Cómo usar LDAP en Linux - Mas información y características adicionales

En esta sección hallará información sobre el Libro de Direcciones de Netscape, un cliente LDAP que puede utilizar para consultar su Directorio; también presentamos los detalles sobre cómo implementar acceso móvil o itinerante (roaming access) utilizando el Netscape Navigator en sus versiones 4.5 y superiores más su servidor LDAP. Se ha vertido mucha tinta electrónica en las listas de correo de OpenLDAP sobre el acceso itinerante, pues se trata de una característica todavía no implementada totalmente. A muchas personas no les agrada la forma en que Netscape Navigator interactúa con el servidor LDAP a la hora de realizar grabaciones y recuperaciones de datos. Así pues, si tras la lectura de estas líneas tiene la impresión de que el acceso itinerante no funciona de la forma que usted desearía, no se preocupe; muchas personas tienen la misma impresión que usted. La finalidad de la introducción de esta característica ha sido principalmente dar a la gente una idea de las posibilidades del protocolo LDAP, más que otras consideraciones. Para terminar, verá algunas informaciones sobre cómo matar con seguridad el proceso slapd y sobre los ficheros de registro (logs) de slapd.

El objetivo del acceso itinerante (llamado en Netscape «perfiles móviles») es que, desde cualquier lugar de la Red donde se encuentre, pueda obtener localmente sus marcadores de URL's, preferencias que personalizan la aplicación, filtros de correo, etcétera, mediante la utilización de un Navegador Netscape y un servidor LDAP.

Se trata de una característica muy conveniente. Imagine que desde cualquier lugar al que pueda acceder a la Web, pueda tener sus propias preferencias en el navegador. Si va a viajar y precisa acceder a ese sitio de cambio de divisas que tiene almacenado en sus marcadores personales (bookmarks), no se inquiete; simplemente cargue sus marcadores y otros ficheros de configuración en un servidor LDAP y podrá recuperarlos todos después con independencia del lugar en el que se encuentre.

Para implementar acceso itinerante (en inglés roaming access) ha de seguir los pasos que se detallan a continuación:

• Cambiar su fichero de descripción de atributos
• Cambiar su fichero de descripción de clases de objetos (objectclass).
• Cambiar el fichero LDIF para que incluya perfiles
• Configurar el Netscape Navigator para que utilice el servidor LDAP como el servidor de acceso itinerante.
• Reiniciar el servidor LDAP con la nueva configuración.

- Cambiar el fichero de atributos Es preciso que añada nuevos atributos a la lista existente en el fichero slapd.at.conf; es este el fichero que se incluye en su slapd.conf y que normalmente se localiza en /usr/local/etc/openldap (N. del T.: si ha instalado su distribución OpenLDAP a partir de un fichero .deb o de un .rpm, el lugar más probable será /etc/openldap/) :

attribute       nsLIPtrURL              ces attribute       nsLIPrefs               ces attribute       nsLIProfileName         cis attribute       nsLIData                bin attribute       nsLIElementType         cis attribute       nsLIServerType          cis attribute       nsLIVersion             cis

- Cambiar el fichero objectclass: Debe añadir algunas clases nuevas a su fichero lapd.oc.conf (es otro fichero que se incluye en su slapd.conf y que se localiza normalmente en /usr/local/etc/openldap, para habilitar el acceso itinerante (N. del T.: si ha instalado su distribución OpenLDAP a partir de un fichero .deb o de un .rpm, el lugar más probable será /etc/openldap/):

objectclass nsLIPtr requires         objectclass allows         nsliptrurl,         owner  objectclass nsLIProfile requires         objectclass,         nsliprofilename allows         nsliprefs,         uid,         owner  objectclass nsLIProfileElement requires         objectclass,         nslielementtype allows         owner,         nslidata,         nsliversion  objectclass nsLIServer requires         objectclass,         serverhostname allows         description,         cn,         nsserverport,         nsliservertype,         serverroot

- Cambiar el fichero LDIF: Ahora ha de modificar el fichero LDIF, añadiéndole entradas de perfiles relativas a cada usuario que desee probar la característica de perfiles móviles del Netscape. Obsérvese un ejemplo de un fichero LDIF sencillo con entradas de perfiles:

dn: o=myOrg,c=NL o: myOrg objectclass: organization  dn: cn=seallers,ou=People,o=myOrg,c=NL cn: seallers userpassword: MiClaVE objectclass: top objectclass: person  dn: nsLIProfileName=seallers,ou=Roaming,o=myOrg,c=NL changetype: add objectclass: top owner: cn=seallers,ou=People,o=myOrg,c=NL objectclass: top objectclass: nsLIProfile

El paso siguiente es configurar Netscape para que habilite los perfiles móviles basados en su servidor LDAP. Sólo tiene que seguir la secuencia:

- Vaya al menú Edit -> Preferences -> Roaming User

Ahora tiene que activar el perfil móvil (Roaming Access) para este perfil, haciendo click sobre la casilla de verificación correspondiente a esta opción.

- Rellene la caja del nombre de usuario (username) con el contenido apropiado, por ejemplo john

Despliegue la flecha de la opción de Roaming User en la parte izquierda de la ventana de preferencias, para poder ver las opciones detalladas del acceso itinerante (perfiles móviles).

- Haga click sobre Server Information, habilite la opción LDAP Server y rellene las cajas de diálogo con la siguiente información:

Address: ldap://myHost/nsLIProfileName=$USERID,ou=Roaming,o=myOrg,c=NL

User DN: cn=$USERID,ou=People,o=myOrg,c=NL

IMPORTANTE: Netscape sustituye automáticamente la variable $USERID por el nombre del perfil que haya seleccionado al arrancar el navegador. De manera que si ha elegido el perfil sanchez, sustituirá $USERID por sanchez, y si ha seleccionado el prefil gonzalez, sustituirá $USERID por gonzalez. Si no está familiarizado con los perfiles, ejecute la aplicación Profile Manager que se incluye en el paquete del Netscape Communicator (N. del T.: a partir de la versión 6.0, Netscape ha dejado otra vez de llamarse Communicator). El Profile Manager es una aplicación diseñada para satisfacer a múltiples usuarios de un navegador en una misma máquina, de manera que cada uno de ellos pueda tener sus propia configuración en el navegador.

El último paso consiste en reiniciar el servidor; examine la para ver la manera de hacerlo con seguridad, y la section 4 para ver cómo reiniciarlo.

Una vez que tenga su servidor LDAP configurado y en marcha, puede acceder a él a través de clientes muy diferentes (por ejemplo la utilidad de línea de órdenes ldapsearch). Un cliente muy interesante es la Libreta de direcciones de Netscape (Address Book). Está disponible a partir de la versión 4.x de Netscape pero, para interactuar de manera estable con su servidor LDAP, tendrá que usar la versión 4.5 o superiores (N. del T.: ya está disponible el Netscape 6.0).

Sólo tiene que seguir la secuencia:

Abra Netscape Navigator -> Vaya al ménu Communicator -> Address Book

La libreta de direcciones (Address Book) de Netscape arrancará con algunos directorios LDAP predeterminados. Ha de añadir también su propio directorio LDAP, evidentemente.

Vaya al menú File -> New Directory

Complete los cuadros de diálogo con la información de su servidor, por ejemplo:

- Description : TUDelft

- LDAP Server : dutedin.et.tudelft.nl

- Server Root : o=TUDelft, c=NL

El puerto por defecto para LDAP es 389; no debe cambiarlo, a menos que cambiara esta opción al compilar su servidor.

Realice ahora consultas sencillas a su servidor, unsando el cuadro de diálogo Show Names Containing, o consultas avanzadas, usando el botón Search for.

Matar al servidor LDAP

Para matar con seguridad al servidor slapd, debe utilizar una línea de órdenes como la siguiente:

kill -TERM `cat $(ETCDIR)/slapd.pid`

(N. del T.: en RedHat y distribuciones basadas en rh, como Mandrake y Esware, valdrá simplemente con /etc/rc.d/init.d/opeldap stop, mientras que en Debian y distribuciones basadas en Debian (Corel, Storm, Citius) bastará con un /etc/init.d/openldap stop. En otras distribuciones el procedimiento es similar, buscando tal vez slapd en vez de openldap).

Matar slapd de una manera más drástica puede provocar corrupción de las bases de datos, pues puede ser preciso vaciar ciertos tampones de almacenamiento intermedio antes de salir del servidor. Nótese que slapd escribe su PID en un fichero llamado slapd.pid en el directorio que haya configurado en el fichero slapd.conf, por ejemplo en /var/pid/slapd.pid (N. del T.: es éste precisamente el caso de Debian).

Puede cambiar la localización de este fichero PID cambiando la variable SLAPD_PIDFILE en include/ldapconfig.h.edit.

slapd escribirá también sus argumentos en un fichero llamado slapd.args en el directorio que haya configurado en el fichero slapd.conf por ejemplo en /usr/local/var/slapd.args

Podrá cambiar la ubicación del fichero slapd.args si cambia la variable SLAPD_ARGSFILE en include/ldapconfig.h.edit.

slapd utiliza el recurso syslog(8) para generar registros de sus actividad. El usuario predeterminado del recurso the syslog(8) es LOCAL4, pero se permiten valores que van de LOCAL0, LOCAL1, hasta LOCAL7.

Para habilitar la característica de generación de archivos de registro (logs), debe editar el fichero syslog.conf, situado generalmente en el directorio /etc.

Cree una línea como la siguiente:

local4.*     /usr/adm/ldalog

Esto hará que se utilice el usuario predeterminado LOCAL4 para el recurso syslog. Si no está familiarizado con la sintaxis de esta línea, examine las páginas de manual de syslog, syslog.conf(5) y syslogd(8) para el recurso de syslog. Si desea cambiar el usuario predeterminado o especificar el nivel de detalle de los registros generados (logs), tiene disponibles las siguientes opciones en el momento de arrancar slapd:

-s nivel-de-syslog Esta opción le dice a slapd en qué nivel de detalle deben registrarse las informaciones sobre depuración en el recurso syslog(8). El nivel especifica la gravedad del mensaje, y representa una palabra clave tomada de la siguiente lista ordenada (de mayor a menor gravedad): emerg, alert, crit, err, warning, notice, info, y debug. Ejemplo: slapd -f myslapd.conf -s debug

-l usuario-local-de-syslog Selecciona el usuario local del recurso syslog(8). Los valores pueden ir desde LOCAL0, LOCAL1, y así hasta LOCAL7. El valor predeterminado es LOCAL4. No obstante, esta opción se permite únicamente en sistemas que soportan usuarios locales en el recurso syslog(8).

Eche un vistazo en este momento a los registros generados (logs); pueden ayudarle a resolver problemas con consultas, actualizaciones, enganches (bindings), etc.