Tuto Openldap, partie VI : Réplication

Sixième partie de la série de tuto sur OpenLDAP consacrée à la réplication.

Nous allons mettre en place une réplication Maitre-Maitre. L’idée est de faire en sorte que n’importe lequel de nos serveurs LDAP soit capable à la fois de lire les données, mais également de les modifier. De plus,nous allons mettre en place une réplication, à la fois sur l’arbre de données dc=debugo,dc=fr mais également sur l’arbre de configuration cn=config.

 

I – Prérequis

Sur un nouveau serveur, installez OpenLDAP, puis comme pour le serveur déjà en place:

# dpkg-reconfigure slapd

Mettez les informations que vous aviez renseignées.

Effectuez également la configuration de rsyslog.

Maintenant, sur le premier serveur, créez des sauvegardes de la configuration et des données (suivez ce tuto). Puis, depuis le premier serveur, nous allons envoyer les fichiers de sauvegarde sur le second serveur, ceci afin de gagner du temps. Pas de besoin de tout reconfigurer à l’identique.

maitre1# scp save_*.ldif root@maitre2:/root

Ensuite, réinjectez les sauvegardes en suivant la partie II de l’article Sauvegarde et restauration.

 

II – Configuration

Ce qui suit est à faire sur chaque serveur !

A – Activation Overlay

Nous allons commencer par activer l’Overlay Syncprov à l’aide d’un fichier 01-syncprov_act.ldif :

dn: cn=module,cn=config
cn: module
objectclass: olcModuleList
objectclass: top
olcmoduleload: syncprov.la
olcmodulepath: /usr/lib/ldap

On injecte :

ldapx# ldapadd -Y EXTERNAL -H ldapi:/// -f 01-syncprov_act.ldif

On peut vérifier avec :

ldapx# ldapsearch -LLLY external -H ldapi:/// -b "cn=config" "objectClass=olcModuleList"
ldapx# ldapsearch -LLLY external -H ldapi:/// -b "cn=module{6},cn=config"

B – ServerID

Sur chaque serveur, un fichier 02-serverid.ldif :

dn: cn=config
changetype: modify
add: olcServerID
olcServerID: x

Attention, sur le premier serveur olcServerID:1, sur le second  olcServerID: 2, etc…

On injecte :

ldapx# ldapmodify -Y EXTERNAL -H ldapi:/// -f 02-serverid.ldif

Pour vérifier :

ldapx# ldapsearch -LLLY external -H ldapi:/// -b "cn=config" "objectClass=olcGlobal" olcServerID

C – Création utilisateur réplication

Ensuite, nous allons créer un utilisateur pour la replication dans un fichier 03-replica_account.ldif :

dn: cn=replica,ou=system,dc=debugo,dc=fr
userPassword: password
cn: replica
objectclass: top
objectclass: person
sn: replica

On injecte :

ldapx#  ldapadd -x -H ldap://localhost -D cn=admin,dc=debugo,dc=fr -y /root/pwdldap -f 03-replica_account.ldif

 

III – Réplication de la configuration

Ces manipulations sont toujours à effectuer sur les deux serveurs.

A – ACL

Nous allons donner à l’utilisateur cn=replica,dc=debugo,dc=fr le droit de modifier la configuration via un fichier 04-droit_conf.ldif :

dn: olcDatabase={0}config,cn=config
changeType: modify
add: olcAccess
olcAccess: to * by dn.exact=cn=replica,ou=system,dc=debugo,dc=fr manage by * break

On injecte

ldapx# ldapmodify -Y EXTERNAL -H ldapi:/// -f 04-droit_conf.ldif

B – Configuration

Créez un fichier 05-syncprov_conf_conf.ldif pour y mettre :

dn: olcOverlay=syncprov,olcDatabase={0}config,cn=config
changetype: add
objectClass: olcOverlayConfig
objectClass: olcSyncProvConfig
olcOverlay: syncprov

Injectez :

ldapx# ldapmodify -Y EXTERNAL -H ldapi:/// -f 05-syncprov_conf_conf.ldif

C – Paramétrage

Créez un fichier 06-repl_conf_conf.ldif pour y mettre :

dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcSyncRepl
olcSyncRepl: rid=01 provider=ldap://IPSERVEUR1
  binddn="cn=replica,ou=system,dc=debugo,dc=fr" bindmethod=simple
  credentials=password searchbase="cn=config"
  type=refreshAndPersist retry="5 5 300 5" timeout=1
olcSyncRepl: rid=02 provider=ldap://IPSERVEUR2
  binddn="cn=replica,ou=system,dc=debugo,dc=fr" bindmethod=simple
  credentials=password searchbase="cn=config"
  type=refreshAndPersist retry="5 5 300 5" timeout=1
-
add: olcMirrorMode
olcMirrorMode: TRUE

Les lignes binddn, credentials, et type doivent commencer avec deux espaces.

et injectez :

ldapx# ldapmodify -Y EXTERNAL -H ldapi:/// -f 06-repl_conf_conf.ldif

Vérifiez avec :

# ldapsearch -QLLLY external -H ldapi:/// -b "cn=config" "olcDatabase={0}config" olcSyncRepl

Et voila !

Si vous modifiez la configuration sur un serveur (des ACLs par exemple), cela sera répliqué sur l’autre.

Dans les logs, on doit voir des traces de la synchro. Et pour être sur que tout est bien configuré :

# ldapsearch -z1 -LLLQY EXTERNAL -H ldapi:/// -s base -b cn=config contextCSN

doit vous donner le même contextCSN sur chaque serveur.

 

IV – Réplication des données

Ces manipulations ne sont à faire que sur un serveur étant donné que la réplication de la configuration est en place !

A – ACL et limitation

Nos acls avaient déjà été établies.

Vérifiez sur les deux serveurs :

ldapx# ldapsearch -QLLLY external -H ldapi:/// -b "cn=config" "olcDatabase={1}mdb" olcAccess

Doit vous donner :

dn: olcDatabase={1}mdb,cn=config
olcAccess:
  {0}to attrs=userPassword
  by self write by anonymous auth
  by dn="cn=writer,ou=system,dc=debugo,dc=fr" write
  by dn="cn=viewer,ou=system,dc=debugo,dc=fr" read
  by dn="cn=admin,dc=debugo,dc=fr" write
  by * none
olcAccess:
  {1}to dn.base="dc=debugo,dc=fr"
  by users read
olcAccess:
  {2}to *
  by self write
  by dn="cn=admin,dc=debugo,dc=fr" write
  by * read
  by anonymous none

Nous allons les modifier avec un fichier 07-acl_replica.ldif pour donner le droit à l’utilisateur réplica de TOUT lire (y compris les passwords)  :

dn: olcDatabase={1}mdb,cn=config
changetype: modify
replace: olcAccess
olcAccess: to attrs=userPassword by self write by anonymous auth by dn="cn=writer,ou=system,dc=debugo,dc=fr" write by dn="cn=viewer,ou=system,dc=debugo,dc=fr" read by dn="cn=admin,dc=debugo,dc=fr" write by dn.exact="cn=replica,ou=system,dc=debugo,dc=fr" read by * none
olcAccess: to dn.subtree="dc=debugo,dc=fr" by users read by * none
olcAccess: to * by self write by dn="cn=admin,dc=debugo,dc=fr" write by * read by anonymous none

On injecte :

ldap1# ldapmodify -Y EXTERNAL -H ldapi:/// -f 07-acl_replica.ldif

Vous pouvez vérifier sur chaque serveur, c’est à jour :

ldapx# ldapsearch -QLLLY external -H ldapi:/// -b "cn=config" "olcDatabase={1}mdb" olcAccess

Au passage, on va modifier les limitations dans un fichier 08-limit.ldif :

dn: olcDatabase={1}mdb,cn=config
changetype: modify
add: olcLimits
olcLimits: dn.exact="cn=replica,ou=system,dc=debugo,dc=fr" time.soft=unlimited time.hard=unlimited size.soft=unlimited size.hard=unlimited

On injecte :

ldap1# ldapmodify -Y EXTERNAL -H ldapi:/// -f 08-limit.ldif

B – Index

On va indexer entryCSN et entryUUID à l’aide d’un fichier 09-index.ldif :

dn:olcDatabase={1}mdb,cn=config
changetype: modify
add: olcDbIndex
olcDbIndex: entryCSN,entryUUID eq

On injecte :

ldap1# ldapmodify -Y EXTERNAL -H ldapi:/// -f 09-index.ldif

C – Configuration

On va configurer l’overlay sur la base {1}mdb, qui correspond à notre dc=debugo,dc=fr, avec un fichier 10-syncprov_conf_data.ldif :

dn: olcOverlay=syncprov,olcDatabase={1}mdb,cn=config
changetype: add
objectClass: olcOverlayConfig
objectClass: olcSyncProvConfig
olcOverlay: syncprov

Injectez :

ldap1# ldapmodify -Y EXTERNAL -H ldapi:/// -f 10-syncprov_conf_data.ldif

D – Paramétrage

Créez un fichier 11-repl_conf_data.ldif et insérez :

dn: olcDatabase={1}mdb,cn=config
changetype: modify
add: olcSyncRepl
olcSyncRepl: rid=01 provider=ldap://IPSERVEUR1
  binddn="cn=replica,ou=system,dc=debugo,dc=fr"
  bindmethod=simple credentials=password
  searchbase="dc=debugo,dc=fr"
  type=refreshAndPersist retry="5 5 300 5" timeout=1
olcSyncRepl: rid=02 provider=ldap://IPSERVEUR2
  binddn="cn=replica,ou=system,dc=debugo,dc=fr"
  bindmethod=simple credentials=password
  searchbase="dc=debugo,dc=fr"
  type=refreshAndPersist retry="5 5 300 5" timeout=1
-
add: olcMirrorMode
olcMirrorMode: TRUE

Injectez :

ldap1# ldapmodify -Y EXTERNAL -H ldapi:/// -f 11-repl_conf_data.ldif

Pour vérifier la synchro, sur un des serveurs, effectuez par exemple une modification d’attribut sur un utilisateur, puis sur les deux serveurs, lancez la commande :

ldapx# ldapsearch -z1 -LLLQY EXTERNAL -H ldapi:/// -s base -b dc=debugo,dc=fr contextCSN

Celle ci doit vous donner la meme réponse. Il faut qu’il y ait eu une modification (changement d’attribut par exemple) sans quoi l’attribut contextCSN n’existera pas.

 

V – Dernier réglage

Dernier point, concernant un petit effet de bord du à la synchro des configurations :

Vos serveurs se retrouvent avec le meme ServerID :

ldapx# ldapsearch -x -LLL -H ldap://localhost -D cn=admin,dc=debugo,dc=fr -w passadmin -b cn=config "objectClass=olcGlobal"

Pour modifier cela, pas le choix, nous allons devoir éditer le fichier directement (si on refait un ldif qu’on injecte ça va se répliquer…). C’est le mal d’éditer les configs ldap à la main, mais ce coup ci, on a guère le choix…

Du coup, sur les deux serveurs, on arrête slapd :

ldapx# service slapd stop

Puis on va éditer le fichier /etc/ldap/slapd.d/cn\=config.ldif pour renseigner :

olcServerID: X

Ou X sera égal à 1 sur le premier serveur et égal à 2 sur le second.

Puis on relance les deux serveurs: :

ldapx# service slapd start

Et maintenant sur chaque serveur, la commande :

ldapx# ldapsearch -x -LLL -H ldap://localhost -D cn=admin,dc=debugo,dc=fr -w passadmin -b cn=config "objectClass=olcGlobal"

donne bien son ID propre.

 

Voila qui clos la partie sur la réplication à proprement parlé.

Dans la partie suivante, nous allons rajouter Keepalived, qui nous permettra d’avoir une IP virtuelle unique pour interroger nos LDAPs.

 

[wpedon id= »2305″]