Comment installer et configurer le client FreeIPA sur Ubuntu 20.04

FreeIPA est un système de gestion d'identité open source sponsorisé par Red Hat. Il vise à fournir une identité, une politique et un audit faciles à gérer.

Ces intégrations permettent à un administrateur système de configurer facilement le serveur de manière centralisée, sur le serveur FreeIPA. Lorsqu'une commande de gestion est exécutée sur la machine Client, le client FreeIPA l'envoie au serveur où elle est exécutée.

Contenu associé

Comment gérer les utilisateurs et les groupes dans FreeIPA Server
Comment installer le client FreeIPA sur Rocky Linux/Alma Linux/CentOS 8
Comment installer et configurer FreeIPA sur Rocky Linux/Centos 8
Comment installer le client FreeIPA sur Fedora 35

Prérequis

Pour suivre, assurez-vous d'avoir les éléments suivants

Un serveur/poste de travail Ubuntu 20.04 mis à jour
Un serveur FreeIPA que le client rejoindra
Accès sudo au serveur ou utilisateur avec accès sudo
Accès Internet depuis le serveur

Table des matières

Système de mise à jour
Installation des packages FreeIPA
Configuration du client
Activer la création de répertoires personnels lors de la première connexion
Tester l'ajout du client
Utilisation de l'outil de gestion de ligne de commande FreeIPA ipa
Activer l'authentification sans mot de passe à l'aide de la clé privée
Suppression du client FreeIPA

1. Système de mise à jour

Assurez-vous que les packages système sont mis à jour

sudo apt update
sudo apt upgrade

2. Installation des packages FreeIPA

Le client FreeIPA est disponible sur les dépôts pour Ubuntu. Installez-le en utilisant la commande :

sudo apt install -y freeipa-client

Lorsque vous êtes invité à fournir un domaine Kerberos pour le serveur, passez simplement en appuyant sur <Entrée> clé.

Confirmez l'ajout du client à l'aide de cette commande

$ apt-cache policy freeipa-client
freeipa-client:
  Installed: 4.8.6-1ubuntu2
  Candidate: 4.8.6-1ubuntu2
  Version table:
 *** 4.8.6-1ubuntu2 500
        500 http://us-west-2.ec2.archive.ubuntu.com/ubuntu focal/universe amd64 Packages
        100 /var/lib/dpkg/status

2. Configuration du client

Une fois l'installation des packages FreeIPA Client terminée. Ajoutez le nom d'hôte et l'adresse IP de votre serveur IPA à /etc/hosts fichier si vous n'avez pas de résolution DNS fonctionnelle.

Ouvrez le fichier hosts avec votre client :

sudo vim /etc/hosts

Ajoutez ensuite ceci :

10.2.40.149 ipa.citizix.com10.2.40.70 ubuntu-client.citizix.com

Définissez le nom d'hôte de votre système.

sudo hostnamectl set-hostname ubuntu-client.citizix.com

Mettez à jour le fuseau horaire sur votre fuseau horaire :

sudo timedatectl set-timezone Africa/Nairobi

Nous pouvons ensuite configurer le client en spécifiant le serveur FreeIPA et le nom de domaine

sudo ipa-client-install --server=ipa.citizix.com --domain ipa.citizix.com

Vous pouvez également ajouter d'autres arguments en spécifiant le nom d'hôte, le serveur, le domaine et le domaine du client ipa, comme dans cet exemple.

sudo ipa-client-install --hostname=fedora-client.citizix.com \
 --mkhomedir \
 --server=ipa.citizix.com \
 --domain ipa.citizix.com \
 --realm IPA.CITIZIX.COM

C'est ma sortie. Vous devriez voir quelque chose de similaire à ceci

$ sudo ipa-client-install --server=ipa.citizix.com --domain ipa.citizix.com
This program will set up FreeIPA client.
Version 4.8.6

WARNING: conflicting time&date synchronization service 'ntp' will be disabled in favor of chronyd

Autodiscovery of servers for failover cannot work with this configuration.
If you proceed with the installation, services will be configured to always access the discovered server for all operations and will not fail over to other servers in case of failure.
Proceed with fixed values and no DNS discovery? [no]: yes
Do you want to configure chrony with NTP server or pool address? [no]: no
Client hostname: ubuntu-client.citizix.com
Realm: IPA.CITIZIX.COM
DNS Domain: ipa.citizix.com
IPA Server: ipa.citizix.com
BaseDN: dc=ipa,dc=citizix,dc=com

Continue to configure the system with these values? [no]: yes
Synchronizing time
No SRV records of NTP servers found and no NTP server or pool address was provided.
Using default chrony configuration.
Attempting to sync time with chronyc.
Time synchronization was successful.
User authorized to enroll computers: admin
Password for [email protected]:
Successfully retrieved CA cert
    Subject:     CN=Certificate Authority,O=IPA.CITIZIX.COM
    Issuer:      CN=Certificate Authority,O=IPA.CITIZIX.COM
    Valid From:  2021-11-09 05:42:01
    Valid Until: 2041-11-09 05:42:01

Enrolled in IPA realm IPA.CITIZIX.COM
Created /etc/ipa/default.conf
Configured sudoers in /etc/nsswitch.conf
Configured /etc/sssd/sssd.conf
Configured /etc/krb5.conf for IPA realm IPA.CITIZIX.COM
Systemwide CA database updated.
Adding SSH public key from /etc/ssh/ssh_host_rsa_key.pub
Adding SSH public key from /etc/ssh/ssh_host_ecdsa_key.pub
Adding SSH public key from /etc/ssh/ssh_host_ed25519_key.pub
Adding SSH public key from /etc/ssh/ssh_host_dsa_key.pub
Could not update DNS SSHFP records.
SSSD enabled
Configured /etc/openldap/ldap.conf
Configured /etc/ssh/ssh_config
Configured /etc/ssh/sshd_config
Configuring ipa.citizix.com as NIS domain.
Client configuration complete.
The ipa-client-install command was successful

3. Activer la création de répertoires personnels lors de la première connexion

Par défaut, le service sssd ne créera pas de répertoire personnel pour l'utilisateur lors de la première connexion, nous devons activer cette fonctionnalité en modifiant le fichier de configuration PAM.

sudo bash -c "cat> /usr/share/pam-configs/mkhomedir" < 
 Exécutez ensuite :
 sudo pam-auth-update 
 
 Assurez-vous  "activer mkhomedir" est sélectionné, il doit avoir [*]. Sélectionnez  .
 4. Ajout du client test
 
 Pour tester que le client a été ajouté avec succès, connectons-nous avec un utilisateur dans freeipa. Si c'est la première fois que vous vous connectez, vous devriez voir une invite de changement de mot de passe, sinon vous verrez ceci :
 $ ssh [email protected]
([email protected]) Password:
Last login: Sat Nov 13 08:29:12 2021 from 10.2.40.174

[[email protected] ~]$ 
 5. Utilisation de l'outil de gestion de ligne de commande FreeIPA ipa
 
 Vous pouvez administrer le serveur FreeIPA à partir de la machine cliente à l'aide de l'outil de ligne de commande ipa.
 
 Tout d'abord, obtenez un ticket Kerberos.
 $ kinit adminMot de passe pour [email protected] :
 
 Vérifiez les informations d'expiration du ticket à l'aide de klist. 
 $ klistTicket cache :KEYRING:persistent:1000:1000Responsable par défaut :[email protected]Démarrage valide Expire Service principal11/14/21 16:40:33 11/15/21 16:40:16 krbtgt/[email protected] 
 
 Testez en ajoutant un compte utilisateur et en listant les comptes présents :
 $ sudo ipa user-add kip \
     --first=Kipkoech \
     --last=Towett \
     [email protected] \
     --password

Password:
Enter Password again to verify:
----------------
Added user "kip"
----------------
  User login: kip
  First name: Kipkoech
  Last name: Towett
  Full name: Kipkoech Towett
  Display name: Kipkoech Towett
  Initials: KT
  Home directory: /home/kip
  GECOS: Kipkoech Towett
  Login shell: /bin/bash
  Principal name: [email protected]
  Principal alias: [email protected]
  User password expiration: 20211112183007Z
  Email address: [email protected]
  UID: 1063800003
  GID: 1063800003
  Password: True
  Member of groups: ipausers
  Kerberos keys available: True 
 
 Vérifiez.
 $ ipa user-find kip--------------1 utilisateur trouvé-------------- Connexion utilisateur :kip Prénom :Kipkoech Nom de famille :Towett Répertoire d'accueil :/home/kip Shell de connexion :/bin/bash Nom principal :[protégé par e-mail] Alias principal :[protégé par e-mail] Adresse e-mail :[protégé par e-mail] UID :1063800003 GID :1063800003 Compte désactivé :Faux--- --------------------Nombre d'entrées renvoyées 1-------------------- --------
 6. Activer l'authentification sans mot de passe à l'aide de la clé privée
 
 Si vous souhaitez vous authentifier sur un serveur sans mot de passe, copiez votre clé publique sur FreeIPA Server. Dans le profil utilisateur, cliquez sur Ajouter  bouton sous "Clés publiques SSH ", collez votre clé publique dans la boîte et enregistrez.
 7. Suppression du client FreeIPA
 
 La suppression du client FreeIPA sur Ubuntu peut être effectuée en exécutant la commande :
 $ sudo ipa-client-install --uninstall
 Conclusion
 
 Dans ce guide, nous avons réussi à installer et configurer le client FreeIPA sur un Ubuntu 20.04.