Curso de extensão em Administração de redes com GNU/Linux

Transcrição

1 Curso de extensão em Gestores da Rede Acadêmica de Computação Departamento de Ciência da Computação Universidade Federal da Bahia OpenLDAP básico -,

2 Licença de uso e distribuição Todo o material aqui disponível pode, posteriormente, ser utilizado sobre os termos da: Creative Commons License: Atribuição - Uso não comercial - Permanência da Licença

3 1 Serviço de diretório O protocolo LDAP Autenticação com LDAP Implementações de servidores LDAP 2 Características do OpenLDAP Instalação Configuração 3 Utilitários clientes do OpenLDAP Adicionando objetos Fazendo consultas Removendo entradas da base Alteração de dados cadastrados 4 Configurações extras no servidor OpenLDAP Aplicações de gerenciamento 5 6

4 O que é um diretório? Serviço de diretório O protocolo LDAP Autenticação com LDAP Implementações de servidores LDAP É um serviço de armazenamento hierárquico de informações com o principal objetivo de facilitar a pesquisa e a recuperação dessas informações. Escopo de um serviço de diretórios: centralização, manutenção e pesquisa de informações. Estruturado na forma de árvores. Bastante utilizado para manter informações de autenticação. Erros comuns: Você pode inserir, alterar e apagar itens. Então um diretório é um banco de dados? Não. Você pode inserir qualquer coisa em um diretório. Então ele pode ser usado como sistema de arquivos? Não. Um diretório fornece direções para se chegar às informações requisitadas, retornando-as ao requisitante. Só isso.

5 Exemplos de diretórios: Sistema de arquivos Serviço de diretório O protocolo LDAP Autenticação com LDAP Implementações de servidores LDAP

6 Exemplos de diretórios: DNS Serviço de diretório O protocolo LDAP Autenticação com LDAP Implementações de servidores LDAP

7 O que é o LDAP? Serviço de diretório O protocolo LDAP Autenticação com LDAP Implementações de servidores LDAP LDAP: Protocolo Leve de Acesso a Diretórios É um padrão aberto capaz de falicitar, de forma flexível, o compartilhamento, a manutenção e o gerenciamento de grandes volumes de informações, definido um método-padrão de acesso e atualização de informações dentro de um diretório [TUTTLE, 2003]. Derivado do X.500 DAP Armazena os dados usando o conceito de objetos Contém atributos É identificado pelo Distinguished Name (DN), garante a unicidade um objeto

8 O que é o LDAP? Serviço de diretório O protocolo LDAP Autenticação com LDAP Implementações de servidores LDAP Arquitetura Cliente/Servidor Definido pela RFC 2251 (LDAPv3 - Dec 1997)

9 Itens (objetos) do LDAP Serviço de diretório O protocolo LDAP Autenticação com LDAP Implementações de servidores LDAP Os atributos de cada objeto são determinados por esquemas (schemas) Atributos obrigatórios Atributos opcionais Um atributo especial, objectclass, define quais esquemas um objeto utiliza

10 Exemplo de implementação Serviço de diretório O protocolo LDAP Autenticação com LDAP Implementações de servidores LDAP cn=graco,ou=grupos,dc=dcc,dc=ufba,dc=br uid=fulano,ou=pessoas,dc=dcc,dc=ufba,dc=br

11 Usando LDAP para autenticação Serviço de diretório O protocolo LDAP Autenticação com LDAP Implementações de servidores LDAP Dadas as características do protocolo LDAP, muitas impletações utilizam esse protolo para autenticação de usuários. Mecanismos de autenticação definidos pela RFC4513 (Jun 2006) Para isso utilizamos a operação bind Basicamente temos três mecanismos de autenticação (no LDAPv3): Autenticação anônima Auteticação simples (por padrão a comunicação é feita em texto-limpo, porém é possível usar SSL) Simple Authentication and Security Layer (RFC 2222)

12 Autenticação sem LDAP Serviço de diretório O protocolo LDAP Autenticação com LDAP Implementações de servidores LDAP

13 Autenticação com LDAP Serviço de diretório O protocolo LDAP Autenticação com LDAP Implementações de servidores LDAP

14 Implementações de servidores LDAP Serviço de diretório O protocolo LDAP Autenticação com LDAP Implementações de servidores LDAP Netscape LDAP Server Fedora Directory Server Sun ONE Directory Server Microsoft Active Directory Novell edirectory OpenLDAP

15 Características do OpenLDAP Instalação Configuração Desenvolvido sob licença OpenLDAP Public License Altamente configurável, inclusive com ACL s Suporta conexões seguras através dos protocolos SASL, TLS ou SSL Multi-threading Suporta replicação das informações Suporta vários backends: BerkeleyDB, GDBM, SQL, entre outros. Vasta API disponível: C/C++, Java, PHP, Perl, Python, Ruby, etc.

16 Características do OpenLDAP Instalação Configuração No debian, basta: aptitude install slapd Em outras distribuições:

17 Informações importantes Características do OpenLDAP Instalação Configuração Daemon: slapd Arquivo de configuração: slapd.conf Diretório padrão (Debian): /etc/ldap

18 Opções básicas Características do OpenLDAP Instalação Configuração include < arquivo >: Carrega configurações adicionais antes de continuar a ler o arquivo de configuração. Usualmente utilizado para carregar os schemas. database < backend >: Define o tipo de banco de dados que será utilizado pelo OpenLDAP. suffix < dn >: Define o domínio utilizado para armazenar os objetos naquela instância. rootdn < dn >: Indica o DN que não tem restrições de acesso à instância, ou seja, o que tem acesso a nível administrativo. rootpw < senha >: Define a senha de rootdn. Pode estar em texto-limpo ou encriptada. directory < caminho >: Indica o diretório (no sistema de arquivos) onde a base de dados desta instância deve ser armazenada. index < atributo > < tipo >: Define quais atributos terão índices e qual tipo de índices serão mantidos.

19 Arquivos LDIF Características do OpenLDAP Instalação Configuração Os arquivos LDIF são utilizados para inserção de dados no diretório (RFC 2849) Formato geral: cat exemplo.ldif # Comentario dn: < distinguishedname > < atributo >: < valor > < atributo >: < valor >...

20 Arquivos LDIF Características do OpenLDAP Instalação Configuração cat org-dcc.ldif dn: dc=dcc,dc=ufba,dc=br objectclass: top objectclass: dcobject objectclass: organization o: dcc.ufba.br dc: dcc

21 Utilitários clientes do OpenLDAP Adicionando objetos Fazendo consultas Removendo entradas da base Alteração de dados cadastrados Para instalar o cliente do OpenLDAP: aptitude install ldap-utils ldapadd ldapsearch ldapdelete ldapmodify outros...

22 Comando ldapadd Utilitários clientes do OpenLDAP Adicionando objetos Fazendo consultas Removendo entradas da base Alteração de dados cadastrados É utilizado para incluir informações na base LDAP Sintaxe: ldapadd [opcoes] -f arquivo: Especifica o arquivo que será usado (exemplo: org-dcc.ldif) -x: Utiliza autenticação simples -D binddn: DN que será usado no bind para inserção (deve ter permissão para tal) -w senha: Senha do DN binddn. Pode ser utilizado a opção -W que chama um prompt para digitar a senha. -H: URI do servidor LDAP. Exemplo: ldapadd -x -D cn=root,dc=dcc,dc=ufba,dc=br -H ldaps://ldap.dcc.ufba.br -f usuarios.ldif -w minhasenha

23 Comando ldapsearch Utilitários clientes do OpenLDAP Adicionando objetos Fazendo consultas Removendo entradas da base Alteração de dados cadastrados É utilizado para fazer pesquisa na base Sintaxe: ldapsearch [opcoes] filtro atributos -L: Saída da pesquisa no formato LDIF -x: Autenticação simpels. -H: URI do servidor LDAP. -b suffix: Diretório onde será feita a busca filtro: Define filtros de pesquisa atributos: Define os atributos que serão retornados Exemplo: ldapsearch -x -b dc=dcc,dc=ufba,dc=br -H ldaps://ldap.dcc.ufba.br (objectclass=*) dn externo

24 Filtros da busca Utilitários clientes do OpenLDAP Adicionando objetos Fazendo consultas Removendo entradas da base Alteração de dados cadastrados Filtro de igualdade: atributo = valor Filtro de aproximação: atributo = valor Filtro de ordem: atributo <= valor ou atributo >= valor Caractere curinga (*): Representa substrigs ou partes do valor de um atributo

25 Comando ldapdelete Utilitários clientes do OpenLDAP Adicionando objetos Fazendo consultas Removendo entradas da base Alteração de dados cadastrados É utilizado para remover registros da base LDAP. Geralmente utilizado para remover usuários. Sintaxe: ldapadd [opcoes] dn -x: Utiliza autenticação simples -D binddn: DN que será usado no bind para remoção (deve ter permissão para tal) -w senha: Senha do DN binddn. Pode ser utilizado a opção -W que chama um prompt para digitar a senha. -H: URI do servidor LDAP. dn: Indica a entrada a ser removida. Exemplo: ldapdelete -x -D cn=root,dc=dcc,dc=ufba,dc=br -H ldaps://ldap.dcc.ufba.br -w minhasenha uid=fulano,ou=pessoas,dc=dcc,dc=ufba,dc=br

26 Comando ldapmodify Utilitários clientes do OpenLDAP Adicionando objetos Fazendo consultas Removendo entradas da base Alteração de dados cadastrados Permite alterar campos da base LDAP (por exemplo, alterar o nome ou de um usuário). Sua utilização é bastante parecida com o ldapadd. Sintaxe: ldapmodify [opcoes] -f arquivo: Especifica o arquivo que será usado -x: Utiliza autenticação simples -D binddn: DN que será usado no bind para inserção (deve ter permissão para tal) -w senha: Senha do DN binddn. Pode ser utilizado a opção -W que chama um prompt para digitar a senha. -H: URI do servidor LDAP. Exemplo: ldapmodify -x -D cn=root,dc=dcc,dc=ufba,dc=br -H ldaps://ldap.dcc.ufba.br -f modify-fulano.ldif -w minhasenha

27 Sintaxe do LDIF para modificação Utilitários clientes do OpenLDAP Adicionando objetos Fazendo consultas Removendo entradas da base Alteração de dados cadastrados A sintaxe desse arquivo LDIF é bastante parecido com a anterior, porém inclui alguns campos específicos. Também é definida pela RFC Exemplo de modify.ldif dn: cn=modify Me,dc=example,dc=com changetype: modify replace: mail mail: modme@example.com - add: description description: User created for tests - add: jpegphoto jpegphoto: file:///tmp/modme.jpeg - delete: description -

28 LDAP com segurança Configurações extras no servidor OpenLDAP Aplicações de gerenciamento Por padrão a conexão entre o cliente e o servidor LDAP é feita sem criptografia. Assim, chamadas de autenticação simples transmitem a senha em texto claro pela rede. Em versões anteriores do OpenLDAP era preciso usar programas externos para proteger essa operação, como Stunnel, por exemplo. Nas versões atuais a criptografia é nativa. Métodos de criptografia disponíveis: SSL: O servidor utiliza a porta 636 para conexões criptografadas. Após o estabelecimento da sessão, todos os dados serão criptografados. Não apenas o bind. START-TLS: Bastante semelhante à SSL, porém utiliza a porta padrão 389. O cliente deve escolher entre usar ou não criptografia durante sua sessão. Para isso o cliente deve enviar o parâmetro start-tls. SASL: Framework para autenticação que suporta diversos tipos: PLAIN, ANONYMOUS, DIGEST-MD5, dentre outros.

29 Servidor de réplica Configurações extras no servidor OpenLDAP Aplicações de gerenciamento É possível configurar um servidor OpenLDAP para trabalhar como servidor de réplica. Com isso podemos ganhar em desempenho ou implementar estratégias de HA. fornece dois programas para replicar a base: slurpd: Opera com o modelo stateless, onde o servidor é responsável pela réplica. Utiliza o status da réplica e do arquivo de log para iniciar sincronização. syncrepl: Opera no modelo stateful, onde a ação de replicar é baseada no status da réplica. O cliente (backup) inicia o processo de sincronização.

30 Expansão dos esquemas Configurações extras no servidor OpenLDAP Aplicações de gerenciamento O protocolo LDAP permite criar atributos adicionais e armazená-los na base de dados. Para armazenar tais informações na base é preciso criar arquivos do tipo schema, com a definição das classes de objetos e atributos que deseja utilizar, e referencia-lo no slapd.conf (com a diretiva include arquivo.schema). Os schemas são padronizados pela RFC Cada elemento de um schema é identificado por um OID (Object Identifier). Por questões de padronização e para evitar ambiguidades, esses OIDs devem ser registrados na IANA, e serão únicos para sua organização.

31 Listas de controle de acesso Configurações extras no servidor OpenLDAP Aplicações de gerenciamento Permitem definir poĺıticas para previnir acessos não autorizados. As listas de acesso são definidas no arquivo de configuração slapd.conf. É preciso ter atenção na definição de ACLs para não bloquear todo o acesso. A sintaxe de uma ACL é do tipo: access to < oque > by < quem > < acesso > by < quem > < acesso >... Onde: < oque >: Recursos com acesso controlado (entradas e atributos). < quem >: Os usuários que terão acesso permitido ou negado. < acesso >: Os direitos de acesso

32 Listas de controle de acesso - Exemplos Configurações extras no servidor OpenLDAP Aplicações de gerenciamento access to attr=userpassword by self write by anonymous auth by * none access to dn=.*,dc=example,dc=org attr=homephone,photo by self write by * read

33 Luma Configurações extras no servidor OpenLDAP Aplicações de gerenciamento

34 Directory-administrator Configurações extras no servidor OpenLDAP Aplicações de gerenciamento

35 PhpLDAPAdmin Configurações extras no servidor OpenLDAP Aplicações de gerenciamento Page

36

37 Onde utilizar o LDAP? GNU/Linux com LDAP: por meio da base LDAP, é possível autenticar usuários no Linux (PAM + LDAP). Serviço de s: é possível configurar um servidor de s para autenticação LDAP, tanto na entrega das mensagens (SMTP) quando no acesso às caixas de correio (IMAP, POP). Proxy: É possível que uma rede somente permita acesso à internet para usuários autenticados, através de um proxy. Alguns servidores de proxy, squid por exemplo, permitem auteticação via LDAP. A maioria dos serviços descentes atualmente, fornecem suporte à autenticação via LDAP. E mesmo os que não oferecem, implementar um módulo para tal não deve ser difícil (supondo que o software seja bem feito, claro).

38 TUTTLE,S. EHLENBERGER, A.; GORTHI, R. Understanding LDAP: Design and Implementation. Disponível em < http : // >. Acesso em: out TRIGO, C.H. OpenLDAP: uma nova abordagem integrada. São Paulo: Novatec Editora,

39 Dúvidas?