用户执行 
25 sudoUser: guanghongwei ## 用户或者组


2) 导入到ldap中

ldapadd -x -W -D "cn=admin,dc=dianping,dc=com" -f sudo.ldif 

测试服务器:

4. 测试服务器设置,让ldap代理sudo

vi /etc/sudo-ldap.conf 
uri ldap://192.168.2.130 # 如果有备用后面跟备用的 
Sudoers_base ou=Sudoers,dc=dianping,dc=com 
vi /etc/nsswitch.conf 增加 
Sudoers: ldap files 

5. 测试,用户并没在服务器的sudoer file中,如果sudo成功,证明已使用ldap的sudo

[root@localhost tmp]# ssh guanghongwei@192.168.2.132 
guanghongwei@192.168.2.132's password: 
Last login: Mon Mar 10 02:27:50 2014 from 192.168.2.130 
[guanghongwei@2namenode ~]$ sudo su 
[root@2namenode guanghongwei]# 

上面这部分其实是ldap配置的过程,如果用过的朋友应该很熟悉,再部署个phpldapadmin才算完整,不过我们先不用,下面进入主题,讲讲如何部署跳板机

四、 部署jumpserver

1). 下载代码

https://github.com/ibuler/jumpserver 下载代码,git clone不知为何下载不下来

2. 解压后放到/opt中,为/opt/jumpserver

mv jumpserver-master /opt/jumpserver

3. 下载建立数据库, 并授权

yum -y install mysql-server 
serivce mysqld start 
mysql 
mysql> create database jumpserver charset=’utf8’; # 否则中文可能乱码 
mysql> grant all on jumpserver.* to 'jumpserver'@'127.0.0.1' identified by 'redhat'; 

4. 编辑配置文件

1) 修改jumpserver的配置文件, 主要是修改一下db和key,下面的不动

vim jumpserver.conf 
#coding:utf-8 

[db] 
host = 127.0.0.1 
port = 3306 
user = jumpserver 
password = redhat 
db = jumpserver 
10 
11 [jumpserver] 
12 log_dir = /opt/jumpserver/logs/ 
13 user_table = UserManage_user 
14 assets_table = Assets_assets 
15 assets_user_table = Assets_assetsuser 
16 key = 88aaaf7ffe3c6c04 #此key需要是16位 
17 useradd_shell = /opt/jumpserver/useradd.sh 
18 userdel_shell = /opt/jumpserver/userdel.sh 
19 sudoadd_shell = /opt/jumpserver/sudoadd.sh 
20 sudodel_shell = /opt/jumpserver/sudodel.sh 
21 keygen_shell = /opt/jumpserver/genkey.sh 
22 chgpass_shell = /opt/jumpserver/chgpass_shell.sh

2) 修改bash调用的配置文件 shell.conf

vim shell.conf 

#!/bin/bash 

host=127.0.0.1 
ldapassword=redhat 
domain=dianping 
suffix=com 
#host2=172.16.2.74 
10 #host2_port=2001 

3) 添加一个admin用户

useradd admin 
echo 'redhat' | passwd --stdin admin 

4) 安装依赖的python库

yum -y install python-devel # MySQLdb也就是也就是mysql-python依赖依赖 
pip install django paramiko pam mysql-python pexpect -i http://pypi.douban.com/simple 

5) 初始化库

cd webroot/AutoSa/ 
python manage.py syncdb 
no 

6) 测试运行

chmod +x manage.py 
chmod +x runserver 
chmod +x *.sh 
chmod 777 logs 
./runserver #默认监听80 

浏览器查看 


8) 登录测试

cd /opt/jumpserver 
python jumpserver.py 
试试各种功能 


9) 查看日志

10) 最终没确认没问题将目录下面的jumpserver.sh移动到 /etc/profile.d/中,来让登录运行堡垒机脚本

mv jumpserver.sh /etc/profile.d/