Certifcate

Есть два варианта сертификатов

1 сертификат самоподписанный

openssl req -newkey rsa:1024 -x509 -nodes -out server.pem -keyout server.pem -days 365

потом добавляем в /etc/openldap/slapd.conf

TLSCACertificateFile server.pem
TLSCertificateFile server.pem
TLSCertificateKeyFile server.pem 

2 подписанный через CA

создаем rsa ключ длиной 1024 бита и сохраняем его в файле ldap.key

openssl genrsa -out ldap.key 1024

создаём запрос на сертификацию

openssl req -new -config .cfg -key ldap.key -out ldap.csr

создаём сертификат, которому будем доверять(CACertificate); вначале делаем ключ длиной 2048 бит:

openssl genrsa -des3 -out ca.key 2048

создаём self-signed сертификат сроком действия на год на основе сгенерированного ключа

openssl req -new -x509 -days 365 -key ca.key -out ca.cert

теперь на основе созданного для LDAP ключа и доверенного сертификата создаём сертификат LDAP

openssl x509 -req -in ldap.csr -out ldap.cert -CA ca.cert -CAkey ca.key -CAcreateserial -days 365 -extfile .cfg

file: .cfg

[ v3_req ]
subjectAltName   = email:copy
basicConstraints = CA:false
nsComment        = "LDAP server certificate"
nsCertType       = server

в конце конфига /etc/openldap/slapd.conf добавляем.

# Сертификат сервера
TLSCertificateFile /etc/ssl/ldap/ldap.cert
# Ключ сервера
TLSCertificateKeyFile /etc/ssl/ldap/ldap.key
# Доверенный сертификат
TLSCACertificateFile /etc/ssl/ldap/ca.cert.

и не забываем

chmod 400 /usr/var/openldap-data/ключи.*