Free IPA (Identity – Policy - Audit)

OSDCM: User Management

Jürgen Brunk

München, 06.05.2014

Free IPA 2

1. Was ist Free IPA ?2. Übersicht3. CLI und Web-GUI4. Windows AD Anbindung5. Framework6. Umgebung7. Architektur8. Server9. Client10.Multi Master Replication11.Praxis12.Free IPA Server Installation13.Free IPA Client Installation14.Free IPA CLI Management

Agenda

Was ist Free IPA ?

Free IPA 4

Was ist Free IPA ?Übersicht

Eine Art „Active Directory“ für Linux

Zentrale Verwaltung von Benutzerkonten und Regelwerken

● Benutzer/Hosts/Gruppen, Kennwörter● SUDO Rechte, SSH Keys

● DNS Verwaltung, Zertifikate/PKI● und vieles mehr …

Free IPA 5

Was ist Free IPA ?CLI und Web-GUI

Free IPA 6

Was ist Free IPA ?Windows AD Anbindung

lässt sich auch an eine bestehende Windows AD Umgebung anbinden (kein Ersatz dafür!)

seit Free IPA v2: Replikation von Benutzern und Passwörtern vom AD zu Free IPA

seit Free IPA v3: Anbindung vom AD per „trusted link“ an Free IPA, SSO von einer

Windows zu einer Linux Maschine

Free IPA 7

Was ist Free IPA ?Framework

Open Source Framework:

● MIT Kerberos Server (SSO)● 389 Directory Server (LDAP)● SSS* (System Security Services)● Dogtag PKI● Bind DNS● NTP● Samba● Apache

Free IPA 8

Was ist Free IPA ?Umgebung

(aktuell) reines RedHat Projekt

(aktuell) offiziell supported: Fedora / Red Hat Enterprise Linux

Empfohlen:Fedora 20 / RHEL 7

Architektur

Free IPA 10

ArchitekturIPA Server

Free IPA 11

ArchitekturIPA Client

Free IPA 12

ArchitekturMulti Master Replication

Fragen soweit ?

Praxis

Free IPA Server Installation

Free IPA 16

Free IPAServer Installation 1/3

# cat /etc/redhat-release Fedora release 20 (Heisenbug)

# Firewall disablen (macht den Testbetrieb einfacher)# systemctl disable firewalld# systemctl stop firewalld

# cat /etc/hosts192.168.10.2 freeipa.local.domain freeipa

# cat /etc/hostname freeipa.local.domain

# yum install bind-dyndb-ldap freeipa-server

Free IPA 17

Free IPAServer Installation 2/3

# ipa-server-install --setup-dns --mkhomedirServer host name [freeipa.local.domain]:Please confirm the domain name [local.domain]:Please provide a realm name [LOCAL.DOMAIN]:Directory Manager password: *****IPA admin password: *****Do you want to configure DNS forwarders? [yes]:Enter IP address for a DNS forwarder: 8.8.8.8Enter IP address for a DNS forwarder: 8.8.4.4Do you want to configure the reverse zone? [yes]: Please specify the reverse zone name [10.168.192.in-addr.arpa.]:Continue to configure the system with these values? [no]: yes

Free IPA 18

Free IPAServer Installation 3/3

# kinit adminPassword for admin@LOCAL.DOMAIN: ***** # klistTicket cache: KEYRING:persistent:0:0Default principal: admin@LOCAL.DOMAINValid starting Expires Service principal05.05.2014 11:26:52 06.05.2014 11:26:49 krbtgt/LOCAL.DOMAIN@LOCAL.DOMAIN

# optional: Deinstallation ;-)# ipa-server-install --uninstall --unattended

Free IPA Client Installation

Free IPA 20

Free IPAClient Installation 1/1

# yum install freeipa-client# ipa-client-install --mkhomedir

ggf. SSSd Configuration nachbessern wenn „sudo“ nicht funktioniert:

/etc/nsswitch.conf:+sudoers: files sss

/etc/sssd/sssd.conf:[sssd]-services = nss, pam, ssh+services = nss, pam, ssh, sudo

# systemctl restart sssd

Free IPA CLI Management

Free IPA 22

Free IPACLI Management 1/2

# Kerberos Ticket erzeugen# kinit admin

# ipa help user

# neuen User „jdoe“ mit Zufalls-Password anlegen# ipa user-add jdoe --first John --last Doe --random

# nach User suchen# ipa user-find john

# User Infos anzeigen# ipa user-show jdoe

Free IPA 23

Free IPACLI Management 2/2

# neue Gruppe anlegen# ipa group-add foo

# User einer neuen Gruppe zuweisen# ipa group-add-member foo --user jdoe

# Password neu setzen# ipa passwd jdoe

# SSH Key zuweisen# ipa user-mod jdoe --sshpubkey="ssh-rsa AAAA...“

# User löschen# ipa user-del jdoe

Noch Fragen ?

Quellennachweise und Links

Free IPA 26

Quellennachweise

Quellennachweise:

www.freeipa.orgwww.fedoraproject.org

www.redhat.com

Images:

www.freeipa.orgwww.fedoraproject.org

www.redhat.comwww.linux-magazine.com

Free IPA 27

Links

Links:

Free-IPA Website:www.freeipa.org

Free-IPA Dokumentation:www.freeipa.org/page/Quick_Start_Guide

www.freeipa.org/page/HowTos

28

Vielen Dank für Ihre Aufmerksamkeit

Kontakt

Jürgen BrunkSystems Engineer

inovex GmbHOffice MünchenValentin-Linhof Str. 2D-81829 München

Mobil: 0173 3181 003Mail: juergen.brunk@inovex.de