ডকুমেন্টেশন<পূর্ববর্তী | বিষয়বস্তু | পরবর্তী>
1.8। টিএলএস৷
একটি OpenLDAP সার্ভারে প্রমাণীকরণ করার সময় এটি একটি এনক্রিপ্ট করা সেশন ব্যবহার করে এটি করা ভাল। এটি ট্রান্সপোর্ট লেয়ার সিকিউরিটি (TLS) ব্যবহার করে সম্পন্ন করা যেতে পারে।
এখানে, আমরা আমাদের নিজেদের হবে শংসাপত্র কর্তৃপক্ষ এবং তারপর সেই CA হিসাবে আমাদের LDAP সার্ভার সার্টিফিকেট তৈরি করুন এবং স্বাক্ষর করুন। যেহেতু slapd gnutls লাইব্রেরি ব্যবহার করে সংকলিত হয়েছে, তাই আমরা এই কাজগুলি সম্পূর্ণ করতে certtool ইউটিলিটি ব্যবহার করব।
1. gnutls-bin এবং ssl-cert প্যাকেজ ইনস্টল করুন:
sudo apt gnutls-bin ssl-cert ইনস্টল করুন
2. শংসাপত্র কর্তৃপক্ষের জন্য একটি ব্যক্তিগত কী তৈরি করুন:
sudo sh -c "certtool --generate-privkey > /etc/ssl/private/cakey.pem"
3. টেমপ্লেট/ফাইল তৈরি করুন /etc/ssl/ca.info CA সংজ্ঞায়িত করতে:
cn = উদাহরণ কোম্পানি ca
cert_signing_key
4. স্ব-স্বাক্ষরিত CA শংসাপত্র তৈরি করুন:
sudo certtool -- জেনারেট-স্ব-স্বাক্ষরিত \
--load-privkey /etc/ssl/private/cakey.pem \
--template /etc/ssl/ca.info \
--outfile /etc/ssl/certs/cacert.pem
5. সার্ভারের জন্য একটি ব্যক্তিগত কী তৈরি করুন:
4 http://manpages.ubuntu.com/manpages/en/man5/slapd.access.5.html
sudo certtool --generate-privkey \
--বিট 1024 \
--outfile /etc/ssl/private/ldap01_slapd_key.pem
প্রতিস্থাপন করা ldap01 আপনার সার্ভারের হোস্টনামের সাথে ফাইলের নামে। হোস্ট এবং পরিষেবার জন্য শংসাপত্র এবং কী নামকরণ যা তাদের ব্যবহার করবে তা জিনিসগুলি পরিষ্কার রাখতে সাহায্য করবে৷
6. তৈরি করুন /etc/ssl/ldap01.info তথ্য ফাইল ধারণকারী:
সংগঠন = উদাহরণ কোম্পানি cn = ldap01.example.com tls_www_server
এনক্রিপশন_কী সাইনিং_কি মেয়াদ শেষ হওয়ার_দিন = 3650
উপরের শংসাপত্রটি 10 বছরের জন্য ভাল। সেই অনুযায়ী সামঞ্জস্য করুন।
7. সার্ভারের শংসাপত্র তৈরি করুন:
sudo certtool -- জেনারেট-সার্টিফিকেট \
--load-privkey /etc/ssl/private/ldap01_slapd_key.pem \
--load-ca-certificate /etc/ssl/certs/cacert.pem \
--load-ca-privkey /etc/ssl/private/cakey.pem \
--template /etc/ssl/ldap01.info \
--outfile /etc/ssl/certs/ldap01_slapd_cert.pem
8. অনুমতি এবং মালিকানা সামঞ্জস্য করুন:
sudo chgrp openldap /etc/ssl/private/ldap01_slapd_key.pem sudo chmod 0640 /etc/ssl/private/ldap01_slapd_key.pem sudo gpasswd -a openldap ssl-cert
9. এখন slapd পুনরায় চালু করুন, যেহেতু আমরা 'ssl-cert' গ্রুপে 'openldap' ব্যবহারকারীকে যুক্ত করেছি:
sudo systemctl রিস্টার্ট slapd.service
আপনার সার্ভার এখন নতুন TLS কনফিগারেশন গ্রহণ করার জন্য প্রস্তুত।
ফাইল তৈরি করুন certinfo.ldif নিম্নলিখিত বিষয়বস্তুগুলির সাথে (তদনুসারে সামঞ্জস্য করুন, আমাদের উদাহরণ অনুমান করে আমরা https://www.cacert.org ব্যবহার করে শংসাপত্র তৈরি করেছি):
dn: cn=config
যোগ করুন: olcTLSCACertificateFile olcTLSCACertificateFile: /etc/ssl/certs/cacert.pem
-
যোগ করুন: olcTLSCertificateFile
olcTLSCertificateFile: /etc/ssl/certs/ldap01_slapd_cert.pem
-
যোগ করুন: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/ssl/private/ldap01_slapd_key.pem
slapd-config ডাটাবেসের মাধ্যমে আমাদের TLS কাজ সম্পর্কে slapd কে বলতে ldapmodify কমান্ডটি ব্যবহার করুন:
sudo ldapmodify -Y বাহ্যিক -H ldapi:/// -f certinfo.ldif
জনপ্রিয় বিশ্বাসের বিপরীতে, আপনার প্রয়োজন নেই ldaps:// in / ইত্যাদি / ডিফল্ট / slapd এনক্রিপশন ব্যবহার করার জন্য। আপনার শুধু থাকা উচিত:
SLAPD_SERVICES="ldap:/// ldapi:///"
TLS/SSL (ldaps://) এর উপর LDAP এর পক্ষে অবমূল্যায়ন করা হয়েছে স্টার্টটিএলএস. পরবর্তীটি একটি বিদ্যমান LDAP সেশনকে নির্দেশ করে (TCP পোর্ট 389-এ শোনা) TLS/SSL দ্বারা সুরক্ষিত যেখানে LDAPS, HTTPS-এর মতো, একটি স্বতন্ত্র এনক্রিপ্টেড-থেকে-স্টার্ট প্রোটোকল যা TCP পোর্ট 636-এর উপর কাজ করে।