LDAP – Howto: StandbyMaster / Multi-Master

prego Ein Kommentar

Im folgenden Blogeintrag moechte ich beschreiben, wie man eine einfache LDAP-StandbyMaster bzw. Multi-Master Loesung implementiert. Das Ziel ist, dass sich zwei LDAP-Server permanent gegeneinander replizieren so dass im Bedarfsfall der StandbyMaster die Funktionen des Masters transparent uebernimmt, ohne das angeschlossene Dienste davon etwas mitbekommen.

All mein Wissen was ich hier beschreibe habe ich aus dem wirklich tollen Buch OpenLDAP 2.4 – Das Praxisbuch, sowie den Quellen die, wenn man sie nicht beachtet, normalerweise mit der Aussage „RTFM“ gemeint sind. Das Buch kann ich nur jedem ans Herz legen, der sein Wissen ueber LDAP erweitern und auf eine feste Grundlage stellen moechte. Es ist hervorragend geschrieben, leicht verstaendlich, und bietet gute Praxisbeispiele.

Die Umgebung in der ich arbeite ist Debian Lenny 32bit. Es handelt sich bei beiden LDAP-Servern um mit KVM virtualisierte Maschinen auf zwei unterschiedlichen physikalischen Servern. Alle Konfigurationseinstellungen, Pfade etc. beziehen sich auf die beiden genannten Systeme.

Weiterlesen

LDAP – logging, loglevel, seperate logfile, logrotate

prego Schreib einen Kommentar

Das loglevel wird in der /etc/ldap/slapd.conf mit dem Eintrag

 loglevel INTEGER

festgelegt. Moegliche Werte sind (man slapd.conf)

  • 1 (0x1 trace) trace function calls
  • 2 (0x2 packets) debug packet handling
  • 4 (0x4 args) heavy trace debugging (function args)
  • 8 (0x8 conns) connection management
  • 16 (0x10 BER) print out packets sent and received
  • 32 (0x20 filter) search filter processing
  • 64 (0x40 config) configuration file processing
  • 128 (0x80 ACL) access control list processing
  • 256 (0x100 stats) connections, LDAP operations, results (recommended)
  • 512 (0x200 stats2) stats log entries sent
  • 1024 (0x400 shell) print communication with shell backends
  • 2048 (0x800 parse) entry parsing
  • 16384 (0x4000 sync) LDAPSync replication
  • 32768 (0x8000 none) only messages that get logged whatever log level is set

Diese Zahlen sind auch beliebig kombinierbar. Moechte man z.B. das loglevel 128 und 32 kombiniert haben, traegt man loglevel 160 ein.

Der LDAP logt normalerweise nach /var/log/syslog. Moechte man eine eigene Logfile haben, z.B. /var/log/slapd.log, dann die folgende Zeile in /etc/syslog.conf bzw. /etc/rsyslog.conf hinzufuegen:

 local4.*		/var/log/sldap.log

Um die logfile in logrotate mit aufzunehmen die Datei /etc/logrotate.d/slapd anlegen und wie folgt fuettern:

/var/log/slapd.log
{
	rotate 7
	daily
	missingok
	notifempty
	delaycompress
	compress
	postrotate
		invoke-rc.d rsyslog reload > /dev/null
	endscript
}

Nach entsprechenden Aenderungen natuerlich die jeweiligen Dienste (ldap, rsyslog) neustarten…

LDAP-Backup erstellen

prego Schreib einen Kommentar

Ich bin ein Freund vom Plain text. Damit laesst sich IMHO immer noch am besten Arbeiten. Man kann es in alle denkbaren Formate umwandeln, umbiegen, exportieren, was auch immer, und ist deswegen was Backups angeht das Ziel meiner Wahl. Natuerlich habe ich bei dem LDAP-Server das /var/lib/ldap/ im Backuppath mit drin, aber es geht nichts ueber eine Textdatei in der die Werte nochmal als Plain text drinstehen; gleiches gilt uebrigens fuer MySQL-Datenbanken…

Die Backupdatei erstelle ich mit slapcat. Wichtig dabei ist zu beachten, dass die slap* Tools ganz anders arbeiten als die entsprechenden ldap* Gegenstuecke. Beispiel slapadd und ldapadd. Die ldap* Tools sind LDAP-Clients die ueber das LDAP-Protokoll auf die Datenbank zugreifen. Die slap* Befehle aber greifen direkt auf die lokalen Datenbankdateien zu, die Berkley DB = *.bdb Dateien in /var/lib/ldap/. Da die slap* Befehle direkt darauf zugreifen koennen Sie natuerlich nur auf dem Rechner ausgefuehrt werden auf dem der LDAP-Server laeuft, und es ist wichtig, dass der LDAP-Daemon nicht laeuft. Entsprechend ist auch das Backup-Skript was fuer den LDAP laeuft, einmal taeglich per Cron aufgerufen:

#!/bin/bash
 
SLAPCAT=/usr/sbin/slapcat
GZIP=/bin/gzip
BACKUPDIR=/root/ldapbackup/
 
 
# Daemon stoppen
/etc/init.d/slapd stop > /dev/null 2>&1
if [ $? != "0" ]; then
  logger -t "LDAP-Backup:" "Fehler beim Stoppen des slapd Daemons."
  exit 1
fi
 
 
# Backup in Textdatei erzeugen
$SLAPCAT > $BACKUPDIR/$(date +%Y%m%d)-ldapbackup.ldif
if [ $? != "0" ]; then
  logger -t "LDAP-Backup:" "Fehler beim Schreiben der Backupdatei mit slapcat."
  exit 1
fi
 
 
# Textdatei komprimieren
$GZIP $BACKUPDIR/$(date +%Y%m%d)-ldapbackup.ldif
if [ $? != "0" ]; then
  logger -t "LDAP-Backup:" "Fehler beim Komprimieren der erstellten Backupdatei."
  exit 1
fi
 
 
# Daemon starten und wenn es ueberall keine Probleme gab dann Erfolgsmeldung in syslog
/etc/init.d/slapd start > /dev/null 2>&1
if [ $? != "0" ]; then
  logger -t "LDAP-Backup:" "Fehler beim Starten des slapd Daemons."
  exit 1
else
  logger -t "LDAP-Backup:" "Das Backup der LDAP-Datenbank wurde erfolgreich durchgefuehrt."
fi