Proxmox Domain Integration - Versionsgeschichte

Thomas.will: /* Auf allen PMXen */

2026-10-16T06:31:44Z

Auf allen PMXen

← Nächstältere Version		Version vom 16. Oktober 2026, 06:31 Uhr
Zeile 35:		Zeile 35:
	ldapsearch -xLLL -H ldaps://win2022.sec-labs.de -D ldap@sec-labs.de -w '123Start$' -b OU=spielwiese,DC=sec-labs,DC=de "(objectClass=user)" sAMAccountName		ldapsearch -xLLL -H ldaps://win2022.sec-labs.de -D ldap@sec-labs.de -w '123Start$' -b OU=spielwiese,DC=sec-labs,DC=de "(objectClass=user)" sAMAccountName
	Es sollten die Benutzer aus der OU spielwiese erscheinen.		Es sollten die Benutzer aus der OU spielwiese erscheinen.
			*Ein Test-script für alles
			wget https://xinux.de/downloads/script/ldap-test.sh
			bash ldap-test.sh

	=Anmerkung=		=Anmerkung=

Thomas.will: /* Einbinden in die Domain */

2026-10-16T06:30:12Z

Einbinden in die Domain

← Nächstältere Version		Version vom 16. Oktober 2026, 06:30 Uhr
Zeile 19:		Zeile 19:

	=Einbinden in die Domain=		=Einbinden in die Domain=
	{{#drawio:proxmox-domain.png\|~~500px~~}}		{{#drawio:proxmox-domain.png\|300px}}

	=Auf allen PMXen=		=Auf allen PMXen=

Thomas.will: /* Einbinden in die Domain */

2026-10-16T06:30:00Z

Einbinden in die Domain

← Nächstältere Version		Version vom 16. Oktober 2026, 06:30 Uhr
Zeile 19:		Zeile 19:

	=Einbinden in die Domain=		=Einbinden in die Domain=
	{{#drawio:proxmox-domain.png}}		{{#drawio:proxmox-domain.png\|500px}}

	=Auf allen PMXen=		=Auf allen PMXen=

Thomas.will: /* Maschine im VMM erstellen */

2026-10-16T06:29:37Z

Maschine im VMM erstellen

← Nächstältere Version		Version vom 16. Oktober 2026, 06:29 Uhr
Zeile 15:		Zeile 15:
	*NIC: auch auf Virtio stellen, Bridge: vmbr0		*NIC: auch auf Virtio stellen, Bridge: vmbr0
	*Booten		*Booten
			*User: Administrator
			*Pass: 123Start$

	=Einbinden in die Domain=		=Einbinden in die Domain=

Thomas.will: /* Auf allen PMXen */

2026-10-16T05:53:23Z

Auf allen PMXen

← Nächstältere Version		Version vom 16. Oktober 2026, 05:53 Uhr
Zeile 28:		Zeile 28:
	wget https://web.samogo.de/certs/win2022-ca.sec-labs.de.crt		wget https://web.samogo.de/certs/win2022-ca.sec-labs.de.crt
	update-ca-certificates		update-ca-certificates
	*DC als Nameserver eintragen
	~~echo "nameserver 10.0.10.109" > /etc/resolv.conf~~
	~~oder statisch:~~
	~~echo "10.0.10.109 win2022.sec-labs.de win2022" >> /etc/hosts~~
	*Zertifikat pruefen (muss "Verify return code: 0 (ok)" liefern)		*Zertifikat pruefen (muss "Verify return code: 0 (ok)" liefern)
	openssl s_client -connect win2022.sec-labs.de:636 </dev/null 2>/dev/null \| grep "Verify return"		openssl s_client -connect win2022.sec-labs.de:636 </dev/null 2>/dev/null \| grep "Verify return"

Thomas.will: /* Download */

2026-10-16T05:51:36Z

Download

@@ Zeile 3: / Zeile 3: @@
   cd /var/lib/libvirt/images
   wget http://host200:8000/win2022-ldap.qcow2
 =Einbinden in die Domain=

Thomas.will: /* Download */

2026-10-16T05:44:05Z

Download

← Nächstältere Version		Version vom 16. Oktober 2026, 05:44 Uhr
Zeile 2:		Zeile 2:
	sudo -i		sudo -i
	cd /var/lib/libvirt/images		cd /var/lib/libvirt/images
	wget http://~~192.168.<hs>.200~~:8000/~~win2k22-pmx~~-~~anbindung.tar.zst~~		wget http://host200:8000/win2022-ldap.qcow2
	~~tar -I unzstd -xvf win2k22-pmx-anbindung.tar~~.~~zst~~

	=Einbinden in die Domain=		=Einbinden in die Domain=

Thomas.will am 15. Oktober 2026 um 17:03 Uhr

2026-10-15T17:03:23Z

← Nächstältere Version		Version vom 15. Oktober 2026, 17:03 Uhr
Zeile 102:		Zeile 102:
	syncing users (remove-vanished opts: none)		syncing users (remove-vanished opts: none)
	updating user 'dagobert@spielwiese'		updating user 'dagobert@spielwiese'
			updating user 'dewey@spielwiese'
	updating user 'donald@spielwiese'		updating user 'donald@spielwiese'
			updating user 'huey@spielwiese'
	updating user 'ldap@spielwiese'		updating user 'ldap@spielwiese'
	updating user '~~tac@spielwiese'~~		updating user 'louie@spielwiese'
	~~updating user 'tic@spielwiese'~~
	~~updating user 'trick~~@spielwiese'
	syncing groups (remove-vanished opts: none)		syncing groups (remove-vanished opts: none)
	updating group 'GG_Admins-spielwiese'		updating group 'GG_Admins-spielwiese'

Thomas.will am 15. Oktober 2026 um 17:02 Uhr

2026-10-15T17:02:09Z

@@ Zeile 96: / Zeile 96: @@
 ==Preview sollte so aussehen==
-[[Datei:Pmx-ldap1.png]]
+Datacenter -> Permissions -> Realms -> spielwiese -> Sync -> Preview
 Die Gruppen heißen in Proxmox danach <Gruppe>-<Realm>, also z.B. GG_Benutzer-spielwiese.
 ==Danach Syncen==
-[[Datei:Pmx-ldap2.png]]
+Datacenter -> Permissions -> Realms -> spielwiese -> Sync -> Sync
 ==Realm Sync Job nach Bedarf==
-[[Datei:Pmx-ldap3.png]]
+Datacenter -> Realm Sync Jobs -> Add
 ==Benutzerberechtigung==
 *Gehe zu: Datacenter -> Permissions -> Add -> Group Permission
-[[Datei:Pmx-ldap4.png]]
+{| class="wikitable"
 =Rollen für GG_Benutzer: Gucken auf alles, Schalten einer VM=

Thomas.will am 15. Oktober 2026 um 16:59 Uhr

2026-10-15T16:59:57Z

← Nächstältere Version		Version vom 15. Oktober 2026, 16:59 Uhr
Zeile 7:		Zeile 7:
	=Einbinden in die Domain=		=Einbinden in die Domain=
	{{#drawio:proxmox-domain.png}}		{{#drawio:proxmox-domain.png}}

	=Auf allen PMXen=		=Auf allen PMXen=
	*~~SUDO~~		*Root werden
	sudo		sudo -i
	*LDAP utils installieren		*LDAP utils installieren
	apt install ldap-utils		apt install ldap-utils
Zeile 19:		Zeile 20:
	echo "nameserver 10.0.10.109" > /etc/resolv.conf		echo "nameserver 10.0.10.109" > /etc/resolv.conf
	oder statisch:		oder statisch:
	echo "10.0.10.~~100~~ win2022.sec-labs.de win2022" >> /etc/hosts		echo "10.0.10.109 win2022.sec-labs.de win2022" >> /etc/hosts
			*Zertifikat pruefen (muss "Verify return code: 0 (ok)" liefern)
			openssl s_client -connect win2022.sec-labs.de:636 </dev/null 2>/dev/null \| grep "Verify return"
	*LDAPS-Funktion testen		*LDAPS-Funktion testen
	ldapsearch -xLLL + -H ldaps://win2022.sec-labs.de -D ldap@sec-labs -w 123Start$ -b dc=sec-labs,dc=de		ldapsearch -xLLL -H ldaps://win2022.sec-labs.de -D ldap@sec-labs.de -w '123Start$' -b OU=spielwiese,DC=sec-labs,DC=de "(objectClass=user)" sAMAccountName
			Es sollten die Benutzer aus der OU spielwiese erscheinen.

	=Anmerkung=		=Anmerkung=
	AGDLP ist ein Gruppen- und Berechtigungsmodell in Microsoft Active Directory. Dabei werden Benutzerkonten (Accounts) zunächst Globalen Gruppen (Global Groups) zugeordnet, diese wiederum in Domänenlokale Gruppen (Domain Local Groups) geschachtelt, die schließlich Berechtigungen (Permissions) auf Ressourcen erhalten. Dieses Modell erlaubt eine saubere Trennung von Benutzerverwaltung und Rechtevergabe – funktioniert aber in Proxmox nicht, da verschachtelte Gruppen dort nicht aufgelöst werden.		AGDLP ist ein Gruppen- und Berechtigungsmodell in Microsoft Active Directory. Dabei werden Benutzerkonten (Accounts) zunächst Globalen Gruppen (Global Groups) zugeordnet, diese wiederum in Domänenlokale Gruppen (Domain Local Groups) geschachtelt, die schließlich Berechtigungen (Permissions) auf Ressourcen erhalten. Dieses Modell erlaubt eine saubere Trennung von Benutzerverwaltung und Rechtevergabe - funktioniert aber in Proxmox nicht, da verschachtelte Gruppen dort nicht aufgelöst werden.

			Deshalb werden die Rechte in Proxmox direkt an die '''globalen Gruppen''' (GG_...) vergeben, in denen die Benutzer unmittelbar Mitglied sind.

	=Anbinden der AD über LDAP (LDAPS)=		=Anbinden der AD über LDAP (LDAPS)=
	*Proxmox WebGUI öffnen		*Proxmox WebGUI öffnen
	*Gehe zu: Datacenter → Permissions → Realms → Add: LDAP		*Gehe zu: Datacenter -> Permissions -> Realms -> Add: LDAP
	==LDAP-Konfiguration – Reiter ~~„General“~~==
			==LDAP-Konfiguration - Reiter "General"==
	{\| class="wikitable"		{\| class="wikitable"
	! Feld !! Wert		! Feld !! Wert
Zeile 41:		Zeile 48:
	\| Mode \|\| LDAPS		\| Mode \|\| LDAPS
	\|-		\|-
	\| Base Domain Name \|\| OU=spielwiese,DC=~~lab~~,DC=~~int~~		\| Base Domain Name \|\| OU=spielwiese,DC=sec-labs,DC=de
	\|-		\|-
	\| User Attribute \|\| sAMAccountName		\| User Attribute \|\| sAMAccountName
	\|-		\|-
	\| Verify Certificate \|\| (~~aktivieren, falls~~ CA importiert ~~wurde~~)		\| Verify Certificate \|\| aktivieren (CA wurde oben importiert)
	\|-		\|-
	\| Require TFA \|\| none		\| Require TFA \|\| none
Zeile 73:		Zeile 80:
	\|}		\|}

	==Realm Sync – Felder zum Ausfüllen==		==Realm Sync - Felder zum Ausfüllen==
	{\| class="wikitable"		{\| class="wikitable"
	! Feld \|\| Wert		! Feld !! Wert
	\|-		\|-
	\| Scope \|\| Users and Groups		\| Scope \|\| Users and Groups
Zeile 87:		Zeile 94:
	\| Remove Properties \|\| deaktiviert lassen		\| Remove Properties \|\| deaktiviert lassen
	\|}		\|}

	==Preview sollte so aussehen==		==Preview sollte so aussehen==
	[[Datei:Pmx-ldap1.png]]		[[Datei:Pmx-ldap1.png]]

			Die Gruppen heißen in Proxmox danach <Gruppe>-<Realm>, also z.B. GG_Benutzer-spielwiese.

	==Danach Syncen==		==Danach Syncen==
	[[Datei:Pmx-ldap2.png]]		[[Datei:Pmx-ldap2.png]]

	==Realm Sync Job nach Bedarf==		==Realm Sync Job nach Bedarf==
	[[Datei:Pmx-ldap3.png]]		[[Datei:Pmx-ldap3.png]]

	==Benutzerberechtigung==		==Benutzerberechtigung==
	*Gehe zu: Datacenter → Permissions → Add → Group Permission		*Gehe zu: Datacenter -> Permissions -> Add -> Group Permission
	[[Datei:Pmx-ldap4.png]]		[[Datei:Pmx-ldap4.png]]

	=Rollen für ~~LG_Benutzer~~: Gucken auf alles, Schalten einer VM=		=Rollen für GG_Benutzer: Gucken auf alles, Schalten einer VM=

	==1. ~~Rollen~~ anlegen (einmalig auf einem Proxmox-Host)==		==1. Rolle anlegen (einmalig auf einem Proxmox-Host)==
	Auf einem beliebigen Cluster-Knoten als root:		Auf einem beliebigen Cluster-Knoten als root:
			pveum roleadd VMPowerOnly -privs "VM.PowerMgmt VM.Audit"

	~~<pre>~~		Für das reine Anschauen wird die eingebaute Rolle '''PVEAuditor''' verwendet, dafür muss keine eigene Rolle angelegt werden.
	~~pveum roleadd ReadOnly -privs "VM~~.~~Audit"~~
	~~pveum roleadd VMPowerOnly -privs "VM.PowerMgmt VM.Audit"~~
	~~</pre>~~

	==2. Rechte auf alle VMs zum Anschauen geben==		==2. Rechte auf alle VMs zum Anschauen geben==
	Alle Benutzer der Gruppe '''~~LG_Benutzer~~''' dürfen den Status aller VMs sehen:		Alle Benutzer der Gruppe '''GG_Benutzer''' dürfen den Status aller VMs sehen:

	*WebGUI: Datacenter → Permissions → Add

			*WebGUI: Datacenter -> Permissions -> Add -> Group Permission
	<pre>		<pre>
	~~User~~: spielwiese~~\LG_Benutzer~~		Path: /
	Role: ~~ReadOnly~~		Group: GG_Benutzer-spielwiese
	~~Path~~: /		Role: PVEAuditor
			Propagate: aktiviert
	</pre>		</pre>

	==3. Rechte zum Ein-/Ausschalten einer bestimmten VM geben==		==3. Rechte zum Ein-/Ausschalten einer bestimmten VM geben==
	Zusätzliche Rechte nur für z. B. VM 101 (Start, Stop, Shutdown):		Zusätzliche Rechte nur für z.B. VM 101 (Start, Stop, Shutdown):

	*WebGUI: Datacenter → Permissions → Add

			*WebGUI: Datacenter -> Permissions -> Add -> Group Permission
	<pre>		<pre>
	~~User~~: spielwiese~~\LG_Benutzer~~		Path: /vms/101
	Role: VMPowerOnly		Group: GG_Benutzer-spielwiese
	~~Path: /vms/101~~		Role: VMPowerOnly
	</pre>		</pre>

	==Ergebnis==		==Ergebnis==
	* '''~~LG_Benutzer~~''' ~~sieht~~ alle VMs im Webinterface		*Mitglieder von '''GG_Benutzer''' sehen alle VMs im Webinterface
	* Nur bei VM 101 ist der Power-Button aktiv		*Nur bei VM 101 ist der Power-Button aktiv
	* Kein Zugriff auf Konsole, Snapshot, Konfiguration oder andere Aktionen		*Kein Zugriff auf Konsole, Snapshot, Konfiguration oder andere Aktionen