Задачи по обслуживанию OpenLDAP

Местоположение файла журнала

Файлы журналов OpenLDAP находятся в каталоге /opt/apigee/var/log. Эти файлы можно периодически архивировать и удалять, чтобы они не занимали слишком много места на диске. Информацию о ведении, архивировании и удалении журналов OpenLDAP можно найти в разделе 19.2 руководства по OpenLDAP на странице http://www.openldap.org/doc/admin24/maintenance.html.

Как вручную задать пароль пользователя

Пользователи могут запросить новый пароль Edge в интерфейсе Edge. Пользователь получит электронное письмо с информацией о том, как установить пароль. Однако, если ваш SMTP-сервер не работает или пользователь не может получить электронное письмо по какой-либо другой причине, вы можете вручную задать пароль пользователя с помощью команд OpenLDAP.

Чтобы задать пароль пользователя:

  1. Чтобы скачать информацию о пользователе, используйте ldapsearch: 
    ldapsearch -w ldapAdminPWord -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -h LDAP_IP -p 10389 > ldap.txt
  2. Найдите в файле ldap.txt адрес электронной почты пользователя. Вы увидите блок следующего вида: 
    dn: uid=29383a67-9279-4aa8-a75b-cfbf901578fc,ou=users,ou=global,dc=apigee,dc=com
mail: foo@bar.com
userPassword:: e1NTSEF9a01UUDdSd01BYXRuUURXdXN5OWNPRzBEWWlYZFBRTm14MHlNVWc9PQ==
uid: 29383a67-9279-4aa8-a75b-cfbf901578fc
  3. Используйте ldappasswd, чтобы задать пароль пользователя на основе его идентификатора uid: 
    ldappasswd -h LDAP_IP -p 10389 -D "cn=manager,dc=apigee,dc=com" -W -s newPassWord \
  "uid=29383a67-9279-4aa8-a75b-cfbf901578fc,ou=users,ou=global,dc=apigee,dc=com"

    Вам будет предложено ввести пароль администратора OpenLDAP.

Теперь пользователь может войти в аккаунт, используя newPassWord.

Как вручную задать системный пароль OpenLDAP

В статье Как сбросить пароли Edge рассказывается, как изменить системный пароль OpenLDAP, но для этого нужно знать текущий пароль. Если вы забыли пароль, его можно сбросить, выполнив следующие действия.

  1. Используйте slappasswd, чтобы создать зашифрованный пароль SSHA для нового пароля: 
    slappasswd -h {SSHA} -s newPassWord

    Эта команда возвращает строку в следующем формате: 

    {SSHA}+DOup9d6l+czfWzkIvajwYPArjPurhS6
  2. Откройте файл /opt/apigee/data/apigee-openldap/slapd.d/cn=config/olcDatabase={2}bdb.ldif в редакторе: 
    vi /opt/apigee/data/apigee-openldap/slapd.d/cn=config/olcDatabase={2}bdb.ldif
  3. Найдите в форме строку: 
    olcRootPW:: OldPasswordString
  4. Замените OldPasswordString на строку, возвращенную функцией slappasswd. Если после olcRootPw стоят два двоеточия, удалите одно из них и убедитесь, что после двоеточия есть пробел: 
    olcRootPW: {SSHA}RGon+bLCe+Sk+HyHholFBj8ONQfabrhw
  5. Перезапустите OpenLDAP: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-openldap restart
  6. Проверьте, работает ли новый пароль, с помощью ldapsearch: 
    ldapsearch -W -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -h LDAP_IP -p 10389

    Вам будет предложено ввести пароль администратора OpenLDAP.

  7. Повторите эти шаги на всех остальных серверах OpenLDAP, которые используются для репликации.
  8. Обновите сервер управления, чтобы использовать новый пароль: 
    /opt/apigee/apigee-service/bin/apigee-service edge-management-server store_ldap_credentials -p newPassWord

Как вручную задать пароль администратора Edge

В статье Как сбросить пароли Edge рассказывается, как изменить системный пароль Edge, но для этого нужно знать текущий пароль. Если вы потеряли системный пароль Edge, его можно сбросить, выполнив следующие действия.

  1. На узле интерфейса остановите интерфейс Edge: 
    /opt/apigee/apigee-service/bin/apigee-service edge-ui stop
  2. Используйте ldappasswd, чтобы задать пароль системного администратора Edge: 
    ldappasswd -h localhost -p 10389 -D "cn=manager,dc=apigee,dc=com" -W -s newPassWord \
  "uid=admin,ou=users,ou=global,dc=apigee,dc=com"

    Вам будет предложено ввести пароль администратора OpenLDAP.

  3. Обновите файл конфигурации, который вы использовали для установки интерфейса Edge, с новым системным паролем Edge: 
    APIGEE_ADMINPW=newPassWord
  4. Настройте и перезапустите интерфейс Edge: 
    /opt/apigee/apigee-setup/bin/setup.sh -p ui -f configFile
  5. (Только если TLS включен в интерфейсе) Снова включите TLS в интерфейсе Edge, как описано в разделе Настройка TLS для интерфейса управления.

Удалите файл блокировки SLAPD

Если при попытке запустить OpenLDAP появляется сообщение об ошибке, указывающее на существование файла блокировки slapd.pid, вы можете удалить этот файл.

Файл находится в каталоге /opt/apigee/apigee-openldap/var/run/slapd.pid. Удалите файл и попробуйте перезапустить OpenLDAP:

/opt/apigee/apigee-service/bin/apigee-service apigee-openldap restart

Если OpenLDAP не запускается, попробуйте запустить его в режиме отладки и проверьте наличие ошибок:

slapd -h ldap://:10389/ -u apigee -d 255 -F /opt/apigee/data/apigee-openldap/slapd.d

Ошибки могут указывать на проблемы с ресурсами, памятью или использованием ЦП.

Как изменить репликацию OpenLDAP

В этом разделе рассказывается, как изменить репликацию OpenLDAP.

Выполните описанные ниже действия на узле репликатора OpenLDAP, который реплицирует свои данные на другой узел OpenLDAP. Например, если вы настраиваете репликацию с узла node1 на узел node2, выполните команды на узле node1.

  1. Проверьте текущий статус: 
    ldapsearch -H ldap://{HOST}:{PORT} -LLL -x -b "cn=config" -D "cn=admin,cn=config" -w {PASSWORD} -o ldif-wrap=no 'olcSyncRepl' | grep olcSyncrepl

    Выходные данные должны быть похожи на следующие:

    olcSyncrepl: {0}rid=001 provider=ldap://{HOST}:{PORT}/ binddn="cn=manager,dc=apigee,dc=com" bindmethod=simple credentials={PASSWORD} searchbase="dc=apigee,dc=com" attrs="*,+" type=refreshAndPersist retry="60 1 300 12 7200 +" timeout=1
  2. Создайте файл repl.lidf и вставьте в него следующие команды: 
    dn: olcDatabase={2}bdb,cn=config
changetype: modify
replace: olcSyncRepl
    olcSyncRepl: rid=001
    provider=ldap://{NEW_HOST}:{PORT}/
    binddn="cn=manager,dc=apigee,dc=com"
    bindmethod=simple
    credentials={PASSWORD}
    searchbase="dc=apigee,dc=com"
    attrs="*,+"
    type=refreshAndPersist
    retry="60 1 300 12 7200 +"
    timeout=1

    Обязательно замените следующие плейсхолдеры:

    • {NEW_HOST} – новый хост OpenLDAP, на который вы планируете реплицировать данные.
    • {PORT} – порт OpenLDAP. Порт по умолчанию – 10389.
    • {PASSWORD} – пароль OpenLDAP.
  3. Выполните команду ldapmodify: 
    ldapmodify -x -w {PASSWORD} -D "cn=admin,cn=config" -H "ldap://{HOST}:{PORT}/" -f repl.ldif
    
    The output should be similar to the following:
    
    
    modifying entry "olcDatabase={2}bdb,cn=config"
  4. Проверьте репликацию: 
    ldapsearch -H ldap://{HOST}:{PORT} -LLL -x -b "cn=config" -D "cn=admin,cn=config" -w {PASSWORD} -o ldif-wrap=no 'olcSyncRepl' | grep olcSyncrepl

    Выходные данные должны быть похожи на следующие: 

    olcSyncrepl: {0}rid=001 provider=ldap://{NEW_HOST}:{PORT}/ binddn="cn=manager,dc=apigee,dc=com" bindmethod=simple credentials={PASSWORD} searchbase="dc=apigee,dc=com" attrs="*,+" type=refreshAndPersist retry="60 1 300 12 7200 +" timeout=1

    Чтобы убедиться, что репликация работает правильно, прочитайте и сравните значение contextCSN на каждом сервере.

    ldapsearch -w {PASSWORD} -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -h localhost -p 10389 contextCSN | grep contextCSN

Устранение неполадок репликации OpenLDAP

Если в вашей установке используется несколько серверов OpenLDAP, вы можете проверить настройки репликации, чтобы убедиться, что они работают правильно.

  1. Убедитесь, что команда ldapsearch возвращает данные с каждого сервера OpenLDAP: 
    ldapsearch -W -D "cn=manager,dc=apigee,dc=com" -b "dc=apigee,dc=com" -LLL -h LDAP_IP -p 10389

    Вам будет предложено ввести пароль администратора OpenLDAP.

  2. Проверьте конфигурацию репликации, изучив файл /opt/apigee/conf/openldap/slapd.d/cn=config/olcDatabase={2}bdb.ldif.
  3. Убедитесь, что на каждом сервере OpenLDAP используется один и тот же системный пароль.
  4. Проверьте настройки iptables и tcp wrapper.