Bài 17. Xác thực mạng
Thư mục (directory) là một dạng CSDL lưu trữ các
thông tin theo cấu trúc cây, được gọi là Cây thông tin thư mục (Directory
Information Tree - DIT). Trong tài liệu này, thuật ngữ CSDL được sử dụng để chỉ
DIT.
LDAP (Lightweight Directory Access Protocol) là một
giao thức cho việc truy vấn và sửa đổi DIT dựa vào X.500 chạy trên TCP/IP. Phiên
bản LDAP hiện tại là LDAPv3 được định
nghĩa trong RFC4510, và được cài đặt trong Ubuntu với tên gọi OpenLDAP.
DIT phù hợp để lưu trữ các mục dữ liệu ngắn, có
quan hệ với nhau theo cấu trúc cây, không thường xuyên thay đổi. Sử dụng LDAP và
DIT để đạt hiệu năng (tốc độ truy vấn và
cập nhật) cao.
Tài liệu này hướng dẫn sử dụng DIT để làm CSDL người
dùng và sử dụng LDAP để xác thực người dùng, OpenLDAP làm AAA server (server cung cấp dịch vụ xác
thực, phân quyền và kiểm toán – Authentication, Authorization, Accouting).
Các thuật ngữ và khái niệm chính:
-
Một mục dữ liệu trong DIT bao gồm một
tập các thuộc tính.
-
Một thuộc tính bao gồm một kiểu
(tên/miêu tả) và một hay nhiều giá trị.
-
Mỗi thuộc tính phải được định nghĩa
trong ít nhất một objectClass.
-
Thuộc tính và objectclass được định
nghĩa trong các lược đồ (schemas). Objectclass được xem là một loại thuộc tính
đặc biệt.
-
Mỗi mục phải có một định danh duy nhất:
Distinguished Name (DN hay dn). DN bao gồm
một Relative Distinguished Name (RDN) theo sau là DN của mục cha. DN
không phải là thuộc tính và cũng không được xem là bộ phận của mục.
-
Các thuật ngữ object, container, và
node đều có nghĩa là mục (entry).
Ví dụ sau là một mục với 11 thuộc tính:
dn: cn=John Doe,dc=example,dc=com
cn: John Doe
givenName: John
sn: Doe
telephoneNumber: +1 888 555 6789
telephoneNumber: +1 888 555 1232
mail: john@example.com
manager: cn=Larry Smith,dc=example,dc=com
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: person
objectClass: top
Mục dữ liệu trên theo định dạng LDIF (LDAP Data
Interchange Format). Bất kỳ thông tin gì cần đưa vào DIT cũng phải có định dạng
như trên. Nó được định nghĩa trong RFC2849.
Cài đặt OpenLDAP server daemon và các tiện ích quản
lý LDAP bằng các gói slapd và ldap-utils
tương ứng. Cài đặt slapd sẽ tạo cấu hình làm việc, Cụ thể, nó sẽ tạo một thể hiện
CSDL để lưu trữ dữ liệu. Tuy nhiên, hậu tố
(hay là DN cơ sở) của thể hiện CSDL này sẽ được xác định từ tên miền của localhost. Hướng dẫn này sẽ sử dụng
hậu tố dc=example,dc=com.
Chỉnh sửa tệp /etc/hosts, thay tên miền bằng dòng
sau đây.
127.0.1.1 hostname.example.com hostname
Từ Terminal, chạy lệnh sau để cài đặt:
sudo apt install
slapd ldap-utils
Trong quá trình cài đặt, bạn được yêu cầu nhập thông
tin xác thực cho rootDN. dn của rootDN là “cn=admin,dc=example,dc=com”.
Một số lược đồ như core, cosine, nis,
inetorgperson được dựng sẵn với slapd.
Quá trình cài đặt tạo 2 DITs, một cho slapd-config
và một cho dữ liệu của người dùng (dc=example,dc=com). DIT cho slapd-config nằm
trong thư mục /etc/ldap/slapd.d.
Đừng cập nhật trực tiếp CSDL này mà hãy dùng các
tiệp ích LDAP.
sudo
ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:/// -b cn=config dn
Kết quả tìm sẽ có dạng
dn: cn=config
dn: cn=module{0},cn=config
dn: cn=schema,cn=config
dn: cn={0}core,cn=schema,cn=config
dn: cn={1}cosine,cn=schema,cn=config
dn: cn={2}nis,cn=schema,cn=config
dn: cn={3}inetorgperson,cn=schema,cn=config
dn: olcBackend={0}hdb,cn=config
dn: olcDatabase={-1}frontend,cn=config
dn: olcDatabase={0}config,cn=config
dn: olcDatabase={1}hdb,cn=config
DIT thứ hai có dạng như sau
ldapsearch -x -LLL -H ldap:/// -b dc=example,dc=com dn
dn: dc=example,dc=com
dn: cn=admin,dc=example,dc=com
trong đó,
dc=example,dc=com: cơ sở của DIT
cn=admin,dc=example,dc=com: administrator (rootDN) của DIT
CSDL sẽ thêm bao gồm:
-
Một nút People (để lưu trữ người dùng)
-
Một nút Groups (để lưu trữ nhóm)
-
Một nhóm tên là miners
-
Một người dùng tên là john
Tạo tệp LDIF add_content.ldif với nội dung như
sau:
dn:
ou=People,dc=example,dc=com
objectClass:
organizationalUnit
ou: People
dn:
ou=Groups,dc=example,dc=com
objectClass:
organizationalUnit
ou: Groups
dn:
cn=miners,ou=Groups,dc=example,dc=com
objectClass:
posixGroup
cn: miners
gidNumber: 5000
dn:
uid=john,ou=People,dc=example,dc=com
objectClass:
inetOrgPerson
objectClass:
posixAccount
objectClass:
shadowAccount
uid: john
sn: Doe
givenName:
John
cn: John Doe
displayName:
John Doe
uidNumber:
10000
gidNumber:
5000
userPassword:
johnldap
gecos: John
Doe
loginShell:
/bin/bash
homeDirectory:
/home/john
Lưu ý không sử dụng khoảng giá trị lớn, ví dụ từ
5000 trở lên, để tránh đụng độ giữa các giá trị của uid và gid đụng độ với các
giá trị cục bộ.
Chạy lệnh ldapadd để thêm dữ liệu LDAP đã được chuẩn
bị trong tệp add_content.ldif
ldapadd -x -D
cn=admin,dc=example,dc=com -W -f add_content.ldif
Enter LDAP Password:
********
Có thể kiểm tra lại dữ liệu đã được thêm đúng bằng
lệnh ldapsearch:
ldapsearch -x -LLL -b
dc=example,dc=com 'uid=john' cn gidNumber
trong đó, các tham số có ý nghĩa như sau
-x: binding
đơn giản
-LLL: không
in thông tin mở rộng
‘uid=john’:
điều kiện tìm kiếm
cn
gidNumber: các trường thông tin được hiển thị trong kết quả.
Cũng có thể truy vấn và cập nhật CSDL slapd-config
DIT để đọc và thay đổi các lược đồ. Phần này dành cho tự học và nâng cao.
Ghi nhật ký là chức năng hết sức cần thiết đối với
giải pháp LDAP. OpenLDAP có nhiều hệ thống
con để ghi nhật ký, các hệ thống con lồng nhau và hệ thống trong ghi nhật ký
chi tiết cho hệ thống ngoài.
Tạo tệp logging.ldif với nội dung như sau:
dn: cn=config
changetype:
modify
replace:
olcLogLevel
olcLogLevel:
stats
Thay đổi cấu hình log:
sudo ldapmodify -Q -Y
EXTERNAL -H ldapi:/// -f logging.ldif
Kiểu log vừa thiết lập ghi rất chi tiết nhật ký, có
thể dẫn nhiều thông báo với tần suất cao. Để mô tơ rsyslog không loại bỏ một số
thông báo khi tần suất thông báo vượt quá giới hạn cho phép, hãy thay đổi cấu hình
rsyslog. Trong tệp/etc/rsyslog.conf, đặt:
# Disable rate
limiting
# (default is 200
messages in 5 seconds; below we make the 5 become 0)
$SystemLogRateLimitInterval
0
Và khởi động lại hệ rsyslog:
sudo systemctl
restart syslog.service
Dịch vụ LDAP trở nên hết sức quan trọng khi nhiều
hệ thống mạng sử dụng nó. Do vậy, nhân bản cho LDAP là điều cần thiết.
Nhân bản LDAP được thực hiện bởi chương trình Syncrepl. Việc nhân bản và đồng
bộ hóa được thực hiện theo mô hình Consumer - Provider.
Cấu
hình Provider
Để OpenLDAP server đóng vai trò Provider, thực hiện
các bước cấu hình sau.
Tạo tệp provider_sync.ldif có nội dung như sau:
# Add indexes to the frontend db.
dn: olcDatabase={1}hdb,cn=config
changetype: modify
add: olcDbIndex
olcDbIndex: entryCSN eq
-
add: olcDbIndex
olcDbIndex: entryUUID eq
#Load the syncprov and accesslog modules.
dn: cn=module{0},cn=config
changetype: modify
add: olcModuleLoad
olcModuleLoad: syncprov
-
add: olcModuleLoad
olcModuleLoad: accesslog
# Accesslog database definitions
dn: olcDatabase={2}hdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcHdbConfig
olcDatabase: {2}hdb
olcDbDirectory: /var/lib/ldap/accesslog
olcSuffix: cn=accesslog
olcRootDN: cn=admin,dc=example,dc=com
olcDbIndex: default eq
olcDbIndex:
entryCSN,objectClass,reqEnd,reqResult,reqStart
# Accesslog db syncprov.
dn:
olcOverlay=syncprov,olcDatabase={2}hdb,cn=config
changetype: add
objectClass: olcOverlayConfig
objectClass: olcSyncProvConfig
olcOverlay: syncprov
olcSpNoPresent: TRUE
olcSpReloadHint: TRUE
# syncrepl Provider for primary db
dn:
olcOverlay=syncprov,olcDatabase={1}hdb,cn=config
changetype: add
objectClass: olcOverlayConfig
objectClass: olcSyncProvConfig
olcOverlay: syncprov
olcSpNoPresent: TRUE
# accesslog overlay definitions for primary
db
dn:
olcOverlay=accesslog,olcDatabase={1}hdb,cn=config
objectClass: olcOverlayConfig
objectClass: olcAccessLogConfig
olcOverlay: accesslog
olcAccessLogDB: cn=accesslog
olcAccessLogOps: writes
olcAccessLogSuccess: TRUE
# scan the accesslog DB every day, and
purge entries older than 7 days
olcAccessLogPurge: 07+00:00 01+00:00
Tạo một thư mục, thiết lập tệp cấu hình, và tải lại
hồ sơ apparmor:
sudo -u openldap
mkdir /var/lib/ldap/accesslog
sudo -u openldap cp
/var/lib/ldap/DB_CONFIG /var/lib/ldap/accesslog
sudo systemctl reload apparmor.service
Thêm nội dung mới và khởi động lại daemon:
sudo ldapadd -Q -Y EXTERNAL -H ldapi:/// -f
provider_sync.ldif
sudo systemctl restart slapd.service
Cấu
hình Consumer
Trên máy tính khác (máy nhân bản), cài đặt
OpenLDAP server, cấu hình sldap-config DIT giống như Provider. Cụ thể, cần cấu
hình các lược đồ và hậu tố giống với sldap-config DIT của Provider.
Tạo tệp consumer_sync.ldif có nội dung như sau:
dn: cn=module{0},cn=config
changetype: modify
add: olcModuleLoad
olcModuleLoad: syncprov
dn: olcDatabase={1}hdb,cn=config
changetype: modify
add: olcDbIndex
olcDbIndex: entryUUID eq
-
add: olcSyncRepl
olcSyncRepl: rid=0
provider=ldap://ldap01.example.com bindmethod=simple
binddn="cn=admin,dc=example,dc=com"
credentials=secret
searchbase="dc=example,dc=com" logbase="cn=accesslog"
logfilter="(&(objectClass=auditWriteObject)(reqResult=0))"
schemachecking=on
type=refreshAndPersist retry="60
+" syncdata=accesslog
-
add: olcUpdateRef
olcUpdateRef: ldap://ldap01.example.com
Cần đảm bảo
các thuộc tính sau đây nhận giá trị đúng:
-
provider (tên miền hay địa chỉ IP của Provider
server -- ldap01.example.com trong ví dụ này)
-
binddn (DN của admin)
-
credentials (mật khẩu của admin)
-
searchbase (hậu tố của CSDL)
-
olcUpdateRef (tên miền hoặc địa chỉ IP
của Provider server)
-
rid (Replica ID, 3 chữ số duy nhất định
danh Consumer)
Chạy lệnh sau để thêm nội dung:
sudo ldapadd -Q -Y EXTERNAL -H ldapi:/// -f
consumer_sync.ldif
Kiểm
thử
Chạy cùng truy vấn trên cả Provider và Consumer để
thấy kết quả trả về là như nhau.
ldapsearch -z1 -LLLQY
EXTERNAL -H ldapi:/// -s base -b dc=example,dc=com contextCSN
sudo ldapsearch -Q
-LLL -Y EXTERNAL -H ldapi:/// -b dc=example,dc=com dn
Nếu kết quả trả trên Consumer khác trên Provider
thì cần xem lại cấu hình Comsumer.
Điều khiển truy cập LDAP được thực hiện bằng ACL.
Khi cài đặt slapd, nhiều ACL sẽ được cài đặt mặc định.
Các lệnh sau đây cho biết ACLs của CSDL hdb ("dc=example,dc=com")
và CSDL frontend.
sudo
ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:/// -b \
cn=config
'(olcDatabase={1}hdb)' olcAccess
dn:
olcDatabase={1}hdb,cn=config
olcAccess:
{0}to attrs=userPassword,shadowLastChange by self write by anonymous
auth by
dn="cn=admin,dc=example,dc=com" write by * none
olcAccess:
{1}to dn.base="" by * read
olcAccess:
{2}to * by self write by dn="cn=admin,dc=example,dc=com" write by *
read
rootDN luôn có đủ quyền trên CSDL.
sudo ldapsearch
-Q -LLL -Y EXTERNAL -H ldapi:/// -b \
cn=config
'(olcDatabase={-1}frontend)' olcAccess
dn: olcDatabase={-1}frontend,cn=configolcAccess: {0}to * by dn.exact=gidNumber=0+uidNumber=0,cn=peercred, cn=external,cn=auth manage by * breakolcAccess: {1}to dn.exact="" by * readolcAccess: {2}to dn.base="cn=Subschema" by * read
Xét ACL thứ nhất. Đây là ACL thiết yếu:
olcAccess: {0}to attrs=userPassword,shadowLastChange by self write by anonymous auth by dn="cn=admin,dc=example,dc=com" write by * none
hay viết lại cho dễ đọc
to attrs=userPassword
by self write by anonymous auth by dn="cn=admin,dc=example,dc=com" write by * none