Просмотр кода страницы FreeIPA/Интеграция с AD

{{Stub}}

{{Note|В примере для создания доверительных отношений будут использоваться следующие данные:
*Домен FreeIPA — example.test
*Сервер FreeIPA — ipa.example.test (192.168.0.113)
*NetBIOS имя IPA домена: EXAMPLE
*Домен AD — test.alt
*Сервер AD — dc1.test.alt (192.168.0.122)
*NetBIOS имя AD домена: TEST}}

FreeIPA использует Samba для интеграции в Active Directory. Для работы Samba необходим работающий стек IPv6.

== Настройка DNS ==

Перед подключением FreeIPA и Active Directory (AD) к доверию необходимо убедиться, что серверы видят друг друга и правильно разрешают доменные имена. В этом сценарии описывается настройка DNS для разрешения доменных имен между:
*основной сервер FreeIPA, использующий интегрированный сервер DNS и CA;
*контроллер домена AD.

Для настройки DNS необходимо:
*настроить зоны DNS на сервере FreeIPA;
*настроить условную переадресацию DNS в AD;
*проверить правильности конфигурации DNS.

=== Настройка зоны перенаправления DNS на сервере FreeIPA ===

С помощью зон перенаправления DNS (forward zone) DNS-запросы для определенной зоны можно перенаправлять на другой DNS-сервер. Например, можно перенаправлять DNS-запросы для домена AD на DNS-сервер AD. 

Настройка зоны перенаправления в веб-интерфейсе FreeIPA:
#Перейти на вкладку «Сетевые службы».
#В выпадающем меню выбрать «DNS» «Зоны перенаправления DNS»:
#:[[Файл:Freeipa-forward-zone01.png|Вкладка «Сетевые службы»]]
#Нажать кнопку «Добавить».
#В диалоговом окне «Добавить зону перенаправления DNS» добавить имя зоны.
#В строке «Перенаправители зон» нажать кнопку «Добавить».
#В поле  «Перенаправители зон» добавить IP-адрес сервера, для которого создается новая зона перенаправления:
#:[[Файл:Freeipa-forward-zone02.png|Добавление зоны перенаправления DNS]]
#Нажать кнопку «Добавить». Зона перенаправления DNS будет добавлена:
#:[[Файл:Freeipa-forward-zone03.png|Зоны перенаправления DNS]]

Создание зоны переадресации DNS для домена AD в командной строке (следует указать IP-адрес удаленного DNS-сервера с параметром <tt>--forwarder</tt>): 
<source lang="text" highlight="1-2"># kinit admin
# ipa dnsforwardzone-add test.alt --forwarder=192.168.0.122 --forward-policy=first
Сервер проверит DNS-перенаправитель (перенаправители).
Это может занять некоторое время; пожалуйста, подождите...
Имя зоны: test.alt.
Активная зона: TRUE
Перенаправители зон: 192.168.0.122
Политика перенаправления: first</source>

{{Note|Если при добавлении зоны перенаправления появляется предупреждение об ошибке проверки DNSSEC, это означает что удалённый DNS-сервер не использует DNSSEC. Рекомендуется включить DNSSEC на удаленном DNS-сервере.

Если включить проверку DNSSEC на удаленном DNS-сервере нельзя, можно отключить DNSSEC на сервере FreeIPA. Для этого в файле {{path|/etc/bind/ipa-options-ext.conf}} следует привести параметр <tt>dnssec-validation</tt> к виду:
<source lang="text">dnssec-validation no;</source>

И перезапустить службу DNS:
<source lang="text" highlight="1"># systemctl restart bind.service</source>}}

Проверка настройки:
<source lang="text" highlight="1"># dig dc1.test.alt +noall +answer
dc1.test.alt.       709 IN  A   192.168.0.122</source>

=== Настройка переадресации DNS в AD ===
В этом разделе описывается, как настроить переадресацию DNS в Active Directory для сервера FreeIPA. 

==== Samba DC ====
Если используется dns_backend BIND9_DLZ добавить в файл {{path|/etc/bind/options.conf}} строки:
<source lang="text">zone "example.test" {
    type forward;
    forwarders { 192.168.0.113; };
};</source>
Перезапустить службу DNS:
<source lang="text" highlight="1"># systemctl restart bind.service</source>

==== Windows Server с AD ====
На AD сервере создать сервер условной пересылки для зоны IPA домена.

В графическом интерфейсе:
#Открыть «Диспетчер DNS» («DNS Manager»).
#В разделе «Серверы условной пересылки» («Conditional Forwarders») добавить новый сервер пересылки указав FQDN и IP-адрес сервера FreeIPA:
#:[[Файл:win-dns03.png|DNS Manager]]
#Сохранить настройки.

В командной строке:
<source lang="text" highlight="1">C:\> dnscmd 127.0.0.1 /ZoneAdd example.test /Forwarder 192.168.0.113
DNS Server 127.0.0.1 created zone example.test:

Command completed successfully</source>

=== Проверка конфигурации DNS ===
Перед настройкой доверия необходимо убедиться, что серверы FreeIPA и AD могут разрешать себя и друг друга. 

==== На сервере FreeIPA ====
Проверить наличие записей для работы сервисов IPA на DNS-сервере IPA.

# Запись отвечающая за работу сервисов Kerberos через UDP и LDAP через TCP: 
#:<source lang="text" highlight="1,3"># dig +short -t SRV _kerberos._udp.example.test
0 100 88 ipa.example.test.
# dig +short -t SRV _ldap._tcp.example.test
0 100 389 ipa.example.test.</source>
#:В выводе команд должен быть отображен список всех серверов IPA.
#Запись отвечающая за имя Kerberos realm IPA домена: 
#:<source lang="text" highlight="1"># dig +short -t TXT _kerberos.example.test
"EXAMPLE.TEST"</source>
# Наличие записей для работы сервисов AD на DNS-сервере IPA: 
#:<source lang="text" highlight="1,3"># dig +short -t SRV _kerberos._tcp.dc._msdcs.test.alt
0 100 88 dc.test.alt.
# dig +short -t SRV _ldap._tcp.dc._msdcs.test.alt
0 100 389 dc.test.alt.</source>

{{Note|Если два первых шага не вернули все ожидаемые записи, обновите конфигурацию DNS, добавив недостающие записи.

Если в среде IPA используется встроенный DNS-сервер:
<source lang="text" highlight="1"># ipa dns-update-system-records</source>

Если в среде IPA не используется встроенный DNS-сервер. На сервере FreeIPA экспортировать записи DNS в файл: 
<source lang="text" highlight="1"># ipa dns-update-system-records --dry-run --out dns_records_file.nsupdate</source>
Отправить запрос на обновление DNS на DNS-сервер с помощью утилиты nsupdate и файла dns_records_file.nsupdate. }}

==== На сервере AD ====

#На сервере AD запустить утилиту nslookup.exe для поиска служебных записей:
#:<source lang="text" highlight="1,2">C:\>nslookup.exe
> set type=SRV</source>
#Введите доменное имя для служебных записей Kerberos через UDP и LDAP через TCP:
#:<source lang="text" highlight="1,8"> > _kerberos._udp.example.test
_kerberos._udp.example.test       SRV service location:
    priority                = 0
    weight                  = 100
    port                    = 88
    svr hostname            = ipa.example.test
ipa.example.test internet address = 192.168.0.113
> _ldap._tcp.example.test
_ldap._tcp.example.test       SRV service location:
    priority                = 0
    weight                  = 100
    port                    = 389
    svr hostname            = ipa.example.test
ipa.example.test internet address = 192.168.0.113 </source>
#Запись отвечающая за имя Kerberos realm IPA домена: 
#:<source lang="text" highlight="1-3">C:\>nslookup.exe
> set type=TXT
> _kerberos.example.test
_kerberos.example.test        text =

    "EXAMPLE.TEST"</source>

== Подготовка сервера FreeIPA к доверию ==
Установить необходимые пакеты:
<source lang="text" highlight="1"># apt-get install freeipa-server-trust-ad</source>

Прежде чем устанавливать доверительные отношения с AD, следует подготовить домен FreeIPA с помощью утилиты {{cmd|ipa-adtrust-install}}.
Сконфигурировать сервер FreeIPA для доверительных отношений с AD:

<source lang="text" highlight="1"># ipa-adtrust-install
The log file for this installation can be found in /var/log/ipaserver-adtrust-install.log
==============================================================================
This program will setup components needed to establish trust to AD domains for
the IPA Server.

This includes:
  * Configure Samba
  * Add trust related objects to IPA LDAP server

To accept the default shown in brackets, press the Enter key.

Configuring cross-realm trusts for IPA server requires password for user 'admin'.
This user is a regular system account used for IPA server administration.

admin password: </source>

Записи DNS создаются автоматически, если FreeIPA был установлен с интегрированным DNS-сервером. Если FreeIPA установлен без встроенного DNS-сервера, ipa-adtrust-install выведет список служебных записей, которые нужно вручную добавить в DNS.

Далее скрипт сообщает, что файл {{path|/etc/samba/smb.conf}} уже существует и будет переписан: 

<source lang="text">WARNING: The smb.conf already exists. Running ipa-adtrust-install will break your existing samba configuration.
Do you wish to continue? [no]: yes</source>

Скрипт спросит необходимо ли конфигурировать {{path|slapi-nis}} плагин для поддержки работы старых клиентов (SSSD < 1.9) с пользователем из доверенного домена:
<source lang="text">Do you want to enable support for trusted domains in Schema Compatibility plugin?
This will allow clients older than SSSD 1.9 and non-Linux clients to work with trusted users.

Enable trusted domains support in slapi-nis? [no]: yes</source>

При появлении запроса NetBIOS введите имя NetBIOS для домена FreeIPA или нажмите Enter, чтобы принять предложенное имя:
<source lang="text">Trust is configured but no NetBIOS domain name found, setting it now.
Enter the NetBIOS name for the IPA domain.
Only up to 15 uppercase ASCII letters, digits and dashes are allowed.
Example: EXAMPLE.

NetBIOS domain name [EXAMPLE]:</source>

Далее будет предложено запустить задачу генерации SID, чтобы создать SID для всех существующих пользователей: 
<source lang="text">Do you want to run the ipa-sidgen task? [no]: yes</source>

Это ресурсоемкая задача, поэтому, если у вас много пользователей, можно запустить ее в другое время. 

<source lang="text">Done configuring CIFS.
=============================================================================
Setup complete

You must make sure these network ports are open:
    TCP Ports:
      * 135: epmap
      * 138: netbios-dgm
      * 139: netbios-ssn
      * 445: microsoft-ds
      * 1024..1300: epmap listener range
      * 3268: msft-gc
    UDP Ports:
      * 138: netbios-dgm
      * 139: netbios-ssn
      * 389: (C)LDAP
      * 445: microsoft-ds

See the ipa-adtrust-install(1) man page for more details</source>

Перезапустить ipa:
<source lang="text" highlight="1"># ipactl restart
Restarting Directory Service
Restarting krb5kdc Service
Restarting kadmin Service
Restarting named Service
Restarting httpd Service
Restarting ipa-custodia Service
Restarting pki-tomcatd Service
Restarting smb Service
Restarting winbind Service
Restarting ipa-otpd Service
Restarting ipa-dnskeysyncd Service
ipa: INFO: The ipactl command was successful</source>

Используйте утилиту smbclient, чтобы убедиться, что Samba отвечает на аутентификацию Kerberos со стороны FreeIPA:

<source lang="text" highlight="1"># smbclient -L ipa.example.test -k
lpcfg_do_global_parameter: WARNING: The "domain logons" option is deprecated

    Sharename       Type      Comment
    ---------       ----      -------
    IPC$            IPC       IPC Service (Samba 4.14.10)
…</source>

== Настройка доверия ==

Сервер FreeIPA позволяет настроить три типа соглашений о доверии:
*одностороннее доверие — вариант по умолчанию. Одностороннее доверие позволяет пользователям и группам AD получать доступ к ресурсам в FreeIPA, но не наоборот. Домен FreeIPA доверяет лесу AD, но лес AD не доверяет домену FreeIPA;
*двустороннее доверие — позволяет пользователям и группам AD получать доступ к ресурсам в FreeIPA. Обратите внимание, что эта функция двустороннего доверия не позволяет пользователям IdM входить в системы Windows, а двустороннее доверие в IdM не дает пользователям никаких дополнительных прав по сравнению с решением одностороннего доверия в AD. Чтобы создать двустороннее доверие в команду следует добавить параметр <tt>--two-way=true</tt>;
*внешнее доверие — доверительные отношения между FreeIPA и доменом AD в разных лесах. В то время как доверие леса всегда требует установления доверия между FreeIPA и корневым доменом леса Active Directory, внешнее доверие может быть установлено от FreeIPA к домену в лесу. Рекомендуется только в том случае, если невозможно установить доверие леса между корневыми доменами леса по административным или организационным причинам. Чтобы создать внешнее доверие в команду следует добавить параметр <tt>--external=true</tt>.

=== В командной строке ===
Добавление двунаправленных доверительных отношений леса (Forest Trust) с AD:
<source lang="text" highlight="1,2"># kinit admin
# ipa trust-add --type=ad test.alt --admin Administrator --password --two-way=true
Пароль администратора домена Active Directory:
…</source>
При появлении запроса следует ввести пароль администратора домена Active Directory. 

{{Attention| Учетная запись пользователя, используемая при создании доверия (аргумент опции <tt>--admin</tt>), должна быть членом группы Domain Admins. Имя учетной записи должно быть на английском языке.}}

Чтобы увидеть список всех доверенных доменов из леса используйте следующую команду:

<source lang="text" highlight="1"># ipa trustdomain-find test.alt
  Имя домена: test.alt
  Имя домена NetBIOS: TEST
  Идентификатор безопасности домена: S-1-5-21-90931260-536030259-1550036695
  Домен включён: True
---------------------------------
Количество возвращённых записей 1
---------------------------------</source>

=== В веб-интерфейсе ===

#В веб-интерфейсе перейти на вкладку IPA-сервер.
#Выбрать пункт меню «Отношения доверия»→«Отношения доверия»:
#:[[Файл:Freeipa-trust01.png|Отношения доверия]]
#Нажать кнопку «Добавить».
#В диалоговом окне «Добавить отношение доверия» ввести имя домена Active Directory. В поля «Учетная запись» и «Пароль» указать учетные данные администратора AD:
#:[[Файл:Freeipa-trust02.png|Диалоговое окно «Добавить отношение доверия»]]
#(Необязательно) Отметить пункт «Двустороннее отношение доверия», если нужно разрешить пользователям и группам AD доступ к ресурсам в FreeIPA. Однако двустороннее доверие в FreeIPA не дает пользователям никаких дополнительных прав по сравнению с односторонним доверием в AD. Оба решения считаются одинаково безопасными из-за настроек фильтрации SID доверия между лесами по умолчанию.
#(Необязательно) Отметить «Внешнее отношение доверия», если настраивается доверие с доменом AD, который не является корневым доменом леса AD.
#(Необязательно) По умолчанию сценарий установки доверия пытается определить соответствующий тип диапазона идентификаторов. Также можно явно задать тип диапазона идентификаторов. 
#Нажать кнопку «Добавить».

Если доверие было успешно добавлено, сообщение об этом появится во всплывающем окне. 

[[Файл:Freeipa-trust03.png|Доверие было успешно добавлено]]

=== Проверка конфигурации Kerberos ===

Для проверки конфигурации Kerberos, следует проверить, возможно ли получить билет для пользователя FreeIPA и может ли пользователь FreeIPA запрашивать служебные билеты.

Запросить билет для пользователя AD:
<source lang="text" highlight="1">kinit ivanov@test.alt
Password for ivanov@test.alt:</source>

Запросить службу билетов в домене FreeIPA: 
<source lang="text" highlight="1"># kvno -S host ipa.example.test
host/ipa.example.test@EXAMPLE.TEST: kvno = 2</source>

Если билет службы AD предоставлен, в списке билетов будет отображаться билет на предоставление билетов между областями (TGT) — krbtgt/IPA.DOMAIN@AD.DOMAIN: 
<source lang="text" highlight="1">klist
Ticket cache: KEYRING:persistent:0:krb_ccache_gyp3KvL
Default principal: ivanov@TEST.ALT

Valid starting       Expires              Service principal
07.02.2022 12:11:13  07.02.2022 22:10:36  host/ipa.example.test@EXAMPLE.TEST
	renew until 07.02.2022 12:12:14
07.02.2022 12:12:14  07.02.2022 22:10:36  krbtgt/EXAMPLE.TEST@TEST.ALT
	renew until 07.02.2022 12:12:14
07.02.2022 12:10:36  07.02.2022 22:10:36  krbtgt/TEST.ALT@TEST.ALT
	renew until 08.02.2022 12:10:32</source>

=== Проверка конфигурации доверия в FreeIPA === 

Проверка наличия записей для работы сервисов IPA на DNS-сервере IPA:
#Запись отвечающая за работу сервисов Kerberos через UDP и LDAP через TCP:
#:<source lang="text" highlight="1"># dig +short -t SRV _kerberos._udp.dc._msdcs.example.test
0 100 88 ipa.example.test.</source>
#:<source lang="text" highlight="1"># dig +short -t SRV _ldap._tcp.dc._msdcs.example.test
0 100 389 ipa.example.test.</source>
#:В выводе этих команд должны быть перечислены все серверы FreeIPA, на которых была выполнена {{cmd|ipa-adtrust-install}}.
#Запись отвечающая за имя Kerberos realm IPA домена: 
#:<source lang="text" highlight="1">dig +short -t TXT _kerberos.example.test
"EXAMPLE.TEST"</source>
Проверка наличия записей для работы сервисов AD на DNS-сервере IPA.
#Запись отвечающая за работу сервисов Kerberos через UDP и LDAP через TCP: 
#:<source lang="text" highlight="1"># dig +short -t SRV _kerberos._udp.dc._msdcs.test.alt
0 100 88 dc.test.alt.</source>
#:<source lang="text" highlight="1"># dig +short -t SRV _ldap._tcp.dc._msdcs.test.alt
0 100 389 dc.test.alt.</source>


{{Attention|Если запись _kerberos._udp.dc._msdcs.test.alt. не доступна проверьте _kerberos._tcp.dc._msdcs.test.alt.}}

=== Проверка конфигурации доверия в AD ===

{{Note|Необходимо войти в систему с правами администратора.}}

#После выполнения команды {{cmd|ipa-adtrust-install}} должны появится записи отвечающие за работу сервисов MS DC Kerberos через UDP и LDAP через TCP:
#:<source lang="text" highlight="1-3,9"> C:\>nslookup.exe
> set type=SRV
> _kerberos._udp.dc._msdcs.example.test.
_kerberos._udp.dc._msdcs.example.test        SRV service location:
    priority = 0
    weight = 100
    port = 88
    svr hostname = ipa.example.test
> _ldap._tcp.dc._msdcs.example.test.
_ldap._tcp.dc._msdcs.example.test        SRV service location:
    priority = 0
    weight = 100
    port = 389
    svr hostname = ipa.example.test
ipa.example.test internet address = 192.168.0.113</source>
#Проверить наличие записей для работы сервисов AD на DNS-сервере AD. Запись отвечающая за работу сервисов Kerberos через UDP и LDAP через TCP:
#:<source lang="text" highlight="1-3,10"> C:\>nslookup.exe
> set type=SRV
> _kerberos._udp.dc._msdcs.test.alt.
_kerberos._udp.dc._msdcs.test.alt.    SRV service location:
    priority = 0
    weight = 100
    port = 88
    svr hostname = dc1.test.alt.
dc1.domc.testc internet address = 192.168.0.122
> _ldap._tcp.dc._msdcs.test.alt.
_ldap._tcp.dc._msdcs.test.alt.    SRV service location:
    priority = 0
    weight = 100
    port = 389
    svr hostname = dc1.dtest.alt.
dc1.domc.testc internet address = 192.168.0.122</source>

=== Проверка пользователей доверенного домена ===
Провериnm имеет ли доступ к пользователям из доверенного домена рабочие станции IPA.

На рабочей станции IPA выполнить команду:
<source lang="text" highlight="1"># getent passwd ivanov@test.alt
ivanov@test.alt:*:348001105:348001105:Иван Иванов:/home/test.alt/ivanov:</source>
Где ivanov это пользователь из AD домена. Назначить оболочку входа для пользователей из доверенного домена можно добавив на сервере IPA в файл {{path|/etc/sssd/sssd.conf}} следующую строчку:
<source lang="text">[domain/example.test]
...
default_shell = /bin/bash
...</source>
Вывод команды должен стать таким:
<source lang="text" highlight="1"># systemctl restart sssd
# getent passwd ivanov@test.alt
ivanov@test.alt:*:348001105:348001105:Иван Иванов:/home/test.alt/ivanov:/bin/bash</source>

== Удаление доверия ==

В этом разделе описывается, как удалить доверие FreeIPA/AD на стороне FreeIPA. 

=== В командной строке ===
#Удалить конфигурацию доверия из FreeIPA:
#:<source lang="text" highlight="1"># ipa trust-del test.alt</source>
# Удалить объект доверия из конфигурации Active Directory.
#Проверка удаления доверия:
#:<source lang="text" highlight="1"># ipa trust-show test.alt
ipa: ERROR: test.alt: отношение доверия не найден</source>

=== В веб-интерфейсе ===

#В веб-интерфейсе перейти на вкладку IPA-сервер.
#Выбрать пункт меню «Отношения доверия»→«Отношения доверия».
#Выбрать объект доверия, которое требуется удалить.
#Нажать кнопку «Удалить»:
#:[[Файл:Freeipa-trust04.png|Отношения доверия]]
#В диалоговом окне «Удалить отношения доверия» нажать кнопку «Удалить»:
#:[[Файл:Freeipa-trust05.png|Диалоговое окно «Удалить отношения доверия»]]
# Удалить объект доверия из конфигурации Active Directory.

Если доверие было успешно удалено, сообщение об этом появится во всплывающем окне. 
[[Категория:FreeIPA]]