Zentrale Benutzerverwaltung für Linux im Active Directory

Transkript

1 Zentrale Benutzerverwaltung für Linux im Active Directory 15. März 2007 Inhalt Identitätsmanagement Zugriff über offene Standards Interaktion Linux und Active Directory Linux-Clients im Active Directory

2 Doppelt hält nicht immer besser Das duale System Linux»/etc/passwd«, NIS/NIS+, OpenLDAP, edirectory, Windows NT4/SAM, Active Directory Nachteile Doppelte Benutzer- und Passwortpflege Ein Passwort für beide Systeme bedeutet: Identische Kennwortrichtlinien auf beiden Systemen Benutzer muss gleiches Passwort zweimal eingeben Im heterogenen Massenbetrieb gutes Scripting notwendig

3 Verwenden vorhandener Resourcen Einer für alle Bei vorhandener Windows-2003-Domäne Kerberos zur Authentifizierung Active Directory zur Benutzer- und Passwortverwaltung

4 Auf einen Blick

5 Gemeinsame Passwortverwaltung Windows und Kerberos Komponente: Kerberos Kerberos löst NT4/SAM zur Authentifizierung ab Zugriff auf Windows-internen Kerberos-Server mit MIT- Kerberos unter Linux»/etc/krb5.conf«Linux und Kerberos Installation des MIT-Kerberos-Paketes Editieren der»/etc/krb5.conf«nach Installation und Konfiguration: Zugriff auf Windows-Kerberos-Dienst

6 Komponente: OpenLDAP Gemeinsame Benutzerverwaltung Active Directory Microsofts AD ist eine LDAPv3-Implementierung (RFC2251) Zugriff aufs Active Directory Installation der OpenLDAP-Client-Pakete unter Linux Erster Test (ohne Kerberos und Verschlüsselung): $ ldapsearch -H ldap://dc1 -b "ou=user,dc=mub,dc=tu-harburg,dc=de" -x -W -D Admin Ergebnis: Ausgabe aller Objekte in der OU»User«des AD Zweiter Test (ohne Kerberos, mit Verschlüsselung): $ ldapsearch -H ldaps://dc1 -b "ou=user,dc=mub,dc=tu-harburg,dc=de" -x -W -D Admin Gleiches Ergebnis

7 Komponente: SASL Der»Simple Authentication and Security Layer«Handelt den Mechanismus zur Authentifizierung aus

8 Active Directory erweitern Schemaerweiterung Ein Schema beschreibt die Möglichkeiten eines Verzeichnisdienstes mit Metadaten zur Beschreibung von Daten Attributtypen, Objektklassen und Filterregeln Schema des Active Directory zu erweitern um Unixtypische Attritbute UID, GID, Description, Gecos, Home Directory, Login Shell Erweiterung um RFC2307bis bereits in Windows 2003 Server R2 enthalten Erweiterung nachträglich möglich mit AD4Unix-Plugin von PADL Software Microsoft Services for Unix

9 Benutzer anlegen: Grafische Lösung AD4Unix-Plugin von PADL Software Benutzer anlegen Eigenschaftendialog eines Benutzers wird um einen Reiter»Unix settings«erweitert Vorteile Schnelles Anlegen von Benutzern in bekannter grafischer Oberfläche Zentrale Einstellungen möglich Nachteile Zeitaufwendig beim Anlegen vieler Benutzer Keine Migrationsmöglichkeit Beispiel: AD4Unix-Plugin von PADL Software

10 Benutzer anlegen: Textbasierte Lösung Das»Lightweight Data Interchange Format«Migration oder Anlegen vieler Benutzer Erzeugen einer Textdatei mit folgendem Inhalt (Beispiel): dn: CN=markus,OU=user,DC=mub,DC=tu-harburg,DC=de changetype: add cn: Markus Klimke objectclass: user samaccountname: mubmk uidnumber: 2307 gidnumber: 1000 Benutzer mit ldifde -i -f benutzer.ldf ins AD hinzufügen Mit LDIFDE Hinzufügen, Löschen und Modifizieren, Mit CSVDE nur Hinzufügen möglich

11 Dauerhafter Zugriff aufs Active Directory Schlüsselkasten 1. Anonymen Zugriff erlauben über Leserechte für alle 2. Binden eines Distinguished Name via NSS_LDAP in»/etc/ldap.conf«(passwort im Klartext) 3. Erzeugen einer Kerberos-Keytab mit»ktpass.exe«auf dem Windows-Domaincontroller Benutzer im Active Directory hinzufügen

12 Credential Caching Zwischenspeichern des Schlüssels Für eine dauerhafte Verbindung Vorgehensweise Sicheres Kopieren auf den Linux-Client (SCP/SFTP) Den Schlüssel in die Keytab einfügen (»ktutil«) Den Schlüssel testen: $ kinit -k -c /etc/.ldapcache nssldap/nssldap@krb-realm.com Ticket mit»klist«überprüfen Cron-Job einrichten Vor dem Verfallsdatum des Tickets erneuern

13 Meilenstein Was bisher geschah Kerberos-Zugriff aufs Active Directory Zugriff aufs AD via OpenLDAP mit Kerberos/SASL Schemaerweiterung des AD um Unix-Attribute Windows-Benutzer mit Unix-Attributen anlegen AD4Unix-Plugin von PADL Software (grafisch) Mit LDIF- oder CSV-Dateien (textbasiert / Konsolentool) Einen Key für dauerhaften Zugriff aufs AD Credential auf Linux-Seite zeitgesteuert aufgefrischt Was wir wollen Benutzer aus dem AD unter Linux verfügbar machen

14 Zugriff aufs Active Directory mit NSS_LDAP NSS_LDAP Von Luke Howard, PADL Software (RFC2307bis) Fungiert als Network Information Service (NIS) Konfiguration in»/etc/ldap.conf«verwenden in»/etc/nsswitch.conf«über den Name Service Switch Zugriff auf das erweiterte Schema des AD Schema-Mappings für verschiedene Erweiterungen: Services for Unix 2.0/3.5 Mappings RFC 2307 (AD) Mappings AIX SecureWay Mappings

15 NSS_LDAP Konfigurationsdatei»/etc/ldap.conf«LDAP/AD-Server Verbindungs-spezifische Daten (Timeouts etc.) Einstellungen für SSL-Verbindungen Schema-Mapping nss_base_passwd nss_base_group ou=user,dc=mub,dc=tu-harburg,dc=de?sub ou=groups,dc=mub,dc=tu-harburg,dc=de?sub nss_map_objectclass posixaccount user nss_map_objectclass posixgroup group nss_map_attribute uid samaccountname nss_map_attribute homedirectory unixhomedirectory nss_map_attribute uniquemember member pam_login_attribute pam_filter pam_password samaccountname objectclass=user ad

16 Name = Lib Der»Name Service Switch«1. Eine Applikation sendet eine Anfrage über den Aufruf einer Libc-Funktion 2. Die Funktion sucht in»/etc/nsswitch.conf«nach verfügbaren Quellen 3. Im Beispiel passen zwei Quellen 4. Die Funktion spricht die Bibliotheken der Reihe nach an 5. Das Ergebnis geht an die Libc 6. Die Funktion gibt das Ergebnis als Zeiger zurück an die Applikation

17 Auf einen Blick

18 Automatisierung bei der Anmeldung PAM Pluggable Authentication Modules Module bei der Anmeldung nutzen Konfiguration in»/etc/pam.d/*«einige Module im Überblick: pam_krb5: Gegen einen Kerberos-Server authentifizieren Mit Option»use_first_pass«vorhergehendes Passwort nutzen pam_mkhomedir: Automatisch eine Heimat erstellen Optionen:»silent«,»skel«,»umask«pam_mount: Verschiedene Dateisysteme einhängen Eigene Konfigurationsdatei in»/etc/security/pam_mount.conf«unterstützt: NFS, CIFS/SMB, NCP, CryptoImages pam_ldap: Gegen einen LDAP-Dienst authentifizieren In diesem Beispiel nicht benötigt

19 Mehr als nur Benutzer und Gruppen Unterschiede und Gemeinsamkeiten Klassisches NIS Speicherung von Daten in einer NIS-Datenbank NIS nach RFC2307bis Daten werden in LDAP-Datenbank gespeichert Da RFC2307bis ein»network Information Service«ist, lassen sich auch mehr Information in einem LDAP- Server (AD) ablegen: Services Networks Hosts nss_base_hosts ou=hosts,dc=mub,dc=tu-harburg,dc=de?one

20 Vielen Dank! Anderer Lösungsansatz Samba benutzen! Vielen Dank für Ihre Aufmerksamkeit!