Utilizando Active Directory para autenticação e OpenLDAP para dados dos usuários Projeto Libertas-BR http://www.libertasbr.org.br 8 de setembro de 2005 1 Definição do Ambiente Esta documentação trata das particularidades da Caixa Ecônomica com relação ao uso e instalação do OpenLdap. No ambiente Caixa, um servidor OpenLDAP, clientes OpenLDAP, clintes Windows e um servidor Active Directory (A.D.) devem conviver pacificamente. Na solução proposta para esse ambiente híbrido é necessário manter duas bases de dados distintas, já que os usuários do Linux e do Windows necessitam de informações diferentes. Nessa rede os usuário serão autenticados através do Kerberos do Active Directory da Microsoft, tanto nas máquinas Linux quanto nas máquinas Windows, no entanto, os dados desses usuários que logarem em uma máquina Linux serão recuperados através do OpenLDAP, que deverá ser instalado em uma servidora Linux. A figura:?? ilustra tal solução. 1
A.D. (LDAP + Kerberus) OpenLDAP Autentica diretamente no A.D. ticket + dados Autentica no A.D. e obtem o ticket Recebido o ticket recebe os dados do OpenLDAP Cliente Windows Cliente Linux Figura 1: Arquitetura de acesso no ambiente com Windows e Linux 2 Configuração do Ambiente CAIXA Nesta seção do documento detalhamos todo o processo que deve ser feito para que em uma mesma rede autentiquem máquinas Windows e máquinas Linux. 2.1 Pré-Requisitos ˆ Nesse ambiente deverá existir uma servidora Windows 2000 com o Active Directory da Microsoft instalado. A versão desse AD deve ser a Nativa e no mesmo deverão estar cadastrados todos os usuários da rede. ˆ Uma máquina servidora Linux também deverá ser instalada, contendo na mesma um servidor OpenLDAP. Para a instalação desse servidor OpenLDAP, vide a documentação de instalação de um servidor OpenLDAP.. ˆ Em todas as máquinas clientes Linux deve estar instalado o OpenLDAP Client. Para a instalação dos clientes LDAP, vide documentação de instalação de clientes OpenLDAP. ˆ Interpretador Perl. ˆ A data/hora das máquinas linux devem estar iguais a máquina servidor AD. 2.2 Como Proceder Alterações de configuração deverão ser feitas tantos nas máquinas clientes Linux, quanto na servidora Linux. 2
2.2.1 Alterações na Máquina Cliente Todas as alterações deverão ser feitas como usuário root. Primeiramente deverão ser instalados os pacotes krb5-config, libkrb53 e o libpam-krb5, referentes ao protocolo de comunicação com um servidor Kerberos. 1. Execute os seguintes comandos: #> apt-get install krb5-config #> apt-get install libkrb53 #> apt-get install libpam-krb5 Durante a instalação desses pacotes, a respostas as perguntas não são relavantes, uma vez que todos os arquivos de configuração estão documentados a seguir. 2. Nomeie a máquina Linux, caso a mesma ainda não possua um nome. Para isso execute o seguinte comando: #> hostname = nomemaquina.bh_agencialivre.livre No caso acima, a máquina foi inserida no segmento de rede BH AGENCIALIVRE.livre. 3. Editar o arquivo /etc/hosts da seguinte forma: 127.0.0.1 maquina.bh_agencialivre.livre localhost localhost.localdomain 150.164.3.238 maquina No exemplo acima, 150.164.3.238 representa o IP da máquina e maquina o nome da máquina. 4. Edite o arquivo /etc/krb5.conf da seguinte forma: #Aqui é o local onde se define onde tudo referente ao cliente Kerberos # será logado [logging] default = FILE:/var/log/krb5libs.log kdc = FILE:/var/log/krb5kdc.log admin_server = FILE:/var/log/kadmind.log #Aqui é o local onde se informa ao cliente kerberos em qual dominio # ele ira trabalhar. Para isso deve-se substituir <DominioWindows> pelo # domínio Windows, todo em letras maiusculas. Além disso deve-se # substituir o valor 150.164.3.229 pelo IP do seu servidor AD [realms] <DominioWindows> = { kdc = 150.164.3.229 #IP do servidor AD 3
} admin_server = 150.164.3.229 #IP do servidor AD #Aqui é configurado qual o dominio padr~ao, uma vez que varios #dominios podem ser configurados. Deve-se substituir #<DominioWindows> pelo domínio Windows, todo em letras #maiusculas #ESSE VARIAVEL DEVE EXISTIR SEMPRE [libdefaults] default_realm = <DominioWindows> #Aqui s~ao definidas as regras de traduç~ao do domínio de # sua máquina linux para o dominio do servidor AD. #Deve-se substituir <DominioWindows> pelo # domínio Windows, todo em letras maiusculas [domain_realm].bh_agencialivre.livre = <DominioWindows> BH_AGENCIALIVRE.livre = <DominioWindows> No exemplo acima, no campo <DominioWindows> deve ser colocado o domínio para o qual o servidor AD responde, por exemplo CAIXA. 5. Editar o arquivo /etc/pam.d/common-auth para que as autenticações sejam feitas agora no kerberos do AD. Para isso altere o arquivo da seguinte forma: auth sufficient pam_krb5.so auth required pam_unix.so use_first_pass auth required pam_env.so # [1] 6. Editar o arquivo /etc/pam.d/common-password para que as alteraões feitas na senha do usuário seja feita agora no kerberos do AD. Para isso altere o arquivo da seguinte forma: password requisite pam_cracklib.so retry=3 minlen=6 difok=3 password sufficient pam_krb5.so password required pam_unix.so nullok obscure use_first_pass 7. Reinicie o nscd para que as alterações realizadas possam ser consideradas. Para isso execute o seguinte comando: #>/etc/init.d/nscd restart 2.2.2 Alterações na Máquina Servidora Na máquina servidora não será necessário alterar nenhuma configuração no servidor OpenLDAP. No entanto os usuários cadastrados no Active Directory deverão ser exportados e cadastrados no servidor LDAP do Linux. Para isso, siga os seguintes passos: 4
1. Exporte os dados do AD executando o comando abaixo no Comand Dos da servidora Windows #> ldifde -m -f ad_export.ldif 2. Copie o arquivo gerado para a máquina Linux. 3. Execute o script parser AD LDAP.perl para que a base do AD seja alterada para o formato de entrada do LDAP. Esse script é executado da seguinte forma: #> perl parser_ad_ldap.perl ad_export.ldif base_ldap.ldif 4. Importe os dados para dentro do ldap através do seguinte comando: #> ldapmodify -x -W -f base_ldap.ldif -D "cn=admin,dc=bh_agencialivre,dc=livre" No campo cn=admin,dc=bh AGENCIALIVRE,dc=livre deve ser colocado a identificação do usuário administrador do servidor LDAP, informado na instalação do mesmo. Entre com a senha do administrador. Pronto, agora seu ambiente possui os dados dos usuários replicados no ambiente Linux, e a autenticação centralizada no Active Directory, ou seja, para logar tanto em uma máquina Linux quanto em uma máquina Windows, basta o usuário entrar com seu login e sua senha. 2.3 Troca de senhas Caso seja necessário, o usuário pode alterar sua senha (que é única no dois ambientes) de uma máquina Linux. Para isso, basta o mesmo abrir um terminal e executar o seguinte comando: #> passwd O sistema solicitará sua senha atual, sua nova senha e a confirmação da mesma. 5
A Créditos Documento Utilizando Active Directory para autenticação e OpenLDAP para dados dos usuários Direitos Autorais Reservados (c) Universidade Federal de Minas Gerais Departamento de Ciência da Computação Laboratório de Software Livre: Leonardo Chaves Dutra da Rocha - lcrocha@dcc.ufmg.br Esta documentação é livre; você pode redistribuí-la e/ou modificá-la sob os termos da Licença Pública Geral GNU conforme publicada pela Free Software Foundation; tanto na sua versão 2, como qualquer versão posterior (a seu critério). A distribuição desta documentação é feita na expectativa de que ela seja útil, porém, sem nenhuma garantia; nem mesmo a garantia implícita de comerciabilidade ou adequação a uma finalidade específica. Consulte a Licença Pública Geral do GNU para mais detalhes. http://creativecommons.org/licenses/gpl/2.0/ http://creativecommons.org/licenses/gpl/2.0/legalcode.pt 6