FreeIPA

FreeIPA on avoin lähdekoodilla varustettu suojaus ratkaisu Linuxille, joka tarjoaa käyttäjähallinan ja keskitetyn todennuksen kuten Microsoftin Active Directory. FreeIPA on rakennettu monesta avoimesta lähdekoodista, kuten 389 Directory Server, MIT Kerberos, and SSSD.

Ennen asennusta

• Määritä isäntänimi. Isäntänimi tulee vastata FQDN:ää.

Varmista että sinulla on seuraavat portit auki:

TCP:
80, 443 HTTP/HTTPS
389,636 LDAP/LDAPS
88,464 KRB Kerberos
53 Bind - DNS

UDP:
88, 464 Kerberos
53 Bind - DNS
123 NTP

UFW:llä

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh
sudo ufw allow http
sudo ufw allow https
sudo ufw allow ldap
sudo ufw allow ldaps
sudo ufw allow bind9
sudo ufw allow krb5
sudo ufw allow ntp
sudo ufw allow 88/udp
sudo ufw allow 464/udp
sudo ufw enable
sudo ufw status verbose

Asennus

Master palvelin

Asenna pakettihallinnasta freeipa-server paketti

 sudo apt install freeipa-server

Määritä asennuksessa kerberos domain, palvelin ja Administrator palvelin.

Aloita määrittäminen

 sudo ipa-server-install

The log file for this installation can be found in /var/log/ipaserver-install.lo                                                                                                                                                             g
==============================================================================
This program will set up the FreeIPA Server.

This includes:
  * Configure a stand-alone CA (dogtag) for certificate management
  * Configure the Network Time Daemon (ntpd)
  * Create and configure an instance of Directory Server
  * Create and configure a Kerberos Key Distribution Center (KDC)
  * Configure Apache (httpd)

To accept the default shown in brackets, press the Enter key.

Do you want to configure integrated DNS (BIND)? [no]: yes

Enter the fully qualified domain name of the computer
on which you're setting up server software. Using the form
<hostname>.<domainname>
Example: master.example.com.


Server host name [freeipa.example.org]:

Warning: skipping DNS resolution of host freeipa.example.org
The domain name has been determined based on the host name.

Please confirm the domain name [example.org]:

The kerberos protocol requires a Realm name to be defined.
This is typically the domain name converted to uppercase.

Please provide a realm name [EXAMPLE.ORG]:
Certain directory server operations require an administrative user.
This user is referred to as the Directory Manager and has full access
to the Directory for system management tasks and will be added to the
instance of directory server created for IPA.
The password must be at least 8 characters long.

Directory Manager password:
Password (confirm):

The IPA server requires an administrative user, named 'admin'.
This user is a regular system account used for IPA server administration.

IPA admin password:
Password (confirm):

Checking DNS domain example.org., please wait ...
Enter the IP address to use, or press Enter to finish.
Please provide the IP address to be used for this host name: 192.168.1.10
Please provide the IP address to be used for this host name:
Do you want to configure DNS forwarders? [yes]:
Following DNS servers are configured in /etc/resolv.conf: 8.8.8.8. 8.8.4.4                                                                                                                                          
Do you want to configure these servers as DNS forwarders? [yes]:
All DNS servers from /etc/resolv.conf were added. You can enter additional addre                                                                                                                                                             sses now:
Enter an IP address for a DNS forwarder, or press Enter to skip:
Checking DNS forwarders, please wait ...
Do you want to search for missing reverse zones? [yes]:

The IPA Master Server will be configured with:
Hostname:       freeipa.example.org
IP address(es): 192.168.1.10
Domain name:    example.org
Realm name:     EXAMPLE:org

BIND DNS server will be configured to serve IPA domain with:
Forwarders:    8.8.8.8 8.8.4.4
Reverse zone(s):  No reverse zone

Continue to configure the system with these values? [no]: yes

Asennuksessa menee jonkin aikaa riippuen palvelimen tehoista joten kannattaa antaa aikaa. Asennuksen jälkeen pääset kirjautumaan webhallintaan freeipa.example.org/ipa/ui osoitteella. Käyttäjätunnus on admin ja salasanana minkä annoit asennuksen aikana.

Slave

Masterin lisäksi voi olla useita "Slave" palvelimia jotka replikoivat dataa masterin kanssa.

Asennetaan replikointia varten Slave palvelin masterin rinnalle.

 sudo apt install freeipa-server freeipa-server-dns bind9 bind9-dyndb-ldap

Muuta nimipalvelimet sitten FreeIPA palvelimeksi.

 sudo nano /etc/network/interfaces

dns-nameservers 192.168.1.10

Tai /etc/resolv.conf tiedostoon määrität nimipalvelimen.

Siirry master palvelimelle ja lisää repl1 (slave) nimipalvelintauluun.

 kinit admin
 sudo ipa dnsrecord-add example.org repl1 --a-rec 192.168.2.10

Palaa takaisin slave palvelimelle.

Liitä slave palvelin LDAPiin seuraavalla komennolla

 sudo ipa-client-install

Anna [email protected] salasana.

Sitten sitten tästä slave palvelin.

 sudo ipa-replica-install

Client

Varmista että isäntänimi on oikein ja DNS:sään on A-recordi luotu valmiiksi

Asenna seuravalla komennolla freeipa-client paketti

sudo apt install freeipa-client

sudo ipa-client-install

Anna ylläpitäjän salasana [email protected] esimerkiksi.

Kunn asennus on suoritettu voit kirjautua nyt LDAPIn käyttäjätunnuksella.

Konfigurointi

Pääasiassa konfigurointi onnistuu GUI:n kautta aika pitkälle.

Linkkejä

https://www.digitalocean.com/community/tutorials/how-to-set-up-centralized-linux-authentication-with-freeipa-on-centos-7

https://www.digitalocean.com/community/tutorials/how-to-configure-a-freeipa-client-on-ubuntu-16-04