dinkel/openldap

docker-openldap

镜像概述和主要用途

该镜像基于Debian稳定版（当前为"stretch"）构建，受https://registry.hub.docker.com/u/cnry/openldap/%E5%90%AF%E5%8F%91%EF%BC%8C%E9%85%8D%E7%BD%AE%E6%9B%B4%E5%AE%8C%E6%95%B4%E4%B8%94%E7%AE%80%E6%B4%81%E3%80%82%E8%AE%BE%E8%AE%A1%E5%88%9D%E8%A1%B7%E6%98%AF%E4%BD%9C%E4%B8%BADocker%E5%86%85%E9%83%A8%E6%9C%8D%E5%8A%A1%EF%BC%8C%E9%80%9A%E8%BF%87%60--link%60%E9%80%89%E9%A1%B9%E4%BE%9B%E5%85%B6%E4%BB%96%E5%AE%B9%E5%99%A8%E7%9B%B4%E6%8E%A5%E4%BD%BF%E7%94%A8%EF%BC%8C%E5%9B%A0%E6%AD%A4%E4%B8%8D%E6%8F%90%E4%BE%9BTLS/SSL%E5%AE%89%E5%85%A8%E9%80%9A%E9%81%93%EF%BC%88%E4%B8%8D%E5%BA%94%E6%9A%B4%E9%9C%B2%E5%88%B0%E4%BA%92%E8%81%94%E7%BD%91%EF%BC%89%E3%80%82%E4%B8%BB%E8%A6%81%E7%94%A8%E4%BA%8E%E5%9C%A8Docker%E7%8E%AF%E5%A2%83%E4%B8%AD%E5%BF%AB%E9%80%9F%E9%83%A8%E7%BD%B2%E5%92%8C%E8%BF%90%E8%A1%8COpenLDAP%E6%9C%8D%E5%8A%A1%E3%80%82

核心功能和特性

• 基于Debian稳定版，确保运行环境稳定可靠
• 支持通过环境变量灵活配置OpenLDAP服务
• 提供数据持久化机制，通过卷挂载保存配置和数据库
• 支持加载额外的schema和模块（如ppolicy、memberof）
• 支持数据预填充，可在首次运行时加载LDIF文件初始化数据

使用场景和适用范围

适用于Docker环境内部需要轻量级LDAP服务的场景，如：

• 开发/测试环境中的身份认证服务
• 容器化应用的用户目录服务
• 需要快速部署且配置简单的LDAP服务场景

使用方法和配置说明

基本运行方式

不推荐的简单启动方式（仅用于测试）：

bash
docker run -d -p 389:389 -e SLAPD_PASSWORD=mysecretpassword -e SLAPD_DOMAIN=ldap.example.org dinkel/openldap

推荐的运行方式（使用数据卷）

为确保数据持久化，推荐使用数据卷或数据容器：

使用数据容器

bash
docker run -d --volumes-from your-data-container [其他配置参数] dinkel/openldap

使用命名卷

bash
docker run -d --volume your-config-volume:/etc/ldap --volume your-data-volume:/var/lib/ldap [其他配置参数] dinkel/openldap

链接其他容器

其他应用容器通过--link连接OpenLDAP服务：

bash
docker run -d --link openldap:openldap image-using-openldap

--link中冒号后的openldap是服务监听的主机名，默认端口为389。

配置参数（环境变量）

首次运行时至少需设置前两个环境变量，初始化后不再生效（除非设置SLAPD_FORCE_RECONFIGURE）：

• SLAPD_PASSWORD（必填）：设置admin用户的密码
• SLAPD_DOMAIN（必填）：设置域组件（DC），如ldap.example.org会生成dc=ldap,dc=example,dc=org
• SLAPD_ORGANIZATION（默认值：$SLAPD_DOMAIN）：组织的可读名称，如Example Inc.
• SLAPD_CONFIG_PASSWORD：设置dn=config分支的访问密码，用于无中断重新配置服务
• SLAPD_ADDITIONAL_SCHEMAS：加载额外schema（逗号分隔），可选值：collective、corba、duaconf、dyngroup、java、misc、openldap、pmi、ppolicy
• SLAPD_ADDITIONAL_MODULES：加载额外模块（逗号分隔），当前支持memberof和ppolicy
• SLAPD_FORCE_RECONFIGURE（默认值：false）：设置为true可重新配置已初始化的服务

ppolicy模块配置

ppolicy模块提供增强的密码管理功能，需同时加载schema和模块：

bash
-e SLAPD_DOMAIN=ldap.example.org -e SLAPD_ADDITIONAL_SCHEMAS=ppolicy -e SLAPD_ADDITIONAL_MODULES=ppolicy

额外相关环境变量：

• SLAPD_PPOLICY_DN_PREFIX（默认值：cn=default,ou=policies）：用于olcPPolicyDefault属性的DN前缀，完整DN为$SLAPD_PPOLICY_DN_PREFIX,(dc组件部分)

添加默认密码策略

创建default-policy.ldif文件：

ldif
# 定义密码策略
dn: ou=policies,dc=ldap,dc=example,dc=org
objectClass: organizationalUnit
ou: policies

dn: cn=default,ou=policies,dc=ldap,dc=example,dc=org
objectClass: applicationProcess
objectClass: pwdPolicy
cn: default
pwdAllowUserChange: TRUE
pwdAttribute: userPassword
pwdCheckQuality: 1
# 7天
pwdExpireWarning: 604800
pwdFailureCountInterval: 0
pwdGraceAuthNLimit: 0
pwdInHistory: 5
pwdLockout: TRUE
# 30分钟
pwdLockoutDuration: 1800
# 180天
pwdMaxAge: 15552000
pwdMaxFailure: 5
pwdMinAge: 0
pwdMinLength: 6
pwdMustChange: TRUE
pwdSafeModify: FALSE

使用ldapadd命令加载（需安装LDAP客户端工具）：

bash
ldapadd -h localhost -x -c -D 'cn=admin,dc=ldap,dc=example,dc=org' -w [SLAPD_PASSWORD] -f default-policy.ldif

数据预填充

首次运行时可通过挂载目录预填充数据，将包含LDIF文件的目录挂载到/etc/ldap.dist/prepopulate，文件将按字母顺序通过slapadd执行：

bash
docker run -d --volume /path/to/ldif-files:/etc/ldap.dist/prepopulate [配置参数] dinkel/openldap

仅在数据库无数据时处理预填充文件

数据持久化

镜像暴露两个卷用于持久化：

• /etc/ldap：存储静态配置
• /var/lib/ldap：存储数据库数据

通过数据卷或数据容器保存这两个目录，确保容器重启后数据不丢失。