Tareas de mantenimiento de OpenLDAP

Ubicación del archivo de registro

Los archivos de registro de OpenLDAP se encuentran en el directorio /opt/apigee/var/log. Estos archivos pueden ser se archivan y se quitan periódicamente para garantizar que no ocupen demasiado disco espacio. Puedes encontrar información sobre el mantenimiento, el archivo y la eliminación de los registros de OpenLDAP en la sección 19.2 del manual de OpenLDAP, disponible en http://www.openldap.org/doc/admin24/maintenance.html.

Configura manualmente la contraseña de un usuario

Los usuarios pueden solicitar una nueva contraseña de Edge en la IU de Edge. Luego, el usuario recibe un correo electrónico con información sobre cómo configurar una contraseña. Sin embargo, si el servidor SMTP no funciona o el usuario no puede recibir un correo electrónico por cualquier motivo, puedes configurar la contraseña del usuario manualmente con OpenLDAP con comandos de SQL sencillos.

Para configurar la contraseña de un usuario, sigue estos pasos:

  1. Usa ldapsearch para descargar la información del usuario: 
    ldapsearch -w ldapAdminPWord -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -h LDAP_IP -p 10389 > ldap.txt
  2. Busca la dirección de correo electrónico del usuario en el archivo ldap.txt. Deberías ver un bloque en el formulario: 
    dn: uid=29383a67-9279-4aa8-a75b-cfbf901578fc,ou=users,ou=global,dc=apigee,dc=com
mail: foo@bar.com
userPassword:: e1NTSEF9a01UUDdSd01BYXRuUURXdXN5OWNPRzBEWWlYZFBRTm14MHlNVWc9PQ==
uid: 29383a67-9279-4aa8-a75b-cfbf901578fc
  3. Usa ldappasswd para configurar la contraseña del usuario según su UID: 
    ldappasswd -h LDAP_IP -p 10389 -D "cn=manager,dc=apigee,dc=com" -W -s newPassWord \
  "uid=29383a67-9279-4aa8-a75b-cfbf901578fc,ou=users,ou=global,dc=apigee,dc=com"

    Se te solicitará la contraseña de administrador de OpenLDAP.

Ahora el usuario puede acceder con newPassWord.

Configurar manualmente la contraseña del sistema OpenLDAP

En Restablece las contraseñas de Edge, se describe cómo cambiar la Contraseña del sistema OpenLDAP, pero requiere que conozcas la contraseña existente. Si lo perdiste contraseña, puedes usar el siguiente procedimiento para restablecerla.

  1. Usa slappasswd para crear la contraseña encriptada con SSHA para una contraseña nueva: 
    slappasswd -h {SSHA} -s newPassWord

    Este comando muestra una cadena con el siguiente formato: 

    {SSHA}+DOup9d6l+czfWzkIvajwYPArjPurhS6
  2. Abrir /opt/apigee/data/apigee-openldap/slapd.d/cn=config/olcDatabase={2}bdb.ldif en un editor: 
    vi /opt/apigee/data/apigee-openldap/slapd.d/cn=config/olcDatabase={2}bdb.ldif
  3. Busca la línea en el formulario: 
    olcRootPW:: OldPasswordString
  4. Reemplaza OldPasswordString por la cadena que muestra slappasswd. Si hay 2 dos puntos después de olcRootPw, quite uno y asegúrese de que haya espacio después de los dos puntos: 
    olcRootPW: {SSHA}RGon+bLCe+Sk+HyHholFBj8ONQfabrhw
  5. Reinicia OpenLDAP: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap restart
  6. Comprueba si funciona la nueva contraseña con ldapsearch: 
    ldapsearch -W -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -h LDAP_IP -p 10389

    Se te solicitará la contraseña de administrador de OpenLDAP.

  7. Repite estos pasos en cualquier otro servidor OpenLDAP que se use para la replicación.
  8. Actualiza el servidor de administración para usar la contraseña nueva: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_ldap_credentials -p newPassWord

Configura manualmente la contraseña de administrador de Edge

En Restablece las contraseñas de Edge, se describe cómo cambiar la Contraseña del sistema perimetral, pero requiere que conozcas la contraseña existente. Si perdiste Edge del sistema, puedes seguir el procedimiento que se indica a continuación para restablecerla.

  1. En el nodo de la IU, detén la IU de Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui stop
  2. Usa ldappasswd para establecer la contraseña del administrador del sistema de Edge: 
    ldappasswd -h localhost -p 10389 -D "cn=manager,dc=apigee,dc=com" -W -s newPassWord \
  "uid=admin,ou=users,ou=global,dc=apigee,dc=com"

    Se te solicitará la contraseña de administrador de OpenLDAP.

  3. Actualiza el archivo de configuración que usaste para instalar la IU de Edge con el nuevo sistema de Edge contraseña: 
    APIGEE_ADMINPW=newPassWord
  4. Configura y reinicia la IU de Edge: 
    /opt/apigee/apigee-setup/bin/setup.sh -p ui -f configFile
  5. (Solo si TLS está habilitado en la IU) Vuelve a habilitar TLS en la IU de Edge como que se describe en Configura TLS para la administración de usuario.

Borrar archivo de bloqueo de ANSPD

Si, al intentar iniciar OpenLDAP, recibes un error, indica que el archivo de bloqueo slapd.pid existe, puedes borrarlo.

El archivo se encuentra en /opt/apigee/apigee-openldap/var/run/slapd.pid. Borra el e intenta reiniciar OpenLDAP:

/opt/apigee/apigee-service/bin/apigee-service apigee-openldap restart

Si el OpenLDAP no se inicia, intenta iniciarlo en el modo de depuración y comprueba si hay errores:

slapd -h ldap://:10389/ -u apigee -d 255 -F /opt/apigee/data/apigee-openldap/slapd.d

Los errores pueden apuntar a problemas de recursos, memoria o uso de CPU.

Modificando la replicación de OpenLDAP

En esta sección, se explica cómo modificar la replicación de OpenLDAP.

Realiza los pasos del siguiente procedimiento en el nodo replicador OpenLDAP, que replica sus datos a la otro nodo de OpenLDAP. Por ejemplo, si configuras la replicación de node1 a node2, ejecuta los comandos en node1.

  1. Verifica el estado actual: 
    ldapsearch -H ldap://{HOST}:{PORT} -LLL -x -b "cn=config" -D "cn=admin,cn=config" -w {PASSWORD} -o ldif-wrap=no 'olcSyncRepl' | grep olcSyncrepl

    El resultado debería ser similar al siguiente ejemplo:

    olcSyncrepl: {0}rid=001 provider=ldap://{HOST}:{PORT}/ binddn="cn=manager,dc=apigee,dc=com" bindmethod=simple credentials={PASSWORD} searchbase="dc=apigee,dc=com" attrs="*,+" type=refreshAndPersist retry="60 1 300 12 7200 +" timeout=1
  2. Crea un archivo repl.lidf y pega los siguientes comandos en él: 
    dn: olcDatabase={2}bdb,cn=config
changetype: modify
replace: olcSyncRepl
    olcSyncRepl: rid=001
    provider=ldap://{NEW_HOST}:{PORT}/
    binddn="cn=manager,dc=apigee,dc=com"
    bindmethod=simple
    credentials={PASSWORD}
    searchbase="dc=apigee,dc=com"
    attrs="*,+"
    type=refreshAndPersist
    retry="60 1 300 12 7200 +"
    timeout=1

    Asegúrate de reemplazar el valor adecuado para los siguientes marcadores de posición:

    • {NEW_HOST}: Es el host de OpenLDAP nuevo al que planeas replicar.
    • {PORT}: Es el puerto OpenLDAP. El puerto predeterminado es 10389.
    • {PASSWORD}: Es la contraseña de OpenLDAP.
  3. Ejecuta el comando ldapmodify: 
    ldapmodify -x -w {PASSWORD} -D "cn=admin,cn=config" -H "ldap://{HOST}:{PORT}/" -f repl.ldif
    
    The output should be similar to the following:
    
    
    modifying entry "olcDatabase={2}bdb,cn=config"
  4. Verifica la replicación: 
    ldapsearch -H ldap://{HOST}:{PORT} -LLL -x -b "cn=config" -D "cn=admin,cn=config" -w {PASSWORD} -o ldif-wrap=no 'olcSyncRepl' | grep olcSyncrepl

    El resultado debería ser similar al siguiente ejemplo: 

    olcSyncrepl: {0}rid=001 provider=ldap://{NEW_HOST}:{PORT}/ binddn="cn=manager,dc=apigee,dc=com" bindmethod=simple credentials={PASSWORD} searchbase="dc=apigee,dc=com" attrs="*,+" type=refreshAndPersist retry="60 1 300 12 7200 +" timeout=1

    Para verificar que la replicación funcione correctamente, lee y compara los contextCSN de cada servidor y se asegura de que coincidan.

    ldapsearch -w {PASSWORD} -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -h localhost -p 10389 contextCSN | grep contextCSN

Solución de problemas de replicación de OpenLDAP problemas

Si tu instalación usa varios servidores OpenLDAP, puedes verificar la configuración de replicación para garantizar que los servidores funcionen de forma adecuada.

  1. Asegúrate de que ldapsearch muestre datos de cada servidor OpenLDAP: 
    ldapsearch -W -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -h LDAP_IP -p 10389

    Se te solicitará la contraseña de administrador de OpenLDAP.

  2. Para verificar la configuración de replicación, examina el archivo /opt/apigee/conf/openldap/slapd.d/cn=config/olcDatabase={2}bdb.ldif .
  3. Asegúrate de que la contraseña del sistema sea la misma en cada servidor OpenLDAP.
  4. Verifica la configuración de iptables y del wrapper de TCP.