Cliente: Configuração ... | Wiki IFPE
3. Executando a configuração
3.1. Instalação dos pacotes
3.3. Configuração do sudo
3.4. Configuração do kerberos
3.5. Configuração do SSSD
Cliente: Configuração ...
O System Security Services Daemon é um pacote de software originalmente desenvolvido para o sistema operacional Linux que fornece um conjunto de daemons para gerenciar o acesso a diretórios remotos e mecanismos de autenticação. Funciona como um agregado de daemons que gerenciam mecanismos de autenticação remota, assim como serviços de diretórios que manipula diretamente o PAM e o NSS.
Para que a configuração seja realizada com sucesso, certifique-se de:
Ter acesso administrativo ao computador no qual o SSSD será instalado
Saber a distribuição linux utilizada no computador no qual o SSSD será instalado
Saber o nome do domínio
Saber o(s) endereço(s) IP do(s) controlador(es) do domínio
Possuir um arquivo com o certificado da CA utilizada pelo servidor
Possuir os dados de usuário e senha utilizados pelo SSSD
Instale os pacotes necessários para o funcionamento do serviço do SSSD. A lista varia conforme a distribuição.
3.1.a. No Debian/Ubuntu:
apt install -y sudo cracklib-runtime ldap-utils libbasicobjects0 libc-ares2 libcollection4 \
libcrack2 libdhash1 libini-config5 libipa-hbac0 libldap-common libnl-3-200 libnl-route-3-200 \
libldb1 libnspr4 libnss-sss libntdb1 libopts25 libpwquality-common libpwquality1 libpam-pwquality \
libpath-utils1 libpam-sss libsss-sudo libpython2.7 libref-array1 libsasl2-modules-gssapi-mit \
libnss3 libsss-idmap0 libtalloc2 libtdb1 libtevent0 libwbclient0 ntp python-sss python-talloc \
samba-libs sssd sssd-ad sssd-ad-common sssd-common sssd-ipa sssd-krb5 sssd-krb5-common sssd-ldap\
sssd-proxy krb5-config krb5-user libgssrpc4
3.1.b. No Centos:
yum install -y sudo sssd ntp openldap sssd-ldap pam_ldap pam_krb5 krb5-workstation
3.2.1. Configuração do DNS
Para que os servidores utilizados por este serviço sejam resolvidos corretamente, defina as configurações de rede para utilizar o IP do controlador de domínios como o servidor DNS primário do computador cliente e o nome do domínio ao qual o computador será ingressado no domínio a ser utilizado para buscas.
Essa configuração pode ser realizada de formas diferentes. A forma recomendada difere de acordo com o sistemas operacional utilizado.
No Debian/Ubuntu: Edite o arquivo /etc/network/interfaces
No Centos: Utilize o comando nmtui
3.2.2. Certificado da CA utilizado pelo samba
A comunicação entre o cliente e o servidor samba utiliza TLS para proteger os dados. Utilizando esta técnica, o cliente usa um certificado para se autenticar com o servidor.
Crie o arquivo /etc/ssl/private/sssd-ca.pem contendo o certificado da CA utilizado pelo samba.
3.2.3. Criação automática da pasta do usuário
Uma vez que o SSSD tenha autenticado os usuários no domínio e tenham acesso ao sistema, a pasta do usuário não será criada automaticamente.
Para habilitar a criação automática da pasta do usuário, siga o procedimento:
3.2.3.a. No Debian/Ubuntu
Execute o seguinte comando no shell do computador
Insira a linha a seguir após o primeiro bloco de comentários
3.2.3.b. No Centos
Execute o comando a seguir no shell do computador cliente:
Neste exemplo, aos membros do grupo chamado "EXEMPLO_SUDO", será permitido o uso do sudo. Substitua pelo grupo correto na hora da execução do comando
echo '%EXEMPLO_SUDO ALL=(ALL) ALL' > /etc/sudoers.d/ldap_sudo_group
chmod 0600 /etc/sudoers.d/ldap_sudo_group
O item iniciado por um símbolo de percentual (%EXEMPLO_SUDO) indica o nome do grupo que irá receber as permissões do sudo.
Cabe ao kerberos garantir a troca de chaves, de forma segura, entre os computadores de uma rede que o utilize. Para tal, é necessário configurar o cliente para se comunicar aos provedores deste serviço.
Deixe o arquivo conforme mostrado a seguir.
Neste exemplo, o nome do domínio utilizado foi "EXEMPLO.LOCAL". Altere o nome para o domínio correto.
Neste exemplo, o FQDN do servidor controlador de domínio utilizado foi "DC01.EXEMPLO.LOCAL". Altere o nome para o FQDN correto.
# MIT Kerberos Variables.
krb5_config = /etc/krb.conf
krb5_realms = /etc/krb.realms
DOMINIO.LOCAL= {
kdc = DC01.DOMINIO.LOCAL
admin_server = DC01.DOMINIO.LOCAL
.ifpe.local = DOMINIO.LOCAL
O SSSD é o serviço que realiza a autenticação em si, se apoiando na resolução de nomes e nas facilidades oferecidas pelo kerberos.
3.5.1. O arquivo de configuração principal
Substitua "CN=USUARIO_SSSD,OU=SUB,DC=DOMINIO,DC=LOCAL" e "XXXXX_SENHA_DO_SSSD_XXXXX" pelo CN e senha corretos