LDAP 认证

LDAP 认证使用外部 LDAP 服务器作为认证数据源，可以存储大量数据，同时方便与外部设备管理系统集成。

插件：

  1. emqx_auth_ldap

TIP

emqx_auth_ldap 插件同时包含 ACL 功能，可通过注释禁用。 目前版本仅支持 OpenLDAP，不支持 Microsoft Active Directory。

LDAP 配置

要启用 LDAP 认证，需要在 etc/plugins/emqx_auth_ldap.conf 中配置以下内容：

  1. # etc/plugins/emqx_auth_ldap.conf
  3. auth.ldap.servers = 127.0.0.1
  5. auth.ldap.port = 389
  7. auth.ldap.pool = 8
  9. ## ldap 的绑定专有名称(DN)
  10. auth.ldap.bind_dn = cn=root,dc=emqx,dc=io
  12. ##     ldap 的绑定密码
  13. auth.ldap.bind_password = public
  15. ## ldap 的查询超时时间
  16. auth.ldap.timeout = 30s
  18. ## ldap 的设备专有名
  19. auth.ldap.device_dn = ou=device,dc=emqx,dc=io
  21. ## ldap 的匹配对象类
  22. auth.ldap.match_objectclass = mqttUser
  24. ## ldap 的用户名属性类型
  25. auth.ldap.username.attributetype = uid
  27. ##     ldap 的密码属性类型
  28. auth.ldap.password.attributetype = userPassword
  30. ## TLS 配置项
  31. ## auth.ldap.ssl.certfile = etc/certs/cert.pem
  32. ## auth.ldap.ssl.keyfile = etc/certs/key.pem
  33. ## auth.ldap.ssl.cacertfile = etc/certs/cacert.pem
  34. ## auth.ldap.ssl.verify = verify_peer
  35. ## auth.ldap.ssl.fail_if_no_peer_cert = true

LDAP Schema

需要在 LDAP schema 目录配置数据模型，默认配置下数据模型如下：

/etc/openldap/schema/emqx.schema

  1. attributetype ( 1.3.6.1.4.1.11.2.53.2.2.3.1.2.3.1.3 NAME 'isEnabled'
  2. EQUALITY booleanMatch
  3. SYNTAX 1.3.6.1.4.1.1466.115.121.1.7
  4. SINGLE-VALUE
  5. USAGE userApplications )
  7. attributetype ( 1.3.6.1.4.1.11.2.53.2.2.3.1.2.3.4.1 NAME ( 'mqttPublishTopic' 'mpt' )
  8. EQUALITY caseIgnoreMatch
  9. SUBSTR caseIgnoreSubstringsMatch
  10. SYNTAX 1.3.6.1.4.1.1466.115.121.1.15
  11. USAGE userApplications )
  12. attributetype ( 1.3.6.1.4.1.11.2.53.2.2.3.1.2.3.4.2 NAME ( 'mqttSubscriptionTopic' 'mst' )
  13. EQUALITY caseIgnoreMatch
  14. SUBSTR caseIgnoreSubstringsMatch
  15. SYNTAX 1.3.6.1.4.1.1466.115.121.1.15
  16. USAGE userApplications )
  17. attributetype ( 1.3.6.1.4.1.11.2.53.2.2.3.1.2.3.4.3 NAME ( 'mqttPubSubTopic' 'mpst' )
  18. EQUALITY caseIgnoreMatch
  19. SUBSTR caseIgnoreSubstringsMatch
  20. SYNTAX 1.3.6.1.4.1.1466.115.121.1.15
  21. USAGE userApplications )
  23. objectclass ( 1.3.6.1.4.1.11.2.53.2.2.3.1.2.3.4 NAME 'mqttUser'
  24. AUXILIARY
  25. MAY ( mqttPublishTopic $ mqttSubscriptionTopic $ mqttPubSubTopic) )
  27. objectclass ( 1.3.6.1.4.1.11.2.53.2.2.3.1.2.3.2 NAME 'mqttDevice'
  28. SUP top
  29. STRUCTURAL
  30. MUST ( uid )
  31. MAY ( isEnabled ) )
  33. objectclass ( 1.3.6.1.4.1.11.2.53.2.2.3.1.2.3.3 NAME 'mqttSecurity'
  34. SUP top
  35. AUXILIARY
  36. MAY ( userPassword $ userPKCS12 $ pwdAttribute $ pwdLockout ) )

编辑 ldap 的配置文件 slapd.conf 引用 Schema：

/etc/openldap/slapd.conf

  1. include  /etc/openldap/schema/core.schema
  2. include  /etc/openldap/schema/cosine.schema
  3. include  /etc/openldap/schema/inetorgperson.schema
  4. include  /etc/openldap/schema/ppolicy.schema
  5. include  /etc/openldap/schema/emqx.schema
  7. database bdb
  8. suffix "dc=emqx,dc=io"
  9. rootdn "cn=root,dc=emqx,dc=io"
  10. rootpw {SSHA}eoF7NhNrejVYYyGHqnt+MdKNBh4r1w3W
  12. directory       /etc/openldap/data