Progetto

Generale

Profilo

OpenPrivacyHowTo » Cronologia » Versione 3

Amministratore Truelite, 22-06-2006 13:57

1 2 Amministratore Truelite
[[TracNav(TOC)]]
2 1 Amministratore Truelite
= Come installare OpenPrivacy =
3 3 Amministratore Truelite
4
Le seguenti istruzioni restano come ''percorso manuale'' per l'installazione, dal Maggio 2006 infatti è disponibile un pacchetto Debian realizzato appositamente per automatizzare tutta la procedura; inoltre l'uso dei due pacchetti {{{truelite-fileserver}}} e {{{truelite-proxyserver}}} permette di riottenere sostanzialmente le stesse funzionalità.
5
6 1 Amministratore Truelite
== Il sistema base == 
7
8
Tralasciamo ovviamente le istruzioni per installare una Debian Sarge; si presuppone di poter disporre di un computer con un sistema minimale già installato. La lista degli ulteriori pacchetti necessari viene fornita con l'archivio delle configurazioni di OpenPrivacy, per cui basterà installarla con:
9
{{{
10
dpkg --set-selections < listapacchetti.txt
11
apt-get dselect-upgrade
12
}}}
13
Alle varie domande di ''debconf'' si può rispondere come si vuole (ad esempio accettando i default), in quanto poi le configurazioni di base le rifaremo da zero usando quelle distribuite con [http://svn.truelite.it/truedoc/wiki/OpenPrivacy OpenPrivacy]. L'unica eccezione è per le domande relative alla installazione del demone di LDAP (''slapd'').
14
15
Una volta installati i pacchetti è opportuno di predisporre l'uso delle ACL sul filesystem, per permetterne l'utilizzo diretto da parte di Samba e per avere uniformità in un eventuale accesso fatto da Linux; per questo rimonteremo gli opportuni filesystem utilizzando l'opzione ''acl'', un esempio potrebbe essere una riga del tipo:
16
{{{
17
/dev/sda6       /      ext3    defaults,errors=remount-ro,acl 0     0      
18
}}}
19
in ''/etc/fstab''. Fatto questo cambiamento occorrerà rimontare il filesystem (si abbia premura di usare un filesystem che supporta le ACL, cioè ext3, reiser o XFS).
20
La configurazione di LDAP
21
22
Nella configurazione iniziale di slapd le informazioni inserite con ''debconf'' vengono usate per creare l'infrastruttura di base del database ed impostare la relativa password di amministratore. Se non si sono inseriti dei valori validi conviene cancellare tutto (''apt-get remove --purge slapd; rm -f /var/lib/ldap/*'') e reinstallare il pacchetto da capo.
23
24
La radice del database LDAP distribuita di default con [http://svn.truelite.it/truedoc/wiki/OpenPrivacy OpenPrivacy] usa il dominio ''azienda.local'', questo andrà modificato a seconda delle proprie esigenze. In generale quello che deve essere fatto è inserire nelle schermate di configurazione il dominio voluto (la radice dell'albero LDAP sarà creata di conseguenza), in nome della organizzazione e la password dell'amministratore di LDAP. Alle altre domande si può rispondere con i valori di default.
25
26
Per verificare l'installazione iniziale dell'infrastruttura del database si possono usare i comandi del pacchetto ldap-utils, questi usano le configurazioni standard della libreria client ''libldap'' che stanno in ''/etc/ldap.conf''. Le due righe da modificare sono le seguenti:
27
{{{
28
BASE    dc=azienda, dc=local
29
URI     ldap://127.0.0.1/
30
}}}
31
a questo punto con ''ldapsearch -x'' si dovrebbero ottenere i dati presenti nel database (in sostanza solo la voce per l'utente di amministrazione di LDAP).
32
33
Il secondo passo è predisporre la configurazione di LDAP, che sarà posto in ascolto solo sul ''localhost''; per questo motivo occorre anzitutto copiare lo schema fornito con Samba che è necessario per la configurazione, con:
34
{{{
35
zcat /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz > \
36
/etc/ldap/schema/samba.schema
37
}}}
38
Il secondo passo è utilizzare la configurazione distribuita con [http://svn.truelite.it/truedoc/wiki/OpenPrivacy OpenPrivacy], copiando il relativo ''/etc/ldap/slapd.conf''; questo prevede una serie di modifiche relative all'aggiunta di indici e permessi di accesso ai vari attributi usati da Samba e per l'autenticazione.
39
40
Inoltre occorre modificare ''/etc/default/slapd'' (la versione distribuita con [http://svn.truelite.it/truedoc/wiki/OpenPrivacy OpenPrivacy] contiene la modifica) per lanciare LDAP in ascolto solo su ''localhost'', questo richiede l'inseremento della riga:
41
{{{
42
SLAPD_SERVICES="ldap://127.0.0.1"
43
}}}
44
ed il riavvio del server.
45
La configurazione di PAM e NSS per l'autenticazione Unix
46
47
Anzitutto si devono installare i due pacchetti libpam-ldap e libnss-ldap, che contengono il supporto per il Pluggable Authentication Method e per il Name Service Switch su LDAP.
48
49
Il primo passo è configurare il Name Service Switch, in questo caso si può prendere il file libnss-ldap.conf dalla distribuzione di OpenPrivacy, ma nelle ultime versioni debconf genera di suo un file corretto all'installazione di libnss-ldap, chiedendo i dati locali (il dominio). Tutto quello che serve in effetti è una riga del tipo:
50
{{{
51
base dc=azienda,dc=local
52
}}}
53
per velocizzare l'accesso locale ai dati si può anche installare il demone ''nscd''.
54
55
Occorrerà poi modificare anche il file ''/etc/nsswitch.conf'' per inserire la consultazione dei dati su LDAP, la versione distribuita con [http://svn.truelite.it/truedoc/wiki/OpenPrivacy OpenPrivacy] contiene le modifiche necessarie.
56
57
Se era precedentemente installato si abbia cura di riavviare il demone nscd e verificare il funzionamento del sistema con getent passwd, getent group, verificando la presenza degli eventuali utenti messi su LDAP.
58
59
Il secondo passo è configurare PAM; in questo caso occorre copiare i vari file common-* forniti con OpenPrivacy nella directory ''/etc/pam.d'', questi sono utilizzati dai vari servizi, e contengono le modifiche necessarie a far sì che le informazioni di autenticazione vengano richiesta su LDAP.
60
61
A questi si aggiunge il file pam_ldap.conf (che sta direttamente sotto ''/etc''), che contiene le informazioni di accesso al database. Di nuovo in questo caso occorrerà modificare la versione distribuita per utilizzare i dati del proprio database, in sostanza le due righe righe:
62
{{{
63
...
64
base dc=azienda,dc=local
65
...
66
rootbinddn cn=admin,dc=azienda,dc=local
67
}}}
68
La configurazione di Samba
69
70
Anzitutto occorre copiare la configurazione fornita su /etc/samba/smb.conf, di nuovo occorrerà modificare i dati relativi alla radice dell'albero LDAP adattandoli alla propria realtà e poi riavviare il servizio; le righe interessate sono le seguenti:
71
{{{
72
...
73
workgroup = OPENPRIVACY
74
...
75
ldap admin dn = cn=admin,dc=azienda,dc=local
76
ldap suffix = dc=azienda,dc=local
77
}}}
78
Per poter poi utilizzare l'accesso a LDAP è necessario istruire Samba riguardo la password dell'utente di amministrazione dello stesso, con:
79
{{{
80
smbpasswd -w password_segreta
81
}}}
82
(la password specificata sarà visibile sullo schermo).
83
84
Fatto questo si può procedere a creare l'infrastruttura per Samba, per questo c'è uno script apposito distribuito con i file di [http://svn.truelite.it/truedoc/wiki/OpenPrivacy OpenPrivacy], che crea le directory sotto ''/home'' per i profili ed il netlogon, ed imposta i valori relativi alla massima durata delle password ed al numero di password precedenti tenute in memoria che non possono essere riutilizzate. Lo script è setsamba.sh e prende due argomenti; ad esempio con:
85
{{{
86
./setsamba.sh 175 3
87
}}}
88
si imposta una durata delle password di 175 giorni ed uno storico di tre password.
89
90
La configurazione di base di [http://svn.truelite.it/truedoc/wiki/OpenPrivacy OpenPrivacy] prevede la presenza di due cartelle condivise (amministrazione e commerciale); non è invece previsto l'uso di cartelle personali degli utenti, dei quali verranno utilizzati solo i dati di autenticazione ed i permessi.
91
92
Una volta completata la configurazione base si possono usare gli script di gestione del pacchetto smbldap, questo prevede l'uso di due file di configurazione sotto ''/etc/smbldap/'', forniti con OpenPrivacy, ma che devono comunque essere adattati alle proprie esigenze.
93
94
In particolare in ''smbldap_bind.conf'' deve contenere i propri dati per il collegamento al server LDAP (utente e password dell'amministratore, e base dell'albero LDAP), mentre ''smbldap.conf'' contiene una serie di valori di configurazione per la strutturazione degli account che saranno inseriti nell'albero attraverso gli script del pacchetto.
95
96
Di nuovo deve essere specificata la radice dell'albero LDAP, il valore della durata delle password, il dominio di riferimento per il campo che identifica la e-mail dell'utente, ma soprattutto il valore del SID.
97
98
Quest'ultimo è fondamentale per il funzionamento di Samba, e variando da macchina a macchina deve essere ottenuto interrogando direttamente il server Samba una volta che questo è attivo; questo si fa usando il comando:
99
{{{
100
net getlocalsid
101
}}}
102
che darà luogo ad un risultato del tipo:
103
{{{
104
ellington:~# net getlocalsid
105
SID for domain ELLINGTON is: S-1-5-21-3844212382-3281708373-568733493
106
}}}
107
ed in questo caso si dovrà copiare ''S-1-5-21-3844212382-3281708373-568733493'' come valore della variabile di configurazione SID di ''smbldap.conf''. Un esempio delle righe da modificare è il seguente:
108
{{{
109
...
110
SID="S-1-5-21-3844212382-3281708373-568733493"
111
...
112
suffix="dc=azienda,dc=local"
113
...
114
defaultMaxPasswordAge="175"
115
...
116
userSmbHome="\\ELLINGTON\homes"
117
userProfile="\\ELLINGTON\profiles\%U"
118
mailDomain="azienda.local"
119
}}}
120
Una volta fatto questo si potrà creare l'infrastruttura iniziale del database di LDAP per l'uso di Samba come PDC usando lo script smbldap-populate:
121
{{{
122
ellington:~# smbldap-populate
123
Using workgroup name from sambaUnixIdPooldn (smbldap.conf): 
124
sambaDomainName=OPENPRIVACY
125
Using builtin directory structure
126
entry dc=azienda,dc=local already exist.
127
adding new entry: ou=Users,dc=azienda,dc=local
128
adding new entry: ou=Groups,dc=azienda,dc=local
129
adding new entry: ou=Computers,dc=azienda,dc=local
130
adding new entry: ou=Idmap,dc=azienda,dc=local
131
adding new entry: uid=Administrator,ou=Users,dc=azienda,dc=local
132
adding new entry: uid=nobody,ou=Users,dc=azienda,dc=local
133
adding new entry: cn=Domain Admins,ou=Groups,dc=azienda,dc=local
134
adding new entry: cn=Domain Users,ou=Groups,dc=azienda,dc=local
135
adding new entry: cn=Domain Guests,ou=Groups,dc=azienda,dc=local
136
adding new entry: cn=Domain Computers,ou=Groups,dc=azienda,dc=local
137
adding new entry: cn=Administrators,ou=Groups,dc=azienda,dc=local
138
adding new entry: cn=Print Operators,ou=Groups,dc=azienda,dc=local
139
adding new entry: cn=Backup Operators,ou=Groups,dc=azienda,dc=local
140
adding new entry: cn=Replicators,ou=Groups,dc=azienda,dc=local
141
}}}
142
A questo punto occorre anche impostare la password per l'utente di amministrazione del dominio, cioè administrator, questo si fa direttamente con con il comando fornito dagli script di smbldap:
143
{{{
144
ellington:~# smbldap-passwd administrator
145
Changing password for administrator
146
New password :
147
Retype new password :
148
}}}
149
A questo punto si potranno inserire degli utenti con gli script di amministrazione; ad esempio si potrà creare un utente con:
150
{{{
151
smbldap-useradd -m -a prova
152
}}}
153
ed impostarne la password con:
154
{{{
155
smbldap-passwd prova
156
}}}
157
E si potrà verificare se il meccanismo funziona eseguendo un login sia Unix ssh prova@ellington che Windows ''smbclient //ELLINGTON/amministrazione -U prova''.
158
159
L'assegnazione di nuovi utenti viene controllata dal valore che viene memorizzato all'interno dell'albero stesso, nello speciale dominio SMB3, che contiene solo due attributi, ''gidNumber'' e ''uidNumber'' che dichiarano rispettivamente il primo ''group-ID'' e ''user-ID'' disponibili (questi valori vengono solo incrementati, per cui gli ID non verranno riciclati se si cancella un utente).
160
161
Per modificare il valore di default, che su Debian è di 1000, si può usare un qualunque programma di accesso all'albero (come gq) per sovrascriverne i valori.
162
La configurazione delle interfacce di gestione via web
163
164
La prima interfaccia che si può utilizzare è LAM (LDAP Account Manager), che viene distribuita direttamente come pacchetto Debian con ldap-account-manager. La configurazione di default sta sotto /etc/ldap-account-manager/, e prevede un unico profilo di nome lam e password lam.
165
166
La configurazione di LDAP Account Manager si effettua interamente dalla interfaccia web, che è disponibile direttamente come:
167
{{{
168
http://localhost/lam
169
}}}
170
e si otterrà come schermata di login:
171
172
In genere la prima cosa da fare è creare un proprio profilo, per questo si deve usare utilizzare il link in alto a destra ''Configuration Login'' e collegarsi con il profilo e la password predefinita. Saranno così disponibili i due collegamenti ''Manage profiles'' e ''Configuration wizard''.
173
174
L'uso di ''Manage profiles'' consente di creare un nuovo profilo ed cambiare la password, e di cancellare il vecchio. E' sempre opportuno definire il proprio e cambiare la password master. Inoltre è opportuno pure rimuovere il profilo di default. Questo però causerà dei problemi al rientro nella schermata di login, che fa riferimento ad esso. Per questo conviene, una volta creato il poprio profile, modificare direttamente a mano la configurazione in ''/etc/ldap-account-manager/config.cfg'', mettendo le due righe:
175
{{{
176
# password to add/delete/rename configuration profiles
177
password: miapassword
178
179
# default profile, without ".conf"
180
default: mioprofilo
181
}}}
182
L'uso di Configuration wizard permette di creare la configurazione per l'accesso ai dati, i valori di default usati per le varie ou dei dati dell'albero sono diversi rispetto a quelli creati da ''smbldap-populate'' e dagli script di IDEALX, per cui occorrerà modificare i default.
183
184
Inoltre nel caso di ''smbldap-populate'' non esiste una unità operativa destinata ai domini, per cui questi vengono registrati direttamente sotto la base, e così dovranno essere specificati anche con LDAP Account Manager.