Page tree

Versions Compared

Key

  • This line was added.
  • This line was removed.
  • Formatting was changed.

Astra Linux, РЕД ОС, ROSA Linux

Info
titleСмена домена

При выходе из домена желательно очистить директорию, содержащую сертификаты старого домена. Для этого достаточно выполнить команду:

sudo rm -r  /etc/pki/nssdb/

Это необходимо для того, чтобы при входе в новый домен, корневой сертификат старого домена не помешал установке нового.

Для Astra Linux Смоленск и РЕД ОС

Info
titleИспользование домена и клиента с разными ОС

Доменная и клиентская машины не обязательно должны иметь одинаковую операционную систему для корректной аутентификации по смарт-картам. Но тем не менее, если версии SSSD – разные, как у Astra Linux (SSSD 16.1.3) и РЕД ОС (SSSD 2.0.0), то на доменной машине должна быть установлена ОС с более новой версией SSSD.

В обратную же сторону настройка домена возможна.

Настройка сервера. Создание домена FreeIPA и пользователя

Для демонстрации настройки было использовано два стенда. Первый был использован в качестве сервера FreeIPA. Он был настроен с помощью следующей последовательности команд:

...

После настройки программы установки сервера FreeIPA отобразится ссылка на веб-интерфейс для управления доменом. Вам потребуется создать нового пользователя, для которого будете настраивать и будет настраиваться доступ по токенуРутокену.

Для этого перейдите на вкладку "Идентификация" → "Пользователи" → "Активные пользователи" и добавьте нового пользователя. В нашем случае был создан пользователь "user".

Image Removed Image Added


Настройка клиента. Подключение к домену

Info
titleДля пользователей Astra Linux

Если в качестве клиента выступает Astra Linux Smolensk, то на нем должно быть установлено пятое обновление безопасности.

...

Code Block
languagebash
titleНастройка клиента
# Меняем имя клиента в нашем домене astradomain.ad на client
sudo hostnamectl set-hostname client.astradomain.ad

# После данного этапа потребуется перезагрузка

# узнайте название вашего соединения. Они могут отличаться
CON_NAME="Проводное соединение 1"
# название интерфейса, которое использует ваше соединение
INT_NAME="eth0"
# адрес dns сервера
DNS_SERVER_IP=10.0.2.37
# отключаем соединение
sudo nmcli con down "Проводное соединение 1$CON_NAME"

# настраиваем сетевую карту соединения - по умолчанию eth0$INT_NAME
sudo nmcli con mod "Проводное соединение 1$CON_NAME" connection.interface-name eth0$INT_NAME

# настраиваем DNS - вместо DNS_SERVER_IP указать IP-адрес сервера DNS. При необходимости указатьуказываем адрес локального сервера DNS. В нашем случае в качестве DNS сервера выступал сам сервер FreeIPA. Поэтому был указан его IP адрес
sudo nmcli con mod "Проводное соединение 1$CON_NAME" ipv4.dns "DNS$DNS_SERVER_IP 8.8.8.8"
sudo nmcli con mod "Проводное соединение 1$CON_NAME" ipv4.ignore-auto-dns yes

# включаем сетевое соединение
sudo nmcli con up "Проводное соединение 1$CON_NAME"


### Для Astra Linux
# устанавливаем графический клиент для подключения к домену
sudo apt-get update
sudo apt-get install fly-admin-freeipa-client

# подключаемся к домену через пользователя admin
sudo fly-admin-freeipa-client


### Для РЕД ОС
# устанавливаем графический клиент для подключения к домену
sudo yum update
sudo yum -y install ipa-client

### Для Rosa
# устанавливаем графический клиент для подключения к домену
sudo urpmi --auto-update
sudo urpmi ipa-client libini_config5 compiz ldb-utils

# подключаемся к домену через пользователя admin
sudo ipa-client-install --mkhomedir --enable-dns-updates


После подключения , настройщик должен написать, что обнаружен настроенный клиент в домене astradomain.ad.

Image RemovedImage Added


Попробуем подключиться к созданному пользователю user:

Code Block
languagebash
titleАутентификация в качестве пользователя user
su user

...

Если после ввода пароля вам удалось аутентифицироваться как пользователь user, значит настройка прошла успешно.

Настройка аутентификации по

...

Рутокену для клиента

Создание заявки на сертификат

Для упрощения настройки был создан скрипт, выполняющий все действия по настройке за вас. Скачаем егоможно воспользоваться графической утилитой по работе с Рутокенами в линукс. Скачаем ее:

Code Block
languagebash
titleУстановка скрипта настройки
# для Astrared os
sudo yum update
sudo yum install git
 
# для astra и alt linux
sudo aptsudo apt-get install gitupdate
sudo apt-get install git
 
# для Ред ОС
sudo yum install rosa
sudo urpmi --auto-update
sudo urpmi git


git clone https://github.com/AktivCo/rutoken-linux-domaingui-usermanager -2fa-tuner
cd linux-domain-user-2fa-tuner

Вставим токен и запустим скрипт (запускать не из под рута! скрипт сам запрашивает пароль администратора, когда это потребуется):

Code Block
languagebash
titleЗапуск скрипта настройки
bash ./setup.sh

После ввода пароля в первую очередь необходимо сгенерировать ключ на токене (или использовать существующий) и создать заявку (PKCS#10-запрос) на сертификат нашего ключа.

Image Removed

Выберем существующий ключ или создадим новый.

Image Removed

После генерации ключа на экране отобразится его идентификатор на токене.

Image Removed

После выбора ключа вам будет предложено ввести данные для заявки. Все эти данные являются опциональными, кроме "Общего имени". Туда необходимо ввести имя пользователя, под которым мы хотим аутентифицироваться:

Image Removed

Выберем место, куда сохранить файл с заявкой.

Image Removed

-recursive


После того, как настройщик был загружен, его можно запустить двойным щелчком по названию файла token-assistent.run. Если программа открылась вместе с терминалом, то для запуска необходимо создать ярлык, с помощью установщика token-assistent.installer. После запуска установщика появится ярлык token-assistent.desktop, который нужно использовать для запуска программы.

При первом запуске программа может запросить пароль администратора для получения обновлений. Загрузка обновлений может занять несколько минут.

Image Added

После загрузки обновлений, программа предложит выбрать токен, который мы хотим использовать для локальной аутентификации. Если нужный Рутокен не появился в списке, то можно нажать на кнопку для обновления списка устройств:

Image Added

Далее вводим PIN-код Рутокена:

Image Added


На Рутокене отсутствует ключевая пара и сертификат выданный УЦ для аутентификации:

Генерация ключевой пары

Откроем список объектов на Рутокене:

Image Added

В первую очередь, сгенерируем ключ. Для этого в окне просмотра объектов выберем опцию для генерации ключевой пары:

Image Added

В окне выбора алгоритма ключа необходимо указать "RSA-2048"

Image Added


Метку ключа можно оставить пустой:

Image Added

Создание заявки на сертификат

После генерации ключевой пары, необходимо создать для неё заявку на сертификат. В списке объектов выберем закрытый ключ из ключевой пары, для которой хотим создать заявку на сертификат:

Image Added

В открывшемся окне выберем опцию для создания заявки на сертификат:

Image Added


Введём данные сертификата. В графе Общее имя необходимо указать имя пользователя, для которого мы создаем сертификат для аутентфиикации: 

Image Added


Далее нас попросят выбрать, создать ли самоподписанный сертификат или создать заявку на сертификат Выбираем "Нет":

Image Added

Укажем путь, куда сохраним заявку на сертификат:

Image Added


Данную заявку в дальнейшем следует отправить в ваш УЦ, для выдачи сертификата.

Созданную заявку копируем и отправляем на сервер. Распечатать ее можно , например, с помощью команды:

Code Block
languagebash
titleВывод заявки
cat cert.csr

Создание сертификата

Переходим к серверу, который получил нашу заявку.

Чтобы создать сертификат по данной заявке для данного пользователя, перейдем на вкладку "Идентификация" → "Пользователи" → "Активные пользователи" и выберем нашего пользователя, и на .

На новой вкладке выбираем "Действия"→"Новый сертификат". В открывшееся окне окно вставляем нашу заявку.

Image RemovedImage Added

В графе идентификатор поле Идентификатор пользователя необходимо будет указать caIPAserviceCert

Image Modified

Выданный сертификат можно получить в на этой же вкладке, переместившись чуть ниже до пункта с сертификатами.  Нажмём на вкладку

Нажмем "Загрузить" и отправим сертификат пользователю.

Image RemovedImage Added


Также пользователю потребуется корневой сертификат УЦ, его можно получить на вкладке "Аутентификация"→"Сертификаты".

Выбираем самый первый сертификат и нажимаем переходим на вкладку "Действия"→ "Загрузить".

Image RemovedImage Added


После этого полученный сертификат пользователя и УЦ отправляем клиенту.

Финальная настройка на стороне клиента

После получения сертификата пользователя и УЦ, вставим токен и запустим скрипт.

Code Block
languagebash
titleЗапуск скрипта настройки
bash ./setup.sh

На этот раз выбираем вторую вкладку в разделе меню.

Image Removed

В следующем окне указываем путь до сертификата пользователя:

Image Removed

В следующем окне необходимо указать идентификатор ключа, для которого был выписан сертификат. Вы его должны были запомнить после первого запуска скрипта setup.sh.

Image Removed

В следующем разделе указываем путь до сертификата УЦ.

...

Импорт сертификата на Рутокен

Повторно запускаем программу по работе с Рутокенами. Выбираем необходимый токен, вводим PIN-код. Открываем просмотр объектов. В окне просмотра объектов выберем закрытый ключ, для которого выдан сертификат:

Image Added


В открывшемся окне выберем опцию импорта сертификата ключа

Image Added

Укажем путь до сертификата:

Image Added

При желании можно задать метку сертификата:

Image Added


Финальная настройка на стороне клиента

Теперь, когда на Рутокене присутствует ключевая пара и сертификат клиента? можно приступить к финальной настройке. Для этого откроем в меню команд Рутокена выберем пункт Настройки аутентификации в домене FreeIPA.

Image Added

Нам необходимо получить права суперпользователя, для проведения настройки. Поэтому вводит пароль суперпользователя:

Image Added


В открывшемся окне укажем путь до корневого сертификата УЦ:

Image Added


Настройка завершена. Проверим, что все установлено правильно. Для этого попробуем зайти под пользователем user.

Image RemovedImage Added

Лампочка на токене Рутокене замигает и отобразится окно для ввода PIN-кода.

Если все прошло успешно, то можно попробовать осуществить аналогичную аутентификацию через greeter.

Image RemovedImage Added