使用osixia/docker-openldap快速部署OpenLDAP服务教程

OpenLDAP作为一款开源的轻量级目录访问协议实现，在企业级身份认证和目录服务中广泛应用。本文将详细介绍如何使用osixia/docker-openldap项目提供的Docker镜像快速部署OpenLDAP服务及其管理界面phpLDAPadmin。

一、部署架构概述

该docker-compose.yml文件定义了两个关键服务：

1. OpenLDAP服务：基于osixia/openldap:1.5.0镜像，提供完整的LDAP目录服务功能
2. phpLDAPadmin管理界面：基于osixia/phpldapadmin镜像，提供Web化的LDAP管理界面

两个服务通过Docker网络自动连接，形成一套完整的LDAP解决方案。

二、OpenLDAP服务配置详解

2.1 基础环境配置

environment:
  LDAP_LOG_LEVEL: "256"  # 设置日志级别为256(调试模式)
  LDAP_ORGANISATION: "Example Inc."  # 组织名称
  LDAP_DOMAIN: "example.org"  # LDAP域名
  LDAP_ADMIN_PASSWORD: "admin"  # 管理员密码
  LDAP_CONFIG_PASSWORD: "config"  # 配置密码

这些基础配置决定了LDAP服务的组织结构和访问凭证。在实际部署时，应当修改为符合您组织的实际信息，特别是密码应当设置为强密码。

2.2 安全与TLS配置

LDAP_TLS: "true"
LDAP_TLS_CRT_FILENAME: "ldap.crt"
LDAP_TLS_KEY_FILENAME: "ldap.key"
LDAP_TLS_DH_PARAM_FILENAME: "dhparam.pem"
LDAP_TLS_CA_CRT_FILENAME: "ca.crt"
LDAP_TLS_ENFORCE: "false"
LDAP_TLS_CIPHER_SUITE: "SECURE256:-VERS-SSL3.0"

这部分配置启用了TLS加密通信，确保数据传输安全。需要注意的是：

1. 证书文件(ldap.crt, ldap.key等)需要预先放置在/container/service/slapd/assets/certs/目录中
2. LDAP_TLS_ENFORCE设置为false表示不强制要求TLS，生产环境建议设为true
3. 密码套件配置禁用了不安全的SSL3.0协议

2.3 数据存储配置

volumes:
  - /var/lib/ldap  # 数据库存储目录
  - /etc/ldap/slapd.d  # 配置目录
  - /container/service/slapd/assets/certs/  # 证书目录

通过卷(volume)挂载确保LDAP数据和配置持久化，避免容器重启后数据丢失。

2.4 网络端口映射

ports:
  - "389:389"  # LDAP标准端口
  - "636:636"  # LDAPS(加密)标准端口

将容器内的389和636端口分别映射到宿主机的相同端口，提供标准的LDAP和LDAPS服务。

三、phpLDAPadmin管理界面配置

phpldapadmin:
  image: osixia/phpldapadmin:latest
  environment:
    PHPLDAPADMIN_LDAP_HOSTS: "openldap"
    PHPLDAPADMIN_HTTPS: "false"
  ports:
    - "8080:80"

phpLDAPadmin提供了直观的Web界面来管理LDAP目录：

1. 通过PHPLDAPADMIN_LDAP_HOSTS连接到OpenLDAP服务
2. 映射8080端口到宿主机的80端口，可通过http://localhost:8080访问
3. 生产环境应将PHPLDAPADMIN_HTTPS设为true并配置SSL证书

四、部署与使用指南

4.1 部署步骤

1. 创建证书文件并放入指定目录
2. 修改docker-compose.yml中的配置参数
3. 执行docker-compose up -d启动服务
4. 访问http://localhost:8080使用phpLDAPadmin管理界面

4.2 初始登录信息

使用phpLDAPadmin登录时：

• 登录DN: cn=admin,dc=example,dc=org (根据实际LDAP_DOMAIN调整)
• 密码: admin (或您设置的LDAP_ADMIN_PASSWORD)

4.3 生产环境建议

1. 修改所有默认密码
2. 启用强制TLS加密
3. 配置适当的备份策略
4. 考虑启用复制功能提高可用性(示例中已注释相关配置)

五、高级配置选项

示例文件中还包含了一些被注释的高级配置，如：

1. 只读用户：通过LDAP_READONLY_USER相关参数配置
2. 复制功能：通过LDAP_REPLICATION相关参数配置多节点同步
3. RFC2307bis模式：通过LDAP_RFC2307BIS_SCHEMA启用

这些功能可根据实际需求取消注释并配置使用。

通过本文介绍的docker-compose配置，您可以快速搭建一套功能完整的OpenLDAP服务，既适合开发测试环境，也只需稍作调整即可满足生产环境需求。