Dans cet article, nous considérons que vous possédez déjà un annuaire OpenLdap fonctionnel et que vous désirez mettre en place un réplicat sur une autre machine en mode mirroir.

Par convention nous définirons le serveur existant en le nommant ldap-1.be-root.com et le réplicat à mettre en place sous le nom ldap-2.be-root.com.

Nous ne détaillerons pas l’installation d’openldap sur ldap-2.be-root.com. Cependant, il faut s’assurer que la version installée supporte syncrepl et que ce dernier a été activé lors de la compilation (–enable-syncprov=mod –enable-modules).

Sur ldap-2, nous allons utiliser le même fichier slapd.conf, les mêmes schémas que sur ldap-1.
Il convient donc de s’assurer que la configuration est strictement la même. Il faut également que ldap-1 et ldap-2 peuvent communiquer dans les deux sens (soit sur le port 389/tcp ou 636/tcp en cas d’utilisation de ssl).

Sur ldap-1, nous allons faire un dump de l’annuaire grâce à la commande slapcat et récupérer ce dump sur ldap-2.

Editons le fichier slapd.conf sur ldap-2 et ajoutons les lignes suivantes au début du fichier :

moduleload      syncprov.la
# ID du noeud
serverID        2

Il nous faut également ajouter des indexes :

index   entryCSN,entryUUID                                       eq

En fin de fichier, ajoutons les lignes :

overlay syncprov
syncprov-checkpoint     100     10
syncprov-sessionlog     100

syncrepl        rid=001
                provider=ldaps://ldap-1.be-root.com:636
                type=refreshAndPersist
                retry="60 10 300 +"
                searchbase="dc=be-root,dc=com"
                scope=sub
                schemachecking=on
                bindmethod=simple
                binddn="cn=syncrepl,dc=be-root,dc=com"
                credentials="motdepasse"
                tls_reqcert=never

mirrormode      on

La ligne retry= »60 10 300 + » permet, en cas d’impossibilité de se connecter sur ldap-1, de retenter une connexion au bout de 60s. Ceci 10 fois de suite. Si la connexion est toujours impossible au bout de ces 10 fois, alors l’intervalle passe à 300s et ceci tant que la connexion n’est pas rétablie (grâce au signe +).
Si nous ne voulons pas utiliser ssl pour la communication entre les annuaires, il suffit de remplacer la ligne provider=ldaps://ldap-1.be-root.com:636 par provider=ldap://ldap-1.be-root.com et de supprimer la ligne tls_reqcert=never.
L’utilisateur cn=syncrepl,dc=be-root,dc=com a été explicitement crée pour la réplication. Il est bien entendu possible de le remplacer par n’importe quel compte ayant des droits de lecture/écriture sur l’ensemble des attributs.

Intégrons le dump récupéré précédemment de ldap-1 grace à la commande slapadd.

Dans le fichier /etc/openldap/slapd.conf sur ldap-1 faisons ces modifications en début de fichier :

moduleload      syncprov.la
# ID du noeud
serverID        1

Il nous faut également ajouter des indexes :

index   entryCSN,entryUUID                                       eq

En fin de fichier, ajoutons les lignes :

overlay syncprov
syncprov-checkpoint     100     10
syncprov-sessionlog     100

syncrepl        rid=001
                provider=ldaps://ldap-2.be-root.com:636
                type=refreshAndPersist
                retry="60 10 300 +"
                searchbase="dc=be-root,dc=com"
                scope=sub
                schemachecking=on
                bindmethod=simple
                binddn="cn=syncrepl,dc=be-root,dc=com"
                credentials="motdepasse"
                tls_reqcert=never

mirrormode      on

Ré-indexons l’annuaire à l’aide de la commande slapindex Redémarrons openldap sur ldap-1 et ldap-2. Nous pouvons voir dans les logs que le processus synchronisation se lance grace à la connexions de l’utilisateur syncrepl.
Il est également possible de tester le bon fonctionnement de l’ensemble en changeant un attribut d’une entrée sur ldap-2 et en vérifiant que la modification a été bien répliquée sur ldap-1 (et vice-versa).