OUD - Oracle Unified Directory

Größe: px

Ab Seite anzeigen:

Download "OUD - Oracle Unified Directory"

Helga Fleischer
vor 7 Jahren
Abrufe

1 - Oracle Unified Directory Migrationsprojekt beim Kunden Manfred Hoppe Trivadis Abdi Mohammadi Oracle BASEL BERN BRUGG LAUSANNE ZÜRICH DÜSSELDORF FRANKFURT A.M. FREIBURG I.BR. HAMBURG MÜNCHEN STUTTGART WIEN 1

2 AGENDA Ziel Anforderungen & Ausgangssituation Zentrale Unix Naming Service Enterprise User Security (EUS) Oracle Unified Directory () Erfahrungen & Ausblick 2

3 Ziel 3

4 Ziel Modernisierung Directory Service für Oracle Net Name Service Directory Service LDAP Server Datenbank Oracle Datenbank 4

5 Anforderungen 5

6 Anforderungen Migration ohne Downtime geringer Aufwand Ausfallsicherheit Abbildung neuer Sicherheitsbedingungen Keine betrieblichen Beeinträchtigungen der bisherigen Abläufe Zentrale und einfache Administration Erweiterungsmöglichkeiten 6

7 Migrationsmöglichkeiten Anforderungen Aktuelle OID Version Migration OID Einführung neuen Directory Service Datenbankversion 11g Neuen Directory Service Voraussetzung EUS Kompatibel o14

8 Ausgangssituation 8

9 Ausgangssituation Oracle Internet Directory (OID) Keine aktuelle Version Support Neue Administration Oracle Datenbanken Migration aller Kunden Datenbanken Version 11gR2 Supportproblem 9

10 Ausgangssituation OID: Directory Service für Oracle Datenbanken Architektur LDAP Server LDAP Replikation Verzeichnisdatenbank(Oracle Datenbanken) Administration Oracle Directory Manager 10

11 Ausgangssituation OID: Directory Service für Oracle Datenbanken Einsatzgebiet beim Kunden Oracle Net Name Service Einschränkungen Einsatz nur für spezielle Domänen Ein zentraler Verwaltungsbenutzer 11

12 Ausgangssituation LDAP Replikation IAS/ OID Datenbank IAS/ OID Datenbank Konfiguration OID- Server 10.1.xxx Datenbank xxx ca Tnsnames- Einträgen Failover Datenbank Failover Datenbank 12

13 Zentrale Unix Naming Service 13

passwd, shadow, group, networks, netgroup, RBAC. a.s.o Name Service: nss_ldap.

14 Naming Services for Solaris/UNIX/Linux Use Central LDAP Directory Server to store and retrieve System Naming information for hosts, passwd, shadow, group, networks, netgroup, RBAC. a.s.o Name Service: nss_ldap.so Authentication: pam_ldap.so Oracle Unified Directory LDAP(s) o14

15 DIT ldapclient init \ -a domainname=example.com \ -a proxydn=cn=proxyagent,ou=profile,dc=example,dc=com \ -a profilename=test_profile \ -a proxypassword=oracle123 \ root@solaris:~# cat /var/ldap/ldap_client_file NS_LDAP_FILE_VERSION= 2.0 NS_LDAP_AUTH= simple NS_LDAP_SEARCH_REF= FALSE NS_LDAP_SEARCH_BASEDN= dc=example,dc=com NS_LDAP_CREDENTIAL_LEVEL= proxy NS_LDAP_BIND_TIME= 10 NS_LDAP_PROFILE= test_profile NS_LDAP_SEARCH_SCOPE= one NS_LDAP_SERVERS= NS_LDAP_SEARCH_TIME= 30 NS_LDAP_CACHETTL= o14

16 DIT ldaplist -l passwd dn: uid=test1,ou=people,dc=example,dc=com objectclass: posixaccount objectclass: top uid: test1 cn: test1 loginshell: /bin/bash gecos: Test User for Native LDAP userpassword: {SSHA}gVpsEnJ0p6cle/zUcIxAY1mCxyAR77troYNkqw== homedirectory: /home/test1 uidnumber: 1001 gidnumber: 5000 ldaplist -l group dn: cn=group1,ou=group,dc=example,dc=com objectclass: posixgroup objectclass: top gidnumber: 5000 memberuid: test1 cn: group o14

17 Enterprise User Security (EUS) 17

18 Enterprise User Security (EUS) Zentrale Verwaltung von DB Usern & Rollen per Directory Service EUS Nutzungskonzept Auflösung von Oracle Net Names Tnsnames- Einträge Authentifizierung von globalen Benutzern Private Schemas Shared Schemas Enterprise Rollen und Usern Enterprise Domain 18

19 Entscheidung 19

20 Entscheidung für Klein und Leicht zu Installieren Einfache Bedienung durch Kommando und GUI Ausgereifte Multimaster Replikation Eingebettet Datenbank 20

21 Oracle Unified Directory 21

Protocol Handling New Innovation Oracle Unified Directory Unified Directory Next Generation Oracle Strategic Directory Strategy is to unify Sun DSEE and OVD Pure Java based combining virtual

22 Protocol Handling New Innovation Oracle Unified Directory Unified Directory Next Generation Oracle Strategic Directory Strategy is to unify Sun DSEE and OVD Pure Java based combining virtual directory, meta directory and data storage capability. OpenDS-based including Oracle Berkeley DB JE with key Oracle additional features Carrier grade read and write performance easily supporting authentication of billons of users Easily scales to rapidly add millions of new entries and automatically re-indexes to route requests to servers that physically holds entries Ready for in-cloud and on-premise applications EUS /TNS enabled LDAP LDAPS JMX Naming Context, request filtering, policy, resource limits Load Balancing Proxy Directory Services Local Backend Distribution Replication Novell edir OID MSFT AD Oracle BDB JE Oracle BDB JE o14

23 Features Command line and graphical administration interface Easy and fast installation & configuration Unlimited multi master replication topology Virtual Attributes Attribute Encryption Load Balancing, Data Partitioning, Join Views Pass Through Authetication via LDAP or Kerberos (i.e. To Active Directory) Data Transformation (Attribute / ObjectClass mapping, DN-Renaming) Custom Plugins Directory Server and Proxy functionality in a single server instance Same binary for small to extremeley large deployments in a supported JVM Tools to easily move an instance from one to another system Performance Tuning for JVM OOTB o14

24 as EUS Store o14

25 as EUS Proxy: AD with DLL o14

26 as EUS Proxy: AD with Kerberos o14

27 Performance o14

28 Performance 11gR2 PS2 results (X M (4KB entries)) Scenario Revisited KPIs Import 10M entries (4.4 Kb) Export 10M entries (4.4Kb) >=9200 entries/sec >=7000 entries/sec Subtree search (Full entry returned) Authrate (SLAMD) Mod (mod 1 equality indexed attr 8chars) >= entries/sec >= auth/sec >=2000 mod/sec 32 Cores: Intel(r) Xeon(r) CPU E GHz o14

29 Live DEMO 29

30 Erfahrungen 30

31 Erfahrungen Einfache, Flexible Installation Migration Einfache Handhabung Genaue Beschreibung Kein Migrationspfad OID Individuelle Lösung / EUS Nur aktuelle Version benutzen 31

32 Erfahrungen Befehlssyntax Unterschiede!!! / OID Literatur Automatisierung per Scripting Replikation Befehlssyntax der älteren Versionen stimmen nicht Leichte anpassbares Scripting des Befehlsumfangs Konfiguration beachten Stark automatisiert 32

33 Erfahrungen Übernahme der tnsnames- Einträge Individuell leichte Anpassungen EUS Wünschenswert Anpassung von Funktionalitäten EUS erstellen Probleme mit Scripting Nur per ODSM Dateibenennung Database- Dateien default mit Blanks 33

34 Erfahrungen SSL Zertifikate + Protokolle ACIs für Naming Service wichtig pam_unix vs pam_ldap JVM Defaults (IBM JDK, Oracle JDK..) Unsichere Ciphers entfernen ldapclient bindet sich als anonymous und proxyagent braucht einige Berechtigungen Hashing algorithm für userpassword Attribute : crypt, SHA, SSHA 34

35 Ausblick 35

36 Ausblick Upgrade Erweiterung der Replikation Personalisierte Accounts Neue Version 11gR2PS2 Neue ODSM- Version 36

Weitere Informationen... - Übersicht: http://www.oracle.com/technetwork/middleware/id-mgmt/overview/oud-433568.

37 Weitere Informationen... - Übersicht: Dokumentation:

38 Fragen und Antworten... Manfred Hoppe Senior Consultant Tel Abdi Mohammadi Principal Sales Consultant Tel BASEL BERN BRUGG LAUSANNE ZÜRICH DÜSSELDORF FRANKFURT A.M. FREIBURG I.BR. HAMBURG MÜNCHEN STUTTGART WIEN

Ähnliche Dokumente

Oracle Enterprise User Security 11g mit Server Chaining

Oracle Enterprise User Security 11g mit Server Chaining Jürgen Kühn Senior Consultant Düsseldorf, 9. Juni 2011 Basel Bern Lausanne Zürich Düsseldorf Frankfurt/M. Freiburg i. Br. Hamburg München Stuttgart