OpenLDAP - Maîtriser les annuaires LDAP
Lien sécurisé — 5 min
À propos de ce cours
L'objectif de ce deuxième support de travaux pratiques de la série est l'étude du service d'annuaire LDAP. On présente succinctement les éléments constitutifs d'un annuaire puis on étudie la configuration d'un service d'annuaire basé sur le logiciel OpenLDAP. Ensuite, on étudie la configuration de l'accès aux entrées de l'annuaire depuis un poste client. Les informations délivrées par l'annuaire sont les propriétés de comptes utilisateurs stockées dans la classe d'objet posixAccount.
Plan de formation
- 1. Copyright et Licence
- 1.1. Méta-information
- 1.2. Conventions typographiques
- 2. Adressage IP des postes de travail
- 3. Principes d'un annuaire LDAP
- 4. Configuration du serveur LDAP
- 4.1. Installation du serveur LDAP
- 4.2. Analyse de la configuration du service LDAP
- 4.3. Réinitialisation de la base de l'annuaire LDAP
- 4.4. Composition d'un nouvel annuaire LDAP
- 4.5. Gestion de l'annuaire avec phpLDAPadmin
- 5. Configuration de l'accès client au serveur LDAP
- 5.1. Interrogation à distance de l'annuaire LDAP
- 5.2. Configuration Name Service Switch
- 6. Analyse de la configuration
- 6.1. Indexation des entrées de l'annuaire LDAP
- 6.2. Analyse réseau des transactions LDAP
- 7. Documents de référence
Programme du cours
Objectifs d'apprentissage
- Comprendre les principes fondamentaux des annuaires LDAP et leur rôle dans la gestion centralisée des identités
- Maîtriser l'installation et la configuration d'un serveur OpenLDAP sous Linux
- Apprendre à structurer et peupler une base d'annuaire LDAP avec des entrées de type posixAccount
- Configurer des clients pour interroger efficacement un annuaire LDAP
- Utiliser des outils d'administration comme phpLDAPadmin pour gérer les entrées
- Analyser et optimiser les performances d'un serveur LDAP (indexation, analyse réseau)
Public cible
Ce cours s'adresse aux administrateurs systèmes et réseaux, aux ingénieurs infrastructure et aux techniciens souhaitant implémenter une solution centralisée de gestion des identités. Des connaissances de base en administration Linux et en concepts réseau sont nécessaires pour tirer pleinement profit de cette formation.
Contenu détaillé
1. Introduction aux annuaires LDAP
Le protocole LDAP (Lightweight Directory Access Protocol) constitue la colonne vertébrale des systèmes modernes de gestion des identités. Nous explorerons son modèle de données hiérarchique, son schéma d'attributs et son modèle de sécurité. Les annuaires LDAP se distinguent des bases de données relationnelles par leur structure optimisée pour les opérations de lecture intensive.
2. Architecture d'OpenLDAP
OpenLDAP, implémentation open-source de référence, offre une solution robuste et extensible. Nous détaillerons ses composants : serveur slapd, outils en ligne de commande, formats de configuration (cn=config) et mécanismes de réplication. Le cours couvrira également les schémas standard (core, cosine, inetorgperson) et leur extension.
3. Déploiement pratique
La partie pratique guidera les participants à travers :
- L'installation des paquets sous Debian/Ubuntu et RHEL/CentOS
- La configuration initiale via slapd.conf ou le backend dynamique
- La création d'une Structure de DIT (Directory Information Tree) cohérente
- L'implémentation des ACL (Access Control Lists) pour sécuriser l'accès
4. Gestion des entrées
Nous manipulerons les commandes ldapadd, ldapmodify et ldapsearch pour :
- Créer des unités organisationnelles (ou)
- Ajouter des utilisateurs avec le schéma posixAccount
- Implémenter des groupes de système via posixGroup
- Configurer des alias mail avec le schéma inetorgperson
5. Intégration client
Cette section abordera :
- La configuration de PAM et NSS pour l'authentification LDAP
- L'utilisation de ldap.conf pour paramétrer les clients
- Le dépannage des problèmes courants de connexion
- L'analyse des échanges réseau avec tcpdump
6. Optimisation et maintenance
Pour garantir des performances optimales :
- Configuration des indexes (equality, pres, sub)
- Analyse des logs avec loglevel 256
- Techniques de sauvegarde avec slapcat
- Méthodes de réplication multi-maître
7. Sécurité avancée
Nous mettrons en œuvre :
- Le chiffrement TLS avec certificats auto-signés
- Le binding SASL EXTERNAL
- La restriction d'accès par IP et certificat client
- L'audit des modifications via accesslog overlay
Ce cours combine théorie et pratique avec des travaux sur machines virtuelles, fournissant aux participants une expérience concrète immédiatement applicable en environnement professionnel. Les compétences acquises permettront de déployer des solutions d'annuaire évolutives pour la gestion centralisée des utilisateurs dans des infrastructures de toute taille.
