ROSA एंटरप्राइज़ लिनक्स सर्वर पर आधारित Kerberos + LDAP बंडल का उपयोग करके एक प्रमाणीकरण सर्वर को कॉन्फ़िगर करना

परिचय
ट्यूटोरियल की एक श्रृंखला की निरंतरता। पिछले भाग:
DNS / DDNS और DHCP सर्वर को ROSA Enterpise Linux सर्वर पर मिनटों में तैनात करें
ROSA सर्वर Enterpise लिनक्स-आधारित मेल सर्वर मिनटों में
रोमा प्रोफाइल के समर्थन के साथ ROSA एंटरप्राइज लिनक्स सर्वर और सांबा 3 पर आधारित सरल डोमेन

इस लेख में, हम केर्बेरोस के माध्यम से केंद्रीकृत उपयोगकर्ता प्रमाणीकरण के लिए एक सर्वर बनाने पर विचार करेंगे, साथ ही एलडीएपी निर्देशिका ट्री में प्रोफ़ाइल जानकारी संग्रहीत करने के साथ केर्बरोस का उपयोग करके प्रमाणीकरण करेंगे। एक सुखद ट्रिफ़ल के रूप में - घर की निर्देशिका में प्रोफाइल का स्वचालित निर्माण जब जुड़ा हुआ है।

प्रमाणीकरण सर्वर को कॉन्फ़िगर करने के लिए, हमें ROSA एंटरप्राइज़ लिनक्स सर्वर (इसके बाद के आरईएलएस) और किसी भी लिनक्स-आधारित वर्कस्टेशन की आवश्यकता है। इस लेख में, KDE डेस्कटॉप वातावरण के साथ ROSA डेस्कटॉप फ्रेश 2012 का उपयोग वर्कस्टेशन के रूप में किया जाएगा।

केर्बोस प्रोटोकॉल के बारे में थोड़ा सा विकिपीडिया से ही:

“केर्बरोस एक नेटवर्क प्रमाणीकरण प्रोटोकॉल है जो डेटा को सुरक्षित प्रमाणीकरण के लिए असुरक्षित नेटवर्क पर प्रसारित करने की अनुमति देता है। यह मुख्य रूप से क्लाइंट-सर्वर मॉडल पर केंद्रित है और पारस्परिक प्रमाणीकरण प्रदान करता है - सर्वर के माध्यम से दोनों उपयोगकर्ता एक दूसरे की पहचान की पुष्टि करते हैं। "

मैं यह जोड़ना चाहूंगा कि यह प्रोटोकॉल उद्यमों में प्रमाणीकरण के आयोजन के लिए एक अनिवार्य उद्योग मानक है, और सबसे महत्वपूर्ण बात यह है कि सिंगल साइन-ऑन तकनीक का उपयोग करके सिस्टम बनाने के लिए आवश्यक है, जिसे सिंगल साइन-ऑन के रूप में जाना जाता है। वर्तमान में, प्रोटोकॉल का वर्तमान संस्करण Kerberos 5. है। इस प्रोटोकॉल का उपयोग सक्रिय निर्देशिका (विंडोज 2000 के साथ शुरू), 389 निर्देशिका सर्वर और कई अन्य स्थानों पर किया जाता है जहां आपको नेटवर्क पर उपयोगकर्ताओं के केंद्रीकृत प्रमाणीकरण के लिए कम से कम कुछ गंभीर समाधान बनाने की आवश्यकता होती है। इसमें रोस निर्देशिका सर्वर (इसके बाद आरडीएस) का उपयोग किया जाता है।

केर्बोस के साथ काम करते समय उपयोग की जाने वाली शब्दावली के बारे में:

प्रिंसिपल एक विशेष अनूठी इकाई है जिसे टिकट जारी किया जा सकता है। इसके तीन भाग होते हैं: आधार, नमूना और क्षेत्र।
नींव कर्बरोस प्रिंसिपल का पहला हिस्सा है। यदि यह एक उपयोगकर्ता है, तो यह उसके नाम से मेल खाता है। यदि सेवा का नाम सेवा है। उदाहरण - दूसरा भाग, पहले भाग को स्पष्ट करने के लिए कार्य करता है। यह प्रिंसिपल के नाम में शामिल नहीं हो सकता है, अगर वहाँ है, तो यह उसका विवरण है। मेज़बान के मामले में, इसका fqdn। क्षेत्र अंतिम भाग है।
टिकट - क्लाइंट द्वारा सर्वर पर प्रमाणीकरण के लिए उपयोग किया जाने वाला डेटा जिसमें से ग्राहक एक सेवा का अनुरोध करता है। उपयोगकर्ता या सेवा की पहचान की पुष्टि करें।
केडीसी - केर्बरोस प्रमुख मुद्दा केंद्र
REALM (क्षेत्र) - कर्बरोस क्षेत्र। एक नियम के रूप में, यह ऊपरी मामले में लिखे गए डोमेन नाम से मेल खाता है।

एक परिचय के रूप में - पर्याप्त से अधिक। प्रोटोकॉल के बारे में विवरण, इसके कार्यान्वयन को वेब पर पढ़ा जा सकता है, क्योंकि यह अधिक गहन अध्ययन के लिए सामग्री है और एक लेख पर्याप्त नहीं है।

तैयारी और तैनाती

हम मान लेंगे कि आपका ओएस पहले से ही स्थापित है, साथ ही साथ आरडीएस घटक भी।
प्रमाणीकरण सर्वर को कॉन्फ़िगर करने के लिए, हमें पूर्व-स्थापित और कॉन्फ़िगर किए गए DNS सर्वर की आवश्यकता है, जिसके कॉन्फ़िगरेशन पर हमने पिछले लेखों में से एक पर चर्चा की, साथ ही साथ काम कर रहे एनटीपी।

श्रृंखला के सभी पिछले लेखों की तरह, निम्नलिखित नेटवर्क मापदंडों का उपयोग किया जाता है:

डोमेन नाम: rosa.int
आईपी ​​पता: 192.168.100.1

हम यह भी मानते हैं कि DNS, LDAP और Kerberos एक ही भौतिक सर्वर पर चल रहे हैं।

अन्य कॉन्फ़िगरेशन विवरणों के लिए, श्रृंखला के पिछले लेख देखें।

चूंकि हमने पहले ही इंस्टॉलेशन का विस्तार से अध्ययन किया है, हम कॉन्फ़िगरेशन सुविधाओं पर ध्यान केंद्रित करेंगे। दरअसल, हम DNS को कॉन्फ़िगर करने की बारीकियों से शुरू करेंगे।

सबसे पहले, हमें होस्टनाम / एमएमसीए में रोज़ा प्रबंधन कंसोल में लॉग इन करने और "डीएनएस ज़ोन" अनुभाग पर जाने की आवश्यकता है। मौजूदा ज़ोन (हमारे मामले में, rosa.int) के लिए, आपको उस होस्ट की आवश्यकता के लिए एक उपनाम बनाने की आवश्यकता है, जो भविष्य में KDC (मुख्य वितरण केंद्र) होगा। मुख्य वितरण केंद्र, मेरा मतलब है। इस खंड में, FQDN नाम के साथ लिंक पर क्लिक करें, या दो कंप्यूटरों को दर्शाने वाले आइकन पर।



वहां आपको नामित सर्वर के लिए जिम्मेदार प्रविष्टि खोजने की आवश्यकता है। मेरे मामले में, यह ns.rosa.int है। हम "चेंज" आइकन की तलाश कर रहे हैं, खुलने वाली विंडो में, "जोड़ें" बटन पर क्लिक करें और दिखाई देने वाले टेक्स्ट इनपुट फ़ील्ड में, हमें कोई भी शब्द लिखना चाहिए जिसे हम कम मामले में पसंद करते हैं, जिसका नाम केडीसी होगा। उदाहरण के लिए, केर्बरोस।

हम जाँच करते हैं:

[rels @ rosa tmp] $ पिंग kerberos.rosa.int
पिंग ns.rosa.int (192.168.100.1) 56 (84) डेटा के बाइट्स।
रोजा से 64 बाइट्स (192.168.100.1): icmp_seq = 1 ttl = 64 समय - 0.011 मि।
रोजा से 64 बाइट्स (192.168.100.1): icmp_seq = 2 ttl = 64 समय - 0.026 एमएस
रोजा से 64 बाइट्स (192.168.100.1): icmp_seq = 3 ttl = 64 समय - 0.05 एमएस

अब आप भविष्य के प्रमाणीकरण सर्वर के लिए आवश्यक घटक स्थापित कर सकते हैं, जिसके लिए हम आरओएसए सर्वर सेटअप में अनुसरण करेंगे और "आरडीएस बैकएंड के साथ केर्बरोस ऑथेंटिकेशन" घटक का चयन करेंगे। हम तब तक प्रतीक्षा करते हैं जब तक सभी आवश्यक घटकों की स्थापना पूरी नहीं हो जाती है और प्रारंभिक सेटअप के लिए "जारी रखें" पर क्लिक करें। यह अद्भुत रूप यहां खुलता है:



मैं ऊपर दिए गए स्क्रीनशॉट के लिए कुछ स्पष्टीकरण दूंगा:

• स्कोप - वास्तव में, केर्बरोस के दायरे को परिभाषित करता है। ज्यादातर मामलों में, यह अपरकेस डोमेन नाम का उपयोग किया जाता है।
• KDC होस्ट नाम वह सर्वर है जिस पर कुंजी वितरण सर्वर स्थित होगा। हमारे मामले में, सब कुछ एक मशीन पर स्थित है। सर्वर का FQDN डोमेन नाम के बिना निर्दिष्ट किया जाना चाहिए। यानी बजाय kerberos.rosa.int के बजाय kerberos।
• DNS डोमेन - डोमेन नाम। वास्तव में हमारे मामले में, यह क्षेत्र के साथ मेल खाता है।
• KDC पोर्ट - कुंजी वितरण सर्वर के लिए पोर्ट।
• व्यवस्थापक सर्वर पोर्ट - वह पोर्ट जिसके माध्यम से केर्बरोस अपने डेटाबेस के साथ संचार करता है।
• KDC डेटाबेस के लिए प्राथमिक कुंजी Kerberos डेटाबेस के लिए पासवर्ड है।
• KDC के लिए DNS लुकअप - SRV DNS रिकॉर्ड्स में Kerberos सर्वर जानकारी के लिए जाँच।
• किसी क्षेत्र के लिए DNS लुकअप - TXT DNS फ़ील्ड में उपलब्ध करबरोस सूचना सर्वर के लिए खोजें।
• टाइम शिफ्ट - घड़ी के लिए "संदर्भ" के सापेक्ष शिफ्ट करने के लिए स्वीकार्य समय को इंगित करता है। एनटीपी सेवा चलाने वाले केर्बरोस सर्वर हमारा संदर्भ होगा। ऑफसेट समय सेकंड में इंगित किया गया है।
• TGS एन्क्रिप्शन प्रकार - समर्थित एन्क्रिप्शन एल्गोरिदम टिकटिंग सर्वर पर मान्य है। एक नियम के रूप में, स्थानांतरित नहीं होता है।
• TKT एन्क्रिप्शन प्रकार - सर्वर द्वारा जारी टिकट के लिए समर्थित एन्क्रिप्शन एल्गोरिदम। एक नियम के रूप में, स्थानांतरित नहीं होता है।
• अनुमत एन्क्रिप्शन प्रकार सत्र कुंजी के लिए एन्क्रिप्शन प्रकार हैं।
• एन्क्रिप्शन की कम क्रिप्टोग्राफिक ताकत की अनुमति दें - वास्तव में, आपको कमजोर सुरक्षा एन्क्रिप्शन एल्गोरिदम के उपयोग की अनुमति देता है। यदि सर्वर से कनेक्ट करते समय व्यामोह पीड़ित होता है और अधिक सुरक्षा की आवश्यकता होती है, तो इस चेकबॉक्स को साफ़ करें।

बस, मैं सलाह दूंगा। इस लेखन के समय, ROSA सर्वर सेटअप में एक अत्यंत अप्रिय बग था, जिसके कारण यह तथ्य सामने आया कि यदि आपने पहले प्रयास में किसी एक आवश्यक फ़ील्ड को गलत तरीके से भर दिया है, तो Kerberos शाखा को LDAP डेटाबेस में डेटा के साथ बनाया गया था। इससे यह तथ्य सामने आया कि फिर से भरे गए फॉर्म के साथ, लेकिन सही मानों के साथ, आगे के कॉन्फ़िगरेशन को जारी रखना असंभव था। भविष्य के संस्करणों में, इस समस्या को ठीक करने की गारंटी है, इसलिए बस मामले में, स्थापना से पहले टर्मिनल एमुलेटर में यम अपडेट कमांड चलाएं।

यदि आप अभी भी इस त्रुटि में हैं, तो LDAP के लिए कोई भी संपादक लें। यहां तक ​​कि जितना आसान लूमा करेगा । एक नियम के रूप में, यह किसी भी वितरण के भंडार में है। सर्वर से कनेक्ट करें और निम्नलिखित प्रविष्टियों को पूरी तरह से हटा दें:

dn: ou = kerberos, @ SUFFIX @
dn: uid = kadmin, ou = सिस्टम अकाउंट्स, @ SUFFIX @
dn: uid = kdc, ou = सिस्टम खाते, @ SUFFIX @
dn: cn = Kerberos Admins, ou = सिस्टम समूह, @ SUFFIX @
dn: cn = Kerberos Readers, ou = सिस्टम समूह, @ SUFFIX @

बस मामले में, निम्नलिखित प्रविष्टियों के अस्तित्व की जाँच करें:

dn: रिश्तेदारडोमेननाम = केरबरोस, ou = @ DNSDOMAIN @, ou = @ DNSDOMAIN @, ou = DNS, @ SUFFIX @
dn: relationDomainName = _kerberos._udp, ou = @ DNSDOMAIN @, ou = @ DNSDOMAIN @, ou = DNS, @ SUFFIX @
dn: relationDomainName = _kerberos-master._udp, ou = @ DNSDOMAIN @, ou = @ DNSDOMAIN @, ou = DNS, @ SUFFIX @
dn: relationDomainName = _kerberos-adm._tcp, ou = @ DNSDOMAIN @, ou = @ DNSDOMAIN @, ou = DNS, @ SUFFIX @
dn: रिश्तेदारडोमेननाम = _kpasswd._udp, ou = @ DNSDOMAIN @, ou = @ DNSDOMAIN @, ou = DNS, @ SUFFIX @

अगर हैं तो डिलीट भी करें। उसके बाद, इंस्टॉलेशन विज़ार्ड को पुनरारंभ करें।

शाखाओं की सामग्री को संपादित करने के लिए LDAP सर्वर से कनेक्ट करने के लिए, निम्नलिखित मापदंडों का उपयोग करें:

uid = LDAP व्यवस्थापन, ou = सिस्टम खाते, dc = rosa, dc = int

Luma सेटिंग्स में साधारण प्रमाणीकरण का उपयोग करें। पासवर्ड वह है जिसे आपने ROSA सर्वर सेटअप का उपयोग करके सेटअप के दौरान निर्दिष्ट किया था। स्वाभाविक रूप से, dc = rosa, dc = int के बजाय, आपके डोमेन को निर्दिष्ट किया जाना चाहिए। कनेक्शन एन्क्रिप्शन लागू नहीं है।

अब हमें (!) सर्वर और क्लाइंट दोनों पर NTP कॉन्फ़िगर करना होगा, अन्यथा हमारे ग्राहक मशीन गलत घड़ी सेटिंग्स के कारण कनेक्ट नहीं हो सकते हैं।

यह सर्वर पर करने के लिए पर्याप्त है:

sudo yum install ntp
सुडोकू चोंकफिग एनटीपीडी पर
सुडो विम /etc/ntp.conf

जैसा कि हम देख सकते हैं, एनटीपी सर्वर पहले से पंजीकृत हैं। यह केवल कमान के लिए ही रहता है:

ntpdate pool.ntp.org
सेवा ntpd प्रारंभ।

क्लाइंट सिस्टम पर घड़ी की जाँच करें और सिंक्रनाइज़ करें। यह कॉन्फ़िगर करने के लिए एक बहुत ही महत्वपूर्ण बिंदु है।

प्रधान बनाना

ऑपरेशन की जांच शुरू करने से पहले, आपको एक उपयोगकर्ता बनाना होगा, जिस पर हम कार्रवाई में करबरोस सर्वर के संचालन की जांच करेंगे।

आरंभ करने के लिए, केर्बरोस प्रिंसिपलों की सूची देखें और सुनिश्चित करें कि सभी सेवा प्रिंसिपल जगह में हैं:

अब हम अपना उपयोगकर्ता और Kerberos प्रिंसिपल बनाएंगे। ऐसा करने के लिए, हम रोज़ा प्रबंधन कंसोल पर जाते हैं और मुख्य मेनू में "उपयोगकर्ता जोड़ें" के माध्यम से एक परीक्षण उपयोगकर्ता जोड़ते हैं। उपयोगकर्ता नाम और पासवर्ड फ़ील्ड भरें। यदि आप फ़ॉर्म को थोड़ा कम स्क्रॉल करते हैं, तो आप करबरोस सेटिंग्स से संबंधित पैरामीटर देख सकते हैं। आप निम्नलिखित पैरामीटर सेट कर सकते हैं:

• पासवर्ड नीति का उपयोग करना
• प्रिंसिपल की वैधता अवधि निर्धारित करें
• प्रिंसिपल पासवर्ड समाप्ति तिथि सेट करें

मुझे लगता है कि तीनों बिंदुओं के अर्थ को समझाने का कोई मतलब नहीं है। सब कुछ बहुत स्पष्ट है।

सफल और सही फ़ील्ड भरने के मामले में, "पुष्टि करें" बटन पर क्लिक करने के बाद, एक संबंधित अधिसूचना दिखाई देगी:


कार्रवाई में सत्यापन

शुरू करने के लिए, हम यह सत्यापित करेंगे कि कंसोल उपयोगिताओं का उपयोग करके सब कुछ वास्तव में काम करता है। यह आपको होने वाली त्रुटियों को तुरंत ट्रैक करने की अनुमति देगा। सबसे पहले आपको krb5- वर्कस्टेशन पैकेज को स्थापित करने की आवश्यकता है, फिर कमांड लाइन पर किनीट कमांड चलाएं और अनुरोध सही है यह सुनिश्चित करने के लिए पासवर्ड दर्ज करने के बाद किटल कमांड दर्ज करें।

यह कुछ इस तरह दिखेगा:

kinit test@ROSA.INT
Test@ROSA.INT के लिए पासवर्ड:

बताता है
टिकट कैश: फ़ाइल: / tmp / krb5cc_500
डिफ़ॉल्ट प्रिंसिपल: test@ROSA.INT

समाप्ति की समय सीमा समाप्त होने के बाद सेवा प्रमुख
10/19/11 01:46:33 10/20/11 01:46:33 krbtgt/ROSA.INT@ROSA.INT
10/26/11 01:46:33 तक नवीनीकृत

यदि आप ऊपर दी गई सूची में सबकुछ देखते हैं, तो आपको सही केर्बरोस टिकट प्राप्त होगा, जिसका अर्थ है कि आप अपने कार्य केंद्र की स्थापना शुरू कर सकते हैं।

क्लाइंट ऑपरेटिंग सिस्टम के रूप में, मैंने लिनक्स वितरण ROSA डेस्कटॉप फ्रेश 2012 का उपयोग किया। इस तरह के सर्वर से कनेक्शन को कॉन्फ़िगर करने के लिए पहले से ही एक विज़ार्ड है। बाकी वितरणों के लिए, मैं थोड़ी देर बाद काम करने वाली कॉन्फ़िगरेशन फ़ाइलों को सूचीबद्ध करूंगा, ताकि आप किसी अन्य वितरण का उपयोग कर सकें जो आपको व्यक्तिगत रूप से पसंद है।

आरएलएस सर्वर से कनेक्ट करने के लिए, आपको "डेस्कटॉप सेटिंग्स" को खोलने और "प्रमाणीकरण" लेबल वाले आइकन को चुनने की आवश्यकता है। Kerberos का चयन करें 5. फिर, सर्वर को पंजीकृत करें, जैसा कि स्क्रीनशॉट में दिखाया गया है। पिछले चेकबॉक्स पर ध्यान दें। यदि आप बाद के सक्रिय को छोड़ देते हैं, तो कनेक्शन के लिए आवश्यक पैकेज और उनकी निर्भरता स्थापित नहीं हो सकती है।



निम्नलिखित स्क्रीनशॉट में, मैं आपको दो विकल्पों पर ध्यान देने के लिए कहता हूं: "उपयोगकर्ता डेटा के साथ एक स्थानीय फ़ाइल का उपयोग करें" और "डेटा के साथ LDAP का उपयोग करें"।



यदि आप "उपयोगकर्ता डेटा के साथ स्थानीय फ़ाइल" आइटम का उपयोग करते हैं, तो आपको यह सुनिश्चित करना होगा कि स्थानीय मशीन पर सही नाम के साथ एक खाता है। यदि यह किसी एक पक्ष पर अनुपस्थित है, तो सर्वर और क्लाइंट पर समान लॉगिन के साथ एक उपयोगकर्ता बनाएं। लेकिन उससे अलग-अलग पासवर्ड पूछें। यह बहुत अच्छा नहीं है और व्यवस्थापक के लिए बहुत सारे सिरदर्द जोड़ता है। इसके अलावा, बल्कि बड़े डिफ़ॉल्ट टाइमआउट के कारण, इस लॉगिन विधि का उपयोग करने वाला पहला लॉगिन बहुत धीमा होगा। अधिक सही दूसरे आइटम का विकल्प है: "उपयोगकर्ता डेटा के साथ LDAP का उपयोग करें"। इस मामले में, आपको दो खाते बनाने की आवश्यकता नहीं है, सारा डेटा सर्वर से लिया जाएगा। जो, आप देखते हैं, बहुत अधिक सुखद है। सावधान रहें, पते को एक आईपी पते के रूप में निर्दिष्ट किया जाना चाहिए, न कि एक एफक्यूडीएन नाम से। फिर बटन "डीएन डेटा प्राप्त करें" पर क्लिक करें।

टिकट प्राप्त करने की शुद्धता की जाँच करना बहुत सरल है और हमने इसे सर्वर पर कैसे देखा, इसके समान है। यह किला कमांड के साथ है, लेकिन बिना किसी अतिरिक्त पैरामीटर के। चूंकि मशीन पहले से ही केर्बरोस क्षेत्र में शामिल है और सिस्टम के प्रवेश द्वार पर टिकट आना चाहिए।

और वादा किया विन्यास फाइल लिस्टिंग:

/etc/krb5.conf

[logging] default = FILE:/var/log/krb5libs.log kdc = FILE:/var/log/krb5kdc.log admin_server = FILE:/var/log/kadmind.log [libdefaults] default_realm = ROSA.INT dns_lookup_realm = true dns_lookup_kdc = true ticket_lifetime = 24h renew_lifetime = 7d forwardable = true 

/etc/ldap.conf

 base dc=rosa,dc=int host 192.168.100.1 nss_base_group dc=rosa,dc=int?sub nss_base_shadow dc=rosa,dc=int?sub nss_base_passwd dc=rosa,dc=int?sub 

/etc/nsswitch.conf

 passwd: files ldap shadow: files ldap group: files ldap hosts: mdns4_minimal files nis dns wins mdns4 networks: files services: files protocols: files rpc: files ethers: files netmasks: files netgroup: files publickey: files bootparams: files automount: files ldap aliases: files 

/etc/pam.d/system-auth

 #%PAM-1.0 auth required pam_env.so auth sufficient pam_tcb.so shadow nullok prefix=$2a$ count=8 auth sufficient pam_krb5.so use_first_pass auth required pam_deny.so account sufficient pam_tcb.so shadow account sufficient pam_krb5.so use_first_pass account required pam_deny.so password required pam_cracklib.so try_first_pass retry=3 password sufficient pam_tcb.so use_authtok shadow write_to=shadow nullok prefix=$2a$ count=8 password sufficient pam_krb5.so password required pam_deny.so session optional pam_mkhomedir.so skel=/etc/skel/ umask=0022 session optional pam_keyinit.so revoke session required pam_limits.so session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid session required pam_tcb.so session optional pam_krb5.so 

यदि किसी को केर्बेरोस का उपयोग किए बिना एलडीएपी के माध्यम से विशेष रूप से प्रमाणित करने की आवश्यकता है, तो सब कुछ बहुत सरल हो जाता है।

उसी तरह, सेटअप विज़ार्ड चलाएं, केवल केर्बरोस आइटम के बजाय आपको एलडीएपी का चयन करना होगा। ROSA मैराथन 2012 (LTS) और ROSA डेस्कटॉप फ्रेश 2012 वितरण के लिए, कनेक्शन के लिए आवश्यक सभी आवश्यक पैकेज पहले से ही वितरण किट में शामिल हैं। बाकी लोगों को पता होना चाहिए कि क्लाइंट को कॉन्फ़िगर करने के लिए निम्नलिखित पैकेजों की आवश्यकता होगी: ओपनडैप-क्लाइंट्स, pam_ldap, ऑटोफॉक्स।

इस बिंदु पर, आपको LDAP सर्वर का पता निर्दिष्ट करना होगा। पिछली बार के रूप में, ओकटेट्स के रूप में पता निर्दिष्ट करना न भूलें। अन्यथा, एक गैर-कार्यशील कॉन्फ़िगरेशन फ़ाइल उत्पन्न की जाएगी (हालांकि, यह हमेशा मैन्युअल रूप से तय किया जा सकता है कि अगर कुछ होता है)। उपयोगकर्ता आधार "डीएन डीएन" बटन पर क्लिक करके स्वचालित रूप से निर्धारित किया जाता है। पिछले उदाहरण में, "ऑफ़लाइन मोड" ध्वज को अनचेक करना आवश्यक है, अन्यथा सेटिंग सही ढंग से नहीं बनाई जाएगी।

आप कंसोल में गेटवाड कमांड का उपयोग करके संचालन क्षमता को सत्यापित कर सकते हैं, या आप DB_ldap में su कमांड यूजरनाम चला सकते हैं। पहला कमांड उन उपयोगकर्ताओं की एक सूची प्रदर्शित करता है जिनके बीच LDAP निर्देशिका के उपयोगकर्ता सूचीबद्ध होंगे। दूसरी कमांड के निष्पादन के दौरान, सिस्टम को LDAP निर्देशिका के उपयोगकर्ता क्रेडेंशियल्स का उपयोग करके लॉग किया जाएगा और प्रामाणिक उपयोगकर्ता की निर्देशिका स्वचालित रूप से / होम निर्देशिका के अंदर बनाई जाएगी।

कॉन्फ़िगरेशन फ़ाइलों के उदाहरण:

Ldap.conf की सामग्री:

 base dc=rosa,dc=int host 192.168.100.1 nss_base_group dc=rosa,dc=int?sub nss_base_shadow dc=rosa,dc=int?sub nss_base_passwd dc=rosa,dc=int?sub  nsswitch.conf: passwd: files ldap shadow: files ldap group: files ldap hosts: mdns4_minimal files nis dns wins mdns4 networks: files services: files protocols: files rpc: files ethers: files netmasks: files netgroup: files publickey: files bootparams: files automount: files ldap aliases: files 

और अंत में, सिस्टम-संबंधी:

 #%PAM-1.0 auth required pam_env.so auth sufficient pam_tcb.so shadow nullok prefix=$2a$ count=8 auth sufficient pam_ldap.so use_first_pass auth required pam_deny.so account sufficient pam_tcb.so shadow account sufficient pam_ldap.so use_first_pass account required pam_deny.so password required pam_cracklib.so try_first_pass retry=3 password sufficient pam_tcb.so use_authtok shadow write_to=shadow nullok prefix=$2a$ count=8 password sufficient pam_ldap.so password required pam_deny.so session optional pam_mkhomedir.so skel=/etc/skel/ umask=0022 session optional pam_keyinit.so revoke session required pam_limits.so session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid session required pam_tcb.so 

निष्कर्ष

यही सब है, शायद। हमने सीखा कि कैसे जल्दी और आसानी से Kerberos और LDAP का उपयोग करके अपना स्वयं का प्रमाणीकरण सर्वर बनाया जाए। भविष्य में, विभिन्न उद्देश्यों के लिए केबराइजेशन का उपयोग किया जा सकता है। उदाहरण के लिए, Kerberos को PostgreSQL सर्वर से कनेक्ट करें और लॉग इन करने के लिए Kerberos प्रिंसिपलों का उपयोग करें। या एक सिंगल साइन-ऑन इन्फ्रास्ट्रक्चर और अधिक बनाना।
परंपरागत रूप से, मुझे उम्मीद है कि सामग्री एक शुरुआत के रूप में, साथ ही साथ आलसी (एक अच्छे तरीके से) सिस्टम प्रशासक के रूप में काम आएगी।

अच्छी टिप्पणियाँ, मूल प्रश्न और सुविधा अनुरोध हमेशा स्वागत है।