Kerberos a LDAP

Adresářová služba LDAP a autentizace pomocí Kerberos nejsou ve světě IT žádnými novinkami. Široká škála jejich implementací pokrývá jak platformu Windows (Active Directory), tak svět unixových a linuxových distribucí (OpenLDAP, 389 Directory Server, FreeIPA a další). I v současných podnikových IT prostředích zůstávají tyto technologie klíčovou součástí centralizované správy identit, autentizace a řízení přístupu, a to včetně integrace s moderními a hybridními infrastrukturami. S narůstající složitostí IT systémů a jejich správy se administrátoři i vývojáři často vzdalují základní konfiguraci nebo implementaci jednotlivých služeb a používají nadstavbu konfiguračních nástrojů nebo vyšší implementační postupy, aniž by měli detailní znalosti o funkcích, možnostech a omezeních základních technologických prvků nebo protokolů.

Kurz Kerberos a LDAP jde v tomto ohledu ke kořenům. Je koncipován tak, že jednak poskytne systematický úvod do fungování obou služeb jednotlivě i ve vzájemném propojení a dále poukáže na některé speciální vlastnosti a aspekty jejich nasazení, včetně aktuálních bezpečnostních postupů, centralizované autentizace a integrace s moderními linuxovými systémy. Teoretický výklad se v kurzu střídá s praktickými laby tak, aby účastníci po absolvování kurzu měli kromě teoretického porozumění také schopnosti a dovednosti bezprostředně použitelné při nasazování, zabezpečení a správě obou technologií.

Lektor kurzu

RNDr. TOMÁŠ JENÍČEK

RNDr. Tomáš Jeníček se zabývá správou IT a nasazováním Linuxu v různých prostředích již od roku 1995. Od počátku se specializoval zejména na distribuce Red Hat. Bezmála dvacet let působil jako instruktor certifikovaných kurzů Red Hat a examinátor při certifikacích Red Hat. Patřil mezi první odborníky v ČR, kteří získali titul Red Hat Certified Architect.

Více o lektorovi

Od roku 2004 působil bezmála dvacet let jako instruktor certifikovaných kurzů Red Hat a současně také jako examinátor při certifikacích Red Hat.

V posledních přibližně 10 letech se věnoval také cloudovým technologiím a jako instruktor vedl certifikované kurzy AWS.

V současné době působí v oddělení datových úložišť v CESNETu, kde se věnuje nasazení a správě clusterů Ceph.

Cílová skupina

• Systémoví administrátoři Linux/Unix a Windows
• Správci IT infrastruktury a adresářových služeb
• Specialisté na správu identit a přístupových oprávnění (IAM)
• Specialisté na IT bezpečnost se zaměřením na autentizaci a řízení přístupu
• IT architekti a projektanti IT systémů
• Vývojáři aplikací využívajících LDAP a Kerberos pro autentizaci a autorizaci

Cíle kurzu

Osnova

Úvod do adresářových služeb a typy modelů

• Co je adresářová služba
• Příklady použití adresářové služby
• Historie služby X.500 a její slabiny
• LDAP jako nástupce X.500
• Typy LDAP modelů: informační, jmenný, funkcionální a bezpečnostní
• Současné adresářové služby: OpenLDAP, 389 Directory Server a Active Directory
• Role LDAP v centralizované správě identit a podnikové infrastruktuře

Informační model

• Adresářové schéma: atributy, třídy, OID
• Standardy definování schémat
• Definice atributů
• Vyhledávání a porovnávací operátory pro atributy
• Objektové třídy: strukturální a pomocné
• Odvozování a dědičnost ve třídách
• Speciální pomocná třída extensibleObject
• LDIF
• Aspekty při rozvrhování adresářové služby
• Bezpečnost dat v adresáři a řízení přístupu k datům

Jmenný model a organizace dat

• Distinguished Name a Directory Information Tree
• Role sufixu a jeho volba
• Dvě základní koncepce jmenného prostoru: hloubka a šíře
• Definice jmenného prostoru v LDIF
• Projektování adresáře
• Doporučené postupy při návrhu adresářové struktury a organizaci uživatelských účtů

Práce s existujícím adresářem

• Funkcionální model
• Dotazování (search, compare)
• Manipulace s daty (add, delete, modify, modify RDN)
• Autentikace (bind, unbind, abandon)
• Řádkové nástroje balíku openldap-clients
• Konfigurace LDAP klienta
• Vyhledávání v adresáři: rozsahy, operátory a filtry
• Speciální sufixy cn=config, cn=monitor a cn=schema v prostředí OpenLDAP
• Praktické použití ldapadd, ldapdelete, ldappasswd, ldapmodify
• Použití formátu LDIF pro manipulaci s daty
• Diagnostika LDAP dotazů a řešení běžných problémů s připojením a vyhledáváním

Autentikace a bezpečnost

• Autentikace, autorizace a audit
• Autentizační metody: simple-bind a SASL-bind
• Bezpečná komunikace: TLS 1.2/1.3, LDAPS a StartTLS
• Tvorba a instalace certifikátu pomocí OpenSSL, konfigurace klienta
• Politika řízení klientského přístupu k adresářové službě: bind-policy
• Bezpečnost dat: šifrování a Access Control Lists
• Bezpečnostní doporučení: omezení nešifrované komunikace, správa certifikátů a minimální oprávnění
• Základní bezpečnostní rizika LDAP a možnosti jejich omezení

Provoz

• Instalace jednoduché LDAP služby s použitím OpenLDAP na podporované linuxové distribuci
• Přehled 389 Directory Server jako alternativního adresářového řešení
• Vysoká dostupnost a replikace
• Distribuce dat: referral
• Zálohování a disaster recovery
• Zvýšení efektivity přístupu: indexování
• Monitorování a logování
• Základní diagnostika výkonu, dostupnosti a chyb adresářových služeb

LDAP jako centrální zdroj identit a autentizačních informací

• Projektové úvahy: výběr tříd a mapování atributů
• LDAP a PAM
• Centralizovaná správa účtů v RHEL pomocí LDAP, SSSD a authselect
• Konfigurace NSS a PAM v současných linuxových distribucích
• LDAP a Samba: krátké nahlédnutí
• Přehled možností připojení Linuxu k Active Directory pomocí SSSD a realmd

Kerberos, počítáme do tří

• Historický úvod: co je Kerberos a co Cerberus?
• Základní pojmy a zkratky: KDC, AS, TGS, TGT, principal, realm a další
• Od klienta ke KDC a aplikačnímu serveru: jak to všechno funguje
• Současné implementace Kerberos 5: MIT Kerberos, balíky, služby a konfigurační soubory
• Kerberos, DNS a synchronizace času (NTP/chrony)
• Kerberos v podnikové infrastruktuře a jeho vztah k Active Directory

Instalace a bezpečnost Kerberos

• Jednoduchá instalace Master KDC, kadmin, další nástroje a utility
• Prvotní zabezpečení: krb5.conf, kdc.conf a kadm5.acl
• Instalace aplikačního serveru, principály služeb, keytabs a nástroje ktutil a kvno
• Příprava klientského systému: instalace balíků a konfigurace
• Testovací trivium: kinit, klist a kdestroy
• Zabezpečení komunikace: preautentikace klienta a validace tiketu
• Bezpečnostní konfigurace Kerberos: správa tiketů, keytab souborů, podporované šifrovací algoritmy a ochrana přihlašovacích údajů
• Základní bezpečnostní rizika Kerberos, včetně útoků Kerberoasting a možností jejich prevence
• Vysoká dostupnost: replikace, replica KDC
• Zálohování a obnova KDC databáze
• Diagnostika autentizačních problémů a práce s Kerberos logy

Kerberos a přístup k LDAP

• GSSAPI mechanismus v SASL
• LDAP jako „kerberizovaná“ služba
• Mapování GSSAPI autentikovaných uživatelů
• Praktická konfigurace bezpečné autentizace LDAP pomocí Kerberos a SASL/GSSAPI
• Řešení problémů s autentizací a přístupovými oprávněními

Centralizovaná správa účtů a něco navíc

• Kerberos a PAM
• Centralizovaná autentizace pomocí Kerberos, LDAP, SSSD a authselect v RHEL
• Vztahy přímé a nepřímé důvěry mezi KDC
• Kerberos jako zdroj šifrovacích klíčů: NFSv4
• FreeIPA: stručné představení integrovaného řešení využívajícího LDAP a Kerberos
• Vztah LDAP a Kerberos k moderním autentizačním technologiím (OAuth 2.0, OpenID Connect, SAML) – základní přehled
• Praktická diagnostika centralizované autentizace pomocí nástrojů SSSD a sssctl

Předpoklady účastníka

• Praktické ovládání standardních administračních postupů na systémech s aktuálními distribucemi Linuxu (např. RHEL, Rocky Linux nebo AlmaLinux): instalace balíků, správa služeb, konfigurace systému.
• Rutinní práce s příkazovým řádkem, editory Vim nebo Nano (upozornění: naprostá většina postupů a příkladů se odehrává v prostředí příkazového řádku).
• Základní znalost síťových protokolů TCP/IP, zejména DNS a principů síťové komunikace.
• Základní orientace ve správě uživatelských účtů a přístupových oprávnění v Linuxu.