Cobbler如何与LDAP集成

Cobbler与LDAP集成指南

一 集成思路与准备

• 目标是在 Cobbler Web 与 Cobbler API 层启用 LDAP 统一认证，用户通过企业目录账号登录，再由 Cobbler 的授权机制控制可操作范围。
• 准备要点：
  • 可用的 LDAP/AD 服务，明确 Base DN、Bind DN、Bind 密码、用户搜索过滤器、属性映射（uid、cn、mail 等）。
  • 确认 Cobbler Web 使用 Apache + mod_wsgi 运行，便于与 LDAP/PAM 对接。
  • 规划 授权策略：哪些 LDAP 组对应 Cobbler 的 admin 或只读权限（通过 users.conf 的 admins 组管理）。
  • 备份配置并准备回滚方案（/etc/cobbler 与 /etc/httpd/conf.d/cobbler_web.conf 等）。

二 配置步骤

• 步骤1 安装与启用 Web 组件
  • 安装 cobbler-web（基于 mod_wsgi），确保 httpd 正常运行；Cobbler Web 的认证方式由 /etc/cobbler/modules.conf 的 [authentication] 段控制。
• 步骤2 选择认证方式
  • 方式A（推荐）—PAM 对接 LDAP：将 [authentication] module = authn_pam，在 /etc/cobbler/users.conf 的 [admins] 中列出允许登录的 LDAP 用户名（PAM 负责到 LDAP 验证）。该方式不改动 Cobbler 核心认证链路，运维简单。
  • 方式B—Cobbler LDAP 模块：将 [authentication] module = authn_ldap，并在 /etc/cobbler/ldap 中配置 ldap:/// 或 ldaps://、Base DN、Bind DN/密码、搜索过滤器 等参数，使 Cobbler 直接对 LDAP 做绑定与查询（需按实际目录结构调整属性映射）。
• 步骤3 配置授权与默认账号
  • 在 /etc/cobbler/users.conf 的 [admins] 中写入允许的管理员账号（与方式A配合时即为 LDAP 用户名；与方式B配合时同样生效）。如需临时保留本地账号，可并存于该文件。
• 步骤4 重启服务并验证
  • 重启 httpd 与 cobblerd，使用 LDAP 账号访问 Cobbler Web 或通过 XML-RPC API 进行登录测试；如失败，查看 /var/log/httpd/error_log 与 /var/log/cobbler/cobbler.log 定位问题。

三 配置示例

• 示例A 使用 PAM 对接 LDAP（推荐）

  • /etc/cobbler/modules.conf
    • [authentication]
      • module = authn_pam
  • /etc/cobbler/users.conf
    • [admins]
      • alice
      • bob
  • 说明：PAM 侧需配置系统可识别的 LDAP 源（如 sssd、nss-pam-ldapd 等），确保系统层面已可对 LDAP 用户进行认证；Cobbler 仅读取 users.conf 的 admins 列表进行授权放行。

• 示例B 使用 Cobbler LDAP 模块直连目录

  • /etc/cobbler/modules.conf
    • [authentication]
      • module = authn_ldap
  • /etc/cobbler/ldap（示例为匿名搜索 + 用户绑定，按实际修改）
    • uri ldap://ldap.example.com
    • basedn dc=example,dc=com
    • binddn cn=bind,dc=example,dc=com
    • bindpw YourBindPassword
    • search uid=%s
  • 说明：若目录要求 StartTLS/SSL，使用 ldaps:// 并在系统层面配置 CA 证书；属性映射（如将 sAMAccountName 映射为 uid）需按目录结构调整。

四 常见问题与排查

• 无法登录但账号在 LDAP 中存在
  • 检查 /etc/cobbler/users.conf [admins] 是否包含该用户名；若使用 authn_pam，确认系统 PAM 已正确对接 LDAP 且可本地登录；若使用 authn_ldap，核对 basedn/search/filter 与 bind 凭据是否正确。
• Web 登录 500 或 403
  • 查看 /var/log/httpd/error_log 与 /var/log/cobbler/cobbler.log；常见为模块未安装、配置语法错误、权限不足或 SELinux 拦截。
• 证书与加密
  • 使用 ldaps:// 或 StartTLS 时，确保系统信任 LDAP 服务器证书（部署 CA 证书到受信库），否则绑定会失败。
• 授权粒度
  • 当前示例通过 users.conf [admins] 控制管理员；如需更细粒度（按用户/组对 distro/profile/system 授权），可在 Cobbler 中结合 ACL/权限模型 与外部脚本或二次开发实现。