NFS сервер с Kerberos авторизацией: различия между версиями

Материал из ALT Linux Wiki
(Новая страница: «На сервере, введенном в домен FreeIPA, установим nfs-server: # apt-get install nfs-server Включим SECURE_NFS:…»)
 
 
(не показано 17 промежуточных версий 2 участников)
Строка 1: Строка 1:
На сервере, введенном в домен FreeIPA, установим nfs-server:
__TOC__
=Домен на базе Samba DC=
Исходные данные стенда
* Домен test.alt (АльтСервер 10.1, dc.test.alt)
* NFS сервер (Альт Сервер 10.1, nfs-server.test.alt) - включен в домен
* NFS клиент (Альт Рабочая станция 10.1, nfs-client.test.alt) - включен в домен
{{Внимание|
*обязательна синхронизация времени на всех хостах;
*обязательно наличие прямой (А) и обратной (PTR) записей для nfs-сервера и клиента — samba по умолчанию не создает обратную зону.}}
==Настройка сервера==
===Установить пакет===
# apt-get install nfs-server
===Включить автозапуск сервиса===
# systemctl enable --now nfs-server
===В /etc/idmapd.conf определить домен (realm) и методы (GSS-Methods)===
<source lang=ini>
[General]
Domain = test.alt
Local-Realms = TEST.ALT


    # apt-get install nfs-server  
[Translation]
Method = nsswitch,static
GSS-Methods = nsswitch,static
</source>
===В /etc/nfs.conf можно запретить все версии кроме 4===
<source lang=ini>
[nfsd]
vers2=n
vers3=n
vers4=y
vers4.0=y
vers4.1=y
vers4.2=y
</source>
===Создать шару для раздачи===
# mkdir -p /exports/test_share/testdir
# chgrp 'Domain Users' /exports/test_share/
# chmod g+w /exports/test_share/
===Описать её в /etc/exports===
/exports/test_share *(rw,sync,no_subtree_check,sec=krb5:krb5i:krb5p)
===И экспортировать===
# exportfs -vra
exporting *:/exports/test_share
===Создать сервисную запись===
# kinit administrator@TEST.ALT
# adcli update --service-name=nfs
===Перезапустить сервер nfs===
# systemctl restart nfs-server


Включим SECURE_NFS:
==Настройка клиента==
===Включить автозапуск клиента NFS===
# systemctl enable --now nfs-client.target
===Создать точку монтирования и подключиться к шаре===
# mkdir /mnt/nfs
# mount.nfs4 -vvv -o sec=krb5:krb5i:krb5p,rw nfs-server.test.alt://exports/test_share /mnt/nfs/
===Проверить доступность от доменного пользователя===
domainuser1@alt-p10-wks / $ touch /mnt/nfs/testdir/myfile
domainuser1@alt-p10-wks / $ ll /mnt/nfs/testdir/myfile
-rw-r--r-- 1 domainuser1 domain users 0 сен 15 17:26 /mnt/nfs/testdir/myfile


    # echo 'SECURE_NFS=yes' >> /etc/sysconfig/nfs
=Домен на базе FreeIPA=
 
==На DC FreeIPA==
Добавим сервис в автозапуск:
===Добавить сервис, где имя нашего nfs-сервера — nfs.example.test===
 
# kinit admin
    # systemctl enable --now nfs-server
# ipa service-add nfs/nfs.example.test
 
===Создать пользователя и группу для доступа к nfs===
На DC FreeIPA сервере добавить сервис где nfs.example.test наш nfs сервер:
# echo 1 | ipa user-add test01 --first test --last 01 --password
 
# ipa group-add nfs_users --desc="NFS users"
    # kinit admin
# ipa group-add-member nfs_users --users=test01
    # ipa service-add nfs/nfs.example.test
==На введённом в домен сервере NFS==
   
===Установить сервис===
На DC FreeIPA сервере создадим пользователя и группу для доступа на nfs:
# apt-get install nfs-server
 
===Включить SECURE_NFS===
    # echo 1 | ipa user-add test01 --first test --last 01 --password
# echo 'SECURE_NFS=yes' >>/etc/sysconfig/nfs
    # ipa group-add nfs_users --desc="NFS users"
===Сгенерировать таблицу ключей службы и сохранить в keytab===
    # ipa group-add-member nfs_users --users=test01
# kinit admin
       
# ipa-getkeytab -s ipaserver.example.test -p nfs/nfs.example.test -k /etc/krb5.keytab
На NFS сервере сгенерируем таблицу ключей службы NFS для сервера и сохраним в keytab:
# klist -ket /etc/krb5.keytab
 
===Создать каталог с групповыми правами на запись===
    # kinit admin
# install -g nfs_users -m 774 -d /exports/test_share/testdir
    # ipa-getkeytab -s ipaserver.example.test -p nfs/nfs.example.test -k /etc/krb5.keytab
===Добавить список экспорта===
    # klist -ket /etc/krb5.keytab
# echo '/exports/test_share *(rw,no_subtree_check,sec=krb5:krb5i:krb5p)' >>/etc/exports
 
# exportfs -vra
На NFS создадим каталог, дадим права на запись группе, добавим список экспорта и применим изменения:
===Включить автозапуск сервиса===
 
# systemctl enable nfs-server
    # mkdir -p /exports/test_share/testdir
===Применить изменения===
    # chgrp nfs_users /exports/test_share/testdir
# systemctl restart nfs-server
    # chmod 774 /exports/test_share/testdir
==На введённом в домен клиенте==
    # echo '/exports/test_share *(rw,no_subtree_check,sec=krb5:krb5i:krb5p)' >> /etc/exports
===Включить автозагрузку клиента nfs===
    # exportfs -vra
# systemctl enable --now nfs-client.target
    # systemctl restart nfs-server
===Проверить доступность ресурса===
   
# showmount -e nfs.example.test
На клиенте, введенном в домен FreeIPA, добавим в автозагрузку nfs-client и проверим доступность ресурса:
===Создать и смонтировать каталог nfs===
 
# mkdir /mnt/test_share
    # systemctl enable --now nfs-client.target
# mount -o sec=krb5:krb5i:krb5p,rw nfs.example.test://exports/test_share /mnt/test_share
    # showmount -e nfs.example.test
===Добавить его в fstab===
   
# cat >> /etc/fstab << EOF
Создадим каталог и смонтируем nfs, добавим запись в fstab:
nfs.example.test:/exports/test_share /mnt/test_share nfs rw,sec=krb5:krb5i:krb5p,nolock 1 0
   
EOF
    # mkdir /mnt/test_share
===Проверить доступность от доменного пользователя.===
    # mount -o sec=krb5:krb5i:krb5p,rw nfs.example.test://exports/test_share /mnt/test_share
    # cat >> /etc/fstab << EOF
    nfs.example.test:/exports/test_share /mnt/test_share nfs rw,sec=krb5:krb5i:krb5p,nolock 1 0
    EOF
 
Зайти доменным пользователем в систему и проверить возможность чтения/записи в каталог testdir.
[[Категория:FileSystems]]
[[Категория:FileSystems]]
[[Категория:Домен]]
[[Категория:Домен]]

Текущая версия от 04:07, 1 октября 2023

Домен на базе Samba DC

Исходные данные стенда

  • Домен test.alt (АльтСервер 10.1, dc.test.alt)
  • NFS сервер (Альт Сервер 10.1, nfs-server.test.alt) - включен в домен
  • NFS клиент (Альт Рабочая станция 10.1, nfs-client.test.alt) - включен в домен
Внимание:
  • обязательна синхронизация времени на всех хостах;
  • обязательно наличие прямой (А) и обратной (PTR) записей для nfs-сервера и клиента — samba по умолчанию не создает обратную зону.

Настройка сервера

Установить пакет

# apt-get install nfs-server

Включить автозапуск сервиса

# systemctl enable --now nfs-server

В /etc/idmapd.conf определить домен (realm) и методы (GSS-Methods)

[General]
Domain = test.alt
Local-Realms = TEST.ALT

[Translation]
Method = nsswitch,static
GSS-Methods = nsswitch,static

В /etc/nfs.conf можно запретить все версии кроме 4

[nfsd]
vers2=n
vers3=n
vers4=y
vers4.0=y
vers4.1=y
vers4.2=y

Создать шару для раздачи

# mkdir -p /exports/test_share/testdir
# chgrp 'Domain Users' /exports/test_share/
# chmod g+w /exports/test_share/

Описать её в /etc/exports

/exports/test_share *(rw,sync,no_subtree_check,sec=krb5:krb5i:krb5p)

И экспортировать

# exportfs -vra
exporting *:/exports/test_share

Создать сервисную запись

# kinit administrator@TEST.ALT
# adcli update --service-name=nfs

Перезапустить сервер nfs

# systemctl restart nfs-server

Настройка клиента

Включить автозапуск клиента NFS

# systemctl enable --now nfs-client.target

Создать точку монтирования и подключиться к шаре

# mkdir /mnt/nfs
# mount.nfs4 -vvv -o sec=krb5:krb5i:krb5p,rw nfs-server.test.alt://exports/test_share /mnt/nfs/

Проверить доступность от доменного пользователя

domainuser1@alt-p10-wks / $ touch /mnt/nfs/testdir/myfile
domainuser1@alt-p10-wks / $ ll /mnt/nfs/testdir/myfile
-rw-r--r-- 1 domainuser1 domain users 0 сен 15 17:26 /mnt/nfs/testdir/myfile

Домен на базе FreeIPA

На DC FreeIPA

Добавить сервис, где имя нашего nfs-сервера — nfs.example.test

# kinit admin
# ipa service-add nfs/nfs.example.test

Создать пользователя и группу для доступа к nfs

# echo 1 | ipa user-add test01 --first test --last 01 --password
# ipa group-add nfs_users --desc="NFS users"
# ipa group-add-member nfs_users --users=test01

На введённом в домен сервере NFS

Установить сервис

# apt-get install nfs-server

Включить SECURE_NFS

# echo 'SECURE_NFS=yes' >>/etc/sysconfig/nfs

Сгенерировать таблицу ключей службы и сохранить в keytab

# kinit admin
# ipa-getkeytab -s ipaserver.example.test -p nfs/nfs.example.test -k /etc/krb5.keytab
# klist -ket /etc/krb5.keytab

Создать каталог с групповыми правами на запись

# install -g nfs_users -m 774 -d /exports/test_share/testdir

Добавить список экспорта

# echo '/exports/test_share *(rw,no_subtree_check,sec=krb5:krb5i:krb5p)' >>/etc/exports
# exportfs -vra

Включить автозапуск сервиса

# systemctl enable nfs-server

Применить изменения

# systemctl restart nfs-server

На введённом в домен клиенте

Включить автозагрузку клиента nfs

# systemctl enable --now nfs-client.target

Проверить доступность ресурса

# showmount -e nfs.example.test

Создать и смонтировать каталог nfs

# mkdir /mnt/test_share
# mount -o sec=krb5:krb5i:krb5p,rw nfs.example.test://exports/test_share /mnt/test_share

Добавить его в fstab

# cat >> /etc/fstab << EOF
nfs.example.test:/exports/test_share /mnt/test_share nfs rw,sec=krb5:krb5i:krb5p,nolock 1 0
EOF

Проверить доступность от доменного пользователя.