Linux - Netzwerk und Serveradminstration LDAP: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
Zeile 26: Zeile 26:
 
*[[Anpassen des Debian Templates]]
 
*[[Anpassen des Debian Templates]]
  
−
== zentrale Benutzerverwaltung ==
+
= Zentrale Benutzerverwaltung: Konzepte und Komponenten =
−
* Benutzer sollen sich überall mit ihren eigenen Konto anmelden können ohne, dass dieses Konto jedes mal neu angelegt werden muss
 
−
* Linux kann für die Benutzerauthentifizierung verschiedene Quellen verwenden
 
−
* Neben der lokalen Datei ''/etc/passwd'' soll zusätzlich eine [[:Kategorie:LDAP|LDAP]]-Datenbank für zusätzliche Benutzerkonten befragt werden
 
−
* Die Einträge zu bestimmten Systemkategorien können mit dem Befehl '''getent''' abgefragt werden
 
−
* '''getent passwd''' ''# sollte lokale und LDAP-Konten anzeigen''
 
−
*LDAP Server Verwaltung über [[ldapscripts]]
 
−
* Der LDAP-Server der Domäne soll automatisch über [[LDAP SRV Record|SRV-Einträge]] auf dem DNS Server gefunden werden können
 
−
* Alle Hosts aus dem VirtualBox-Labor sollen an den LDAP-Server gebunden werden
 
  
 +
== LDAP (Lightweight Directory Access Protocol) ==
 +
* Fungiert als die "Single Source of Truth" im Netzwerk.
 +
* Speichert Benutzerobjekte, Passwörter, Gruppen und Berechtigungen zentral in einer Baumstruktur (DIT).
 +
* Ersetzt die Notwendigkeit, auf jedem einzelnen Server lokale Konten in /etc/passwd oder /etc/shadow zu pflegen.
 +
* Bietet Skalierbarkeit und standardisierte Abfragemöglichkeiten für alle angebundenen Dienste.
 +
 +
== NSS (Name Service Switch) ==
 +
* Die zentrale Schaltstelle im Linux-System für die Namensauflösung.
 +
* Konfiguriert in der Datei /etc/nsswitch.conf.
 +
* Legt fest, in welcher Reihenfolge das System nach Informationen (Benutzer, Gruppen, Hosts) sucht.
 +
* Ermöglicht es Programmen wie "ls" oder "getent", LDAP-Benutzer so zu behandeln, als wären sie lokal auf dem System vorhanden.
 +
 +
== PAM (Pluggable Authentication Modules) ==
 +
* Ein modulares Framework zur Authentifizierung von Benutzern.
 +
* Trennt die Anwendung (z. B. SSH-Login oder grafische Anmeldung) von der Authentifizierungsmethode.
 +
* Erlaubt dynamische Prüfungen: Ist das Passwort korrekt? Ist das Konto gesperrt? Muss ein Home-Verzeichnis beim ersten Login erstellt werden (pam_mkhomedir)?
 +
* Sorgt dafür, dass Anwendungen nicht wissen müssen, ob sie gegen LDAP oder eine lokale Datei prüfen.
 +
 +
== SSSD (System Security Services Daemon) ==
 +
* Das moderne Bindeglied zwischen dem lokalen System und dem Verzeichnisdienst.
 +
* Bietet Offline-Caching: Benutzer können sich auch anmelden, wenn der LDAP-Server kurzzeitig nicht erreichbar ist.
 +
* Reduziert die Last auf dem LDAP-Server durch effizientes Buffering von Abfragen.
 +
* Übernimmt die automatische Server-Suche (Service Discovery) über DNS SRV Records.
 +
 +
== Sudo via LDAP ==
 +
* Verlagert die Sudo-Regeln aus der lokalen Datei /etc/sudoers in das LDAP-Verzeichnis.
 +
* Ermöglicht eine rollenbasierte Rechtevergabe für das gesamte Labor an einer zentralen Stelle.
 +
* SSSD fungiert hier als Vermittler, der die Sudo-Regeln aus dem LDAP liest und lokal zur Verfügung stellt.
 +
 +
== TLS (Transport Layer Security) ==
 +
* Stellt die Vertraulichkeit und Integrität der Daten sicher.
 +
* Verschlüsselt die Kommunikation zwischen Client (SSSD/LDAP-Utils) und dem LDAP-Server.
 +
* Verhindert das Abgreifen von Passwörtern (Sniffing) im Netzwerk.
 +
* Validiert die Identität des LDAP-Servers gegenüber den Clients mittels Zertifikaten.
  
 
==Konfigurationen==
 
==Konfigurationen==
 
*[[Openldap-linux-pam-nss]]
 
*[[Openldap-linux-pam-nss]]
 
*[[LDAP Client SSSD - Netzwerk und Serveradministration]]
 
*[[LDAP Client SSSD - Netzwerk und Serveradministration]]

Version vom 2. April 2026, 10:18 Uhr

LDAP Server

Vorbereitungen

DATEN

Parameter Wert Erläuterung
Netzwerk (NIC) SERVER Interface-Zuweisung in VirtualBox
IP 10.2XX.1.3 Statische IP
CIDR 24 Classless Inter-Domain Routing Präfixlänge
GW 10.2XX.1.1 GATEWAY
NS 10.88.2XX.21 Resolver
FQDN ldap.it2XX.int Fully Qualified Domain Name
SHORT ldap baShort Name
DOM it2XX.int Domain Name
Anpassen des Templates

Zentrale Benutzerverwaltung: Konzepte und Komponenten

LDAP (Lightweight Directory Access Protocol)

  • Fungiert als die "Single Source of Truth" im Netzwerk.
  • Speichert Benutzerobjekte, Passwörter, Gruppen und Berechtigungen zentral in einer Baumstruktur (DIT).
  • Ersetzt die Notwendigkeit, auf jedem einzelnen Server lokale Konten in /etc/passwd oder /etc/shadow zu pflegen.
  • Bietet Skalierbarkeit und standardisierte Abfragemöglichkeiten für alle angebundenen Dienste.

NSS (Name Service Switch)

  • Die zentrale Schaltstelle im Linux-System für die Namensauflösung.
  • Konfiguriert in der Datei /etc/nsswitch.conf.
  • Legt fest, in welcher Reihenfolge das System nach Informationen (Benutzer, Gruppen, Hosts) sucht.
  • Ermöglicht es Programmen wie "ls" oder "getent", LDAP-Benutzer so zu behandeln, als wären sie lokal auf dem System vorhanden.

PAM (Pluggable Authentication Modules)

  • Ein modulares Framework zur Authentifizierung von Benutzern.
  • Trennt die Anwendung (z. B. SSH-Login oder grafische Anmeldung) von der Authentifizierungsmethode.
  • Erlaubt dynamische Prüfungen: Ist das Passwort korrekt? Ist das Konto gesperrt? Muss ein Home-Verzeichnis beim ersten Login erstellt werden (pam_mkhomedir)?
  • Sorgt dafür, dass Anwendungen nicht wissen müssen, ob sie gegen LDAP oder eine lokale Datei prüfen.

SSSD (System Security Services Daemon)

  • Das moderne Bindeglied zwischen dem lokalen System und dem Verzeichnisdienst.
  • Bietet Offline-Caching: Benutzer können sich auch anmelden, wenn der LDAP-Server kurzzeitig nicht erreichbar ist.
  • Reduziert die Last auf dem LDAP-Server durch effizientes Buffering von Abfragen.
  • Übernimmt die automatische Server-Suche (Service Discovery) über DNS SRV Records.

Sudo via LDAP

  • Verlagert die Sudo-Regeln aus der lokalen Datei /etc/sudoers in das LDAP-Verzeichnis.
  • Ermöglicht eine rollenbasierte Rechtevergabe für das gesamte Labor an einer zentralen Stelle.
  • SSSD fungiert hier als Vermittler, der die Sudo-Regeln aus dem LDAP liest und lokal zur Verfügung stellt.

TLS (Transport Layer Security)

  • Stellt die Vertraulichkeit und Integrität der Daten sicher.
  • Verschlüsselt die Kommunikation zwischen Client (SSSD/LDAP-Utils) und dem LDAP-Server.
  • Verhindert das Abgreifen von Passwörtern (Sniffing) im Netzwerk.
  • Validiert die Identität des LDAP-Servers gegenüber den Clients mittels Zertifikaten.

Konfigurationen

Abgerufen von „http://wiki.ixheim.de/index.php?title=Linux_-_Netzwerk_und_Serveradminstration_LDAP&oldid=68313“