//Cloudogu EcoSystem Docs

LDAP-Komponente installieren und konfigurieren

Dieses Dokument beschreibt den Betrieb von LDAP als LOP-Komponente über das Helm-Chart in diesem Repository.

Voraussetzungen

• Kubernetes-Cluster mit Zugriff per kubectl und helm
• Ziel-Namespace (Beispiele unten verwenden ecosystem)
• Pull-Secret für registry.cloudogu.com (Standard: ces-container-registries)
• Globale CES-Konfiguration als ConfigMap (Standardname: global-config)
• Optional: Secret für das initiale Admin-Passwort

1. Globale ConfigMap bereitstellen

Die Komponente liest globale Werte über doguctl config --global, insbesondere domain. Mindestens domain muss gesetzt sein.

Beispiel:

apiVersion: v1
kind: ConfigMap
metadata:
  name: global-config
  namespace: ecosystem
data:
  config.yaml: |
    domain: "ces.local"

Anlegen:

kubectl apply -f global-config.yaml

2. Initiales Admin-Passwort-Secret

Das initiale Passwort des LDAP-Admin-Users unter ou=People wird aus einem Secret gelesen. Dieses Passwort wird nur bei der ersten Initialisierung der LDAP-Daten verwendet.

Standardmäßig erzeugt Helm dieses Secret automatisch:

• Secret-Name: <release>-initial-admin-password
• Passwort-Key: password

Ein manuelles Secret ist nur nötig, wenn ein fester Initialwert vorgegeben werden soll oder create=false gesetzt wird.

Beispiel:

apiVersion: v1
kind: Secret
metadata:
  name: ldap-initial-admin-password
  namespace: ecosystem
type: Opaque
stringData:
  password: "admin"

Anlegen:

kubectl apply -f ldap-initial-admin-password.yaml

3. Installation/Deinstallation per Make-Targets

helm-apply / helm-delete (Helm-Release):

make helm-apply
make helm-delete

component-apply / component-delete (Komponenten-CR):

make component-apply
make component-delete

4. Konfiguration (values.yaml) im Überblick

Service-Account-Verhalten

• Bei secret.create=true erzeugt Helm ein Secret.
• Falls ein Secret bereits existiert, werden vorhandene Werte weiterverwendet.
• Fehlt username, wird ein Default-Username verwendet (cas, usermgt, ldap-mapper).
• Fehlt password, wird ein zufälliges Passwort generiert.
• Beim Startup werden die LDAP-Service-Accounts mit den Secret-Daten abgeglichen (create/update/delete).
• Wenn ein Account deaktiviert ist oder Secret-Daten fehlen, wird der zugehörige LDAP-Service-Account entfernt.

Hinweis für ArgoCD/GitOps:

• Bei strikt deklarativem Betrieb ohne Helm-lookup empfiehlt sich secret.create=false und extern verwaltete Secrets.

Verhalten des initialen Admin-Passworts

• Bei secrets.initialAdminPasswordSecretRef.create=true erzeugt Helm ein Secret mit einem zufälligen Passwort, falls noch keines existiert.
• Falls das Secret bereits existiert, wird das vorhandene Passwort weiterverwendet.
• Das Secret liefert nur das initiale Passwort für den LDAP-Admin-User in ou=People.
• Nach der ersten Initialisierung ist LDAP selbst führend. Änderungen des Passworts über UserMgt oder LDAP werden nicht in das Secret zurückgeschrieben.

Ressourcennamen bei Standalone-Installationen

Standardmäßig verwendet das Chart als Basisnamen <release-name>-<chart-name>. Bei helm install lop-idp ... entstehen also Ressourcennamen wie lop-idp-ldap.

Für Standalone-Installationen empfiehlt es sich, einen expliziten Release-Namen zu verwenden, zum Beispiel:

helm install ldap-component k8s/helm --set globalConfig.domain=example

Falls ein fester Ressourcenname unabhängig vom Release-Namen benötigt wird, kann stattdessen fullnameOverride gesetzt werden:

helm install test k8s/helm \
  --set fullnameOverride=ldap-component \
  --set globalConfig.domain=example

Beispiel-Overrides

globalConfig:
  configMapName: global-config
  key: config.yaml

secrets:
  initialAdminPasswordSecretRef:
    create: true
    name: ""
    passwordKey: password
  serviceAccounts:
    cas:
      enabled: true
      secret:
        create: true
        name: ldap-cas-sa
        usernameKey: username
        passwordKey: password
    usermgt:
      enabled: true
      secret:
        create: true
        name: ldap-usermgt-sa
        usernameKey: username
        passwordKey: password
    ldapMapper:
      enabled: true
      secret:
        create: true
        name: ldap-ldap-mapper-sa
        usernameKey: username
        passwordKey: password

5. Deinstallation

make helm-delete
make component-delete

Das PVC bleibt je nach StorageClass-ReclaimPolicy erhalten oder wird automatisch entfernt.