第 6 章 高级配置

1. 为签署 LDAP 服务器的 SSL 证书的证书颁发机构(CA)提取/下载 PEM 格式的证书。
2. 确认 /etc/openldap/ldap.conf 没有设置 TLS_REQCERT。
3. 确认 /etc/openldap/ldap.conf 包含 TLS_CACERTDIR /etc/openldap/certs 设置。

4. 使用 certutil 命令将 AD CA 添加到位于 /etc/openldap/certs 的存储中。例如，如果 CA 是 "msad-frog-MSAD-FROG-CA"，且 PEM 格式的 CA 文件为 ldap.pem，请使用以下命令：

   示例

   # certutil -d /etc/openldap/certs -A -t "TC,," -n "msad-frog-MSAD-FROG-CA" -i /path/to/ldap.pem

5. 在所有远程 LDAP 站点更新 SELinux：

   示例

   # setsebool -P httpd_can_network_connect on

   注意

   即使 SELinux 处于 permissive 模式，这仍需要设置。

6. 使 certs 数据库全局可读：

   示例

   # chmod 644 /etc/openldap/certs/*

7. 以非 root 用户身份使用"ldapwhoami"命令连接到服务器。

   示例

   $ ldapwhoami -H ldaps://rh-directory-server.example.com -d 9

   -d 9 选项将提供调试信息，以防 SSL 协商出现问题。

流程

1. 为 Ceph 对象网关创建 LDAP 用户，并记下 binddn。由于 Ceph 对象网关使用 ceph 用户，因此请考虑使用 ceph 作为用户名。用户需要具有搜索目录的权限。Ceph 对象网关按照 rgw_ldap_binddn 中指定的绑定到此用户。

2. 测试以确保用户创建有效。其中 ceph 是 People 下的用户 ID，example.com 是您可以在其中搜索用户的域。

   # ldapsearch -x -D "uid=ceph,ou=People,dc=example,dc=com" -W -H ldaps://example.com -b "ou=People,dc=example,dc=com" -s sub 'uid=ceph'

3. 在每个网关节点上，为用户的机密创建一个文件。例如，机密可能存储在具有 /etc/bindpass 的文件中。为安全起见，请将此文件的所有者更改为 ceph 用户和组，以确保它不能全局可读。

4. 添加 rgw_ldap_secret 选项：

   语法

   ceph config set client.rgw OPTION VALUE

   示例

   [ceph: root@host01 /]# ceph config set client.rgw rgw_ldap_secret /etc/bindpass

5. 将绑定密码文件修补到 Ceph 对象网关容器，并重新应用 Ceph 对象网关规格：

   示例

   service_type: rgw
   service_id: rgw.1
   service_name: rgw.rgw.1
   placement:
     label: rgw
     extra_container_args:
     - -v
     - /etc/bindpass:/etc/bindpass

   注意

   Red Hat Ceph Storage 不会自动提供 /etc/bindpass，您需要确保内容在所有可能的 Ceph 对象网关实例节点上可用。

1. 指定部分过滤器：

   示例

   "objectclass=inetorgperson"

   Ceph 对象网关使用令牌的用户名和 rgw_ldap_dnattr 的值生成搜索过滤器。构建的过滤器随后与 rgw_ldap_searchfilter 值中的部分过滤器组合。例如，用户名和设置会生成最终搜索过滤器：

   示例

   "(&(uid=joe)(objectclass=inetorgperson))"

   只有 LDAP 目录中找到了用户 joe 时，才会授予访问权限，具有 inetorgperson 的对象类并指定有效的密码。

2. 指定完整的过滤器：

   完整的过滤器必须包含 USERNAME 令牌，该令牌在身份验证尝试期间替换为用户名。本例中不使用 rgw_ldap_dnattr 设置。例如，要将有效用户限制为特定组，请使用以下过滤器：

   示例

   "(&(uid=@USERNAME@)(memberOf=cn=ceph-users,ou=groups,dc=mycompany,dc=com))"

1. 导出访问密钥：

   语法

   export RGW_ACCESS_KEY_ID="USERNAME"

2. 导出 secret 密钥：

   语法

   export RGW_SECRET_ACCESS_KEY="PASSWORD"

3. 导出令牌。对于 LDAP，使用 ldap 作为令牌类型(ttype)。

   示例

   radosgw-token --encode --ttype=ldap

   对于 Active Directory，使用 ad 作为令牌类型。

   示例

   radosgw-token --encode --ttype=ad

   结果是一个 base-64 编码字符串，即访问令牌。将此访问令牌提供给 S3 客户端，以代替 access key。不再需要 secret 密钥。

4. 可选：为方便起见，如果 S3 客户端使用环境变量，请将 base-64 编码字符串导出到 RGW_ACCESS_KEY_ID 环境变量。

   示例

   export RGW_ACCESS_KEY_ID="ewogICAgIlJHV19UT0tFTiI6IHsKICAgICAgICAidmVyc2lvbiI6IDEsCiAgICAgICAgInR5cGUiOiAibGRhcCIsCiAgICAgICAgImlkIjogImNlcGgiLAogICAgICAgICJrZXkiOiAiODAwI0dvcmlsbGEiCiAgICB9Cn0K"

流程.

1. 使用 RGW_ACCESS_KEY_ID 环境变量配置 Ceph 对象网关客户端。或者，您可以复制 base-64 编码字符串，并将其指定为 access key。以下是配置的 S3 客户端的示例：

   示例

   cat .aws/credentials
   
   [default]
   aws_access_key_id = ewogICaGbnjlwe9UT0tFTiI6IHsKICAgICAgICAidmVyc2lvbiI6IDEsCiAgICAgICAgInR5cGUiOiAiYWQiLAogICAgICAgICJpZCI6ICJjZXBoIiwKICAgICAgICAia2V5IjogInBhc3M0Q2VwaCIKICAgIH0KfQo=
   aws_secret_access_key =

   注意

   不再需要 secret 密钥。

2. 运行 aws s3 ls 命令来验证用户：

   示例

   [root@host01 ~]# aws s3 ls --endpoint http://host03
   
   2023-12-11 17:08:50 mybucket
   2023-12-24 14:55:44 mybucket2

3. 可选： 您还可以运行 radosgw-admin user 命令来验证目录中的用户：

   示例

   [root@host01 ~]# radosgw-admin user info --uid dir1
   {
       "user_id": "dir1",
       "display_name": "dir1",
       "email": "",
       "suspended": 0,
       "max_buckets": 1000,
       "subusers": [],
       "keys": [],
       "swift_keys": [],
       "caps": [],
       "op_mask": "read, write, delete",
       "default_placement": "",
       "default_storage_class": "",
       "placement_tags": [],
       "bucket_quota": {
           "enabled": false,
           "check_on_raw": false,
           "max_size": -1,
           "max_size_kb": 0,
           "max_objects": -1
       },
       "user_quota": {
           "enabled": false,
           "check_on_raw": false,
           "max_size": -1,
           "max_size_kb": 0,
           "max_objects": -1
       },
       "temp_url_keys": [],
       "type": "ldap",
       "mfa_ids": []
   }