© sxc.hu

Likewise Open bindet Linux-Clients in Active-Directory-Umgebungen ein. Das können Samba & Co. auch, aber die Open-Source-Variante verspricht dem Admin mehr Komfort bei Konfiguration und Administration. Insbesondere vereinfacht sie das Einrichten von Kerberos zur Authentifizierung.

Eine erfolgreiche Zweckehe gehen Linux und Windows in vielen Unternehmen ein. Dass dies technologisch geht, muss niemand mehr beweisen. Administratoren, die Linux-Clients an einen bestehenden Verzeichnisdienst anbinden sollen, aber Machbarkeitsstudien leid sind, sollten einen Blick auf Likewise Open werfen. Das gleichnamige Unternehmen, das früher unter dem Namen Centeris firmierte, bietet nämlich eine Open-Source-Variante seiner Authentifizierungssoftware Likewise an [1].

Die freie Version unter der GPL ermöglicht eine Authentfizierung gegen Active Directories (AD), die Autorisierung kerberisierter Dienste und sogar Single-Sign-on. Wem da das Open-Source-Projekt Samba in den Sinn kommt, das mit anderen Tools zusammen Ähnliches leistet, braucht nicht überrascht zu sein. Projektleiter bei Likewise ist nämlich Gerald Carter, langjähriges Mitglied des Samba-Kernentwicklerteams. Tatsächlich baut Likewise Open in vielen Fällen auf Samba auf, erweitert dessen Komponenten jedoch um eigene Details. So wendet es etwa eine ganze Reihe von Sicherheitseinstellungen aus dem Active Directory an. Dazu übernehmen auch Clients unter Linux zum Beispiel die Gültigkeitsdauern von Passwörtern und speichern einige Zugangsdaten. Auf diese Weise können sich Benutzer auch bei einem Ausfall des AD noch lokal anmelden.

Fertig geschnürte Pakete

Es gibt vom Hersteller Pakete für die Distributionen von Red Hat, Novell und Canonical, für einige kommerzielle Unix-Systeme und Mac OS X. Auf der Website des Anbieters gibt es bereits die Version 5.0. Etwas gewöhnungsbedürftig ist, dass Likewise ein Binary zum Download anbietet, das seinerseits dann den distributionsabhängigen Paketmanager aufruft. Die Pakete der Distributionen enthalten hingegen die hier beschriebene Version 4, unter Ubuntu etwa im Universe-Repository die Pakete »likewise-open« und »likewise-open-gui«. Sie bringen einige Abhängigkeiten mit, die meisten betreffen Kerberos. Likewise Open setzt dabei auf die MIT-Version des Authentisierungsdienstes als Backend [2]. Während der Installation der Ubuntu-Pakete vom Hersteller fragt das Paket den Admin nach dem Kerberos- und dem Administrationsserver (Abbildungen 1 und 2).

Neben einem bestehenden Active-Directory-Server und einer von Windows verwalteten Domänenstruktur stellt die Software nur zwei Bedingungen: einen laufenden Nameserver zum Auflösen von DNS-Namen und synchronisierte Systemuhren. Denn weichen Uhren von Client und Server um mehr als fünf Minuten voneinander ab, weigert sich der Kerberos-Server Tickets auszustellen. Damit beugt er Replay-Attacken vor.

Abbildung 1: Der Ubuntu-Paketmanager fragt bei der Installation der Kerberos-Pakete nach dem Kerberos-Server.

Abbildung 2: Auch den Administrationsserver für den Kerberos-Realm trägt der Administrator bereits bei der Installation ein.

Neue Konfigurationswege

Ein nacktes Linux-System in eine AD-Domäne aufzunehmen, fordert dem Admin einige Konfigurationen ab [3]. Der Likewise-Agent übernimmt einen Großteil dieser Aufgaben. Er fügt sich auf dem lokalen Client in den Name Service Switch (NSS) und die Pluggable Authentication Modules (PAM) ein. Server-seitig vermittelt er zur Authentifizierung Anfragen einerseits an den Kerberos-5-Server, andererseits zum LDAP-getriebenen Verzeichnis des Active Directory, um Informationen über Benutzer abzufragen.

Dazu installiert das Paket einige Bibliotheken und Konfigurationsdateien. So bindet »/lib/libnss_lwidentity.so« Likewise in NSS ein. Das Gleiche erzielt »/etc/pam.d/pam_lwidentity.so« für PAM. Die Konfigurationsdatei »/etc/security/pam_lwidentity.conf« richtet das Modul ein. Die Schnittstelle zum entfernten Domänencontroller realisiert der hauseigene Winbind namens »likewise-winbindd«. Ihn konfiguriert eine eigene Konfigurationsdatei »/etc/samba/lwiauthd.conf«, die der Datei »smb.conf« aus dem Samba-Paket ähnelt.

Kerberos-Authentifizierung

Die genannten Komponenten integriert Likewise Open so, dass für den Linux-Benutzer ein transparenter Login in der Domäne entsteht: Der Login-Prozess gibt den Benutzernamen und das Passwort an PAM weiter. Das Modul »pam_lwidentity.so« kommuniziert mit dem Likewise-Authentifizierungsdienst, der aus Benutzername und Passwort einen geheimen Schlüssel erzeugt.

Mit ihm fordert der Likewise-Daemon ein initiales Ticket Granting Ticket (TGT) beim Kerberos-Authentication-Server an. Er läuft als Bestandteil des Key Distribution Center auf dem Active-Directory-Server. Durch Vorlage des TGT erhält der Authentifizierungsdienst von Likewise in der Folge Servicetickets für andere Netzwerkdienste, etwa für SSH. Benutzer melden sich damit an kerberisierten Servern ohne weitere Passworteingabe an.

Installation

Das Likewise-Installationspaket für Ubuntu installiert der Systemverwalter auf jedem Linux-Rechner, der der Active-Directory-Domäne beitreten und den Likewise verwalten soll, und ist schon fertig mit den Vorbeitungen.

Will der Admin den heruntergeladenen Installer nutzen, ruft er ihn mit Root-Rechten auf und folgt den Anweisungen am Bildschirm. Er erhält Informationen zu den OSS-Lizenzen der installierten Komponenten, bevor Likewise seine Dateien einrichtet.

Abschließend weist der Installer auf das Kommando »domainjoin-cli« hin, das sich im Verzeichnis »/usr/centeris/bin/« findet – gegen die Konventionen des Filesystem Hierarchy Standard [4]. Die Distributionspakete und neueren Versionen von Likewise korrigieren das jedoch bereits. Logging-Informationen speichert der Agent im Verzeichnis »/var/log/lwidenty/« beziehungsweise bei der Installation aus dem Ubuntu-Repository unter »/var/log/likewise-open«.

Hereinspaziert

In AD-Domänen müssen nicht nur Benutzer, sondern auch alle beteiligten Clientsysteme Mitglied sein. Einen so genannten Maschinenaccount in Microsofts Verzeichnisdienst anlegen bezeichnet das Active Directory als “Domäne beitreten” oder Englisch als “Joining”. Die Software unterstützt den Systemverwalter dabei auf zwei Arten: Mit Hilfe des Kommandozeilen-Tools »domainjoin-cli« tritt er als Benutzer »root« der AD-Domäne bei. Dadurch legt er einen Maschinenaccount im Verzeichnisdienst an.

Das Kommando erwartet dazu die Option »join« und die Domäne als Argument. Der Administrator gibt sie als vollständigen DNS-Namen an. Zusätzlich verlangt der Befehl den Namen eines Benutzers, der in der AD-Umgebung berechtigt ist Computeraccounts anzulegen. Listing 1 zeigt den Beitritt des Rechners mit dem Namen »ubuntu« in die Domäne »example.org«. Der Systemverwalter nutzt den »Administrator«-Account, der die benötigten Rechte besitzt.

01 # domainjoin-cli join example.org Administrator
02 Joining to AD Domain:   example.org
03 With Computer DNS Name: ubuntu.example.org
04 
05 Administrator@EXAMPLE.ORG's password:
06 Enter Administrator@EXAMPLE.ORG's password:
07 SUCCESS

Als zweite Möglichkeit zum Erwerb der Mitgliedschaft bietet Likewise Open ein GUI an (siehe Abbildung 3), das allerdings im Kernpaket »likewise-open« fehlt: Der Admin installiert zusätzlich »likewise-open-gui« und startet es mit Root-Rechten durch »domainjoin-gui«.

Abbildung 3: Auch das GUI von Likewise Open erwartet den DNS-Namen der Domäne und den Rechnernamen. Die Credentials des Windows-Administrators fragt es erst nach »Join Domain« ab.

Manuell und automatisch

In beiden Fällen erledigt Likewise Open im Hintergrund sämtliche Konfigurationsaufgaben, die sonst aufwändig von Hand zu tätigen waren. So passt die Software Konfigurationen für Benutzeraktionen mit dem AD an (siehe Abbildung 4), darunter die Dateien zur Kerberos-Kommunikation mit dem Key Distribution Center »krb5.conf« sowie die PAM-Dateien in »/etc/pam.d/*«.

Um sich auf einem Linux-Client anzumelden, benötigen Domänenbenutzer dort ein Homeverzeichnis. Likewise legt sie lokal an, wenn der Admin »/etc/security/pam_lwidentity.conf« anpasst. Bei »/etc/nsswitch.conf« übernimmt Likewise Open wieder die Kontrolle und trägt die Methode »lwidentity« ein. Der Namensdienst NSS schlägt danach erst in den lokalen Dateien wie »/etc/passwd« nach:

passwd: files lwidentity
group:  files lwidentity

Wird er nicht fündig, greift er auf das Active Directory zurück. Lokale Benutzer kommen damit auch bei einem Ausfall des AD noch auf den Rechner.

Beim Konfigurieren des Linux-Systems geht Likewise vorsichtig zu Werke. Es sichert alle Dateien, die es anpasst, in einer Datei mit der Endung ».lwidentity.bak«. Nicht ohne Grund: Mittels »domainjoin-cli leave« als Root auf der Kommandozeile oder dem GUI entfernt der Admin den Maschinenaccount wieder. Likewise setzt dann alle veränderten Konfigurationsdateien wieder zurück.

Likewise bietet dem Admin über die Datei »/etc/samba/lwiauthd.conf« die Möglichkeit, Konfigurationsoptionen für den hauseigenen Winbind zu setzen, wie er sie bei der manuellen Konfiguration von Samba beim Einsatz in einer Active-Directory-Umgebung her kennt.

Abbildung 4: Nach erfolgreichem Beitritt zur Domäne legt Likewise einen Maschinenaccount für den Rechner »ubuntu« im Active Directory an.

Individuelle Konfiguration

Beispielsweise darf der Admin die Login-Shell zentral für alle Domänenbenutzer über den Parameter »template shell« festlegen. Das Heimatverzeichnis der Benutzer steht nicht in der Benutzerdatenbank des AD, daher trägt es der Admin in der Konfigurationsdatei mit dem Samba-Parameter »template homedir« ein:

template shell   = /bin/bash
template homedir = /home/%D/%U

Likewise-Winbind ersetzt »%D« durch den kurzen Domänennamen und »%U« durch den Domänenbenutzer. Um Namenskollisionen bei Vertrauensstellungen sauber zu behandeln, sollte der Admin die Domäne in den Pfad des Benutzers aufnehmen und die Standardeinstellung für die Benutzerverzeichnisse übernehmen. Unkonfiguriert lässt Likewise Open hingegen den Backslash als Trennzeichen zwischen Domäne und Benutzernamen. In Unix-Shells hat der nämlich oft eine Sonderbedeutung. Experten raten, ihn auf allen Clients mittels »winbind separator« zu ändern, etwa in das Pluszeichen.

Existiert nur eine Domäne, verzichtet der Admin auf die Trennung von Domäne und Benutzernamen mittels »winbind use default domain = yes«. Versäumt er dies, sind die von Winbind überlieferten Domänenbenutzer unter Linux nur mit vorangestellter Domänenbezeichnung einsetzbar. Durch einen Restart des Init-Skripts »likewise-open« macht der Admin alle Änderungen wirksam.

Auskunftsfreudig

Das Paket »likewise-open« beinhaltet die drei Diagnoseprogramme »lwinet«, »lwimsg« und »lwiinfo«, die unter anderem beim Debuggen behilflich sind. Da Likewise auf dem Code von Samba-Winbindd basiert, erfüllen die Tools auch dessen Aufgaben: Ob die Verbindung zum Domänencontroller einwandfrei funktioniert, lässt sich etwa mit »lwiinfo« prüfen. Es entspricht »wbinfo« der Samba-Suite. Beide fragen den Winbind-Daemon nach Informationen. So listet »lwiinfo -u « alle Domänenbenutzer der Default-Domäne auf:

EXAMPLE+mokr000
EXAMPLE+phkr000
EXAMPLE+wane000 [...]

Gleiches gilt für Gruppen des Verzeichnisdienstes, die das Tool mit der Option »-g« ausgibt. Damit ist sichergestellt, dass Linux die Namen aus dem Active Directory bekannt sind. Die dort definierten Gruppen listet »lwiinfo -g« auf:

EXAMPLE+buchhaltung
EXAMPLE+marketing [...]

Auch hier verwendet Likewise das in »lwiauthd.conf« konfigurierte »+«-Zeichen als Winbind-Separator. Das Tool »lwimsg« entspricht »smbcontrol« und steuert Winbindd, setzt beispielsweise den Debug-Level. Das Pendant zu Sambas »net«, der Remote-Administration einer Domäne, ist »lwinet«.

Nachdem der Admin die Software installiert hat, testet er die Anmeldung gegen das Active Directory. Entscheidend ist, in welcher Form er die Benutzernamen aus dem Verzeichnisdienst übernimmt. Lässt er die Trennung von Domäne und Benutzernamen in der Standardeinstellung und ändert nur den Trenner, geben Anwender zum Anmelden an der Konsole oder einem Desktop-Manager (siehe Abbildung 5) den Benutzernamen in der Form »DOMÄNE+Benutzername« an:

ubuntu Login: EXAMPLE+wane000
Password:
EXAMPLE+wane000@ubuntu:~$

Likewise authentifiziert den Benutzer über das Kerberos-Protokoll. Dazu fordert der Agent beim Key Distribution Center (KDC) das Ticket Granting Ticket (TGT) an, das er lokal auf den Client als »/tmp/krb5cc_UID« speichert (siehe Listing 2). Das Kommando »klist« zeigt die gültigen Tickets des Benutzers an. Mit ihnen greift der User auf kerberisierte Dienste innerhalb des Netzes zu, ohne sich erneut am Netzwerkdienst anzumelden.

Abbildung 5: Der Display-Manager GDM verlangt bei der Authentifizierung einen Login-Namen. Er besteht bei diesem Active Directory aus der Domäne »EXAMPLE«, dem Pluszeichen als Trenner und dem Benutzernamen.

01 $ klist
02 Ticket cache: FILE:/tmp/krb5cc_1560282197
03 Default principal: wane000@EXAMPLE.ORG
04 
05 Valid starting     Expires            Service principal
06 08/12/08 13:48:08  08/12/08 23:48:08  krbtgt/EXAMPLE.ORG@EXAMPLE.ORG
07         renew until 08/19/08 13:48:08
08 08/12/08 13:48:08  08/12/08 23:48:08  SUSE$@EXAMPLE.ORG
09         renew until 08/19/08 13:48:08

Single-Sign-on

Damit ein Netzwerkdienst den Anwendern den Vorzug bieten kann, sich passwortlos bei ihm anzumelden, muss der Admin ihm einen Service Principal Name (SPN) zuweisen. Er identifiziert den Dienst innerhalb der Active-Directory-Umgebung. Der Dienst bittet das KDC um ein Serviceticket für diesen Service Principal. Dazu weist er sich mit seinem TGT aus. Der SPN besteht aus einer Serviceangabe, gefolgt von einem Slash sowie dem voll qualifizierten Rechnernamen des Servers und der Domäne nach einem Klammeraffen.

Als Serviceangabe sind unter anderem »host«, »ftp« oder »pop« erlaubt. Verbindet sich ein Benutzer per SSH zu einem anderen AD-Mitgliedsrechner, den Likewise verwaltet, fordert das kerberisierte »ssh« unter Vorlage des TGT des Benutzers ein Serviceticket beim KDC für beispielsweise den SPN »host/ubuntu.example.org@EXAMPLE.ORG« an, sofern der lokale Ticket-Cache noch keins gespeichert hat. Das Serviceticket enthält neben einem Sitzungsschlüssel die User-ID des anfragenden Benutzers. Likewise Open verschlüsselt es mit dem Server-Key und legt es wie das TGT im Cache des Benutzers ab (siehe Listing 3).

01 $ klist
02 Ticket cache: FILE:/tmp/krb5cc_1560282197
03 Default principal: wane000@EXAMPLE.ORG
04 
05 Valid starting           Expires               Service principal
06 08/13/08 15:48:29        08/14/08 01:48:30     krbtgt/EXAMPLE.ORG@EXAMPLE.ORG
07           renew until    08/20/08 15:48:29
08 08/13/08 15:48:30        08/14/08 01:48:30     SUSE$@EXAMPLE.ORG
09           renew until    08/20/08 15:48:29
10 08/13/08 15:48:38        08/14/08 01:48:30     host/ubuntu.example.org@
11           renew until    08/20/08 15:48:29
12 08/13/08 15:48:38        08/14/08 01:48:30     host/ubuntu.example.org@EXAMPLE.ORG
13           renew until    08/20/08 15:48:29

Der SSH-Client sendet automatisch dem Authenticator das verschlüsselte Serviceticket zusammen mit einem verschlüsseltem Zeitstempel zur Prüfung an den »sshd« des Zielservers. Das garantiert zum einen, dass jede Ticketanfrage einzigartig ist, und stellt zum anderen sicher, dass der Client von dem erzeugten Sitzungsschlüssel wirklich Kenntnis hat. Ohne den Authenticator wäre es für einen Angreifer einfach, den Netzverkehr nach einem Ticket abzuhören und eine Replay-Attacke durchzuführen.

Der Server prüft das ihm vorgelegte Serviceticket auf seine Gültigkeit. Hierzu bedient er sich seiner lokalen Keytab-Datei »/etc/krb5.keytab«. In ihr ist der Schlüssel des Servers hinterlegt. Mit ihm entschlüsselt der Server das Serviceticket und kennt damit den Sitzungsschlüssel. Die Überprüfung des Authenticators erfolgt dann anhand des Session-Key. Fällt sie positiv aus, ist der Benutzer am Server ohne Eingabe eines Passworts authentifiziert (siehe Abbildung 6).

Abbildung 6: Likewise implementiert Single-Sign-on mit Kerberos. Anwender brauchen fortan kein Passwort mehr einzugeben.

Verbindung aufnehmen

Likewise Open konfiguriert automatisch bei Domänenbeitritt sowohl vorhandene SSH-Clients und -Server so, dass sie fortan per Kerberos authentifizieren. Server-seitig modifiziert Likewise den Server, indem es die Zeilen

GSSAPIAuthentication yes
GSSAPICleanupCredentials yes

in die Konfigurationsdatei »/etc/ssh/sshd_config« einträgt. Für einen SSH-Client fügt Likewise dort die Zeilen

GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

an. Die Anweisung »GSSAPIDelegateCredentials« reicht das TGT zum Zielserver weiter. Bei allen Einstellungen nutzt die Software das Generic Security Services API (GSSAPI), eine allgemeine Schnittstelle zu Sicherheitsdiensten wie Kerberos.

Heimatverbunden

Meldet sich ein Domänenbenutzer erstmals auf einem Client an, legt Likewise Open wie beschrieben mittels PAM »pam_lwidentity.so« lokale Benutzerverzeichnisse an. Alternativ bindet das Modul »pam_mount« zentrale Benutzerverzeichnisse von einem entfernten Server mittels SMB/CIFS ein [5]. Auf diese Weise erhält jeder Anwender Zugriff auf seine Dateien unabhängig davon, an welchem Client er sich anmeldet. Die Freigabe definiert der Admin in einer Zeile in »/etc/security/pam_mount.conf« mit dem Schlüsselwort »volume«:

volume Nutzer Filesystem Server Freigabe Einhängepunkt Optionen Cipher Pfad

Der Platzhalter »*« für den Parameter »Nutzer« sagt dem Modul, den angemeldeten Benutzer einzusetzen. Als »Filesystem« kommen »smbfs« oder »cifs« in Frage. Den »Server« darf der Admin mit seiner IP-Adresse oder dem Netbios-Namen angeben, als »Freigabe« diesmal »&« als Platzhalter für den Benutzernamen verwenden. Die letzten drei Parameter sind üblicherweise unnötig, sodass jeweils ein Bindestrich ausreicht. Ein Beispiel wäre also:

volume * smbfs SAMBASERVER & /home/EXAMPLE/&/Dokumente - - -

Ob der Admin nur das Unterverzeichnis »Dokumente« oder das komplette Heimverzeichnis einbindet, ist Geschmacksfrage und davon abhängig, wie eine Organisation ihren zentralen Server organisiert. Existiert der Mountpoint nicht, sorgt das PA-Modul »pam_mount« mit der Einstellung »mkmountpoint 1« dafür, das er ihn dann anlegt. Ab Version 0.29 speichert »pam_mount« die Konfiguration in einer äquivalenten XML-Form ab, wie Listing 4 zeigt.

01 <?xml version="1.0" encoding="UTF-8"?>
02 <pam_mount>
03 <volume user       ="*"
04         server     ="SAMBASERVER"
05         mountpoint ="/home/EXAMPLE/%(USER)/Dokumente"
06         path       ="%(USER)"
07         fstype     ="smbfs" />
08 </pam_mount>

Das Modul trägt der Admin in die »auth«-Sektion noch vor als »sufficient« gekennzeichneten Einträgen in »/etc/pam.d« ein. Listing 5 zeigt eine Konfiguration in den Dateien »common-auth« und »common-session« unter Ubuntu. Damit Anwender ihre Passwörter nicht mehrfach eingeben müssen, bietet die Datei »/etc/security/pam_lwidentity.conf« mit der Option »try_first_pass = yes« an, ein bereits eingegebenes Passwort noch einmal zu verwenden.

01 # /etc/pam.d/common-auth
02 auth     required    pam_mount.so
03 auth     sufficient  /lib/security/pam_lwidentity.so
04 auth     requisite   pam_unix.so nullok_securetry_first_pass
05 auth     optional    pam_smbpass.so migrate missingok
06 
07 # /etc/pam.d/common-session
08 session  optional   pam_mount.so
09 auth     sufficient /lib/security/pam_lwidentity.so
10 session  required   pam_unix.so

Mehr gegen Aufpreis

Das amerikanische Unternehmen Likewise vertreibt neben der Open-Version ihrer gleichnamigen Software auch das kostenpflichtige Likewise Enterprise [6]. Es bietet zusätzlich Active-Directory-Gruppenrichtlinien. Rund 500 von ihnen definiert das Produkt vor. Die Likewise Administrative Console verwaltet von Linux- oder Unix-Rechnern aus Einträge im Active Directory. Zudem unterstützt Likewise Enterprise Linux-Desktops, deren Einstellungen und Restriktionen es aus dem AD bezieht. Damit lassen sich strikte Sicherheitsrichtlinien umsetzen. Die Enterprise-Variante ist als kostenlose Evaluierungs- oder für 250 US-Dollar als Server-Version verfügbar. Das Unternehmen bietet auch zwei Stufen von kommerziellem Support an.

Ein neues Gesicht

Einmal konfiguriert, bietet aber bereits Likewise Open funktional den gleichen Funktionsumfang wie Samba, Kerberos, PAM und NSS zusammen. Es nimmt dem Administrator eine Reihe von lästigen Arbeiten beim Einrichten ab, Benutzer zentral und plattformübergreifend zu verwalten beispielsweise. Der ticketbasierte Authentifizierungsdienst Kerberos und das Single-Sign-on für eine ganze Reihe von Protokollen und Applikationen gibt\’s gratis dazu.

Wer mit Likewise Open gut zurechtkommt, weiß vielleicht auch die zusätzlichen, aber kostenpflichtigen Komponenten oder den professionellen Support zu schätzen. Allein bei zentral verwalteten Benutzerverzeichnissen ist der Admin wieder auf bodenständige Handarbeit angewiesen. (mg)