FreeIPA. Eine Einführung. Robert M. Albrecht. Presented by. Fedora Ambassador CC-BY-SA. Freitag, 20. Juli 12

Transkript

1 FreeIPA Eine Einführung Presented by Robert M. Albrecht Fedora Ambassador CC-BY-SA

2 Robert M. Albrecht Linux seit 1992 RedHat User seit 1996 Fedora seit 2003

3 Was ist FreeIPA? FreeIPA ist ein Freies-Software-Projekt mit dem Ziel, ein einfach zu verwaltendes Identity, Policy und Audit-System zur Verfügung zu stellen. Identity = Benutzerverwaltung Policy = Richtlinien Audit = Überwachung

4 Welches Problem? Ein Anwender in einem Netzwerk muss sich mehrfach anmelden Client PC Mail FileServer Wiki Internet Proxy Intranet Anwendungen (Wiki...)

5 Alter Hut? Viele Anwendungen können LDAP Der Anwender kann sich dann bei jeder Anwendung mit der gleichen Benutzerkennung anmelden. Aber er muss es leider auch. Single Sign On (SSO) wäre besser. Anwender meldet sich einmal an und kann dann auf alle Dienste zugreifen. Problem: Zwei Faktor Authentifizierung

6 FreeIPA FreeIPA wird die eierlegende Wollmilchsau... wenn es erwachsen ist.... noch ist es ein Baby.... aber es krabblet schon.

7 Komponenten FreeIPA LDAP Kerberos NTP DNS SSSD Zertifikate Dienst (Dogtag) Krams: Apache, PHP,... Zukunft: Samba 4

8 Directory LDAP Leightweight Directory Access Protocol Protokoll zum Abfragen von Verzeichnissen Directory-Implementierungen OpenLDAP Fedora 389 = RedHat Directory Server Microsoft Active Directory Sync möglich Novell edirectory

9 Directory Was ist ein Directory? Directory = Verzeichnis Datenbank zum Speichern von Benutzerinformationen Vorname = Robert M. Nachname = Albrecht = user@example.org Telefon = Kennwort = geheim Andere Verzeichnisse Telefonbuch DNS

10 Ticket System Ein Ticket-System stellt nach der Benutzer- Anmeldung einen zeitlich befristeten Besucherausweiss (Ticket) aus, der von den anderen Anwendung akzeptiert wird. Kerberos = Ticketsystem Kerberos ist sehr zeitempfindlich!

11 DNS FreeIPA installiert einen DNS (bind) DNS benutzt als Datenbank den LDAP

12 DNS Woher weiß der Client welche IP-Adresse der Anmelde-Server hat? Dummy-Einträge um Dienste zu finden Der Client sucht den hartkodierten Namen _ldap._tcp _ldap._tcp IN SRV ipaserver.example.com _kerberos IN TXT EXAMPLE.COM _kerberos._tcp IN SRV ipaserver.example.com _kerberos-master._tcp IN SRV ipaserver.example.com _kpasswd._tcp IN SRV ipaserver.example.com ipaserver.example.com IN AA

13 SSSD System Security Services Daemon Lokale Komponente auf die Clients Abstraktionsschicht über PAM, /etc/passwd Heute Password Caching SE Linux Policys ssh Schlüssel- und sudo Management Zukunft Audits Nachfolger von PAM, /etc/shadow...

14 NTP Network Time Protocol FreeIPA braucht einen NTP Wenn die Uhrzeiten auf den Systemen driften, bekommen Sie die merkwürdigsten Fehler. Und keinen von denen hat was mit Uhrzeit zu tuen: Passwort abgelaufen Rechner nicht gefunden Ständig neu anmelden

15 Server Installation yum install freeipa-server bind bind-dyndb-ldap ipa-server-install Server host name [ipaserver.example.com]: Please confirm the domain name [example.com]: Please provide a realm name [EXAMPLE.COM]: Enter the password for the Directory Server superuser: Enter the password for the FreeIPA system user account, admin.password (confirm): Configuring ntpd [1/3]: creating directory server user [1/17]: creating certificate server user Setup complete

16 Client Installation yum install freeipa-client ipa-client-install --enable-dns-updates Admin-Tools yum install freeipa-client freeipa-admintools

17 Clients Fedora & RedHat Clients system-configauthentication

18 User anlegen

19 User anlegen

20 User anlegen

21 Gruppen verwalten Es gibt Gruppen in Gruppen.

22 Passwörter verwalten

23 Computer verwalten

24 Computer verwalten

25 Dienste verwalten

26 DNS verwalten

27 sudo verwalten

28 SELinux verwalten

29 FreeIPA Fazit V1 V2 Aufgebohrter LDAP-Server Benutzbarer Anmeldeserver für Linux durch SSSD V2.99 SELinux, SSH und sudo Management (Policy) Fertig (am ), noch nicht verteilt

30 FreeIPA Fazit V4: Samba4 Single-Sign-On between the Active Directory and IPA domain V99: Audit

31 Fragen? Contact: CC-BY-SA