6장. 고급 구성

1. LDAP 서버의 SSL 인증서에 서명한 CA(인증 기관)의 PEM 형식의 인증서를 추출/ 다운로드합니다.
2. /etc/openldap/ldap.conf 에 TLS_REQCERT 가 설정되어 있지 않은지 확인합니다.
3. /etc/openldap/ldap.conf 에 TLS_CACERTDIR /etc/openldap/certs 설정이 포함되어 있는지 확인합니다.

4. certutil 명령을 사용하여 AD CA를 /etc/openldap/certs의 저장소에 추가합니다. 예를 들어 CA가 "msad-frog-MSAD-FROG-CA"이고 PEM 형식의 CA 파일이 ldap.pem 인 경우 다음 명령을 사용합니다.

   예제

   # certutil -d /etc/openldap/certs -A -t "TC,," -n "msad-frog-MSAD-FROG-CA" -i /path/to/ldap.pem

5. 모든 원격 LDAP 사이트에서 SELinux를 업데이트합니다.

   예제

   # setsebool -P httpd_can_network_connect on

   참고

   SELinux가 허용 모드에 있는 경우에도 이 설정을 설정해야 합니다.

6. 인증서 데이터베이스 를 세계로 읽을 수 있도록 설정합니다.

   예제

   # chmod 644 /etc/openldap/certs/*

7. root가 아닌 사용자로 "ldapwhoami" 명령을 사용하여 서버에 연결합니다.

   예제

   $ ldapwhoami -H ldaps://rh-directory-server.example.com -d 9

   d 9 옵션은 SSL 협상에 문제가 발생한 경우 디버깅 정보를 제공합니다.

프로세스

1. Ceph Object Gateway에 대한 LDAP 사용자를 만들고 binddn 을 기록합니다. Ceph 개체 게이트웨이는 ceph 사용자를 사용하므로 사용자 이름으로 ceph 를 사용하는 것이 좋습니다. 사용자에게 디렉터리를 검색할 수 있는 권한이 있어야 합니다. Ceph Object Gateway는 rgw_ldap_binddn 에 지정된 대로 이 사용자에게 바인딩합니다.

2. 사용자 생성이 작동하는지 테스트합니다. 여기서 ceph 는 People 의 사용자 ID이고 example.com 은 도메인이므로 사용자를 검색할 수 있습니다.

   # ldapsearch -x -D "uid=ceph,ou=People,dc=example,dc=com" -W -H ldaps://example.com -b "ou=People,dc=example,dc=com" -s sub 'uid=ceph'

3. 각 게이트웨이 노드에서 사용자 시크릿에 대한 파일을 생성합니다. 예를 들어 시크릿은 /etc/bindpass 가 부여된 파일에 저장할 수 있습니다. 보안을 위해 이 파일의 소유자를 ceph 사용자 및 그룹으로 변경하여 전역에서 읽을 수 없도록 합니다.

4. rgw_ldap_secret 옵션을 추가합니다.

   구문

   ceph config set client.rgw OPTION VALUE

   예제

   [ceph: root@host01 /]# ceph config set client.rgw rgw_ldap_secret /etc/bindpass

5. 바인딩 암호 파일을 Ceph Object Gateway 컨테이너에 패치하고 Ceph Object Gateway 사양을 다시 적용합니다.

   예제

   service_type: rgw
   service_id: rgw.1
   service_name: rgw.rgw.1
   placement:
     label: rgw
     extra_container_args:
     - -v
     - /etc/bindpass:/etc/bindpass

   참고

   /etc/bindpass 는 Red Hat Ceph Storage에서 자동으로 제공되지 않으며 가능한 모든 Ceph Object Gateway 인스턴스 노드에서 콘텐츠를 사용할 수 있는지 확인해야 합니다.

1. 부분 필터 지정:

   예제

   "objectclass=inetorgperson"

   Ceph Object Gateway는 토큰에서 사용자 이름과 rgw_ldap_dnattr 값을 사용하여 검색 필터를 생성합니다. 그런 다음 생성된 필터가 rgw_ldap_searchfilter 값의 부분 필터와 결합됩니다. 예를 들어 사용자 이름 및 설정은 최종 검색 필터를 생성합니다.

   예제

   "(&(uid=joe)(objectclass=inetorgperson))"

   사용자 joe 는 LDAP 디렉터리에 개체 클래스가 있는 경우에만 액세스 권한이 부여되며 유효한 암호를 지정합니다.

2. 전체 필터 지정:

   전체 필터에는 인증 시도 중에 사용자 이름으로 대체되는 USERNAME 토큰이 포함되어야 합니다. 이 경우 rgw_ldap_dnattr 설정은 사용되지 않습니다. 예를 들어 유효한 사용자를 특정 그룹으로 제한하려면 다음 필터를 사용합니다.

   예제

   "(&(uid=@USERNAME@)(memberOf=cn=ceph-users,ou=groups,dc=mycompany,dc=com))"

1. 액세스 키를 내보냅니다.

   구문

   export RGW_ACCESS_KEY_ID="USERNAME"

2. 시크릿 키를 내보냅니다.

   구문

   export RGW_SECRET_ACCESS_KEY="PASSWORD"

3. 토큰을 내보냅니다. LDAP의 경우 ldap 를 토큰 유형(ttype)으로 사용합니다.

   예제

   radosgw-token --encode --ttype=ldap

   Active Directory의 경우 ad 를 토큰 유형으로 사용합니다.

   예제

   radosgw-token --encode --ttype=ad

   결과적으로 액세스 토큰인 base-64로 인코딩된 문자열이 생성됩니다. 액세스 키 대신 S3 클라이언트에 이 액세스 토큰을 제공합니다. 시크릿 키는 더 이상 필요하지 않습니다.

4. 선택 사항: 추가 편의를 위해 S3 클라이언트에서 환경 변수를 사용하는 경우 base-64로 인코딩된 문자열을 RGW_ACCESS_KEY_ID 환경 변수로 내보냅니다.

   예제

   export RGW_ACCESS_KEY_ID="ewogICAgIlJHV19UT0tFTiI6IHsKICAgICAgICAidmVyc2lvbiI6IDEsCiAgICAgICAgInR5cGUiOiAibGRhcCIsCiAgICAgICAgImlkIjogImNlcGgiLAogICAgICAgICJrZXkiOiAiODAwI0dvcmlsbGEiCiAgICB9Cn0K"

절차.

1. RGW_ACCESS_KEY_ID 환경 변수를 사용하여 Ceph Object Gateway 클라이언트를 구성합니다. 또는 base-64로 인코딩된 문자열을 복사하여 액세스 키로 지정할 수 있습니다. 다음은 구성된 S3 클라이언트의 예입니다.

   예제

   cat .aws/credentials
   
   [default]
   aws_access_key_id = ewogICaGbnjlwe9UT0tFTiI6IHsKICAgICAgICAidmVyc2lvbiI6IDEsCiAgICAgICAgInR5cGUiOiAiYWQiLAogICAgICAgICJpZCI6ICJjZXBoIiwKICAgICAgICAia2V5IjogInBhc3M0Q2VwaCIKICAgIH0KfQo=
   aws_secret_access_key =

   참고

   시크릿 키는 더 이상 필요하지 않습니다.

2. aws s3 ls 명령을 실행하여 사용자를 확인합니다.

   예제

   [root@host01 ~]# aws s3 ls --endpoint http://host03
   
   2023-12-11 17:08:50 mybucket
   2023-12-24 14:55:44 mybucket2

3. 선택 사항: radosgw-admin 사용자 명령을 실행하여 디렉터리의 사용자를 확인할 수도 있습니다.

   예제

   [root@host01 ~]# radosgw-admin user info --uid dir1
   {
       "user_id": "dir1",
       "display_name": "dir1",
       "email": "",
       "suspended": 0,
       "max_buckets": 1000,
       "subusers": [],
       "keys": [],
       "swift_keys": [],
       "caps": [],
       "op_mask": "read, write, delete",
       "default_placement": "",
       "default_storage_class": "",
       "placement_tags": [],
       "bucket_quota": {
           "enabled": false,
           "check_on_raw": false,
           "max_size": -1,
           "max_size_kb": 0,
           "max_objects": -1
       },
       "user_quota": {
           "enabled": false,
           "check_on_raw": false,
           "max_size": -1,
           "max_size_kb": 0,
           "max_objects": -1
       },
       "temp_url_keys": [],
       "type": "ldap",
       "mfa_ids": []
   }