Cheat sheet — OpenLDAP & gestion des droits (IAM)

1. Installer le serveur (Debian)

sudo apt update
sudo apt install slapd ldap-utils
sudo dpkg-reconfigure slapd      # domaine (ex. example.com) + mot de passe admin
sudo systemctl status slapd

2. Créer des groupes via LDIF

Domaine dc=example,dc=com, fichier groupes.ldif :

dn: ou=Groupes,dc=example,dc=com
objectClass: organizationalUnit
ou: Groupes

dn: cn=utilisateurs,ou=Groupes,dc=example,dc=com
objectClass: posixGroup
cn: utilisateurs
gidNumber: 10001

dn: cn=administrateurs,ou=Groupes,dc=example,dc=com
objectClass: posixGroup
cn: administrateurs
gidNumber: 10002

ldapadd -x -D "cn=admin,dc=example,dc=com" -W -f groupes.ldif

3. Mapper les groupes aux droits système

• Administrateurs → sudo : dans /etc/sudoers :

  %administrateurs ALL=(ALL) ALL

• Utilisateurs : shell restreint (rbash), restrictions via PAM (/etc/security/group.conf).
• Externes : accès à un dossier dédié, shell /usr/sbin/nologin, expiration via l’attribut shadowExpire.

sudo mkdir /home/externes
sudo chown :externes /home/externes
sudo chmod 770 /home/externes

4. 2FA pour root (PAM)

sudo apt install libpam-google-authenticator
sudo google-authenticator        # initialiser

Dans /etc/pam.d/su et /etc/pam.d/sshd :

auth required pam_google_authenticator.so

5. Journaliser les accès (auditd)

sudo apt install auditd

Règles dans /etc/audit/audit.rules :

-w /etc/group -k group_access
-w /home/externes -p rwxa -k externes_access

Consultation : ausearch -k externes_access. Voir aussi la cheat sheet iptables & auditd.