Configurar la autenticación y la autorización en RHEL

Pasos de verificación

1. Compruebe que las entradas de sss para SSSD están presentes en /etc/nsswitch.conf:

   passwd:     sss files
   group:      sss files
   netgroup:   sss files
   automount:  sss files
   services:   sss files
   ...

   Copy to Clipboard Toggle word wrap

2. Revise el contenido del archivo /etc/pam.d/system-auth para ver las entradas de pam_sss.so:

   # Generated by authselect on Tue Sep 11 22:59:06 2018
   # Do not modify this file manually.
   
   auth        required        pam_env.so
   auth        required        pam_faildelay.so delay=2000000
   auth        [default=1 ignore=ignore success=ok]    pam_succeed_if.so uid >= 1000 quiet
   auth        [default=1 ignore=ignore success=ok]    pam_localuser.so
   auth        sufficient      pam_unix.so nullok try_first_pass
   auth        requisite       pam_succeed_if.so uid >= 1000 quiet_success
   auth        sufficient      pam_sss.so forward_pass
   auth        required        pam_deny.so
   
   account     required        pam_unix.so
   account     sufficient      pam_localuser.so
   ...

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Seleccione un perfil de authselect, por ejemplo:

   # authselect select sssd

   Copy to Clipboard Toggle word wrap
2. Edite el archivo /etc/authselect/user-nsswitch.conf con los cambios que desee.

3. Aplique los cambios del archivo /etc/authselect/user-nsswitch.conf:

   # authselect apply-changes

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Cree su perfil personalizado utilizando el comando authselect create-profile. Por ejemplo, para crear un perfil personalizado llamado user-profile basado en el perfil ya preparado sssd pero en el que usted mismo puede configurar los elementos del archivo /etc/nsswitch.conf:

   # authselect create-profile user-profile -b sssd --symlink-meta --symlink-pam
   New profile was created at /etc/authselect/custom/user-profile

   Copy to Clipboard Toggle word wrap

   Incluir la opción --symlink-pam en el comando significa que las plantillas PAM serán enlaces simbólicos a los archivos del perfil de origen en lugar de su copia; incluir la opción --symlink-meta significa que los meta archivos, como README y REQUIREMENTS serán enlaces simbólicos a los archivos del perfil de origen en lugar de su copia. Esto asegura que todas las futuras actualizaciones de las plantillas PAM y los meta archivos en el perfil original se reflejarán también en su perfil personalizado.

   El comando crea una copia del archivo /etc/nsswitch.conf en el directorio /etc/authselect/custom/user-profile/.

2. Configure el archivo /etc/authselect/custom/user-profile/nsswitch.conf.

3. Seleccione el perfil personalizado ejecutando el comando authselect select, y añadiendo custom/name_of_the_profile como parámetro. Por ejemplo, para seleccionar el perfil user-profile:

   # authselect select custom/user-profile

   Copy to Clipboard Toggle word wrap

   La selección del perfil user-profile para su máquina significa que si el perfil sssd es actualizado posteriormente por Red Hat, se beneficiará de todas las actualizaciones a excepción de las realizadas en el archivo /etc/nsswitch.conf.

1. Edite el archivo /etc/nsswitch.conf editando la siguiente línea:

   hosts:      files

   Copy to Clipboard Toggle word wrap

2. Cree un perfil personalizado basado en sssd que excluya los cambios en /etc/nsswitch.conf:

   # authselect create-profile user-profile -b sssd --symlink-meta --symlink-pam

   Copy to Clipboard Toggle word wrap

3. Seleccione el perfil:

   # authselect select custom/user-profile

   Copy to Clipboard Toggle word wrap

4. Opcionalmente, compruebe que la selección del perfil personalizado tiene

   • crear el archivo /etc/pam.d/system-auth de acuerdo con el perfil elegido sssd

   • dejó la configuración en el /etc/nsswitch.conf sin cambios:

     hosts:      files

     Copy to Clipboard Toggle word wrap
     Nota

     Por el contrario, si se ejecuta authselect select sssd , el resultado sería

     hosts:      files dns myhostname

     Copy to Clipboard Toggle word wrap

1. Conecta al cliente con un proveedor remoto para recuperar la información de identidad y autenticación.
2. Utiliza la información de autenticación obtenida para crear una caché local de usuarios y credenciales en el cliente.

1. El archivo principal /etc/sssd/sssd.conf
2. Otros archivos de *.conf en /etc/sssd/conf.d/, en orden alfabético

Procedimiento

1. Instale los paquetes necesarios:

   # dnf -y install openldap-clients sssd sssd-ldap oddjob-mkhomedir

   Copy to Clipboard Toggle word wrap

2. Cambie el proveedor de autenticación a sssd:

   # authselect select sssd with-mkhomedir

   Copy to Clipboard Toggle word wrap

3. Copie el archivo core-dirsrv.ca.pem que contiene la cadena de certificados de firma de la CA raíz de la autoridad de certificación que emitió el certificado SSL/TLS del servidor OpenLDAP en la carpeta /etc/openldap/certs.

   # cp core-dirsrv.ca.pem /etc/openldap/certs

   Copy to Clipboard Toggle word wrap

4. Añade la URL y el sufijo de tu servidor LDAP al archivo /etc/openldap/ldap.conf:

   URI ldap://ldap-server.example.com/
   BASE dc=example,dc=com

   Copy to Clipboard Toggle word wrap

5. En el archivo /etc/openldap/ldap.conf, añada una línea que señale el parámetro TLS_CACERT a /etc/openldap/certs/core-dirsrv.ca.pem:

   # When no CA certificates are specified the Shared System Certificates
   # are in use. In order to have these available along with the ones specified
   # by TLS_CACERTDIR one has to include them explicitly:
   TLS_CACERT /etc/openldap/certs/core-dirsrv.ca.pem

   Copy to Clipboard Toggle word wrap

6. En el archivo /etc/sssd/sssd.conf, añada sus valores de entorno a los parámetros ldap_uri y ldap_search_base:

   [domain/default]
   id_provider = ldap
   autofs_provider = ldap
   auth_provider = ldap
   chpass_provider = ldap
   ldap_uri = ldap://ldap-server.example.com/
   ldap_search_base = dc=example,dc=com
   ldap_id_use_start_tls = True
   cache_credentials = True
   ldap_tls_cacertdir = /etc/openldap/certs
   ldap_tls_reqcert = allow
   
   [sssd]
   services = nss, pam, autofs
   domains = default
   
   [nss]
   homedir_substring = /home
   …

   Copy to Clipboard Toggle word wrap

7. En /etc/sssd/sssd.conf, especifique el requisito de autenticación TLS modificando los valores ldap_tls_cacert y ldap_tls_reqcert en la sección [domain]:

   …
   cache_credentials = True
   ldap_tls_cacert = /etc/openldap/certs/core-dirsrv.ca.pem
   ldap_tls_reqcert = hard
   …

   Copy to Clipboard Toggle word wrap

8. Cambie los permisos del archivo /etc/sssd/sssd.conf:

   # chmod 600 /etc/sssd/sssd.conf

   Copy to Clipboard Toggle word wrap

9. Reinicie y active el servicio SSSD y el demonio oddjobd:

   # systemctl restart sssd oddjobd
   # systemctl enable sssd oddjobd

   Copy to Clipboard Toggle word wrap

10. (Opcional) Si su servidor LDAP utiliza los protocolos obsoletos TLS 1.0 o TLS 1.1, cambie la política criptográfica de todo el sistema en el sistema cliente al nivel LEGACY para permitir que RHEL 8 se comunique utilizando estos protocolos:

    # update-crypto-policies --set LEGACY

    Copy to Clipboard Toggle word wrap

    Para más detalles, consulte la sección Funcionalidad obsoleta en las Notas de la versión de RHEL 8.0.

Procedimiento

1. Cree la cuenta de usuario AD_user localmente sin asignarle una contraseña:

   # useradd AD_user

   Copy to Clipboard Toggle word wrap

2. Abra el archivo /etc/nsswitch.conf para editarlo y asegúrese de que contiene las siguientes líneas:

   passwd:     sss files systemd
   group:      sss files systemd
   shadow:     files sss

   Copy to Clipboard Toggle word wrap

3. Abra el archivo /etc/krb5.conf para editarlo y asegúrese de que contiene las siguientes secciones y elementos:

   # To opt out of the system crypto-policies configuration of krb5, remove the
   # symlink at /etc/krb5.conf.d/crypto-policies which will not be recreated.
   includedir /etc/krb5.conf.d/
   
   [logging]
       default = FILE:/var/log/krb5libs.log
       kdc = FILE:/var/log/krb5kdc.log
       admin_server = FILE:/var/log/kadmind.log
   
   [libdefaults]
       dns_lookup_realm = false
       ticket_lifetime = 24h
       renew_lifetime = 7d
       forwardable = true
       rdns = false
       pkinit_anchors = /etc/pki/tls/certs/ca-bundle.crt
       spake_preauth_groups = edwards25519
       default_realm = EXAMPLE.COM
       default_ccache_name = KEYRING:persistent:%{uid}
   
   [realms]
    EXAMPLE.COM = {
        kdc = ad.example.com
        admin_server = ad.example.com
    }
   
   [domain_realm]
    .example.com = EXAMPLE.COM
    example.com = EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

4. Cree el archivo /etc/sssd/sssd.conf e inserte en él las siguientes secciones y líneas:

   [sssd]
       services = nss, pam
       domains = EXAMPLE.COM
   
   [domain/EXAMPLE.COM]
       id_provider = files
       auth_provider = krb5
       krb5_realm = EXAMPLE.COM
       krb5_server = ad.example.com

   Copy to Clipboard Toggle word wrap

5. Cambie los permisos del archivo /etc/sssd/sssd.conf:

   # chmod 600 /etc/sssd/sssd.conf

   Copy to Clipboard Toggle word wrap

6. Inicie el demonio de servicios del sistema de seguridad (SSSD):

   # systemctl start sssd

   Copy to Clipboard Toggle word wrap

7. Activar SSSD:

   # systemctl enable sssd

   Copy to Clipboard Toggle word wrap

8. Abra el archivo /etc/pam.d/system-auth y modifíquelo para que contenga las siguientes secciones y líneas:

   # Generated by authselect on Wed May  8 08:55:04 2019
   # Do not modify this file manually.
   
   auth        required                                     pam_env.so
   auth        required                                     pam_faildelay.so delay=2000000
   auth        [default=1 ignore=ignore success=ok]         pam_succeed_if.so uid >= 1000 quiet
   auth        [default=1 ignore=ignore success=ok]         pam_localuser.so
   auth        sufficient                                   pam_unix.so nullok try_first_pass
   auth        requisite                                    pam_succeed_if.so uid >= 1000 quiet_success
   auth        sufficient                                   pam_sss.so forward_pass
   auth        required                                     pam_deny.so
   
   account     required                                     pam_unix.so
   account     sufficient                                   pam_localuser.so
   account     sufficient                                   pam_succeed_if.so uid < 1000 quiet
   account     [default=bad success=ok user_unknown=ignore] pam_sss.so
   account     required                                     pam_permit.so
   
   password    requisite                                    pam_pwquality.so try_first_pass local_users_only
   password    sufficient                                   pam_unix.so sha512 shadow nullok try_first_pass use_authtok
   password    sufficient                                   pam_sss.so use_authtok
   password    required                                     pam_deny.so
   
   session     optional                                     pam_keyinit.so revoke
   session     required                                     pam_limits.so
   -session    optional                                     pam_systemd.so
   session     [success=1 default=ignore]                   pam_succeed_if.so service in crond quiet use_uid
   session     required                                     pam_unix.so
   session     optional                                     pam_sss.so

   Copy to Clipboard Toggle word wrap

9. Copie el contenido del archivo /etc/pam.d/system-auth en el archivo /etc/pam.d/password-auth. Introduzca yes para confirmar la sobreescritura del contenido actual del archivo:

   # cp /etc/pam.d/system-auth /etc/pam.d/password-auth
   cp: overwrite '/etc/pam.d/password-auth'? yes

   Copy to Clipboard Toggle word wrap

Pasos de verificación

1. Solicite un ticket Kerberos (TGT) para AD_user. Introduzca la contraseña de AD_user tal y como se solicita:

   # kinit AD_user
   Password for AD_user@EXAMPLE.COM:

   Copy to Clipboard Toggle word wrap

2. Muestra el TGT obtenido:

   # klist
   Ticket cache: KEYRING:persistent:0:0
   Default principal: AD_user@EXAMPLE.COM
   
   Valid starting     Expires            Service principal
   11/02/20 04:16:38  11/02/20 14:16:38  krbtgt/EXAMPLE.COM@EXAMPLE.COM
   	renew until 18/02/20 04:16:34

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Para mostrar la ayuda del comando sssctl, introduzca:

   [root@client1 ~]# sssctl --help
   ....

   Copy to Clipboard Toggle word wrap
2. Para mostrar una lista de dominios disponibles, introduzca:

Procedimiento

1. Para mostrar la ayuda del comando sssctl, introduzca:

   [root@client1 ~]# sssctl --help

   Copy to Clipboard Toggle word wrap

2. Para mostrar los datos de los usuarios de un determinado dominio, introduzca:

   [root@client1 ~]# sssctl domain-status idm.example.com
   Online status: Online
   
   Active servers:
   IPA: master.idm.example.com
   
   Discovered IPA servers:
   - master.idm.example.com

   Copy to Clipboard Toggle word wrap