LDAP-Server für RHEL zur Authentifizierung von Benutzern Red Hat Directory Server als Alternative zu MS Active Directory

Anbieter zum Thema

Red Hat GmbH

Red Hat GmbH

ALE Deutschland GmbH

Um in Red Hat Enterprise Linux (RHEL) einen LDAP-Server bereitzustellen, mit dem sich Benutzer authentifizieren lassen, ist der Red Hat Directory Server ein häufig eingesetztes Werkzeug. Auch zertifikatsbasierte Authentifizierung mit X.509v3 ist möglich.

Für Linux gibt es verschiedene Alternativen zu Active Directory, mit denen sich LDAP-Verzeichnisse aufbauen lassen. Auch Red Hat bietet mit Red Hat Directory Server einen solchen Dienst an, der zwar keine umfassenden Funktionen wie Gruppenrichtlinien oder Kerberos bietet, dafür aber bei LDAP einiges zu bieten hat. Beim 389 Directory Server handelt es sich um die kostenlose Version des Red Hat Directory Server, die über Fedora zur Verfügung steht.

Netzwerkauthentifizierung und Synchronisierung mit Microsoft Active Directory

Wenn im Netzwerk Benutzer auf mehreren Computern arbeiten, können sie sich für die Authentifizierung direkt am Red Hat Directory Server anmelden und auf die jeweiligen Anwendungen zugreifen. Dazu kommt eine mögliche Replikation mit Active Directory in beide Richtungen. Die aktuelle Version 12 von Red Hat Directory Server benötigt eine Installation von RHEL 9 für die Bereitstellung.

Bildergalerie

Bildergalerie mit 6 Bildern

Zwar erfolgt die Installation von Red Hat Directory Server auf RHEL, dennoch ist das System komplett vom Betriebssystem unabhängig. Die LDAP-Daten (LDAPv3) speichert der Directory Server in einer eigenen Datenbank, die sich auch zwischen verschiedenen Servern replizieren lässt. Hier bietet Red Hat Directory Server auch eine 4-Wege-Mehrfachreplikation mit mehreren Master-Servern. Das erhöht die Verfügbarkeit und entlastet die einzelnen Server. Wie Active Directory verfügt Red Hat Directory Server über ein Schema, das sich auch aktualisieren lässt.

Authentifizierung mit Zertifikaten, Benutzernamen und Richtlinienreplikation

Geht es um die Authentifizierung mit verschiedenen Benutzermethoden, zum Beispiel für eigene Anwendungen oder Dienste im Rechenzentrum und der Cloud, bietet Red Hat Directory Server auch zertifikatsbasierte Authentifizierung (X.509v3) und herkömmliche Benutzername/Kennwort-Anmeldungen.

Bei der zertifikatsbasierten Authentifizierung kann das Red Hat Certificate System zum Einsatz kommen. Hier lassen sich auch Multi-Faktor-Authentifizierungen (MFA) umsetzen. Der Server verfügt über Gruppen, Rollen und auch musterbasierte Regeln für den Zugriff. Die Berechtigungen beim Einsatz von Red Hat Directory Server erfolgt auf Basis von ACL-Listen, die sich auch mit anderen Daten zwischen verschiedenen Servern replizieren lassen.

Red Hat Directory Server 12 in RHEL 9 in Betrieb nehmen

RHEL erfordert die Installation von Paketen und für den dauerhaften Betrieb eine Subscription. Hier bietet Red Hat verschiedene Pakete an, in denen nicht immer der Red Hat Directory Server verfügbar ist. Ob der Server in einer Subscription verfügbar ist, lässt sich im Terminal mit folgendem Befehl überprüfen:

Die Abfrage zeigt auch die Pool-ID von Red Hat Directory Server in der Subscription an. Diese ID kann mit dem Subscription-Manager an das aktuelle System angebunden werden, zum Beispiel mit:

Für die Installation von Red Hat Directory Server muss außerdem das Repository für die aktuelle Version hinzugefügt werdet:

Eine Liste aller zur Verfügung stehenden Repositories lässt sich mit dem folgenden Befehl anzeigen:

Wenn das Repository erfolgreich hinzugefügt wurde, kann Red Hat Directory Server auf RHEL 9 installiert werden:

Nach der Installation des Moduls ist es noch notwendig eine INF-Datei zu erstellen, auf deren Basis wiederum mit „dscreate“ ein LDAP-Verzeichnis in Red Hat Directory Server erstellt werden kann. Die INF-Datei lässt sich auf Basis einer Vorlage von „dscreate“ erstellen:

Das Tool „dscreate“ steht erst zur Verfügung, wenn das Modul für Red Hat Directory Server erfolgreich installiert wurde. In der Datei müssen der Name für die neue Instanz und das Root-Kennwort angegeben werden. Auch das Suffix der Domäne ist notwendig sowie weitere Einträge, die optional sind. Danach lässt sich die Instanz erstellen:

Wer es etwas einfacher haben will, kann das LDAP-Verzeichnis mit „dscreate“ auch interaktiv erstellen. Dazu kommt folgender Befehl zum Einsatz:

Parallel dazu ist auch eine Einrichtung im Cockpit von Red Hat Enterprise Linux möglich, wenn auf dem Server die grafische Oberfläche und das Cockpit installiert wurden. Hier ist es sinnvoll, sich gleich mit „root“ anzumelden, da im Grunde genommen nahezu alle Aktionen mit Red Hat Directory Server Root-Rechte erfordern.

Server aus Sicherheitsgründen unbedingt aktuell halten

Generell sollten Linux-Server ohnehin mit den neusten Updates versorgt werden. Wenn ein Server aber durch Red Hat Directory Server auch als Master-Server für ein LDAP-Verzeichnis zum Einsatz kommt und Benutzerinformationen speichert, ist das noch wichtiger. Hier bietet es sich an, zum Beispiel im Cockpit von RHEL 9 bei „Software-Aktualisierungen“ zunächst die Updates mit „Alle Aktualisierungen installieren“ oder „Sicherheitsaktualisierungen installieren“ manuell zu installieren. Darüber hinaus sollten an dieser Stelle auch die automatische Installation von Updates und das Live-Kernel-Patching aktiviert werden, wenn die Subscription von RHEL 9 das abdeckt.

Active Directory im Fokus

Bildergalerie mit 71 Bildern

(ID:48971825)