===== implementation Glue ldap Groupe d'etablissements =====

==== principes ====

maquette d'implementation d'un annuaire faisant la "glue" entre les annuaires d'etablissements via le backend ldap (proxy ldap) et l'overlay Rewrite .


basé sur un exemple de TP d'enseignement à Evry de M.Gardie: [[http://www-public.int-evry.fr/~gardie/LDAP/Scenarios/ldap-complexe.html|http://www-public.int-evry.fr/~gardie/LDAP/Scenarios/ldap-complexe.html]] 

Le principe est de disposer d'un proxy (coquille vide, pas de data locale) serveur qui se charge de relayer les requetes ldap vers les serveurs ldap rééls de chaque ecoles declaré dans ce serveur proxy (recherche sequentielle vers les N serveurs).
il a aussi une fonction de "rewrite" de la racine / base ldap afin que tout le monde apparaisse sous la racine virtuelle dc=mines-telecom,dc=fr .

{{:group:dsi:infra:systemes:ldap:ziann-principe-base.png|}}

===== configurations =====


==== Serveur ====


  * le serveur d'exemple sera ldapmintel.tem-tsp.eu
  * le base DN est dc=mines-telecom,dc=fr
  * il est accessible en ldaps 
  * binddn (compte d'acces) cn=mintel,dc=mines-telecom,dc=fr 

==== Client ldap ====

exemple de requete 

<code>
# ldapsearch -x "cn=bernar*" -H ldaps://ldapmintel.tem-tsp.eu  -b dc=mines-telecom,dc=fr cn -D 'cn=mintel,dc=mines-telecom,dc=fr' -W
</code>

pour l'acces en ldaps (seul port 636 ouvert depuis le firewall) , il faut disposer dans la configuration du client un poiteur vers le certificat racine TCS/DigiCert

exemple sous linux pour ldapsearch :

<code>
# cat /etc/openldap/ldap.conf

TLS_CACERT /etc/pki/tls/certs/DigiCert-ca.crt
</code>

==== slapd.conf generalité ====


<code>
#chargement du module rewrite
modulepath      /usr/lib/openldap
moduleload rwm.la

#default searchbase sur le domaine aggregat "mines-telecom.fr"
defaultsearchbase dc=mines-telecom,dc=fr

#database config propre a la version OP 2.4
database config
rootdn "cn=admin,cn=config"
rootpw secret
#ACL config
access to dn.subtree="cn=config"
        by users none
        by anonymous none
</code>


==== slapd.conf backend ldap ====


<code>
#database
database ldap
# le suffixe ci-dessous reprénte le dn virtuel de la base.
#(on peut mettre ce qu'on veut, mais faut changer dans les règles de rériture plus bas
# et dans la definition du suffixe par défaut.)
suffix  "ou=people,dc=int-evry,dc=fr"
#on va taper sur le replica ldapze
uri     "ldap://ldapze.int.fr"

#ACL Evry
# crée supplémentaire pour masquer (aux anonymes) l'adresse mail
access to dn.subtree="ou=people,dc=int,dc=fr"
    attrs=entry,mail,title,sn,cn,telephoneNumber,ou,departmentNumber,labeleduri,o
       by users read
       by anonymous none

# nécessaire si on veut voir le reste.
access to dn.subtree="ou=people,dc=int,dc=fr"
       attrs=entry,sn
       by users read
       by anonymous read
</code>

===== slapd.conf relay =====


==== Partie Relay / Rewrite pour Evry ====


<code>
#RELAY
database relay
suffix  ou=evry,dc=mines-telecom,dc=fr
relay   ou=people,dc=int,dc=fr
subordinate

overlay rwm
rwm-rewriteEngine on

rwm-rewriteContext default
rwm-rewriteRule "(.+)?ou=evry,dc=mines-telecom,dc=fr$" "$1ou=people,dc=int,dc=fr" ":"

rwm-rewriteContext searchEntryDN
rwm-rewriteRule "(.+)?ou=people,dc=int,dc=fr$" "$1ou=evry,dc=mines-telecom,dc=fr" ":"

rwm-rewriteContext searchAttrDN
rwm-rewriteRule "(.+)?ou=people,dc=int,dc=fr$" "$1ou=evry,dc=mines-telecom,dc=fr" ":"

rwm-rewriteRule "(.+)?dc=mines-telecom,dc=fr$" "$1dc=mines-telecom,dc=fr" ":"
</code>


===== slapd.conf =====


===== racine mines-telecom ====


<code>
#database root mines-telecom
database        bdb
suffix          "dc=mines-telecom,dc=fr"
rootdn          "cn=adm,dc=mines-telecom,dc=fr"
rootpw          secret
directory       /var/lib/ldap/mintel/
index ou,cn,mail,surname,givenname,uid     eq,pres,sub
#ACL
access to dn.base="" by * read
access to dn.base="cn=Subschema" by * read

access to attrs=userPassword
        by self                                                 auth
        by anonymous                                            auth
        by dn="cn=adm,dc=int-evry,dc=fr"                      write
        by *                                                    none

# Acces standard anonymous pour les attrs mail,givename,cn,sn
access to dn.subtree="dc=mines-telecom,dc=fr" attrs=cn,sn,mail,givenname,entry,objectclass,ou,title,associatedDomain,dc
         by dn="cn=adm,dc=int,dc=fr"                      write
         by anonymous                                            read

access to *
        by self read
        by users read
</code>


===== exemple requete =====


Requete du le "meta" domaine racine dc=mines-telecom,dc=fr


<code>
$ ldapsearch -x uid=procacci  -H ldap://ldapmintel.int-evry.fr cn sn displayName
# procacci, evry, mines-telecom.fr
dn: uid=procacci,ou=evry,dc=mines-telecom,dc=fr
displayName: Jehan PROCACCIA
cn: Jehan PROCACCIA
sn: PROCACCIA
</code>


==== Logs ldapmintel ====


sur le serveur mandataire ldapmintel


<code>
Mar  5 17:13:37 ldapmintel slapd[1361]: conn=1004 fd=13 ACCEPT from IP=157.148.221.28:38383 (IP=0.0.0.0:389)
Mar  5 17:13:37 ldapmintel slapd[1361]: conn=1004 op=0 BIND dn="" method=128
Mar  5 17:13:37 ldapmintel slapd[1361]: conn=1004 op=0 RESULT tag=97 err=0 text=
Mar  5 17:13:37 ldapmintel slapd[1361]: conn=1004 op=1 SRCH base="" scope=2 deref=0 filter="(uid=procacci)"
Mar  5 17:13:37 ldapmintel slapd[1361]: conn=1004 op=1 SRCH attr=cn sn displayName
Mar  5 17:13:37 ldapmintel slapd[1361]: <= bdb_equality_candidates: (objectClass) not indexed
Mar  5 17:13:37 ldapmintel slapd[1361]: conn=1004 op=1 SEARCH RESULT tag=101 err=0 nentries=1 text=
Mar  5 17:13:37 ldapmintel slapd[1361]: conn=1004 op=2 UNBIND
Mar  5 17:13:37 ldapmintel slapd[1361]: conn=1004 fd=13 closed
</code>


==== logs ldapze ====


sur le serveur cible d'evry les log affichent bien une requete en entrée 


<code>
Mar  5 17:13:37 ldapze slapd[9334]: conn=1963 op=5 SRCH base="ou=people,dc=int,dc=fr" scope=2 deref=0 filter="(uid=procacci)"
Mar  5 17:13:37 ldapze slapd[9334]: conn=1963 op=5 SRCH attr=cn sn displayName
Mar  5 17:13:37 ldapze slapd[9334]: conn=1963 op=5 SEARCH RESULT tag=101 err=0 nentries=1 text=
</code>


===== Proxy Paris TPT =====


<code>
####################################################################
#database Paris TPT
database ldap
suffix  "ou=people,dc=tpt,dc=fr"
uri     "ldap://ldapt2.tpt.fr"

#ACL TPT
# crée supplémentaire pour masquer (aux anonymes) l'adresse mail
access to dn.subtree="ou=people,dc=tpt,dc=fr"
    attrs=entry,mail,title,sn,cn
       by users read
       by anonymous none

# nécessaire si on veut voir le reste.
access to dn.subtree="ou=people,dc=tpt,dc=fr"
       attrs=entry,sn
       by users read
       by anonymous read
#RELAY
database relay
suffix  ou=paris,dc=mines-telecom,dc=fr
relay   ou=people,dc=tpt,dc=fr
subordinate

overlay rwm
rwm-rewriteEngine on

rwm-rewriteContext default
rwm-rewriteRule "(.+)?ou=paris,dc=mines-telecom,dc=fr$" "$1ou=people,dc=tpt,dc=fr" ":"

rwm-rewriteContext searchEntryDN
rwm-rewriteRule "(.+)?ou=people,dc=tpt,dc=fr$" "$1ou=paris,dc=mines-telecom,dc=fr" ":"

rwm-rewriteContext searchAttrDN
rwm-rewriteRule "(.+)?ou=people,dc=tpt,dc=fr$" "$1ou=paris,dc=mines-telecom,dc=fr" ":"

rwm-rewriteRule "(.+)?dc=mines-telecom,dc=fr$" "$1dc=mines-telecom,dc=fr" ":"
</code>


===== requete Ziann =====


<code>
# ldapsearch -x "cn=bernard*" -H ldaps://ldapmintel.tem-tsp.eu  -b dc=mines-telecom,dc=fr cn -D 'cn=mintel,dc=mines-telecom,dc=fr' -W
Enter LDAP Password: 
# extended LDIF
#
# LDAPv3
# base <dc=mines-telecom,dc=fr> with scope subtree
# filter: cn=bernard*
# requesting: cn 
...

# numResponses: 18
# numEntries: 17
</code>

====== Variante en utilisant le backend meta ======


<code>
suffix          "dc=mines-telecom,dc=fr"
rootdn          "dc=mines-telecom,dc=fr"

# le timeout est insdipensable sinon quand un serveur est down
# le client laisse tomber avant d'avoir la réponse
network-timeout 1

# Local
uri             "ldapi:///ou=paris,dc=mines-telecom,dc=fr"
suffixmassage   "ou=paris,dc=mines-telecom,dc=fr" "ou=people,dc=tpt,dc=fr"

# Evry
uri             "ldaps://ldapz2.int-evry.eu/ou=evry,dc=mines-telecom,dc=fr"
suffixmassage   "ou=evry,dc=mines-telecom,dc=fr" "ou=people,dc=int-evry,dc=fr"

# Bretagne, avec authentification
uri             "ldap://10.19.1.10/ou=bretagne,dc=mines-telecom,dc=fr"
suffixmassage   "ou=bretagne,dc=mines-telecom,dc=fr" "ou=people,o=personnel,dc=tbretagne,dc=fr"
idassert-bind   bindmethod="simple"
                binddn="cn=adm,ou=admin,o=personnel,dc=tbretagne,dc=fr"
                credentials="XXXXXXX"
                flags="override"
                mode="none"
idassert-authzFrom "*"
</code>