Seminar FreeIPA – Linux-Identitäten, Kerberos und SSSD

Seminarbeschreibung

Linux-Zugriffe über lokale Konten und einzeln gepflegte Schlüssel werden bei wachsenden Umgebungen schwer kontrollierbar. FreeIPA bündelt Identitätsdaten, Kerberos-Anmeldung und zentrale Zugriffsrichtlinien. Das Seminar baut diese Funktionen auf einer vorbereiteten Linux-Infrastruktur auf. DNS, Namensauflösung, Zeitsynchronisation und Zertifikatsvertrauen werden früh geprüft, weil Fehler an diesen Grundlagen spätere Anmeldeprobleme häufig erst sichtbar machen.

Die Praxis verbindet die Weboberfläche mit den Verwaltungswerkzeugen auf Servern und Clients. Benutzer- und Hostgruppen werden in nachvollziehbare Zugriffsszenarien übersetzt. SSSD, Ticketverhalten, Hostzugriff und sudo werden getrennt untersucht. Der Umgang mit Sperren, lokalem Cache und Ausfällen ist Teil der Abnahme. Eine mögliche Kopplung an bestehende Unternehmensverzeichnisse wird architektonisch eingeordnet, ohne FreeIPA mit einem vollständigen Ersatz aller Windows-Domänenfunktionen gleichzusetzen.

Seminarinhalte

Inhaltsübersicht:

1. Architektur und Infrastruktur prüfen
2. FreeIPA-Server bereitstellen
3. Linux-Clients und SSSD integrieren
4. Kerberos und Dienstidentitäten
5. Host-Based Access Control
6. sudo, SSH und Zertifikatsbetrieb
7. Replikation und Betriebsfähigkeit
8. Fehleranalyse und Integration

1. Architektur und Infrastruktur prüfen

• Verzeichnis, Kerberos, Zertifikatsverwaltung, DNS und Clientdienste nach Aufgabe und Abhängigkeit einordnen.
• Domänennamen, Hostnamen, Namensauflösung und Zeitsynchronisation vor der Installation kontrollieren.
• Installationsrollen, administrative Zuständigkeiten und Anforderungen an Erreichbarkeit sowie Sicherung festlegen.

2. FreeIPA-Server bereitstellen

• Einen Server in der vorbereiteten Infrastruktur installieren und die einzelnen Dienste auf Erreichbarkeit prüfen.
• Benutzer, Gruppen und administrative Rollen über Weboberfläche sowie Kommandozeile anlegen.
• Kennwortrichtlinien, Anmeldeinformationen und technische Verantwortlichkeiten für den weiteren Betrieb abstimmen.

3. Linux-Clients und SSSD integrieren

• Linux-Clients aufnehmen und Identitätsauflösung, PAM-Anmeldung sowie SSSD-Konfiguration nachvollziehen.
• Benutzer- und Gruppeninformationen auswerten und Unterschiede zwischen Verzeichnisdaten und lokalem Cache erkennen.
• Online- und Offline-Verhalten kontrolliert testen und die Grenzen unmittelbarer Kontosperren dokumentieren.

4. Kerberos und Dienstidentitäten

• Ticket Granting Ticket, Service Ticket, Principals und Keytabs anhand eines konkreten Dienstzugriffs unterscheiden.
• Ticketlaufzeiten, Zeitabweichungen und Dienstnamen als mögliche Fehlerursachen prüfen.
• Dienstidentitäten und zugehöriges Schlüsselmaterial mit klaren Zuständigkeiten verwalten.

5. Host-Based Access Control

• Hostgruppen, Benutzergruppen und Dienste zu einem überschaubaren Hostzugriffsmodell verbinden.
• HBAC-Regeln mit erlaubten und unerlaubten Anmeldeszenarien auf unterschiedlichen Clients testen.
• Breite Standardfreigaben kontrolliert ablösen und die Änderung mit einem abgesicherten administrativen Zugang durchführen.

6. sudo, SSH und Zertifikatsbetrieb

• Zentrale sudo-Regeln für konkrete Aufgaben definieren und unnötige allgemeine Administrationsrechte vermeiden.
• SSH-Schlüsselverwaltung sowie deren Verteilung und Entzug in den Identitätslebenszyklus einordnen.
• Host- und Dienstzertifikate sowie ihre Erneuerung mit den beteiligten Komponenten nachvollziehen.

7. Replikation und Betriebsfähigkeit

• Einen zusätzlichen Server bereitstellen und Replikations- sowie Clientabhängigkeiten prüfen.
• Einen Serverausfall simulieren und die tatsächliche Anmeldung über die verbleibende Infrastruktur beobachten.
• Sicherungsumfang, Wiederherstellungsvarianten und Wartungsreihenfolge für die gewählte Topologie festlegen.

8. Fehleranalyse und Integration

• DNS-, Kerberos-, SSSD-, HBAC- und sudo-Probleme anhand einer systematischen Diagnose voneinander trennen.
• Die Anbindung eines Identity Providers über geeignete Schnittstellen einordnen und führende Datenquellen bestimmen.
• Integrationsgrenzen zu bestehenden Domänen sowie notwendige Vorarbeiten für ein späteres Trust-Projekt dokumentieren.

Praxisübungen

1. DNS, Hostnamen und Zeitabgleich prüfen und anschließend den ersten FreeIPA-Server installieren.
2. Testbenutzer sowie Benutzer- und Hostgruppen anlegen und zwei Linux-Clients aufnehmen.
3. Kerberos-Tickets und SSSD-Abfragen auf den Clients auswerten und einen vorbereiteten Namensfehler korrigieren.
4. Eine begrenzte HBAC-Regel sowie eine auf konkrete Befehle beschränkte sudo-Regel erstellen.
5. Die erlaubten und abgewiesenen Zugriffe mit zwei Benutzerrollen auf beiden Clients nachweisen.
6. Einen Replikationsserver hinzufügen und das Verhalten beim Ausfall des ersten Servers überprüfen.
7. Eine Kontosperre testen und Auswirkungen auf neue Anmeldung, vorhandene Sitzungen sowie Cache-Verhalten festhalten.

Einordnung und Vertiefung

Die praktische Umgebung konzentriert sich auf Linux und FreeIPA. Eine vollständige Active-Directory-Trust-Implementierung, Windows-Gruppenrichtlinien und umfangreiche PKI-Migrationen erfordern gesonderte Vertiefungen.

Seminarangebot und Lernpfade