Newsgroup: it.comp.os.linux.sys
Titolo: LDAP + Kerberos: 2 passaggi per creare un utente?

Salve NG,
oggi sono preso con kerberos + ldap :)
Sulle varie guide che ho trovato in rete su kerberos con database mappato su 
LDAP, la creazione di un nuovo utente è più macchinosa del previsto:
prima si crea l'utente su LDAP sotto ou=people (usando un file ldif o i 
smbldap-tools) poi si deve creare lo stesso utente tramite kadmin di 
kerberos.
In pratica prima aggiungo una entry in:
"ou=people,dc=example,dc=com"
 e poi ne aggiungo un'altra in:
"cn=
EXAMPLE.COM
,ou=krb5,dc=example,dc=com" (e qua' dipende da dove l'ho 
voluto mettere)
Sono 2 posti diversi sotto lo stesso albero dc=example,dc=com. Esiste un 
tool per la creazione di un utente in un singolo passaggio? Mi devo fare uno 
script? (Non vorrei reinventare sempre l'acqua calda)
Grazie, Nicola.
-- 
chi va pian va san e va lontan

 ha scritto:

Guarda, potresti buttare un occhio agli "short referral" di LDAP
(altrimenti detti ldap referral) ... che però non so se sono
applicabili anche ad Active Directory.
p.s.: stiamo parlando di Active Directory, giusto?
-- 
Wikipedia Admin: "wikipedia non è un blog"
Iosif Stalin: "i compagni hanno scambiato il partito per un circolo di
discussione"

 p.s.: stiamo parlando di Active Directory, giusto?
Beh, io lavoro tutto con linux lato server mentre i client sono misti. Mi 
vergogno ammettere che non ho la più pallida idea di cosa sia Active 
Directory.


 
Be' Active Directory è l'implementazione LDAP sui server windows.
Dopo svariate decine di messaggi ho finalmente capito quel che stai
facendo: tu usi LDAP e Kerberos su Linux e non A.D. da un server
windows.


 Be' Active Directory è l'implementazione LDAP sui server windows.
Diciamola meglio: AD e` un sistema di autenticazione e gestione file che, 
tra le altre cose, implementa un sistema LDAP su Windows. Per ottenere un 
servizio simile ad AD su Linux, attualmente devi installare Samba + LDAP + 
Kerberos + NTP + DNS + DHCP sulla tua rete
Enrico

Il giorno Sun, 13 Mar 2011 02:21:11 +0100
Enrico 'Henryx' Bianchi <enrico....@gmail.com_INVALID_> ha scritto:

hai ragione pure tu.
faccio solo notare che *VOLENDO* ldap potrebbe diventare il contenitore
unico, il back-end di tutto, la banca dati per tutti i servizi che hai
citato.
LDAP gestisce già le entry DNS, fornendo una valida alternativa ai file
di testo, ed è in grado di gestire pure le configurazioni e i lease di
DHCP (apt-cache show dhcp3-server-ldap), così come avviene per sudo e
per le stampanti, e *volendo* potrebbe contenere anche dati e
configurazioni dei server NTP.
E c'è gente che lo usa anche per centralizzare i file /etc/hosts
e /etc/networks.
Fra l'altro, disponendo LDAP di un socket, al contrario di gconf, dei
file conf di Unix o del registro di Windows, potrebbe essere un punto di
accesso per una gestione centralizzata di tutte le configurazioni ;-)
In linea di massima, buona parte delle cose che ho detto possono essere
già ldappizzate, poiché esistono una serie di programmi ldap-aware:
- dns
- dhcp
- file hosts, networks
- sudo
- stampanti
- autenticazione
Si tratta di servizi dove l'accesso avvien prevalentemente, se non
esclusivamente, in lettura e qui LDAP vince a mani basse contro tutti i
suoi "nemici".


 accesso per una gestione centralizzata di tutte le configurazioni ;-)
Tremo al solo pensiero di ficcare tutto su ldap :O


 Toh, ho tutto questo! Allora sto' implementando un Active Directory :)
No, stai implementando un Domain Controller (per la precisione, un Primary 
Domain Controller) :P
Personalmente ti direi di lasciar perdere, in quanto Samba 3 si imposta come 
PDC, ovvero come il suo predecessore, che e` stato disabilitato da Windows 7 
in poi. Se poi 'sta roba ti serve per altro, prova a dare un'occhiata a 
FreeIPA, che piu` o meno fa quello che potrebbe servire a te
Enrico

 NicoKid wrote:

Il problema, a quel che mi pare di capire, è che lui vuole autenticare
pure i client windows.
Dici che si può fare con freeipa?? Non ho idea perché non ci ho
guardato bene. So che ha un client dedicato per Linux (sssd) che ti fa
autenticare anche quando il server è offline, ma non so se supporta
pure i windows.


 Max_Adamo wrote:

in realtà guarda che non c'è tantissimo da toccare.
Per aggiungere sudo l'ho fatto una domenica pomeriggio e basta
aggiungere lo schema, già disponibile per diversi server LDAP e
leggerti qualche howto, neanche troppo complicato.
Immagino sia lo stesso anche per il DNS e per il DHCP.
Certo che se invece vuoi implementare tutto il mondo, allora il
discorso cambia, in quanto i programmi che non lo prevedono vanno
riscritti per il supporto ad LDAP e vanno inventati anche gli schema
per i nuovi oggetti.


Enrico 'Henryx' Bianchi wrote:

Uh? Scusa ma non ho ben capito. Io attualmente ho un server samba che in 
effetti fa da PDC al quale si autenticano i pc win XP e W2K.
Ora ho l'esigenza di fare un single sign on in modo da continuare ad 
autenticare i client windows su samba e appena autenticati devono poter 
accedere ad un secondo server linux via ssh senza bisogno di riautenticare.
Inoltre speravo di ficcarci dentro dei nuovi client win7 visto che ora si 
trova solo quello. Vuoi dirmi che non riuscirò ad autenticare client win7?
Grazie, Nicola.


 poter accedere ad un secondo server linux via ssh 
allora, già che ti piace il giochino, guarda che LDAP può gestire anche
le chiavi SSH ;-)
Nel senso che, invece di copiarle su ciascuna macchina in $HOME/.ssh/
le reperirai direttamente sul server LDAP e le gestirai in modo
centralizzato.
E' una cosa che lessi tanto tempo fa, ma ricordo poco o niente.


 centralizzato.
Ah, pure quello.
Beh, al momento vado ancora di user e password. Comunque grazie 
dell'informazione.



http://blog.fupps.com/2006/03/02/ssh-public-keys-from-ldap/
Massimiliano

 
http://blog.fupps.com/2006/03/02/ssh-public-keys-from-ldap/
Grazie, del link. Comunque mi pare piu' comodo usare user e password invece 
di gestire i certificati. Da intendersi che user e password sono quelle sul 
server ldap (non è che vado a mano su ogni server a cambiare le password 
degli utenti). E comunque ora provo a mettere su l'autenticazione ssh via 
kerberos che mi pare più carina (IMHO).
Grazie, Nicola.


NicoKid wrote:

Intanto ho scoperto che previa opportuna modifica delle acl di openldap è 
possibile aggiungere un utente in kerberos in questo modo:
kadmin.local -q "addprinc -x dn=uid=pippo,ou=people,dc=example,dc=com pippo"
In questo modo se l'utente pippo esiste gia' perchè ldap è già usato per 
qualcosa di diverso da kerberos (il mio caso) allora verrano semplicemente 
aggiunte le entry di kerberos dentro al percorso dn specificato. E questa è 
una buona cosa perchè almeno i dati relativi ad un utente sono tutti in un 
posto.
Naturalmente bisogna aver configurato correttamente le olcAuthRegexp in modo 
da far convergere i nomi kerberos con quello ldap dentro ou=people.


 Vuoi dirmi che non riuscirò ad autenticare client win7?
Si, e` molto probabile che non funzioni
Enrico

 invece di gestire i certificati
Sara` pure piu` comodo, ma e` molto, ma molto meno sicuro. Tra l'altro, 
nessuno ti impedisce di impostare il certificato senza password e di 
disabilitare in toto l'accesso via password
Enrico

 Dici che si può fare con freeipa??
In teoria non saprei, ma per ora sembrerebbe di no...
Enrico

Enrico 'Henryx' Bianchi wrote:

Bah, maledetta M$.
Ok, i client windows7 mi tocca continuare ad autenticarli con samba, il 
resto con kerberos.


 resto con kerberos.
Fai una prova, sicuramente puoi abilitare l'autenticazione via PDC
Enrico
P.S. leggendo quello scritto su 
http://wiki.samba.org/index.php/Windows7
 
ritengo di averti detto una boiata :)

 NicoKid wrote:

e tra l'altro, non vorrei dover usare expect ogni qual volta uno script
deve trasferire un file da una macchina all'altra .


 deve trasferire un file da una macchina all'altra .
In effetti su questo hai ragione, io uso expect :P


 ritengo di averti detto una boiata :)
Questo l'avevo letto. Infatti dovrei riuscire a connettermi al dominio 
samba. Solo con kerberos sembra impossibile. Forse si può fare qualcosa 
installando su windows 7 questa roba:
http://www.pgina.org/index.php/Main_Page
