LDAPS

slapd ldap

Защищенный LDAP

Security ldap

# /etc/defaults/slapd
 
SLAPD_SERVICES="ldap:/// ldapi:/// ldaps:///"

Создадим каталог и скопируем в него сертификаты с SubCA:

mkdir /etc/ldap/ssl
cp /ca/ldap.* /etc/ldap/ssl/
cp /ca/CA.crt /etc/ldap/ssl/
cp /ca/SUBCA.crt /etc/ldap/ssl/
 
pem сертификат CA и SUBCA
cat /etc/ldap/ssl/SUBCA.crt /etc/ldap/ssl/CA.crt >> /etc/ldap/ssl/ca-chain.crt

Если не дать права будет ошибка 80

chown openldap:openldap /etc/ldap/ssl/*

/etc/ldap/ldap_tls.ldif
Используем опцию add (replace используется, если она уже существует и ее значение нужно исправить)

dn: cn=config
changetype: modify
add: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/ldap/ssl/ca-chain.crt
-
add: olcTLSCertificateFile
olcTLSCertificateFile: /etc/ldap/ssl/ldap.crt
-
add: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/ldap/ssl/ldap.key
-
add: olcDisallows
olcDisallows: bind_anon

• disallows bind_anon - чтобы ноунеймы не могли проверять ldapsearch

ldapmodify -Y EXTERNAL -H ldapi:/// -f ldap_tls.ldif

Будет просто modifying entry "cn=config"

systemctl restart slapd

Подсмотреть

Если что можно подсмотреть как писать ldif

man ldapmodify 
 
# первый examples +- modify
 
man slapd-config
 
# там все фигня для slapd ( чтобы включить ldaps или защиту от anon)