CentOS7.x 构建SSSD服务与openldap整合

运维系列

一:SSSD 服务介绍：

1.1. SSSD 介绍：

SSSD是自红帽企业版Linux6起新加入的一个守护进程，该进程可以用来访问多种验证服务器，如LDAP，Kerberos等，并提供授权。SSSD是
介于本地用户和数据存储之间的进程，本地客户端首先连接SSSD，再由SSSD联系外部资源提供者(一台远程服务器)。 
这样做有一些几点优势：
1.避免了本地每个客户端程序对认证服务器大量连接，所有本地程序仅联系SSSD，由SSSD连接认证服务器或SSSD缓存，有效的降低了负载。
2.允许离线授权。SSSD可以缓存远程服务器的用户认证身份，这允许在远程认证服务器宕机是，继续成功授权用户访问必要的资源。
SSSD无需特殊设置即可运行，当你配置完system-configure-authentication后该服务会自己运行。
SSSD默认配置文件位于/etc/sssd/sssd.conf，你可以通过命令使得SSSD以指定的配置文件运行：
  sssd  --c  /etc/sssd/customfile.conf

1.2 SSSD 的配置格式

配置文件格式如下：
  关键字=键值
  #####################################################
  ##  [section]                    ##
  ##  key1 = value1                  ##
  ##  key2 = value2,value3              ##
  #####################################################

1.3 服务的启动格式

管理SSSD进程
service  sssd  start 开启
service  sssd  stop 关闭
使用authconfig命令开启SSSD： #authconfig  --enablesssd  --update
使用systemctl命令开启SSSD： # systemctl  enable  sssd
总结：简单来说现在在RHEL6中连接LDAP或Kerberos等认证服务器，都是先有SSSD连接认证服务器取得认证与授权信息，再交于本地客户端程序。

二：在CentOS7.x 安装配置SSSD 服务

2.1 安装 SSSD 服务

yum install sssd*

2.2 配置openldap 与 SSSD 服务的集成

2.1 关于openldap 客户端的验证

openldap 服务端已经配置完成，不会看flyfish 博文 https://blog.51cto.com/flyfish225/4562546 在此不做部署：
安装openldap-client 装包：
yum -y install openldap-clients sssd authconfig nss-pam-ldapd

编辑配置文件：
    vim /etc/openldap/ldap.conf
    ---
    BASE    dc=flyfish,dc=com
    URI     ldap://192.168.100.14
    #SIZELIMIT      12
    #TIMELIMIT      15
    #DEREF          never
    TLS_CACERTDIR   /etc/openldap/certs
    # Turning this off breaks GSSAPI used with krb5 when rdns = false
    SASL_NOCANON    on
    ----

openldap 客户端验证：
      ldapsearch -D "cn=admin,dc=flyfish,dc=com" -W |grep dn

2.2 OpenLDAP集成SSH登录并使用sssd同步用户

vim /etc/sssd/sssd.conf
----
[domain/default]
autofs_provider = ldap
cache_credentials = True
ldap_search_base = dc=flyfish,dc=com
id_provider = ldap
auth_provider = ldap
chpass_provider = ldap
ldap_uri = ldap://192.168.100.14
ldap_id_use_start_tls = False
ldap_tls_cacertdir = /etc/openldap/cacerts
ldap_schema = rfc2307bis
[sssd]
services = nss, pam, autofs
domains = default
[nss]
homedir_substring = /home
[pam]
[sudo]
[autofs]
[ssh]
[pac]
[ifp]
[secrets]
[session_recording]
----
chmod 600 /etc/sssd/sssd.conf
service sssd start 
chkconfig sssd on 

2.3 OpenLdap与SSH集成

2.3.1 启用SSH 的 PAM 认证

vim /etc/ssh/sshd_config
----
UsePAM yes
----

修改配置文件
   vim /etc/pam.d/sshd
   ----
  增加这一行：
   session    required     pam_mkhomedir.so
   ----
  # 确保登录成功后创建用户的home目录

修改配置文件
vim /etc/pam.d/password-auth
---
增加一行：
### 添加
auth        sufficient    pam_ldap.so use_first_pass
### 添加
password    sufficient    pam_ldap.so use_authtok
### 添加
session     optional      pam_ldap.so
---
增加pam_ldap.so 模块

修改配置文件
vim /etc/pam.d/system-auth
-----
#auth        sufficient    pam_sss.so forward_pass
### 添加
auth        sufficient    pam_ldap.so use_first_pass
### 添加
#account     [default=bad success=ok user_unknown=ignore] pam_ldap.so
### 添加
password    sufficient    pam_ldap.so use_authtok
### 添加
#session     optional      pam_sss.so
session     optional      pam_ldap.so
------

重启SSHD 服务
service sshd restart