FreeIPA le client :

par VINDICATORs · 9 décembre 2018

Partie principale

Pour commencer voici la machine virtuel qui servira de test pour cette procédure :

2 vcpu (processeurs virtuel)
4096Mo de mémoire (à voir si il y a besoin de plus)
1 disques de 40 Go
1 carte réseau connecté au proxy (configurer en http://10.0.1.5:3128 pour les besoins de l’infrastructure de test) non filtrant pour le moment.
Accélération 3D par virtio
Système utilisé : Fedora29 net-install
Environnement graphique PLASMA/KDE pour des raisons d’habitude
1 utilisateur local super-utilisateur ‘ROOT’
1 utilisateur distant ‘sudotest’

Dans un premier temps je vais me concentrer sur la mise en service du client. Nous verrons les différentes possibilités au fur et à mesure.

Pour commencer installation du système :
Ici il n’y a pas grand-chose à faire et choisir KDE Workspace en environnement. Il faut aussi ajouter les options ‘adhésion au domaine’, mais ce n’est pas forcément utile, car vous pouvez l’installer par la suite (voir ci-dessous).

Pensez à configurer le réseau en mettant le nom d’hôte (ici f29test1.testipa.local) et en choisissant comme DNS celui du serveur IPA (ici : 10.0.1.10)

Il est aussi utile de configurer le proxy pour dnf et pour l’environnement :

vi /etc/dnf/dnf.conf

il faut ajouter :

proxy=http://IPduPROXY:Port

dans /etc/environnement:

vi /etc/environnement

~~il faut ajouter ( à voire selon vos préférences) :~~

https_proxy=https://IPduPROXY:Port
http_proxy=http://IPduPROXY:Port
no_proxy=IPfreeIPA,IPduPROXY,IPlocal,localhost,.VotreDomaine,hostname.votredomaine,hostname

Si vous n’avez pas ajouté l’option ‘adhésion à un domaine’, il faut installer le client FreeIPA comme suit :

Fedora

dnf install freeipa-client

Ou sur CentOS/RedHat :

yum install ipa-client

Le reste de la procédure est identique quel que soit la version choisi.
En root : (en partant du principe que vous utilisiez une net-install ou une version serveur)
Il faut vous connecter avec cet utilisateur.
Si vous utilisez « SUDO »il faut rajouter ‘sudo -i’ devant chaque commande (voir la documentation de SUDO … LIENS DOCUMENTATION SUDO…).
Nous verrons si il y a lieu de configurer SUDO et les ‘display managers’ (login manager est plus exact chez moi…) par la suite, car il y a parfois des petites subtilités à connaître.

J’ai créer un script permettant de faire toute la procédure simplement, mais il est encore à l’état embryonnaire et incomplet pour le moment. Je termine un projet professionnel avant de reprendre le développement.
En l’état il est quand même fonctionnel, mais il faut que j’y apporte des modifications pour pouvoir le faire travailler avec ‘ansible’ pour pouvoir le déployer sur toutes nouvelles machines d’un réseau automatiquement.

Le # représente votre utilisateur ‘ROOT’, il est inutile de le recopier !!!

[root@f29test1 ~]# ipa-client-install –mkhomedir
This program will set up FreeIPA client.
Version 4.7.0
Discovery was successful!
Client hostname: f29test1.testipa.local
Realm: TESTIPA.LOCAL
DNS Domain: testipa.local
IPA Server: ipatest1.testipa.local
BaseDN: dc=testipa,dc=local
Continue to configure the system with these values? [no]: yes
Synchronizing time
No SRV records of NTP servers found and no NTP server or pool address was provided.
Using default chrony configuration.
Attempting to sync time with chronyc.
Process chronyc waitsync failed to sync time!
Unable to sync time with chrony server, assuming the time is in sync. Please check that 123 UDP port is opened, and any time server is on network.
User authorized to enroll computers:admin
Password for admin@TESTIPA.LOCAL:xxxxxxxxx
Successfully retrieved CA cert
   Subject:     CN=Certificate Authority,O=TESTIPA.LOCAL
   Issuer:      CN=Certificate Authority,O=TESTIPA.LOCAL
   Valid From: 2018-10-19 10:47:57
   Valid Until: 2038-10-19 10:47:57
Enrolled in IPA realm TESTIPA.LOCAL
Created /etc/ipa/default.conf
Configured sudoers in /etc/nsswitch.conf
Configured /etc/sssd/sssd.conf
Configured /etc/krb5.conf for IPA realm TESTIPA.LOCAL
Systemwide CA database updated.
Hostname (f29test1.testipa.local) does not have A/AAAA record.
Missing reverse record(s) for address(es): 10.0.1.102.
Adding SSH public key from /etc/ssh/ssh_host_ed25519_key.pub
Adding SSH public key from /etc/ssh/ssh_host_ecdsa_key.pub
Adding SSH public key from /etc/ssh/ssh_host_rsa_key.pub
SSSD enabled
Configured /etc/openldap/ldap.conf
Configured /etc/ssh/ssh_config
Configured /etc/ssh/sshd_config
Configuring testipa.local as NIS domain.
Client configuration complete.
The ipa-client-install command was successful
[root@f29test1~]#

Pour confirmer que l’hôte est joint au domaine :

[root@f29test1 ~]# kinit admin
Password for admin@TESTIPA.LOCAL: xxxxxxx
[root@f29test1~]#
[root@f29test1~]# ipa-join
Hôtedéjà joint.
[root@f29test1 ~]#

Première initialisation de l’utilisateur:
Il est possible que l’utilisateur ne puisse pas s’initialiser à la première connexion en mode graphique (problème rencontré principalement avec SDDM). Il est donc préférable de le faire en ligne de commande comme suit :

[root@f29test1 ~]# kinit sudotest
Password for sudotest@TESTIPA.LOCAL: xxxxxxx
Password expired. You must change it now.
Enter new password: xxxxxxxx
Enter it again: xxxxxxxx

Pour vous connecter :

[root@f29test1 ~]# su – sudotest@testipa.local
Creating home directory for sudotest.
[sudotest@f29test1 ~]$

Vous pouvez vous connecter par interface graphique avec votre ‘display manager’ favori en tapant :

login :Testeur@testipa.local
mdp : Mot de passe de votre utilisateur sur le domaine

Gestion des droits SUDO :

Pré-requis :
Il est parfois utile :

Soit de faire le ménage dans ssd (A rajouter la commande pour le faire automatiquement)
Soit de relancer votre machine

Il ne faut pas oublier quand vous ajouter une commande superutilisateur à la liste des commande sudo d’utiliser le chemin absolu de la commande.
Exemple de commande :
/usr/bin/dnf repolist all
Par la suite vous pouvez les utiliser directement :

[sudotest@f29test1 ~]$ sudo dnf repolist all
Mot de passe : XXXXXXX
Dernière vérification de l’expiration des métadonnées effectuée il y a 0:33:10 le dim. 09 déc. 2018 04:25:04 EST.
id du dépôt nom du dépôt état
*fedora …..

Commandes SUDO avec IPA :
Je vous laisse découvrir les différentes options pour pouvoir gérer sudo directement avec freeipa

[sudotest@f29test1 ~]$ ipa sudo
sudocmd-add sudorule-add-runasgroup
sudocmd-del sudorule-add-runasuser
sudocmd-find sudorule-add-user
sudocmdgroup-add sudorule-del
sudocmdgroup-add-member sudorule-disable
sudocmdgroup-del sudorule-enable
sudocmdgroup-find sudorule-find
sudocmdgroup-mod sudorule-mod
sudocmdgroup-remove-member sudorule-remove-allow-command
sudocmdgroup-show sudorule-remove-deny-command
sudocmd-mod sudorule-remove-host
sudocmd-show sudorule-remove-option
sudorule-add sudorule-remove-runasgroup
sudorule-add-allow-command sudorule-remove-runasuser
sudorule-add-deny-command sudorule-remove-user
sudorule-add-host sudorule-show
sudorule-add-option
[sudotest@f29test1 ~]$