1.7. 配置基于证书的身份验证

流程

1. 创建一个 /etc/dirsrv/slapd- <instance_name> /certmap.conf 文件，将证书中的信息映射到 Directory Server 用户：

   certmap default         default
   default:DNComps         dc
   default:FilterComps     mail,cn
   default:VerifyCert      on
   
   certmap example         cn=Example CA
   example:DNComps

   Copy to Clipboard Toggle word wrap

   使用这个配置，对于 cn=Example CA 发布的证书，目录服务器不会从证书的主题生成基本 DN，因为 DNComps 参数为此签发者设置为空。另外，FilterComps 和 VerifyCert 的设置继承自默认条目。

   带有与 cn=Example CA 不同的签发者 DN 的证书将使用默认条目的设置，并根据证书主题中的 cn 属性生成基本 DN。这可让目录服务器在特定 DN 下启动搜索，而无需搜索整个目录。

   对于所有证书，目录服务器使用来自证书主体的 mail 和 cn 属性生成搜索过滤器。但是，如果主题中不存在 mail 属性，Directory 服务器将自动使用主题中的证书 e 属性的值。

2. 启用基于证书的身份验证。例如，要将基于证书的验证配置为可选，请输入：

   # dsconf <instance_name> security set --tls-client-auth="allowed"

   Copy to Clipboard Toggle word wrap

   使用 --tls-client-auth=required 选项，将基于证书的验证配置为强制。

3. 可选： 如果您根据需要配置基于证书的身份验证，请启用 nsslapd-require-secure-binds 参数：

   # dsconf <instance_name> config replace nsslapd-require-secure-binds=on

   Copy to Clipboard Toggle word wrap

   此设置可确保用户无法使用未加密的连接绕过基于证书的验证。

4. 可选：如果目录服务器应使用证书的身份而不是绑定请求中的凭证，请将目录服务器配置为使用 EXTERNAL 简单身份验证和安全层(SASL)机制：

   # dsconf <instance_name> config replace nsslapd-force-sasl-external=on

   Copy to Clipboard Toggle word wrap

   有了这个设置，目录服务器会忽略证书中身份的任何其他绑定方法。

5. 重启实例：

   # dsctl <instance_name> restart

   Copy to Clipboard Toggle word wrap

流程

1. 如果证书不是 DER 格式，请转换它。例如，要将证书从隐私增强邮件(PEM)转换为 DER，请输入：

   # openssl x509 -in /home/user_name/certificate.pem -out /home/user_name/certificate.der -outform DER

   Copy to Clipboard Toggle word wrap

2. 将证书添加到用户的 userCertificate 属性中：

   # ldapmodify -D "cn=Directory Manager" -W -H ldaps://server.example.com -x
   
   dn: uid=user_name,ou=People,dc=example,dc=com
   changetype: modify
   add: userCertificate
   userCertificate:< file:///home/user_name/example.der

   Copy to Clipboard Toggle word wrap

验证

1. 使用基于证书的身份验证以用户身份进行身份验证：

   1. 将以下环境变量设置为 CA 证书、用户密钥和用户证书的对应路径：

      LDAPTLS_CACERT=/home/user_name/CA.crt
      LDAPTLS_KEY=/home/user_name/user.key
      LDAPTLS_CERT=/home/user_name/user.der

      Copy to Clipboard Toggle word wrap

      或者，在当前用户的 ~/.ldaprc 文件中设置 TLS_CACERT、TLS_KEY 和 TLS_CERT 参数。

   2. 连接到服务器：

      # ldapwhoami -H ldaps://server.example.com -Y EXTERNAL
      dn: uid=example,ou=people,dc=example,dc=com

      Copy to Clipboard Toggle word wrap