经过2天的摸索，基本把ldap理明白了。下面是ldap在centos7上的安装步骤，包括与samba和NFS使用ldap认证的配置。中间遇到许多坑，会在其他文章里介绍。
为什么要用ldap呢？
ldap主要用作统一认证服务器，samba和nfs提供文件共享的服务。比如要使用samba做文件共享，在windows中访问共享文件是需要输入用户名密码，验证通过后才可以读或者写文件。在未配置ldap服务器以前，samba用户信息在本地保存，也就是说如果有多个samba服务器则需要在多台机器上重复建立认证账户信息，管理不方便。建立ldap后就可以将需要认证的用户全部放到ldap服务器上，这样就可以避免重复建立samba的认证账户，方便统一管理账户信息。
不管有没有配置ldap，samba的用户认证都有自己独立的一套密码与系统用户和ldap用户分开管理，提高安全性，在ldap中samba密码是用户类的一个属性。本人曾经尝试使用ldap用户密码或者系统密码认证samba，包括使用插件或者PAM认证，但是均为成功，目前只发现可以双向同步samba和系统用户密码的配置或者插件（samba-tools）。
下面方法亲测可用。欢迎大家拍砖指正。
1. 安装openldap
# yum install openldap-servers openldap-clients
# yum install -y openldap openldap-clients openldap-servers migrationtools
2.生成密码
# slappasswd
3.修改sldap.conf，没有的话，新建一个
# vi /etc/openldap/slapd.conf
-----------------------------------------------------------------------------------------
include /etc/openldap/schema/core.schema
include /etc/openldap/schema/cosine.schema
include /etc/openldap/schema/inetorgperson.schema
include /etc/openldap/schema/nis.schema
include /etc/openldap/schema/samba.schema
allow bind_v2
pidfile /var/run/openldap/slapd.pid
argsfile /var/run/openldap/slapd.args
database bdb
suffix "dc=srv,dc=world"
rootdn "cn=root,dc=srv,dc=world"
rootpw {SSHA}tTKkeFCUudih3Vk5u3Or0qvzdelUa6ka //替换成之前生成的密码
password-hash {SSHA}
directory /var/lib/ldap
index cn,sn,uid,displayName pres,sub,eq
index uidNumber,gidNumber eq
index sambaSID eq
index sambaPrimaryGroupSID eq
index sambaDomainName eq
index objectClass pres,eq
index default sub
--------------------------------------------------------------------------------------------------------------
4. 清空并生成sldap.d 文件夹文件
# cd /etc/openldap/slapd.d
# rm -rf *
5. 重新生成 sldap.d文件夹内容和数据库文件
# cp /usr/share/openldap-servers/DB_CONFIG.example /var/lib/ldap/DB_CONFIG #DB的配置文件
# slaptest -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d
# slaptest -u -f /etc/openldap/slapd.conf -F /etc/openldap/slapd.d
# chown -R ldap:ldap /etc/openldap/
6. 配置模板文件basedomain.ldif
# vi basedomain.ldif
--------------------------------------------------------
dn: dc=srv,dc=world objectClass: top objectClass: dcObject objectclass: organization o: Server World dc: Srv dn: cn=root,dc=srv,dc=world objectClass: organizationalRole cn: root description: Directory Manager dn: ou=People,dc=srv,dc=world objectClass: organizationalUnit ou: People dn: ou=Group,dc=srv,dc=world objectClass: organizationalUnit ou: Group
-------------------------------------------------------------------
7. 生成需要加入ldap中的用户文件
# getent passwd | tail -n 2 > /root/users # getent group | tail -n 2 > /root/groups # getent shadow | tail -n 2 > /root/shadow //(获得需要的用户密码文件) # cd /usr/share/migrationtools 【 注：在7部分的以下几步操作均在/usr/share/migrationtools目录下进行】 7. 1 修改ldap 密码生成工具 # vim migrate_passwd.pl 【 注：search /etc/shadow and replace it into /root/shadow on Line Number 188.】 行 188: /etc/shadow ----> /root/shadow 7.2 修改migrate_tools的公共文件 # vi migrate_common.ph ------------------------------------------------------- 行 61： $NAMINGCONTEXT{'passwd'} = "ou=People"; $NAMINGCONTEXT{'group'} = "ou=Group"; 行 71： $DEFAULT_MAIL_DOMAIN = "srv.world"; # Default base $DEFAULT_BASE = "dc=srv,dc=world"; $EXTENDED_SCHEMA = 1; --------------------------------------------------------------- 7. 3 生成用户的ldif 文件 users.ldif ，准备加入到ldap中。 # ./migrate_passwd.pl /root/users > users.ldif # ./migrate_group.pl /root/groups > groups.ldif # ldapadd -x -D cn=root,dc=srv,dc=world -W -f basedomain.ldif # ldapadd -x -D cn=root,dc=srv,dc=world -W -f users.ldif 7. 4 检验ldap是否设置成功，数据检测 # ldapsearch -x -b "dc=srv,dc=world" -H ldap://127.0.0.1 7. 5 删除 资源, 【注： 非必须步骤，当用户加入后，在加入时就会出错，需要先删除再加入】 # ldapdelete -x -D "cn=root,dc=srv,dc=world" -w 123456 "uid=ldapuser1,ou=People,dc=srv,dc=world" 8.重启 slapd 服务 # systemctl restart slapd
【开始设置samba 配置文件】
1. 配置samba的配置文件
# vi /etc/samba/smb.config
----------------------------------------
[global]
workgroup = TEST
netbios name = OSGW
passdb backend = ldapsam:ldap://localhost
ldap admin dn = "cn=root,dc=srv,dc=world"
ldap ssl = off
ldap suffix = "dc=srv,dc=world"
#security = user
ldap user suffix = "ou=People"
ldap group suffix = "ou=Group"
#unix password sync = yes # 红色部分是密码同步部分
#ldap password sync = yes
#pam password change = yes
[public]
path = /home/guests
browseable = yes
writable = yes
guest ok = yes
create mask = 0666
directory mask = 0777
-------------------------------------------------------------
2. 配置samba对ldap操作密码
# smbpasswd -w 123456
3. 测试smb的配置文件
# testparm
4. 添加samba用户。
【注：添加的用户必须是ldap的系统用户ldapuser1 ，ldapuser2。添加在ldap中不存在的用户会failed】
# pdbedit -a ldapuser1
5.重启服务
# systemctl restart smb
【开始配置NFS服务】
1.用root权限设置ldap客户端 authconfig-tui
# yum install nss-pam-ldapd pam_ldap openldap-clients
2. 运行 authconfig-tui 配置客户端
【注：空格键为选择和不选择】
3. 填写server和base DN
Server项可以填写IP地址或者域名，端口默认389
4. 选择ok后，可以切换到ldap 的user
# su ldapuser1
输入 passwd
【root 切换到 ldap 用户不用passwd，其他用户切换则需要输入ldap用户的密码】
参考文章：
http://www.server-world.info/en/note?os=CentOS_7&p=openldap&f=1 //日本人写的，精细规范，主要参考部署ldap server 部分 http://jingyan.baidu.com/album/fec4bce2747e12f2618d8be1.html?picindex=3 // 百度知道，参考测试部分 http://ly36843.blog.51cto.com/3120113/1673892 //centos6.4 配置ldap服务器 http://blog.chinaunix.net/uid-21926461-id-5676013.html //ldap 命令较全
http://luyx30.blog.51cto.com/1029851/1220819/ //ldap 和nfs
http://blog.csdn.net/post_yuan/article/details/53129735 //ldap 的正确安装方式
http://wenku.baidu.com/link?url=nSTpGJ4fELHdjgo7I6eDIgkjXwdguJEv-_O2Y7aIoDzyYyID2f6Bt0acFACoduAuGjrurcC1iUohiP8_UHXsFgBfSckQscrzwxg4LZgsh2C //LDAP扫盲
http://download.gna.org/smbldap-tools/docs/samba-ldap-howto/ //权威
