Thank you for reading this post, don't forget to subscribe!

FreeIPA  бес­плат­ная реа­ли­за­ция сер­ве­ра хра­не­ния дан­ных об объ­ек­тах без­опас­но­сти (поль­зо­ва­те­ли, груп­пы, ком­пью­те­ры и так далее). Доступ к дан­ным осу­ществ­ля­ет­ся с помо­щью про­то­ко­ла LDAP. Раз­ра­бо­тан FreeIPA ком­па­ни­ей Red Hat. В каче­стве ана­ло­гов мож­но при­ве­сти в при­мер Microsoft Active Directory, OpenLDAP, Samba (с вер­сии 4).

По сути, FreeIPA — ком­плекс ком­по­нен­тов, кото­рые и обес­пе­чи­ва­ют сервис:

• В каче­стве реа­ли­за­ции LDAP исполь­зу­ет­ся 389 Directory Server.
• Для аутен­ти­фи­ка­ции поль­зо­ва­те­лей, FreeIPA исполь­зу­ет сете­вой про­то­кол Kerberos.
• Для инте­гра­ции с Active Directory — Samba.
• Сер­вис dns (для раз­ре­ше­ния имен и поис­ка сер­ви­сов) — BIND.
• Управ­ле­ние сер­ти­фи­ка­та­ми — DogTag.

В каче­стве опе­ра­ци­он­ных систем, на кото­рые может быть уста­нов­лен сер­вер FreeIPA, мож­но исполь­зо­вать Linux (напри­мер, Red Hat, CentOS, Debian, Ubuntu). В каче­стве кли­ен­том так­же под­дер­жи­ва­ют­ся Windows и MacOS. Уста­нов­ка может быть выпол­не­на из репо­зи­то­рия или в каче­стве кон­тей­не­ра Docker. Из короб­ки, FreeIPA так­же под­дер­жи­ва­ет управ­ле­ние по веб-интер­фей­су. Подроб­ную доку­мен­та­цию мож­но най­ти на офи­ци­аль­ном сай­те.

Подготовка сервера

Для под­го­тов­ки сер­ве­ра без­опас­но­сти с досту­пом к дан­ным по LDAP необ­хо­дим сер­вер с пра­виль­но настро­ен­ным вре­ме­нем. Так­же необ­хо­ди­мо пра­виль­но настро­ить меж­се­те­вой экран и систе­му без­опас­но­сти SELinux.

Время

Уста­но­вим часо­вой пояс:

* в дан­ном при­ме­ре исполь­зу­ет­ся мос­ков­ское время.

Затем уста­нав­ли­ва­ем и запус­ка­ем ути­ли­ту для син­хро­ни­за­ции вре­ме­ни chrony.

Имя сервера

Для кор­рект­ной рабо­ты сер­ве­ра, необ­хо­ди­мо, задать ему пол­ное домен­ное имя (FQDN). Выпол­ня­ем команду:

* где ipa-server.test.ru — имя сер­ве­ра, кото­рое будет использоваться.

Брандмауэр

Необ­хо­ди­мо открыть несколь­ко пор­тов, кото­рые исполь­зу­ют­ся служ­ба­ми FreeIPA:

Установка и запуск FreeIPA

Уста­нов­ка выпол­ня­ет­ся из репо­зи­то­рия командой:

После выпол­ня­ем кон­фи­гу­ри­ро­ва­ние сервиса:

На пер­вый вопрос, хотим ли мы исполь­зо­вать и скон­фи­гу­ри­ро­вать DNS-сер­вер BIND отве­ча­ем утвердительно:

На осталь­ные запро­сы мож­но отве­тить по умол­ча­нию, нажав Enter и оста­вив под­став­лен­ные зна­че­ния. Если воз­ник­нут ошиб­ки, реше­ние посмот­ри­те ниже в дан­ной инструкции.

Когда систе­ма запро­сит пароль для Directory Manager, необ­хо­ди­мо при­ду­мать и вве­сти его дважды:

… будет созда­на учет­ная запись для под­клю­че­ния к LDAP.

Затем так­же нуж­но при­ду­мать и задать пароль для IPA admin:

… будет созда­на учет­ная запись IPA Administrator для пер­во­го поль­зо­ва­те­ля FreeIPA с пра­ва­ми администратора.

Для настрой­ки DNS на пер­вый запрос, хотим ли мы настро­ить пере­на­прав­ле­ния, отве­ча­ем да:

Систе­ма пред­ло­жит сна­ча­ла исполь­зо­вать DNS-сер­ве­ры из настро­ек сети (если они про­пи­са­ны) — если нас это устро­ит, остав­ля­ем зна­че­ние по умолчанию:

… так­же мож­но доба­вить допол­ни­тель­ные серверы:

Так­же остав­ля­ем зна­че­ние по умол­ча­нию для попыт­ки най­ти обрат­ные зоны:

После систе­ма выве­дет инфор­ма­цию о кон­фи­гу­ра­ции и попро­сит ее под­твер­дить — вво­дим yes:

Нач­нет­ся про­цесс кон­фи­гу­ра­ции. После его завер­ше­ния мы уви­дим под­сказ­ку со сле­ду­ю­щи­ми шагами:

… и так как пор­ты мы уже настра­и­ва­ли, пере­хо­дим ко вто­ро­му шагу — про­ве­рим, что систе­ма может выдать билет:

… после вво­дим пароль адми­ни­стра­то­ра, кото­рый ука­зы­ва­ли при кон­фи­гу­ри­ро­ва­нии FreeIPA.

Про­ве­ря­ем, что билет получен:

Ответ дол­жен быть, при­мер­но, следующим:

* где test.ru — домен в моей систе­ме. В дан­ном при­ме­ре мы полу­чи­ли билет для поль­зо­ва­те­ля admin.

Настройка и подключение клиента

Кли­ент­ские ком­пью­те­ры долж­ны быть настро­е­ны на исполь­зо­ва­ние DNS-сер­ве­ра, кото­рый мы скон­фи­гу­ри­ро­ва­ли на сер­ве­ре FreeIPA во вре­мя его уста­нов­ки. В сете­вых настрой­ках ука­зы­ва­ем исполь­зо­вать наш сер­вер ipa для раз­ре­ше­ния имен и пере­за­пус­ка­ем сете­вую службу:

Уста­нав­ли­ва­ем клиента.

а) на ком­пью­те­ры с Red Hat / CentOS:

б) на ком­пью­те­ры с Debian / Ubuntu:

Выпол­ним кон­фи­гу­ри­ро­ва­ние клиента:

… систе­ма на осно­ве дан­ных из DNS попро­бу­ет опре­де­лить настрой­ки и отоб­ра­зить их в кон­со­ли, например:

Если эти настрой­ки вер­ны, отве­ча­ем поло­жи­тель­но на запрос Continue to configure the system with these values?

Систе­ма спро­сит, от како­го поль­зо­ва­те­ля про­из­во­дить настрой­ку — вво­дим admin:

… и пароль:

Нач­нет­ся про­цесс кон­фи­гу­ра­ции — после его завершения:

… сра­зу про­ве­рим, что кли­ент может полу­чать билет от сервера:

…  и вво­дим пароль от поль­зо­ва­те­ля admin.

Про­ве­ря­ем, что билет получен:

Ответ дол­жен быть, при­мер­но, следующим:

Кли­ент настроен.

Создание пользователей

Созда­дим поль­зо­ва­те­ля. Для это­го рас­смот­рим при­мер исполь­зо­ва­ния команд­ной стро­ки и веб-интерфейса.

Командная строка

Авто­ри­зу­ем­ся на FreeIPA:

Созда­ем ново­го поль­зо­ва­те­ля командой:

* где mid — логин; first — имя поль­зо­ва­те­ля; last — фами­лия; password — ключ для запро­са пароля.

… после вво­да коман­ды систе­ма запро­сит пароль для созда­ва­е­мо­го поль­зо­ва­те­ля — вво­дим его дважды.

Мы долж­ны уви­деть свод­ку по пара­мет­рам для создан­но­го пользователя:

Веб-интерфейс

Откры­ва­ем бра­у­зер и пере­хо­дим по адре­су име­ни сер­ве­ра — в нашем при­ме­ре, https://ipa-server.test.ru. Закры­ва­ем всплы­ва­ю­щее окно с запро­сом паро­ля. В появив­шей­ся стра­ни­це авто­ри­за­ции вво­дим логин admin и его пароль.

Откро­ет­ся стра­ни­ца управ­ле­ния пользователями:

В открыв­шем­ся окне запол­ня­ем поля для созда­ния поль­зо­ва­те­ля и нажи­ма­ем по Доба­вить:

Проверка

На ком­пью­те­ре с кли­ен­том вво­дим коман­ду для проверки:

… и вво­дим пароль от создан­ной учет­ной записи:

При пер­вом вхо­де систе­ма попро­сит поме­нять пароль на новый:

SSH аутентификация через FreeIPA

По умол­ча­нию, кли­ент кон­фи­гу­ри­ру­ет­ся на воз­мож­ность вхо­да по SSH с исполь­зо­ва­ни­ем поль­зо­ва­те­лей из FreeIPA. Вне­сем неко­то­рые изме­не­ния для удобства.

Откры­ва­ем кон­фи­гу­ра­ци­он­ный файл для pam:

Доба­вим в конец одну строку:

* дан­ная настрой­ка ука­жет на необ­хо­ди­мость авто­ма­ти­че­ско­го созда­ния домаш­ней дирек­то­рии для пользователя.

Гото­во.

Возможные ошибки

Раз­бе­рем неко­то­рые ошиб­ки, кото­рые могут воз­ник­нут в про­цес­се уста­нов­ки FreeIPA.

1. ipapython.admintool: ERROR    IPv6 stack is enabled in the kernel but there is no interface that has ::1 address assigned. Add ::1 address resolution to 'lo' interface. You might need to enable IPv6 on the interface 'lo' in sysctl.conf.

Ошиб­ка появ­ля­ет­ся при попыт­ке запу­стить коман­ду ipa-server-install.

При­чи­на: если в систе­ме отклю­чен IPv6 с помо­щью пара­мет­ра в ядре net.ipv6.conf.all.disable_ipv6 или net.ipv6.conf.default.disable_ipv6, то коман­да выдаст ошиб­ку, так как для локаль­ной пет­ли нам нужен IPv6.

Реше­ние: откры­ва­ем кон­фи­гу­ра­ци­он­ный файл sysctl:

Добав­ля­ем строку:

При­ме­ня­ем настройки:

2. Invalid hostname 'XXX', must be fully-qualified

Появ­ля­ет­ся при запус­ке коман­ды ipa-server-install.

При­чи­на: имя наше­го сер­ве­ра не явля­ет­ся FQDN (пол­ным доменным).

Реше­ние: зада­ем пол­ное имя с доме­ном командой:

* в дан­ном при­ме­ре у сер­ве­ра будет имя ipa-server в домене test.ru.