OpenLDAP и LAM на Debian 12 — установка и настройка

Логотип OpenLDAP и схема установки

Кому это руководство подойдёт

Системным администраторам, которые разворачивают LDAP для локальной сети или тестовой среды.
Инженерам DevOps, которым нужно централизовать учётные записи без сторонних сервисов.
Тем, кто хочет использовать веб‑интерфейс LAM для управления пользователями OpenLDAP.

Краткое определение: OpenLDAP — свободная реализация протокола LDAP для хранения и поиска информации об учётных записях и группах в иерархической базе данных.

Что вы получите в конце

Рабочий LDAP‑сервер slapd на Debian 12.
Базовые организационные единицы (OU) People и Groups.
Один пользователь с соответствующей группой, добавленные через LDIF.
Веб‑интерфейс LDAP Account Manager (LAM) для управления записями.
Базовая защита с UFW и инструкции по дальнейшему усилению безопасности.

Предварительные требования

Сервер с Debian 12. В примерах используется hostname: ldap и IP: 192.168.10.15.
Ненулевой пользователь с правами sudo (администратор).
Доступ к терминалу и базовым правкам файлов.

Важно: в боевых системах используйте резервные копии перед изменениями конфигурации и следите за политиками безопасности организации.

План действий (вкратце)

Настроить FQDN сервера.
Установить paket slapd и ldap-utils.
Инициализировать базовую структуру через LDIF.
Добавить пользователя и группу через LDIF.
Установить и настроить LAM (Apache + PHP).
Защитить порты с помощью UFW.
Проверить и создать резервную стратегию.

Настройка FQDN

FQDN (Fully Qualified Domain Name) — полное доменное имя хоста: имя + зона. Многие LDAP‑серверы ожидают корректного FQDN для TLS/сертификатов и обратной записи.

Установите FQDN командой:

sudo hostnamectl set-hostname ldap.mydomain.local

Отредактируйте /etc/hosts, чтобы привязать IP к FQDN и короткому имени хоста:

sudo nano /etc/hosts

Добавьте строку (замените IP и домен на ваши):

192.168.10.15 ldap.mydomain.local ldap

Проверьте FQDN и доступность имени:

sudo hostname -f
sudo ping -c3 ldap.mydomain.local

Если всё корректно, вывод hostname покажет ldap.mydomain.local и ping ответит с IP 192.168.10.15.

Проверка FQDN и ping до ldap.mydomain.local

Важно: правильный FQDN упростит последующую настройку TLS/сертификатов и работу клиентов.

Установка и базовая конфигурация OpenLDAP

Обновите индекс пакетов и установите slapd и ldap-utils:

sudo apt update
sudo apt install slapd ldap-utils

В процессе установки вам предложат ввести пароль администратора LDAP (cn=admin,…). Установите надёжный пароль и запомните его.

Установка пакета slapd и ldap-utils

Если вы хотите перепроизвести конфигурацию пакета, используйте:

sudo dpkg-reconfigure slapd

Пример ответов в интерактивном мастере:

Omit OpenLDAP database? Выберите NO.
Domain name: ldap.mydomain.local (введите ваш домен без пробелов).
Organization name: mydomain (любой читабельный идентификатор).
Admin password: введите пароль и повторите.
Delete old database? Обычно NO.
Move old database? YES (если предлагается — переместит старые данные).

Мастер конфигурации slapd: ввод домена и организации

После завершения перезапустите и проверьте службу:

sudo systemctl restart slapd
sudo systemctl status slapd

Ожидаемый статус: active (running).

Проверка статуса сервиса slapd

Проверьте текущую «каталоговую» базу:

sudo slapcat

Вы должны увидеть запись корня dc=ldap,dc=mydomain,dc=local или аналогичную, отражающую ваш домен.

Вывод slapcat с отображением домена ldap.mydomain.local

Совет: для отладки используйте ldapsearch с ключом -d 1 или -d 256 для подробного логирования.

Защита OpenLDAP с помощью UFW

UFW (Uncomplicated Firewall) — простой фронт для управления iptables. Установите и настройте базовые профили:

sudo apt install ufw
sudo ufw allow OpenSSH
sudo ufw enable

Откройте LDAP и веб‑трафик (HTTP/HTTPS) для требуемых сетей:

sudo ufw allow LDAP
sudo ufw allow LDAPS
sudo ufw allow "WWW Full"
sudo ufw reload
sudo ufw status

Проверьте, что правила применены и порты 389 (LDAP) и 636 (LDAPS) доступны в нужной подсети.

Включение UFW и разрешение профилей LDAP и WWW

Важно: не блокируйте SSH и не применяйте глобальные правила deny без предварительной проверки — можно потерять доступ к серверу.

Создание базовых OU (organizational units) через LDIF

LDIF — формат для пакетного добавления/изменения записей LDAP. Создаём базовые OU: People и Groups.

Создайте файл base.ldif:

sudo nano base.ldif

Вставьте содержимое (замените dc=… на ваш домен):

# base.ldif

dn: ou=People,dc=ldap,dc=mydomain,dc=local
objectClass: organizationalUnit
ou: people

dn: ou=Groups,dc=ldap,dc=mydomain,dc=local
objectClass: organizationalUnit
ou: groups

Добавьте OU в каталог:

sudo ldapadd -x -D cn=admin,dc=ldap,dc=mydomain,dc=local -W -f base.ldif

Проверьте наличие OU:

sudo ldapsearch -x -b "dc=ldap,dc=mydomain,dc=local" ou

Вы должны увидеть записи ou=People и ou=Groups.

Добавление базовых OU People и Groups через base.ldif

Совет по удобству: храните LDIF в системе контроля версий (git) для управления изменениями схемы.

Добавление пользователя и группы через LDIF

Сгенерируйте хеш пароля (SSHA) утилитой slappasswd:

sudo slappasswd

Скопируйте результат вида {SSHA}… — он будет использован как userPassword.

Создайте файл user.ldif:

nano user.ldif

Пример содержимого (измените uid, uidNumber и gidNumber под своё окружение):

# user.ldif

dn: uid=debian,ou=People,dc=ldap,dc=mydomain,dc=local
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
cn: debian
sn: bookworm
userPassword: {SSHA}23rFF1ofbNo5MRxEJo6D2Z4PT2GOxeWt
loginShell: /bin/bash
uidNumber: 2000
gidNumber: 2000
homeDirectory: /home/debian
shadowLastChange: 0
shadowMax: 0
shadowWarning: 0

dn: cn=debian,ou=Groups,dc=ldap,dc=mydomain,dc=local
objectClass: posixGroup
cn: debian
gidNumber: 2000
memberUid: debian

Добавьте пользователя и группу:

sudo ldapadd -x -D cn=admin,dc=ldap,dc=mydomain,dc=local -W -f user.ldif

Проверьте запись пользователей в OU People:

sudo ldapsearch -x -b "ou=People,dc=ldap,dc=mydomain,dc=local"

После успешного добавления вы увидите запись для uid=debian.

Проверка добавленного пользователя debian в LDAP

Критерии приёмки:

Пользователь присутствует в ldapsearch по OU People.
Группа присутствует в ldapsearch по OU Groups.
uidNumber/gidNumber не конфликтуют с существующими системными идентификаторами.

Установка LDAP Account Manager (LAM)

LAM предоставляет удобный веб‑интерфейс для управления пользователями и группами LDAP.

Установите пакет:

sudo apt install ldap-account-manager

Установка подтянет Apache2 и PHP 8.2.

Установка ldap-account-manager вместе с зависимостями Apache и PHP

После установки откройте конфиг PHP для Apache и увеличьте лимит памяти, чтобы избежать ошибок при импорте/обновлениях:

sudo nano /etc/php/8.2/apache2/php.ini

Найдите и измените:

memory_limit = 256M

Далее откройте конфигурацию Apache для LAM:

sudo nano /etc/apache2/conf-enabled/ldap-account-manager.conf

Замените “Require all granted” на ограничение доступа по подсети и локальному хосту. Пример:

#Require all granted
Require ip 127.0.0.1 192.168.10.0/24

Сохраните файл и перезапустите Apache:

sudo systemctl restart apache2

Откройте в браузере: http://192.168.10.15/lam (замените IP на ваш сервер). По умолчанию LAM потребует начальной авторизации.

Главная страница LDAP Account Manager после установки

Важно: в продуктивной среде используйте HTTPS и ограничьте доступ на уровне фаервола и веб‑сервера.

Настройка LDAP Account Manager

Откройте меню LAM configuration → Edit server profiles.

Переход к редактированию профилей сервера LAM

Стандартный логин/пароль LAM для первой настройки — lam / lam. Измените эти учётные данные после входа.

Авторизация стандартной учётной записью lam

В разделе General Settings заполните:

Tool settings: домен (например, dc=ldap,dc=mydomain,dc=local).
Security settings: метод логина Fixed list и учётная запись admin LDAP.
Profile password: задайте пароль для профиля.

Общие настройки профиля LAM: домен и логин LDAP

В Account Types укажите суффиксы по умолчанию:

Users: ou=People
Groups: ou=Groups

Указание базовых OU для пользователей и групп в LAM

Сохраните и войдите в LAM уже под admin LDAP:

Страница входа LAM: используйте учётную запись admin LDAP

После входа в разделе Users вы увидите созданную запись debian.

Список пользователей в LAM с записью debian

Совет: смените пароль учётной записи lam и настройте HTTPS для веб‑интерфейса.

Отладка и частые проблемы

Проблема: ldapsearch возвращает «Invalid credentials». Проверьте DN администратора и пароль, используемые в командах и в LAM.
Проблема: Невозможно подключиться к LDAPS (порт 636). Проверьте сертификаты, права доступа на ключи, и что slapd слушает 636.
Проблема: Нету событий при добавлении через LAM. Проверьте логи Apache (/var/log/apache2/) и логи slapd (/var/log/syslog или /var/log/slapd.log в зависимости от конфигурации).

Полезные команды для диагностики:

sudo netstat -tulpen | grep slapd
sudo ss -ltnp | grep slapd
sudo tail -f /var/log/syslog
sudo slapcat

Если вы меняли схему или делали импорт LDIF и столкнулись с конфликтами uid/gid — используйте ldapsearch для проверки существующих uidNumber/gidNumber и скорректируйте новые записи.

Чек‑лист при разворачивании (роль: администратор)

Сервер имеет корректный FQDN и запись в /etc/hosts.
slapd установлен и работает (systemctl status slapd).
OU People и Groups добавлены.
Минимально один пользователь и группа созданы (проверено ldapsearch).
UFW настроен, OpenSSH и LDAP разрешены.
LAM установлен, доступен из доверенной подсети.
Веб‑интерфейс LAM доступен по HTTPS (если настроен).
Резервная стратегия для каталога настроена (см. ниже).

Резервирование и откат (runbook)

Перед крупными изменениями экспортируйте текущую БД:

sudo slapcat -l backup-ldap-$(date +%F).ldif

Чтобы восстановить из LDIF (полное восстановление сервис должен быть остановлен):

sudo systemctl stop slapd
sudo rm -rf /var/lib/ldap/*
sudo slapadd -l backup-ldap.ldif
sudo chown -R ldap:ldap /var/lib/ldap
sudo systemctl start slapd

Тестируйте восстановление в тестовой среде перед применением в продакшене.

Безопасность и усиление (рекомендации)

Включите LDAPS (порт 636) или STARTTLS на порту 389. Используйте сертификаты от центра сертификации или внутреннего CA.
Отключите анонимный доступ, если он не нужен.
Ограничьте права пользователей: используйте ACL в конфигурации slapd для контроля операций записи и чтения.
Логи: активируйте подробный аудит для операций модификации в каталоге.
Регулярно обновляйте пакеты Debian и следите за CVE в LDAP/Apache/PHP.

Пример включения TLS (схематично):

Сгенерируйте ключ и сертификат CA/серверный сертификат.
Поместите файлы в /etc/ssl/private и /etc/ssl/certs с правами 600/644 соответственно.
В файл /etc/ldap/ldap.conf или в конфигурацию slapd добавьте пути к сертификатам.
Перезапустите slapd и проверьте подключение LDAPS.

Примеры сценариев отказа и действия

Сценарий: slapd упал и не стартует после правки конфигурации. Действия: проверить sudo journalctl -u slapd -b, восстановить из backup-ldif, откатить изменения конфигурации.
Сценарий: клиент не может аутентифицироваться после смены пароля. Действия: проверить DN пользователя, hash пароля (SSHA), синхронизацию времени между клиентом и сервером.

Тесты приёмки (acceptance)

LDAP отвечает на ldapsearch на порту 389: ldapsearch -x -H ldap://ldap.mydomain.local -b “dc=ldap,dc=mydomain,dc=local”
LDAPS отвечает на порт 636: openssl s_client -connect ldap.mydomain.local:636 -showcerts
LAM доступен из доверенной подсети и позволяет просмотреть пользователя debian.
Конфигурация UFW содержит правила для OpenSSH, LDAP и LDAPS.

Мини‑методология: как поддерживать каталог

Разделение ролей: администратор — управление схемой и ACL; оператор — добавление пользователей через LAM; аудит — проверка логов и изменений.
Изменения в схеме проводите в тестовой среде и задокументируйте в системе контроля версий.
Регулярно выполняйте экспорт LDIF и храните копии в безопасном месте.

Ментальные модели и когда не следует выбирать OpenLDAP

OpenLDAP — хорош для автономного каталога в локальной сети, когда вам нужна лёгкая и гибкая реализация LDAP.
Не выбирайте OpenLDAP если вам нужен полнофункциональный identity provider с SSO, протоколами OAuth2/OIDC и полноценной интеграцией SaaS — в этих случаях рассмотрите IdP вроде Keycloak или коммерческие решения.

Полезные шаблоны и сниппеты

Команда для массового импорта LDIF:

sudo ldapadd -x -D "cn=admin,dc=ldap,dc=mydomain,dc=local" -W -f bulk_import.ldif

Экспорт текущей схемы/базы:

sudo slapcat -v -l /root/ldap-backup.ldif

Проверка порта LDAP:

sudo ss -ltnp | grep :389

Конфиденциальность и соответствие (GDPR и приватность)

Если каталог содержит персональные данные (имена, email, телефоны) и вы обслуживаете граждан ЕС, учтите требования GDPR:

Минимизируйте собираемые данные — храните только необходимое.
Документируйте цели обработки и храните журналы доступа.
Иметь процедуру удаления/анонимизации по запросам субъектов данных.
Ограничьте доступ к данным через ACL и шифрование при передаче (TLS).

Для корпоративных развертываний рассмотрите хранение лога изменений и аудит‑потока для соответствия требованиям.

Решение проблем — поток принятия решений (Mermaid)

flowchart TD
  A[Не удаётся подключиться к LDAP] --> B{Проверить сетевой доступ}
  B -->|ping/ssh ok| C{Порт 389/636 открыт?}
  B -->|ping/ssh не доступен| D[Проверить UFW и сетевые настройки]
  C -->|закрыт| D
  C -->|открыт| E{slapd запущен?}
  E -->|нет| F[Посмотреть journalctl и логи slapd]
  E -->|да| G[Проверить сертификаты и DN в конфиге клиента]

Примеры ролей и их чек‑листы

Роль: Системный администратор

Настроить FQDN и /etc/hosts.
Установить и настроить slapd.
Настроить TLS и ACL.
Настроить резервное копирование LDIF.

Роль: Оператор LAM

Подключиться к LAM под админом LDAP.
Создать пользователей и группы через веб‑интерфейс.
Документировать изменения и уведомлять админа о схеме/ACL.

Роль: Аудитор

Проверять логи операций модификации.
Проводить периодический экспорт и сверку записей.

Заключение

Вы установили OpenLDAP на Debian 12, защитили сервер UFW, создали базовые OU и пользователя через LDIF, а также развернули LDAP Account Manager для удобного управления записями. В дополнение приведены чек‑листы, критерии приёмки, рекомендации по безопасности и процедуры резервного копирования.

Если вы планируете использовать данный каталог в продакшене, следующие шаги:

Настроить TLS/LDAPS и удостоверяющий центр (CA).
Настроить ACL для минимально необходимых прав.
Внедрить регулярное резервное копирование и тесты восстановления.
Рассмотреть мониторинг сервиса (Prometheus/exporter, zabbix) и оповещения.

Важно: всегда тестируйте изменения в копии окружения и документируйте все действия.

Дополнительные материалы и ссылки (рекомендуется):

Официальная документация OpenLDAP
Руковдоство по LAM и FAQ на сайте проекта

Ключевые выводы и следующие шаги описаны в разделе «Заключение».

Установка OpenLDAP и LAM на Debian 12 — пошаговое руководство