gops-企业级集中身份认证及授权管理实践freeipa

一、背景
随着公司服务器、服务、用户越来越多，以前单机用户管理、单机sudo授权的方式已不是发展的要求，故需要做企业级的集中身份认证授权管理（比如：ldap、kerberos、ca、dns、sudo、密码策略），原因有三：
1、便于大规模集中管理，
2、能够实现单点登录SSO，
3、结合堡垒机实现双层授权、双层审计。经过简单考察发现freeipa是个不错的选择：
1、all in one，所有我需要的好东西都全部集成了，几条命令就能搞定，省的一个个做适配，极大的节省实施部署时间
2、背后redhat支持的开源项目，是IDM的开源版本，持续维护有保证
3、支持多主复制避免单点，毕竟是企业级应用必须得考虑高可用
4、接口丰富，支持web ui、cli、api，非常棒
5、客户端能够自动注册到ipa服务器（结合kickstart或后期脚本，本文有介绍）freeipa官网：http://www.freeipa.org/二、freeipa官方推荐的生产环境部署方案：
原文：http://www.freeipa.org/page/Deployment_Recommendationsfreeipa生产环境部署方案主要内容：
1、域名是 Kerberos的基础，为避免domain的冲突，在搭建前一定要规划好域名体系，推荐采用申请的有管理权限的域名，即使在内网使用，也不建议随便使用没有管理权限的域名，比如使用baidu.com就不是一个好的选择；
2、freeipa只能从头搭建，不能在测试环境搭建好，修改一下域名啥的就能在生产环境使用的
3、建议采用集成的dns server，虽然可以使用外部的dns server，但配置起来较为复杂且出错概率较大。
4、为了性能和稳定性，freeipa server上不要安装其他的应用。
5、多主复制环境根据规模大小、访问频度，每个数据中心推荐2-3个副本，但不要超过4个。
6、客户端至少需要配置2个dns server来增加冗余性。
7、备份与恢复：场景不同有不同的方法，但方法都较复杂，简单可行的方法是用虚拟机来搭建并定期做快照。
http://www.freeipa.org/page/Backup_and_Restore三、具体部署环境及方案架构
1、部署环境：
freeipa server：fedara server 23
freeipa version：4.2.4
client host：centos 6.5
网络环境：全内网访问，freeipa server不对外暴露
域名：example.com (这个用法不推荐的，因为example.com不是我申请的域名，但内网使用到不影响)2、方案架构–多主复制：
freeipa101.example.com
freeipa102.example.com3、公司环境都是centos为什么freeipa不部署在centos上？
在centos 6上安装会有各种各样的问题，freeipa版本还比较老，为了简化安装步骤，采用fedora server 23。
在centos 6上会有这个问题，即使解决了也无法成功安装ipa server，所以最终放弃了，转战fedora。

四、freeipa server基本系统准备工作
1、安装fedara server 23，推荐在虚拟机里做，好处你懂的
2、更新系统：
yum update
3、设置完全合格的主机名并配置hosts
[root@freeipa101 ~]# hostname
freeipa101.example.com
[root@freeipa101 ~]# more /etc/hosts
192.168.0.101 freeipa101.example.com freeipa101

4、设置dns服务器为freeipa101
more /etc/resolv.conf
nameserver 192.168.0.1015、为避免不必要的麻烦，关闭防火墙，关闭开机启动
systemctl stop firewalld
systemctl disable firewalld (fedara下关闭firewall开机启动好像不太起作用，大家注意一下防火墙)6、vm做快照（略）五、安装主freeipa server
[root@freeipa101 ~]# yum install freeipa-server freeipa-server-dns -y测试：[root@freeipa101 ~]# ldapsearch -x -b “dc=example, dc=com”测试没问题后做个vm快照-_-六、安装配置副本ipa server
[root@freeipa102 ~]# yum install freeipa-server freeipa-server-dns -y
副本ipa server不执行ipa-server-install安装操作。

ipa的多主复制还是很赞的：
1、在主freeipa101上，创建replica information file
[root@freeipa101 ~]# ipa-replica-prepare freeipa102.example.com –ip-address 192.168.0.1022、scp拷贝info file 到副本ipa服务器:
[root@freeipa101 ~]# scp /var/lib/ipa/replica-info-freeipa102.example.com.gpg freeipa102.example.com:/var/lib/ipa/3、在副本ipa服务器
[root@freeipa102 ~]# ipa-replica-install –setup-ca –setup-dns –no-forwarders /var/lib/ipa/replica-info-freeipa102.example.com.gpg4、登录测试https://freeipa102.example.com 进行测试iptables屏蔽101的端口，或者关机，测试102是否能正常工作，登录啥的，反之亦然，高可用这块没啥要说的，自己多模拟几次故障即可。七、在安装配置过程中遇到的几个大坑
大坑1:
hostname的完全合格域名不应该有下划线，但可以用连字符。
完全合格主机名：freeipa101.example.com
不合格主机名:-freeipa101
这是历史原因造成的，历史服务器的hostname都不是完全合格的域名，并且hostname含有下划线，freeipa不支持。大坑2:
安装ipa server的时候
Your system is running out of entropy, you may experience long delays
因虚拟机配置不太高，系统自带的random设备没有足够的随机数生成能力，导出计算的过程异常缓慢，有可能不成功，等不起啊，解决方案如下：
yum install -y haveged
systemctl start haveged.service
systemctl stop firewalld参考：
https://www.redhat.com/archives/freeipa-devel/2014-May/msg00459.html
http://blog-ftweedal.rhcloud.com/大坑3：freeipa相关服务没有开机自启动的话，一reboot就傻眼了。
检查ipa各个服务的运行状态，如果有服务没有起来的话，尝试restart一下试试
[root@freeipa102 ldapuser1]# ipactl status

八、手动配置client host加入到freeipa server：
1、安装ipa client包
[root@client ~]# yum install ipa-client2、设置dns为 192.168.0.101
/etc/resolv.conf3、安装（不用指定太多参数，客户端能自动发现server）
[root@client ~]# ipa-client-install –enable-dns-updates –mkhomedir
4、测试
[jsmith@client ~]id[jsmith@client ] getent passwd admin
[jsmith@client ~]$ getent group admins5、如果你愿意也可以安装ipa、ldap管理工具
yum install ipa-client ipa-admintools openldap-clients -y
yum install nss-pam-ldapd九、自动注册client到freeipa server，
结合kickstart在装机完成后执行post脚本：
1、在ipa server提前创建host实体和一次性密码（注册后密码失效）
ipa host-add client1.example.com – password=secret
2、安装ipa-client
3、注册
ipa-client-install –domain= example.com –enable-dns- updates –mkhomedir -w secret –realm=example.com –server=freeipa101.example.com –hostname=client1.example.com –unattendedkickstart的弊端：
每次添加新主机，admin都需要提前在ipa服务器上创建host，很难完全自动化注册。

全自动化注册client：
enroll帐号 - 只用于注册主机
新建帐号 autoenroll，需要登录一下web，更新一下密码。
web ui创建 enroll帐号的步骤：
IPS Server -> Role Based ACL -> ROLES添加Enroll组 -> 选择PRIVILEGES权限组Host Enrollment，并添加授予权限的用户autoenroll。
PRIVILEGES权限组 需要在添加一个 add hosts 的单个权限
ipa-client-install –enable-dns-updates –mkhomedir -p autoenroll -w passwordxxx -U或者指定hostname
ipa-client-install –enable-dns-updates –mkhomedir –hostname=-netpay141.example.com -p autoenroll -w passwordxxx -U不建议指定freeipa server的参数，这样的话注册的client就不支持ipa server的自动failover：
ipa-client-install –enable-dns-updates –mkhomedir –domain=example.com –server=freeipa101.example.com -p autoenroll -w passwordxxx -U

小问题：
开始的时候不能自动注册，
1、dns没有配置
2、autoenroll的权限不对，重新设置权限后有缓存需要等一会才生效。
3、网卡重启后dns设置恢复原来的配置,原因dns写在了网卡配置文件，并启用了networkmanage十、用户修改密码及密码策略：
特别提醒：freeipa的密码策略是新建用户第一次强制修改密码
用户可以在任意一台已注册到freeipa的机器上修改自己的密码：
passwd username也可以登录freeipa web ui自助修改密码十一、sudo权限控制自己去web页面看看，很实用很简单十二、automount用户家目录
暂没实现，很酷的功能。十三、双因素认证otp
暂没实现，很流利的功能。十四、客户端sssd支持主备
cat /etc/sssd/sssd.conf : ipa-server: _srv, ipaserver,ipareplica十五、关于时间不同步造成的一个小错误
一定要保证所有服务器时间同步：
[ldapuser1@admin40 ~]$ kinit
Password for ldapuser1@example.com:
kinit: Clock skew too great while getting initial credentials

强烈推荐： 很不错一篇QA：http://www.0zu.net/freeipa/freeipa-qa.html https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/index.html