ActiveDirectory/SSL: различия между версиями

Версия от 18:00, 20 апреля 2022

Введение

Настройка доступа к дереву домена Samba чере LDAPS.

По умолчанию Samba предоставляет доступ по протоколу LDAP с использованием GSSAPI авторизации и шифрования или без шифрования вообще. LDAPS подразумевает использование SSL/TLS туннеля для обмена данными с сервером, а так же позволяет использовать plain-text авторизацию (с помощью логина и пароля открытым текстом). В отличии от GSSAPI, LDAPS поддерживают большинство библиотек для работы с LDAP деревом.

Общая информация

Устройство SSL сертификатов выглядит следующим образом:

Создаётся корневая пара ключ-сертифкат. Далее с помощью этой пары подписываются доменные сертификаты. Они так же представляют из себя пару ключ-сертификат.

Библиотеки для работы с SSL (openssl, например) используют список так называемых доверенных центров сертификации, чьи корневые сертификаты распространяются вместе с библиотеками и переодически обновляются. Пользовательские сертификаты, подписанные такими центрами сертификации по умолчанию считаются доверенными.

Доменные сертификаты привязываются к доменным именам. Есть разные варианты: с учётом поддоменов, с использованием wildcard. Такие сертификаты используется, к примеру, для настройки HTTPS сервера. Доменные сертификаты можно использовать и без подписи. Пары ключ-сертификат достаточно для создания шифрованного канала, но без подписи такой сертификат считается ненадёжным. Такие сертификаты ещё называют самоподписанными (self-signed).

Генерация ключей

Установить пакет openssl.

Генерация корневой пары ключ-сертификат:

openssl genrsa -out rootCA.key 2048
openssl req -x509 -new -key rootCA.key -days 10000 -out rootCA.crt

Генерация приватного ключа и сертификата, подписанного корневым сертификатом:

openssl genrsa -out lnx-dc11.alt.test.key 2048
openssl req -new -key lnx-dc12.alt.test.key -out lnx-dc12.alt.test.csr

Ответить на вопросы. В поле Common Name важно указать FQDN имя хоста, для которого генерируется сертификат.

openssl x509 -req -in lnx-dc11.alt.test.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out lnx-dc11.alt.test.crt -days 5000

В итоге получаем комплект:

Cert: lnx-dc11.alt.test.crt
Key: lnx-dc11.alt.test.key
CA: rootCA.crt

Настройка SSL/TLS в Samba

Копируем сгенерированные ключи в рабочий каталог Samba:

# cp lnx-dc11.alt.test.crt /var/lib/samba/private/tls/
# cp lnx-dc11.alt.test.key /var/lib/samba/private/tls/
# cp rootCA.crt /var/lib/samba/private/tls/

В секцию Global в /etc/samba/smb.conf добавляем следующие параметры:

ldap server require strong auth = yes
tls enabled  = yes
tls keyfile  = tls/lnx-dc11.alt.test.key
tls certfile = tls/lnx-dc11.alt.test.crt
tls cafile   = tls/rootCA.crt

Перезапускаем сервис Samba:

# systemctl restart samba

Добавляем в системный репозиторий сертификатов наш корневой сертификат:

# cp rootCA.crt /etc/pki/ca-trust/source/anchors/
# update-ca-trust

Проверяем работоспособность TLS соединения:

# ldapsearch -h alt.test -W -x -D "Administrator@alt.test" -Z -b dc=alt,dc=test "(cn=Administrator)" dn sAMAccountName

@@ Строка 1: / Строка 1: @@
-= Введение =
+== Введение ==
 Настройка доступа к дереву домена Samba чере LDAPS.
@@ Строка 5: / Строка 5: @@
 По умолчанию Samba предоставляет доступ по протоколу LDAP с использованием GSSAPI авторизации и шифрования или без шифрования вообще. LDAPS подразумевает использование SSL/TLS туннеля для обмена данными с сервером, а так же позволяет использовать plain-text авторизацию (с помощью логина и пароля открытым текстом). В отличии от GSSAPI, LDAPS поддерживают большинство библиотек для работы с LDAP деревом.
-= Общая информация =
+== Общая информация ==
 Устройство SSL сертификатов выглядит следующим образом:
@@ Строка 16: / Строка 16: @@
 Доменные сертификаты можно использовать и без подписи. Пары ключ-сертификат достаточно для создания шифрованного канала, но без подписи такой сертификат считается ненадёжным. Такие сертификаты ещё называют самоподписанными (self-signed).
-= Генерация ключей =
+== Генерация ключей ==
 Установить пакет '''{{pkg|openssl}}'''.
@@ Строка 36: / Строка 36: @@
 В итоге получаем комплект:
-<source lang="sh">Cert: lnx-dc11.alt.test.crt
+<source lang="text">Cert: lnx-dc11.alt.test.crt
 Key: lnx-dc11.alt.test.key
 CA: rootCA.crt</source>
-= Настройка SSL/TLS в Samba =
+== Настройка SSL/TLS в Samba ==
 Копируем сгенерированные ключи в рабочий каталог Samba:
-<source lang="">cp lnx-dc11.alt.test.crt /var/lib/samba/private/tls/
+<source lang="sh"># cp lnx-dc11.alt.test.crt /var/lib/samba/private/tls/
-cp lnx-dc11.alt.test.key /var/lib/samba/private/tls/
+# cp lnx-dc11.alt.test.key /var/lib/samba/private/tls/
-cp rootCA.crt /var/lib/samba/private/tls/</source>
+# cp rootCA.crt /var/lib/samba/private/tls/</source>
-В секцию Global в /etc/samba/smb.conf добавляем слюдующие параметры:
+В секцию Global в {{path|/etc/samba/smb.conf}} добавляем следующие параметры:
-<source lang="">ldap server require strong auth = yes
+<source lang="text">ldap server require strong auth = yes
 tls enabled  = yes
 tls keyfile  = tls/lnx-dc11.alt.test.key
@@ Строка 58: / Строка 58: @@
 Перезапускаем сервис Samba:
-<source lang="">systemctl restart samba</source>
+<source lang="sh"># systemctl restart samba</source>
 Добавляем в системный репозиторий сертификатов наш корневой сертификат:
-<source lang="">cp rootCA.crt /etc/pki/ca-trust/source/anchors/
+<source lang="sh"># cp rootCA.crt /etc/pki/ca-trust/source/anchors/
-update-ca-trust</source>
+# update-ca-trust</source>
 Проверяем работоспособность TLS соединения:
-<source lang="">ldapsearch -h alt.test -W -x -D "Administrator@alt.test" -Z -b dc=alt,dc=test "(cn=Administrator)" dn sAMAccountName</source>
+<source lang="sh"># ldapsearch -h alt.test -W -x -D "Administrator@alt.test" -Z -b dc=alt,dc=test "(cn=Administrator)" dn sAMAccountName</source>