大数据安全认证FreeIPA部署
标签（空格分隔）： 大数据运维专栏
- 一：FreeIPA 介绍
- 二：FreeIPA 服务端部署
- 三：FreeIPA 客户端部署
一：FreeIPA 概述
###1.1:FreeIPA的介绍
FreeIPA是一款集成的安全信息管理解决方案。FreeIPA包含Linux (Fedora),389 Directory Server MIT Kerberos, NTP, DNS, Dogtag (Certificate System)等等身份，认证和策略功能。
1.2 FreeIPA的用处
在未部署统一身份管理系统时，管理员需要分别在每一台主机上为对应的系统管理员创建、维护账号和密码，无法进行统一的管理。当主机数量增加到一定程度后，也将难以进行有效的安全管理，对账号密码泄露等问题难以进行控制。统一身份认证系统可以帮助我们解决这一问题。Windows环境下可以使用域账号进行身份管理，而在Linux环境下，上文中我们部署的Freeipa已经提供了相关功能，可以快速、便捷的将linux系统接入，进行统一的身份认证和权限管理。
MIT KDC
IPA 认证的核心
389 Directory Server
轻量级目录访问
Dogtag Certificate System
一款认证系统,提供强大的安全框架来确保用户的身份以及通讯的私密性
SSSD
SSSD是红帽企业版Linux6中新加入的一个守护进程，该进程可以用来访问多种验证服务器，如LDAP，Kerberos等，并提供授权。SSSD是介于本地用户和数据存储之间的进程，本地客户端首先连接SSSD，再由SSSD联系外部资源提供者(一台远程服务器)二：FreeIPA 的服务端部署
2.1 环境初始化
系统：
CentOS7.8x64
CDH6.3.2 已经安装完成
停掉httpd 服务器
关闭chronyd server freeIPA 默认用的是NTP 时间同步
首先要确保安装FreeIPA服务的服务器主机名为完全限定域名（FQDN），flyfish这里使用rc07bigdata.vpc.uniondrug.com作为 完整的域名。2.2 配置FreeIPA 服务端
####2.2.1 配置rngd服务
FreeIPA安装需要大量的随机数运行加密操作，需要安装rngd服务防止操作系统的熵值过低
yum -y install rng-tools
service rngd start
chkconfig rngd on
service rngd status 
2.2.2 配置IPV6的按需支持
vim /etc/sysctl.conf
---
net.ipv6.conf.lo.disable_ipv6 = 0
net.ipv6.conf.all.disable_ipv6 = 0
net.ipv6.conf.default.disable_ipv6 = 0
----
sysctl -p 
2.2.3 配置freeIPA 服务端
安装FreeIPA 的 依赖包
yum -y install ipa-server ipa-server-dns bind bind-dyndb-ldap
2.2.4 配置带DNS的FreeIPA 服务端
ipa-server-install --setup-dns
域名： vpc.uniondrug.com
密码：12345678
到最后
配置DNS服务器与域
vim /etc/resolv.conf
---
search vpc.uniondrug.com
nameserver 172.16.0.184
nameserver 223.5.5.5
nameserver 114.114.114.114
---
ipactl status
测试kerberos 是否可用
kinit admin ----> 密码：12345678
klist
kadmin.local
list_principals
2.2.4 打开web 页面：
https://rc07bigdata.vpc.uniondrug.com
用户名：admin
密码：12345678
这个只认域名不认IP 地址
2.2.5 创建CDH测试用户
创建cdhadmin 账号 密码 为cdhadmin
创建起来的用户会同步到系统与Kerberos当中
三：freeIPA 客户端的配置
启用rc06bigdata.vpc.uniondrug.com 主机作为客户端测试
vim /etc/reslov.conf
----
写上DNS 地址
search vpc.uniondrug.com
nameserver 172.16.0.148
----
nslookup rc07-bigdata.yl-uniondrug.com
配置客户端工具：
yum -y install freeipa-client
在命令行中执行
ipa-client-install --mkhomedir --realm=VPC.UNIONDRUG.COM --domain=vpc.uniondrug.com --server=rc07bigdata.vpc.uniondrug.com
FreeIPA 服务的用户名：admin 密码 12345678
客户端rc06bigdata.vpc.uniondrug.com 主机已经注入 FreeIPA 服务器当中
在客户端节点上查看cdhadmin用户已同步
