如何配置OpenLDAP 2.4以支持Outlook地址簿查询

Schema 加载操作 #

CentOS 7 自带的 OpenLDAP 2.4 采用 cn=config 动态配置架构，不再支持旧版直接修改 slapd.conf 加载 schema 的方式，你系统中自带的 officePerson.schema 确实需要转换为 LDIF 格式后通过 ldapmodify 命令加载，操作步骤如下：

• 创建临时转换目录

  mkdir /tmp/schema_convert && cd /tmp/schema_convert
  

• 新建转换配置文件 schema_convert.conf，写入以下内容：

  include /etc/openldap/schema/core.schema
  include /etc/openldap/schema/officePerson.schema
  

• 执行转换命令生成 LDIF 文件

  slaptest -f schema_convert.conf -F /tmp/schema_convert
  

• 编辑生成的 LDIF 文件（默认路径为 /tmp/schema_convert/cn=config/cn=schema/cn={1}officeperson.ldif）：
  • 将 dn: cn={1}officeperson 修改为 dn: cn=officePerson,cn=schema,cn=config
  • 将 cn: {1}officeperson 修改为 cn: officePerson
  • 删除文件末尾的 structuralObjectClass、entryUUID、creatorsName、createTimestamp、entryCSN、modifiersName、modifyTimestamp 自动生成字段
• 加载 schema 到 OpenLDAP 服务

  ldapmodify -Y EXTERNAL -H ldapi:/// -f cn\=officePerson.ldif
  

• 验证加载结果，返回正常条目即为加载成功

  ldapsearch -Y EXTERNAL -H ldapi:/// -b cn=schema,cn=config cn=officePerson
  

现有条目兼容处理 #

不需要重建现有使用 organizationalPerson 结构类的条目，也不需要修改 organizationalPerson 的类定义：

• officePerson 属于辅助对象类，可以直接叠加到现有 organizationalPerson 结构类上，添加辅助类的操作完全不会改动原有属性和结构，所有依赖原有LDAP服务的ssh登录、WebLogic认证等业务不会受到任何影响
• 单条目修改 LDIF 示例（替换为实际条目DN），新建文件 update_user.ldif：

  dn: uid=testuser,ou=people,dc=example,dc=com
  changetype: modify
  add: objectClass
  objectClass: officePerson #

  add: mail
  mail: testuser@example.com #

  add: telephoneNumber
  telephoneNumber: 13xxxxxxxxx

• 执行修改命令，可批量处理所有需要同步到 Outlook 地址簿的用户条目

  ldapmodify -Y EXTERNAL -H ldapi:/// -f update_user.ldif
  

Outlook 查询适配配置 #

服务端需要额外配置查询权限，确保Outlook绑定账号可以读取地址簿相关属性：

• 新建权限配置文件 outlook_acl.ldif（替换为实际的数据库DN，CentOS7默认hdb数据库DN为olcDatabase={2}hdb,cn=config）：

  dn: olcDatabase={2}hdb,cn=config
  changetype: modify
  add: olcAccess
  olcAccess: to attrs=mail,telephoneNumber,cn,sn,givenName
  by self write
  by anonymous auth
  by users read

• 加载权限配置

  ldapmodify -Y EXTERNAL -H ldapi:/// -f outlook_acl.ldif
  

• Outlook 端配置 LDAP 地址簿时，搜索基填实际用户OU路径，搜索过滤条件填 (objectClass=officePerson)，使用普通LDAP用户绑定即可正常查询地址簿。

内容的提问来源于stack exchange，提问作者Hussain Akbar