Umstellung eines Linux-Servers auf einen zentralen Verzeichnisdienst (LDAP)

Transkript

1 Umstellung eines Linux-Servers auf einen zentralen Verzeichnisdienst (LDAP) Praktikumsaufgabe Fernand Toffa S:\Projekte\Praktikum\Linux-LDAP-Migration\Konzept Linux-LDAP-Migration.odt

2 Inhaltsverzeichnis Aufgabe... 3 Ausgangssituation... 4 Konzept...5 Hintergrund: LDAP... 6 LDAP: Protocol oder Directory?...6 LDAP-Kommunikation...6 Überblick LDAP-Modelle... 6 LDAP-Werkzeuge... 7 Hintergrund: GOSA... 8 Hintergrund: Samba Anpassung von Samba an LDAP smbldap-tools...10 Realisierung...11 Installation Konfiguration OpenLDAP...11 Konfiguration phpldapadmin Konfiguration Gosa Datenmigration...14 Samba...15 Ergebnis...16 Vorteile Risiken Ausblick...16 Anhang... 17

3 Aufgabe Das Informationsmanagement spielt bei der steigenden Komplexität der Netzwerke eine immer größere Rolle. Beschreibungen von Usern, Anwendungen, Dateien, Druckern und anderen Ressourcen im Netzwerk werden oft in speziellen Datenbanken- Directories zusammengefasst. In der Praxis wird immer mehr das Lightweight Directory Acess Protocol (LDAP) für den einheitlichen Zugriff und die Änderung der Directory Informationen benutzt. So ist LDAP ein Standard nicht nur für die Industrie aber auch für die kleineren und mittleren Firmen, die in wachsender Anzahl von Anwendungen implementiert und immer mehr im Internet und in Firmen-Intranets als einheitliches Directory-Werkzeug akzeptiert wird. LDAP schafft eine einheitliche Struktur um die Benutzer zu verwalten: Zentrales Authentifikations-Verzeichnis (realisiert mit OpenLDAP) Samba - LDAP als Lösung, um Linux und Windows gemeinsam zu verwalten. Dabei wird Samba so konfiguriert, dass es die Benutzerinformationen aus dem LDAP-Server holt. Anpassungen an der Linux-Seite (authconfig) Die Web-Anwendung GOSA zur Benutzer-Administration Mit der unteren Abbildung kann man die Situation der LDAP-Nutzung besser verstehen:

4 Ausgangssituation Der VSA-Verlag ist ein kleiner Verlag mit 8 Mitarbeitern und über 1000 Publikationen seit Das Netzwerk des Verlages besteht aus zwei Linux-Servern und 9 Windows-Arbeitsplätzen. Die Internet-Anbindung erfolgt durch eine Standleitung. Der Linux-Server verwaltet bisher seine Benutzer in Dateien (passwd, smbpasswd, htpasswd). Für unterschiedliche Anwendungen gibt es so möglicherweise auch unterschiedliche Passwörter. Ziel ist eine zentrale Benutzerverwaltung (Single Source), die später um ein zentrales Adressbuch erweitert werden kann.

5 Konzept Der vorhanden Linux-Server (Redhat Fedora Core 4, Samba 3.0) ist optimal für den Einsatz einer auf LDAP basierenden Benutzerverwaltung vorbereitet. Für die Benutzerverwaltung wird als Server OpenLDAP eingesetzt. Als Benutzeroberfläche wird die Web-Anwendung GOSA verwendet. Für die Kompabilität zur Windows-Welt, wird Samba an LDAP angepasst. Nach Installation und Konfiguration werden die vorhandenen Benutzerdaten von Linux und Samba in LDAP Verzeichnis übernommen (migriert). Im folgenden Kapitel gibt es eine kurze Einführung zu LDAP und GOSA.

6 Hintergrund: LDAP Geschichtlich gesehen, ist Lightweight-DAP (LDAP) eine einfachere Alternative zu DAP (Directory Acces Protocol) für die Kommunikation zwischen Directory-Clients und -Servern. DAP ist ein spezifiziertes Protocol des X.500-Standards (Data Communications Network Directory Recommendations). LDAP: Protocol oder Directory? LDAP definiert das Protokoll- und Message- Format, mit denen der Client auf Daten im X.500- Directory zugreifen kann. Die Realisierung ist dieses Protokolls wird oft LDAP-Directory genannt. LDAP-Kommunikation Die Kommunikation zwischen LDAP-Client und -Server verläuft in folgenden Schritten: Der Client eröffnet eine TCP-Session mit dem LDAP-Server. Dem Client muss die IP- Adresse/der Host-Name und TCP-Port (meistens 389) des LDAP-Servers bekannt sein. Der Client kann sich vor dem Server mit User-Name und Passwort oder als Anonymus-User ausweisen und bekommt die entsprechende Berechtigung. Server und Client können auch ein Verschlüsselungsalgorithmus für die Datenaustausch vereinbaren. Der LDAP-Client führt eine Operation wie Lesen, Ändern oder Suchen von Directory- Daten durch. Wenn der Client mit der Operation fertig ist, schließt er die Session mit dem Server. Überblick LDAP-Modelle LDAP kann mit folgenden vier Modellen beschrieben werden: 1. Informationsmodell beschreibt der Struktur der Information im LDAP-Directory (Objekt und Attribute) Beispiel. Objekt Firma. Dieses Objekt hat Attribute, wie Adresse, Telefonnummer, usw. Das Attribut Adresse kann z.b. vom Typ Directory String sein und den Wert Karl-Theodor-Straße 25,... haben. 2. Namenmodell beschreibt die Organisation der Information.

7 3. Funktionsmodell beschreibt, welche Operationen mit den Directory-Informationen möglich sind 4. Sicherheits-Modell beschreibt, wie die LDAP-Information geschützt werden kann. LDAP-Werkzeuge Austauschformat Zum LDAP-Standard gehört ein Austauschformat. Diese LDIF (LDAP Data Interchange Format) genannte Format ist sehr einfach aufgebaut und wird von allen LDAP-Servern und -Clients für den Import und Export verwendet. Kommandozeilen-Tools Gut geeignete Werkzeuge sind die Dialogbefehle ldapsearch, ldapadd und ldapmodify des OpenLDAP-Pakets. Grafische Werkzeuge Es gibt kaum grafische LDAP-Tools. Nur sind zwei sind auf den Wege im Richtung Benutzbarkeit: GQ und phpldapadmin. Für GQ gibt es keine Weiterentwicklung. Deswegen ist es sinnvoll, phpldapadmin als Directory-Administrator-Programm zu verwenden.

8 Hintergrund: GOSA In oberen LDAP-Werkzeuge Abschnitt wird phpldapadmin als grafische Administrations- Oberfläche für LDAP beschrieben. Diese Art der Darstellung ist allerdings nur für versierte Administratoren verständlich, bietet dafür aber auch die vollständige Kontrolle über jedes einzelne Attribut. Das von der Firma GONICUS entwickelte Web-Front-End GOSA verfolgt einen alternativen Ansatz. GOSA bietet sowohl dem Administrator als auch dem Benutzer eine funktional bezogene Sicht auf die im LDAP hinterlegten Daten. Beispielsweise sieht der Administrator bei der Bearbeitung des -Kontos eines Benutzers nur die für ihn tatsächlich relevanten Informationen. Es besteht nicht die Notwendigkeit zu wissen, in welchem Attributen des Benutzer-Objektes diese letztendlich im LDAP-Verzeichnis gespeichert werden. Die Daten werden für den entsprechenden Anwendungsfall benutzerfreundlich abstrahiert. Die Benutzerverwaltung Gosa hat definierte Zielgruppen: Die Benutzer: Nach einer Login-Maske (Anmeldung unter dem vom Administrator vergebenen Benutzernamen), kann ein einfacher Benutzer sein Passwort und eventuell andere persönliche Angaben (Telefonnummer, Privat-Adresse) ändern. Die Administratoren: Nach dem Login als Administrator gelangen man zur Hauptseite und hat die Möglichkeit, Benutzer und Gruppen anzulegen, zu bearbeiten und zu löschen.

9 Login Benutzer Administrator

10 Hintergrund: Samba Anpassung von Samba an LDAP Um die LDAP benutzen zu können, muss man zunächst den Bauplan (Schema) für die LDAP Einträgen erweitern. Die entsprechende Schema-Datei für Samba gehört zum Samba-Paket. Die Datei samba.schema kopiert man nach /etc/openldap/schema/, da dort die Bereits verwendeten Schema-Dateien abgelegt sind. Nun passt man noch die Konfigurationsdatei des LDAP-Servers an. (siehe die Realisierung Dokumentation) smbldap-tools Um die reibungslose Zusammenarbeit von Samba und LDAP sicherzustellen, ist der Einsatz der smbldap-tools sinnvoll. Diese Scripte helfen bei der Erzeugung der notwendigen Samba-Objekte (Benutzer, Gruppen).

11 Realisierung Installation # yum install openldap openldap-servers openldap-clients php-ldap php-mbstring mhash php-imap php-mysql Das Perl-Crypt Paket hat einen falschen Pfad cd /usr/lib/perl5; mv site_perl/5.8.0/crypt site_perl/5.8.3 Konfiguration OpenLDAP Server /etc/openldap/slapd.conf suffix "dc=vsa-verlag,dc=de" rootdn "cn=admin,dc=vsa-verlag,dc=de" rootpw xxxxxx checkpoint Client/etc/openldap/ldap.conf HOST BASE dc=syncope,dc=de TLS_CACERTDIR /etc/openldap/cacerts Testen slaptest -v service ldap start Start-Objekte vsa-verlag.ldif

12 dn: dc=vsa-verlag,dc=de objectclass: dcobject objectclass: organization o: VSA Verlag dc: vsa-verlag dn: cn=admin,dc=vsa-verlag,dc=de cn: admin sn: admin objectclass: person objectclass: top userpassword: xxxxxx ldapadd -x -D "cn=admin,dc=vsa-verlag,dc=de" -W -f vsa-verlag.ldif Konfiguration phpldapadmin cd /var/www/html tar xvfz /usr/local/src/... mv phpldapadmin-0.9.4b phpldapadmin cd phpldapadmin cp config.php.example config.php /var/www/html/phpldapadmin/config.php $servers[$i]['name'] = 'VSA LDAP Server'; $servers[$i]['host'] = 'localhost'; $servers[$i]['base'] = 'dc=vsa-verlag,dc=de'; $servers[$i]['login_dn'] = 'cn=admin,dc=vsa-verlag,dc=de'; $servers[$i]['login_pass'] = 'xxxxxx'; Konfiguration Gosa cd /usr/share tar xvfz /usr/local/src/gosa... mv gosa-2.4 gosa mkdir /etc/gosa mkdir /var/spool/gosa chown apache.apache /var/spool/gosa chown apache.root /etc/gosa

13 die schemas kopieren cp -a /usr/share/gosa/contrib/openldap /etc/openldap/schema/gosa /etc/openldap/slapd.conf anpassen include include include include include include include include /etc/openldap/schema/gosa/pureftpd.schema /etc/openldap/schema/gosa/gohard.schema /etc/openldap/schema/gosa/gofon.schema /etc/openldap/schema/gosa/goto.schema /etc/openldap/schema/gosa/gofax.schema /etc/openldap/schema/gosa/goserver.schema /etc/openldap/schema/gosa/samba3.schema /etc/openldap/schema/gosa/gosa+samba3.schema service ldap restart Gosa Start-Objekte dn: ou=people,dc=syncope,dc=de ou: People objectclass: top objectclass: organizationalunit dn: ou=groups,dc=syncope,dc=de ou: Groups objectclass: top objectclass: organizationalunit dn: cn=gosaadmin,ou=people,dc=syncope,dc=de objectclass: person objectclass: organizationalperson objectclass: inetorgperson objectclass: gosaaccount uid: gosaadmin cn: gosaadmin givenname: gosaadmin sn: GOsa main administrator sambalmpassword: 10974C6EFC0AEE D272A9441BB sambantpassword: 38F D0F71A039CFA9D1EC06378 userpassword:: dgvzdgvy dn: cn=gosaadmins,ou=groups,dc=syncope,dc=de objectclass: gosaobject

14 objectclass: posixgroup gosasubtreeacl: :all cn: gosaadmins gidnumber: 999 memberuid: gosaadmin ldapadd -x -D "cn=admin,dc=syncope,dc=de" -W -f gosa.ldif PHP /etc/php.ini memory_limit = 25M register_long_arrays = On Apache vi /etc/httpd/conf.d/gosa.conf: Alias /gosa /usr/share/gosa/html service httpd restart Gosa.conf DN-Attribut für Benutzer: uid vi /etc/gosa/gosa.conf chown root.apache /etc/gosa/gosa.conf chmod 640 /etc/gosa/gosa.conf Datenmigration ldap ou anlegen (mit phpldapadmin): People, Groups, Computers # cd /usr/lib/openldap/migration holen der alten passwd, shadow, groups

15 aus passwd und group alle systemeinträge entfernen migrate_common.php $DEFAULT_MAIL_DOMAIN = "vsa-verlag.de"; $DEFAULT_BASE = "dc=vsa-verlag,dc=de"; $EXTENDED_SCHEMA = 1; $NAMINGCONTEXT{'group'} = "ou=groups"; migrate_passwd.pl open(shadow, "shadow") return; #./migrate_passwd passwd people.ldif # perl -pi -e 's/shadowaccount/shadowaccount\nobjectclass: gosaaccount/' people.ldif #./migrate_group group group.ldif # grep -v userpassword group.ldif >groups.ldif # ldapadd -x -D "cn=admin,dc=vsa-verlag,dc=de" -W -f people.ldif # ldapadd -x -D "cn=admin,dc=vsa-verlag,dc=de" -W -f groups.ldif Samba smbpasswd -w <pw> /etc/samba/smb.conf passdb backend = ldapsam:ldap://localhost ldap ssl off ldap suffix = "dc=vsa-verlag,dc=de" ldap user suffix = "ou=accounts,dc=wgja,dc=de" ldap group suffix = "ou=groups,dc=wgja,dc=de" ldap machine suffix = "ou=computers,dc=wgja,dc=de" ldap admin dn = "cn=admin,dc=vsa-verlag,dc=de" ldap delete dn = no ldap passwd sync = yes service smb reload Benutzer anlegen zum Testen und Erzeugen des SambaDomain-Eintrags

16 Ergebnis Vorteile Zentrale Benutzerverwaltung. Jeder Benutzer muss nur einmal angelegt werden und hat überall das gleiche Passwort. Die Benutzerverwaltung kann einfach und übersichtlich organisiert werden. Risiken Die Stabilität des Linux-Servers und des LDAP-Dienstes müssen gewährleistet sein. Ausblick Der zentrale Verzeichnisdienst lässt sich auch für weitere Anwendungen nutzen: Kalender, Adressverzeichnis, Kundenverzeichnis, Serien-Briefe, Serien- s...

17 Anhang VSA-Verlag OpenLDAP Gosa Samba Gosa Website ( Gosa Wiki (