INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE 389 Directory Server Symbiose des référentiels utilisateur avec 389 Directory Server et Active Directory dans un contexte de fédération d'identités Nicolas Carel Chef du Service Commun Informatique Hugo Étiévant Ingénieur système et réseau membre associé de

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server2 Plan Présentation et contexte Choix d'un annuaire Atouts de 389-DS Haute disponibilité Retour d'expérience Conclusion

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server3 Les missions de l'INRP Recherche en sciences de l'éducation Diffusion et valorisation des résultats de la recherche (Veille scientifique, Publications) Expertise (contrats européens Nesse, Europep, EERQI) Formation de formateurs Histoire et patrimoine de l'éducation

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server4 Contexte technique 2004 : Premiers pas avec OpenLDAP, des échecs : Mise en route de 389 DS pour eduroam 2007 : Vers Shibboleth - projet de Système d'information documentaire (SID) avec l'ENS-LSH 2009 : Phase de réalisation

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server5 Question de choix Contraintes Fonctionnalités Hypothèses

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server6 Nos contraintes L'existant Un compte par application Des mauvaises habitudes... Quelle transition ? La sécurité !

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server7 Comparatif fonctionnel (1)

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server8 Comparatif fonctionnel (2)

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server9 Scénarii OpenLDAP + Samba Active Directory seul OpenLDAP + Active Directory 389 DS + Active Directory

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server10 Atouts de 389-DS Console de gestion graphique (GUI) Réplication multi-maîtres (MMR) Synchronisation avec l'AD (PassSync) Contrôles d'accès (ACI) Sécurité des connexions (SSL)

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server11 Director y Serve r Serveu r Architecture générale Fedora IDM Console configure serveur (HTTP) (LDAP) gère les utilisateurs Admi n Serve r pilote (LDAP) Client LDAP requête (LDAP)

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server12 Connexion GUI Console multi- plateforme (Java) Toute fonction accessible – Sauf quelques limitations : Réplication de la configuration

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server13 Liste des DS et des AS

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server14 Console du DS Tâches systèmes Fichiers de log

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server15 Gestion des comptes

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server16 Attributs Windows

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server17 Réplication des DS Serveur fournisseur A Base de données id=1 Serveur consommateur B Base de données répliquée id=2 Réplication Accord de réplication entre A et B cn=Replication Manager Accord de réplication entre B et A cn=Replication Manager multi-maîtres

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server18 Réplication des DS 3 nœuds maîtres 4 nœuds maîtres

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server19 Synchronisation avec AD Synchronisation Fedora 8 Windows 2003 Server PassSync ADCertIISDNS Directory Server cn=Replication Manager INRP\Replication Manager Accord de synchronisation tunnel chiffréSSL CertAdmin Server Contrôleur de domaine389 DS id= 1

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server20 ACI

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server21 ldap2.inrp.fr Direc tory Ser ver Ad min Ser ver LDAP S ldap1.inrp.fr Sécurité SSL totale Client LDAP Ad min Ser ver Direc tory Ser ver ad.inrp.fr PassSy nc AD Fedora IDM Console MMR/SSL sync/SS L LDAP S HTTP S LDAP S Pilotage DS-AS (LDAPS) Réplication entre nœuds 389 DS (MMRP /SSL) Accès console (HTTPS) Accès client (LDAPS) Synchronisation AD (PassSync /SSL)

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server22 Haute disponibilité (config) Réplication de la configuration – Administration depuis n'importe quel nœud – Temps réel En cas de panne – Remise à niveau d'un nœud sans intervention au démarrage du service

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server23 Haute disponibilité (données) Configuration des clients LDAP – Liste de plusieurs serveurs – TIMELIMIT court pour bascule rapide URI ldaps://ldap1.inrp.fr:636 ldaps://ldap2.inrp.fr:636 BASE ou=People,dc=inrp,dc=fr LDAP_VERSION 3 TIMELIMIT 5 BIND_TIMELIMIT 5 IDLE_TIMELIMIT 3600 $hosts = array( "ldaps://ldap1.inrp.fr:636", "ldaps://ldap2.inrp.fr:636"); foreach($hosts as $uri) { $ds = ldap_connect($uri); if($ds) break; }

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server24 Haute disponibilité (CheckPoint)

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server25 Retour d'expérience (+) Opérations à chaud : pas de redémarrage – Sauf exceptions (activation de SSL) GUI : Simplicité, meilleur productivité Ouverture des accès admin à d'avantage de personnes, coût de formation moins élevé Interopérabilité Windows Pas de conflits de réplication Excellent temps de réponse Pas de surcharge réseau

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server26 Retour d'expérience (-) Pas de failover sur la synchro AD (v1.1.2) – Risque de doublons si multiples accords de synchro entre 389 DS et AD Synchro AD : CommonName AD prioritaire (Se corrige par une ACI)

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server27 Conclusion Bénéfices – Un socle technique efficace – Porte de l'interopérabilité Attentes – Montées en version – Passage à supann 2008 – Des voies à explorer Haute disponibilité des SSO

INSTITUT NATIONAL DE RECHERCHE PÉDAGOGIQUE Nicolas Carel, Hugo ÉtiévantJRES Directory Server28 Questions/réponses