В данной статье мы попробуем решить конкретную задачу: с помощью программы Sarg сформировать так называемый usertab-файл, в котором определяется соответствие учетных записей пользователей, использованных в процессе аутентификации в squid, и их настоящих имен. В результате должен быть получен отчет примерно такого вида:
ivanov-iv Иванов Иван petrov-pp Петров Петр root Администратор |
Для этого потребуется выполнить действия, практически аналогичные действиям, выполнявшимся в предыдущей статье вручную:
- подключение к LDAP с соответствующим фильтром и списком полей;
- получение и вывод данных;
- преобразование полученной информации и сохранение её в виде файла.
Нас интересуют только поля displayName и sAMAccountName. Сценарий будет называться ldapshtest. Так как это демонстрационный сценарий, а не полная версия (которая должна содержать больше элементов и исполняться в соответствующем окружении), то некоторые фрагменты будут опущены и рассматриваться будут только те фрагменты, которые непосредственно отвечают за выполнение интересующих действий. Данный сценарий будет использовать конфигурационный файл типового формата, показанный в листинге 1, в котором собраны настройки подключения к LDAP.
Листинг 1. Конфигурационный файл сценария ldapshtestldap_server=192.168.50.1 ldap_basedn="dc=shelton,dc=int" ldap_binddn=ldapread@SHELTON.INT ldap_password="cXdlcnR5YXNkZgo 1" ldap_common_filter="(&(sAMAccountName=*)(sAMAccountType=805306368)(telephoneNumber=*))" etcdir=/usr/local/etc sargdir=sarg2 sargfile=sargusers |
В листинге 6 все должно быть понятно кроме пароля. Он записан в таком странном формате по нескольким причинам. Конечно, не следует хранить пароли в открытом виде. Но в то же время трудно найти обратимую функцию, чтобы надежно зашифровать пароль и потом также надежно его расшифровать. Поэтому был выбран компромисс - простейшее преобразование формата, а не шифр. Точнее говоря, это преобразование Base64, у которого отброшены заполнители и вместо них проставлено их количество. Этот пароль можно привести к исходному состоянию с помощью несложной процедуры, приведенной в листинге 2.
Листинг 2. Процедура обратного преобразования пароля# обратное преобразование строки пароля
# вход: $1 enconved (строка) - пароль из файла конфигурации
# выход: _passwd - пароль в текстовом виде
demux_passwd()
{
local _ideconv _iadd _ifill
_ifill="="
_ideconv=$1
if [ ! $2 -eq 0 ]; then
_iadd=$2
while [ $_iadd -gt 0 ]; do
_ideconv=$_ideconv$_ifill
_iadd=$(($_iadd-1))
done
fi
_passwd=`echo $_ideconv / $util_mmencode -u`
}
|
Особых пояснений этот код тоже не требует: если второй параметр не нуль, то циклом в конец строки дописывается столько символов заполнителей, сколько было передано во втором параметре, а затем строка декодируется. Внешняя переменная $util_mmencode содержит путь к программе mmencode.
Алгоритм работы создаваемого сценария состоит из нескольких этапов. После предварительной части (загрузка конфигурационного файла, разбор командной строки, поиск необходимых программ) сценарий "расшифровывает" пароль и создает временный каталог для работы. Потом выполняется подключение к LDAP, откуда загружаются учетные записи и имена пользователей, которые сохраняются во временных файлах. Часть кода опущена, ссылку на полную версию можно найти в разделе "Материалы для скачивания". В листинге 3 приведен только код, представляющий интерес.
Листинг 3. Основная процедура сценарияsafe_logger "LDAPQuery ver. $revisionNumber started"
# обратное преобразование пароля
demux_passwd $ldap_password
_ldap_pwd=$_passwd
# создать временный каталог, если он еще не создан и перейти в него
make_tempdir
# выполнить поиск учетных записей пользователей в LDAP и сохранить результат
ldap_data_query sAMAccountName $tempdir/users.ldif
# преобразовать данные в читаемый вид
ldap_data_deconvert $tempdir/users.ldif $tempdir/users.list
# выполнить поиск имен пользователей в LDAP и сохранить результат
ldap_data_query displayName $tempdir/names.ldif
# преобразовать данные в читаемый вид
ldap_data_deconvert $tempdir/names.ldif $tempdir/names.list
# сравнить списки и добавить в файл sargusers отсутствующие учетные записи
ldapusers=`cat $tempdir/users.list`
sargusers=`cat $etcdir/$sargdir/$sarglist / awk '{print $1}'`
IFS=$newline
_added=0
# внешний цикл по списку пользователей из LDAP
for _oneldapuser in $ldapusers
do
_togo=0
# внутренний цикл по списку пользователей Sarg
for _onesarguser in $sargusers
do
# если пользователь найден, то прервать внутренний и внешний циклы
# и перейти к следующей записи внешнего цикла
if [ $_oneldapuser = $_onesargluser ]; then
continue 2
fi
done
# если мы находимся здесь - пользователь LDAP не найден в списке пользователей Sarg.
# следует записать в список пользователей Sarg
# строку с учетной записью из users.list и именем пользователя из names.list
_oneusername=`cat $tempdir/names.list / tail -n +$_togo / head -n 1`
echo -e "$_oneldapuser \t$_oneusername\n" >> $etcdir/$sargdir/$sarglist
_togo=$(($_togo+1))
_added=$(($_added+1))
done
|
Код до начала сравнения списков интуитивно понятен: идут вызовы процедур для получения данных из LDAP и их последующего преобразования. Далее выполняются два вложенных цикла для сравнения двух списков. Первый список - это список полученных из LDAP учетных записей, второй - список учетных записей пользователей, уже присутствующих в файле. Он получается с помощью простейшей команды на awk. Суть его в том, что оба списка считываются в переменные, затем берется один элемент "внешнего" списка и последовательно сравнивается со всеми элементами "внутреннего" списка. Когда находится совпадение, выполняются необходимые действия, потом внешний цикл (в Bourne Shell можно указать оператору break или continue число уровней вложенности, на которые он одновременно воздействует) переходит к следующему элементу.
Во внешнем цикле, идущем по списку учетных записей из LDAP обнуляется счетчик, отмечающий позицию учетной записи в списке. Внутренний цикл идет по списку пользователей, уже присутствующих в файле. Если учетная запись из LDAP уже присутствует в файле, то незачем искать её дальше и можно переходить к следующей. Если она отсутствует, то берется имя пользователя из списка имен (отступив с помощью tail на значение счетчика позиции и взяв оттуда одну строку), после чего формируется строка вывода и дописывается в список пользователей Sarg.
Основной интерес представляют процедуры ldap_data_query() и ldap_data_deconvert(). Первая процедура всего лишь вызывает утилиту ldapsearch, передавая ей все необходимые параметры из конфигурационного файла и список переданных параметров. Единственное, что выполняется перед вызовом ldapsearch - это замена запятых в списке запрашиваемых полей на пробелы. Код процедуры ldap_data_query() приведен в листинге 4.
# запросить некоторые данные у LDAP сервера
# вход: $1 fieldname (строка) - имя атрибута(ов), запрашиваемых в AD
# $2 outfile (строка) - имя файла для сохранения полученных данных
# выход: none
ldap_data_query()
{
local _ldapfield _outfile
_ldapfield=`echo $1 / sed -e "s:,: :g"`
_outfile=$2
# выполнить запрос к LDAP и сохранить результат
$util_ldapsearch -T $tempdir -D $ldap_binddn -w $_ldap_pwd -LLL -h $ldap_server -b $ldap_basedn -P 3 -a always $ldap_common_filter $_ldapfield > $_outfile # проверить код возврата
status=$?
if [ $status -ne 0 ]; then
safe_logger "Unable to complete LDAP request to get $_ldapfield from AD"
exit
fi
}
|
В листинге 5 приведены вспомогательные процедуры unspace() и make_tempdir().
# удалить пробелы и строки комментариев из файла
# вход: $1 source (строка) - имя исходного файла
# $2 destination (строка) - имя файла результата
# выход: none
_unspace()
{
cat $1 / grep -v ^# / sed -e "s: ::g" > $2
}
# создать временный каталог, если он еще не был создан и перейти в него
# вход: none
# выход: tempdir (строка) - имя временного каталога
make_tempdir()
{
if [ ${#tempdir} -eq 0 ]; then
tempdir=`mktemp -d /tmp/adphones.XXXXXX`
fi
cd $tempdir
}
|
Процедура unspace() удаляет из файла, заданного первым параметром, все пробелы и все строки, начинающиеся с символа "#". В итоге на выходе будут только строки вывода ldapsearch. Процедура make_tempdir() создает временный каталог с уникальным именем, если такового еще не было создано. Сделано это для удобства использования данного сценария из других сценариев, чтобы избежать гонок (race condition).
В данной статье был рассмотрен основной алгоритм выполнения запросов к LDAP через сценарии оболочки с помощью утилиты ldapsearch. В следующей статье мы рассмотрим дополнительные аспекты обращения к LDAP из сценариев Bourne Shell.
| Имя | Размер | Метод загрузки |
|---|---|---|
| ldapshtst.tar.bz2 | 5KB | HTTP |