Pasos de verificación

1. Compruebe que las entradas de sss para SSSD están presentes en /etc/nsswitch.conf:

   passwd:     sss files
   group:      sss files
   netgroup:   sss files
   automount:  sss files
   services:   sss files
   ...

2. Revise el contenido del archivo /etc/pam.d/system-auth para ver las entradas de pam_sss.so:

   # Generated by authselect on Tue Sep 11 22:59:06 2018
   # Do not modify this file manually.
   
   auth        required        pam_env.so
   auth        required        pam_faildelay.so delay=2000000
   auth        [default=1 ignore=ignore success=ok]    pam_succeed_if.so uid >= 1000 quiet
   auth        [default=1 ignore=ignore success=ok]    pam_localuser.so
   auth        sufficient      pam_unix.so nullok try_first_pass
   auth        requisite       pam_succeed_if.so uid >= 1000 quiet_success
   auth        sufficient      pam_sss.so forward_pass
   auth        required        pam_deny.so
   
   account     required        pam_unix.so
   account     sufficient      pam_localuser.so
   ...

Procedimiento

1. Seleccione un perfil de authselect, por ejemplo:

   # authselect select sssd

2. Edite el archivo /etc/authselect/user-nsswitch.conf con los cambios que desee.

3. Aplique los cambios del archivo /etc/authselect/user-nsswitch.conf:

   # authselect apply-changes

Procedimiento

1. Cree su perfil personalizado utilizando el comando authselect create-profile. Por ejemplo, para crear un perfil personalizado llamado user-profile basado en el perfil ya preparado sssd pero en el que usted mismo puede configurar los elementos del archivo /etc/nsswitch.conf:

   # authselect create-profile user-profile -b sssd --symlink-meta --symlink-pam
   New profile was created at /etc/authselect/custom/user-profile

   Incluir la opción --symlink-pam en el comando significa que las plantillas PAM serán enlaces simbólicos a los archivos del perfil de origen en lugar de su copia; incluir la opción --symlink-meta significa que los meta archivos, como README y REQUIREMENTS serán enlaces simbólicos a los archivos del perfil de origen en lugar de su copia. Esto asegura que todas las futuras actualizaciones de las plantillas PAM y los meta archivos en el perfil original se reflejarán también en su perfil personalizado.

   El comando crea una copia del archivo /etc/nsswitch.conf en el directorio /etc/authselect/custom/user-profile/.

2. Configure el archivo /etc/authselect/custom/user-profile/nsswitch.conf.

3. Seleccione el perfil personalizado ejecutando el comando authselect select, y añadiendo custom/name_of_the_profile como parámetro. Por ejemplo, para seleccionar el perfil user-profile:

   # authselect select custom/user-profile

   La selección del perfil user-profile para su máquina significa que si el perfil sssd es actualizado posteriormente por Red Hat, se beneficiará de todas las actualizaciones a excepción de las realizadas en el archivo /etc/nsswitch.conf.

1. Edite el archivo /etc/nsswitch.conf editando la siguiente línea:

   hosts:      files

2. Cree un perfil personalizado basado en sssd que excluya los cambios en /etc/nsswitch.conf:

   # authselect create-profile user-profile -b sssd --symlink-meta --symlink-pam

3. Seleccione el perfil:

   # authselect select custom/user-profile

4. Opcionalmente, compruebe que la selección del perfil personalizado tiene

   • crear el archivo /etc/pam.d/system-auth de acuerdo con el perfil elegido sssd

   • dejó la configuración en el /etc/nsswitch.conf sin cambios:

     hosts:      files

     Nota

     Por el contrario, si se ejecuta authselect select sssd , el resultado sería

     hosts:      files dns myhostname

1. Conecta al cliente con un proveedor remoto para recuperar la información de identidad y autenticación.
2. Utiliza la información de autenticación obtenida para crear una caché local de usuarios y credenciales en el cliente.

1. El archivo principal /etc/sssd/sssd.conf
2. Otros archivos de *.conf en /etc/sssd/conf.d/, en orden alfabético

Procedimiento

1. Instale los paquetes necesarios:

   # dnf -y install openldap-clients sssd sssd-ldap oddjob-mkhomedir

2. Cambie el proveedor de autenticación a sssd:

   # authselect select sssd with-mkhomedir

3. Copie el archivo core-dirsrv.ca.pem que contiene la cadena de certificados de firma de la CA raíz de la autoridad de certificación que emitió el certificado SSL/TLS del servidor OpenLDAP en la carpeta /etc/openldap/certs.

   # cp core-dirsrv.ca.pem /etc/openldap/certs

4. Añade la URL y el sufijo de tu servidor LDAP al archivo /etc/openldap/ldap.conf:

   URI ldap://ldap-server.example.com/
   BASE dc=example,dc=com

5. En el archivo /etc/openldap/ldap.conf, añada una línea que señale el parámetro TLS_CACERT a /etc/openldap/certs/core-dirsrv.ca.pem:

   # When no CA certificates are specified the Shared System Certificates
   # are in use. In order to have these available along with the ones specified
   # by TLS_CACERTDIR one has to include them explicitly:
   TLS_CACERT /etc/openldap/certs/core-dirsrv.ca.pem

6. En el archivo /etc/sssd/sssd.conf, añada sus valores de entorno a los parámetros ldap_uri y ldap_search_base:

   [domain/default]
   id_provider = ldap
   autofs_provider = ldap
   auth_provider = ldap
   chpass_provider = ldap
   ldap_uri = ldap://ldap-server.example.com/
   ldap_search_base = dc=example,dc=com
   ldap_id_use_start_tls = True
   cache_credentials = True
   ldap_tls_cacertdir = /etc/openldap/certs
   ldap_tls_reqcert = allow
   
   [sssd]
   services = nss, pam, autofs
   domains = default
   
   [nss]
   homedir_substring = /home
   …

7. En /etc/sssd/sssd.conf, especifique el requisito de autenticación TLS modificando los valores ldap_tls_cacert y ldap_tls_reqcert en la sección [domain]:

   …
   cache_credentials = True
   ldap_tls_cacert = /etc/openldap/certs/core-dirsrv.ca.pem
   ldap_tls_reqcert = hard
   …

8. Cambie los permisos del archivo /etc/sssd/sssd.conf:

   # chmod 600 /etc/sssd/sssd.conf

9. Reinicie y active el servicio SSSD y el demonio oddjobd:

   # systemctl restart sssd oddjobd
   # systemctl enable sssd oddjobd

10. (Opcional) Si su servidor LDAP utiliza los protocolos obsoletos TLS 1.0 o TLS 1.1, cambie la política criptográfica de todo el sistema en el sistema cliente al nivel LEGACY para permitir que RHEL 8 se comunique utilizando estos protocolos:

    # update-crypto-policies --set LEGACY

    Para más detalles, consulte la sección Funcionalidad obsoleta en las Notas de la versión de RHEL 8.0.

Procedimiento

1. Cree la cuenta de usuario AD_user localmente sin asignarle una contraseña:

   # useradd AD_user

2. Abra el archivo /etc/nsswitch.conf para editarlo y asegúrese de que contiene las siguientes líneas:

   passwd:     sss files systemd
   group:      sss files systemd
   shadow:     files sss

3. Abra el archivo /etc/krb5.conf para editarlo y asegúrese de que contiene las siguientes secciones y elementos:

   # To opt out of the system crypto-policies configuration of krb5, remove the
   # symlink at /etc/krb5.conf.d/crypto-policies which will not be recreated.
   includedir /etc/krb5.conf.d/
   
   [logging]
       default = FILE:/var/log/krb5libs.log
       kdc = FILE:/var/log/krb5kdc.log
       admin_server = FILE:/var/log/kadmind.log
   
   [libdefaults]
       dns_lookup_realm = false
       ticket_lifetime = 24h
       renew_lifetime = 7d
       forwardable = true
       rdns = false
       pkinit_anchors = /etc/pki/tls/certs/ca-bundle.crt
       spake_preauth_groups = edwards25519
       default_realm = EXAMPLE.COM
       default_ccache_name = KEYRING:persistent:%{uid}
   
   [realms]
    EXAMPLE.COM = {
        kdc = ad.example.com
        admin_server = ad.example.com
    }
   
   [domain_realm]
    .example.com = EXAMPLE.COM
    example.com = EXAMPLE.COM

4. Cree el archivo /etc/sssd/sssd.conf e inserte en él las siguientes secciones y líneas:

   [sssd]
       services = nss, pam
       domains = EXAMPLE.COM
   
   [domain/EXAMPLE.COM]
       id_provider = files
       auth_provider = krb5
       krb5_realm = EXAMPLE.COM
       krb5_server = ad.example.com

5. Cambie los permisos del archivo /etc/sssd/sssd.conf:

   # chmod 600 /etc/sssd/sssd.conf

6. Inicie el demonio de servicios del sistema de seguridad (SSSD):

   # systemctl start sssd

7. Activar SSSD:

   # systemctl enable sssd

8. Abra el archivo /etc/pam.d/system-auth y modifíquelo para que contenga las siguientes secciones y líneas:

   # Generated by authselect on Wed May  8 08:55:04 2019
   # Do not modify this file manually.
   
   auth        required                                     pam_env.so
   auth        required                                     pam_faildelay.so delay=2000000
   auth        [default=1 ignore=ignore success=ok]         pam_succeed_if.so uid >= 1000 quiet
   auth        [default=1 ignore=ignore success=ok]         pam_localuser.so
   auth        sufficient                                   pam_unix.so nullok try_first_pass
   auth        requisite                                    pam_succeed_if.so uid >= 1000 quiet_success
   auth        sufficient                                   pam_sss.so forward_pass
   auth        required                                     pam_deny.so
   
   account     required                                     pam_unix.so
   account     sufficient                                   pam_localuser.so
   account     sufficient                                   pam_succeed_if.so uid < 1000 quiet
   account     [default=bad success=ok user_unknown=ignore] pam_sss.so
   account     required                                     pam_permit.so
   
   password    requisite                                    pam_pwquality.so try_first_pass local_users_only
   password    sufficient                                   pam_unix.so sha512 shadow nullok try_first_pass use_authtok
   password    sufficient                                   pam_sss.so use_authtok
   password    required                                     pam_deny.so
   
   session     optional                                     pam_keyinit.so revoke
   session     required                                     pam_limits.so
   -session    optional                                     pam_systemd.so
   session     [success=1 default=ignore]                   pam_succeed_if.so service in crond quiet use_uid
   session     required                                     pam_unix.so
   session     optional                                     pam_sss.so

9. Copie el contenido del archivo /etc/pam.d/system-auth en el archivo /etc/pam.d/password-auth. Introduzca yes para confirmar la sobreescritura del contenido actual del archivo:

   # cp /etc/pam.d/system-auth /etc/pam.d/password-auth
   cp: overwrite '/etc/pam.d/password-auth'? yes

Pasos de verificación

1. Solicite un ticket Kerberos (TGT) para AD_user. Introduzca la contraseña de AD_user tal y como se solicita:

   # kinit AD_user
   Password for AD_user@EXAMPLE.COM:

2. Muestra el TGT obtenido:

   # klist
   Ticket cache: KEYRING:persistent:0:0
   Default principal: AD_user@EXAMPLE.COM
   
   Valid starting     Expires            Service principal
   11/02/20 04:16:38  11/02/20 14:16:38  krbtgt/EXAMPLE.COM@EXAMPLE.COM
   	renew until 18/02/20 04:16:34

Procedimiento

1. Para mostrar la ayuda del comando sssctl, introduzca:

   [root@client1 ~]# sssctl --help
   ....

2. Para mostrar una lista de dominios disponibles, introduzca:

Procedimiento

1. Para mostrar la ayuda del comando sssctl, introduzca:

   [root@client1 ~]# sssctl --help

2. Para mostrar los datos de los usuarios de un determinado dominio, introduzca:

   [root@client1 ~]# sssctl domain-status idm.example.com
   Online status: Online
   
   Active servers:
   IPA: master.idm.example.com
   
   Discovered IPA servers:
   - master.idm.example.com