Distribution EOLE » Modules » Scribe » eole-saslauthd

Le paquet openldap utilisé sur Bionic utilise bien les options --enable-spasswd et --with-cyrus-sasl.

Test réalisé¶

• etb1.amon-2.7.1.1-instance-default
• etb1.scribe-2.7.1.1-instance-AvecImport
• etb1.pcprofs-10 intégré au domaine

Installation et paramétrage de saslauthd¶

• Installation du paquet
  

  apt install sasl2-bin
  

• Configuration de la connexion LDAP sur ADDC
  

  cat > /etc/saslauthd.conf <<EOF
  ldap_servers: ldaps://addc.dompedago.etb1.lan
  ldap_search_base: DC=dompedago,DC=etb1,DC=lan
  ldap_auth_method: bind
  ldap_bind_dn: CN=Administrator,CN=Users,DC=dompedago,DC=etb1,DC=lan
  ldap_password: Eole12345!
  ldap_filter: (userPrincipalName=%u)
  ldap_deref: never
  ldap_tls_cacert_file: /var/lib/lxc/addc/rootfs/var/lib/samba/private/tls/ca.pem
  EOF
  

• Configuration du service
  

  sed -i -e 's,^START=.*,START=yes,' \
         -e 's,^MECHANISMS=.*,MECHANISMS="ldap",' \
         -e 's,^OPTIONS=",OPTIONS="-r ,' /etc/default/saslauthd
  

• Démarrer le service
  

  systemctl start saslauthd.service
  

• Test SASL avec le compte admin
  

  testsaslauthd -u admin@dompedago.etb1.lan -p eole
  0: OK "Success." 
  

Adaptation de la configuration OpenLDAP¶

• Configuration SASL
  

  cat > /etc/ldap/sasl2/slapd.conf <<EOF
  pwcheck_method: saslauthd
  saslauthd_path: /var/run/saslauthd/mux
  EOF
  

• L’utilisateur openldap doit faire partie du groupe sasl
  

  adduser openldap sasl
  

• Configurer apparmor pour l’accès slapd au socket saslauthd
  

  cat > /etc/apparmor.d/local/usr.sbin.slapd <<EOF
  /{,var/}run/saslauthd/mux rw,
  EOF
  

• Redémarrer le service apparmor
  

  systemctl restart apparmor.service
  

• Redémarrer le service slapd
  

  systemctl restart slapd.service
  

Vérifier le fonctionnement¶

• Créer un LDIF pour modifier le mot de passe de l’utilisateur admin
  

  cat > admin.ldif <<EOF
  dn: uid=admin,ou=local,ou=personnels,ou=utilisateurs,ou=00000001,ou=ac-test,ou=education,o=gouv,c=fr
  changetype: modify
  replace: userPassword
  userPassword: {SASL}admin@dompedago.etb1.lan
  -
  EOF
  

• Appliquer la modification
  

  ldapmodify -Dcn=admin,o=gouv,c=fr -w $(awk -F'=' '/^masterPw/ {print $2}' /etc/smbldap-tools/smbldap_bind.conf | tr -d '"') -f admin.ldif
  

Vérifier que nous pouvons faire une recherche authentifié sur l’annuaire :

ldapsearch -LLL -x -D uid=admin,ou=local,ou=personnels,ou=utilisateurs,ou=00000001,ou=ac-test,ou=education,o=gouv,c=fr -w eole '(uid=admin)' userPassword | awk '/^userPassword/ {print $2}' | base64 -d; echo

ce qui doit renvoyer :

{SASL}admin@dompedago.etb1.lan

Nous pouvons mainenant modifier le mot de passe de l’utilisateur admin depuis un poste windows intégré au domaine et refaire la requête précédente en modifier le mot de passe (-w eole).