Ce livre a pour objectif d'aider le lecteur à intégrer un annuaire OpenLDAP au sein d'un environnement informatique de production. Il s'adresse autant à des experts IT souhaitant centraliser la totalité des comptes utilisateurs au sein d'un annuaire commun, accessible à l'ensemble des applicatifs de l'entreprise, qu'à un public d'administrateurs IT ou d'informaticiens expérimentés désirant acquérir les connaissances de base dans l'administration des annuaires LDAP en général, et OpenLDAP en particulier (en version 2.4 au moment de l'écriture).

Le livre traite en premier lieu de l'étude préliminaire à effectuer en vue de la mise en œuvre d'un annuaire LDAP au sein d'un environnement informatique. Il présente ainsi les concepts de base du protocole LDAP ainsi que la planification des différentes étapes de l'intégration d'un annuaire (modélisation du contenu, stockage des données, sécurisation, conception de l'infrastructure…).

Une partie du livre est consacrée à l'installation, à la configuration et à l'administration d'un serveur OpenLDAP dans un système Linux Red Hat. Le lecteur pourra ainsi découvrir la façon de construire et sécuriser son arbre de données, d'ajouter des fonctionnalités pour une utilisation adaptée à l'environnement de l'entreprise, d'utiliser des outils d'administration et de manipuler les commandes d'interrogation LDAP.

Des chapitres sont ensuite dédiés à la configuration détaillée de divers clients LDAP (systèmes d'exploitation, équipements réseau et applications) permettant au lecteur d'acquérir des compétences techniques qu'il pourra mettre en application dans son propre environnement de production. La surveillance, le dépannage et les multiples paramétrages permettant d'améliorer les performances du serveur OpenLDAP sont également détaillés.

Le livre s'achève par une introduction à la problématique de la gestion des identités électroniques et des accès aux systèmes informatiques au sein des entreprises avec la présentation d'une infrastructure type.


Les chapitres du livre :
Introduction – Un annuaire, un choix évident – Les concepts de base LDAP - Planification de l'intégration d'un annuaire LDAP – Installer et configurer un serveur OpenLDAP – Installer et configurer un navigateur LDAP – Démarrage du serveur LDAP – Les schémas – Préparation des données de l'annuaire – Provisionner l'annuaire LDAP – Sécuriser un annuaire LDAP – Protection des données de l'annuaire – Ajout de fonctionnalités appelées "overlay" – Configuration de clients LDAP – Sauvegarder/restaurer un annuaire OpenLDAP – La réplication – Surveillance d'un annuaire OpenLDAP – Amélioration des performances – Dépannage – L'autogestion des comptes utilisateurs – Annexe

Avant-propos

1. Introduction

Un annuaire, un choix évident

1. Le casse-tête de la gestion des identifiants électroniques en entreprise
2. La centralisation des identités électroniques
3. Les annuaires
4. Annuaires vs mécanismes d'authentification
5. Annuaire vs base de données

Les concepts de base LDAP

1. Introduction
2. LDAP : Protocole ou normalisation des systèmes d'annuaires informatiques
3. Modèle de stockage des informations
   1. 1. Les attributs
   2. 2. Les classes d’objets et les schémas
4. Modèle d'organisation des informations
   1. 1. La structure arborescente (DIT)
   2. 2. Le format LDIF
5. Modèle fonctionnel
   1. 1. Les opérations de type requête
   2. 2. La syntaxe du filtre de recherche
   3. 3. Comparaison
   4. 4. Les opérations de mise à jour
   5. 5. Les opérations d’authentification
6. Modèle de sécurisation et de confidentialité des informations

Planification de l’intégration d’un annuaire LDAP

1. Introduction
2. Source et contenu de l'annuaire
   1. 1. Utilisation principale de l’annuaire
   2. 2. Recensement des différents systèmesd’information utilisés dans votre entreprise
   3. 3. Vérifier la compatibilité avec leprotocole LDAP
3. Modélisation et définition du contenu de l'annuaire
   1. 1. Connaissance des schémas utiliséspar les clients LDAP
   2. 2. Modélisation
4. Stockage physique des données
   1. 1. Disques locaux ou architecture de stockage de données
   2. 2. Base de données, moteurs de stockage (backend)
   3. 3. Le format LDIF
5. Sécurisation de l'annuaire
   1. 1. Objectif
   2. 2. Étude de l’authentification à l’annuaire
   3. 3. Étude de l’autorisation au contenu de l’annuaire
6. Conception de l'infrastructure du service d'annuaire
   1. 1. Les différentes topologies
      1. a. Un service d’annuaire local
      2. b. Un service d’annuaire local avec référent(s)
      3. c. Un service d’annuaire local et répliqué
      4. d. Un service d’annuaire distribué etrépliqué
      5. e. Un service d’annuaire distribué etrépliqué avec référents
   2. 2. La haute disponibilité des annuaires
      1. a. Configuration de multiples serveurs LDAP
      2. b. Configuration de la mise en cache LDAP
      3. c. Ajout d’un équipement matériel ouapplicatif de type commutateur IP avec ou sans équilibragede charge en "Front-end"
   3. 3. Présentation d’un cluster de répartitionde charge (load-balancing cluster)
      1. a. Fonction de haute disponibilité en mode "actif/passif"(clustering)
      2. b. Fonction de répartition de charge (load-balancing)
      3. c. Méthode de réponse du "load-balancer"
      4. d. Exemple de configuration pour la fonction cluster à répartition de charge en mode dispatcher (sous AIX)
   4. 4. Un service d’annuaire local avec délégation  d’authentification(PTA)

Installation/configuration d’un serveur OpenLDAP

1. Introduction
2. Présentation de l'architecture LDAP à intégrer
3. Installation du serveur OpenLDAP
   1. 1. Les prérequis applicatifs
   2. 2. À partir de packages RPM (exemple de ladistribution Red Hat)
   3. 3. Depuis les sources du code
4. Configuration du serveur OpenLDAP
   1. 1. Organisation des fichiers de configuration
   2. 2. Présentation des entrées de configuration
      1. a. "dn: cn=config"
      2. b. "dn: cn=module, cn=config"
      3. c. "dn: cn=schema, cn=config"
      4. d. "dn: olcBackend=<type>, cn=config"</type>
      5. e. "dn: Database={x}<type>,cn=config"</type>
   3. 3. Présentation des backend disponibles
      1. a. Les backend locaux
      2. b. Les proxy backend
      3. c. Les backend dynamiques
   4. 4. Configuration initiale par le fichier "slapd.conf"
      1. a. Création du fichier "/etc/openldap/slapd.conf"
      2. b. Conversion de l’ancien (slapd.conf) au nouveauformat de configuration (olc, cn=config)

Installer et configurer un navigateur LDAP

1. Introduction
2. Présentation de Apache Directory Studio
3. Installation sous Linux
4. Configuration d'une connexion à un annuaire
5. Quelques exemples d'utilisation
6. Première connexion au DIT de configuration

Démarrage du serveur OpenLDAP

1. Introduction
2. Le service "slapd"
3. Présentation des options de démarrage du processus "slapd"
4. Vérification du démarrage automatique du service "slapd"
5. Démarrage et arrêt du processus "slapd" en ligne de commande

Les schémas

1. Introduction
2. Les schémas contenus dans OpenLDAP
3. Extension de schéma
4. Ajout du schéma "sudo"
5. Suppression d'un schéma

Préparation des données de l'annuaire

1. Introduction
2. Choix du suffixe
3. Structure et nommage des entrées
4. Configuration de la structure LDAP au format LDIF

Provisionner l’annuaire LDAP

1. Introduction
2. Les méthodes de chargement de l'annuaire
   1. 1. Chargement des données en ligne
   2. 2. Chargement des données hors ligne
3. Présentation des commandes LDAP
   1. 1. La commande ldapsearch
   2. 2. La commande ldapdelete
   3. 3. La commande "ldapadd"
   4. 4. La commande ldapmodify
   5. 5. Les commandes ldapmodrdn, slappasswd, ldapwhoami, ldapurl
   6. 6. Configuration des commandes LDAP

Sécuriser un annuaire OpenLDAP

1. Introduction
2. Authentification (ou ouverture de session LDAP)
   1. 1. L’authentification de base ou simple
   2. 2. L’authentification SASL
   3. 3. Consulter les mécanismes SASL disponiblessur OpenLDAP
3. La politique de mot de passe
4. Le stockage des mots de passe
   1. 1. Rappel sur les algorithmes de cryptage de type condensé
   2. 2. Revue des fonctions de hachage supportéespar OpenLDAP
      1. a. CRYPT
      2. b. MD5
      3. c. SMD5
      4. d. SHA "Secure Hash Algorithm"
      5. e. SSHA
      6. f. PTA
   3. 3. Configuration du service PTA
      1. a. Configuration du service saslauthd
5. La configuration réseau
   1. 1. Sélectionner son (ou ses) interface(s) réseau et son (ou ses) port(s) d’écoute(s)
   2. 2. Sélectionner les réseaux autorisés
6. Fixer des limites aux opérations LDAP
   1. 1. Le type de limites
   2. 2. Les limites hard ou soft
   3. 3. La portée des limites
      1. a. Les limites globales
      2. b. Les limites par base de données
7. Confidentialité et intégrité des communications
   1. 1. Présentation de SSL et TLS
      1. a. Son fonctionnement
   2. 2. StartTLS
   3. 3. Présentation du programme OpenSSL
      1. a. Commande de création de certificats
      2. b. Commande de contrôle des certificats
      3. c. Recherche de pannes
      4. d. Commandes de conversion de certificats
8. Configuration du LDAPS avec SSL/TLS

Protection des données de l'annuaire

1. Compréhension de la sécurité d’un annuaire
2. Configuration générale des ACL
   1. 1. Les entrées ciblées (à quoi? ?)
   2. 2. Les entrées accréditées(qui a accès? ?)
   3. 3. Les droits accordés (pour faire quoi? ?)
   4. 4. Évaluation des droits
   5. 5. Exemples de configuration d’ACL
3. Configuration des ACL dans l'annuaire de démonstration
   1. 1. Configuration des ACL standard
   2. 2. Cloisonnement de l’annuaire par client
   3. 3. Pour aller plus loin dans le cloisonnement

Ajout de fonctionnalités appelées "overlay"

1. Introduction
2. Ajouter un overlay
   1. 1. Vérification de son existence dans l’annuaire
   2. 2. Charger le module de l’overlay dans l’annuaire
   3. 3. Créer un overlay pour la base de donnéesdésirée
3. AccessLog
   1. 1. Présentation
   2. 2. Exemple de configuration
4. Audit logging
   1. 1. Présentation
   2. 2. Exemple de configuration
5. Constraint
   1. 1. Présentation
   2. 2. Exemple de configuration
6. Dynamic Lists
   1. 1. Présentation
   2. 2. Exemple de configuration
7. Password Policy
   1. 1. Présentation
   2. 2. Exemple de configuration
8. L'intégrité référentielle
   1. 1. Présentation
   2. 2. Exemple de configuration
9. Sync Provider
   1. 1. Présentation
   2. 2. Exemple de configuration
10. Attribute Uniqueness
    1. 1. Présentation
    2. 2. Exemple de configuration
11. Reverse Group Membership Maintenance
    1. 1. Présentation
    2. 2. Exemple de configuration

Configuration de clients LDAP

1. Introduction
2. Prérequis
3. Les systèmes d'exploitation
   1. 1. Les serveurs Linux Red Hat (cas d’un RHEL6)
      1. a. Installation des packages
      2. b. Configuration du service "sssd"
      3. c. Ajout du certificat de l’autorité decertification
      4. d. Mise à jour du fichier /etc/hosts
      5. e. Dissimulation du mot de passe du Bind user
      6. f. Redémarrage du service "sssd"
      7. g. Vérifier le bon fonctionnement de la configuration
      8. h. Observation du mécanisme PAM
   2. 2. Les serveurs IBM AIX
      1. a. Prérequis
      2. b. Installation et configuration des paquetages de cryptographie(gsk)
      3. c. Installation et configuration des paquetages du clientLDAP
      4. d. Paramétrage système
      5. e. Vérification de l’installation du clientLDAP
4. Les équipements Hardwares
   1. 1. Cas d’une interface HP iLO
      1. a. Configuration
   2. 2. Cas d’un Routeur (Cisco ASA)
      1. a. Les méthodes d’authentification à l’annuaireLDAP
      2. b. Les informations à rechercher
      3. c. La configuration
5. Les applications et utilitaires
   1. 1. Cas de l’application de monitoring OP5
   2. 2. Cas du programme sudo

Sauvegarder/restaurer un annuaire OpenLDAP

1. Les données de l’annuaire
2. Les stratégies de sauvegarde
3. Méthode de sauvegarde des données de l'annuaire
   1. 1. Sauvegarde hors-ligne au niveau des répertoires du système de fichiers
   2. 2. Sauvegarde hors-ligne au niveau de la base de données
   3. 3. Sauvegarde en ligne au format LDIF
4. Restauration de l'annuaire
   1. 1. Restauration totale
   2. 2. Restauration partielle
      1. a. Restauration en ligne de type "import/export"
      2. b. Restauration hors-ligne
5. Exemple de script de sauvegarde
6. Migration d'annuaire OpenLDAP

La réplication

1. Introduction
2. Fonctionnement du protocole de réplication "LDAP Sync"
   1. 1. Réplication en mode "refreshOnly" ou "Pull-based"
   2. 2. Réplication en mode "refreshAndPersist" ou"Push-based"
3. Configuration du "Syncrepl" en utilisant OLC
   1. 1. Configuration du provider
   2. 2. Configuration du consumer
4. Les problèmes liés à la réplication LDAP Sync
   1. 1. SessionLog
   2. 2. Delta-syncrepl ou AccessLog
      1. a. Exemple de configuration
5. Les différentes architectures de réplication
   1. 1. Architecture de réplication simple "provider/consumer"
   2. 2. Architecture de réplication "Peer to peer"ou "multi-Peer"
      1. a. Exemple de configuration
   3. 3. Architecture de réplication "miroir"
   4. 4. Architecture avec un proxy de réplication
   5. 5. Configuration du NTP
   6. 6. Réaliser la première synchronisation

Surveillance d'un annuaire OpenLDAP

1. Surveiller le service LDAP
   1. 1. Le processus "slapd"
   2. 2. Les systèmes de fichiers
2. Surveiller la réplication
3. Surveiller les connexions au serveur LDAP
4. Surveiller les modifications du contenu de l’annuaire

Amélioration des performances

1. Considérations matérielles
   1. 1. La mémoire ou RAM
   2. 2. Le stockage
   3. 3. Le réseau
2. Au niveau du processus "slapd"
   1. 1. Paramétrage des threads
3. Au niveau du backend
   1. 1. Paramétrage du cache (ou la zone tampon)
   2. 2. Paramétrage des index
      1. a. Syntaxe
      2. b. Exemples de configuration
      3. c. Application
4. Changer de backend

Dépannage

1. Liste de contrôle (checklist)
2. Activer le mode "debug"
3. Activer et modifier la verbosité des logs

L’autogestion des comptes utilisateurs

1. Problématique
2. Infrastructure de gestion des identités
   1. 1. Fonctionnement général
   2. 2. Création/modification de compte
   3. 3. Suppression de compte
3. Présentation ITIM
   1. 1. Bannière de connexion
   2. 2. Espace de gestion des comptes de l’utilisateur
   3. 3. Workflow
   4. 4. Approbation
4. Intégration du serveur OpenLDAP dans ITIM

Annexe

1. Le schéma "sudo" pour OpenLDAP
2. Quelques problèmes rencontrés
   1. 1. Cas 1
   2. 2. Cas 2
   3. 3. Cas 3 : reconfigurer le "checksum" dans les fichiersde configuration
3. Déverrouiller les comptes