Der Styx im Schwerlastverkehr

Transkript

1 IT Symposium Juni 2008 Der Styx im Schwerlastverkehr Linux-Dienste mit Single-Sign-On in das Active Directory einbinden Michael Weiser science + computing ag IT-Dienstleistungen und Software für anspruchsvolle Rechnernetze Tübingen München Berlin Düsseldorf! Ziel: Linux-Dienste an Active Directory anbinden! Motivation! AD-Anbindung mit Kerberos und LDAP! Zusammenspiel der Komponenten! apache mit Kerberos und LDAP! Vorführung! Umgebung! Schritte Seite 2 1

2 Motivation! heterogene Umgebungen! Serverheterogenität hat weitreichende Auswirkungen (vgl. Workstation-Integration)! selbst in homogenen Umgebungen Nischendienste unter UNIX - Integration zum schmerzfreien Betrieb zwingend! Einsatz kostengünstiger Alternativen wird möglich! Konsolidierung von Nutzerdatenbanken! Beispiel: apache Webserver! keine Einführung in Kerberos und LDAP Seite 3! AD-Anbindung mit Kerberos und LDAP! Zusammenspiel der Komponenten! apache mit Kerberos und LDAP! Vorführung! Umgebung! Schritte Seite 4 2

3 AD-Anbindung: Komponenten! hochgradig dienstspezifisch! Authentisierung! Wer bin ich?! apache: authn! Was darf ich?! apache: authz # cat htpasswd ford:l8k5ksbko3vk. zaphod:dzqubtuu70dbw # cat htgroup users: fred zaphod UNIX authn authz! Bezug von Autorisierungsinformationen Authentisierungsdienst Verzeichnis Seite 5 AD-Anbindung: apache mit Kerberos und LDAP! allgemein:! Dienst für Nutzung der Infrastruktur konfigurieren! Zugriff auf Infrastruktur ermöglichen! Authentisierungsdienst: Kerberos! apache: mod_auth_kerb! Account für Dienst in AD an- und Passwort auf Server ablegen! Dienst-Passwort stellt Vertrauensstellung zwischen AD (KDC) und Dienst her - wird Teilnehmer der AD-Kerberos-Infrastruktur! Verzeichnis: LDAP! apache: mod_authnz_ldap! Account für Dienst in AD! ermöglicht Dienst den Zugriff auf das Verzeichnis Seite 6 3

4 " AD-Anbindung mit Kerberos und LDAP " Zusammenspiel der Komponenten " apache mit Kerberos und LDAP! Vorführung! Umgebung! Schritte Seite 7 Vorführung: Umgebung! Testnetz in VMware! Active Directory MYDOMAIN.EXAMPLE! W2K3R2 Server dc1! Domain Controller! IIS Webserver! Debian 4.0 Linux Server linsrv1! Debian Paket-Repository! apache2 Webserver! ein Windows XP Client adxp42! zwei Debian 4.0 Linux Clients adlx42-1 und adlx42-2 Seite 8 4

5 Vorführung: Schritte! Ausgangszustand! Authentisierung:! Kerberos-Client konfigurieren und testen! mod_auth_kerb für AD-Kerberos-Authentisierung konfigurieren! Dienst-Nutzer im AD anlegen! Dienste-Passwort auf Server hinterlegen! Autorisierung:! mod_authnz_ldap für AD konfigurieren! testen! Spielwiese Seite 9 " AD-Anbindung mit Kerberos und LDAP " Zusammenspiel der Komponenten " apache mit Kerberos und LDAP " Vorführung " Umgebung " Schritte Seite

6 Auswertung! Linux-Dienst Webserver (apache) in AD integriert! elegante Zentralisierung der Authentisierungs- und Autorisierungsdaten! Single Sign On! Steigerung von Sicherheit und Komfort! Integration der Authentisierung # Integration der Autorisierung mit authnz_ldap noch nicht möglich! workarounds möglich! z.b. Auslagerung in serverbasierte Applikation! in wenigen Schritten Seite 11 " AD-Anbindung mit Kerberos und LDAP " Zusammenspiel der Komponenten " apache mit Kerberos und LDAP " Vorführung " Umgebung " Schritte " Auswertung Seite

7 Paddeln auf dem Styx Vielen Dank für Ihre Aufmerksamkeit. Michael Weiser science + computing ag Telefon info@science-computing.de 7