OpenCloud 内置轻量 LDAPLibreGraph IDM 的部署、配置与迁移实战指南【免费下载链接】opencloud️ OpenCloud is the open source platform for file management, sharing and collaboration. Simple and sovereign.项目地址: https://gitcode.com/GitHub_Trending/op/opencloud本文以 OpenCloud 仓库所集成的 LibreGraph Identity ManagementIDM为对象系统讲解这一零外部依赖、专为文件共享与协作场景量身定制的轻量 LDAP 服务的完整用法从源码编译idmd、通过--ldif-main与模板加载用户数据、使用gen newusers批量生成用户、借助gen passwd产出 ARGON2 安全哈希到用标准 LDAP 工具验证、以及从 OpenLDAP 无缝迁移的全部要点。读完本文你将掌握 IDM 的配置模型与底层实现原理并能在 OpenCloud 单机/小规模部署中独立完成用户与组的数据供给。一、IDM 是什么面向小型部署的“够用型”LDAP 服务器LibreGraph Identity ManagementIDM是 libregraph/idm 项目提供的身份管理组件其定位非常明确提供一个易于配置、没有外部依赖的 LDAP 服务器并与 LibreGraph 生态包括 OpenCloud完美协作。凡是还没有 LDAP 服务器、或需要一个 LDAP 服务器的场景都可以直接使用 IDM。从设计上看IDM 是现有 LDAP 服务器的只读替代品drop-in replacement它以 LDIF 文件作为数据源内置硬编码的索引hard coded indexes支持 LDAP 的search、bind、unbind操作足以支撑客户端对用户/组目录的查询与认证需求。在 OpenCloud 项目中IDM 以独立微服务的形式被集成见 services/idm/README.md是默认配置的一部分作为存储用户与组信息的中心位置。其服务定位明确针对小型 OpenCloud 安装对于更大规模的生产环境官方建议替换为“真正”的 LDAP 服务器如 OpenLDAP或接入外部身份管理解决方案。功能边界有意的克制从源码与文档可以确认IDM 是一个有意识保持克制的实现而非通用 LDAP 服务器支持的操作是 LDAP 的子集BIND、SEARCH、ADD、MODIFY、DELETE不做 schema 校验不区分 structural / auxiliary 对象类不校验必选/可选属性也不做语法检查索引是硬编码的定义在 index.go 中覆盖了cn、sn、givenName、mail、uid、uidNumber、gidNumber、memberUid、uniqueMember、ou、entryUUID、objectClass等常用属性并额外为 AD 场景预留了objectGUID、objectSID、samAccountName等索引。因此IDM 的正确使用姿势是为 OpenCloud 等自有软件提供内置的身份目录而不是把它当作承载第三方复杂 LDAP 数据模型的通用目录服务。二、快速开始从源码构建并运行 idmd在官方发布更多平台的安装包与容器之前从源码构建是最直接的运行方式。IDM 仓库根目录的 Makefile 提供了完整的构建入口只需执行$ make即可编译出idmd可执行文件。Makefile 会通过go build -modvendor以 vendor 模式编译cmd/下的命令产物输出到bin/目录。IDM 采用“环境变量 命令行参数”混合的配置方式启动时至少需要传入一个 LDIF 文件路径或一个包含多个 LDIF 文件的目录$ ./idmd serve --ldif-main ./export.ldif INFO[0000] LDAP listener started listen_addr127.0.0.1:10389 INFO[0000] ready启动成功后idmd默认监听127.0.0.1:10389明文 LDAP并输出ready日志表示服务可用。这背后的服务端配置结构体见 server/config.goLDAPListenAddr、LDAPSListenAddr、TLSCertFile、TLSKeyFile、LDAPBaseDN、LDAPAdminDN、LDAPAllowLocalAnonymousBind、BoltDBFile、LDIFMain、LDIFConfig、LDIFDefaultCompany、LDIFDefaultMailDomain、LDIFTemplateExtraVars等字段一一对应着可用的启动参数与数据源配置。三、核心配置Base DN、邮件域与数据源默认 Base DN 与邮件域IDM 的默认 Base DN 为dclg,dclocal默认邮件域为lg.local。这两个默认值在源码 defaults.go 中定义DefaultLDAPBaseDN dclg,dclocal DefaultMailDomain lg.local原文档的提醒值得注意通常无需修改 Base DN除非你要把这份 LDAP 数据用于其他系统——此时必须保证 Base DN 与客户端配置完全一致。同理邮件域也需要与客户端预期匹配。两个值分别通过以下参数修改./idmd serve --ldif-main ./ldif/ --ldap-base-dn dcexample,dccom --ldif-template-default-mail-domain example.comLDIF 数据源IDM 使用 LDIF 文件作为数据源启动时必须通过--ldif-main指定其位置可以是一个单独的 ldif 文件也可以是一个包含多个 ldif 文件的目录目录下的文件会按字典序lexical order加载并作为 Go 模板解析模板能力见第五节。数据加载逻辑位于 ldif handlerNewLDIFHandler会校验文件路径与 Base DN 非空、将路径转换为绝对路径并通过ldapdn.ParseNormalize归一化 Base DN 与 Admin DN。原始 LDIF 数据在启动时被解析进内存索引index.go中的索引结构因此任何 LDIF 文件的新增、修改、删除都必须重启idmd才能生效。默认用户与访问控制idmd默认不携带任何用户且匿名绑定默认被禁用。你需要显式地创建服务用户或启用本地匿名绑定见下一节。四、添加服务用户为 LDAP 访问提供认证凭据由于默认禁用匿名绑定客户端要访问目录必须先通过bind认证。有两种方式方式一为本地请求启用匿名绑定./idmd serve --ldif-main ./ldif/ --ldap-allow-local-anonymous方式二定义服务用户推荐服务用户通过--ldif-config传入一个专用的config.ldif文件cat EOF ./config.ldif dn: cnreadonly,{{.BaseDN}} cn: readonly description: LDAP read only service user objectClass: simpleSecurityObject objectClass: organizationalRole userPassword: readonly EOF然后作为附加参数启动./idmd serve --ldif-main ./ldif/ --ldif-config ./config.ldif这里有一个关键的安全设计config.ldif仅用于服务用户的 bind 认证其中的数据绝不会出现在 search 结果中。也就是说服务用户的凭据对普通查询是“隐形”的只能用来证明“我是谁”不能作为目录数据被读取。这一点在 server/config.go 的LDIFConfig字段以及 handler 的Optionsoptions.go中都有体现——配置数据与主数据分开管理。注意dn中使用了{{.BaseDN}}模板占位符它会被实际配置的 Base DN 替换模板机制详见第五节。五、添加用户LDIF 模板与gen newusers批量生成5.1 模板化的 LDIF 数据idmd会把--ldif-main指向目录下的所有 ldif 文件按字典序加载、并作为 Go 模板解析语法遵循 Go 标准库text/template。这意味着你可以在 LDIF 中嵌入变量与函数实现自动生成和值替换。以 OpenCloud 集成的模板为例base.ldif.tmpldn: olibregraph-idm o: libregraph-idm objectClass: organization dn: ouusers,olibregraph-idm objectClass: organizationalUnit ou: users {{ range . -}} {{ if eq .Name admin -}} dn: uidadmin,ouusers,olibregraph-idm ... openCloudUUID: {{ .ID }} {{ else -}} dn: uid{{ .Name }},ousysusers,olibregraph-idm ... {{ end -}} userPassword:: {{ .Password }} {{ end -}}模板引擎的实现细节见 template.go其中内置了以下实用的模板函数模板函数说明WithCompany设置后续条目使用的 Company 值WithBaseDN设置后续条目使用的 Base DNWithMailDomain设置后续条目使用的邮件域AutoIncrement自增计数器可传入初始值formatAsBase64将字符串 Base64 编码LDIF 二进制/密码值常用formatAsFileBase64将模板目录内的文件以 Base64 内嵌进条目有 1 MiB 大小上限与目录穿越防护同时模板默认注入Company默认Default、BaseDN默认dclg,dclocal、MailDomain默认lg.local三个变量命令行传入的--ldif-template-default-mail-domain、--ldap-base-dn等参数会覆盖这些默认值。模板变量上下文还会自动填入BaseDN、Company、MailDomain并支持通过Options.TemplateExtraVars注入额外变量。5.2 用gen newusers批量创建用户IDM 提供类似 Unixnewusers的批处理命令gen newusers可从标准输入读取如下密码文件格式uid:userPassword:uidNumber:gidNumber:cn,[mail][,mailAlternateAddress...]:ignored:ignored字段含义依次为登录名、用户密码、uidNumber、gidNumber、显示名cn、逗号分隔的邮件地址列表第一个为 mail其余为 mailAlternateAddress、两个可忽略字段。例如cat EOF | ./idmd gen newusers - --min-password-strength4 ./ldif/50-users.ldif jonas:passwordOfJonas123:::Jonas Brekke,jonaslg.local:: timmothy:passwordOfTimmothy456:::Timmothy Schöwalter:: EOF命令输出的是一个LDIF 模板文件而非最终数据你可以按需修改后再放入--ldif-main目录。--min-password-strength用于指定最低密码强度评分04强度评估基于 zxcvbn 算法实现见 ldappassword.go 的EstimatePasswordStrength。完成后重启idmd使新用户生效。请注意某些属性如uid必须保持唯一。OpenCloud 仓库中有一个完整的用户/组 LDIF 示例可作参考demousers.ldif.tmpl其中展示了inetOrgPerson 自定义openCloudUser/openCloudObject对象类、openCloudUUID、openCloudUserEnabled、openCloudExternalIdentity等 OpenCloud 专用属性以及groupOfNames组与member引用的写法。六、替换现有 OpenLDAP无缝迁移路径IDM 的定位是“现有 LDAP 服务器的只读替代品”因此从 OpenLDAP 迁移非常直接在旧 LDAP 服务器上使用slapcat导出全部数据slapcat ./ldif/10-main.ldif将该 ldif 文件作为--ldif-main的数据源启动idmd。原文档明确说明这是 drop-in 替换OpenLDAP 里的所有数据现在都存在于 IDM 中。迁移期间有两种切换方式停止slapd并把 IDM 的监听地址配置到原来slapd监听的端口或者保持slapd不变先把客户端指向idmd的监听地址再择机下线旧服务。由于 IDM 从内存索引提供服务导出的 LDIF 数据量应与内存占用做合理评估迁移后客户端所有查询包括基于cn、uid、mail等索引属性的过滤都能正常工作。七、安全密码哈希gen passwd与 ARGON2IDM 原生支持ARGON2安全密码哈希。生成方式有两种通过gen newusers批量生成哈希随用户条目一起产出通过交互式gen passwd用法与 OpenLDAP 的slappasswd非常相似$ ./idmd gen passwd New password: Re-enter new password: {ARGON2}$argon2id$v19$m65536,t1,p2$MaB5gX2BI484dATbGFyEIg$h2X8rbPowzZ/Exsz4W20Z/Zk54C30YnYYbivSIRpcI输出格式为{ARGON2}前缀 $argon2id$v19$m...,t...,p...$salt$hash标准编码。在 ldappassword.go 中可以看到哈希实现Hash()对{ARGON2}调用argon2id.CreateHash默认参数来自argon2id.DefaultParams内存 64 MiB、1 次迭代、2 个并行线程即m65536,t1,p2与示例输出一致。校验侧Validate()同文件 L23-L93支持多种口令方案{ARGON2}argon2id 比对{CRYPT}传统 crypt含 glibc$id$salt$hash格式{SSHA}带盐 SHA-1BASE64(SHA-1(password salt) salt)4 字节盐无前缀明文直接比对。所有比对均使用crypto/subtle.ConstantTimeCompare进行常量时间比较避免时序侧信道。八、用标准 LDAP 工具测试 IDM由于idmd暴露的是标准 LDAP 接口任何标准 LDAP 客户端工具都能直接使用。在 Debian/Ubuntu 系系统上安装apt install ldap-utils然后使用ldapsearch进行匿名搜索测试ldapsearch -x -H ldap://127.0.0.1:10389 -b dclg,dclocal -D cnreadonly,dclg,dclocal -w readonly这里-D指定了绑定 DN即第四节创建的服务用户-w指定密码。该命令会以cnreadonly身份绑定后搜索整个dclg,dclocal子树并返回全部条目。你也可以结合-b指定更窄的搜索基、或追加过滤器如(uidjonas)来验证索引过滤行为。九、OpenCloud 中的 IDM端口、权限模型与证书轮换理解了 IDM 的通用用法后再看它在 OpenCloud 中的具体落地详见 services/idm/README.md监听端口默认9235LDAPSTLS 保护。默认配置下只接受 TLS 连接源码 server.go 显示当IDM_LDAPS_ADDR非空时才会启用 LDAPS 监听并加载证书而内部明文端口为127.0.0.1:9236见 defaultconfig.go。Base DNolibregraph-idm与独立 IDM 的dclg,dclocal不同OpenCloud 集成版本做了定制。写入权限仅授予单个用户uidlibregraph,ousysusers,olibregraph-idm其他已认证用户均为只读访问——这与 IDM 的“只读替代品”定位一脉相承。数据存储OpenCloud 集成版本不再使用纯 LDIF 内存数据而是将数据引导bootstrap进boltdb文件idm/idm.boltdb位于 OpenCloud 基础数据目录下。从 server.go 可见若数据库文件不存在会先执行 bootstrap将 base.ldif.tmpl 中的模板渲染并写入再启动服务器。证书内部 LDAP 证书与私钥存放为ldap.crt与ldap.keyIDM 数据目录内默认 12 个月过期。证书过期后IDM 将无法建立有效的 TLS 连接依赖 LDAP 的请求可能返回500 Internal Server Error。证书轮换方法删除过期证书后重启 OpenCloud 容器证书会在容器启动时自动重新生成cd .opencloud/idm rm ldap.crt ldap.key docker compose restart注意此处命令涉及删除文件仅适用于你本机的容器数据目录不要对仓库内文件执行删除操作。OpenCloud 侧的关键配置项OpenCloud 的 IDM 服务配置集中在 config.go核心参数如下配置项环境变量说明idm.ldaps_addrIDM_LDAPS_ADDRLDAPS 监听地址ip:portidm.cert/idm.keyIDM_LDAPS_CERT/IDM_LDAPS_KEYTLS 证书与私钥文件名未设置时默认从$OC_BASE_DATA_PATH/idm推导idm.databaseIDM_DATABASE_PATHIDM 后端数据库boltdb完整路径create_demo_usersIDM_CREATE_DEMO_USERS是否创建演示用户demo_users_issuer_urlOC_URL/OC_OIDC_ISSUER分配给演示用户的 OIDC issuer URLservice_user_passwords.admin_passwordIDM_ADMIN_PASSWORDOpenCloudadmin用户密码明文或 argon2id 哈希service_user_passwords.idm_passwordIDM_SVC_PASSWORDidm服务用户密码service_user_passwords.reva_passwordIDM_REVASVC_PASSWORDreva服务用户密码service_user_passwords.idp_passwordIDM_IDPSVC_PASSWORDidp服务用户密码admin_user_idOC_ADMIN_USER_ID/IDM_ADMIN_USER_ID获得管理员权限的用户 ID注意服务用户密码均支持“明文或 argon2id 哈希”两种形式恰好对应了gen passwd产出的{ARGON2}哈希——你可以在生产环境直接使用哈希而非明文。十、总结与适用边界LibreGraph IDM 是一套理念清晰、实现克制的身份目录方案适用没有现成 LDAP 的小型 OpenCloud/LibreGraph 部署需要将 LDAP 客户端数据快速迁移进一个无外部依赖目录服务的中小型场景不适用对 schema 校验、复杂对象类层次、大规模写入或第三方通用 LDAP 生态有强依赖的场景——此时应选择 OpenLDAP 或外部 IdM操作要点数据以 LDIF可模板化为唯一事实来源修改后必须重启服务用户凭据只用于 bind、不回显于搜索密码哈希优先使用 ARGON2生产环境务必关注 TLS 证书的 12 个月过期周期。借助 idmd 源码、OpenCloud 集成服务以及仓库内的 LDIF 模板示例你可以在几分钟内获得一个可运行、可验证、可迁移的轻量 LDAP 目录服务。【免费下载链接】opencloud️ OpenCloud is the open source platform for file management, sharing and collaboration. Simple and sovereign.项目地址: https://gitcode.com/GitHub_Trending/op/opencloud创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 OpenCloud 内置轻量 LDAP：LibreGraph IDM 的部署、配置与迁移实战指南
OpenCloud 内置轻量 LDAPLibreGraph IDM 的部署、配置与迁移实战指南【免费下载链接】opencloud️ OpenCloud is the open source platform for file management, sharing and collaboration. Simple and sovereign.项目地址: https://gitcode.com/GitHub_Trending/op/opencloud本文以 OpenCloud 仓库所集成的 LibreGraph Identity ManagementIDM为对象系统讲解这一零外部依赖、专为文件共享与协作场景量身定制的轻量 LDAP 服务的完整用法从源码编译idmd、通过--ldif-main与模板加载用户数据、使用gen newusers批量生成用户、借助gen passwd产出 ARGON2 安全哈希到用标准 LDAP 工具验证、以及从 OpenLDAP 无缝迁移的全部要点。读完本文你将掌握 IDM 的配置模型与底层实现原理并能在 OpenCloud 单机/小规模部署中独立完成用户与组的数据供给。一、IDM 是什么面向小型部署的“够用型”LDAP 服务器LibreGraph Identity ManagementIDM是 libregraph/idm 项目提供的身份管理组件其定位非常明确提供一个易于配置、没有外部依赖的 LDAP 服务器并与 LibreGraph 生态包括 OpenCloud完美协作。凡是还没有 LDAP 服务器、或需要一个 LDAP 服务器的场景都可以直接使用 IDM。从设计上看IDM 是现有 LDAP 服务器的只读替代品drop-in replacement它以 LDIF 文件作为数据源内置硬编码的索引hard coded indexes支持 LDAP 的search、bind、unbind操作足以支撑客户端对用户/组目录的查询与认证需求。在 OpenCloud 项目中IDM 以独立微服务的形式被集成见 services/idm/README.md是默认配置的一部分作为存储用户与组信息的中心位置。其服务定位明确针对小型 OpenCloud 安装对于更大规模的生产环境官方建议替换为“真正”的 LDAP 服务器如 OpenLDAP或接入外部身份管理解决方案。功能边界有意的克制从源码与文档可以确认IDM 是一个有意识保持克制的实现而非通用 LDAP 服务器支持的操作是 LDAP 的子集BIND、SEARCH、ADD、MODIFY、DELETE不做 schema 校验不区分 structural / auxiliary 对象类不校验必选/可选属性也不做语法检查索引是硬编码的定义在 index.go 中覆盖了cn、sn、givenName、mail、uid、uidNumber、gidNumber、memberUid、uniqueMember、ou、entryUUID、objectClass等常用属性并额外为 AD 场景预留了objectGUID、objectSID、samAccountName等索引。因此IDM 的正确使用姿势是为 OpenCloud 等自有软件提供内置的身份目录而不是把它当作承载第三方复杂 LDAP 数据模型的通用目录服务。二、快速开始从源码构建并运行 idmd在官方发布更多平台的安装包与容器之前从源码构建是最直接的运行方式。IDM 仓库根目录的 Makefile 提供了完整的构建入口只需执行$ make即可编译出idmd可执行文件。Makefile 会通过go build -modvendor以 vendor 模式编译cmd/下的命令产物输出到bin/目录。IDM 采用“环境变量 命令行参数”混合的配置方式启动时至少需要传入一个 LDIF 文件路径或一个包含多个 LDIF 文件的目录$ ./idmd serve --ldif-main ./export.ldif INFO[0000] LDAP listener started listen_addr127.0.0.1:10389 INFO[0000] ready启动成功后idmd默认监听127.0.0.1:10389明文 LDAP并输出ready日志表示服务可用。这背后的服务端配置结构体见 server/config.goLDAPListenAddr、LDAPSListenAddr、TLSCertFile、TLSKeyFile、LDAPBaseDN、LDAPAdminDN、LDAPAllowLocalAnonymousBind、BoltDBFile、LDIFMain、LDIFConfig、LDIFDefaultCompany、LDIFDefaultMailDomain、LDIFTemplateExtraVars等字段一一对应着可用的启动参数与数据源配置。三、核心配置Base DN、邮件域与数据源默认 Base DN 与邮件域IDM 的默认 Base DN 为dclg,dclocal默认邮件域为lg.local。这两个默认值在源码 defaults.go 中定义DefaultLDAPBaseDN dclg,dclocal DefaultMailDomain lg.local原文档的提醒值得注意通常无需修改 Base DN除非你要把这份 LDAP 数据用于其他系统——此时必须保证 Base DN 与客户端配置完全一致。同理邮件域也需要与客户端预期匹配。两个值分别通过以下参数修改./idmd serve --ldif-main ./ldif/ --ldap-base-dn dcexample,dccom --ldif-template-default-mail-domain example.comLDIF 数据源IDM 使用 LDIF 文件作为数据源启动时必须通过--ldif-main指定其位置可以是一个单独的 ldif 文件也可以是一个包含多个 ldif 文件的目录目录下的文件会按字典序lexical order加载并作为 Go 模板解析模板能力见第五节。数据加载逻辑位于 ldif handlerNewLDIFHandler会校验文件路径与 Base DN 非空、将路径转换为绝对路径并通过ldapdn.ParseNormalize归一化 Base DN 与 Admin DN。原始 LDIF 数据在启动时被解析进内存索引index.go中的索引结构因此任何 LDIF 文件的新增、修改、删除都必须重启idmd才能生效。默认用户与访问控制idmd默认不携带任何用户且匿名绑定默认被禁用。你需要显式地创建服务用户或启用本地匿名绑定见下一节。四、添加服务用户为 LDAP 访问提供认证凭据由于默认禁用匿名绑定客户端要访问目录必须先通过bind认证。有两种方式方式一为本地请求启用匿名绑定./idmd serve --ldif-main ./ldif/ --ldap-allow-local-anonymous方式二定义服务用户推荐服务用户通过--ldif-config传入一个专用的config.ldif文件cat EOF ./config.ldif dn: cnreadonly,{{.BaseDN}} cn: readonly description: LDAP read only service user objectClass: simpleSecurityObject objectClass: organizationalRole userPassword: readonly EOF然后作为附加参数启动./idmd serve --ldif-main ./ldif/ --ldif-config ./config.ldif这里有一个关键的安全设计config.ldif仅用于服务用户的 bind 认证其中的数据绝不会出现在 search 结果中。也就是说服务用户的凭据对普通查询是“隐形”的只能用来证明“我是谁”不能作为目录数据被读取。这一点在 server/config.go 的LDIFConfig字段以及 handler 的Optionsoptions.go中都有体现——配置数据与主数据分开管理。注意dn中使用了{{.BaseDN}}模板占位符它会被实际配置的 Base DN 替换模板机制详见第五节。五、添加用户LDIF 模板与gen newusers批量生成5.1 模板化的 LDIF 数据idmd会把--ldif-main指向目录下的所有 ldif 文件按字典序加载、并作为 Go 模板解析语法遵循 Go 标准库text/template。这意味着你可以在 LDIF 中嵌入变量与函数实现自动生成和值替换。以 OpenCloud 集成的模板为例base.ldif.tmpldn: olibregraph-idm o: libregraph-idm objectClass: organization dn: ouusers,olibregraph-idm objectClass: organizationalUnit ou: users {{ range . -}} {{ if eq .Name admin -}} dn: uidadmin,ouusers,olibregraph-idm ... openCloudUUID: {{ .ID }} {{ else -}} dn: uid{{ .Name }},ousysusers,olibregraph-idm ... {{ end -}} userPassword:: {{ .Password }} {{ end -}}模板引擎的实现细节见 template.go其中内置了以下实用的模板函数模板函数说明WithCompany设置后续条目使用的 Company 值WithBaseDN设置后续条目使用的 Base DNWithMailDomain设置后续条目使用的邮件域AutoIncrement自增计数器可传入初始值formatAsBase64将字符串 Base64 编码LDIF 二进制/密码值常用formatAsFileBase64将模板目录内的文件以 Base64 内嵌进条目有 1 MiB 大小上限与目录穿越防护同时模板默认注入Company默认Default、BaseDN默认dclg,dclocal、MailDomain默认lg.local三个变量命令行传入的--ldif-template-default-mail-domain、--ldap-base-dn等参数会覆盖这些默认值。模板变量上下文还会自动填入BaseDN、Company、MailDomain并支持通过Options.TemplateExtraVars注入额外变量。5.2 用gen newusers批量创建用户IDM 提供类似 Unixnewusers的批处理命令gen newusers可从标准输入读取如下密码文件格式uid:userPassword:uidNumber:gidNumber:cn,[mail][,mailAlternateAddress...]:ignored:ignored字段含义依次为登录名、用户密码、uidNumber、gidNumber、显示名cn、逗号分隔的邮件地址列表第一个为 mail其余为 mailAlternateAddress、两个可忽略字段。例如cat EOF | ./idmd gen newusers - --min-password-strength4 ./ldif/50-users.ldif jonas:passwordOfJonas123:::Jonas Brekke,jonaslg.local:: timmothy:passwordOfTimmothy456:::Timmothy Schöwalter:: EOF命令输出的是一个LDIF 模板文件而非最终数据你可以按需修改后再放入--ldif-main目录。--min-password-strength用于指定最低密码强度评分04强度评估基于 zxcvbn 算法实现见 ldappassword.go 的EstimatePasswordStrength。完成后重启idmd使新用户生效。请注意某些属性如uid必须保持唯一。OpenCloud 仓库中有一个完整的用户/组 LDIF 示例可作参考demousers.ldif.tmpl其中展示了inetOrgPerson 自定义openCloudUser/openCloudObject对象类、openCloudUUID、openCloudUserEnabled、openCloudExternalIdentity等 OpenCloud 专用属性以及groupOfNames组与member引用的写法。六、替换现有 OpenLDAP无缝迁移路径IDM 的定位是“现有 LDAP 服务器的只读替代品”因此从 OpenLDAP 迁移非常直接在旧 LDAP 服务器上使用slapcat导出全部数据slapcat ./ldif/10-main.ldif将该 ldif 文件作为--ldif-main的数据源启动idmd。原文档明确说明这是 drop-in 替换OpenLDAP 里的所有数据现在都存在于 IDM 中。迁移期间有两种切换方式停止slapd并把 IDM 的监听地址配置到原来slapd监听的端口或者保持slapd不变先把客户端指向idmd的监听地址再择机下线旧服务。由于 IDM 从内存索引提供服务导出的 LDIF 数据量应与内存占用做合理评估迁移后客户端所有查询包括基于cn、uid、mail等索引属性的过滤都能正常工作。七、安全密码哈希gen passwd与 ARGON2IDM 原生支持ARGON2安全密码哈希。生成方式有两种通过gen newusers批量生成哈希随用户条目一起产出通过交互式gen passwd用法与 OpenLDAP 的slappasswd非常相似$ ./idmd gen passwd New password: Re-enter new password: {ARGON2}$argon2id$v19$m65536,t1,p2$MaB5gX2BI484dATbGFyEIg$h2X8rbPowzZ/Exsz4W20Z/Zk54C30YnYYbivSIRpcI输出格式为{ARGON2}前缀 $argon2id$v19$m...,t...,p...$salt$hash标准编码。在 ldappassword.go 中可以看到哈希实现Hash()对{ARGON2}调用argon2id.CreateHash默认参数来自argon2id.DefaultParams内存 64 MiB、1 次迭代、2 个并行线程即m65536,t1,p2与示例输出一致。校验侧Validate()同文件 L23-L93支持多种口令方案{ARGON2}argon2id 比对{CRYPT}传统 crypt含 glibc$id$salt$hash格式{SSHA}带盐 SHA-1BASE64(SHA-1(password salt) salt)4 字节盐无前缀明文直接比对。所有比对均使用crypto/subtle.ConstantTimeCompare进行常量时间比较避免时序侧信道。八、用标准 LDAP 工具测试 IDM由于idmd暴露的是标准 LDAP 接口任何标准 LDAP 客户端工具都能直接使用。在 Debian/Ubuntu 系系统上安装apt install ldap-utils然后使用ldapsearch进行匿名搜索测试ldapsearch -x -H ldap://127.0.0.1:10389 -b dclg,dclocal -D cnreadonly,dclg,dclocal -w readonly这里-D指定了绑定 DN即第四节创建的服务用户-w指定密码。该命令会以cnreadonly身份绑定后搜索整个dclg,dclocal子树并返回全部条目。你也可以结合-b指定更窄的搜索基、或追加过滤器如(uidjonas)来验证索引过滤行为。九、OpenCloud 中的 IDM端口、权限模型与证书轮换理解了 IDM 的通用用法后再看它在 OpenCloud 中的具体落地详见 services/idm/README.md监听端口默认9235LDAPSTLS 保护。默认配置下只接受 TLS 连接源码 server.go 显示当IDM_LDAPS_ADDR非空时才会启用 LDAPS 监听并加载证书而内部明文端口为127.0.0.1:9236见 defaultconfig.go。Base DNolibregraph-idm与独立 IDM 的dclg,dclocal不同OpenCloud 集成版本做了定制。写入权限仅授予单个用户uidlibregraph,ousysusers,olibregraph-idm其他已认证用户均为只读访问——这与 IDM 的“只读替代品”定位一脉相承。数据存储OpenCloud 集成版本不再使用纯 LDIF 内存数据而是将数据引导bootstrap进boltdb文件idm/idm.boltdb位于 OpenCloud 基础数据目录下。从 server.go 可见若数据库文件不存在会先执行 bootstrap将 base.ldif.tmpl 中的模板渲染并写入再启动服务器。证书内部 LDAP 证书与私钥存放为ldap.crt与ldap.keyIDM 数据目录内默认 12 个月过期。证书过期后IDM 将无法建立有效的 TLS 连接依赖 LDAP 的请求可能返回500 Internal Server Error。证书轮换方法删除过期证书后重启 OpenCloud 容器证书会在容器启动时自动重新生成cd .opencloud/idm rm ldap.crt ldap.key docker compose restart注意此处命令涉及删除文件仅适用于你本机的容器数据目录不要对仓库内文件执行删除操作。OpenCloud 侧的关键配置项OpenCloud 的 IDM 服务配置集中在 config.go核心参数如下配置项环境变量说明idm.ldaps_addrIDM_LDAPS_ADDRLDAPS 监听地址ip:portidm.cert/idm.keyIDM_LDAPS_CERT/IDM_LDAPS_KEYTLS 证书与私钥文件名未设置时默认从$OC_BASE_DATA_PATH/idm推导idm.databaseIDM_DATABASE_PATHIDM 后端数据库boltdb完整路径create_demo_usersIDM_CREATE_DEMO_USERS是否创建演示用户demo_users_issuer_urlOC_URL/OC_OIDC_ISSUER分配给演示用户的 OIDC issuer URLservice_user_passwords.admin_passwordIDM_ADMIN_PASSWORDOpenCloudadmin用户密码明文或 argon2id 哈希service_user_passwords.idm_passwordIDM_SVC_PASSWORDidm服务用户密码service_user_passwords.reva_passwordIDM_REVASVC_PASSWORDreva服务用户密码service_user_passwords.idp_passwordIDM_IDPSVC_PASSWORDidp服务用户密码admin_user_idOC_ADMIN_USER_ID/IDM_ADMIN_USER_ID获得管理员权限的用户 ID注意服务用户密码均支持“明文或 argon2id 哈希”两种形式恰好对应了gen passwd产出的{ARGON2}哈希——你可以在生产环境直接使用哈希而非明文。十、总结与适用边界LibreGraph IDM 是一套理念清晰、实现克制的身份目录方案适用没有现成 LDAP 的小型 OpenCloud/LibreGraph 部署需要将 LDAP 客户端数据快速迁移进一个无外部依赖目录服务的中小型场景不适用对 schema 校验、复杂对象类层次、大规模写入或第三方通用 LDAP 生态有强依赖的场景——此时应选择 OpenLDAP 或外部 IdM操作要点数据以 LDIF可模板化为唯一事实来源修改后必须重启服务用户凭据只用于 bind、不回显于搜索密码哈希优先使用 ARGON2生产环境务必关注 TLS 证书的 12 个月过期周期。借助 idmd 源码、OpenCloud 集成服务以及仓库内的 LDIF 模板示例你可以在几分钟内获得一个可运行、可验证、可迁移的轻量 LDAP 目录服务。【免费下载链接】opencloud️ OpenCloud is the open source platform for file management, sharing and collaboration. Simple and sovereign.项目地址: https://gitcode.com/GitHub_Trending/op/opencloud创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考