L étude des différentes possibilités pour définir des groupes de diffusion via l'annuaireldap.

Transcription

1 1 / 21

2 SOMMAIRE 1. Sujet du projet... page 2 2. Définition de Ldap... page 3 3. Définition de Samba... page 4 4. Mise en œuvre du projet... page 5 5. Installation et configuration du serveur... page 7 6. Configuration des machines clientes... page Conclusion... page 16 2 / 21

3 1 SUJET DU PROJET Installation d'un annuaire Ldap sous Linux permettant: L'authentification des utilisateurs Unix et Windows La disponibilité des informations de l'annuaire pour les clients de messagerie Thunderbird ou Outlook. L étude des différentes possibilités pour définir des groupes de diffusion via l'annuaireldap. L'étude la sécurité de ce système: cryptage des mots de passe sur le réseau, possibilités ou non, de changer les caractéristiques d'un utilisateur à partir d'une station du réseau. Principe d'échanges du serveur Ldap Ldap Annuaire contenant les informations des utilisateurs: login, groupe réseau, adresse mail etc... Authentification Samba Partages Dossiers partagés, dossier personnel des utilisateurs Machine Windows 3 / 21

4 2 Définition de LDAP 2.1 Ldap c'est quoi? LDAP est l'acronyme de Lightweight Directory Access Protocol LDAP est le protocole d'annuaire sur TCP/IP réalisé par l'université du Michigan: il est né de la nécessaire adaptation du protocole DAP (protocole d'accès au service d'annuaire X500 de l'osi) à l'environnement TCP/IP. Initialement frontal d'accès à des annuaires X500, LDAP est devenu en 1995, un annuaire natif (standalone LDAP) sous l'impulsion d'une équipe de l'université du Michigan (Wengyik Yeong, Steve Kille, Colin Robbins, Tim Howes, Marc Wahl). 2.2 Concept de l'annuaire Ldap Le concept est similaire à la structure d'un disque dur, hormis le fait que la racine s'appelle ici : "The world" (le monde), et que les dossiers du premier niveau sont assimilés à des pays. Les niveaux inférieurs de la structure contiennent des entrées de sociétés, d'organisations ou de lieux tandis que les niveaux encore inférieurs sont des gens, voires des équipements ou des documents. Pour expliquer rapidement, toutes les informations sont stockées dans un arbre. La première étape est de déterminer l'arborescence des annuaires, ou autrement dit des informations de l'arbre (Directory Information Tree). Abreviations utilisées pour le nomage dc = Domain Component o = Organization c = Country cn = Common Name ou = Organizational Unit 4 / 21

5 3 Définition de Samba Samba est un outil fantastique qui permet de rassembler deux mondes complètement différents : le monde Unix et le monde Windows. Le logiciel est développé sous la licence publique GNU, donc il est gratuit. Samba va permettre à notre serveur Unix d'être vu comme s'il était une machine Windows. Cela signifie que toute personne utilisant une machine Windows sera capable d'utiliser des ressources sur un serveur Unix de la même façon que s'il était un pur serveur NT ou LanManager. Actuellement, cela ne peut se faire que via le protocole réseau TCP/IP. Samba est une implémentation du protocole SMB (Server message Block) pour Unix. Le protocole SMB est le cœur de NetBIOS. Il va permettre de partager des répertoires et imprimantes Unix avec Windows 98, Windows NT, Windows 2000, Windows XP ou n'importe quel autre client supportant NetBIOS et le tout sans logiciel spécial du côté du client. Il nécessitera juste que TCP/IP soit configuré sur chaque machine devant accéder à Samba. Samba fonctionne sur schéma client serveur 5 / 21

6 4 Mise en œuvre du projet Afin de réaliser le projet nous avons choisi de simuler la mise en place d'un serveur Unix avec OpenLdap dans un établissement scolaire. Nous avons aussi décidé de faire en sorte que le projet d'application soit opérationnel dans un environnement professionnel réel. C'est pour cela que nous avons voulu aller un peu plus loin dans le projet en mettant en place un script permettant l'automatisation des entrées des utilisateurs par l'administrateur. Nous avons aussi mis en place des interfaces d'administration WEB afin de rendre la gestion du serveur plus conviviale. 4.1 Schéma de notre annuaire Nous avons donné comme nom à notre domaine junath.org, celui-ci sera découpé en trois unités organisationnelles ( ou ) users, groups et machines. Afin de mieux répartir les utilisateurs nous avons séparé l'ou users en sous-unités organisationnelles 6eme, 5eme, 4eme, 3eme et profs. L'ou groups contiendra les groupes Posix et SambaMapping définissant les droits sur les partages réseaux. L'ou machines est un peu spéciale, on viendra y placer des comptes utilisateurs spéciaux correspondants aux noms des machines Windows autorisées à joindre le domaine Samba. En effet avec Samba seuls les PC dont le nom existe dans la base ( Ldap ou Samba) sont autorisés à se connecter, heureusement cela peut se faire de manière automatisée. dc = org dc = junath ou = machines ou = users ou = groups ou = 6eme ou = 5eme ou =... ou = profs 6 / 21

7 4.2 Distribution et logiciels utilisés. Notre choix parmi les distributions serveur s'est orienté sur Ubuntu Server 6.06 LTS, une distribution légère et fiable basée sur Debian, qui offre une grande facilité pour l'installation de packages ainsi qu'un serveur Web apache installé par défaut. Pour pouvoir utiliser notre serveur nous avons aussi du installer les logiciels suivants: XFCE-4 & X ( interface graphique ) OPENLDAP ( le serveur ldap ) SAMBA ( serveur de fichier et de nom de domaine Windows ) PHPLDAPADMIN ( interface d'administration de ldap en ligne ) WEBMIN ( interface d'administration générale du serveur Ubuntu ) 7 / 21

8 5) Installation et configuration du serveur 5.1 Installation de la distribution 8 / 21

9 9 / 21

10 5.2 Installation de l'interface graphique. Par défaut Ubuntu Server ne fonctionne qu'en console, mais afin de rendre plus agréable le travail sur le serveur nous avons installé un gestionnaire de fenêtres léger: XFCE. Implémentation du serveur X: sudo apt-get install xserver-xorg-core x11-common Implémentation de XFCE 4: sudo apt-get install xfce4 Installation d'un éditeur de texte: sudo apt-get install gedit Pour lancer l'interface graphique, il suffit de taper startx en console. 5.3 Installation de OpenLdap Installation du package: sudo apt-get install slapd ldaputils Lecture des listes de paquets... Fait Construction de l'arbre des dépendances Lecture de l'information d'état... Fait Les paquets supplémentaires suivants seront installés : libdb4.2 libiodbc2 libldap Paquets recommandés : db4.2-util Les NOUVEAUX paquets suivants seront installés : ldap-utils libdb4.2 libiodbc2 libldap slapd 0 mis à jour, 5 nouvellement installés, 0 à enlever et 0 non mis à jour. Il est nécessaire de prendre 1698ko dans les archives. Après dépaquetage, 4592ko d'espace disque supplémentaires seront utilisés. Souhaitez-vous continuer [O/n]? 10 / 21

11 Paramétrage de Slapd: Le démon chargé de gérer Ldap se nomme slapd, pour le configurer il faut éditer le fichier /etc/ldap/slapd.conf ( Voir annexe pour le fichier sldap.conf complet ) et modifier certains paramètres: suffix "dc=junath,dc=org" # racine de la base rootdn "cn=admin,dc=junath,dc=org" # noms de l'utilisateur root pour slapd rootpw julien # password de l'administrateur, en clair. Nous allons maintenant crypter le mot de passe: admin@serveurldap:~$ sudo slappasswd New password: Re-enter new password: {SSHA}5y67xJ/t7esuGKUD7TQPcgykd8xiYMO2 Et remplacer le mot de passe en clair par la chaine cryptée. Pour finir on lance le démon slapd: admin@serveurldap:~$ sudo /etc/init.d/sldap start Pour l'instant la base de données ldap est vierge, nous allons maintenant la peupler avec les informations de base contenues dans le fichier base.ldif ( Voir annexe pour le fichier base.ldif ). admin@serveurldap:~$ sudo ldapadd -x -D "cn=admin,dc=mondomaine,dc=com" -w admin -f base.ldif 5.4 Installation de Samba Installation du package admin@serveurldap:~$ sudo apt-get install samba samba-client smbfs sambadoc Ajout du lien entre Ldap et Samba Pour que samba puisse fonctionner avec Ldap, il faut copier le schéma samba dans /etc/ldap/schema/ et éditer le fichier slapd.conf pour ajouter la ligne «include/etc/ldap/schema/samba.schema». 11 / 21

12 sudo gunzip -c /usr/share/doc/sambadoc/examples/ldap/samba.schema.gz > /etc/ldap/schema/samba.schema Configuration de Samba La configuration de Samba est importante car c'est grâce à lui que les clients Windows pourront se connecter à notre serveur. Pour cela nous allons éditer le fichier /etc/samba/smb.conf et ajouter les paramètres concernant le nom de domaine, les partages réseaux et les droits des utilisateurs. Extrait du fichier 1 : # paramètres concernant ldap ldap ssl = off ldap user suffix = ou=users # emplacement des utilisateurs ldap machine suffix = ou=machines #ou où seront stockées le nom des machines #autorisées à ce connectées ldap group suffix = ou=groups # emplacement des groupes utilisateurs ldap suffix = dc=junath,dc=org passdb backend = ldapsam:ldap://localhost # Samba est le controleur du domaine junath.org domain master = yes domain logons = yes #autoriser les clients à ce connecter au domaine workgroup = junath.org #nom du domaine netbios name = serveurldap #nom Netbios de notre serveur #exemple de partage [prof_commun] comment = dossier commun des professeurs valid users write list #seul les membres du groupe profs peuvent écrire path = /home/profcommun #chemin du dossier sur le serveur browseable = yes # Visible depuis le réseau 1 Voir annexe pour le fichier smb.conf complet Samba est désormais configuré, pour terminer l'installation, nous allons lancer le démon, nous en profiterons pour relancer slapd afin qu'il prenne en compte l'ajout du schéma samba. admin@serveurldap:~$ sudo /etc/init.d/samba start admin@serveurldap:~$ sudo /etc/init.d/slapd restart 12 / 21

13 5.5 Installation de Phpladmin et Webmin Pour administrer notre serveur, nous avons décidé de nous servir de deux outils: Phpladmin et Webmin, ces outils ont l'avantage d'être en ligne donc utilisables de n'importe quelle machine que ce soit sous Linux ou Windows du moment qu'un navigateur Web soit installé. Phpldapadmin gère uniquement le serveur ldap, il permet de créer n'importe quel objet ( ou, utilisateur, groupe) facilement, en revanche son interface est un peu lourde pour une bonne gestion des utilisateurs par exemple. Webmin, quand à lui, gère l'ensemble du système: services,périphériques, utilisation des disques, etc. Même s'il ne permet pas de modifier la structure de la base ldap, il permet toutefois de créer des utilisateurs rapidement et de pouvoir changer de manière conviviale un mot de passe, un nom ou une adresse mail. Installation des packages. Le paquet Webmin pour Ubuntu étant passablement ancien, nous avons utilisé une version de Webmin téléchargée directement sur le site officiel, puis installée via la commande dpkg. admin@serveurldap:~$sudo apt-get install php5-ldap phpldapadmin admin@serveurldap:~$sudo dpkg --install webmin_1.340_all.deb Exemples d'interfaces de Webmin et PhpLdapadmin. 13 / 21

14 5.6 Un peu de script Pour l'instant nous n'avons trouvé aucun outil permettant de saisir rapidement une liste d'utilisateurs, heureusement les outils fournis avec OpenLdap sont très puissants, le problème a donc été contourné grâce à un script rudimentaire en Bash. Le but de ce script est de pouvoir entrer en boucle une liste de noms d'utilisateurs, l'adresse mail est déterminée automatiquement à partir du login. De plus un mot de passe standard ( ici password) est attribué à chaque utilisateur. #!/bin/bash #password par defaut pass="password" read -p "choix de l'ou: " ou ou="-o "$ou echo $ou read -p "choix du groupe: " grp smbldap-groupshow $grp>/dev/null if [ $? -ne 0 ]; then echo "le groupe n'existe pas" exit 1 fi #on récupère le gid du groupe grp=`smbldap-groupshow $grp grep gidnumber cut -d: -f2 ` echo "ajout des utilisateurs (ctrl C pour quitter)" while [ 1 ] do read -p "prénoms: " prenoms read -p "noms: " noms read -p "username: " user mail=$user"@junath.org" #ajout de l'utilisateur smbldap-useradd -a -m $ou -g $grp -M $mail -N $prenoms -S $noms $user if [ $? -ne 0 ]; then echo "problème durant l'ajout de l'utilisateur" exit 1 fi #ajout du mot de passe par defaut echo -e "$pass\n$pass" smbpasswd -s $user if [ $? -ne 0 ]; then echo "problème durant l'ajout du mot de passe" exit 1 fi done 6 Configuration des machines clientes La configuration des machines Windows est simple, dans la fenêtre propriétés réseaux, onglet nom de l'ordinateur il suffit d'indiquer le nom du domaine ( junath.org ) et de rentrer le nom d'utilisateur root et son mot de passe. C'est à dire que seule la personne qui connait le mot de passe du compte root définit dans Samba peut joindre une machine au domaine, ce qui ajoute un degré de sécurité supplémentaire. 14 / 21

15 Pour Oulook, il suffit d'ajouter un compte de type service d'annuaire: 15 / 21

16 Pour thunderbird, la configuration se fait par le menu option/outils, menu rédaction, ajouter un service d'annuaire. 16 / 21

17 7 Conclusion La mise en place d'un serveur Ldap dans une entreprise peut être très avantageuse pour des raisons de coût très faible et d'une installation relativement aisée. Gràce au serveur apache intégré, l'administration peut être gérée à partir de n'importe quelle machine ayant un navigateur Web. En revanche, les outils proposés ne sont pas très intuitifs ou incomplets: Phpldapadmin est puissant mais sa prise en main est difficile et nécessite une très bonne connaissance de l'architecture des annuaires Ldap. Webmin quand à lui permet de gérer assez facilement Samba, mais est au trop léger pour Ldap. De plus certains fichiers de configuration doivent être modifiés à la main. En conclusion, on peut dire que Ldap est un protocole puissant et souple mais manquant encore d'outils d'administration complets et simples d'emploi pour pouvoir être utilisés facilement en entreprise. 17 / 21

18 ANNEXES Sldap.conf # This is the main slapd configuration file. See slapd.conf(5) for more # info on the configuration options. ####################################################################### # Global Directives: # Features to permit allow bind_v2 # Schema and objectclass definitions include /etc/ldap/schema/core.schema include /etc/ldap/schema/cosine.schema include /etc/ldap/schema/nis.schema include /etc/ldap/schema/inetorgperson.schema include /etc/ldap/schema/samba.schema # Schema check allows for forcing entries to # match schemas for their objectclasses's schemacheck on # Where the pid file is put. The init.d script # will not stop the server if you change this. pidfile /var/run/slapd/slapd.pid # List of arguments that were passed to the server argsfile /var/run/slapd.args # Read slapd.conf(5) for possible values loglevel 1 # Where the dynamically loaded modules are stored modulepath /usr/lib/ldap moduleload back_bdb ####################################################################### # Specific Backend Directives for bdb: # Backend specific directives apply to this backend until another # 'backend' directive occurs backend bdb checkpoint ####################################################################### # Specific Directives for database #1, of type bdb: # Database specific directives apply to this databasse until another # 'database' directive occurs database bdb # The base of your directory in database #1 suffix "dc=junath,dc=org" 18 / 21

19 # Where the database file are physically stored for database #1 directory "/var/lib/ldap" rootdn rootpw "cn=admin,dc=junath,dc=org" {SSHA}5y67xJ/t7esuGKUD7TQPcgykd8xiYMO2 # Indexing options for database #1 index objectclass eq # Save the time that the entry gets modified, for database #1 lastmod on # Where to store the replica logs for database #1 # replogfile /var/lib/ldap/replog access to attrs=userpassword by dn="cn=admin,dc=junath,dc=org" write by anonymous auth by self write by * none access to dn.base="" by * read # The admin dn has full write access, everyone else # can read everything. access to * by dn="cn=admin,dc=junath,dc=org" write by * read access to attr=sambantpassword by self write by anonymous auth by dn="cn=manager,dc=kervao,dc=fr" write by * none access to attr=sambalmpassword by self write by anonymous auth by dn="cn=manager,dc=kervao,dc=fr" write by * none Smb.conf [global] log file = /var/log/samba/%m.log ldap ssl = off ldap user suffix = ou=users logon drive = H: domain master = yes encrypt passwords = yes logon home = \\%N\profiles\%U passdb backend = ldapsam:ldap://localhost 19 / 21

20 netbios name = serveurldap ldap delete dn = no ldap machine suffix = ou=machines ldap group suffix = ou=groups logon script = logon_%g.bat ldap suffix = dc=junath,dc=org local master = yes workgroup = junath.org logon path = \\%N\profiles\%U os level = 40 ldap admin dn = "cn=admin,dc=junath,dc=org" security = user log level = 2 domain logons = yes unix password sync = no add machine script = /usr/sbin/smbldap-useradd -t 0 -w "%u" [netlogon] path = /home/netlogon writeable = no browseable = no [profiles] path = /home/export/profile browseable = no writeable = yes create mask = 0700 directory mask = 0700 [homes] path = /home/export comment = Repertoire Personnel browseable = no writable = yes invalid users = invite base.ldif version: 1 #base de l'annuaire dn: dc=junath,dc=org objectclass: dcobject objectclass: organization dc: junath o: junath description: junath dn: ou=groups,dc=junath,dc=org objectclass: top objectclass: organizationalunit objectclass: sambagroupmapping ou: groups sambagrouptype: 2 20 / 21

21 sambasid: S #Le groupe élèves. dn: cn=eleves,ou=groups,dc=junath,dc=org cn: eleves gidnumber: 1002 objectclass: posixgroup objectclass: top objectclass: sambagroupmapping objectclass: sambaconfig sambagrouptype: 2 sambasid: S #Le groupe profs. dn: cn=profs,ou=groups,dc=junath,dc=org sambasid: S sambagrouptype: 2 objectclass: posixgroup objectclass: sambagroupmapping objectclass: sambaconfig gidnumber: 1001 cn: profs #l'unité organisationnelle machines dn: ou=machines,dc=junath,dc=org objectclass: top objectclass: organizationalunit ou: machines #l'unité organisationnelle users avec les sous unités correspondantes dn: ou=users,dc=junath,dc=org objectclass: top objectclass: organizationalunit ou: users dn: ou=3eme,ou=users,dc=junath,dc=org ou: 3eme objectclass: organizationalunit objectclass: top dn: ou=4eme,ou=users,dc=junath,dc=org ou: 4eme objectclass: organizationalunit objectclass: top dn: ou=5eme,ou=users,dc=junath,dc=org ou: 5eme objectclass: organizationalunit objectclass: top dn: ou=6eme,ou=users,dc=junath,dc=org ou: 6eme objectclass: organizationalunit objectclass: top dn: ou=profs,ou=users,dc=junath,dc=org ou: profs objectclass: organizationalunit objectclass: top 21 / 21