Kerberos a LDAP

Adresářová služba LDAP a autentikace pomocí Kerberos nejsou ve světě IT žádnými novinkami. Široká škála jejich implementací pokrývá jak platformu Windows (Active Directory), tak svět unixových a linuxových distribucí (389 Directory Server, OpenLDAP, Sun ONE Directory Server a další).

S narůstající složitostí IT systémů a jejich správy se administrátoři i vývojáři často vzdalují základní konfiguraci nebo implementaci jednotlivých služeb a používají nadstavbu konfiguračních nástrojů nebo vyšší implementační postupy, aniž by měli detailní znalosti o funkcích, možnostech a omezeních základních technologických prvků nebo protokolů.

Kurz Kerberos a LDAP jde v tomto ohledu ke kořenům. Je koncipován tak, že jednak poskytne systematický úvod do fungování obou služeb jednotlivě i ve vzájemném propojení a dále poukáže na některé speciální vlastnosti a aspekty jejich nasazení. Teoretický výklad se v kurzu střídá s praktickými laby tak, aby účastníci po absolvování kurzu měli kromě teoretického porozumění také schopnosti a dovednosti bezprostředně použitelné při nasazování a správě obou technologií.

Lektor kurzu

RNDr. TOMÁŠ JENÍČEK

RNDr. Tomáš Jeníček se zabývá správou IT a nasazováním Linuxu v různých prostředích již od roku 1995. Od počátku se specializoval zejména na distribuce Red Hat. Bezmála dvacet let působil jako instruktor certifikovaných kurzů Red Hat a examinátor při certifikacích Red Hat. Patřil mezi první odborníky v ČR, kteří získali titul Red Hat Certified Architect.

Od roku 2004 působil bezmála dvacet let jako instruktor certifikovaných kurzů Red Hat a současně také jako examinátor při certifikacích Red Hat.

V posledních přibližně 10 letech se věnoval také cloudovým technologiím a jako instruktor vedl certifikované kurzy AWS.

V současné době působí v oddělení datových úložišť v CESNETu, kde se věnuje nasazení a správě clusterů Ceph.

Cílová skupina

• systémoví administrátoři
• projektanti IT systémů
• vývojáři aplikací

Cíle kurzu

• porozumět principům adresářových služeb a protokolu LDAP
• osvojit si různé typy modelů při návrhu adresářové služby
• umět provést standardní instalaci a základní konfiguraci serveru OpenLDAP
• porozumět problematice zabezpečení dat v LDAP adresáři a řízení přístupu k datům
• umět provádět základní manipulace s daty v LDAP – vkládání a mazání, změny obsahu a vyhledávání
• získat znalosti o monitorování, zálohování a vysoké dostupnosti LDAP
• umět nastavit LDAP klienta a použít LDAP jako autentikační a autorizační službu
• porozumět účelu a principům Kerberos
• umět provést standardní instalaci a konfiguraci Kerberos serveru, konfiguraci klientů a kerberizovaných služeb na aplikačních serverech
• umět použít Kerberos jako autentikační autoritu pro přístup k LDAP datům
• vědět, jak jednoduše nastavit na systému s RHEL centralizovanou autentikaci a správu účtů s využitím Kerberos a LDAP
• porozumět použití Kerberos pro zabezpečení NFSv4

Osnova

• Úvod do adresářových služeb a typy modelů
  • Co je adresářová služba
  • Příklady použití adresářové služby
  • Historie služby X.500 a její slabiny
  • LDAP jako nástupce X.500
  • Typy LDAP modelů: informační, jmenný, funkcionální a bezpečnostní
• Informační model
  • Adresářové schéma: atributy, třídy, OID
  • Standardy definování schémat
  • Definice atributů
  • Vyhledávání a porovnávací operátory pro atributy
  • Objektové třídy: strukturální a pomocné
  • Odvozování a dědičnost ve třídách
  • Speciální pomocná třída extensibleObject
  • LDIF
  • Aspekty při rozvrhování adresářové služby
  • Bezpečnost dat v adresáři a řízení přístupu k datům
• Jmenný model a organizace dat
  • Distinguished Name a Directory Information Tree
  • Role sufixu a jeho volba
  • Dvě základní koncepce jmenného prostoru: hloubka a šíře
  • Definice jmenného prostoru v LDIF
  • Projektování adresáře
• Práce s existujícím adresářem
  • Funkcionální model
  • Dotazování (search, compare)
  • Manipulace s daty (add, delete, modify, modify RDN)
  • Autentikace (bind, unbind, abandon)
  • Řádkové nástroje balíku openldap-clients
  • Konfigurace LDAP klienta
  • Vyhledávání v adresáři: rozsahy, operátory a filtry
  • Speciální sufixy cn=config, cn=monitor a cn=schema
  • Praktické použití ldapadd, ldapdelete, ldappasswd, ldapmodify
  • Použití formátu LDIF pro manipulaci s daty
• Autentikace a bezpečnost
  • Autentikace, autorizace a audit
  • Autentizační metody: simple-bind a SASL-bind
  • Bezpečná komunikace: TLS a SSL
  • Tvorba a instalace certifikátu pomocí OpenSSL, konfigurace klienta
  • Politika řízení klientského přístupu k adresářové službě: bind-policy
  • Bezpečnost dat: šifrování a Access Control Lists
• Provoz
  • Instalace jednoduché LDAP služby s použitím OpenLDAP
  • Vysoká dostupnost a replikace
  • Distribuce dat: referral
  • Zálohování a disaster recovery
  • Zvýšení efektivity přístupu: indexování
  • Monitorování a logování
• LDAP jako centrální autentikační autorita
  • Projektové úvahy: výběr tříd a mapování atributů
  • LDAP a PAM
  • Jednoduchá cesta: LDAP, authconfig a sssd
  • LDAP a Samba: krátké nahlédnutí
• Kerberos, počítáme do tří
  • Historický úvod: co je Kerberos a co Cerberus?
  • Základní pojmy a zkratky: KDC, AS, TGS, TGT, principal, realm a další
  • Od klienta ke KDC a aplikačnímu serveru: jak to všechno funguje
  • Aktuální implementace: krb5, balíky, služby a konfigurační soubory
  • Kerberos, DNS a NTP
• Instalace a bezpečnost
  • Jednoduchá instalace Master KDC, kadmin, další nástroje a utility
  • Prvotní zabezpečení: conf a kadm5.acl
  • Instalace aplikačního serveru, principály služeb, keytabs a nástroje ktutil a kvno
  • Příprava klientského systému: instalace balíků a konfigurace
  • Testovací trivium: kinit, klist a kdestroy
  • Zabezpečení komunikace: preautentikace klienta a validace tiketu
  • Vysoká dostupnost: replikace, slave KDC
  • Zálohování a obnova KDC databáze
• Kerberos a přístup k LDAP
  • GSSAPI mechanismus v SASL
  • LDAP jako „kerberizovaná“ služba
  • Mapování GSSAPI autentikovaných uživatelů
• Centralizovaná správa účtů a něco navíc
  • Kerberos a PAM
  • Jednoduchá cesta: Kerberos, LDAP, authconfig a sssd
  • Vztahy přímé a nepřímé důvěry mezi KDC
  • Kerberos jako zdroj šifrovacích klíčů: NFSv4
  • Ještě je tu IPA

Předpoklady účastníka

• Praktické ovládání standardních administračních postupů na systémech s RHEL/CentOS verze 7.x: instalace balíků, správa služeb, konfigurace
• Rutinní práce s příkazovým řádkem, editory Vim nebo Nano (upozornění: naprostá většina postupů a příkladů se odehrává v prostředí příkazového řádku)
• Základní znalost síťových protokolů TCP/IP