Kerberos Authentifizierung

Transkript

1 Kerberos Authentifizierung Mindbreeze InSpire Version 2017 Summer Release Status: 18. August 2017

2 Copyright Mindbreeze GmbH, A-4020 Linz, Alle Rechte vorbehalten. Alle verwendeten Hard- und Softwarenamen sind Handelsnamen und/oder Marken der jeweiligen Hersteller. Diese Unterlagen sind streng vertraulich. Durch die Übermittlung und Präsentation dieser Unterlagen alleine werden keine Rechte an unserer Software, an unseren Dienstleistungen und Dienstleistungsresultaten oder sonstigen geschützten Rechten begründet. Die Weitergabe, Veröffentlichung oder Vervielfältigung ist nicht gestattet. Aus Gründen der einfacheren Lesbarkeit wird auf die geschlechtsspezifische Differenzierung, z.b. Benutzer/- innen, verzichtet. Entsprechende Begriffe gelten im Sinne der Gleichbehandlung grundsätzlich für beide Geschlechter. Mindbreeze InSpire 2

3 Inhalt 1 Einleitung Voraussetzungen Connector Authentifizierung mit Kerberos Client Authentifizierung mit Kerberos 4 2 Konfiguration Allgemein Connector Authentifizierung mit Kerberos Client Authentifizierung mit Kerberos 7 Mindbreeze InSpire 3

4 1 Einleitung Eine Kerberos-Authentifizierung kann für folgende Szenarien verwendet werden: Ein Connector arbeitet als Kerberos-Benutzer. Siehe Abschnitt Connector Authentifizierung mit Kerberos Benutzer können sich als Kerberos-Benutzer bei der Suche anmelden. Siehe Abschnitt Client Authentifizierung mit Kerberos Folgende Voraussetzungen müssen gegeben sein: 1.1 Voraussetzungen Connector Authentifizierung mit Kerberos Für Kerberos-basierte Authentisierung mit Active Directory müssen Sie einen Benutzer im Active Directory anlegen, der die richtigen Berechtigungen für die Datenquelle besitzt. (Siehe Doku des jeweiligen Connectors) Client Authentifizierung mit Kerberos Für Kerberos-basierte Authentisierung mit Active Directory müssen Sie einen Service User im Active Directory anlegen, z.b mindbreeze.service. Bitte stellen Sie sicher, dass folgende Voraussetzungen erfüllt sind: Der Benutzer ist im Active Directory vorhanden Der Benutzer besitzt den Service Principal Namen HTTP/<vollqualifizierter Hostname für Mindbreeze InSpire> Sie können den Service Principal Namen als Active Directory Domain Administrator in einer Windows Eingabeaufforderung mit folgendem Befehl setzen: setspn s HTTP/<vollqualifizierter Hostname für Mindbreeze InSpire> <domain>\<mindbreeze.service> Beispiel: setspn s HTTP/search.firmenname.com firmenname\mindbreeze.service 2 Konfiguration 2.1 Allgemein Sie finden die Kerberos Konfiguration im Management Center unter Setup Kerberos. Mindbreeze InSpire 4

5 Sie müssen eine Kerberos Konfiguration erstellen, falls noch nicht vorhanden. Dazu haben Sie folgende Möglichkeiten: Automatische Ermittlung der Konfiguration mittels Detect Config Manuelle Konfiguration Wenn Sie die automatische Ermittlung der Konfiguration werden wollen, Klicken Sie auf Detect Config die DNS-Einstellungen des Betriebssystems verwendet, um den REALM, Domain Controller/KDC und DNS Domain zu ermitteln. Voraussetzungen für die automatische Ermittlung der Konfiguration: Hostname über DNS auflösbar (Forward und Reverse-Lookup) Bei manueller Konfiguration müssen die folgende Eigenschaften setzen: REALM Domain Controller/KDC DNS Domain Realm der Domäne, meist Domäne in Großbuchstaben Domain Controller bzw. Kerberos-Server, die verwendet werden sollen. DNS-Name der Domäne Klicken Sie anschließend auf Save Config um die Kerberos Konfiguration zu Speichern. Beim Speichern werden verschiedene Überprüfungsschritte durchgeführt. Falls Fehler auftreten werden die betreffenden Eigenschaften rot eingefärbt und entsprechende Fehlermeldungen ausgegeben. Korrigieren Sie die eingegebenen Werte bzw. stellen Sie sicher, dass die betreffende Infrastruktur korrekt läuft und erreichbar ist. Klicken Sie anschließend erneut auf Save Config. Mindbreeze InSpire 5

6 Wenn alles korrekt gespeichert ist, erscheinen unten zwei neue Sektionen: Generate Connector Keytab Generate Search Client Keytab 2.2 Connector Authentifizierung mit Kerberos Nachdem die Kerberos Konfiguration erfolgreich gespeichert ist, klappen Sie die Sektion Generate Connector Keytab auf. Geben Sie nun die Anmeldedaten für den Benutzer an, mit dem der Connector arbeiten soll. In der Eigenschaft Service User geben sie den vollen Benutzernamen an und in der Eigenschaft Password das entsprechende Passwort. Klicken Sie anschließend auf Generate Keytab. Beim Generieren werden verschiedene Überprüfungsschritte durchgeführt. Falls Fehler auftreten werden die betreffenden Eigenschaften rot eingefärbt und entsprechende Fehlermeldungen Mindbreeze InSpire 6

7 ausgegeben. Korrigieren Sie die eingegebenen Werte bzw. stellen Sie sicher, dass die betreffende Infrastruktur korrekt läuft und erreichbar ist. Klicken Sie anschließend erneut auf Generate Keytab. Wenn die Daten korrekt sind, erscheint unten eine neue Sektion Connector Keytab : Die im Keytab enthaltenen Einträge werden in einer Tabelle dargestellt. Zum Herunterladen des Keytab-Datei klicken Sie auf Download Keytab-File. Notieren Sie sich den Principal -Namen (Benutzername) dieser wird später benötigt. Wechseln Sie anschließend im Management Center zum Abschnitt Configuration und wählen Sie dort den Tab Authentication aus. Wählen Sie die heruntergeladene Keytab-Datei aus und klicken Sie auf Upload. Nach dem erfolgreichen Upload erscheint die Keytab-Datei in der Liste Available Keytabs. Anschließend wählen Sie im Abschnitt Setup Kerberos Authentication für den Connector die gewünschte Keytab-Datei aus und setzen sie den Principal-Name, welchen Sie vorhin notiert haben. Speichern Sie anschließend die Konfiguration und starten sie neu. 2.3 Client Authentifizierung mit Kerberos Nachdem die Kerberos Konfiguration erfolgreich gespeichert ist, klappen Sie die Sektion Generate Search Client Keytab auf. Geben Sie unter Client Hostname jenen Hostnamen an, den Sie für das Client-Service verwenden wollen. Geben Sie nun die Anmeldedaten für den Service Benutzer Mindbreeze InSpire 7

8 ein. In der Eigenschaft Service User geben sie den vollen Benutzernamen an und in der Eigenschaft Password das entsprechende Passwort. Klicken Sie anschließend auf Generate Keytab. Beim Generieren werden verschiedene Überprüfungsschritte durchgeführt. Falls Fehler auftreten werden die betreffenden Eigenschaften rot eingefärbt und entsprechende Fehlermeldungen ausgegeben. Korrigieren Sie die eingegebenen Werte bzw. stellen Sie sicher, dass die betreffende Infrastruktur korrekt läuft und erreichbar ist. Klicken Sie anschließend erneut auf Generate Keytab. Wenn die Daten korrekt sind, erscheint unten eine neue Sektion Search Client Keytab : Die im Keytab enthaltenen Einträge werden in einer Tabelle dargestellt. Zum Herunterladen des Keytab-Datei klicken Sie auf Download Keytab-File. Notieren Sie sich den Principal -Namen (Beginnt mit HTTP/"), dieser wird später benötigt. Wechseln Sie anschließend im Management Center zum Abschnitt Configuration und wählen Sie dort den Tab Authentication aus. Wählen Sie die heruntergeladene Keytab-Datei aus und klicken Sie auf Upload. Nach dem erfolgreichen Upload erscheint die Keytab-Datei in der Liste Available Keytabs. Mindbreeze InSpire 8

9 Anschließend wählen Sie im Abschnitt Setup Kerberos Authentication für das Client-Service die gewünschte Keytab-Datei aus und setzen sie den Principal-Name, welchen Sie vorhin notiert haben. Speichern Sie anschließend die Konfiguration und starten sie neu. Mindbreeze InSpire 9