Servizi - Configurare server LDAP Centos 6.6. CentOS Linux 6.6

Transcript

1 CentOS Linux 6.6 1

2 Indice Proprietà del server...pag. 3 Conoscere LDAP...pag. 3 Configurazione di base e installazione dei componenti OpenLDAP...pag. 5 Configurazione LDAP...pag. 6 Client grafico per LDAP...pag. 10 Troubleshooting...pag. 10 2

3 Configurazione di un server LDAP su CentOS 6.6 Proprietà del server In questo howto si va a configurare un server LDAP basato su Linux CentOS 6.6, il server risponderà su due porte, la classica TCP 389 e la connessione sicura sulla TLS sulla porta TCP 636. Il server utilizzato come test ha le seguenti caratteristiche: CPU = dual core 2.4 Ghz RAM = 4 GB HDD = 40 GB (Espandibili) LAN = 1 Gbit Conoscere LDAP L acronimo LDAP sta per Lightweight Directory Access Protocol; Si tratta di una sorta di database che viene utilizzato nel momento in cui abbiamo bisogno di centralizzare delle utenze, avendo cosi la gestione degli utenti e degli accessi ai vari servizi localizzata in un unico posto nella nostra rete LAN. Il concetto di database su LDAP esce un po dalla logica dei database comuni come mysql perchè non si tratta di un database relazionale, ma non per questo deve essere scartato, visto che per la gestione delle utenze in maniera centralizzata è il database maggiormente usato, anche perchè ci sono molti servizi che si possono appoggiare a LDAP per poterne usufruire. Se vogliamo fare qualche esempio possiamo citare la creazione di una rubrica centrale dove i vari client di posta elettronica possono accedere piuttosto che l autenticazione a delle risorse condivise messe a disposizione tramite Samba, piuttosto che l autenticazione su Apache. La struttura su come vengono organizzate le informazioni nel database è una struttura gerarchica ad albero, per fare un esempio possiamo citare la struttura che rispecchia il DNS. Ogni informazione al suo interno viene ricercata tramite un DN ( Distingued Name )che possiamo definire come il percorso per poter arrivare all informazione. La struttura di uno schema LDAP è fatta a nodi dove si parte da un nodo radice o root a cui si connettono altri nodi. Ogni nodo connesso ha un nodo genitore eccetto il nodo radice. Ogni nodo rappresenta un oggetto con determinati attributi e per accedere alle informazioni contenute nel nodo si deve specificare il suo percorso. Ecco lo schema grafico di LDAP 3

4 dc=my,dc=organization,dc=org ou=people ou=groups cn=user2 cn=user1 Nello schema LDAP vengono adottate delle sigle ecco cosa sono: cn = Informazione nome ( Infomon Name) ou = Unità Organizzativa (Organizational Unit) dc = Informazioni di dominio (Domain Infoponent) dn = Nome distinto (distingued name) uid = User id cn = Nome comune (Common Name) sn = Cognome (surname) o = Organizzazione (Organization) st = Stato (State) c = (Country) Per accedere all'informazione contenuta in un nodo specifico si deve specificare il percorso: 4

5 dc=my,dc=organization,dc=org ou=people ou=groups cn=user2 cn=user1 Dn: cn=user2,ou=people,dc=my,dc=organization,dc=org Le informazioni all interno dello schema vengono chiamate entry Ogni entry è univocamente individuata da un DN (Distingued Name) e il suo significato è stabilito mediante degli attributi particolari detti objectclass Ogni entry può essere inserita tramite più modalità, tra cui possiamo usare un interfacciamento grafico piuttosto che dei file con estensione.ldif opportunamente strutturati che successivamente vedremo meglio. Per concludere questa panoramica possiamo inoltre dire che: LDAP è un database che può essere replicato Gli accessi in lettura sono superiori a quelli in scrittura Esso fornisce un sistema di protezione e autenticazione alle informazioni contenute in esso. Configurazione di base e installazione dei componenti OpenLDAP Dopo questa piccola carrellata sul LDAP passiamo all'installazione, tenendo conto che il sistema operativo sia installato ed aggiornato e che siano già disattivati momentaneamente firewall interno e SELinux ed aver impostato nome e ip al server. Modifichiamo il nome del server in questo modo editando il file /etc/hosts # nano /etc/hosts localhost localhost.localdomain localhost4 localhost4.localdomain ldap.adam.local ldap ::1 localhost localhost.localdomain localhost6 localhost6.localdomain6 E poi il file /etc/sysconfig/network. 5

6 # nano /etc/sysconfig/network NETWORKING=yes HOSTNAME=ldap Disabilitiamo ora il firewall interno e SELinux # chkconfig iptables off # chkconfig ip6tables off #nano /etc/selinux/config # This file controls the state of SELinux on the system. # SELINUX= can take one of these three values: # enforcing - SELinux security policy is enforced. # permissive - SELinux prints warnings instead of enforcing. # disabled - No SELinux policy is loaded. SELINUX=disabled Salviamo, usciamo e riavviamo il server. A questo punto possiamo procedere con l'installazione dei componenti necessari. # yum install -y openldap openldap-clients openldap-servers Configurazione LDAP Iniziamo con la creazione della password cryptata per l'amministratore, questo sarà Admin. # slappasswd # {SSHA}1pgok6qWn24lpBkVreTDboTr81rg4QC6 Copiate la password generata da qualche parte perché ci servirà durante la configurazione. Editiamo ora il seguente file: # nano /etc/openldap/slapd.d/ cn=config / olcdatabase={2}bdb.ldif E cambiamo queste voci 6

7 olcsuffix: dc=adam,dc=local olcrootdn: cn=admin,dc=adam,dc=local olcrootpw: <incollate qui la vostra password che avete generato prima> ( comprreso {SSHA} ) olctlscertificatefile: /etc/pki/tls/certs/adampem olctlscertificatekeyfile: /etc/pki/tls/certs/adamkey.pem Specifichiamo ora i privilegi di monitoraggio # nano /etc/openldap/slapd.d/ cn=config / olcdatabase={1}monitor.ldif E cambiamo anche qui queste voci cn=manager,dc=adam,dc=local a cn=admin,dc=adam,dc=local Copiamo ora il file del database d'esempio # cp /usr/share/openldap-servers/db_config.example /var/lib/ldap/db_config Impostiamo i permessi utente # chown -R ldap:ldap /var/lib/ldap/ Configuriamo LDAP per stare in ascolto su i protocolli SSL/TLS # nano /etc/sysconfig/ldap SLAPD_LDAPS=yes #(default is no) Ora dobbiamo creare il certificato per LDAP server e compilarlo in ogni sua parte # openssl req -new -x509 -nodes -out /etc/pki/tls/certs/adam.pem -keyout /etc/pki/tls/certs/adamkey.pem -days 365 7

8 Ora cambiamo proprietario e il gruppo di proprietà del certificato e del file di chiavi # chown -Rf root:ldap /etc/pki/tls/certs/adam.pem #c hown -Rf root:ldap /etc/pki/tls/certs/adamkey.pem Avviamo o riavviamo il servizio di OpenLDAP # service slapd restart # chkconfig slapd on Creiamo ora gli oggetti di base in OpenLDAP (si possono creare manualmente o usando i tools di automazione) # yum install migrationtools # cd /usr/share/migrationtools/ # ls Creiamo il file create.ldif # nano migrate_common.ph Alla linea 61 cambiate ou=groups $NAMINGCONTEXT{ group } = ou=groups ; alla linea 71, cambiate il nome dominio $DEFAULT_MAIL_DOMAIN = adam.local ; (oppure inserite il dominio della mail) alla linea 74, camviate il vostro nome di base $DEFAULT_BASE = dc=adam,dc=local ; alla linea 90, cambiate il valore allo schema $EXTENDED_SCHEMA = 1; Creare ora due utenti e gruppi locali e migrare LDAP # useradd -d /home/ldapuser1 ldapuser1 # useradd -d /home/ldapuser2 ldapuser2 Assegniamo le password agli utenti creati 8

9 # passwd ldapuser1 # passwd ldapuser2 Ora è necessario filtrare gli utenti di /etc /passwd per un altro file # getent passwd tail -n 2 > /root/users Filtriamo ora le informazioni delle password contenute in /etc/shadow ad un altro file # getent passwd tail -n 2 > /root/passwords Ora filtriamo i gruppi utenti da /etc/group a un altro file: # getent group tail -n 2 > /root/groups Accedere ora al seguente file per modificare la posizione del file delle password # nano migrate_passwd.pl Cerchiamo la voce /etc/shadow e la modifichiamo con /root/passwords Bene, generiamo ora un file base.ldif per il dominio #./migrate_base.pl > /root/base.ldif Generiamo ora un file ldif per gli utenti #./migrate_passwd.pl /root/users > /root/users.ldif Generiamo ora un file ldif per i gruppi #./migrate_group.pl /root/groups > /root/groups.ldif Ora non ci resta che caricare questi file LDIF sul server LDAP # ldapadd -x -W -D cn=admin,dc=linuxoperatingsystem,dc=info -f /root/base.ldif # ldapadd -x -W -D cn=admin,dc=linuxoperatingsystem,dc=info -f /root/users.ldif # ldapadd -x -W -D cn=admin,dc=linuxoperatingsystem,dc=info -f /root/groups.ldif Abilitiamo i log di openldap server # nano /etc/rsyslog.conf 9

10 E aggiungiamo la seguente riga infondo al file rsyslog # LDAP local4.* /var/log/ldap.log Riavviamo Rsyslog server e openldap server # /etc/init.d/rsyslog restart # /etc/init.d/slapd restart Ora possiamo testare il server lanciando il comando ldapsearch # ldapsearch -x -b dc=adam,dc=local Dovremmo visualizzare le proprietà del dominio inserito. JXplorer Software per interfacciarsi con LDAP Per potersi interfacciare con LDAP possiamo utilizzare il comodo software Jxplorer, realizzato in JAVA è installabile su vari sistemi operativi, da Windows a Linux. Installato il software proviamo ad effettuare una connessione Troubleshooting Nel caso in cui non ci si connettesse controllare se abbiamo inserito la porta corretta con l'autenticazione ovvero se metiamo la porta 389 l'autenticazione sarà user + Password, se utilizziamo la porta 636 l'autenticazione sarà SSL + User +Password. Controllare la sintassi dello user DN che deve rispettare questo principio 10

11 uid=nomeutente,ou=unità organizzativa,dc=nomedominio,dc=dominio controllare che effettivamente il firewall del server sia abbassato o che vi siano le porte richieste aperte 11