Proxmox Domain Integration
Download
sudo -i cd /var/lib/libvirt/images wget http://192.168.<hs>.200:8000/win2k22-pmx-anbindung.tar.zst tar -I unzstd -xvf win2k22-pmx-anbindung.tar.zst
Einbinden in die Domain
Auf allen PMXen
- Root werden
sudo -i
- LDAP utils installieren
apt install ldap-utils
- Stammzertifikat einbauen
cd /usr/local/share/ca-certificates/ wget https://web.samogo.de/certs/win2022-ca.sec-labs.de.crt update-ca-certificates
- DC als Nameserver eintragen
echo "nameserver 10.0.10.109" > /etc/resolv.conf
oder statisch:
echo "10.0.10.109 win2022.sec-labs.de win2022" >> /etc/hosts
- Zertifikat pruefen (muss "Verify return code: 0 (ok)" liefern)
openssl s_client -connect win2022.sec-labs.de:636 </dev/null 2>/dev/null | grep "Verify return"
- LDAPS-Funktion testen
ldapsearch -xLLL -H ldaps://win2022.sec-labs.de -D ldap@sec-labs.de -w '123Start$' -b OU=spielwiese,DC=sec-labs,DC=de "(objectClass=user)" sAMAccountName
Es sollten die Benutzer aus der OU spielwiese erscheinen.
Anmerkung
AGDLP ist ein Gruppen- und Berechtigungsmodell in Microsoft Active Directory. Dabei werden Benutzerkonten (Accounts) zunächst Globalen Gruppen (Global Groups) zugeordnet, diese wiederum in Domänenlokale Gruppen (Domain Local Groups) geschachtelt, die schließlich Berechtigungen (Permissions) auf Ressourcen erhalten. Dieses Modell erlaubt eine saubere Trennung von Benutzerverwaltung und Rechtevergabe - funktioniert aber in Proxmox nicht, da verschachtelte Gruppen dort nicht aufgelöst werden.
Deshalb werden die Rechte in Proxmox direkt an die globalen Gruppen (GG_...) vergeben, in denen die Benutzer unmittelbar Mitglied sind.
Anbinden der AD über LDAP (LDAPS)
- Proxmox WebGUI öffnen
- Gehe zu: Datacenter -> Permissions -> Realms -> Add: LDAP
LDAP-Konfiguration - Reiter "General"
| Feld | Wert |
|---|---|
| Realm | spielwiese |
| Server | win2022.sec-labs.de |
| Port | 636 |
| Mode | LDAPS |
| Base Domain Name | OU=spielwiese,DC=sec-labs,DC=de |
| User Attribute | sAMAccountName |
| Verify Certificate | aktivieren (CA wurde oben importiert) |
| Require TFA | none |
| Check connection | aktiviert lassen |
LDAP-Realm-Konfiguration (Sync Options)
| Feld | Wert |
|---|---|
| Bind User | CN=ldap,OU=dienste,OU=spielwiese,DC=sec-labs,DC=de |
| Bind Password | 123Start$ |
| Groupname attr. | sAMAccountName |
| User classes | user |
| Group classes | group |
| Scope | none |
| Enable new users | Yes (Default) |
| Remove vanished | alles deaktiviert lassen |
Realm Sync - Felder zum Ausfüllen
| Feld | Wert |
|---|---|
| Scope | Users and Groups |
| Enable new | Yes |
| Remove ACL | deaktiviert lassen |
| Remove Entry | deaktiviert lassen |
| Remove Properties | deaktiviert lassen |
Preview sollte so aussehen
Die Gruppen heißen in Proxmox danach <Gruppe>-<Realm>, also z.B. GG_Benutzer-spielwiese.
Danach Syncen
Realm Sync Job nach Bedarf
Benutzerberechtigung
- Gehe zu: Datacenter -> Permissions -> Add -> Group Permission
Rollen für GG_Benutzer: Gucken auf alles, Schalten einer VM
1. Rolle anlegen (einmalig auf einem Proxmox-Host)
Auf einem beliebigen Cluster-Knoten als root:
pveum roleadd VMPowerOnly -privs "VM.PowerMgmt VM.Audit"
Für das reine Anschauen wird die eingebaute Rolle PVEAuditor verwendet, dafür muss keine eigene Rolle angelegt werden.
2. Rechte auf alle VMs zum Anschauen geben
Alle Benutzer der Gruppe GG_Benutzer dürfen den Status aller VMs sehen:
- WebGUI: Datacenter -> Permissions -> Add -> Group Permission
Path: / Group: GG_Benutzer-spielwiese Role: PVEAuditor Propagate: aktiviert
3. Rechte zum Ein-/Ausschalten einer bestimmten VM geben
Zusätzliche Rechte nur für z.B. VM 101 (Start, Stop, Shutdown):
- WebGUI: Datacenter -> Permissions -> Add -> Group Permission
Path: /vms/101 Group: GG_Benutzer-spielwiese Role: VMPowerOnly
Ergebnis
- Mitglieder von GG_Benutzer sehen alle VMs im Webinterface
- Nur bei VM 101 ist der Power-Button aktiv
- Kein Zugriff auf Konsole, Snapshot, Konfiguration oder andere Aktionen