Розгортання FreeIPA на

Конфігурація

Після успішного встановлення FreeIPA настав час для базової конфігурації. Ми створимо першого користувача, додамо хост та налаштуємо клієнтську машину для роботи з FreeIPA.

1. Створення нового користувача

З метою безпеки та для повсякденної роботи не рекомендується використовувати обліковий запис admin. Створимо нового звичайного користувача.

kinit admin # Якщо ваш Kerberos-квиток закінчився
ipa user-add user01 --first=User --last=One --password

Вам буде запропоновано ввести та підтвердити пароль для user01. Після створення, можна скинути термін дії пароля, щоб він не закінчувався негайно (для тестування).

ipa user-mod user01 --setattr=krbPasswordExpiration=20300101000000Z

Ця команда встановить термін дії пароля на 1 січня 2030 року. У реальному середовищі краще використовувати політики паролів.

2. Додавання хоста до FreeIPA

Щоб інші Linux-сервери могли автентифікуватися через FreeIPA, їх необхідно зареєструвати в каталозі FreeIPA.

ipa host-add client01.example.com

Замініть client01.example.com на FQDN вашої клієнтської машини. Переконайтеся, що ця машина має A-запис у DNS, яка вказує на її IP-адресу.

3. Налаштування клієнтської машини (Ubuntu Server 24.04)

Для інтеграції клієнтської машини з FreeIPA, встановіть пакет freeipa-client та запустіть скрипт налаштування.

На клієнтській машині виконайте наступні кроки:

sudo apt update && sudo apt upgrade -y
sudo hostnamectl set-hostname client01.example.com
echo "192.168.1.100 ipa.example.com" | sudo tee -a /etc/hosts # Замініть IP-адресу на IP вашого FreeIPA сервера
echo "nameserver 192.168.1.100" | sudo tee /etc/resolv.conf # Замініть IP-адресу на IP вашого FreeIPA сервера
sudo apt install freeipa-client -y

Встановіть ім'я хоста, додайте запис для FreeIPA сервера до /etc/hosts та налаштуйте DNS-сервер на IP-адресу вашого FreeIPA сервера. Потім встановіть клієнтський пакет FreeIPA.

Тепер запустіть скрипт налаштування клієнта:

sudo ipa-client-install --domain=example.com --server=ipa.example.com --realm=EXAMPLE.COM --force-join --mkhomedir -p admin --password <ПАРОЛЬ_ADMIN> --unattended

Замініть example.com, ipa.example.com, EXAMPLE.COM та <ПАРОЛЬ_ADMIN> на ваші значення. Опція --mkhomedir створює домашній каталог для користувачів FreeIPA при першому вході. --unattended та -p admin --password <ПАРОЛЬ_ADMIN> дозволяють автоматизувати процес, якщо ви впевнені в параметрах. В інтерактивному режимі скрипт запитає пароль адміністратора FreeIPA.

Після завершення встановлення клієнта на клієнтській машині:

kinit user01

Введіть пароль user01. Якщо Kerberos-квиток отримано успішно, значить, клієнтська машина успішно інтегрована.

ssh user01@localhost

Спробуйте увійти на клієнтську машину під користувачем user01. Якщо вхід успішний, і був створений домашній каталог, інтеграція пройшла успішно.

4. Налаштування TLS/HTTPS (FreeIPA CA)

FreeIPA за замовчуванням використовує свій вбудований Certificate Authority (CA) для видачі TLS-сертифікатів для своїх служб (веб-інтерфейс, LDAP-S). Це означає, що при доступі до веб-інтерфейсу ви побачите попередження про самопідписаний сертифікат, доки не імпортуєте кореневий сертифікат FreeIPA CA до довірених сховищ вашої ОС або браузера.

Для імпорту CA-сертифіката (на клієнтській машині або вашій робочій станції):

# На вашій робочій станції або клієнтській машині
# Завантажте CA-сертифікат із сервера FreeIPA
curl -o /tmp/ipa.crt http://ipa.example.com/ipa/config/ca.crt

# Імпортуйте його до довірених сховищ (приклад для Ubuntu/Debian)
sudo cp /tmp/ipa.crt /usr/local/share/ca-certificates/ipa.crt
sudo update-ca-certificates

Після цього браузери та інші програми на цій машині довірятимуть сертифікатам, виданим вашим FreeIPA CA.

Використання Caddy/Certbot для інших сервісів:

Якщо ви хочете використовувати FreeIPA для автентифікації в інших веб-сервісах, а для них отримати сертифікати від Let's Encrypt, ви можете налаштувати Caddy або Certbot. Ці інструменти працюватимуть незалежно від FreeIPA, але можуть використовувати FreeIPA для автентифікації користувачів.

# Приклад встановлення Caddy на окремому сервері або проксі
sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list
sudo apt update
sudo apt install caddy -y

Потім налаштуйте Caddyfile для вашого домену, і Caddy автоматично отримає та оновить сертифікати Let's Encrypt.

# Приклад Caddyfile для proxy_service.example.com
proxy_service.example.com {
    reverse_proxy localhost:8080 # Ваш сервіс, що працює на порту 8080
}

Для інтеграції автентифікації з FreeIPA, ваш веб-сервіс повинен бути налаштований на використання LDAP або Kerberos для автентифікації, вказуючи на ваш FreeIPA сервер.

5. Перевірка працездатності

Кілька команд для перевірки:

# На сервері FreeIPA
ipa ping

Повинен повернути Ping successful.

curl -v https://ipa.example.com/ipa/ui/

Перевірте доступність веб-інтерфейсу. Зверніть увагу на статус TLS-сертифіката.

# На клієнтській машині
id user01

Повинен показати інформацію про користувача user01, включаючи його UID, GID та групи, отримані з FreeIPA.

klist

На клієнтській машині після kinit user01 повинно показати діючий Kerberos-квиток.

Резервне копіювання та обслуговування

Резервне копіювання та регулярне обслуговування FreeIPA є критично важливими для забезпечення безперервності роботи та безпеки вашої інфраструктури ідентифікації.

1. Що резервувати

Для FreeIPA необхідно резервувати наступні компоненти:

• База даних 389 Directory Server (LDAP): Містить всю інформацію про користувачів, групи, хости, політики тощо.
• Конфігураційні файли FreeIPA: Налаштування Kerberos, DNS, CA.
• Сертифікати CA: Ключі та сертифікати, видані вашим FreeIPA CA.
• Конфігурація BIND (DNS): Якщо використовується інтегрований DNS.

На щастя, FreeIPA надає вбудовану утиліту для резервного копіювання, яка охоплює більшість цих компонентів.

2. Простий скрипт авторезервування

FreeIPA має вбудовану команду ipa-server-backup, яка створює повний дамп всіх необхідних даних.

#!/bin/bash

BACKUP_DIR="/var/lib/ipa/backup"
DATE=$(date +%Y%m%d%H%M%S)
BACKUP_FILE="${BACKUP_DIR}/ipa_backup_${DATE}.tar.gz"
RETENTION_DAYS=7 # Скільки днів зберігати резервні копії

echo "Починаємо резервне копіювання FreeIPA до ${BACKUP_FILE}..."

# Створюємо директорію для резервних копій, якщо її немає
sudo mkdir -p ${BACKUP_DIR}

# Виконуємо резервне копіювання FreeIPA
# Використовуємо --dir для вказівки директорії, куди FreeIPA збереже свої файли
# Потім архівуємо цю директорію
sudo ipa-server-backup --dir /tmp/ipa_backup_temp_dir

if [ $? -eq 0 ]; then
    echo "Резервна копія FreeIPA успішно створена в тимчасовій директорії. Архівуємо..."
    sudo tar -czf ${BACKUP_FILE} -C /tmp ipa_backup_temp_dir
    if [ $? -eq 0 ]; then
        echo "Архів резервної копії успішно створено: ${BACKUP_FILE}"
        sudo rm -rf /tmp/ipa_backup_temp_dir # Видаляємо тимчасову директорію

        # Видалення старих резервних копій
        echo "Видалення старих резервних копій (старше ${RETENTION_DAYS} днів)..."
        sudo find ${BACKUP_DIR} -name "ipa_backup_*.tar.gz" -type f -mtime +${RETENTION_DAYS} -delete
        echo "Старі резервні копії видалено."
    else
        echo "Помилка при архівуванні резервної копії."
        sudo rm -rf /tmp/ipa_backup_temp_dir
        exit 1
    fi
else
    echo "Помилка при виконанні ipa-server-backup."
    exit 1
fi

echo "Резервне копіювання завершено."

Збережіть цей скрипт, наприклад, як /usr/local/bin/ipa_backup.sh, і зробіть його виконуваним:

sudo chmod +x /usr/local/bin/ipa_backup.sh

Потім додайте його до cron для щоденного виконання (наприклад, о 3:00 ранку):

sudo crontab -e

Додайте наступний рядок:

0 3 * * * /usr/local/bin/ipa_backup.sh > /var/log/ipa_backup.log 2>&1

3. Куди зберігати резервні копії

Зберігання резервних копій на тому ж сервері, що й оригінальні дані, не є надійним. Рекомендується використовувати зовнішні сховища:

• Хмарне S3-сумісне сховище: Amazon S3, DigitalOcean Spaces, Backblaze B2. Використовуйте s3cmd, rclone або aws cli для завантаження архівів.
• Окремий VPS: Виділіть невеликий VPS виключно для зберігання резервних копій. Використовуйте rsync або scp для передачі файлів по SSH.
• Локальний NAS/сервер: Якщо у вас є власне обладнання.

Приклад додавання завантаження до S3 у скрипт (потребує встановлення та налаштування aws cli):

# ... (початок скрипта) ...
# Після успішного створення архіву:
if [ $? -eq 0 ]; then
    echo "Архів резервної копії успішно створено: ${BACKUP_FILE}"
    sudo rm -rf /tmp/ipa_backup_temp_dir

    echo "Завантаження резервної копії до S3..."
    # Переконайтеся, що AWS CLI встановлено та налаштовано (aws configure)
    /usr/local/bin/aws s3 cp ${BACKUP_FILE} s3://your-s3-bucket-name/ipa-backups/

    if [ $? -eq 0 ]; then
        echo "Резервна копія успішно завантажена до S3."
    else
        echo "Помилка при завантаженні резервної копії до S3."
        # Можна додати сповіщення про помилку
    fi

    # ... (видалення старих резервних копій) ...

Завжди шифруйте резервні копії перед відправкою до зовнішніх сховищ, використовуючи GPG або інші інструменти.

4. Відновлення з резервної копії

Для відновлення FreeIPA з резервної копії використовується команда ipa-server-restore. Зазвичай це робиться на свіжовстановленій системі Ubuntu з пакетом ipa-server, але без запуску ipa-server-install.

sudo systemctl stop ipa.service
sudo ipa-server-restore --restore-dir /path/to/your/backup/directory

5. Оновлення: rolling vs maintenance window

Оновлення FreeIPA та базової ОС — важлива частина обслуговування.

• Оновлення ОС: Регулярно застосовуйте оновлення безпеки для Ubuntu. Використовуйте sudo apt update && sudo apt upgrade -y. Для критичних систем рекомендується тестувати оновлення на тестовому сервері перед застосуванням на продакшені.
• Оновлення FreeIPA: Оновлення пакета ipa-server зазвичай включають оновлення FreeIPA. Після оновлення пакетів FreeIPA може знадобитися запустити ipa-server-upgrade.

  
  sudo apt update && sudo apt upgrade -y
  sudo ipa-server-upgrade
              

  Ця команда виконує необхідні міграції схеми LDAP та інші оновлення компонентів FreeIPA.

• Стратегія оновлень:
  • Rolling updates (для реплікованих середовищ): Якщо у вас є кілька FreeIPA-серверів у режимі реплікації, ви можете оновлювати їх по черзі, мінімізуючи простій.
  • Maintenance window (для одиночних серверів): Для одиночного FreeIPA-сервера плануйте оновлення в період найменшої активності, щоб мінімізувати потенційні перебої. Завжди майте свіжу резервну копію перед великими оновленнями.

Вирішення проблем + FAQ

Що робити, якщо FreeIPA не запускається після перезавантаження?

Перш за все, перевірте статус основних служб FreeIPA за допомогою sudo ipactl status. Якщо будь-яка служба зупинена або знаходиться в стані збою, перевірте логи: sudo journalctl -xeu [email protected] для LDAP, sudo journalctl -xeu krb5kdc.service для Kerberos, sudo journalctl -xeu named-ipa.service для DNS. Часті причини: проблеми з DNS-розділенням власного імені сервера, нестача пам'яті, пошкодження бази даних LDAP або помилки в конфігурації.

Який VPS-конфіг мінімально підійде для FreeIPA?

Мінімально рекомендований конфіг для FreeIPA в тестовому або невеликому середовищі — це 2 ядра CPU, 4 ГБ RAM та 50 ГБ SSD-диска. Однак для стабільної роботи та масштабування до кількох сотень користувачів/хостів, краще орієнтуватися на 4 ядра CPU, 8 ГБ RAM та 100 ГБ SSD. Це забезпечить достатню продуктивність для Kerberos, LDAP та інших служб FreeIPA.

Що вибрати — VPS чи dedicated для цього завдання?

Вибір між VPS та dedicated-сервером залежить від масштабу та вимог до продуктивності. Для більшості невеликих та середніх розгортань (до кількох тисяч користувачів/хостів) VPS з адекватними ресурсами буде достатнім та економічно вигідним. Dedicated-сервери стають необхідними при дуже високому навантаженні (десятки тисяч користувачів), специфічних вимогах до апаратного забезпечення (наприклад, HSM), жорстких SLA або якщо потрібна повна ізоляція ресурсів та максимальна продуктивність I/O.

Не можу увійти до веб-інтерфейсу FreeIPA. Що перевіряти?

Переконайтеся, що служба HTTPD запущена (sudo systemctl status httpd.service або sudo systemctl status [email protected]). Перевірте, що порти 80 та 443 відкриті в брандмауері (sudo ufw status). Очистіть кеш браузера або спробуйте інший браузер. Переконайтеся, що ви використовуєте правильне FQDN сервера і що воно розв'язується в IP-адресу сервера. Перевірте логи веб-сервера (наприклад, /var/log/httpd/error_log).

Клієнт FreeIPA не може підключитися до сервера.

Перевірте DNS-розділення на клієнті: dig ipa.example.com має вказувати на IP-адресу вашого FreeIPA сервера. Переконайтеся, що порти FreeIPA відкриті на сервері (53, 80, 443, 389, 636, 88, 464, 123). Перевірте синхронізацію часу між клієнтом і сервером (Kerberos дуже чутливий до цього): sudo timedatectl status. Спробуйте виконати ipa-client-install з опцією --debug для отримання докладних логів.

Як скинути пароль користувача admin у FreeIPA?

Якщо ви забули пароль admin, його можна скинути через користувача Directory Manager. Спочатку отримайте Kerberos-квиток для Directory Manager: kinit admin/admin (пароль Directory Manager). Потім скиньте пароль користувача admin: ipa user-mod admin --password. Вам буде запропоновано ввести новий пароль. Якщо ви забули і пароль Directory Manager, це складніше і може вимагати прямого втручання в LDAP-каталог (що виходить за рамки цього посібника).

Проблеми з сертифікатами або TLS при доступі до FreeIPA.

FreeIPA використовує власний CA. Переконайтеся, що ви імпортували кореневий сертифікат FreeIPA CA до довірених сховищ вашої операційної системи або браузера. Якщо це не допомагає, перевірте термін дії сертифікатів FreeIPA: ipa-getcert list. Якщо термін дії сертифікатів закінчився, їх потрібно оновити через ipa-server-certinstall або ipa-certupdate.

Висновки та наступні кроки

Вітаємо! Ви успішно розгорнули та налаштували FreeIPA на вашому VPS, створивши централізовану систему управління ідентифікацією. Тепер у вас є потужний інструмент для автентифікації користувачів і машин, управління доступом та видачі сертифікатів, що значно спрощує адміністрування вашої Linux-інфраструктури.

Подальші кроки можуть включати:

• Інтеграція додаткових сервісів: Підключіть інші ваші сервери, робочі станції та програми до FreeIPA для централізованої автентифікації.
• Налаштування політик доступу: Вивчіть можливості Host-Based Access Control (HBAC) для тонкого налаштування того, хто і куди може входити.
• Розгортання реплік: Для підвищення відмовостійкості та розподілу навантаження розгляньте можливість розгортання додаткових серверів FreeIPA в режимі реплікації.
• Моніторинг: Налаштуйте моніторинг FreeIPA за допомогою таких інструментів, як Prometheus/Grafana, щоб відстежувати стан служб та продуктивність.