Развёртывание домена IPA в ОС RELS и «КОБАЛЬТ» — различия между версиями

Материал из Rosalab Wiki
Перейти к: навигация, поиск
м (Vladimir.potapov переименовал страницу Создание контроллера домена на основе FreeIPA и ОС РОСА RELS 6.7 («КОБАЛЬТ» SX 1.0) в [[Создание контроллера домен…)
(уточнение состава FreeIPA)
 
(не показано 25 промежуточных версий 4 участников)
Строка 1: Строка 1:
 
== Назначение ==
 
== Назначение ==
Инструкция предназначена для описания процесса развертывания сервера IPA (Identification Policy and Audit).
 
Сервер IPA предназначен для организации единой службы аутентификации для OC семейства ROSA Linux, других популярных современных версий ОС Linux, Windows, а также некоторых других
 
операционных систем.
 
  
Конструктивно сервер IPA представляет собой связку из сервера MIT Kerberos, LDAP 389 Directory, сервера NTP для обеспечения единого времени и сервера имен для обслуживаемых доменов. Возможна настройка общего хранилища на базе NFS с аутентификацией по билетам Kerberos, а также доступны некоторые политики безопасности (только для Linux/UNIX), включая политики sudo, парольные политики, включение в домен рабочих станций и т.п.
+
В инструкции описан процесс развёртывания сервера IPA (Identification, Policy and Audit). Сервер IPA предназначен для организации единой службы аутентификации в OC семейства ROSA Linux, других популярных современных версиях ОС Linux, ОС семейства Windows, а также некоторых других ОС.  
  
Также предоставляется удобный интерфейс администрирования с помощью встроенного HTTP(S) сервера. Вы сможете управлять Вашим развернутым IPA сервером прямо из браузера по защищенному HTTPS соединению. Также поддерживается объединение доменов AD и IPA с помощью функций взаимного доверия (TRUST). Сервер IPA поддерживает функцию двухфакторной аутентификации (с помощью внешнего привлекаемого сервера RADIUS). Помимо веб-интерфейса, доступно администрирование сервера с помощью интерфейса командной строки.
+
Конструктивно сервер IPA представляет собой связку из серверов MIT Kerberos, LDAP 389 Directory, NTP для обеспечения единого времени, системы управление центром сертификации Dogtag и сервера имён для обслуживаемых доменов.
 +
 
 +
Возможна настройка общего хранилища на базе NFS с аутентификацией по билетам Kerberos, а также доступны некоторые политики безопасности (только для Linux/UNIX), включая политики <code>sudo</code>, парольные политики, автоматическое монтирование через autofs, включение в домен рабочих станций и др.
 +
 
 +
Администратору предоставляется удобный интерфейс администрирования с помощью встроенного HTTP(S)-сервера. Вы можете управлять развёрнутым сервером IPA прямо из браузера по защищённому HTTPS-соединению. Также поддерживается объединение доменов AD и IPA с помощью функций взаимного доверия (TRUST). Сервер IPA поддерживает функцию двухфакторной аутентификации (с помощью внешнего привлекаемого сервера RADIUS). Помимо веб-интерфейса, доступно администрирование сервера с помощью утилит командной строки.
  
 
== Список поддерживаемых клиентских ОС ==
 
== Список поддерживаемых клиентских ОС ==
 +
 
ОС семейства Linux:
 
ОС семейства Linux:
* ROSA Linux Enterprise Desktop X2 (RED X2) и выше
+
* ROSA Enterprise Desktop X2 и выше
* РОСА «КОБАЛЬТ» SX 1.0 и выше
+
* ROSA Enterprise Linux Server/Desktop 6.3 и выше
* ROSA Enterprise Linux Server (RELS) 6.3 и выше
+
* РОСА «КОБАЛЬТ»
 
* ROSA Fresh R6 и выше
 
* ROSA Fresh R6 и выше
* Red Hat Enterprise Linux версии 5.х и выше
+
* Red Hat Enterprise Linux 5.х и выше
* CentOS Linux версии 6.х и выше
+
* CentOS Linux 6.х и выше
 
* Fedora Linux 18 и выше
 
* Fedora Linux 18 и выше
* Ubuntu Linux версии 13.04 и выше
+
* Ubuntu Linux 13.04 и выше
 
* SUSE (SLES) Linux 10 и выше
 
* SUSE (SLES) Linux 10 и выше
  
ОС семейства Microsoft Windows:
+
ОС семейства Windows:
* Microsoft Windows 7 и выше;
+
* Microsoft Windows 7 и выше
Для UNIX-совместимых ОС:
+
 
* FreeBSD 9 и выше;
+
UNIX-совместимые ОС:
Для ОС семейства UNIX:
+
* FreeBSD 9 и выше
* Solaris 8 и выше;
+
 
* Mac OS X версии 10.4 (Tiger) и выше;
+
ОС семейства UNIX:
* HP-UX 11.23 и выше;
+
* Solaris 8 и выше
* IBM AIX версии 5.3 и выше.
+
* Mac OS X 10.4 (Tiger) и выше
 +
* HP-UX 11.23 и выше
 +
* IBM AIX 5.3 и выше
 +
 
 
Планируется поддержка:
 
Планируется поддержка:
* ALT Linux СПТ 8 и выше.
+
* Альт Линукс СПТ 8.0 и выше
  
 
== Безопасность ==
 
== Безопасность ==
ОС РОСА «КОБАЛЬТ» SX 1.0 имеет показатели защищенности от НСД - по 5-му классу защищенности и 4-й уровень контроля отсутствия НДВ, и может применяться в АС(автоматизированных системах) с классом защиты информации не выше 1Г. Перечисленные выше ОС поддерживают работу в среде IPA, но большинство из них не имеют аналогичного класса защищенности и не могут применяться в защищенных АС без использования дополнительных средств защиты либо без согласования с органом по аттестации.
+
ОС РОСА «КОБАЛЬТ» соответствует требованиям методического документа ФСТЭК «Профиль защиты операционных систем типа «А» четвёртого класса» (ИТ.ОС.А4.ПЗ). Прочие вышеперечисленные ОС поддерживают работу в среде IPA, но большинство из них не имеют аналогичного класса защищённости и не могут применяться в защищённых АС без использования дополнительных средств защиты либо без согласования с органом по аттестации.
  
 
== Установка ==
 
== Установка ==
Предполагается, что на момент настройки контроллера домена у вас есть сервер с установленной ОС Rosa Enterprise Linux Server (RELS) (ОС РОСА «КОБАЛЬТ» SX 1.0) в варианте «Стандартный сервер РОСА».
+
Предполагается, что на момент настройки контроллера домена у вас есть сервер с установленной ОС RELS/РОСА «КОБАЛЬТ» в варианте «Стандартный сервер РОСА».
  
Для RELS должен быть получен и установлен в файл /etc/rosa-support-id-server лицензионный ключ и произведено обновление командой
+
Для RELS нужно получить и установить в файл <tt>/etc/rosa-support-id-server</tt> лицензионный ключ, после чего произвести обновление:
  '''yum update'''
+
yum update
  
Все приведенные команды и настройки проводятся под учетной записью суперпользователя (root). В примерах, приводимых в данной инструкции мы будем предполагать, что наш сервер имеет
+
Все приведённые команды выполняются от имени администратора (root).  
следующие сетевые настройки:
+
  Имя: dc1.test.dom
+
  IP:192.168.76.47/24
+
Также обязателен статический IP
+
  
=== Подключение дополнительного репозитория для «КОБАЛЬТ» SX 1.0  ===
+
В примерах, приводимых в данной инструкции, мы предполагаем, что сервер имеет следующие сетевые настройки:
Для установки IPA на ОС РОСА «КОБАЛЬТ» SX 1.0 нужно подключить дополнительный репозиторий.
+
hostnamectl dc1.test.dom
Для этого есть 2 варианта:
+
- в текстовом режиме редактируем файл ''/etc/yum.repos.d/rels.repo'', установив в
+
секции [rels-base] параметр '''enabled=1''',
+
- в графической среде открыть «Источники программ»
+
(''Пуск→Администрирование→Источники программ'') и поставить галочку напротив пункта «ROSA
+
Enterprise Linux Server — Base».
+
  
[[File:FreeIPA 1.jpg]]
+
Имя: dc1.test.dom
 
+
IP:192.168.76.47/24
Перед установкой пакетов убедитесь в доступности обоих источников программ. Доступность дополнительного сетевого источника можно проверить командой:
+
Gateway: 192.168.76.1
  '''ping mirror.rosalinux.com'''
+
  DNS: 8.8.8.8
Вы должны увидеть примерно следующий вывод:
+
  '''# ping mirror.rosalinux.com
+
  PING mirror.rosalinux.com (195.19.76.246) 56(84) bytes of data.
+
  64 bytes from 195.19.76.246: icmp_seq=1 ttl=63 time=2.21 ms'''
+
Доступность локального репозитория проверяется наличием смонтированного образа установочного диска в каталог /media/ROSA-SX-1.0/, например, командой:
+
  '''# mount |grep ROSA'''
+
Вы должны увидеть следующий вывод:
+
  '''# mount |grep ROSA'''
+
  /dev/sr0 on /media/ROSA-SX-1.0 type iso9660 (ro,nosuid,nodev,uhelper=udisks,uid=500,gid=500,iocharset=utf8,mode=0400,dmode=0500)
+
  
 
=== Установка сервера IPA и настройка его окружения ===
 
=== Установка сервера IPA и настройка его окружения ===
Установим оснастку для сервера IPA:
+
* Установите оснастку для сервера IPA:
  '''yum install bind-dyndb-ldap bind ipa-server'''
+
yum install bind-dyndb-ldap bind ipa-server ipa-server-dns
  
Затем проверим наличие корректных сетевых настроек в файле ''/etc/hosts''.
+
* Проверьте корректность сетевых параметров в файле <tt>/etc/hosts</tt>:
Он должен выглядеть примерно так:
+
hostnamectl status
  '''127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4'''
+
cat /etc/hosts
  '''::1 localhost localhost.localdomain localhost6 localhost6.localdomain6'''
+
  '''192.168.76.47 dc1.test.dom dc1'''
+
  
Нас в первую очередь интересует нижняя строчка, которая должна указывать на наш сервер.
+
Содержимое файла <tt>hosts</tt> должно иметь следующий вид:
 +
127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4
 +
::1 localhost localhost.localdomain localhost6 localhost6.localdomain6
 +
192.168.76.47 dc1.test.dom dc1
  
Теперь нужно убедиться, что в качестве первого DNS сервера у нас используется ваш будущий сервер домена IPA. И, если планируется использовать короткие имена машин в сети, то прописана
+
Последняя строка должна указывать на сервер.
корректная опция domain или search. Для этого в файле /etc/resolv.conf должны быть записи вида:
+
  '''search test.dom'''
+
  '''nameserver 192.168.76.47'''
+
  
Перед установкой IPA сервера убедитесь, что имя сервера (hostname) у Вас задано строчными буквами. Имя сервера задается в файле ''/etc/sysconfig/network''.
+
* Убедитесь, что в качестве первого DNS-сервера используется будущий сервер домена IPA. Если в сети планируется использовать короткие имена машин, также должна быть прописана корректная опция <code>domain</code> или <code>search</code>. В файле <tt>/etc/resolv.conf</tt> должны содержаться записи следующего вида:
  '''cat /etc/sysconfig/network'''
+
search test.dom
  '''HOSTNAME=dc1.test.dom'''
+
nameserver 192.168.76.47
  '''NETWORKING=yes'''
+
  '''NISDOMAIN=test.dom'''
+
  
Для сервера на ОС РОСА «КОБАЛЬТ» SX 1.0 необходимо выполнить дополнительные команды:
+
Перед установкой сервера IPA убедитесь, что имя сервера (hostname) записано строчными буквами. Имя сервера задаётся в файле <tt>/etc/sysconfig/network</tt>:
  '''rm -f /etc/portreserve/slapd'''
+
# cat /etc/sysconfig/network
  '''yum remove firefox thunderbird'''
+
HOSTNAME=dc1.test.dom
  '''yum downgrade nss nss-tools nss-sysinit nss-util'''
+
NETWORKING=yes
 +
NISDOMAIN=test.dom
 +
 
 +
Поскольку при установке FreeIPA параметры SELinux устанавливаются автоматически, отключать его не нужно.
  
 
=== Инициализация сервера IPA ===
 
=== Инициализация сервера IPA ===
Проведем инициализацию домена командой:
+
* Выполните настройку сервера IPA:
  '''ipa-server-install --setup-dns'''
+
ipa-server-install
  
Вначале мы видим информационное сообщение о том, что будет сделано в ходе установки:
+
Журнал этой установки записывается в файл <tt>/var/log/ipaserver-install.log</tt>.
  The log file for this installation can be found in /var/log/ipaserver-
+
  install.log
+
  =============================================================
+
  This program will set up the IPA Server.
+
  This includes:
+
  * Configure a stand-alone CA (dogtag) for certificate management
+
  * Configure the Network Time Daemon (ntpd)
+
  * Create and configure an instance of Directory Server
+
  * Create and configure a Kerberos Key Distribution Center (KDC)
+
  * Configure Apache (httpd)
+
  * Configure DNS (bind)
+
  To accept the default shown in brackets, press the Enter key.
+
  
Так как у нас уже установлен сервис bind (он установился вместе с ОС в выбранном нами варианте «Стандартный сервер РОСА»), нам будет предложено изменить его конфигурацию. Соглашаемся.
+
Данная программа позволит сконфигурировать IPA Server, а именно:
  Existing BIND configuration detected, overwrite? [no]: y
+
  
Далее инициализация происходит в интерактивном режиме. Нам задаются вопросы, мы на них отвечаем. При корректной сетевой настройке сервера на все вопросы нужно выбирать
+
* настроить изолированный CA (dogtag) для управления сертификатами
предлагаемое по умолчанию значение, просто нажимая клавишу Enter:
+
* настроить службу сетевого времени (ntpd)
 +
* создать и настроить Directory Server
 +
* создать и настроить центр распространения ключей kerberos (KDC)
 +
* настроить Apache (httpd)
  
  Server host name [dc1.test.dom]:
+
Далее настройка будет происходить в режиме «вопрос-ответ». Везде, где не указано обратное, нужно выбирать предлагаемое по умолчанию значение, просто нажимая клавишу <Enter>.
  Please confirm the domain name [test.dom]:
+
  Please provide a realm name [TEST.DOM]:
+
Далее введем пароль (минимум 8 знаков) для служебного пользователя службы каталогов
+
  Directory Manager password:
+
Далее введем пароль для администратора IPA (пользователь admin)
+
  IPA admin password:
+
Если нужно добавляем ретранслятор службы имен (DNS relay). Этот шаг необязателен, и необходим в том случае, если у Вас предполагается использовать внешний сервер для обработки
+
запросов службы имен DNS. Учитываете, что по-умолчанию, сервер IPA предполагает, что будет пользоваться собственным сервером имен, который развертывает локально.
+
  Do you want to configure DNS forwarders? [yes]:
+
Выбирайте [yes] (да), в случае, если присутствует внешний ретранслятор службы имен, иначе, выбирайте [no] – нет.
+
Инициируем создание обратной зоны для службы имен.
+
  Do you want to configure the reverse zone? [yes]:
+
  
Затем нам будет предложено еще раз проверить настройки и, если все корректно, запустить процедуру инициализации домена.
+
<tt>'''Вы хотите настроить интегрированный DNS (BIND)? [no]: yes'''</tt>
  Continue to configure the system with these values? [no]: y
+
 
она должна закончиться примерно следующим сообщением:
+
<pre>
 +
Введите полное доменное имя компьютера, на котором вы настраиваете
 +
программное обеспечение сервера, в формате <hostname>.<domainname>.
 +
Пример: dc1.test.dom.
 +
</pre>
 +
 
 +
<tt>'''Имя хоста сервера [dc1.test.dom]: <Enter>'''</tt>
 +
 
 +
<pre>
 +
Предупреждение: пропуск разрешения DNS-узла dc1.test.dom
 +
Имя домена определяется на основе имени узла.
 +
</pre>
 +
 
 +
<tt>'''Пожалуйста, подтвердите имя домена [test.dom]: <Enter>'''</tt>
 +
 
 +
<pre>
 +
Протокол kerberos требует, чтобы имя области было определено.
 +
Обычно это доменное имя, преобразованное в верхний регистр.
 +
</pre>
 +
 
 +
<tt>'''Пожалуйста, укажите имя области [TEST.DOM]: <Enter>'''</tt>
 +
 
 +
<pre>
 +
Определённые операции сервера каталогов требуют прав администратора.
 +
Этот пользователь называется менеджером каталога и имеет полный доступ
 +
к каталогу для управления системой. Будет добавлен
 +
экземпляр сервера каталогов, предназначенный для ipa.
 +
Пароль должен содержать как минимум 8 символов.
 +
 
 +
Пароль менеджера каталога: ********
 +
Пароль (подтверждение): ********
 +
 
 +
Сервер IPA требует прав администратора с именем 'admin'.
 +
Этот пользователь — обычная системная учётная запись, используемая
 +
для управления сервером IPA.
 +
 
 +
Пароль администратора IPA: ********
 +
Пароль (подтверждение): ********
 +
</pre>
 +
 
 +
Введите пароли.
 +
 
 +
<pre>
 +
Checking DNS domain test.dom., please wait ...
 +
</pre>
 +
 
 +
<tt>'''Do you want to configure DNS forwarders? [yes]: <Enter>'''</tt>
 +
 
 +
<pre>
 +
Following DNS servers are configured in /etc/resolv.conf: 8.8.4.4
 +
Do you want to configure these servers as DNS forwarders? [yes]: enter
 +
All DNS servers from /etc/resolv.conf were added. You can enter additional addresses now:
 +
Enter an IP address for a DNS forwarder, or press Enter to skip: 8.8.8.8
 +
</pre>
 +
 
 +
<tt>'''Do you want to configure these servers as DNS forwarders? [yes]: <Enter>'''</tt>
 +
 
 +
Здесь нужно ввести адрес DNS-сервера Google либо DNS-сервера провайдера.
 +
 
 +
<pre>
 +
DNS forwarder 8.8.8.8 added. You may add another.
 +
</pre>
 +
 
 +
<tt>'''Enter an IP address for a DNS forwarder, or press Enter to skip: <Enter>'''</tt>
 +
 
 +
<pre>
 +
Checking DNS forwarders, please wait ...
 +
</pre>
 +
 
 +
<tt>'''Do you want to search for missing reverse zones? [yes]: <Enter>'''
 +
 
 +
'''Do you want to create reverse zone for IP 192.168.76.47 [yes]: <Enter>'''</tt>
 +
 
 +
<pre>
 +
Please specify the reverse zone name [0.168.192.in-addr.arpa.]:
 +
Using reverse zone(s) 0.168.192.in-addr.arpa.
 +
 
 +
The IPA Master Server will be configured with:
 +
Hostname: dc1.test.dom
 +
IP address(es): 192.168.76.47
 +
Domain name: test.dom
 +
Realm name: TEST.DOM
 +
 
 +
BIND DNS server will be configured to serve IPA domain with:
 +
Forwarders: 8.8.4.4, 8.8.8.8
 +
Forward policy: only
 +
Reverse zone(s): 0.168.192.in-addr.arpa.
 +
</pre>
 +
 
 +
<tt>'''Продолжить настройку системы с этими значениями? [no]: yes'''</tt>
 +
 
 +
Проверьте корректность введённых параметров и введите <code>yes</code>.
 +
 
 +
<pre>
 +
Следующие операции могут занять несколько минут.
 +
Пожалуйста, подождите, пока не вернётся приглашение.
 +
</pre>
 +
 
 +
Установка должна завершиться сообщением следующего вида:
 +
 
 +
<pre>
 
   Setup complete
 
   Setup complete
 
   Next steps:
 
   Next steps:
Строка 157: Строка 220:
 
   This file is required to create replicas. The password for this
 
   This file is required to create replicas. The password for this
 
   file is the Directory Manager password
 
   file is the Directory Manager password
 +
</pre>
  
После окончания процедуры инициализации, перезагрузите сервер.
+
* По окончании установки получите билет Kerberos с сервера FreeIPA:
  
=== Работа с сервером IPA через web-интерфейс ===
+
kinit admin
Теперь можно открыть веб-браузер и соединитесь с узлом, на котором развернут IPA сервер по HTTP или HTTPS. Учитывайте, что по-умолчанию на сервер IPA устанавливается самоподписанный сертификат. В качестве логина указываем admin, пароль — для администратора IPA, введенный при настройке.
+
  
[[Файл:FreeIPA.png]]
+
Выполните проверку:
  
Теперь можно работать со службой каталогов
+
klist
  
[[Файл:FreeIPA_2.jpg]]
+
Вы должны получить сообщение следующего вида:
 +
 
 +
<pre>
 +
Ticket cache: KEYRING:persistent:0:0
 +
Default principal: admin@TEST.DOM
 +
 
 +
Valid starting    Expires            Service principal
 +
03/06/19 19:07:19  04/06/20 19:07:14  krbtgt/TEST.DOM@TEST.DOM
 +
</pre>
 +
 
 +
Обратите внимание, что билет Kerberos выдается для того пользователя, от которого была выполнена команда kinit. Полученный билет может быть использован только этим пользователем.
 +
 
 +
Консольные утилиты ipa* для управления сервером FreeIPA, запускаемые непосредственно на этом же сервере FreeIPA, используют полученный через kinit билет для авторизации во FreeIPaA для выполнения административных задач.
 +
 
 +
* Выполните настройку ''firewalld''.
 +
 
 +
Для версии RELS 6.3:
 +
 
 +
<pre>
 +
firewall-cmd --permanent --zone=public --add-service={ntp,http,https,ldap,ldaps,kerberos,kpasswd,dns}
 +
firewall-cmd --permanent --zone=public --add-port=53/tcp
 +
firewall-cmd --permanent --zone=public --add-port=53/udp
 +
firewall-cmd --reload
 +
</pre>
 +
 
 +
Для версии RELS 7.3:
 +
 
 +
<pre>
 +
firewall-cmd --permanent --zone=public --add-service={ntp,http,https,freeipa-ldap,freeipa-ldaps,kerberos,kpasswd,dns}
 +
firewall-cmd --permanent --zone=public --add-port=53/tcp
 +
firewall-cmd --permanent --zone=public --add-port=53/udp
 +
firewall-cmd --reload
 +
</pre>
 +
 
 +
* Перезагрузите сервер:
 +
 
 +
reboot
 +
 
 +
* Проверьте, запущен ли сервер IPA:
 +
 
 +
<pre>
 +
ipactl status
 +
 
 +
Directory Service: RUNNING
 +
krb5kdc Service: RUNNING
 +
kadmin Service: RUNNING
 +
named Service: RUNNING
 +
ipa_memcached Service: RUNNING
 +
httpd Service: RUNNING
 +
pki-tomcatd Service: RUNNING
 +
ipa-otpd Service: RUNNING
 +
ipa: INFO: The ipactl command was successful
 +
</pre>
 +
 
 +
=== Работа с сервером IPA через веб-интерфейс ===
 +
Чтобы можно было зайти на веб-интерфейс сервера IPA, сначала нужно настроить клиент в соответствии [[Подключение ROSA Desktop к домену FreeIPA|с инструкцией]].
 +
 
 +
Теперь можно открыть браузер и соединиться с узлом, на котором развёрнут сервер IPA, по HTTP или HTTPS. Учитывайте, что по умолчанию на сервер IPA устанавливается самоподписанный сертификат.
 +
 
 +
Введите: Username — admin, Password — пароль для администратора IPA, заданный при настройке.
 +
 
 +
[[Файл:FreeIPA.png|400px]]
 +
 
 +
Теперь можно работать со службой каталогов.
 +
 
 +
[[Файл:Ipa2.png|400px]]
 +
[[Файл:Ipa3.png|400px]]
  
 
=== Повторная инициализация сервера ===
 
=== Повторная инициализация сервера ===
В случае возникновения ошибок при инициализации домена, проведите его удаление командой:
+
* Если при инициализации домена возникли ошибки, удалите его:
  '''ipa-server-install --uninstall'''
+
ipa-server-install --uninstall
Проверьте настройки еще раз и повторите инициализацию
+
* Проверьте настройки ещё раз и повторите инициализацию.
 +
 
 +
После инициализации сервера IPA к нему можно [[Подключение ROSA Desktop к домену FreeIPA|подключать рабочие станции]].
 +
[[Категория:ROSA Enterprise Linux Server]]

Текущая версия на 15:43, 19 июня 2019

Назначение

В инструкции описан процесс развёртывания сервера IPA (Identification, Policy and Audit). Сервер IPA предназначен для организации единой службы аутентификации в OC семейства ROSA Linux, других популярных современных версиях ОС Linux, ОС семейства Windows, а также некоторых других ОС.

Конструктивно сервер IPA представляет собой связку из серверов MIT Kerberos, LDAP 389 Directory, NTP для обеспечения единого времени, системы управление центром сертификации Dogtag и сервера имён для обслуживаемых доменов.

Возможна настройка общего хранилища на базе NFS с аутентификацией по билетам Kerberos, а также доступны некоторые политики безопасности (только для Linux/UNIX), включая политики sudo, парольные политики, автоматическое монтирование через autofs, включение в домен рабочих станций и др.

Администратору предоставляется удобный интерфейс администрирования с помощью встроенного HTTP(S)-сервера. Вы можете управлять развёрнутым сервером IPA прямо из браузера по защищённому HTTPS-соединению. Также поддерживается объединение доменов AD и IPA с помощью функций взаимного доверия (TRUST). Сервер IPA поддерживает функцию двухфакторной аутентификации (с помощью внешнего привлекаемого сервера RADIUS). Помимо веб-интерфейса, доступно администрирование сервера с помощью утилит командной строки.

Список поддерживаемых клиентских ОС

ОС семейства Linux:

  • ROSA Enterprise Desktop X2 и выше
  • ROSA Enterprise Linux Server/Desktop 6.3 и выше
  • РОСА «КОБАЛЬТ»
  • ROSA Fresh R6 и выше
  • Red Hat Enterprise Linux 5.х и выше
  • CentOS Linux 6.х и выше
  • Fedora Linux 18 и выше
  • Ubuntu Linux 13.04 и выше
  • SUSE (SLES) Linux 10 и выше

ОС семейства Windows:

  • Microsoft Windows 7 и выше

UNIX-совместимые ОС:

  • FreeBSD 9 и выше

ОС семейства UNIX:

  • Solaris 8 и выше
  • Mac OS X 10.4 (Tiger) и выше
  • HP-UX 11.23 и выше
  • IBM AIX 5.3 и выше

Планируется поддержка:

  • Альт Линукс СПТ 8.0 и выше

Безопасность

ОС РОСА «КОБАЛЬТ» соответствует требованиям методического документа ФСТЭК «Профиль защиты операционных систем типа «А» четвёртого класса» (ИТ.ОС.А4.ПЗ). Прочие вышеперечисленные ОС поддерживают работу в среде IPA, но большинство из них не имеют аналогичного класса защищённости и не могут применяться в защищённых АС без использования дополнительных средств защиты либо без согласования с органом по аттестации.

Установка

Предполагается, что на момент настройки контроллера домена у вас есть сервер с установленной ОС RELS/РОСА «КОБАЛЬТ» в варианте «Стандартный сервер РОСА».

Для RELS нужно получить и установить в файл /etc/rosa-support-id-server лицензионный ключ, после чего произвести обновление:

yum update

Все приведённые команды выполняются от имени администратора (root).

В примерах, приводимых в данной инструкции, мы предполагаем, что сервер имеет следующие сетевые настройки:

hostnamectl dc1.test.dom
Имя: dc1.test.dom
IP:192.168.76.47/24
Gateway: 192.168.76.1
DNS: 8.8.8.8

Установка сервера IPA и настройка его окружения

  • Установите оснастку для сервера IPA:
yum install bind-dyndb-ldap bind ipa-server ipa-server-dns
  • Проверьте корректность сетевых параметров в файле /etc/hosts:
hostnamectl status
cat /etc/hosts

Содержимое файла hosts должно иметь следующий вид:

127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4
::1 localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.76.47 dc1.test.dom dc1

Последняя строка должна указывать на сервер.

  • Убедитесь, что в качестве первого DNS-сервера используется будущий сервер домена IPA. Если в сети планируется использовать короткие имена машин, также должна быть прописана корректная опция domain или search. В файле /etc/resolv.conf должны содержаться записи следующего вида:
search test.dom
nameserver 192.168.76.47

Перед установкой сервера IPA убедитесь, что имя сервера (hostname) записано строчными буквами. Имя сервера задаётся в файле /etc/sysconfig/network:

# cat /etc/sysconfig/network
HOSTNAME=dc1.test.dom
NETWORKING=yes
NISDOMAIN=test.dom

Поскольку при установке FreeIPA параметры SELinux устанавливаются автоматически, отключать его не нужно.

Инициализация сервера IPA

  • Выполните настройку сервера IPA:
ipa-server-install

Журнал этой установки записывается в файл /var/log/ipaserver-install.log.

Данная программа позволит сконфигурировать IPA Server, а именно:

  • настроить изолированный CA (dogtag) для управления сертификатами
  • настроить службу сетевого времени (ntpd)
  • создать и настроить Directory Server
  • создать и настроить центр распространения ключей kerberos (KDC)
  • настроить Apache (httpd)

Далее настройка будет происходить в режиме «вопрос-ответ». Везде, где не указано обратное, нужно выбирать предлагаемое по умолчанию значение, просто нажимая клавишу <Enter>.

Вы хотите настроить интегрированный DNS (BIND)? [no]: yes

Введите полное доменное имя компьютера, на котором вы настраиваете 
программное обеспечение сервера, в формате <hostname>.<domainname>. 
Пример: dc1.test.dom.

Имя хоста сервера [dc1.test.dom]: <Enter>

Предупреждение: пропуск разрешения DNS-узла dc1.test.dom
Имя домена определяется на основе имени узла.

Пожалуйста, подтвердите имя домена [test.dom]: <Enter>

Протокол kerberos требует, чтобы имя области было определено.
Обычно это доменное имя, преобразованное в верхний регистр.

Пожалуйста, укажите имя области [TEST.DOM]: <Enter>

Определённые операции сервера каталогов требуют прав администратора.
Этот пользователь называется менеджером каталога и имеет полный доступ
к каталогу для управления системой. Будет добавлен
экземпляр сервера каталогов, предназначенный для ipa.
Пароль должен содержать как минимум 8 символов.

Пароль менеджера каталога: ******** 
Пароль (подтверждение): ********

Сервер IPA требует прав администратора с именем 'admin'.
Этот пользователь — обычная системная учётная запись, используемая 
для управления сервером IPA.

Пароль администратора IPA: ********
Пароль (подтверждение): ********

Введите пароли.

Checking DNS domain test.dom., please wait ...

Do you want to configure DNS forwarders? [yes]: <Enter>

Following DNS servers are configured in /etc/resolv.conf: 8.8.4.4
Do you want to configure these servers as DNS forwarders? [yes]: enter 
All DNS servers from /etc/resolv.conf were added. You can enter additional addresses now:
Enter an IP address for a DNS forwarder, or press Enter to skip: 8.8.8.8

Do you want to configure these servers as DNS forwarders? [yes]: <Enter>

Здесь нужно ввести адрес DNS-сервера Google либо DNS-сервера провайдера.

DNS forwarder 8.8.8.8 added. You may add another.

Enter an IP address for a DNS forwarder, or press Enter to skip: <Enter>

Checking DNS forwarders, please wait ...

Do you want to search for missing reverse zones? [yes]: <Enter>

Do you want to create reverse zone for IP 192.168.76.47 [yes]: <Enter>

Please specify the reverse zone name [0.168.192.in-addr.arpa.]: 
Using reverse zone(s) 0.168.192.in-addr.arpa.

The IPA Master Server will be configured with:
Hostname: dc1.test.dom
IP address(es): 192.168.76.47
Domain name: test.dom
Realm name: TEST.DOM

BIND DNS server will be configured to serve IPA domain with:
Forwarders: 8.8.4.4, 8.8.8.8
Forward policy: only
Reverse zone(s): 0.168.192.in-addr.arpa.

Продолжить настройку системы с этими значениями? [no]: yes

Проверьте корректность введённых параметров и введите yes.

Следующие операции могут занять несколько минут.
Пожалуйста, подождите, пока не вернётся приглашение.

Установка должна завершиться сообщением следующего вида:

  Setup complete
  Next steps:
  1. You must make sure these network ports are open:
  TCP Ports:
  * 80, 443: HTTP/HTTPS
  * 389, 636: LDAP/LDAPS
  * 88, 464: kerberos
  * 53: bind
  UDP Ports:
  * 88, 464: kerberos
  * 53: bind
  * 123: ntp
  2. You can now obtain a kerberos ticket using the command: 'kinit admin'
  This ticket will allow you to use the IPA tools (e.g., ipa user-add)
  and the web user interface.
  Be sure to back up the CA certificate stored in /root/cacert.p12
  This file is required to create replicas. The password for this
  file is the Directory Manager password
  • По окончании установки получите билет Kerberos с сервера FreeIPA:
kinit admin

Выполните проверку:

klist

Вы должны получить сообщение следующего вида:

Ticket cache: KEYRING:persistent:0:0
Default principal: admin@TEST.DOM

Valid starting     Expires            Service principal
03/06/19 19:07:19  04/06/20 19:07:14  krbtgt/TEST.DOM@TEST.DOM

Обратите внимание, что билет Kerberos выдается для того пользователя, от которого была выполнена команда kinit. Полученный билет может быть использован только этим пользователем.

Консольные утилиты ipa* для управления сервером FreeIPA, запускаемые непосредственно на этом же сервере FreeIPA, используют полученный через kinit билет для авторизации во FreeIPaA для выполнения административных задач.

  • Выполните настройку firewalld.

Для версии RELS 6.3:

firewall-cmd --permanent --zone=public --add-service={ntp,http,https,ldap,ldaps,kerberos,kpasswd,dns}
firewall-cmd --permanent --zone=public --add-port=53/tcp
firewall-cmd --permanent --zone=public --add-port=53/udp
firewall-cmd --reload

Для версии RELS 7.3:

firewall-cmd --permanent --zone=public --add-service={ntp,http,https,freeipa-ldap,freeipa-ldaps,kerberos,kpasswd,dns}
firewall-cmd --permanent --zone=public --add-port=53/tcp
firewall-cmd --permanent --zone=public --add-port=53/udp
firewall-cmd --reload
  • Перезагрузите сервер:
reboot
  • Проверьте, запущен ли сервер IPA:
ipactl status

Directory Service: RUNNING
krb5kdc Service: RUNNING
kadmin Service: RUNNING
named Service: RUNNING
ipa_memcached Service: RUNNING
httpd Service: RUNNING
pki-tomcatd Service: RUNNING
ipa-otpd Service: RUNNING
ipa: INFO: The ipactl command was successful

Работа с сервером IPA через веб-интерфейс

Чтобы можно было зайти на веб-интерфейс сервера IPA, сначала нужно настроить клиент в соответствии с инструкцией.

Теперь можно открыть браузер и соединиться с узлом, на котором развёрнут сервер IPA, по HTTP или HTTPS. Учитывайте, что по умолчанию на сервер IPA устанавливается самоподписанный сертификат.

Введите: Username — admin, Password — пароль для администратора IPA, заданный при настройке.

FreeIPA.png

Теперь можно работать со службой каталогов.

Ipa2.png Ipa3.png

Повторная инициализация сервера

  • Если при инициализации домена возникли ошибки, удалите его:
ipa-server-install --uninstall
  • Проверьте настройки ещё раз и повторите инициализацию.

После инициализации сервера IPA к нему можно подключать рабочие станции.