Включение SSL в репликации OpenLDAP

Можете объяснить, как я могу изменить текущую конфигурацию для olcSyncRepl?

У меня следующая ситуация:

1. Я настроил главный LDAP-сервер и подчиненный сервер
2. Я настроил репликацию между этими двумя серверами (все работает)
3. У меня есть следующая конфигурация для подчиненного клиента:

dn: olcDatabase={2}hdb,cn=config
changetype: modify
add: olcSyncRepl
olcSyncRepl: rid=001
  provider=ldap://10.101.11.130:389/
  bindmethod=simple
  binddn="uid=rpuser,dc=itzgeek,dc=local"
  credentials=root1234
  searchbase="dc=itzgeek,dc=local"
  scope=sub
  schemachecking=on
  type=refreshAndPersist
  retry="30 5 300 3"
  interval=00:00:05:00

И я хочу добавить:

1. Учетные данные не в виде простого текста (хочу добавить {SSHA}….)
2. Добавить сертификаты (я также включил ldaps с самоподписанными сертификатами .crt и .key)

Я хотел бы получить советы о том, как безопасно это настроить и изменить. Я не хочу портить текущие настройки сервера. Например, как я могу изменить IP-адрес текущего главного сервера? Если кто-то ответит, я смогу протестировать остальные изменения настроек.

PS

Я знаю, что можно модифицировать файлы в /etc/openldap/slapd.d/cn=config, но можете ли вы рассказать, как я могу использовать файлы LDIF и ldapi для обновления конфигурации?

В качестве примера я публикую директивы syncrepl, используемые в Æ-DIR:

olcSyncrepl: rid=001
  provider=ldaps://ae-dir-p1.example.com
  bindmethod=sasl
  saslmech=EXTERNAL
  starttls=no
  tls_cert="/opt/ae-dir/etc/tls/ae-dir-c1.example.com.crt"
  tls_key="/opt/ae-dir/etc/tls/ae-dir-c1.example.com.key"
  tls_cacert="/opt/ae-dir/etc/tls/my-ae-dir-testca-2017-06.pem"
  tls_reqcert=demand
  crlcheck=none
  filter="(objectClass=*)"
  searchbase="dc=ae-dir,dc=example,dc=org"
  scope=sub
  schemachecking=on
  type=refreshAndPersist
  retry="30 +"

Прежде всего, вы не должны использовать IP-адрес в LDAP URL для provider=. Вместо этого получите корректно выданный TLS-сертификат сервера для имени хоста, и тогда OpenLDAP slapd выполнит корректную проверку TLS-имени хоста, чтобы предотвратить атаки MITM (см. RFC 6125).

Я предполагаю, что у вас настроен TLS на ваших провайдерских и клиентских инстанциях. Указанная выше конфигурация syncrepl использует уже настроенный TLS серверный сертификат также в качестве TLS клиентского сертификата для репликации.

В случае TLS-клиентских сертификатов результирующая идентификация (authc-DN) — это DN субъекта в клиентском сертификате. Вы можете захотеть сопоставить это с идентификацией авторизации (authz-DN) существующей записи LDAP. Это может быть достигнуто путем добавления olcAuthzRegexp в cn=config следующим образом:

olcAuthzRegexp:
  "(cn=[^,]+,OU=ITS,O=My Org)"
  "ldap:///dc=ae-dir,dc=example,dc=org??sub?(&(objectClass=pkiUser)(seeAlso=$1)(seeAlso:dnSubordinateMatch:=OU=ITS,O=My Org)(aeStatus=0))"

С помощью вышеуказанного DN субъекта, оканчивающегося на OU=ITS,O=My Org, будет сопоставлено с записью LDAP с классом объекта pkiUser с DN субъекта клиентского сертификата, хранящегося в атрибуте seeAlso, например:

dn: uid=ae-dir-slapd_ae-dir-deb-c1,cn=ae,dc=ae-dir,dc=example,dc=org
aeStatus: 0
cn: ae-dir-slapd_ae-dir-deb-c1
memberOf: cn=ae-replicas,cn=ae,dc=ae-dir,dc=example,dc=org
objectClass: account
objectClass: aeObject
objectClass: aeService
objectClass: pkiUser
objectClass: posixAccount
seeAlso: cn=ae-dir-c1.example.com,OU=ITS,O=My Org
[..]

Вы можете затем правильно авторизовать эту пользовательскую сервисную запись, в приведенном выше примере через LDAP группу ae-replicas.