Replicar el servicio ldap del servidor "ldap" en el servidor "servidor"

<div style="text-align: justify;">Como ya comenté en un <a href="http://enavas.blogspot.com.es/2014/04/alta-disponibilidad-con-ldapreplica_8.html">post anterior</a>, repliqué el servicio ldap del servidor "<b>ldap</b>" en el servidor "<b>servidor</b>" de mi centro, configuré el dhcp en modo failover y monté el servidor dns replicado en el servidor "servidor" para lograr una mayor seguridad y una alta disponibilidad de servicios.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Como la base de todos estos cambios está en crear una réplica del servidor "<b>ldap</b>" (ldap master) en el servidor "<b>servidor</b>" (ldap slave), vamos a ver qué cambios hay que realizar para replicar el servicio mediante <b>syncrepl</b>.</div><div style="text-align: justify;"><br /><b><span style="font-size: large;">Configuración del ldap master (servidor "ldap"):</span></b></div><div style="text-align: justify;">Lo primero que tenéis que hacer es aseguraros de que tenéis las siguientes líneas en el fichero de configuración <b>/etc/ldap/slapd.conf</b> del <b>ldap master</b>:</div><br /><pre class="source-code"><code>moduleload syncprov<br />overlay syncprov<br />syncprov-checkpoint 100 10<br />syncprov-sessionlog 200<br /></code></pre>Estas líneas convierten el servidor ldap en un proveedor.<br /><br />Por otra parte, aseguraos de que entre las opciones de indexado de la B.D. existe la siguiente:<br /><pre class="source-code">index entryCSN,entryUUID eq<br /></pre><br /><div style="text-align: justify;">Y que entre las reglas de acceso a los atributos restringidos, hay permiso de lectura para el usuario <b>replica</b>, un usuario que usamos única y exclusivamente para esta tarea:</div><pre class="source-code"><code>access to attrs=userPassword,shadowLastChange<br /> by dn="cn=admin,ou=People,dc=instituto,dc=extremadura,dc=es" write<br /><span style="background-color: yellow;"> by dn="cn=replica,dc=instituto,dc=extremadura,dc=es" read</span><br /> by anonymous auth<br /> by self =xw<br /> by * none<br /><br />access to attrs=employeeNumber,jpegPhoto<br /><span style="background-color: yellow;"> by dn="cn=replica,dc=instituto,dc=extremadura,dc=es" read<br /></span> by dn="cn=interno,dc=instituto,dc=extremadura,dc=es" read<br /> by self read<br /></code></pre><br /><b style="text-align: justify;"><span style="font-size: large;">Configuración del ldap slave </span></b><b style="text-align: justify;"><span style="font-size: large;">(servidor "servidor")</span></b><b style="text-align: justify;"><span style="font-size: large;">:</span></b><br /><div style="text-align: justify;">En el servidor ldap, lo primero que habrá que hacer es instalar los paquetes slapd, ldap-utils y phpldapadmin.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Una vez instalados los paquetes, vamos a necesitar tener la misma configuración que en el otro servidor, así que lo mejor que podemos hacer es copiar el archivo <b>slapd.conf</b> y el directorio <b>schema</b> desde el servidor "ldap" al servidor "servidor". Así nos aseguramos de que tenemos la misma configuración y los mismos esquemas.</div><div><br /></div><div style="text-align: justify;">Bien, pues una vez hecho ésto, editamos el archivo <b>/etc/ldap/slapd.conf</b> y le añadimos las siguientes líneas:</div><div style="text-align: justify;"><br /></div><pre class="source-code"><code>syncrepl rid=1<br /> provider=ldap://ldap<br /> searchbase="dc=instituto,dc=extremadura,dc=es"<br /> type=refreshOnly<br /> interval=00:00:02:00<br /> retry="60 10 300 +"<br /> filter="(objectClass=*)"<br /> scope=sub<br /> attrs="*,+"<br /> sizelimit=unlimited<br /> timelimit=unlimited<br /> schemachecking=off<br /> bindmethod=simple<br /> starttls=yes<br /> tls_reqcert=never<br /> binddn="cn=replica,dc=instituto,dc=extremadura,dc=es"<br /> credentials=<b style="background-color: #e06666;">clave-del-usuario-replica</b><br />updateref ldap://ldap<br /></code></pre><br />Con ésto, lograremos que el ldap slave replique la B.D. del ldap master.<br /><br /><div style="text-align: justify;">No voy a entrar en detalle sobre todos los parámetros. Todos son importantes, pero tan sólo contaremos los principales:</div><div style="text-align: justify;"><br /><ul><li><b>syncrepl rid=1</b> Identificamos la réplica. Por lo que he leído, cada réplica debe llevar un número diferente.</li><li><b>provider=ldap://ldap</b> Indicamos quién es el proveedor del que se va a obtener la B.D.</li><li><b>searchase="dc=insituto,dc=extremadura,dc=es"</b> Nos permite indicar la raiz desde donde realizar búsqueda para hacer la réplica.</li><li><b>type=refreshOnly</b> Con esta opción le decimos al ldap slave que realice la réplica y no vuelva a realizarla hasta que pase un intervalo de tiempo especificadon mediante el parámetro <b>interval</b>. </li><li><b>interval=00:00:02:00</b> Esta opción se usa conjuntamente con el tipo de sincronización <b>refreshOnly </b>para que vuelva a realizarse una sincronización tras el intervalo de tiempo especificado en formato dias:horas:minutos:segundos. En este caso, estamos diciendo que vuelva a realizar la sincronización cada 2 minutos.</li><li><b>binddn="cn=replica,dc=instituto,dc=extremadura,dc=es"</b> nos permite indicar con qué usuario se debe realizar la operación de sincronización.</li><li><b>credentials=clave-del-usuario-replica</b> nos permite indicar la clave del usuario con el que se realiza la operación de sincronización.</li></ul></div><div style="text-align: justify;">Bien, pues ahora que ya hemos configurado el archivo /etc/ldap/slapd.conf, establecemos el propietario y grupo del directorio <b>/var/lib/ldap</b> a <b>openldap:openldap</b></div><br /><b># chown -R openldap:openldap /var/lib/ldap</b><br /><br /><div style="text-align: justify;">Por último, reiniciamos los servicios ldap de ambos servidores y comprobamos que los cambios del master se han replicado en el slave.</div><br /><span id="zsprotentradas">Publicado por primera vez en http://enavas.blogspot.com.es</span>

Replicar el servicio ldap del servidor "ldap" en el servidor "servidor"

Como ya comenté en un post anterior, repliqué el servicio ldap del servidor "ldap" en el servidor "servidor" de mi centro, configuré el dhcp en modo failover y monté el servidor dns replicado en el se…

Leer más »

Detectar entradas no válidas en los ficheros de pkgsync

<div style="text-align: justify;">Como ya vimos en un <a href="http://enavas.blogspot.com.es/2013/12/gestion-de-paquetes-mediante-pkgsync.html">post anterior</a>, <b>pkgsync</b> es una herramienta muy útil para mantener una uniformidad en el software instalado en las máquinas que administramos manteniendo tres archivos con listas de ficheros de paquetes que la máquina debe tener (<b>musthave</b>), paquetes que puede tener (<b>mayhave</b>) y paquetes que no debe tener (<b>maynothave</b>). </div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">A veces, estos ficheros pueden contener paquetes que han dejado de existir en los repositorios y al ejecutar pkgsync véis líneas como éstas:</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;"><b>No se puede encontrar ningún paquete cuyo nombre o descripción coincida con "python2.4-cairo"</b></div><br /><b>No se puede encontrar ningún paquete cuyo nombre o descripción coincida con "python2.4-gnome2-extras"</b><br /><div>...</div><br />Para detectar este tipo de situaciones y detectar los paquetes que tengo en los ficheros de configuración de pkgsync que ya no existen en los repositorios, uso la siguiente combinación de comandos:<br /><br /><br /><b><span style="font-family: Courier New, Courier, monospace;"># pkgsync -s|grep "No se puede encontrar"|cut -f2 -d"\""|grep -v "^$"|sort -u</span></b><br /> <span id="zsprotentradas">Publicado por primera vez en http://enavas.blogspot.com.es</span>

Detectar entradas no válidas en los ficheros de pkgsync

Como ya vimos en un post anterior, pkgsync es una herramienta muy útil para mantener una uniformidad en el software instalado en las máquinas que administramos manteniendo tres archivos con listas de …

Leer más »