Part 1: Configuració del Servidor LDAP
1.1. Configuració Prèvia del Sistema
Abans d’instal·lar el servei, s’ha configurat la xarxa i el nom de la màquina per assegurar la connectivitat.
Configuració IP del server, host i hostname:
Configurem una IP fixa mitjançant la GUI. Després podem comprovar si s’han aplicat els canvis.
Configurem el hostname (el nom de la màquina) a un nom identificador.
A /etc/hosts ja començem a definir el nostre domini “gina.cat”.
Part 2: Instal·lació d’LDAP
2.1. Instal·lació
S’han instal·lat els paquets slapd i ldap-utils. Durant la instal·lació s’ha definit el domini base.
2.2. Comprovació
Amb slapcat comprovem la configuració actual.
Part 3: Estructura del Directori (OUs)
3.1 Estructura lògica
Descarreguem els arxius .ldif per establir l’estructura.
Descomprimim el .zip
Part 4: Configuració de sldap.
4.1 Instal·lació
Un cop hem executat el .ldif podem configurar sldap amb dpkg –reconfigure. Configurem segons les nostres necesitats.
4.2 Comprovació
Comprovem configuracions amb slapcat.
Part 5: Dominis i UOs
5.1 Instal·lació fitxers de configuració
Afegim els fitxers de configuració .ldif descomprimits del .zip.
5.2 Estructura dels fitxers. UOs, Grups i Usuaris.
Unitat organitzativa USERS.
Grups.
Usuaris.
5.3 Comprovació amb slapcat
Part 6: Configuració al entorn client
6.1 Instal·lació
Instal·lem els paquets clients del ldap.
6.2 Configuració
Configurem els paquets descarregats segons les necessitats del usuari.
S’hauria de configurar un usuari sense privilegis, però per aquesta pràctica ho farem amb admin.
6.3 Reconfiguració
En cas de trobar-nos amb algún error podem reconfigurar amb dpkg –reconfigure ldap-auth-config
6.4 Modificació del fitxer nsswitch
Afegim ldap compat per què primer vagi a comprovar al ldap per fer l’autenticació.
6.5 Modificació del fitxer pam.d/common-session
Afegim l’última linea al fitxer.
Borrem “authtok” en aquest apartat on aparegui.
6.6 Modificació fitxer 50-ubuntu.conf
Per iniciar sessió gràficament hem d’afegir el greeter. Però per comandes ja podriem fer-ho sense afegir això.
6.7 Prova d’inici de sesssió.
Intentem iniciar sessió per terminal
Iniciem gràficament.
Part 7: Instal·lació de Apache Directory Studio
7.1 Instal·lació, configuració i creació d’usuari en ADS.
Instal·lem JAVA. Després comprovem que s’ha instal·lat correctament amb java -version.
Descarreguem el paquet tar.gz de la pàgina oficial. El descomprimim.
Copiem el descomprimit a la ruta /opt.
Donem permissos
Comprovem la ubicació de Java, descomentem aquestes dues linies de l’arxiu ini i editem segons la ubicació. Ens hem de fixar en la versió de java que tenim instal·lada.
Anem a la carpeta /usr/share/applications i creem un archiu apachedirectorystudio.desktop per tenir un accés directe a la interficie gràfica.
Otorguem permissos d’escriptura al arxiu i el editem.
Afegim la informació de la aplicació. Desem i surtim.
Executem aquesta comanda per tornar al mode desktop o premem Ctrl + Alt + F1.
Anem al calaix d’aplicacions i trobarem la drecera. Iniciem el programa
Anem al desplegable de LDAP i creem una nova connexió.
Afegim la IP del server i un nom distintiu.
Busquem l’usuari administrador del domini.
Afegim l’usuari amb el domini i comprovem la autenticació.
Un cop establerta la connexió veurem el panell del nostre servidor LDAP.
Per crear una UO fem click esquerre sobre dc=gina dc=cat i creem una nova entrada.
La creem de zero.
Busquem “organizationalUnit” i l’afegim.
En el desplegable busquem “ou” i creem la unitat “classe”.
Ara ja ens apareixerà la unitat organitzativa.
Per crear un usuari dins de la UO seguim els mateixos passos però des de la nova UO.
Sel·lecionem el tipus inetOrgPerson.
A RDN sel·lecionem “UID” i creem el nom d’usuari.
Un cop configurem els paràmetres del usuari podem configurar una contrasenya. Fem click esquerrre i fem “New Attribute”.
Busquem “userPassword” i fem click sobre Next.
Configurem la contrasenya, i per més seguretat, sel·lecionem el mètode de hash a CRYPT-SHA-512 per no guardar el text en pla.
Ara ja tenim l’usuari configurat. Ja podem acabar.
Podem comprovar que ja apareix l’usuari.
7.2 Comprovació en entorn client.
Fem click sobre “Not listed?”, escrivim l’usuari i la contrasenya que hem creat.
Anem al terminal i executem whoami per veure l’usuari actual.
Part 8: Activitat.
- Fes un dpkg-reconfigure slapd al servidor per tal de deixar la base de dades buida i només amb el domini i l’usuari admin creat. Comprova-ho amb un slapcat.
Diem que no volem ometre la configuració del server OpenLDAP.
Configurem el domini gina.cat.
El nom de la organització.
Contrasenya d’admin,
Li diem que volem que la base de dades s’elimini,
Movem els fitxers de la base de dades anterior per no causar discrepàncies amb la BD nova.
Esperem que acabi.
Ja no tenim cap usuari o grups dels que teniem abans creats.
- Descarrega l’arxiu dades_pt10.ldif del moodle i amb la comanda ldapadd carrega els usuaris, grups i uos (Compte que el domini és vesper.cat, hauràs de modificar-lo pel teu).
El domini del meu server és gina.cat, per tant, he de canviar vesper a dc=vesper per dc=gina.
Un cop hem guardat d’arxiu executem ldapadd -x -D “cn=admin,dc=gina,dc=cat” -W -f dades_V2.ldif per executar l’arxiu.
- Fes un altre slapcat per tal de comprovar que les dades s’han carregat correctament.
1. Crea un nou usuari directament al domini.
Creem un arxiu ldif i definim els paràmetres per a l’usuari joan.
Apliquem l’arxiu que acabem de crear.
Comprovem amb slapcat. Podem veure que ja tenim l’usuari joan i la seva carpeta home.
2. Crea una nova uo anomenada nòmines.
Creem l’arxiu uo_nomines.ldif amb els paràmetres de la nova UO.
Apliquem l’arxiu amb ldapadd.
3. Mou l’usuari que has creat dintre de la uo nòmines.
Amb la comanda ldapmodrdn movem l’usuari joan dins de nòmines. L’últim argument “cn=joan” indica que mantenim el mateix nom relatiu.
Comprovem amb slapcat.
4. Quants grups hi ha al domini gina.cat?
Segons la comanda ldapsearch tenim 2; informatica i administracio.
5. Afegeix l’usuari que has creat dintre d’un dels grups del domini.
Creem un arxiu indicant que volem modificar el grup de l’usuari joan i l’afegim al grup d’informàtica.
L’executem.
6. D’un sol cop: Afegeix un nou atribut opcional a l’usuari sergi, modifica el cognom de l’usuari sergi al valor Pallarés.
Hem d’afegir un atribut opcional (per exemple description) i canviar el cognom (sn) a “Pallarés”. Creem l’arxiu ldif.
L’apliquem.
7. Quants usuaris hi ha dintre de la uo rrhh? Quins són?
Amb la comanda ldapsearch li diem que ens mostri tots els usuaris (cn) a la uo rrhh. Tenim 3; xavier, enric i sergi.
8. Esborra el gidNumber del grup informàtica.
Creem aquest arxiu ldif indicant que volem esborrar el gidNumber del grup informatica.
No ens haurà funcionat perquè l’objectClass posixGroup obliga a tenir un gidNumber.
9. Quantes uos hi ha al domini gina.cat?
Amb la comanda ldapsearch i indicant-li objectClass=organizationalUnit veurem totes les UOs de gina.cat. Tenim 3; rrhh, departaments i nomines.
10. Modifica el cn de Xavier per Francesc Xavier.
Això és un canvi de RDN (Relative Distinguished Name). Amb ldapmodrdn ho podrem fer. Un cop executada la comanda, comprovem amb slapcat.
11. Esborra la uo nòmines.
LDAP no permet esborrar una UO si no està buida. Primer hem d’esborrar (o moure) l’usuari joan que hi ha dins.
Esborrem l’usuari joan.
Comprovem que s’ha esborrat correctament. Com que no ens ha retornat cap informació, ja s’ha esborrat.
Esborrem la uo nòmines i comprovem que efectivament, s’ha esborrat.
12. Mostra els usuaris que tinguin com a grup principal el grup administració.
El grup Administració té el GID 1002. Cerquem usuaris amb aquest gidNumber. L’usuari que busquem és sergi.
13. Quin usuari té el uidNumber 1003?
Cap usuari. Al fitxer original els UIDs salten del 1002 (Enric) al 1004 (Sergi).
14. Mostra quins són els usuaris on el seu cognom comenci per R i el seu uidNumber sigui més gran que 1003.
El filtre per “més gran que” (>) no és estàndard en filtres simples, es fa servir “més gran o igual” (>=). Si no haguéssim fet el pas 6 sortiria en Sergi (sn=Reus, uid=1004). En aquest cas no surt res.
15. Mostra quins usuaris formen part del grup informàtica o aquells usuaris que tinguis de cognom Pallarés.
El grup informàtica té GID 1001. Filtre: (GID=1001) OR (sn=Pallarés). Els usuaris buscats són: Francesc Xavier GID 1001, Enric GID 1001 i Sergi GID 1002 (amb cognom Pallarés).
Part 9: Configuració de SAMBA.
9.1 Què és un servidor Samba?
Un servidor Samba és un servei que permet compartir recursos dins d’una xarxa, especialment:
- Fitxers
- Carpetes
- Impressores
L’objectiu és que diferents ordinadors de la mateixa xarxa puguin accedir a aquests recursos com si fossin comparticions de xarxa normals (per exemple, una carpeta comuna).
Diferència entre Samba i NFS
La diferència principal és com es controla l’accés:
Samba
- L’autenticació es fa per usuaris.
- Es pot fer amb:
- usuaris locals (usuari/contrasenya al servidor)
- o amb un sistema centralitzat com LDAP (gestió d’usuaris a la xarxa)
NFS
- L’accés es controla principalment per IP (o rang d’IPs).
- És a dir, depèn més de des d’on et connectes que no pas de quin usuari ets.
Compatibilitat
Un punt clau és que Samba és compatible amb Windows i Linux:
- A Windows es veu com una carpeta compartida típica.
- A Linux també es pot muntar i utilitzar sense problemes.
9.2 Creació del server SAMBA. Configuració d’usuaris a través d’LDAP.
Instal·lem el paquet samba si no el tenim instal·lat. Creem una carpeta la qual compartirem en el recurs compartit.
Donem permisos de lectura-escriptura a la carpeta.
Generem un arxiu de prova amb text dins.
Creem els usuaris que utilitzaran el servei compartit (roig, blau i groc).
Executem l’arxiu i ja tindrem els usuaris creats. A mi em diu que ja existeixen, però si es fa de 0 no apareixerà aquest error.
Registrem els usuaris a SAMBA. Encara que estiguin a LDAP, hem d’avisar a Samba que aquests usuaris tenen permís per entrar i assignar-los una contrasenya.
Configurem que el SAMBA vagi a comprovar els usuaris al server LDAP i no a /etc/passwd.
Configurem el recurs compartit. Indiquem la ruta de la carpeta i, entre altres paràmetres, els usuaris que poden fer cada cosa (escriure, llegir, accedir o directament no poden entrar).
Samba necessita saber la contrasenya del cn=admin per poder parlar amb l’LDAP.
Comprovem si tenim l’esquema. En el meu cas no el tinc.
Anem a la ruta següent i busquem l’arxiu samba.ldif.
Afegim l’esquema.
Reiniciem els serveis slapd i smb. Tornem a activar els usuaris per a LDAP.
Comprovem que l’usuari groc no pot entrar, tal com ho hem configurat en el apartat invalid users.
Veiem que l’usuari blau pot crear carpetes i navegar per dins del directori.
Entrem a l’explorador d’arxius i entrem com l’usuari blau.
Veurem les carpetes que veiem a través de la consola.
Entrem dins de l’arxiu i tornem a posar la contrasenya de l’usuari blau.
Veiem que podem escriure i guardar.
També podem borrar la carpeta que hem creat abans.
Si entrem amb l’usuari roig veiem que podem accedir i navegar.
No podrem crear carpetes ja que hem configurat que roig només pugui llegir.
Descarreguem l’arxiu al nostre ordinador.
Modifiquem l’arxiu i el guardem.
Intentem reescriure (editar) l’arxiu i comprovem que l’usuari roig no té permís per fer-ho.
Si intentem esborrar l’arxiu no ens deixarà per la restricció que li hem aplicat.
9.3 Creació del server SAMBA. Configuració d’usuaris dins del server.
Instal·lem el paquet samba amb sudo apt install samba.
Creem la carpeta proves i donem permis 777. Creem un arxiu hola i comprovem els permissos read write.
Creem els usuaris blau, roig i groc. Els configurem de forma que no puguin accedir amb una sessió i només funcionin per a samba.
Creem el grup color
Afegim els usuaris al grup que hem creat abans.
Comprovem que s’han creat els usuaris i estan dins del grup color.
Configurem contrasenyes per als usuaris samba.
A l’arxiu smb.conf (/etc/samba/smb.conf) configurem el recurs compartit. Aqui podem tots els recursos compartits. Afegim la configuració al final del arxiu.
Sempre que modifiquem l’arxiu hem de reiniciar el servei.
8.4 Accés al servidor samba des de l’entorn client.
Instal·lem el paquet smbclient amb sudo apt install smbclient.
Comprovem connectivitat amb el server.
Entrem a l’explorador d’arxius i entrem l’adreça samba del nostre servidor.
Primer entrem amb l’usuari anònim. Hem de veure que no podrem editar l’arxiu.
Amb l’usuari roig no podrem entrar. Si intentem fer-ho ens rebotarà a la mateixa pantalla,
Amb l’usuari blau podrem entrar i modificar l’arxiu.
Part 10: Configuració del servidor NFS.
10.1 Què és un servidor NFS?
Teoria NFS (Network File System)
- NFS és un protocol per compartir fitxers i directoris a través de la xarxa (sobretot en LAN).
- Permet que un client munti un directori remot com si fos una carpeta local.
Què comparteix
- Directoris i fitxers
- No està pensat per compartir impressores (a diferència de Samba)
Autenticació i control d’accés
- L’accés es controla principalment a nivell de host (IP/xarxa autoritzada), no d’usuari.
- Els permisos s’apliquen segons permisos Linux/Unix (propietari, grup, UID/GID).
Compatibilitat
- Pot ser utilitzat per clients Linux i Windows (segons configuració/servei habilitat).
10.2 NFS sense LDAP
Linux
Instal·lem el paquet nfs-kernel-server
Creem una carpeta de prova i donem permissos 777. Després otorguem la propietat a ningú.
Configurem l’arxiu de configuració per NFS. És l’equivalent al smb.conf.
Afegim a l’última fila la ruta de la carpeta compartida. *= tots poden accedir, si podem IP només poden accedir les IP que sellecionem. Es la base on es decideix a qui se li comparteix o no. rw = read write, sync=sincronitzar, no_subtree_check=que no el puguem trobar i haguem d’entrar manualment.
Cada vegada que fem canvis hem de reiniciar el servei. Comprovem que s’ha iniciat correctament.
Un cop reiniciat creem un arxiu de prova dins de la carpeta.
Al client, instal·lem els paquets nfs-common i rpcbind.
Creem una carpeta on es muntarà la ruta del NFS.
Editem l’arxiu fstab i afegim la ruta del server perquè es munte la ruta cada vegada que iniciem el sistema.
Un cop hem reiniciat l’ordinador, si entrem a la carpeta que hem creat veurem l’arxiu.
Windows
Entrem al Tauler de Control > Programes > Activar i desactivar funcionalitats de Windows. Després activem els serveis d’NFS.
Executem la comanda mount -o anon \(IP SERVER)(CARPETA SERVER) Z: per montar la ruta a la lletra Z.
Amb la comanda mount podrem veure les rutes montades.
Si entrem al explorador d’arxius veurem la nova entrada Z:
Si entrem veurem l’arxiu hola.
10.3 NFS amb LDAP
Creem una carpeta on s’allotjaran les homes de tots els usuaris. Si aquests no tenen permís al seu home, no podrian accedir.
Afegim la ruta de les homes al /etc/exports
Reiniciem el servei.
Al client, creem les carpetes per a les homes i editem l’arxiu fstab.
Afegim la ruta del server perquè es munti automàticament cada vegada que iniciem el ordinador.
Editem l’arxiu usu.ldif i configurem l’usuari marcel.
Apliquem l’arxiu ldif amb ldapapp
Si entrem a la carpeta homes, veurem que l’usuari marcel encara no ha entrat ja que no hi ha cap carpeta home seva.
Comprovem que podem entrar i veiem l’usuari actual amb whoami.