Progetto

Generale

Profilo

OpenPrivacyHowTo » Cronologia » Versione 8

Simone Piccardi, 24-12-2010 12:21

1 8 Simone Piccardi
h1. Come installare OpenPrivacy
2 7 Amministratore Truelite
3 1 Amministratore Truelite
4
Le seguenti istruzioni sono obsolete, non verranno aggiornate, e fanno riferimento ad Debian Sarge; restano come _percorso manuale_ per l'installazione, dal Maggio 2006 infatti è disponibile un pacchetto Debian realizzato appositamente per automatizzare tutta la procedura. Si tenga presente però che il pacchetto è stato sviluppato per Debian Sarge e non è aggiornato né funziona sulle versioni successive.
5
6 8 Simone Piccardi
Infine l'uso dei due pacchetti truelite-fileserver e truelite-proxyserver (vedi http://labs.truelite.it/packages) permette di riottenere sostanzialmente le stesse funzionalità, i pacchetti sono aggiornati e funzionano su Etch (ma non su Sarge), inoltre dovrebbero essere in grado di funzionare anche su Ubuntu.
7 7 Amministratore Truelite
8
h2. Il sistema base
9
10 1 Amministratore Truelite
Tralasciamo ovviamente le istruzioni per installare una Debian Sarge; si presuppone di poter disporre di un computer con un sistema minimale già installato. La lista degli ulteriori pacchetti necessari viene fornita con l'archivio delle configurazioni di [[OpenPrivacy]], per cui basterà installarla con:
11 8 Simone Piccardi
12 7 Amministratore Truelite
<pre>
13
dpkg --set-selections < listapacchetti.txt
14
apt-get dselect-upgrade
15 1 Amministratore Truelite
</pre>
16
17 8 Simone Piccardi
Alle varie domande di _debconf_ si può rispondere come si vuole (ad esempio accettando i default), in quanto poi le configurazioni di base le rifaremo da zero usando quelle distribuite con "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy. L'unica eccezione è per le domande relative alla installazione del demone di LDAP (@slapd@).
18
19 7 Amministratore Truelite
Una volta installati i pacchetti è opportuno di predisporre l'uso delle ACL sul filesystem, per permetterne l'utilizzo diretto da parte di Samba e per avere uniformità in un eventuale accesso fatto da Linux; per questo rimonteremo gli opportuni filesystem utilizzando l'opzione _acl_, un esempio potrebbe essere una riga del tipo:
20 8 Simone Piccardi
21 1 Amministratore Truelite
<pre>
22 7 Amministratore Truelite
/dev/sda6       /      ext3    defaults,errors=remount-ro,acl 0     0      
23
</pre>
24 8 Simone Piccardi
25
in @/etc/fstab@. Fatto questo cambiamento occorrerà rimontare il filesystem (si abbia premura di usare un filesystem che supporta le ACL, cioè ext3, reiser o XFS).
26
27
h2. La configurazione di LDAP
28 1 Amministratore Truelite
29 7 Amministratore Truelite
Nella configurazione iniziale di slapd le informazioni inserite con _debconf_ vengono usate per creare l'infrastruttura di base del database ed impostare la relativa password di amministratore. Se non si sono inseriti dei valori validi conviene cancellare tutto (_apt-get remove --purge slapd; rm -f /var/lib/ldap/*_) e reinstallare il pacchetto da capo.
30 1 Amministratore Truelite
31 7 Amministratore Truelite
La radice del database LDAP distribuita di default con "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy usa il dominio _azienda.local_, questo andrà modificato a seconda delle proprie esigenze. In generale quello che deve essere fatto è inserire nelle schermate di configurazione il dominio voluto (la radice dell'albero LDAP sarà creata di conseguenza), in nome della organizzazione e la password dell'amministratore di LDAP. Alle altre domande si può rispondere con i valori di default.
32 1 Amministratore Truelite
33 7 Amministratore Truelite
Per verificare l'installazione iniziale dell'infrastruttura del database si possono usare i comandi del pacchetto ldap-utils, questi usano le configurazioni standard della libreria client _libldap_ che stanno in _/etc/ldap.conf_. Le due righe da modificare sono le seguenti:
34
<pre>
35 1 Amministratore Truelite
BASE    dc=azienda, dc=local
36
URI     ldap://127.0.0.1/
37 7 Amministratore Truelite
</pre>
38
a questo punto con _ldapsearch -x_ si dovrebbero ottenere i dati presenti nel database (in sostanza solo la voce per l'utente di amministrazione di LDAP).
39 1 Amministratore Truelite
40 7 Amministratore Truelite
Il secondo passo è predisporre la configurazione di LDAP, che sarà posto in ascolto solo sul _localhost_; per questo motivo occorre anzitutto copiare lo schema fornito con Samba che è necessario per la configurazione, con:
41
<pre>
42 1 Amministratore Truelite
zcat /usr/share/doc/samba-doc/examples/LDAP/samba.schema.gz > \
43
/etc/ldap/schema/samba.schema
44 7 Amministratore Truelite
</pre>
45
Il secondo passo è utilizzare la configurazione distribuita con "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy, copiando il relativo _/etc/ldap/slapd.conf_; questo prevede una serie di modifiche relative all'aggiunta di indici e permessi di accesso ai vari attributi usati da Samba e per l'autenticazione.
46 1 Amministratore Truelite
47 7 Amministratore Truelite
Inoltre occorre modificare _/etc/default/slapd_ (la versione distribuita con "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy contiene la modifica) per lanciare LDAP in ascolto solo su _localhost_, questo richiede l'inseremento della riga:
48
<pre>
49 1 Amministratore Truelite
SLAPD_SERVICES="ldap://127.0.0.1"
50 7 Amministratore Truelite
</pre>
51 1 Amministratore Truelite
ed il riavvio del server.
52
La configurazione di PAM e NSS per l'autenticazione Unix
53
54
Anzitutto si devono installare i due pacchetti libpam-ldap e libnss-ldap, che contengono il supporto per il Pluggable Authentication Method e per il Name Service Switch su LDAP.
55
56 7 Amministratore Truelite
Il primo passo è configurare il Name Service Switch, in questo caso si può prendere il file libnss-ldap.conf dalla distribuzione di [[OpenPrivacy]], ma nelle ultime versioni debconf genera di suo un file corretto all'installazione di libnss-ldap, chiedendo i dati locali (il dominio). Tutto quello che serve in effetti è una riga del tipo:
57
<pre>
58 1 Amministratore Truelite
base dc=azienda,dc=local
59 7 Amministratore Truelite
</pre>
60
per velocizzare l'accesso locale ai dati si può anche installare il demone _nscd_.
61 1 Amministratore Truelite
62 7 Amministratore Truelite
Occorrerà poi modificare anche il file _/etc/nsswitch.conf_ per inserire la consultazione dei dati su LDAP, la versione distribuita con "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy contiene le modifiche necessarie.
63 1 Amministratore Truelite
64
Se era precedentemente installato si abbia cura di riavviare il demone nscd e verificare il funzionamento del sistema con getent passwd, getent group, verificando la presenza degli eventuali utenti messi su LDAP.
65
66 7 Amministratore Truelite
Il secondo passo è configurare PAM; in questo caso occorre copiare i vari file common-* forniti con [[OpenPrivacy]] nella directory _/etc/pam.d_, questi sono utilizzati dai vari servizi, e contengono le modifiche necessarie a far sì che le informazioni di autenticazione vengano richiesta su LDAP.
67 1 Amministratore Truelite
68 7 Amministratore Truelite
A questi si aggiunge il file pam_ldap.conf (che sta direttamente sotto _/etc_), che contiene le informazioni di accesso al database. Di nuovo in questo caso occorrerà modificare la versione distribuita per utilizzare i dati del proprio database, in sostanza le due righe righe:
69
<pre>
70 1 Amministratore Truelite
...
71
base dc=azienda,dc=local
72
...
73
rootbinddn cn=admin,dc=azienda,dc=local
74 7 Amministratore Truelite
</pre>
75 1 Amministratore Truelite
La configurazione di Samba
76
77
Anzitutto occorre copiare la configurazione fornita su /etc/samba/smb.conf, di nuovo occorrerà modificare i dati relativi alla radice dell'albero LDAP adattandoli alla propria realtà e poi riavviare il servizio; le righe interessate sono le seguenti:
78 7 Amministratore Truelite
<pre>
79 1 Amministratore Truelite
...
80
workgroup = OPENPRIVACY
81
...
82
ldap admin dn = cn=admin,dc=azienda,dc=local
83
ldap suffix = dc=azienda,dc=local
84 7 Amministratore Truelite
</pre>
85 1 Amministratore Truelite
Per poter poi utilizzare l'accesso a LDAP è necessario istruire Samba riguardo la password dell'utente di amministrazione dello stesso, con:
86 7 Amministratore Truelite
<pre>
87 1 Amministratore Truelite
smbpasswd -w password_segreta
88 7 Amministratore Truelite
</pre>
89 1 Amministratore Truelite
(la password specificata sarà visibile sullo schermo).
90
91 7 Amministratore Truelite
Fatto questo si può procedere a creare l'infrastruttura per Samba, per questo c'è uno script apposito distribuito con i file di "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy, che crea le directory sotto _/home_ per i profili ed il netlogon, ed imposta i valori relativi alla massima durata delle password ed al numero di password precedenti tenute in memoria che non possono essere riutilizzate. Lo script è setsamba.sh e prende due argomenti; ad esempio con:
92
<pre>
93 1 Amministratore Truelite
./setsamba.sh 175 3
94 7 Amministratore Truelite
</pre>
95 1 Amministratore Truelite
si imposta una durata delle password di 175 giorni ed uno storico di tre password.
96
97 7 Amministratore Truelite
La configurazione di base di "OpenPrivacy":http://svn.truelite.it/truedoc/wiki/OpenPrivacy prevede la presenza di due cartelle condivise (amministrazione e commerciale); non è invece previsto l'uso di cartelle personali degli utenti, dei quali verranno utilizzati solo i dati di autenticazione ed i permessi.
98 1 Amministratore Truelite
99 7 Amministratore Truelite
Una volta completata la configurazione base si possono usare gli script di gestione del pacchetto smbldap, questo prevede l'uso di due file di configurazione sotto _/etc/smbldap/_, forniti con [[OpenPrivacy]], ma che devono comunque essere adattati alle proprie esigenze.
100 1 Amministratore Truelite
101 7 Amministratore Truelite
In particolare in _smbldap_bind.conf_ deve contenere i propri dati per il collegamento al server LDAP (utente e password dell'amministratore, e base dell'albero LDAP), mentre _smbldap.conf_ contiene una serie di valori di configurazione per la strutturazione degli account che saranno inseriti nell'albero attraverso gli script del pacchetto.
102 1 Amministratore Truelite
103
Di nuovo deve essere specificata la radice dell'albero LDAP, il valore della durata delle password, il dominio di riferimento per il campo che identifica la e-mail dell'utente, ma soprattutto il valore del SID.
104
105
Quest'ultimo è fondamentale per il funzionamento di Samba, e variando da macchina a macchina deve essere ottenuto interrogando direttamente il server Samba una volta che questo è attivo; questo si fa usando il comando:
106 7 Amministratore Truelite
<pre>
107 1 Amministratore Truelite
net getlocalsid
108 7 Amministratore Truelite
</pre>
109 1 Amministratore Truelite
che darà luogo ad un risultato del tipo:
110 7 Amministratore Truelite
<pre>
111 1 Amministratore Truelite
ellington:~# net getlocalsid
112
SID for domain ELLINGTON is: S-1-5-21-3844212382-3281708373-568733493
113 7 Amministratore Truelite
</pre>
114
ed in questo caso si dovrà copiare _S-1-5-21-3844212382-3281708373-568733493_ come valore della variabile di configurazione SID di _smbldap.conf_. Un esempio delle righe da modificare è il seguente:
115
<pre>
116 1 Amministratore Truelite
...
117
SID="S-1-5-21-3844212382-3281708373-568733493"
118
...
119
suffix="dc=azienda,dc=local"
120
...
121
defaultMaxPasswordAge="175"
122
...
123
userSmbHome="\\ELLINGTON\homes"
124
userProfile="\\ELLINGTON\profiles\%U"
125
mailDomain="azienda.local"
126 7 Amministratore Truelite
</pre>
127 1 Amministratore Truelite
Una volta fatto questo si potrà creare l'infrastruttura iniziale del database di LDAP per l'uso di Samba come PDC usando lo script smbldap-populate:
128 7 Amministratore Truelite
<pre>
129 1 Amministratore Truelite
ellington:~# smbldap-populate
130
Using workgroup name from sambaUnixIdPooldn (smbldap.conf): 
131
sambaDomainName=OPENPRIVACY
132
Using builtin directory structure
133
entry dc=azienda,dc=local already exist.
134
adding new entry: ou=Users,dc=azienda,dc=local
135
adding new entry: ou=Groups,dc=azienda,dc=local
136
adding new entry: ou=Computers,dc=azienda,dc=local
137
adding new entry: ou=Idmap,dc=azienda,dc=local
138
adding new entry: uid=Administrator,ou=Users,dc=azienda,dc=local
139
adding new entry: uid=nobody,ou=Users,dc=azienda,dc=local
140
adding new entry: cn=Domain Admins,ou=Groups,dc=azienda,dc=local
141
adding new entry: cn=Domain Users,ou=Groups,dc=azienda,dc=local
142
adding new entry: cn=Domain Guests,ou=Groups,dc=azienda,dc=local
143
adding new entry: cn=Domain Computers,ou=Groups,dc=azienda,dc=local
144
adding new entry: cn=Administrators,ou=Groups,dc=azienda,dc=local
145
adding new entry: cn=Print Operators,ou=Groups,dc=azienda,dc=local
146
adding new entry: cn=Backup Operators,ou=Groups,dc=azienda,dc=local
147
adding new entry: cn=Replicators,ou=Groups,dc=azienda,dc=local
148 7 Amministratore Truelite
</pre>
149 1 Amministratore Truelite
A questo punto occorre anche impostare la password per l'utente di amministrazione del dominio, cioè administrator, questo si fa direttamente con con il comando fornito dagli script di smbldap:
150 7 Amministratore Truelite
<pre>
151 1 Amministratore Truelite
ellington:~# smbldap-passwd administrator
152
Changing password for administrator
153
New password :
154
Retype new password :
155 7 Amministratore Truelite
</pre>
156 1 Amministratore Truelite
A questo punto si potranno inserire degli utenti con gli script di amministrazione; ad esempio si potrà creare un utente con:
157 7 Amministratore Truelite
<pre>
158 1 Amministratore Truelite
smbldap-useradd -m -a prova
159 7 Amministratore Truelite
</pre>
160 1 Amministratore Truelite
ed impostarne la password con:
161 7 Amministratore Truelite
<pre>
162 1 Amministratore Truelite
smbldap-passwd prova
163 7 Amministratore Truelite
</pre>
164
E si potrà verificare se il meccanismo funziona eseguendo un login sia Unix ssh prova@ellington che Windows _smbclient //ELLINGTON/amministrazione -U prova_.
165 1 Amministratore Truelite
166 7 Amministratore Truelite
L'assegnazione di nuovi utenti viene controllata dal valore che viene memorizzato all'interno dell'albero stesso, nello speciale dominio SMB3, che contiene solo due attributi, _gidNumber_ e _uidNumber_ che dichiarano rispettivamente il primo _group-ID_ e _user-ID_ disponibili (questi valori vengono solo incrementati, per cui gli ID non verranno riciclati se si cancella un utente).
167 1 Amministratore Truelite
168
Per modificare il valore di default, che su Debian è di 1000, si può usare un qualunque programma di accesso all'albero (come gq) per sovrascriverne i valori.
169
La configurazione delle interfacce di gestione via web
170
171
La prima interfaccia che si può utilizzare è LAM (LDAP Account Manager), che viene distribuita direttamente come pacchetto Debian con ldap-account-manager. La configurazione di default sta sotto /etc/ldap-account-manager/, e prevede un unico profilo di nome lam e password lam.
172
173
La configurazione di LDAP Account Manager si effettua interamente dalla interfaccia web, che è disponibile direttamente come:
174 7 Amministratore Truelite
<pre>
175 1 Amministratore Truelite
http://localhost/lam
176 7 Amministratore Truelite
</pre>
177 1 Amministratore Truelite
e si otterrà come schermata di login:
178
179 7 Amministratore Truelite
In genere la prima cosa da fare è creare un proprio profilo, per questo si deve usare utilizzare il link in alto a destra _Configuration Login_ e collegarsi con il profilo e la password predefinita. Saranno così disponibili i due collegamenti _Manage profiles_ e _Configuration wizard_.
180 1 Amministratore Truelite
181 7 Amministratore Truelite
L'uso di _Manage profiles_ consente di creare un nuovo profilo ed cambiare la password, e di cancellare il vecchio. E' sempre opportuno definire il proprio e cambiare la password master. Inoltre è opportuno pure rimuovere il profilo di default. Questo però causerà dei problemi al rientro nella schermata di login, che fa riferimento ad esso. Per questo conviene, una volta creato il poprio profile, modificare direttamente a mano la configurazione in _/etc/ldap-account-manager/config.cfg_, mettendo le due righe:
182
<pre>
183 6 Amministratore Truelite
# password to add/delete/rename configuration profiles
184
password: miapassword
185
186
# default profile, without ".conf"
187
default: mioprofilo
188 7 Amministratore Truelite
</pre>
189
L'uso di Configuration wizard permette di creare la configurazione per l'accesso ai dati, i valori di default usati per le varie ou dei dati dell'albero sono diversi rispetto a quelli creati da _smbldap-populate_ e dagli script di IDEALX, per cui occorrerà modificare i default.
190 1 Amministratore Truelite
191 7 Amministratore Truelite
Inoltre nel caso di _smbldap-populate_ non esiste una unità operativa destinata ai domini, per cui questi vengono registrati direttamente sotto la base, e così dovranno essere specificati anche con LDAP Account Manager.
192 1 Amministratore Truelite
193
194
195
NOTA:
196
197 7 Amministratore Truelite
<pre>