Services/Kerberos+LDAP/Install - Historique des versions

Didier : /* phpldapadmin */

2015-03-27T11:39:23Z

phpldapadmin

← Version précédente		Version du 27 mars 2015 à 11:39
Ligne 906 :		Ligne 906 :

	Restriction d'accès grâce à Kerberos. Le détail se trouve dans le [[Services/Kerberos/Install#Authentification_Apache\|tutorial d'installation de Kerberos, à la section "mise en place de l'authentification sur Apache"]]		Restriction d'accès grâce à Kerberos. Le détail se trouve dans le [[Services/Kerberos/Install#Authentification_Apache\|tutorial d'installation de Kerberos, à la section "mise en place de l'authentification sur Apache"]]
			<syntaxhighlight lang="bash">
			kadmin.local -q "addprinc -randkey http/kls.didier.com"
			kadmin.local -q "ktadd -k /etc/httpd/conf.d/http.keytab http/kls.didier.com"
			chown apache /etc/httpd/conf.d/http.keytab
			chmod 400 /etc/httpd/conf.d/http.keytab
			</syntaxhighlight>
			{{Admon/file\|<path>/etc/httpd/conf.d/phpldapadmin.conf</path>\|
	<syntaxhighlight lang="apache">		<syntaxhighlight lang="apache">
	Alias /phpldapadmin /usr/share/phpldapadmin/htdocs		Alias /phpldapadmin /usr/share/phpldapadmin/htdocs
Ligne 928 :		Ligne 935 :
	KrbMethodNegotiate Off		KrbMethodNegotiate Off
	</Directory>		</Directory>
	</syntaxhighlight>		</syntaxhighlight>}}

	== Références ==		== Références ==

Didier : /* Modification du ldap pour qu'un ticket kerberos soit obligatoirement acquis pour se connecter au ldap */

2015-03-27T11:29:07Z

Modification du ldap pour qu'un ticket kerberos soit obligatoirement acquis pour se connecter au ldap

← Version précédente		Version du 27 mars 2015 à 11:29
Ligne 619 :		Ligne 619 :

	==== Modification du ldap pour qu'un ticket kerberos soit obligatoirement acquis pour se connecter au ldap ====		==== Modification du ldap pour qu'un ticket kerberos soit obligatoirement acquis pour se connecter au ldap ====

			* Pour l'objet racine '''cn=config''', une directive de ''olcAuthzRegexp'' sera ajouté pour faire correspondre les comptes GSSAPI aux noms distinctifs (DN) du compte.
			* Un attribut ''olcSaslRealm'' sera ajouté pour préciser le royaume SASL, dans ce cas précis, un royaume Kerberos.
			* Pour la définition de base de données ''olcDatabase={2}hdb,cn=config'', le nom de l'utilisateur d'administration sera modifiée pour correspondre au DN auquel il sera traduit après la rencontre ''olcAuthzRegexp''.
			* Suppression du mot de passe pour l'utilisateur d'administration, de sorte qu'à partir de maintenant il ne sera possible d'utiliser ce compte qu'après obtention d'un ticket Kerberos.
	<syntaxhighlight lang="bash">		<syntaxhighlight lang="bash">
	ldapmodify -QY EXTERNAL -H ldapi:/// << EOF		ldapmodify -QY EXTERNAL -H ldapi:/// << EOF

Didier : /* Modification des ACL LDAP */

2015-03-27T11:20:48Z

Modification des ACL LDAP

← Version précédente		Version du 27 mars 2015 à 11:20
Ligne 497 :		Ligne 497 :

	Ajout de quelques ACL pour authoriser (et restreindre) le groupe kerberos aux comptes LDAP kadm et kdc, et ajout de quelques index au passage.		Ajout de quelques ACL pour authoriser (et restreindre) le groupe kerberos aux comptes LDAP kadm et kdc, et ajout de quelques index au passage.
			* La première règle ''olcAccess'' spécifie l'accès aux informations de mot de passe. Les utilisateurs anonymes auront un accès '''auth''' et tous les autres utilisateurs n'auront aucun accès. Ce type d'authentification peut sembler problématique, mais il n'est utilisé que par les connexions IPC (sockets UNIX).
			* La seconde règle ''olcAccess'' spécifie l'accès à la future branche '''ou=kerberos''' (qui contiendra la base de données Kerberos): le serveur d'administration Kerberos (kadmin) aura accès en écriture, le serveur Kerberos KDC aura accès en lecture. Et aucun accès pour les autres.
			* La troisième règle ''olcAccess'' permettra aux utilisateurs authentifiés de modifier leurs propres paramètres de ''shell'', l'attribut qui est inclus dans le schéma LDAP pour la classe d'objet ''posixAccount''.
			* La quatrième règle ''olcAccess'' permettra un accès en lecture à la base de l'arbre pour des choses comme ''supportedSASLMechanisms''. Cela permet aux clients de découvrir les mécanismes SASL que le serveur LDAP supporte.
			* La cinquième et dernière règle ''olcAccess'' spécifie l'ACL par défaut, c'est à dire qui détermine la politique d'accès par défaut à tout le reste dans l'arbre. Les utilisateurs authentifiés auront accès en lecture et les utilisateurs anonymes n'auront aucun accès.
			* Les autres règles ne sont que des ajouts d'index.
	<syntaxhighlight lang="bash">		<syntaxhighlight lang="bash">
	ldapmodify -Q -Y EXTERNAL -H ldapi:/// <<EOF		ldapmodify -Q -Y EXTERNAL -H ldapi:/// <<EOF

Didier : /* Script d'ajout d'utilisateur au LDAP */

2015-03-27T10:52:54Z

Script d'ajout d'utilisateur au LDAP

← Version précédente		Version du 27 mars 2015 à 10:52
Ligne 752 :		Ligne 752 :
	lastname=		lastname=
	email=		email=
			phone=
			title=

	function showhelp()		function showhelp()
Ligne 766 :		Ligne 768 :
	echo " -L <LASTNAME> User's lastname"		echo " -L <LASTNAME> User's lastname"
	echo " -e <EMAIL> Email account"		echo " -e <EMAIL> Email account"
			echo " -t <TITLE> Job title"
			echo " -p <PHONE NB> Phone number. Can be specified more than one time"
	}		}

	while getopts "?hl:u:g:f:L:e:" opt		while getopts "?hl:u:g:f:L:e:p:t:" opt
	do		do
	case "${opt}" in		case "${opt}" in
Ligne 792 :		Ligne 796 :
	e)		e)
	email=${OPTARG}		email=${OPTARG}
			;;
			t)
			title=${OPTARG}
			;;
			p)
			[ -z ${phone} ] && phone=${OPTARG} \|\| phone="${phone} ${OPTARG}"
	;;		;;
	*)		*)
Ligne 806 :		Ligne 816 :
	[ -z "${lastname}" ] && read -p "User's lastname: " lastname		[ -z "${lastname}" ] && read -p "User's lastname: " lastname
	[ -z "${email}" ] && read -p "Email account: " email		[ -z "${email}" ] && read -p "Email account: " email
			[ -z "${title}" ] && read -p "Job title: " title
			if [ -z "${phone}" ]
			then
			tmpphone=
			while true
			do
			read -p "Phone number: " tmpphone
			[ -z "${tmpphone}" ] && break \|\| phone="${phone} ${tmpphone}"
			done
			fi

	[ -z "${login}" ] && echo "Missing login parameter"		[ -z "${login}" ] && echo "Missing login parameter"
Ligne 813 :		Ligne 833 :
	[ -z "${lastname}" ] && echo "Missing lastname parameter"		[ -z "${lastname}" ] && echo "Missing lastname parameter"
	[ -z "${email}" ] && echo "Missing email parameter"		[ -z "${email}" ] && echo "Missing email parameter"
	if [ -z "${login}" ] \|\| [ -z "${uid}" ] \|\| [ -z "${gid}" ] \|\| [ -z "${firstname}" ] \|\| [ -z "${lastname}" ] \|\| [ -z "${email}" ]		if [ -z "${login}" ] \|\| [ -z "${uid}" ] \|\| [ -z "${gid}" ] \|\| [ -z "${firstname}" ] \|\| [ -z "${lastname}" ] \|\| [ -z "${email}" ] \|\| [ -z "${title}" ]
	then		then
	showhelp		showhelp
Ligne 819 :		Ligne 839 :
	fi		fi

	~~ldapadd~~ << EOF		cat << EOF > /tmp/user.ldif
	dn: cn=${login},ou=groups,dc=didier,dc=com		dn: cn=${login},ou=groups,dc=didier,dc=com
	objectClass: top		objectClass: top
Ligne 828 :		Ligne 848 :
	dn: uid=${login},ou=people,dc=didier,dc=com		dn: uid=${login},ou=people,dc=didier,dc=com
	objectClass: top		objectClass: top
			objectClass: person
			objectClass: inetOrgPerson
	objectClass: organizationalPerson		objectClass: organizationalPerson
	~~objectClass: inetOrgPerson~~
	objectClass: posixAccount		objectClass: posixAccount
	objectClass: shadowAccount		objectClass: shadowAccount
Ligne 841 :		Ligne 862 :
	userPassword: {CRYPT}*		userPassword: {CRYPT}*
	mail: ${email}		mail: ${email}
			displayName: ${firstname} ${lastname}
			title: ${title}
	EOF		EOF
			for nb in ${phone}
			do
			echo "telephoneNumber: ${nb}" >> /tmp/user.ldif
			done

			ldapadd -f /tmp/user.ldif
			rm -f /tmp/user.ldif
	</syntaxhighlight>		</syntaxhighlight>

Didier : /* phpldapadmin */

2015-03-27T10:40:39Z

phpldapadmin

← Version précédente		Version du 27 mars 2015 à 10:40
Ligne 857 :		Ligne 857 :
	$servers->setValue('server','host','127.0.0.1');		$servers->setValue('server','host','127.0.0.1');
	$servers->setValue('server','port',389);		$servers->setValue('server','port',389);
	$servers->setValue('server','base',array('ou=people,dc=didier,dc=com'));		$servers->setValue('server','base',array('ou=people,dc=didier,dc=com','ou=groups,dc=didier,dc=com'));
	$servers->setValue('login','auth_type','cookie');		$servers->setValue('login','auth_type','cookie');
	$servers->setValue('login','bind_id','uid=admin,ou=people,dc=didier,dc=com');		$servers->setValue('login','bind_id','uid=admin,ou=people,dc=didier,dc=com');

Didier : /* Script d'ajout d'utilisateur au LDAP */

2015-03-26T17:24:21Z

Script d'ajout d'utilisateur au LDAP

← Version précédente		Version du 26 mars 2015 à 17:24
Ligne 819 :		Ligne 819 :
	fi		fi

	~~cat~~ << EOF		ldapadd << EOF
	dn: cn=${login},ou=groups,dc=didier,dc=com		dn: cn=${login},ou=groups,dc=didier,dc=com
	objectClass: top		objectClass: top

Didier : /* phpldapadmin */

2015-03-26T17:23:08Z

phpldapadmin

@@ Ligne 739 : / Ligne 739 : @@
 </syntaxhighlight>
-== phpldapadmin ==
+== Outils complémentaires ==
 Installation de l'application web

Didier : /* Test depuis un client externe */

2015-03-26T16:32:09Z

Test depuis un client externe

← Version précédente		Version du 26 mars 2015 à 16:32
Ligne 717 :		Ligne 717 :
	SASL/GSS-SPNEGO authentication started		SASL/GSS-SPNEGO authentication started
	ldap_sasl_interactive_bind_s: Local error (-2)		ldap_sasl_interactive_bind_s: Local error (-2)
	additional info: SASL(-1): generic failure: GSSAPI Error: Unspecified GSS failure. Minor code may provide more information (SPNEGO cannot find mechanisms to negotiate)		additional info: SASL(-1): generic failure: GSSAPI Error: Unspecified GSS failure.
			Minor code may provide more information (SPNEGO cannot find mechanisms to negotiate)
	</syntaxhighlight>		</syntaxhighlight>
	<syntaxhighlight lang="bash">		<syntaxhighlight lang="bash">
Ligne 729 :		Ligne 730 :
	SASL data security layer installed.		SASL data security layer installed.
	dn: uid=didier,ou=people,dc=didier,dc=com		dn: uid=didier,ou=people,dc=didier,dc=com
	mail: dfabert@~~b2pweb~~.com		mail: dfabert@didier.com

	dn: uid=bastien,ou=people,dc=didier,dc=com		dn: uid=bastien,ou=people,dc=didier,dc=com
	mail: bhermitte@~~b2pweb~~.com		mail: bhermitte@didier.com

	dn: uid=gilles,ou=people,dc=didier,dc=com		dn: uid=gilles,ou=people,dc=didier,dc=com
	mail: ggaudin@~~b2pweb~~.com		mail: ggaudin@didier.com
	</syntaxhighlight>		</syntaxhighlight>

Didier : /* Relance du test avec ticket kerberos pour admin */

2015-03-26T16:30:42Z

Relance du test avec ticket kerberos pour admin

@@ Ligne 696 : / Ligne 696 : @@
 SASL data security layer installed.
 dn:uid=admin,cn=didier.com,cn=gss-spnego,cn=auth
 </syntaxhighlight>

Didier : /* Tests */

2015-03-26T13:56:42Z

Tests

← Version précédente		Version du 26 mars 2015 à 13:56
Ligne 638 :		Ligne 638 :
	</syntaxhighlight>		</syntaxhighlight>

	=== Tests ===		== Tests ==
	==== Avant d'obtenir un ticket kerberos ====		=== Avant d'obtenir un ticket kerberos ===

	L'échec est ici prévisible et même souhaité pour tous les tests sans ticket kerberos		L'échec est ici prévisible et même souhaité pour tous les tests sans ticket kerberos
Ligne 663 :		Ligne 663 :
	Minor code may provide more information (SPNEGO cannot find mechanisms to negotiate)		Minor code may provide more information (SPNEGO cannot find mechanisms to negotiate)
	</syntaxhighlight>		</syntaxhighlight>
	==== Obtention du ticket kerberos et vérification de l'acquisition ====		=== Obtention du ticket kerberos et vérification de l'acquisition ===
	<syntaxhighlight lang="bash">		<syntaxhighlight lang="bash">
	kinit admin		kinit admin
Ligne 676 :		Ligne 676 :
	</syntaxhighlight>		</syntaxhighlight>

	==== Relance du test avec ticket kerberos pour admin ====		=== Relance du test avec ticket kerberos pour admin ===

	Le même test fonctionne maintenant		Le même test fonctionne maintenant

Services/Kerberos+LDAP/Install - Historique des versions

Didier : /* phpldapadmin */

Didier : /* Modification du ldap pour qu'un ticket kerberos soit obligatoirement acquis pour se connecter au ldap */

Didier : /* Modification des ACL LDAP */

Didier : /* Script d'ajout d'utilisateur au LDAP */

Didier : /* phpldapadmin */

Didier : /* Script d'ajout d'utilisateur au LDAP */

Didier : /* phpldapadmin */

Didier : /* Test depuis un client externe */

Didier : /* Relance du test avec ticket kerberos pour admin */

Didier : /* Tests */

Didier : /* phpldapadmin */

Didier : /* Modification du ldap pour qu'un ticket kerberos soit obligatoirement acquis pour se connecter au ldap */

Didier : /* Modification des ACL LDAP */

Didier : /* Script d'ajout d'utilisateur au LDAP */

Didier : /* phpldapadmin */

Didier : /* Script d'ajout d'utilisateur au LDAP */

Didier : /* phpldapadmin */

Didier : /* Test depuis un client externe */

Didier : /* Relance du test avec ticket kerberos pour admin */

Didier : /* Tests */