Librix AD: um Software Livre para Administração de Diretórios LDAP Distribuídos

Transcrição

1 Librix AD: um Software Livre para Administração de Diretórios LDAP Distribuídos Cláudio Siqueira de Carvalho e Celmar Guimarães da Silva Laboratório de Administração e Segurança de Sistemas (LAS) Instituto de Computação (IC) Universidade Estadual de Campinas (Unicamp) Caixa Postal 6176 CEP Campinas SP Brasil {carvalho,celmar}@las.ic.unicamp.br Abstract. Directory services like OpenLDAP ease network management, authentication and access rights control to network information. Different free software for directory administration try to ease the execution of these tasks, providing user interfaces for accessing OpenLDAP functionalities. However, these systems enable LDAP objects management only at a centralized server. In contrast with these systems, Librix AD is a free software for administrating distributed LDAP directories. This paper presents Librix AD, its features, functionalities, architecture and installation requirements. Resumo. Serviços de diretório como o OpenLDAP facilitam o gerenciamento de uma rede, bem como a autenticação e o controle de direitos de acesso a informações dessa rede. Diferentes softwares livres procuram facilitar a execução dessas tarefas, provendo interfaces de usuário que possibilitam o acesso às funcionalidades do OpenLDAP. No entanto, a maioria desses sistemas permite administrar objetos LDAP apenas em um servidor centralizado. Ao contrário desses sistemas, o Librix AD é um software livre desenvolvido para administrar diretórios LDAP distribuídos. Este artigo apresenta o Librix AD, suas características, funcionalidades, arquitetura e requisitos de instalação. 1. Introdução Serviços de diretório são cada vez mais necessários para gestão de infra-estrutura de recursos em organizações. Tarefas como centralizar autenticação, controle de direitos de acesso a informações, e gerenciamento de usuários e servidores de uma rede, são algumas das finalidades com as quais um serviço de diretório pode ser utilizado em uma organização. Esse tipo de serviço utiliza uma base de dados hierárquica otimizada para leitura e busca de dados, possui resposta rápida a solicitações de grandes volumes de informação, e pode prover capacidades de replicação de diretório visando maior disponibilidade e confiabilidade, e menor tempo de resposta a essas solicitações. Um exemplo de software livre que disponibiliza serviços de diretório é o OpenLDAP, que implementa o protocolo LDAP (Lightweight Directory Access Protocol) e funcionalidades para replicação de diretórios [OpenLDAP, 2007]. Diferentes softwares livres são utilizados na tentativa de facilitar a administração do OpenLDAP, provendo interfaces de usuário com representações gráficas do diretório LDAP e acesso facilitado às suas funcionalidades. Nesse sentido, o Librix Administração de Diretórios Librix AD [Itautec Philco, 2005] é um software livre (sob licença GNU-GPL versão 2) que visa auxiliar a administração de diretórios LDAP

2 distribuídos. Este software é baseado no software livre GATI [Cruz et al., 2004], desenvolvido como uma parceria entre a Itautec e o Centro de Excelência em Servidores de Missão Crítica (Cesmic) da Universidade Católica de Brasília (UCB). O Librix AD é parte integrante da distribuição Linux Librix [Librix, 2006], desenvolvida pelo Laboratório de Administração e Segurança de Sistemas (LAS) do Instituto de Computação (IC) da Universidade Estadual de Campinas (Unicamp) e também patrocinado pela Itautec. O objetivo deste artigo é apresentar uma visão geral sobre o Librix AD. Suas características e funcionalidades são apresentadas na seção 2. A seção 3 apresenta a arquitetura do sistema. Na seção 4, são enumerados os requisitos de instalação do Librix AD. A seção 5 sumariza trabalhos recentes efetuados para melhoria do sistema. Por fim, a seção 6 conclui o artigo e apresenta trabalhos futuros. 2. Características e Funcionalidades O Librix AD é uma ferramenta que possibilita efetuar uma administração centralizada de serviços de diretórios LDAP distribuídos. Por meio de sua interface de usuário, o administrador pode gerenciar objetos LDAP, esquemas de objetos, partições, réplicas de partições, e controlar acesso a objetos LDAP via ACLs (Access Control Lists) [OpenLDAP, 2007]. Essas funcionalidades podem ser agrupadas da seguinte forma: Administração de Objetos: criação, edição e remoção de objetos dos diretórios LDAP gerenciados, independentemente da partição em que eles se encontrem, e sem necessitar que o administrador precise se autenticar em cada uma dessas partições para acessar seus respectivos objetos. Por padrão, o Librix AD possibilita a criação de objetos dos seguintes tipos (Figura 1): usuário, grupo, servidor, impressora, aplicação, unidade organizacional, usuário samba, grupo samba, servidor samba e volume samba. Além disso, apresenta funcionalidades pelas quais o administrador pode definir novos tipos de objetos a serem utilizados.

3 Administração de Partições: criar partições, transformar unidades organizacionais em partições e remover partições, como ilustrado na Figura 2. Essas funcionalidades efetuam modificações em arquivos de configuração do OpenLDAP para o administrador, evitando a necessidade de manipulá-los diretamente. Administração de Réplicas: gerência dos anéis de réplica (servidores mestre e respectivas réplicas) de cada partição. Essa gerência apresenta funcionalidades para inserir réplicas em um anel, remover réplicas de um anel, visualizar o estado dos servidores com relação ao funcionamento de serviços essenciais (daemons do OpenLDAP e do Librix AD), converter servidores mestres em réplicas e vice-versa, reiniciar serviços do OpenLDAP, sincronizar diretórios do anel de réplica e reparar diretórios. Algumas dessas funcionalidades também podem ser vistas na Figura 2. Administração de ACLs: gerência de direitos de leitura, escrita e pesquisa sobre objetos dos diretórios LDAP. O sistema permite definir direitos relativos a um objeto específico ou a uma partição inteira, propagando direitos nos diretórios distribuídos. A Figura 3 exemplifica a atribuição de direitos relacionados a um determinado objeto. Administração de Esquemas: gerência dos esquemas utilizados pelos diretórios LDAP. Alterações nesses esquemas são propagadas para todos os servidores das partições gerenciadas pelo Librix AD, de modo a garantir a consistência entre eles.

4 3. Arquitetura A implementação do Librix AD segue a arquitetura apresentada na Figura 4. Nessa arquitetura, o módulo de interface de usuário implementado utilizando JSP e servlet permite que o usuário visualize a árvore de diretórios LDAP com seus objetos e partições, como apresentado na parte esquerda da Figura 1. Figura 4. Arquitetura do Librix AD.

5 A lógica de negócio do Librix AD é tratada pelos módulos API Java e API C. A API Java é responsável por atender às requisições do módulo de interface de usuário relativas às diferentes funcionalidades do Librix AD. Esse módulo invoca o OpenLDAP (via biblioteca JLDAP [JLDAP, 2007]) para atender a algumas dessas requisições, e além disso repassa tarefas de mais baixo nível para a API C. A API C efetua operações relativas à manipulação de arquivos de configuração do Samba e do OpenLDAP (incluindo ACLs e esquemas), e operações como iniciar e parar serviços como slapd e slurpd (ambos do OpenLDAP), samba e serviços do próprio Librix AD. A API C é um requisito obrigatório para a gerência de qualquer um dos servidores, sejam servidores Samba, NFS ou OpenLDAP. Em contrapartida, a interface de usuário e a API Java devem ser instaladas somente no servidor de aplicações Web. 4. Requisitos de instalação O Librix AD é um pacote pertencente à distribuição Linux Librix [Librix, 2006] e apresenta como requisitos os seguintes softwares livres: OpenLDAP (openldap r3), Berkeley DB (db _p2-r1), JBoss (jboss-3.2.5), Blackdown JDK (>= blackdown-jdk ), Cyrus-SASL (>= cyrus-sasl ), OpenSSL (>= openssl e-r1), Daemons NFS (>= nfs-utils r6), Samba (samba a-r2), Crypt- SmbHash (>= Crypt-SmbHash-0.12), Idealx Samba LDAP management tool (smbldaptools r1) e Portmap (>=portmap-5b-r9). Atualmente, alguns desses requisitos possuem versões mais recentes; por exemplo, o OpenLDAP, que embora já esteja na versão 2.3, é utilizado pelo Librix AD na versão Estudos foram feitos sobre as diferenças entre essas versões de OpenLDAP, e aprimoramentos estão sendo implementados para que o Librix AD possa utilizar essa versão mais nova do OpenLDAP. 5. Trabalhos recentes Desde que o Librix AD passou a ser desenvolvido pela equipe do LAS-IC-Unicamp, seu desenvolvimento focou-se no aprimoramento do produto, por meio de homologação de funcionalidades e conseqüentes correções de erros. Dentre os aprimoramentos, inclui-se tratamentos de casos de string overflow, reparos estruturais para o incremento de futuras funcionalidades, ajustes de mecanismos utilizados na configuração de serviços em estações remotas, e execução de avaliação heurística [Nielsen apud Rocha e Baranauskas, 2003] da interface de usuário. Estes aprimoramentos propiciam um aumento da robustez e usabilidade do sistema, e permitem futuros acréscimos de funcionalidades previstas. 6. Conclusão e Trabalhos Futuros O Librix AD é uma iniciativa de software livre que busca facilitar a gerência de diretórios LDAP, considerando adversidades como potenciais falhas ou interrupções de serviços de diretórios, e o fato de que as informações da organização podem estar armazenadas em diretórios LDAP distribuídos. Para tratar adversidades como estas, o Librix AD busca prover uma gerência de visão unificada através de sua interface Web, além de incluir funcionalidades para gerência de réplica, esquemas e controle de direitos sobre os objetos dos diretórios. O Librix AD também permite integrar a gerência de serviços de rede à gerência de diretórios, tornando transparente para o administrador a

6 configuração de serviços como Samba e NFS. Universidades são veículos importantes para o desenvolvimento e maturidade de softwares livres. Devido ao fato de serem entidades mantenedoras de conhecimentos dos mais variados ramos da ciência, desenvolver um software livre na universidade permite agregar, ou ao menos acessar facilmente, vários destes conhecimentos. O Librix AD é um exemplo desta realidade, não somente pelo fato de estar inserido na universidade, mas também por ser desenvolvido no mesmo laboratório da distribuição Linux Librix, a qual também é um software livre. A colaboração entre esses projetos e a universidade tem apresentado contribuições positivas em vários aspectos como, por exemplo, resolução de problemas de infra-estrutura, troca de conhecimento sobre ferramentas para desenvolvimento de software, ou até mesmo amadurecimento de idéias ou soluções pertinentes a ambos os projetos. Trabalhos futuros vislumbrados para o Librix AD incluem: adaptação para suporte a OpenLDAP 2.3; integração com o Microsoft Active Directory [Microsoft, 2007]; reorganização da implementação da API C para possibilitar maior robustez do software; melhorias na interface de usuário (inspiradas nos resultados das avaliações heurísticas efetuadas); atualização da documentação do sistema, incluindo a geração da documentação do código usando o software livre Doxygen [Heesch, 2007]. O Librix AD está disponível para download no site da distribuição Linux Librix [Librix, 2006]. Agradecimentos à Itautec pela parceria com o LAS-IC-Unicamp no projeto Librix AD. Referências Cruz, F. W.; Santos, G. A.; Medeiros, R. D. F.; Pereira, L. A.; Braga, M. C.; Diener, R. Uma Ferramenta para a Administração de Serviços de diretório Distribuídos Baseados no OpenLDAP. V Fórum Internacional de Software Livre (FISL), 2004, Porto Alegre. Heesch, D. (2007). Doxygen source code documentation generator tool. (20/03/2007). Itautec Philco S. A. (2005). White Paper Librix AD Administração Centralizada de Diretórios. White_Paper_Itautec_-_Librix_AD_V115.doc (01/03/2007). JLDAP (2007). Java LDAP. OpenLDAP Foundation. (01/03/2007). Librix (2006). Distribuição Linux Librix. (01/03/2007). Microsoft (2007). Windows Server 2003 Active Directory. windowsserver2003/technologies/directory/activedirectory (20/03/2007). OpenLDAP (2007). OpenLDAP Software 2.3 Administrator's Guide. OpenLDAP Foundation. (01/03/2007). Rocha, H. V.; Baranauskas, M. C. C. (2003). Design e Avaliação de Interfaces Humano- Computador. Campinas, SP: Nied/Unicamp.