OpenLdap пароль не реплицирутся.

openldap

Всем привет. Настроил репликацию по https://linuxlasse.net/linux/howtos/OpenLDAP_N-Way_MultiMaster_Replication Пользователи реплицируются, а пароли нет. Есть идеи ?

Ссылка

← Curl с прокси зависает в статусе SYN_SENT

Zabbix после обновления OS Centos 8 →

У учётки, которая проводит репликацию права на чтение паролей есть?

Ivan_qrt ★★★★★
(29.01.20 22:44:01 MSK)

Ответ на: комментарий от Ivan_qrt 29.01.20 22:44:01 MSK

Я тоже об этом думал. А где задаётся учётка https://linuxlasse.net/linux/howtos/OpenLDAP_N-Way_MultiMaster_Replication ? На всякий вот мой конфиг

dn: olcDatabase={1}mdb,cn=config
changetype: modify
replace: olcSyncRepl
olcSyncRepl: rid=001
  provider=ldap://ldap1.w1.ru
  searchbase="dc=w1,dc=ru"
  bindmethod=simple
  credentials=5fX?BLR2
  binddn="cn=admin,cn=config"
  type=refreshAndPersist
  retry="30 +"
  timeout=1
olcSyncRepl: rid=002
  provider=ldap://ldap2.w1.ru
  searchbase="dc=w1,dc=ru"
  bindmethod=simple
  credentials=5fX?BLR2
  binddn="cn=admin,cn=config"
  type=refreshAndPersist
  retry="30 +"
  timeout=1

-
replace: olcMirrorMode
olcMirrorMode: TRUE

beren
(29.01.20 22:54:52 MSK) автор топика

Ответ на: комментарий от beren 29.01.20 22:54:52 MSK

В описании базы dc=w1,dc=ru. Либо подклячайся под админом для этой базы, либо задавай права для используемого binddn.

Ivan_qrt ★★★★★
(30.01.20 00:46:10 MSK)

Ответ на: комментарий от Ivan_qrt 30.01.20 00:46:10 MSK

Спасибо. А этот пароль и есть администратора. Что нужно сделать, чтобы под админом подключиться?

beren
(30.01.20 09:10:45 MSK) автор топика
Последнее исправление: beren 30.01.20 09:29:54 MSK (всего исправлений: 1)

Ответ на: комментарий от beren 30.01.20 09:10:45 MSK

binddn должен совпадать с админом базы. Пароли у разных пользователей могут быть одинаковыми, но это не значит, что это те же пользователи.

Ivan_qrt ★★★★★
(30.01.20 15:25:52 MSK)

Ответ на: комментарий от Ivan_qrt 30.01.20 15:25:52 MSK

Логично) Как узнать binddn админа базы ?

beren
(30.01.20 18:56:58 MSK) автор топика
Последнее исправление: beren 30.01.20 18:58:10 MSK (всего исправлений: 1)

Ответ на: комментарий от beren 30.01.20 18:56:58 MSK

rootdn в описании базы.

Ivan_qrt ★★★★★
(31.01.20 15:36:35 MSK)

Ответ на: комментарий от Ivan_qrt 31.01.20 15:36:35 MSK

Вот мой конфиг

dn: olcDatabase={1}mdb,cn=config
changetype: modify
replace: olcSuffix
olcSuffix: dc=w1,dc=ru
-
replace: olcRootDN
olcRootDN: cn=admin,dc=w1,dc=ru
-
replace: olcRootPW
olcRootPW: 5fX?BLR2
-
replace: olcSyncRepl
olcSyncRepl: rid=001
  provider=ldaps://ldap1.w1.ru
  searchbase="dc=w1,dc=ru"
  bindmethod=simple
  binddn="cn=admin,cn=config"
  tls_reqcert=allow
  type=refreshAndPersist
  retry="30 +"
  timeout=1
olcSyncRepl: rid=002
  provider=ldaps://infra2.w1.ru
  searchbase="dc=w1,dc=ru"
  bindmethod=simple
  binddn="cn=admin,cn=config"
  tls_reqcert=allow
  type=refreshAndPersist
  retry="30 +"
  timeout=1

-
replace: olcMirrorMode
olcMirrorMode: TRUE

Применил, репликация сломалась (

Вот что про базу нашёл

dn: olcDatabase={1}mdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcMdbConfig
olcDatabase: {1}mdb
olcDbDirectory: /var/lib/ldap
olcSuffix: dc=w1,dc=ru
olcAccess: {0}to attrs=userPassword by self write by anonymous auth by * non
 e
olcAccess: {1}to attrs=shadowLastChange by self write by * read
olcAccess: {2}to * by * read
olcLastMod: TRUE
olcRootDN: cn=admin,dc=w1,dc=ru
olcRootPW:: e1NTSEF9by9XOFMzc0lPQzc0N2lnOWtkdEVsRHI2NU96LzcxVFA=

beren
(31.01.20 18:46:30 MSK) автор топика

Ответ на: комментарий от beren 31.01.20 18:46:30 MSK

Надо как-то использовать пароль админа, а не add/replace

beren
(31.01.20 19:00:09 MSK) автор топика

Ссылка

Ответ на: комментарий от beren 31.01.20 18:46:30 MSK

olcRootDN: cn=admin,dc=w1,dc=ru
binddn=«cn=admin,cn=config»

Видишь разницу? Админ базы у тебя один, а репликацию ты делаешь под другим пользователем. То, что ты им сделал одинаковые пароли, не значит, что это один и тот же пользователь (dn в терминологии прав ldap).

Применил, репликация сломалась (

Ты в syncrepl credentials не добавил?

Ivan_qrt ★★★★★
(31.01.20 20:58:23 MSK)

Ответ на: комментарий от Ivan_qrt 31.01.20 20:58:23 MSK

Если так

dn: olcDatabase={1}mdb,cn=config
changetype: modify
add: olcSyncRepl
olcSyncRepl: rid=001
 provider=ldaps://ldap1.w1.ru
 searchbase="dc=w1,dc=ru"
 bindmethod=simple
 binddn="cn=admin,dc=w1,dc=ru"
 credentials=5fX?BLR2
 tls_reqcert=allow
 type=refreshAndPersist
 retry="30+
 timeout=1
olcSyncRepl: rid=002
 provider=ldaps://ldap2.w1.ru
 searchbase="dc=w1,dc=ru"
 bindmethod=simple
 binddn="cn=admin,dc=1,dc=ru"
 credentials=5fX?BLR2
 tls_reqcert=allow
 type=refreshAndPersist
 retry="30+"
 timeout=1
-
replace: olcMirrorMode
olcMirrorMode: TRUE

То ошибка:

<olcMirrorMode> database is not a shadow

Это фаталити ? )

beren
(03.02.20 11:38:08 MSK) автор топика

Ответ на: комментарий от beren 03.02.20 11:38:08 MSK

binddn=«cn=admin,dc=1,dc=ru»

w пропустил.

Правильно я понял, что когда ты в syncrepl указываешь binddn=«cn=admin,cn=config» у тебя всё работает, а когда ты заменяешь на binddn=«cn=admin,dc=w1,dc=ru», то он отказывается включать mirrormode?

Кроме binddn ты ничего больше не менял?

Ivan_qrt ★★★★★
(03.02.20 16:22:01 MSK)

Ответ на: комментарий от Ivan_qrt 03.02.20 16:22:01 MSK

Я всё удалил. И заново настроил. Теперь если binddn=«cn=admin,cn=config, тоже отказывается включать mirrormode

beren
(03.02.20 16:33:22 MSK) автор топика

Ответ на: комментарий от beren 03.02.20 16:33:22 MSK

Если перед этим сделать

dn: olcOverlay=syncprov,olcDatabase={1}mdb,cn=config
changetype: add
objectClass: olcOverlayConfig
objectClass: olcSyncProvConfig
olcOverlay: syncprov

А потом тот конфиг, то ошибка останется. Моя не понимать (

beren
(03.02.20 17:55:42 MSK) автор топика