使用IBM目录服务进行Linux用户验证

简介

　　轻量级目录访问协议 (Lightweight Directory Access Protocol，LDAP) 是一个轻量级的客户机-服务器协议，用于访问目录服务，尤其是那些基于 X.500 的服务。IBM Directory Server 是一个实现 LDAP 协议的成熟产品。近来流行的 Linux 提供了一些系统用户验证方法，包括本地文件、NIS、LDAP 和 PAM 机制。Linux 可以为不同的服务使用不同的验证方法。

　　本文介绍了如何使用 IBM Directory Server 进行 Linux 用户验证。我没有在文中介绍相关的概念； 参考资料 中有相关的背景资料。

　　我要管理的 Linux 系统为 RedHat Linux 7.3，LDAP 服务器是 IBM Directory Server 5.1。如果需要，请参考 RedHat 和 IBM 的网站提供的 Linux 和 Directory Server 5.1 安装说明。

　　配置 Directory Server 5.1 服务器

　　在使用 Directory Server 来存储您的 Linux 系统用户信息之前，您需要先计划您的系统用户结构。例如，我将 Directory Server 5.1 服务器安装在一个单独的 Windows 2000 服务器上，计划了如下的系统用户结构：

　　

　　

　　

　　

　　o=ibm,c=cn

　　|-ou=csdl,o=ibm,c=cn

　　|-ou=gcl,ou=csdl,o=ibm,c=cn

　　|-uid=user1,ou=gcl,ou=csdl,o=ibm,c=cn

　　|-uid=user2,ou=gcl,ou=csdl,o=ibm,c=cn

　　

　　使用以下步骤来构建这个结构：

　　

　　添加后缀。停止 Directory Server 服务器，然后使用 ldapxcfg 添加一个新的后缀： o=ibm,c=cn ，参见 图 1

　　图 1. 添加一个新后缀

　　
　　导入 LDAP Data Interchange Format (LDIF) 文件，以及基本结构。编辑 LDIF 文件，它定义了根专有名称 (distinguished name，DN) 和基本结构 DN，如下所示。

　　

　　

　　

　　

　　version: 1

　　dn: o=IBM,c=CN

　　objectclass: top

　　objectclass: organization

　　o: ibm

　　dn: ou=CSDL,o=ibm,c=cn

　　ou: CSDL

　　objectclass: organizationalUnit

　　objectclass: top

　　description: China Software Development Lab

　　businessCategory: R&D

　　dn: ou=GCL,ou=CSDL,o=ibm,c=cn

　　ou: GCL

　　objectclass: organizationalUnit

　　objectclass: top

　　description: Globalization Certification Lab

　　

　　使用 ldapxcfg 导入 LDIF，参见 图 2。

　　图 2.

　　
　　使用 Web 工具 ldif2db 来添加用户。创建一个新用户条目有两种不同的方法：

　　

　　Web 工具

　　Directory Server 5.1 提供了一个 Web 应用程序，可以部署到特定的应用程序服务器上。它默认使用 WebSphere Application Server 5.0 express。这个工具为用户提供了一个友好的界面来帮您管理 LDAP 信息。

　　命令行工具

　　使用 ldif2db 来导入条目。例如，