theanurin/openldap Docker 镜像 - 轩辕镜像 | Docker 镜像高效稳定拉取服务

OpenLDAP (+ Let's Encrypt)

OpenLDAP 是轻量级目录访问协议（Lightweight Directory Access Protocol）的开源实现。

镜像特点

• 支持Let's Encrypt SSL证书自动生成（启动时），提供安全端点
• 生产环境易于更新（仅需重新创建容器）
• 镜像部署简单

规格说明

环境变量

• SLAPD_DEBUG_LEVEL - slapd调试级别（-1表示启用所有调试）。详见调试级别表。
• SSL_CERT_EXPIRE_TIMEOUT - 证书过期检查超时时间（秒）。默认值：86400
• CONFIG_LEGO_DOMAIN - 启用Lego并定义OpenLDAP服务器域名
  • CONFIG_LEGO_DOMAIN_2、CONFIG_LEGO_DOMAIN_3、CONFIG_LEGO_DOMAIN_4、CONFIG_LEGO_DOMAIN_5 - 额外域名
  • CONFIG_LEGO_EMAIL - LEGO账户***
  • CONFIG_LEGO_CHALLENGE_HTTP_01 - 设置为true启用HTTP-01挑战验证。确保容器可从互联网通过80端口访问，并绑定到CONFIG_LEGO_DOMAIN定义的域名
  • CONFIG_LEGO_CHALLENGE_TLS_ALPN_01 - 设置为true启用TLS-ALPN-01挑战验证。确保容器可从互联网通过443端口访问，并绑定到CONFIG_LEGO_DOMAIN定义的域名
  • CONFIG_LEGO_CHALLENGE_DNS_01_PROVIDER - 设置为以下值之一启用DNS-01挑战验证

DNS-01挑战验证器：exec

shell
CONFIG_LEGO_CHALLENGE_DNS_01_PROVIDER="exec"
CONFIG_LEGO_CHALLENGE_DNS_01_RESOLVERS="ns313.inhostedns.org,ns213.inhostedns.net,ns113.inhostedns.com"
EXEC_PATH="/opt/dns-01-solvers/tools.adm.py"
EXEC_POLLING_INTERVAL=30
EXEC_PROPAGATION_TIMEOUT=600
ADM_TOOLS_API_LOGIN="***"
ADM_TOOLS_API_TOKEN=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
ADM_TOOLS_ROOT_DOMAINS="example.org"

DNS-01挑战验证器：cloudflare

shell
CONFIG_LEGO_CHALLENGE_DNS_01_PROVIDER="cloudflare"
CONFIG_LEGO_CHALLENGE_DNS_01_RESOLVERS="arely.ns.cloudflare.com,cameron.ns.cloudflare.com"
CLOUDFLARE_DNS_API_TOKEN=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
CLOUDFLARE_ZONE_API_TOKEN=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

暴露端口

• tcp/80 - 用于ACME挑战的不安全HTTP端点（使用[***]
• tcp/389 - 不安全LDAP端点（使用ldap://）
• tcp/443 - 用于ACME挑战的安全HTTP端点（使用[***]
• tcp/636 - 安全LDAP端点（使用ldaps://）

卷挂载

• /data/etc - 配置文件存储
• /data/etc/slapd-init.d - 放置LDIF文件，新实例将通过slapadd一次性部署（适合配置OpenLDAP模块、模式等，但不适合数据库增量更新，详见说明）
• /data/db - LDAP数据库存储

默认值

• RootDN: cn=config
• RootPW: openldap

镜像内容

• slapd - 独立LDAP守护进程（服务器）
  • 后端：
    • ldap - OpenLDAP ldap后端
    • mdb - OpenLDAP mdb后端
    • null - OpenLDAP null后端
  • 覆盖层：
    • memberof - OpenLDAP memberof覆盖层
    • refint - OpenLDAP refint覆盖层
    • syncprov - OpenLDAP syncprov覆盖层
• 库文件 - 实现LDAP协议
• 实用工具、工具和示例客户端
• LEGO - Let's Encrypt客户端和ACME库（Go语言编写）
• 自定义DNS-01挑战解析脚本：
  1. tools.adm.py - 适用于Hosting ***

启动方法

无SSL（适用于本地使用）

shell
docker run --rm --interactive --tty \
  --publish 389:389 \
  --ulimit nofile=1024:1024 \
  --env SLAPD_DEBUG_LEVEL=-1 \
  theanurin/openldap

详见快速入门指南。

使用ACME挑战HTTP_01

注意：容器的80端口需对互联网开放，并绑定到CONFIG_LEGO_DOMAIN定义的域名。

shell
export CONFIG_LEGO_OPTS="--server=[***]" # ACME生产环境可省略此行
export CONFIG_LEGO_DOMAIN="ldap.example.org"
export CONFIG_LEGO_EMAIL="***"
export CONFIG_LEGO_CHALLENGE_HTTP_01="true"

mkdir ldap-etc.local ldap-db.local

docker run --rm --interactive --tty \
  --env CONFIG_LEGO_OPTS --env CONFIG_LEGO_DOMAIN --env CONFIG_LEGO_EMAIL \
  --env CONFIG_LEGO_CHALLENGE_HTTP_01 \
  --ulimit nofile=1024:1024 \
  --mount "type=bind,source=$PWD/ldap-etc.local,target=/data/etc" \
  --mount "type=bind,source=$PWD/ldap-db.local,target=/data/db" \
  --publish 0.0.0.0:80:80 \
  --publish 127.0.0.1:389:389 \
  --publish 0.0.0.0:636:636 \
  theanurin/openldap

使用ACME挑战TLS_ALPN_01

注意：容器的443端口需对互联网开放，并绑定到CONFIG_LEGO_DOMAIN定义的域名。

shell
export CONFIG_LEGO_OPTS="--server=[***]" # ACME生产环境可省略此行
export CONFIG_LEGO_DOMAIN="ldap.example.org"
export CONFIG_LEGO_EMAIL="***"
export CONFIG_LEGO_CHALLENGE_TLS_ALPN_01="true"

mkdir ldap-etc.local ldap-db.local

docker run --rm --interactive --tty \
  --env CONFIG_LEGO_OPTS --env CONFIG_LEGO_DOMAIN --env CONFIG_LEGO_EMAIL \
  --env CONFIG_LEGO_CHALLENGE_TLS_ALPN_01 \
  --ulimit nofile=1024:1024 \
  --mount "type=bind,source=$PWD/ldap-etc.local,target=/data/etc" \
  --mount "type=bind,source=$PWD/ldap-db.local,target=/data/db" \
  --publish 127.0.0.1:389:389 \
  --publish 0.0.0.0:443:443 \
  --publish 0.0.0.0:636:636 \
  theanurin/openldap

使用ACME挑战DNS_01

注意：当无法暴露ACME Web服务器端口时，DNS_01是理想选择。若使用非知名DNS提供商，需编写自定义解析脚本。详见LEGO的DNS提供商。

Cloudflare

shell
export CONFIG_LEGO_OPTS="--server=[***]" # ACME生产环境可省略此行
export CONFIG_LEGO_DOMAIN="ldap.example.org"
export CONFIG_LEGO_EMAIL="***"
export CONFIG_LEGO_CHALLENGE_DNS_01_PROVIDER="cloudflare"
export CONFIG_LEGO_CHALLENGE_DNS_01_RESOLVERS="arely.ns.cloudflare.com,cameron.ns.cloudflare.com"

export CLOUDFLARE_DNS_API_TOKEN=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
export CLOUDFLARE_ZONE_API_TOKEN=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

mkdir openldap-etc.local openldap-db.local

docker run --rm --interactive --tty \
  --env CONFIG_LEGO_OPTS --env CONFIG_LEGO_DOMAIN --env CONFIG_LEGO_EMAIL \
  --env CONFIG_LEGO_CHALLENGE_DNS_01_PROVIDER --env CONFIG_LEGO_CHALLENGE_DNS_01_RESOLVERS \
  --env CLOUDFLARE_EMAIL --env CLOUDFLARE_DNS_API_TOKEN --env CLOUDFLARE_ZONE_API_TOKEN \
  --ulimit nofile=1024:1024 \
  --mount "type=bind,source=$PWD/openldap-etc.local,target=/data/etc" \
  --mount "type=bind,source=$PWD/openldap-db.local,target=/data/db" \
  --publish 127.0.0.1:389:389 \
  --publish 0.0.0.0:636:636 \
  theanurin/openldap

自定义解析器tools.adm.py

shell
export CONFIG_LEGO_OPTS="--server=[***]" # ACME生产环境可省略此行
export CONFIG_LEGO_DOMAIN="ldap.example.org"
export CONFIG_LEGO_EMAIL="***"
export CONFIG_LEGO_CHALLENGE_DNS_01_PROVIDER="exec"
export CONFIG_LEGO_CHALLENGE_DNS_01_RESOLVERS="ns313.inhostedns.org,ns213.inhostedns.net,ns113.inhostedns.com"
export EXEC_POLLING_INTERVAL=30
export EXEC_PROPAGATION_TIMEOUT=600
export EXEC_PATH="/opt/dns-01-solvers/tools.adm.py"
export ADM_TOOLS_ROOT_DOMAINS="example.org"
export ADM_TOOLS_API_TOKEN_FILE=/run/secrets/admtools_token

mkdir ldap-etc.local ldap-db.local

docker run --rm --interactive --tty \
  --env CONFIG_LEGO_OPTS --env CONFIG_LEGO_DOMAIN --env CONFIG_LEGO_EMAIL \
  --env CONFIG_LEGO_CHALLENGE_DNS_01_PROVIDER --env CONFIG_LEGO_CHALLENGE_DNS_01_RESOLVERS \
  --env EXEC_PATH --env EXEC_POLLING_INTERVAL --env EXEC_PROPAGATION_TIMEOUT \
  --env ADM_TOOLS_ROOT_DOMAINS --env ADM_TOOLS_API_TOKEN_FILE \
  --ulimit nofile=1024:1024 \
  --mount "type=bind,source=$PWD/ldap-etc.local,target=/data/etc" \
  --mount "type=bind,source=$PWD/ldap-db.local,target=/data/db" \
  --mount "type=bind,source=/path/to/admtools_token,target=/run/secrets/admtools_token" \
  --publish 127.0.0.1:389:389 \
  --publish 0.0.0.0:636:636 \
  theanurin/openldap

支持信息

• 维护者：Max Anurin
• 帮助获取：***