Copyright 2010 © Consortium ESUP-Portail TOC ESUP-Days 10, Paris, 2 juillet 2010 De LDAP à Kerberos à lUniversité de Rennes 1 Pascal Aubry François Dagorn

Copyright 2010 © Évoluer Basculer rapidement un parc de postes Windows XP vers Windows 7 –Authentification des utilisateurs via LDAP –Depuis Vista PGINA ne fonctionne plus Credential Provider (fournisseur dinformations pour lauthentification) –Des sources dexemples en C++ sont fournis par MicroSoft –Regina (développement IFSIC) et depuis PGINA version 2 sont des Credential Providers

Copyright 2010 © Regina et PGINA v2 Interception du couple uid / passwd Validation auprès dun service LDAP Si lidentité est vérifiée : –Création dun compte local –Loger le mot de passe en clair quelque part ! –Ressortir le mot de passe en clair quand cest nécessaire (net use vers des services contrôlés par LDAP) –Détruire les comptes locaux avant chaque login, après chaque logout … Pourquoi utiliser LDAP pour lauthentification ?

Copyright 2010 © Sécuriser LDAP peut être sécurisé –Un service qui sappuie sur LDAP peut utiliser LDAPS –En amont le mot de passe doit circuler en clair Serveurs CUPS contrôlés par LDAP Serveurs SMB contrôlés par LDAP Serveurs de fichiers NetApp –Cain & Abel LDAP pour authentifier est un problème

Copyright 2010 © La solution Kerberos Sécurité –Aucun mot de passe en clair Evolution –Windows 7 Confort –Single Sign-On de bout en bout

Copyright 2010 © Kerberos Identification/Authentification –Sur un réseau non sûr –Aucun mot de passe en clair Basé sur une partage de clés –Pas de PKI Principals –Utilisateurs, machines, services Architecture 3-tiers –Client, serveur, KDC (Key Distribution Center) –Multi-système

Copyright 2010 © Comment migrer ? Pas de moulinette ldap2krb5 –Besoin du mot de passe en clair Migration progressive des utilisateurs

Copyright 2010 © Quand créer les principals ? Quand peut-on disposer du mot de passe ? –Sur les postes clients Pam_krb5_migrate : pas assez sûr –Sur un service dédié à la migration Pas assez transparent –Sur un service fréquemment utilisé Mail –Problème des accès webmail CAS Solution retenue : CAS –Interception à la connexion pour créer les usagers dans le royaume Kerberos –Complètement transparent, trop peut-être :-)

Copyright 2010 © Modification de CAS Database handler LDAP handler database LDAP

Copyright 2010 © Modification de CAS NTLM/kerberos handler Database handler LDAP handler database LDAP

Copyright 2010 © Modification de CAS NTLM/kerberos handler Database handler LDAP handler handler wrapper database LDAP KDC

Copyright 2010 © Modification de CAS NTLM/kerberos handler Database handler LDAP handler handler wrapper database LDAP cache KDC

Copyright 2010 © Modification de CAS NTLM/kerberos handler Database handler LDAP handler handler wrapper database LDAP cache KDC Authentification

Copyright 2010 © Modification de CAS NTLM/kerberos handler Database handler LDAP handler handler wrapper database LDAP cache KDC Authentification Alimentation du royaume (migration des utilisateurs)

Copyright 2010 © Cohérence LDAP/Kerberos Création des comptes –Rien à faire car comptes non actifs Activation des comptes Changement des mots de passe –Interface web (pages Sésame) Suppression des comptes

Copyright 2010 © Application Sésame LDAP Interface utilisateur (web) Interface administrateur (batch) activation changement mdp création suppression

Copyright 2010 © Application Sésame LDAP Interface utilisateur (web) Interface administrateur (batch) activation changement mdp création suppression AD

Copyright 2010 © Application Sésame LDAP Interface utilisateur (web) Interface administrateur (batch) activation changement mdp création suppression ADkerberos

Copyright 2010 © Stratégie de migration 1. Mise en place infrastructure Kerberos 2. Intégration dans le S.I. 3. Basculement des services

Copyright 2010 © Migration étape 1 Infrastructure Kerberos Deux serveurs redondants –Crontab + kprop Une application web légère –PHP –Délégation de la gestion des principals

Copyright 2010 © Migration étape 2 Intégration dans le S.I. Serveur CAS –Authentification Kerberos –Alimentation Kerberos Application Sésame –Ajout dun module Kerberos

Copyright 2010 © Migration étape 3 basculement des services Serveurs de fichiers –Samba –NFS –NetApp Serveurs dimpression –CUPS, passage en IPP avec auth Kerberos Serveur de mail

Copyright 2010 © Migration étape 3 basculement des services Serveurs de fichiers –Samba –NFS –NetApp Serveurs dimpression –CUPS, passage en IPP avec auth Kerberos Serveur de mail

Copyright 2010 © Aller plus loin… Mangez du chien ! Tuto JRES n°13