EXTREME LDAP POR GABRIEL STEIN

Transcrição

1 EXTREME LDAP POR GABRIEL STEIN

2 T Ó P I C O S A B O R D A D O S ANATOMIA DE SCHEMAS TRABALHANDO COM BACKEND SQL BOTANDO ORDEM NA CASA: PASSWORD POLICIES OPENLDAP TUNNING

3 Anatomia de Schemas

4 A n a t o m i a d e s c h e m a s Schemas são arquivos texto compostos de vários atributos e objectclasses As objectclasses nos schemas dizem quais os atributos DEVEM e quais os atributos PODEM ter uma entrada Cada atributo e cada objectclass tem um número identificador conhecido como Object Identifier - OID

5 A n a t o m i a d e s c h e m a s - 2 OIDs são fornecidos pela IANA - Schemas definem quais os tipos de comparações serão feitas com atributos(case Sensitive e Case Insensitive)

6 A n a t o m i a d e s c h e m a s MATCHING RULES

7 A n a t o m i a d e s c h e m a s MATCHING RULES São as regras que determinam as comparações dos valores de atributos Comparações podem ser feitas de acordo com a caixa das letras: - Case Sensitive: Sensível a letras maiúsculas e minúsculas(linux é diferente de linux) Exemplo: CaseExactMatch - Case Insensitive: Não sensível a letras maiúsculas e minúsculas(linux é igual a linux) Exemplo: CaseIgnoreMatch

8 A n a t o m i a d e s c h e m a s MATCHING RULES - continuação Comparações podem ser feitas de acordo com o valor do atributo: - Booleanos Exemplo: booleanmatch - Inteiros Exemplo: integermatch

9 A n a t o m i a d e s c h e m a s SINTAXES

10 A n a t o m i a d e s c h e m a s SINTAXES Determinam como os valores dos atributos serão representados; DADO OID DESC. Binary BER/DER data Boolean Booleano Integer Inteiro

11 A n a t o m i a d e s c h e m a s ATRIBUTO

12 A n a t o m i a d e s c h e m a s ATRIBUTO Atributos são componentes responsáveis por armazenar valores numa base; Podem ser herdados de uma objectclass desde que sejam obrigatórios attributetype ( NAME 'serialnumber' DESC 'RFC2256: serial number of the entity' EQUALITY caseignorematch SUBSTR caseignoresubstringsmatch SYNTAX {64} )

13 A n a t o m i a d e s c h e m a s ATRIBUTO Desmembrando parte 1 OID Alias do atributo attributetype ( NAME 'serialnumber' DESC 'RFC2256: serial number of the entity' EQUALITY caseignorematch SUBSTR caseignoresubstringsmatch SYNTAX {64} ) Descrição textual Qualificador do Tipo de Matching Tipo Matching Rule Sintaxe do OID Tamanho / Valor único / Multi-valores

14 A n a t o m i a d e s c h e m a s ATRIBUTO Desmembrando parte 2 No slide anterior, constatamos: O OID da ObjectClass é Esse número identifica unicamente o atributo; O nome do atributo que pode ser utilizado em uma entrada é serialnumber; O parâmetro DESC oferece informações descritivas sobre o atributo, além de referenciar uma RFC, que no caso é a Consultando a RFC, no item 5.6 temos o próprio atributo: 5.6. serialnumber This attribute contains the serial number of a device. ( NAME 'serialnumber' EQUALITY caseignorematch SUBSTR caseignoresubstringsmatch SYNTAX {64} )

15 A n a t o m i a d e s c h e m a s ATRIBUTO Desmembrando parte 3 insistindo... Temos a indicação da utilização de um método de comparação através da diretiva EQUALITY. caseignorematch indica que maiúsculas e minúsculas terão valor igual. Outro método de comparação na busca: SUBSTRing. Também ignora maiúsculas e minúsculas, igualando-as; A diretiva SYNTAX referece ao tipo de dado armazenado. Então, pesquisando a RFC 4517 que descreve isso temos: = PrintableString (O que é isso??) A definição no LDAP de PrintableString: ( DESC 'Printable String' )

16 A n a t o m i a d e s c h e m a s ATRIBUTO Desmembrando parte 4 Continuando, de forma incansável... Continuando a investigar mais sobre o tipo de syntax conhecido como PrintableString na RFC 4517(livre-tradução): O valor da syntax Printable String é uma string de um ou mais caracteres do alfabeto latino, números, pontuação especificados pela regra PrintableCharacter. PrintableCharacter = ALPHA / DIGIT / SQUOTE / LPAREN / RPAREN / PLUS / COMMA / HYPHEN / DOT / EQUALS / E se você ainda está curioso sobre as regras acima... leia a RFC E o valor que está entre chaves na diretiva SYNTAX??

17 A n a t o m i a d e s c h e m a s ATRIBUTO Desmembrando parte 5 E chegando ao final! O último campo da diretiva SYNTAX define qual o tamanho do campo e configurações diversas sobre o valor; Um esqueleto de montagem de atributo: attributetype ( <OID do atributo> [ "NAME" <nome do atrituto> ] [ "DESC" <descrição do atributo> ] [ "OBSOLETE" ] [ "SUP" <OID do atributo ancestral> ] [ "EQUALITY" <regra de comparação> [ "ORDERING" <regra de comparação> [ "SUBSTR" <regra de comparação> ] [ "SYNTAX" <OID da SYNTAX> ] [ "SINGLE-VALUE" ] [ "COLLECTIVE" ] [ "NO-USER-MODIFICATION" whsp ] [ "USAGE" whsp AttributeUsage ] ")"

18 A n a t o m i a d e s c h e m a s OBJECTCLASSES

19 A n a t o m i a d e s c h e m a s OBJECTCLASSES objectclass ( NAME 'inetorgperson' DESC 'RFC2798: Internet Organizational Person' SUP organizationalperson STRUCTURAL MAY (audio $ businesscategory $ carlicense $ departmentnumber $ displayname $ employeenumber $ employeetype $ givenname $ homephone $ homepostaladdress $ initials $ jpegphoto $ labeleduri $ mail $ manager $ mobile $ o $ pager $ photo $ roomnumber $ secretary $ uid $ usercertificate $ x500uniqueidentifier $ preferredlanguage $ usersmimecertificate $ userpkcs12 )

20 A n a t o m i a d e s c h e m a s OBJECTCLASS - InetOrgPerson Possuem um número identificador: OID; Possuem nome; Possuem descrição informativa e referência a RFCs; Existe a herança entre objectclasses, onde uma pode herdar os atributos obrigatórios de outra; São separadas em 3 tipos: STRUCTRAL, AUXILIARY e ABSTRACT; Possuem um conjunto de atributos que uma entrada DEVE ter; Possuem um conjunto de atributos que uma entrada PODE ter;

21 A n a t o m i a d e s c h e m a s OBJECTCLASSES Descrição RFC 2798 Seção 1: Cenário e uso A object class inetorgperson é uma object class de uso geral e que possui atributos sobre pessoas. Os atributos armazenam o que é exigido para acomodar informações típicas na implementação de serviços de internet e intranets;

22 A n a t o m i a d e s c h e m a s OBJECTCLASSES Heranças A diretiva SUP indica que a referida object class herda atributos de outra object class; No exemplo, é indicada a object class organizationalperson seguindo(core.schema): objectclass ( NAME 'organizationalperson' DESC 'RFC2256: an organizational person' SUP person STRUCTURAL Seguindo... objectclass ( NAME 'person' DESC 'RFC2256: a person' SUP top STRUCTURAL MUST ( sn $ cn )

23 A n a t o m i a d e s c h e m a s OBJECTCLASSES Tipos STRUCTURAL: São objectclasses básicas para cada objeto; Exemplo: person AUXILIARY: São objectclasses aditivas, complementam as objectclasses STRUCTURAL; Exemplo: pilotobject ABSTRACT: São utilizadas para definir o modelo básico de dados do LDAP Exemplo: top

24 A n a t o m i a d e s c h e m a s OBJECTCLASSES Relações de Atributos MUST: Atributos que são obrigatórios quando uma object class é referenciada numa entrada na base, ou quando existem heranças em outras objectclass; MUST ( sn $ cn ) MAY: Atributos que são opcionais quando uma object class é referenciada na base; MAY (audio $ businesscategory $ carlicense $ departmentnumber $ displayname $ employeenumber)

25 Trabalhando com Backend SQL

26 B a c k e n d S Q L O backend SQL não é para ser utilizado para criar primeira porção da árvore LDAP, mas sim dados relacionais, utilizando MySQL, PostgreSQL; O overhead feito pelo ODBC e o mapeamento do modelo de dados relacional para o modelo de dados LDAP que deve ser feito pela própria database relacional, o que limita a performance do back-sql;.

27 B a c k e n d S Q L Configuração Compilação Deve ser atribuída a opção enable-sql junto com o script configure do pacote fonte do OpenLDAP; O suporte OpenLDAP SQL requer que as bibliotecas iodbc ou as bibliotecas unixodbc estejam instaladas no sistema;

28 B a c k e n d S Q L Conceitos de mapeamento O back-sql utiliza um conjunto de tabelas na própria database relacional para armazenar informação em qual tabela e campos correspondem a um determinado atributo LDAP e quais chaves correspondem a um determinado objeto LDAP; As chaves na database devem ser inteiros(o que é o padrão) O conceito de mapeamento requer inúmeros joins numa tabela, então indexar campos chave é essencial para uma melhor performance;

29 B a c k e n d S Q L Inserção de dados no banco O pacote fonte do OpenLDAP possui um diretório com o nome de rdbm_depends que contém inúmeros scripts sql para preencher a database relacional; Existem versões desses scripts sql para MySQL, PostgreSQL, Oracle...

30 B a c k e n d S Q L Mapeamento de ObjectClasses tabela: ldap_oc_mappings CREATE SEQUENCE ldap_oc_mappings_id_seq; CREATE TABLE ldap_oc_mappings ( id int4 NOT NULL PRIMARY KEY DEFAULT nextval ('ldap_oc_mappings_id_seq'), name varchar(64) NOT NULL, keytbl varchar(64) NOT NULL, keycol varchar(64) NOT NULL, create_proc varchar(255), delete_proc varchar(255), expect_return int NOT NULL ); objectclass chave(inteiro Stored procedure para remover objetos das tabelas RDBM baseado na chave(valor inteiro)

31 B a c k e n d S Q L Mapeamento de Atributos tabela: ldap_attr_mappings CREATE SEQUENCE ldap_attr_mappings_id_seq; CREATE TABLE ldap_attr_mappings ( id int4 NOT NULL PRIMARY KEY default nextval('ldap_attr_mappings_id_seq'), oc_map_id int4 NOT NULL, name varchar(255) NOT NULL, sel_expr varchar(255) NOT NULL, sel_expr_u varchar(255), from_tbls varchar(255) NOT NULL, join_where varchar(255), Expressão utilizada para joins diversos lista de tabelas envolvidas numa consulta separadas por vírgula id da objectclass correspondente na tabela ldap_oc_mappings atributo expressão para o select(tabela.ca mpo)

32 B a c k e n d S Q L Mapeamento de Atributos tabela: ldap_attr_mappings add_proc varchar(255), delete_proc varchar(255), param_order int NOT NULL, expect_return int NOT NULL, FOREIGN KEY (oc_map_id) REFERENCES ldap_oc_mappings(id) ); Store Procedure para adicionar um valor para esse atributo dando um id de objeto e um id. Store Procedure para apagar o objeto e o seu id.

33 B a c k e n d S Q L Mapeamento de dn tabela: ldap_entries CREATE SEQUENCE ldap_entries_id_seq; CREATE TABLE ldap_entries ( id int4 NOT NULL PRIMARY KEY DEFAULT nextval('ldap_entries_id_seq'), dn varchar(255) NOT NULL UNIQUE, -- dn_ru varchar(255), oc_map_id int4 NOT NULL, parent int NOT NULL, keyval int NOT NULL, UNIQUE (oc_map_id,keyval), dn Virtual id da object class em ldap_oc_mappingsr id de referência do parent para fazer o mapeamento correto do objeto. Raiz da base: 0 Valor inteiro para mapear o objeto a dn atual FOREIGN KEY (oc_map_id) REFERENCES ldap_oc_mappings (id) );

34 B a c k e n d S Q L Mapeamento de ObjectClasses tabela: ldap_entry_objclasses CREATE TABLE ldap_entry_objclasses ( entry_id int4 NOT NULL, oc_name varchar(64), FOREIGN KEY (entry_id) REFERENCES ldap_entries(id) ); id do objeto virtual da tabela ldap_entries nome da object class O campo oc_map_id da tabela ldap_entries permite o mapeamento de apenas 1 object class, mas essa tabela trabalha para que mais objectclasses sejam utilizadas em um objeto.

35 Password Policies

36 P a s s w o r d P o l i c i e s Possibilita fazer um controle de senha dos usuários da base; Permite controlar o vencimento da senha, tamanho mínimo, histórico, qualidade da senha; O OpenLDAP deve ser compilado para que o overlay funcione. Na configuração da compilação(./configure) deve ser habilitado o password policy com o enable-ppolicy; Após a compilação, deve ser referido o schema ppolicy.schema no slapd.conf; Outra configuração slapd.conf: overlay ppolicy ppolicy_default "cn=default,ou=policies,dc=tchelinux,dc=org"

37 P a s s w o r d P o l i c i e s Exemplo de entrada na base: dn: cn=gabriel,ou=usuarios,ou=policies,dc=tchelinux,dc=org objectclass: pwdpolicy objectclass: top objectclass: device cn: gabriel pwdattribute: userpassword pwdmaxage: pwdexpirewarning: pwdinhistory: 6 pwdcheckquality: 1 pwdminlength: 8 pwdmaxfailure: 4 pwdlockout: TRUE pwdlockoutduration: 1920 pwdgraceauthnlimit: 0 pwdfailurecountinterval: 0 pwdmustchange: TRUE pwdallowuserchange: TRUE pwdsafemodify: TRUE

38 Dicas

39 D i c a s Use e abuse de índices; Preste atenção na configuração do banco(db_config); Use replicação sempre! Mantenha sempre o backup atualizado; Um bom planejamento é fundamental; O OpenLDAP possui inúmeras funcionalidades, portanto, existem inúmeras formas da implementação do serviço de diretório; Criptografia de dados!! Log separado ==> (syslog.conf) diretiva local4.* -/var/log/ldap.log Para uma boa performance, use filesystem journalized e mantenha o journal em outra partição;

40 ????? MUITO OBRIGADO!!!?