3. OpenLDAP 安装与配置：基于 Docker 的快速部署与配置方式

OpenLDAP 是 LDAP 协议的主流开源实现，在认证授权平台中承担用户与权限数据的统一存储角色。本章聚焦两种部署与配置路径：基于 Docker 的快速部署（适用于开发/测试环境）与传统 slapd.conf 与动态 cn=config 配置方式（适用于生产环境）。

3.1 基于 Docker 的 OpenLDAP 快速部署

使用 Docker 部署 OpenLDAP 可大幅降低环境搭建门槛，尤其适合开发测试与 CI/CD 流水线。推荐使用 osixia/openldap 官方镜像，该镜像已内置 cn=config 支持。

3.1.1 部署步骤

1. 拉取镜像：docker pull osixia/openldap:1.5.0
2. 启动容器（基础参数）：

docker run -d \
  --name openldap-server \
  -p 389:389 \
  -p 636:636 \
  -e LDAP_ORGANISATION="Example Corp" \
  -e LDAP_DOMAIN="example.com" \
  -e LDAP_ADMIN_PASSWORD="admin123" \
  -e LDAP_CONFIG_PASSWORD="config123" \
  --volume openldap_data:/var/lib/ldap \
  --volume openldap_config:/etc/ldap/slapd.d \
  osixia/openldap:1.5.0

3.1.2 关键参数说明

3.1.3 验证部署

# 使用 ldapsearch 查询根 DSE
docker exec openldap-server ldapsearch -x -H ldap://localhost -b "" -s base

# 使用管理员账号查询
docker exec openldap-server ldapsearch -x \
  -H ldap://localhost \
  -D "cn=admin,dc=example,dc=com" \
  -w admin123 \
  -b "dc=example,dc=com"

3.2 slapd.conf 传统配置方式

slapd.conf 是 OpenLDAP 2.3 之前的静态配置文件方式，目前仍被部分运维团队沿用。配置修改后需重启 slapd 服务才能生效。

3.2.1 基础配置示例

# /etc/ldap/slapd.conf
include         /etc/ldap/schema/core.schema
include         /etc/ldap/schema/cosine.schema
include         /etc/ldap/schema/inetorgperson.schema

pidfile         /var/run/slapd/slapd.pid
argsfile        /var/run/slapd/slapd.args

# 数据库定义
database        mdb
suffix          "dc=example,dc=com"
rootdn          "cn=admin,dc=example,dc=com"
rootpw          {SSHA}xxxxxxxxxxxxxxxxxxxxx

# 索引配置
index   objectClass     eq
index   uid             pres,eq
index   cn              pres,sub,eq
index   sn              pres,sub,eq
index   mail            pres,sub,eq

# 访问控制
access to attrs=userPassword
    by self write
    by anonymous auth
    by dn.base="cn=admin,dc=example,dc=com" write
    by * none

access to *
    by self write
    by dn.base="cn=admin,dc=example,dc=com" write
    by * read

3.2.2 密码生成

# 使用 slappasswd 生成 SSHA 密码
slappasswd -s admin123
# 输出：{SSHA}xxxxxxxxxxxxxxxxxxxxx

3.3 cn=config 动态配置方式

cn=config 是 OpenLDAP 2.3+ 引入的在线配置框架，将配置信息存储在 LDAP DIT（Directory Information Tree）中，支持运行时动态修改，无需重启服务。

3.3.1 配置架构

3.3.2 在线修改配置示例

# 添加索引（无需重启）
cat > add_index.ldif <