最近在計畫將公司的 Mail Server 換掉並重新規劃，繼上一篇 Postfix SMTP + Dovecot 加密 SSL / TLS 之後，這篇的目的要將 Mail Server 帳號整合於 LDAP。
此次的範例用到的服務有 Postfix + Dovecot + OpenLDAP，之後還會增加 Webmail 進來，以及 LAB AD 的驗證。
由於小弟用的是 CentOS 6.5 版的設定或許跟一些網友不同，請自行斟酌
LDAP 整合的概念是利用 PAM 與 LDAP 溝通取得帳號後再與其他服務進行整合
設定 PAM 整合 LDAP 登入
step.1 首先你必須先安裝以下套件才能進行整合
pam
pam-devel
pam_ldap
nss-pam-ldapd
step.2 再來進行 LDAP 設定透通，可以使用 authconfig-tui 來輕鬆建立
✔ Use LDAP ✔ Use MD5 Passwords ✔ Use Shadow Passwords ✔ Use LDAP Authentication
step.3 輸入你的 LDAP Url & Base DN，並點選 OK
之後你會看到 service nslcd start [OK]
nslcd 即是 nss-pam-ldapd 的服務
如果你不想用 authconfig-tui 的方式進行設定，也可以手動編輯 pam_ldap.conf
shell# vim /etc/pam_ldap.conf uri ldap://192.168.100.55 base o=xxx pam_password md5 scope sub \\ 搜尋 o=xxx 以下的子區域 pam_filter objectclass=posixAccount \\ search條件，可以減少搜尋的 Loading
step.4 確認 pam 的系統驗證有包含 ldap
auth required pam_env.so auth sufficient pam_unix.so nullok try_first_pass auth requisite pam_succeed_if.so uid >= 500 quiet auth sufficient pam_ldap.so use_first_pass auth required pam_deny.so account required pam_unix.so account sufficient pam_succeed_if.so uid < 500 quiet account [default=bad success=ok user_unknown=ignore] pam_ldap.so account required pam_permit.so password requisite pam_cracklib.so try_first_pass retry=3 password sufficient pam_unix.so md5 shadow nullok try_first_pass use_authtok password sufficient pam_ldap.so use_authtok password required pam_deny.so session optional pam_keyinit.so revoke session required pam_limits.so session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid session required pam_unix.so
step.5 編輯 nsswitch.conf，修改系統認證優先順序
passwd: ldap files
shadow: ldap files
group: files
※如果 LDAP 也有建立 group 也可加上 ldap
step.6 reboot 重開機並使用 LDAP 帳號登入測試。範例使用 eric 這個帳號進行登入
第一次登入因為沒有建立家目錄，所以會提示 No directory 並且起始為 / 根目錄
No directory /home/domain/eric Logging in with home = "/". -bash-2.05b$
在這邊會看到我 LDAP 的家目錄為 /home/domain/eric 而不是 /home/eric，是為了方便管理，不將 domain 使用者與本機使用者混在一起使用。
※一般使用者建議權限都使用 /sbin/nologin，僅有測試或管理者才給予 bash login 權限。
step.6 幫使用者建立信箱及家目錄
shell# cd /home shell# mkdir -p domain/eric shell# chmod 700 domain/eric shell# mkdir mailspool shell# rm -rf /var/spool/mail shell# ln -s /var/spool/mail /home/mailspool shell# touch mailspool/eric shell# chown eric.mail mailspool/eric
由於習慣將 home 的目錄切比較大，所以將有成長空間的 /var/spool/mail ln 到 /home/mailspool
Postfix SMTP 整合 LDAP
檢查 Postfix 是否支援 LDAP 驗證
shell# postconf -m | grep ldap ldap
由於 Postfix 的驗證走的是 SASL，SASL 用的就是 PAM 所以 Postfix 不需要進行調整，但還是必須要測試一下。
shell# testsaslauthd -s smtp -u eric -p password 0: OK "Success.
OK Success 代表驗證 LDAP 沒問題。
Dovecot 整合 LDAP
要讓 Dovecot 支援 LDAP，其實在 2.0.9 之後已經很完善了，也有範例的設定檔
step.1 設定 dovecot 的驗證檔
auth-system.conf.ext 是驗證 pam 用
auth-ldap.conf.ext 是搜尋 ldap 帳號用
shell# vim /etc/dovecot/conf.d/10-auth.conf !include auth-system.conf.ext !include auth-ldap.conf.ext 取消註解 auth-ldap.conf.ext
step.2 確認 auth-system.conf.ext 採用 pam 驗證無誤
passdb {
driver = pam
}
userdb {
driver = passwd
}
step.3 確認 auth-ldap.conf.ext
shell# vim /etc/dovecot/conf.d/auth-ldap.conf.ext
passdb {
driver = ldap
args = /etc/dovecot/dovecot-ldap.conf
}
userdb {
driver = ldap
args = /etc/dovecot/dovecot-ldap.conf
}
可以看到這邊也 include 了 dovecot-ldap.conf
step.4 dovecot-ldap.conf 這隻設定檔必須自行建立，這是讓 dovecot 登入 LDAP 使用的
shell# vim /etc/dovecot/dovecot-ldap.conf hosts = 192.168.100.55:636 dn = uid=tpldap,ou=server,o=xxx dnpass = tppassword base = o=xxx 試試設定檔能否查到 LDAP 的資料 shell# ldapsearch -x -f /etc/dovecot/dovecot-ldap.conf
step.5 restart dovecot
使用 MUA 測試登入成功，搞定收工!!