Änderungen von Dokument LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv

Zusammenfassung

• Seiteneigenschaften (2 geändert, 0 hinzugefügt, 0 gelöscht)

Details

Seiteneigenschaften

Titel

...	...	@@ -1,1 +1,1 @@
1		-Geändert: LDAP Admin-Benutzer und ReadOnly-Benutzer
	1	+Geändert: LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv

Inhalt

...	...	@@ -1,12 +1,17 @@
1		-(% style="color:#000000" %)Um externe oder interne Dienste über LDAPS einzubinden, gibt es nach wie vor den sogenannten LDAP-Admin und den seit der Umstellung auf LDAPS neu hinzugefügten ReadOnly-Benutzer.
	1	+(% style="color:#000000" %)Um externe oder interne Dienste über das LDAPS-Protokoll einzubinden, gibt es seit Puppet-Version 1.3.22 neben dem sogenannten LDAP-Admin Konto einen neu hinzugefügten ReadOnly-Benutzer zur Anmeldung am integrierten OpenLDAP-Verzeichnisdienst.
2	2
3		-(% style="color:#000000" %)In diesem Artikel erfahren Sie, wo Sie die Benutzernamen & Kennwörter der zwei Benutzer finden und welche Nutzer sich für welches Vorhaben am besten eignen.
	3	+(% style="color:#000000" %)In diesem Artikel erfahren Sie, wo Sie die Benutzernamen & Kennwörter der zwei Benutzer finden und welches Konto sich für welches Vorhaben am besten eignen.
4	4
	5	+----
	6	+
	7	+{{toc start="3"/}}
	8	+
	9	+
5	5	(% style="color:#000000" %)[[image:Grafik für LDAp.png||height="331" width="622"]]
6	6
7	7	=== ===
8	8
9		-=== (% style="color:#000000" %)__**LDAP-Admin Benutzer**__(%%) ===
	14	+== (% style="color:#000000" %)__**LDAP-Admin Benutzer**__(%%) ==
10	10
11	11
12	12	=== (% style="color:#000000" %)__Nutzungsgebiet:__(%%) ===
...	...	@@ -59,7 +59,7 @@
59	59	{{/code}}
60	60
61	61
62		-=== (% style="color:#000000" %)**__LDAP-ReadOnly (ldap-ro) Benutzer__**(%%) ===
	67	+== (% style="color:#000000" %)**__LDAP-ReadOnly (ldap-ro) Benutzer__**(%%) ==
63	63
64	64
65	65	==== (% style="color:#000000" %)__Nutzungsgebiet:__(%%) ====
...	...	@@ -105,10 +105,109 @@
105	105	{{/code}}
106	106
107	107
	113	+(% style="color:#000000" %)Im Zuge der Anbindung externer Dienste sollte stets darauf geachtet werden, die verschlüsselte Form des LDAP-Protokolls (d.h. LDAPS auf TCP-Port 636) zu verwenden, damit sensible Information wie Benutzer-Zugangsdaten prinzipiell per SSL-Transportverschlüsselung versendet werden.
	114	+Zur Nutzung der SSL-Transportverschlüsselung ist es wiederum wichtig, ein gültiges Let's Encrypt Zertifikat zu beantragen, damit die Verbindungssicherheit zwischen zwei Servern gewährleistet werden kann.
108	108
109		-=== (% style="color:#000000" %)**__LDAP Attribute__**(%%) ===
110	110
	117	+== __**Ports über Firewall an Rev-Proxy weiterleiten**__ ==
111	111
	119	+Damit die LDAP Verbindung funktioniert, muss der Port 636 an den Rev-Proxy weitergeleitet werden. Diese Weiterleitung können Sie wie folgt einrichten:
	120	+
	121	+
	122	+Wechseln Sie in das Verzeichnis der Shorewall:
	123	+
	124	+{{code language="bash"}}
	125	+root@ldhosts:~ # cd /etc/shorewall
	126	+{{/code}}
	127	+
	128	+
	129	+Öffnen Sie die Datei rules mit einem Editor ihrer Wahl:
	130	+
	131	+{{code language="bash"}}
	132	+root@ldhost:/etc/shorewall # vim rules
	133	+{{/code}}
	134	+
	135	+
	136	+Ergänzen Sie die Liste innerhalb der Datei um den obersten Eintrag (lila eingefärbte Zeile). Dadurch werden externe Verbindungsanfragen auf Port 636 (LDAPS) vom ldhost zum rev-proxy LXC-Container weitergeleitet, so wie im Schaubild am Anfang des Artikels abgebildet.
	137	+
	138	+(% class="box" %)
	139	+(((
	140	+(% style="color:#16a085" %)###
	141	+# Shorewall version 4.0
	142	+###(%%)##
	143	+(% style="color:#8e44ad" %)**DNAT ext dmz:172.28.29.3 tcp 636**(%%)
	144	+DNAT ext dmz:172.28.29.3 tcp 80,443
	145	+DNAT ext dmz:172.28.29.2 tcp 1:21
	146	+DNAT ext dmz:172.28.29.2 tcp 23:2221
	147	+DNAT ext dmz:172.28.29.2 tcp 2223:65535
	148	+DNAT ext dmz:172.28.29.2 udp 1:65535##
	149	+)))
	150	+
	151	+
	152	+Starten Sie nun die Firewall des ldhost neu:
	153	+
	154	+{{code language="bash"}}
	155	+root@ldhosts:~ # /etc/init.d/shorewall restart
	156	+{{/code}}
	157	+
	158	+
	159	+== __**Zertifikat für Rev-Proxy erstellen und prüfen**__ ==
	160	+
	161	+Damit die Verbindung gesichert werden kann, wird ein Let's Encrypt Zertifikat benötigt. Dieses können Sie nach folgender Anleitung erstellen:
	162	+
	163	+====== ======
	164	+
	165	+====== __acmetool__ ======
	166	+
	167	+Wechseln Sie in den puppeteer Container:
	168	+
	169	+{{code language="bash"}}
	170	+root@ldhost:~ # lxc-ssh -n puppeteer
	171	+{{/code}}
	172	+
	173	+Fordern Sie das Zertifikat mit folgendem Befehl an (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
	174	+
	175	+{{code language="bash"}}
	176	+root@puppeteer:~ # acmetool want kopano.SCHULKUERZEL.logoip.de
	177	+{{/code}}
	178	+
	179	+===== =====
	180	+
	181	+====== __acme.sh__ ======
	182	+
	183	+Wechseln Sie in den puppeteer Container:
	184	+
	185	+{{code language="bash"}}
	186	+root@ldhost:~ # lxc-ssh -n puppeteer
	187	+{{/code}}
	188	+
	189	+
	190	+Wechseln Sie im puppeteer Container in die Umgebung für das Verwalten der Zertifikate:
	191	+
	192	+{{code language="bash"}}
	193	+root@puppeteer:~ # sle
	194	+{{/code}}
	195	+
	196	+
	197	+Beantragen Sie ein neues Zertifikat mit folgendem Befehl (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
	198	+
	199	+{{code language="bash"}}
	200	+le-acme@puppeteer:~ $ issue kopano.SCHULKUERZEL.logoip.de
	201	+{{/code}}
	202	+
	203	+
	204	+Um das verteilen der Zertifikate zu beschleunigen können Sie ggf. einen prun im puppeteer und rev-proxy Container durchführen:
	205	+
	206	+{{code language="bash"}}
	207	+root@puppeteer:~ # prun
	208	+root@rev-proxy:~ # prun
	209	+{{/code}}
	210	+
	211	+
	212	+=== ===
	213	+
	214	+== (% style="color:#000000" %)**__LDAP Attribute__**(%%) ==
	215	+
112	112	(% style="color:#000000" %)Standardmäßig werden folgende Attribute an die externe LDAP Schnittstelle weitergegeben:
113	113
114	114	{{code language="bash"}}