Linux 도메인 ID, 인증 및 정책 가이드

[root@server ~]# ip addr show
...
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
	link/ether 00:1a:4a:10:4e:33 brd ff:ff:ff:ff:ff:ff
	inet 192.0.2.1/24 brd 192.0.2.255 scope global dynamic eth0
		valid_lft 106694sec preferred_lft 106694sec
	inet6 2001:DB8::1111/32 scope global dynamic
 		valid_lft 2591521sec preferred_lft 604321sec
	inet6 fe80::56ee:75ff:fe2b:def6/64 scope link
	       valid_lft forever preferred_lft forever

1. firewall-cmd --add-port 명령을 사용하여 방화벽에 개별 포트를 추가합니다. 예를 들어 기본 영역에서 포트를 열려면 다음을 수행합니다.

   # firewall-cmd --permanent --add-port={80/tcp,443/tcp,list_of_ports}

2. firewall-cmd --add-service 명령을 사용하여 방화벽에 firewalld 서비스를 추가합니다. 예를 들어 기본 영역에서 포트를 열려면 다음을 수행합니다.

   # firewall-cmd --permanent --add-service={freeipa-ldap,list_of_services}

# firewall-cmd --reload

# firewall-cmd --runtime-to-permanent --add-port={80/tcp,443/tcp,389/tcp,636/tcp,88/tcp,88/udp,464/tcp,464/udp,53/tcp,53/udp,123/udp}

# ipa-server-install --external-cert-file=/tmp/servercert20110601.pem --external-cert-file=/tmp/cacert.pem

1. DNS 영역과 SRV 레코드가 시스템에 올바르게 설정된 경우 스크립트는 필요한 모든 값을 자동으로 검색하고 출력합니다. yes 를 입력하여 확인합니다.

   Client hostname: client.example.com
   Realm: EXAMPLE.COM
   DNS Domain: example.com
   IPA Server: server.example.com
   BaseDN: dc=example,dc=com
   
   Continue to configure the system with these values? [no]: yes

   다른 값으로 시스템을 설치하려면 현재 설치를 취소합니다. 그런 다음 ipa-client-install 을 다시 실행하고 명령줄 옵션을 사용하여 필요한 값을 지정합니다.
   자세한 내용은 ipa-client-install(1) 도움말 페이지의 DNS 자동 검색 섹션을 참조하십시오.
2. 스크립트에서 일부 설정을 자동으로 가져오지 못하면 값을 묻는 메시지가 표시됩니다.
   중요
   단일 레이블 도메인 이름(예: .company)을 사용하지 마십시오. IdM 도메인은 하나 이상의 하위 도메인과 최상위 도메인(예: example.com 또는 company.example.com)으로 구성되어야 합니다.

   정규화된 도메인 이름은 다음 조건을 충족해야 합니다.

   • 유효한 DNS 이름이므로 숫자, 영문자 및 하이픈(-)만 사용할 수 있습니다. 밑줄(_)과 같은 기타 문자는 호스트 이름에서 DNS 오류가 발생합니다.
   • 이 모든 것이 더 낮은 사례입니다. 대문자는 허용되지 않습니다.
   • 정규화된 도메인 이름은 루프백 주소로 해석해서는 안 됩니다. 127.0.0.1 이 아닌 머신의 공용 IP 주소로 확인되어야 합니다.

   다른 권장 이름 지정 사례는 Red Hat Enterprise Linux 보안 가이드의 권장 이름 지정 사례를 참조하십시오.

User authorized to enroll computers: admin
Password for admin@EXAMPLE.COM

Client configuration complete.

$ kinit admin

$ ipa host-add client.example.com --password=secret

# ipa-client-install --force-join

User authorized to enroll computers: admin
Password for admin@EXAMPLE.COM

# ipa-client-install --keytab /tmp/krb5.keytab

1. 관리자로 로그인합니다.

   $ kinit admin

2. ipaservers 호스트 그룹에 클라이언트 시스템을 추가합니다.

   $ ipa hostgroup-add-member ipaservers --hosts client.example.com
     Host-group: ipaservers
     Description: IPA server hosts
     Member hosts: server.example.com, client.example.com
   -------------------------
   Number of members added 1
   -------------------------

   ipaservers 의 멤버십은 관리자의 자격 증명과 유사한 권한을 시스템에 부여합니다.

# ipa-replica-install

1. 관리자로 로그인합니다.

   $ kinit admin

2. 새 시스템을 IdM 호스트로 추가합니다. ipa host-add 명령과 함께 --random 옵션을 사용하여 복제본 설치에 사용할 임의의 일회성 암호를 생성합니다.

   $ ipa host-add client.example.com --random
   --------------------------------------------------
   Added host "client.example.com"
   --------------------------------------------------
     Host name: client.example.com
     Random password: W5YpARl=7M.n
     Password: True
     Keytab: False
     Managed by: server.example.com

   시스템을 IdM 도메인에 등록하는 데 사용한 후 생성된 암호가 유효하지 않습니다. 등록이 완료되면 적절한 호스트 키탭으로 바뀝니다.
3. ipaservers 호스트 그룹에 시스템을 추가합니다.

   $ ipa hostgroup-add-member ipaservers --hosts client.example.com
     Host-group: ipaservers
     Description: IPA server hosts
     Member hosts: server.example.com, client.example.com
   -------------------------
   Number of members added 1
   -------------------------

   ipaservers 의 멤버십은 필요한 서버 서비스를 설정하는 데 필요한 시스템에 높은 권한을 부여합니다.

# ipa-replica-install --password 'W5YpARl=7M.n'

# ipa-replica-install --setup-dns --forwarder 192.0.2.1

1. DOMAIN 및 NAMESERVER 변수에 적절한 값을 설정합니다.

   # DOMAIN=example.com
   # NAMESERVER=replica

2. 다음 명령을 사용하여 DNS 항목을 확인합니다.

   # for i in _ldap._tcp _kerberos._tcp _kerberos._udp _kerberos-master._tcp _kerberos-master._udp _ntp._udp ; do
   dig @${NAMESERVER} ${i}.${DOMAIN} srv +nocmd +noquestion +nocomments +nostats +noaa +noadditional +noauthority
   done | egrep "^_"
   
   _ldap._tcp.example.com. 86400     IN    SRV     0 100 389 server1.example.com.
   _ldap._tcp.example.com. 86400     IN    SRV     0 100 389 server2.example.com.
   _kerberos._tcp.example.com. 86400 IN    SRV     0 100 88  server1.example.com.
   ...

[root@replica ~]# ipa-replica-install --setup-ca

[root@replica ~]# ipa-replica-install \
    --dirsrv-cert-file /tmp/server.crt \
    --dirsrv-cert-file /tmp/server.key \
    --dirsrv-pin secret \
    --http-cert-file /tmp/server.crt \
    --http-cert-file /tmp/server.key \
    --http-pin secret

# scp /etc/krb5.conf root@externalmachine.example.com:/etc/krb5_ipa.conf

$ export KRB5_CONFIG=/etc/krb5_ipa.conf

$ ipa topologysegment-add
Suffix name: domain
Left node: server1.example.com
Right node: server2.example.com
Segment name [server1.example.com-to-server2.example.com]: new_segment
---------------------------
Added segment "new_segment"
---------------------------
  Segment name: new_segment
  Left node: server1.example.com
  Right node: server2.example.com
  Connectivity: both

$ ipa topologysegment-show
Suffix name: domain
Segment name: new_segment
  Segment name: new_segment
  Left node: server1.example.com
  Right node: server2.example.com
  Connectivity: both

$ ipa topologysegment-find
Suffix name: domain
------------------
8 segments matched
------------------
  Segment name: new_segment
  Left node: server1.example.com
  Right node: server2.example.com
  Connectivity: both

...

----------------------------
Number of entries returned 8
----------------------------

$ ipa topologysegment-del
Suffix name: domain
Segment name: new_segment
-----------------------------
Deleted segment "new_segment"
-----------------------------

$ ipa topologysegment-find
Suffix name: domain
------------------
7 segments matched
------------------
  Segment name: server2.example.com-to-server3.example.com
  Left node: server2.example.com
  Right node: server3.example.com
  Connectivity: both

...

----------------------------
Number of entries returned 7
----------------------------

[user@server2 ~]$ ipa server-del
Server name: server1.example.com
Removing server1.example.com from replication topology, please wait...
----------------------------------------------------------
Deleted IPA server "server1.example.com"
----------------------------------------------------------

[root@server1 ~]# ipa server-install --uninstall

[root@rhel7 ~]# scp /usr/share/ipa/copy-schema-to-ca.py root@rhel6:/root/

[root@rhel6 ~]# python copy-schema-to-ca.py
ipa         : INFO     Installed /etc/dirsrv/slapd-PKI-IPA//schema/60kerberos.ldif
[... output truncated ...]
ipa         : INFO     Schema updated successfully

[root@rhel6 ~]# ipa-replica-prepare rhel7.example.com --ip-address 192.0.2.1

Directory Manager (existing master) password:
Preparing replica for rhel7.example.com from rhel6.example.com
[... output truncated ...]
The ipa-replica-prepare command was successful

[root@rhel6 ~]# scp /var/lib/ipa/replica-info-replica.example.com.gpg root@rhel7:/var/lib/ipa/

+ecdhe_rsa_aes_128_sha,+ecdhe_rsa_aes_256_sha

[root@rhel7 ~]# ipa-replica-install /var/lib/ipa/replica-info-rhel7.example.com.gpg --setup-ca --ip-address 192.0.2.1 --setup-dns --forwarder 192.0.2.20
Directory Manager (existing master) password:

Checking DNS forwarders, please wait ...
Run connection check to master
[... output truncated ...]
Client configuration complete.

[root@rhel7 ~]# ipactl status
Directory Service: RUNNING
[... output truncated ...]
ipa: INFO: The ipactl command was successful

[root@rhel6 ~]# getcert stop-tracking -d /var/lib/pki-ca/alias -n "auditSigningCert cert-pki-ca"
Request "20201127184547" removed.
[root@rhel6 ~]# getcert stop-tracking -d /var/lib/pki-ca/alias -n "ocspSigningCert cert-pki-ca"
Request "20201127184548" removed.
[root@rhel6 ~]# getcert stop-tracking -d /var/lib/pki-ca/alias -n "subsystemCert cert-pki-ca"
Request "20201127184549" removed.
[root@rhel6 ~]# getcert stop-tracking -d /etc/httpd/alias -n ipaCert
Request "20201127184550" removed.

1. 갱신 도우미 스크립트를 certmonger 서비스 디렉터리에 복사하고 적절한 권한을 설정합니다.

   [root@rhel6 ~]# cp /usr/share/ipa/ca_renewal /var/lib/certmonger/cas/
   [root@rhel6 ~]# chmod 0600 /var/lib/certmonger/cas/ca_renewal

2. SELinux 구성을 업데이트합니다.

   [root@rhel6 ~]# restorecon /var/lib/certmonger/cas/ca_renewal

3. certmonger 를 다시 시작합니다.

   [root@rhel6 ~]# service certmonger restart

4. 인증서를 검색하도록 CA가 나열되었는지 확인합니다.

   [root@rhel6 ~]# getcert list-cas
   ...
   CA 'dogtag-ipa-retrieve-agent-submit':
           is-default: no
           ca-type: EXTERNAL
   	helper-location: /usr/libexec/certmonger/dogtag-ipa-retrieve-agent-submit

5. CA 인증서 데이터베이스 PIN을 가져옵니다.

   [root@rhel6 ~]# grep internal= /var/lib/pki-ca/conf/password.conf

6. 외부 갱신을 위한 인증서를 추적하도록 certmonger 를 구성합니다. 이를 위해서는 데이터베이스 PIN이 필요합니다.

   [root@rhel6 ~]# getcert start-tracking \
       -c dogtag-ipa-retrieve-agent-submit \
       -d /var/lib/pki-ca/alias \
       -n "auditSigningCert cert-pki-ca" \
       -B /usr/lib64/ipa/certmonger/stop_pkicad \
       -C '/usr/lib64/ipa/certmonger/restart_pkicad \
       "auditSigningCert cert-pki-ca"' \
       -T "auditSigningCert cert-pki-ca" \
       -P database_pin
   New tracking request "20201127184743" added.
   [root@rhel6 ~]# getcert start-tracking \
       -c dogtag-ipa-retrieve-agent-submit \
       -d /var/lib/pki-ca/alias \
       -n "ocspSigningCert cert-pki-ca" \
       -B /usr/lib64/ipa/certmonger/stop_pkicad \
       -C '/usr/lib64/ipa/certmonger/restart_pkicad \
       "ocspSigningCert cert-pki-ca"' \
       -T "ocspSigningCert cert-pki-ca" \
       -P database_pin
   New tracking request "20201127184744" added.
   [root@rhel6 ~]# getcert start-tracking \
       -c dogtag-ipa-retrieve-agent-submit \
       -d /var/lib/pki-ca/alias \
       -n "subsystemCert cert-pki-ca" \
       -B /usr/lib64/ipa/certmonger/stop_pkicad \
       -C '/usr/lib64/ipa/certmonger/restart_pkicad \
       "subsystemCert cert-pki-ca"' \
       -T "subsystemCert cert-pki-ca" \
       -P database_pin
   New tracking request "20201127184745" added.
   [root@rhel6 ~]# getcert start-tracking \
       -c dogtag-ipa-retrieve-agent-submit \
       -d /etc/httpd/alias \
       -n ipaCert \
       -C /usr/lib64/ipa/certmonger/restart_httpd \
       -T ipaCert \
       -p /etc/httpd/alias/pwdfile.txt
   New tracking request "20201127184746" added.

1. CA 서비스를 중지합니다.

   [root@rhel6 ~]# service pki-cad stop

2. rhel6.example.com 에서 CRL 생성을 비활성화합니다. /var/lib/pki-ca/CS.cfg 파일을 열고 ca.crl.MasterCRL.enableCRL.enableCRL .enableCRL.enableCRLUpdates 매개변수 값을 false 로 설정합니다.

   ca.crl.MasterCRL.enableCRLCache=false
   ca.crl.MasterCRL.enableCRLUpdates=false

3. CA 서비스를 시작합니다.

   [root@rhel6 ~]# service pki-cad start

1. /etc/httpd/conf.d/ipa-pki-proxy.conf 파일을 열고 RewriteRule 항목의 주석을 삭제합니다.

   RewriteRule ^/ipa/crl/MasterCRL.bin https://rhel6.example.com/ca/ee/ca/getCRL?op=getCRL&crlIssuingPoint=MasterCRL [L,R=301,NC]

   참고
   URL에서 서버 호스트 이름을 대체하지 마십시오. URL은 로컬 호스트 이름을 참조해야 합니다.
2. Apache를 다시 시작합니다.

   [root@rhel6 ~]# service httpd restart

1. D.4.1절. “Which Server가 인증서 갱신을 처리하는 변경” 에 설명된 대로 CA 하위 시스템 인증서 갱신을 처리하도록 rhel7.example.com 을 구성합니다.
2. 6.5.2.2절. “CRL을 생성하는 서버 변경” 에 설명된 대로 rhel7.example.com 을 일반 인증서 취소 목록(CRL)으로 구성합니다.

[root@server ~]# cat >keygen <<EOF
> %echo Generating a standard key
> Key-Type: RSA
> Key-Length:2048
> Name-Real: IPA Backup
> Name-Comment: IPA Backup
> Name-Email: root@example.com
> Expire-Date: 0
> %pubring /root/backup.pub
> %secring /root/backup.sec
> %commit
> %echo done
> EOF
[root@server ~]#

[root@server ~]# gpg --batch --gen-key keygen
[root@server ~]# gpg --no-default-keyring --secret-keyring /root/backup.sec \
		     --keyring /root/backup.pub --list-secret-keys

[root@server ~]# systemctl stop sssd

[root@server ~]# find /var/lib/sss/ ! -type d | xargs rm -f

[root@server ~]# systemctl start sssd

$ ipa automountlocation-add userdirs
Location: userdirs

$ ipa automountkey-add userdirs auto.direct --key=/share --info="-ro,soft, server.example.com:/home/share"

Key: /share
Mount information: -ro,soft, server.example.com:/home/share

1. provisionator 사용자 계정을 추가합니다.

   $ ipa user-add provisionator --first=provisioning --last=account --password

2. Provision ator 사용자에게 필요한 권한을 부여합니다.
   사용자 지정 역할 시스템 프로비저닝 을 생성하여 스테이지 사용자 추가를 관리합니다.

   $ ipa role-add --desc "Responsible for provisioning stage users" "System Provisioning"

   역할에 Stage User Provisioning 권한을 추가합니다. 이 권한은 스테이징 사용자를 추가할 수 있는 기능을 제공합니다.

   $ ipa role-add-privilege "System Provisioning" --privileges="Stage User Provisioning"

   Provision ator 사용자를 역할에 추가합니다.

   $ ipa role-add-member --users=provisionator "System Provisioning"

1. activator 사용자 계정을 추가합니다.

   $ ipa user-add activator --first=activation --last=account --password

2. 활성화 기 사용자에게 필요한 권한을 부여합니다.
   기본 사용자 관리자 역할에 사용자를 추가합니다.

   $ ipa role-add-member --users=activator "User Administrator"

$ ipa group-add service-accounts

$ ipa pwpolicy-add service-accounts --maxlife=10000 --minlife=0 --history=0 --minclasses=4 --minlength=20 --priority=1 --maxfail=0 --failinterval=1 --lockouttime=0

$ ipa group-add-member service-accounts --users={provisionator,activator}

$ kpasswd provisionator
$ kpasswd activator

# ipa-getkeytab -s example.com -p "activator" -k /etc/krb5.ipa-activation.keytab

#!/bin/bash

kinit -k -i activator

ipa stageuser-find --all --raw | grep "  uid:" | cut -d ":" -f 2 | while read uid; do ipa stageuser-activate ${uid}; done

# chmod 755 /usr/local/sbin/ipa-activate-all
# chown root:root /usr/local/sbin/ipa-activate-all

[Unit]
Description=Scan IdM every minute for any stage users that must be activated

[Service]
Environment=KRB5_CLIENT_KTNAME=/etc/krb5.ipa-activation.keytab
Environment=KRB5CCNAME=FILE:/tmp/krb5cc_ipa-activate-all
ExecStart=/usr/local/sbin/ipa-activate-all

[Unit]
Description=Scan IdM every minute for any stage users that must be activated

[Timer]
OnBootSec=15min
OnUnitActiveSec=1min

[Install]
WantedBy=multi-user.target

# systemctl enable ipa-activate-all.timer