Управление идентификацией использует активную синхронизацию для интеграции пользовательских данных, хранящихся в домене Active Directory, и пользовательских учетных данных, хранящихся в домене IPA. Критические атрибуты пользователя, включая пароли, синхронизируются между службами.

Синхронизации доменов Active Directory и IPA возможна, когда сервер IPA впервые установлен. Процесс синхронизации настраивается путем создания соглашений между сервером IPA и контроллером домена Active Directory.

Синхронизация пользователей выполняется с помощью процесса, аналогичного процессу репликации.

Синхронизация паролей выполняется через службу Windows, установленную на контроллере домена Windows и настроенную на связь с сервером IPA.

Ограничения на синхронизацию:

1. Контроллер домена Windows должен быть не ниже 2008 R2.
2. Только один контроллер Windows может быть настроен для синхронизации с доменом IPA. Это как раз вызывает трудности при переносе пользователей из нескольких доменов Windows (если такое необходимо).
3. Версия службы синхронизации паролей, которая работает с Windows (на момент написания статьи) - 1.1.5 (об этом речь ниже). Данную утилиту можно взять на сайте "389 Directory Server"
4. Хотя синхронизация является двунаправленной, но новые пользователи автоматически добавляются только в домен FreeIPA. Т.е. если в домене  Active Directory создается новый пользователь, то он автоматически будет добавлен в домен FreeIPA. В обратную сторону это не работает. Т.е. если необходима синхронизация пользователя из домена FreeIPA в домен Active Directory, то его необходимо сначала создать в домене Windows.
5. Информация о блокировки учетных записях синхронизируются по умолчанию. Т.е. если учетная запись будет блокирована в одном домене, то она заблокируется и в другом.
6. Изменения синхронизации паролей вступают в силу немедленно.

Хотя между схемой LDAP Active Directory и 389 Directory Server LDAP-схемой, используемой FreeIPA, существуют значительные различия схем, существует много атрибутов, которые одинаковы. Эти атрибуты просто синхронизируются между элементами Active Directory и FreeIPA, без изменений в имени атрибута или в формате значений.

Атрибуты пользователей, которые одинаковы в FreeIPA и MS Active Directory:

• cn
• physicalDeliveryOfficeName
• description
• postOfficeBox
• destinationIndicator
• postalAddress
• facsimileTelephoneNumber
• postalCode
• givenname
• registeredAddress
• homePhone
• sn
• homePostalAddress
• st
• initials
• street
• l
• telephoneNumber
• mail
• teletexTerminalIdentifier
• mobile
• telexNumber
• o
• title
• ou
• usercertificate
• pager
• x121Address

Некоторые атрибуты имеют разные имена, но все же их можно ассоциировать между собой: 

Таблица сопоставлений пользовательских атрибутов между FreeIPA и Active Directory

Некоторые особенности в синхронизации, к которыми надо относится с осторожностью.

Обработка атрибута "cn".

В FreeIPA атрибут "cn" может иметь несколько значений, в то время как в Active Directory он имеет только одно значение. Когда атрибут "cn" из FreeIPA синхронизируется, то в Active Directory отправляется только одно значение. Это означает, что потенциально, если значение "cn" добавлено в запись AD и оно не является одним значением "cn" FreeIPA, то при синхронизации все значения атрибута "cn" FreeIPA перезапишутся одним значением атрибута "cn" Active Directory. 

Так же этот атрибут Active Directory использует в качестве атрибута именования, в то время как FreeIPA использует для этих целей атрибут "uid". Это значит, что существует возможность случайно полностью переименовать запись, если атрибут "cn" будет изменен в FreeIPA. Другими словами: если этот атрибут изменить в FreeIPA, то в Active Directory запись переименовывается. Затем переименованная запись копируется в FreeIPA как новая запись.

Обработка атрибутов "initials".

В Active Directory значение атрибута "initials" ограничено шестью символами. В FreeIPA такого ограничения нет. Если синхронизируется этот атрибут из FreeIPA и он имеет более шести символов, то в Active Directory это значение обрезается.

Обработка атрибута "sn" (фамилия).

Active Directory позволяет создавать запись person без атрибута фамилии. Но RFC 4519 определяет класс объектов person как требующий атрибут фамилии (sn). Если запись person создается в Active Directory без значения фамилии (sn), то такая запись не будет синхронизирована с FreeIPA.

Записи Active Directory и атрибуты RFC 2307.

Для идентификации пользователей Windows использует уникальные случайные идентификаторы безопасности (SID). Эти идентификаторы SID назначаются в блоках или диапазонах, идентифицируя разные системные пользовательские типы в домене Windows. Когда пользователи синхронизируются между FreeIPA и Active Directory, идентификаторы SID для Windows сопоставляются с UID Unix. Другими словами: SID Windows является единственным идентификатором в записи Windows, который используется как идентификатор в соответствующей записи Unix, а затем используется при сопоставлении.

Когда домены Active Directory взаимодействуют с приложениями или доменами в стиле Unix, то в домене Active Directory могут использоваться атрибуты для Unix, чтобы включить атрибуты uidNumber и gidNumber стиле gidNumber Это позволяет пользователям Windows следовать спецификациям этих атрибутов в RFC 2307

Однако uidNumber и gidNumber фактически не используются в качестве uidNumber и gidNumber для элемента управления идентификацией. uidNumber и gidNumber в FreeIPA генерируются при синхронизации пользователя Windows.

uidNumber и gidNumber определенные и используемые в FreeIPA, не являются одинаковыми uidNumber и gidNumber определенными и используемыми в записи Active Directory, а номера не связаны.

С теорией закончили и переходим непосредственно к практике.

Исходные данные. Имеются два домена: Windows AD и FreeIPA. Настроены меж доменные доверительные отношения на уровне леса.

Домен AD:

• Имя домена: WIN.LOC
• Контроллер домена: dcwin.win.loc
• IP адрес КД: 192.168.20.199

Домен FreeIPA:

• Имя домена: RPN.LOC
• Контроллер домена: dc.rpn.loc
• IP адрес КД: 192.168.20.105

Создание пользователя в Active Directory для создания синхронизации.

Для начала в домене Windows необходимо создать пользователя делегировать ему права отслеживания репликации. Для этого делаем следующие шаги:

1. Создаем обычного пользователя:
   
   Добавляем этого пользователя в группы "Account Operator" и Enterprise Read-Only Domain controller". В группу "Domain Admin" пользователя добавлять НЕ НУЖНО
   
2. В оснастке "Active Directory Users and Computers" по правой клавише мыши открываем свойства домена AD и переходим на вкладку "Security" (в самой оснастке должны быть включены дополнительные свойства: Menu -> View -> Advansed Features). Добавляем созданного пользователя и в окне "Permission for..." ставим галочку в пункте "Replicating Directory Change"
   

Настройка центра сертификации Active Directory

Сервер FreeIPA подключается к серверу Active Directory с помощью безопасного соединения. Для этого необходимо, чтобы на сервере Active Directory имелся доступ к сертификату CA или цепочки сертификатов CA, которые можно импортировать в базы данных безопасности FreeIPA. Т.е. сервер Windows необходимо сделать доверенным узлом.

Про установку сервера сертификатов рассказывать не буду. Просто отошлю к документации Microsoft, где это достаточно подробно описано: https://technet.microsoft.com/en-us/library/cc772393(v=WS.10).aspx(v=WS.10).aspx

Установка взаимных доверий сертификатам Active Directory и FreeIPA.

В Active Directory и FreeIPA используются сертификаты для аутентификации сервера. Чтобы сертификаты сервера Active Directory и FreeIPA SSL были доверены друг другу, обеим серверам необходимо доверять сертификату CA для ЦС, который выдал эти сертификаты. Это означает, что сертификат CA Active Directory необходимо импортировать в базу данных FreeIPA, а сертификат CA FreeIPA необходимо импортировать в базу данных Active Directory.

На контроллере домена Windows выполняются следующие действия:

1. Открываем IE и получаем сертификат центра сертификации FreeIPA:

   http://dc.rpn.loc/ipa/config/ca.crt
   

   Сохраняем его в каталог C:\Temp.
2. Открываем оснастку mmc. Добавляем в нее оснастку "Certificates (Local Computer)". Открываем хранилище "Trusted Root Certification Authorities - Certificates" и импортируем полученный сертификат.
   
3. Экспортируем сертификат центра сертификации MS.
   Открываем оснастку "Certification Authority". Открываем свойства сервера сертификации и на вкладе "General" нажимаем "View Certificate"
   Откроется окно свойств сертификата. Переходим на вкладку "Details" и жмем "Copy to File..."
   Откроется мастер экспорта сертификатов. Выбираем "Base-64 encoded X.509 (.CER).
   И сохраняем его например с именем dcwin.cer. Теперь в папке C:\Temp находятся два файла: ca.cer и dcwin.cer. Эти два файла необходимо поместить каким-либо образом (например с помощью программы WinSCP) на сервер FreeIPA в каталог /etc/openldap/cacerts

Переходим в консоль сервера FreeIPA и выполняем действия:

1. Обновляем символические ссылки хеша сертификатов

   # cacertdir_rehash /etc/openldap/cacerts/
   

2. Вносим изменения в файл /etc/openldap/ldap.conf. Указываем место, где хранятся сертификаты центров сертификации

   TLS_CACERTDIR /etc/openldap/cacerts/
   TLS_REQCERT allow

Создание соглашений синхронизации

Соглашения о синхронизации создаются на сервере FreeIPA с помощью команды connect ipa-replica-manage. Параметры создания соглашения о синхронизации: 

Переходим в консоль сервера FreeIPA и выполняем следующие действия:

1. Удаляем все существующие учетные данные Kerberos на сервере FreeIPA.

   # kdestroy
   

2. Используем команду ipa-replica-manage для создания соглашения о синхронизации с Windows. Для этого требуется опция --winsync. Если планируется синхронизация паролей и учетных записей пользователей, то также необходима опция --passsync, которая установит пароль для использования в Password Sync.
   Параметры --binddn и --bindpwd предоставляют имя пользователя и пароль системной учетной записи на сервере Active Directory, которые FreeIPA будет использовать для подключения к серверу Active Directory.

   # ipa-replica-manage connect --winsync 
   	--binddn  "CN=Синхронизация FreeIPA,CN=Users,DC=win,DC=loc"
   	--bindpw Parol_windows_user 
           --win-subtree "OU=Контейнер_пользователей,DC=win,DC=loc"
   	--passsync Parol_LDAP_user 
   	--cacert /etc/openldap/cacerts/dcwin.cer  
   	dc.rpn.loc -v
   

Когда создается соглашение синхронизации, оно имеет определенные правила поведения по умолчанию, определяющие как процесс синхронизации обрабатывает атрибуты учетной записи пользователя во время синхронизации. Типы поведения - это, например, как обрабатываются атрибуты блокировки или как обрабатываются различные форматы DN. Это можно изменить, отредактировав соглашение о синхронизации. Список параметров, связанных с атрибутами:

Согласование синхронизации существует как специальная запись подключаемого модуля на сервере LDAP, и каждое поведение атрибута устанавливается через атрибут LDAP. Чтобы изменить поведение синхронизации, необходимо использовать команду ldapmodify, чтобы напрямую изменить запись сервера LDAP.

Например, атрибуты блокировки учетной записи синхронизируются между FreeIPA и Active Directory по умолчанию, но это можно отключить, отредактировав атрибут ipaWinSyncAcctDisable. (Изменение означает, что если учетная запись отключена в Active Directory, она все еще активна в FreeIPA и наоборот).

# ldapmodify -x -D "cn=directory manager" -w password

dn: cn=ipa-winsync,cn=plugins,cn=config
changetype: modify
replace: ipaWinSyncAcctDisable
ipaWinSyncAcctDisable: none

modifying entry "cn=ipa-winsync,cn=plugins,cn=config"

Изменения контейнера синхронизации.

Создание соглашения о синхронизации автоматически устанавливает два контейнера для использования в качестве базы данных синхронизированного пользователя. В FreeIPA по умолчанию используется cn = users, cn = accounts, $ SUFFIX и для Active Directory, по умолчанию используется CN = Users, $ SUFFIX.

Значение для контейнера Active Directory может быть установлено на значение, отличное от значения по умолчанию, когда соглашение о синхронизации создается с помощью опции -win-subtree. После создания соглашения поддерева Active Directory может быть изменена с помощью команды ldapmodify для редактирования значения nsds7WindowsReplicaSubtree в записи соглашения о синхронизации.

Что бы посмотреть текущее состояние синхронизации, выполняем команду:

# ldapsearch -xLLL -D "cn=directory manager" -w password -p 389 -h dc.rpn.loc -b cn=config objectclass=nsdswindowsreplicationagreement dn nsds7WindowsReplicaSubtree

dn: cn=meTodcwin.win.loc,cn=replica,cn=dc\3Drpn\2Cdc\3Dloc,cn=mapping tree,cn=config
nsds7WindowsReplicaSubtree: cn=users,dc=example,dc=com

... 8< ...

Для того, что бы изменить текущий контейнер, вводим команду:

# ldapmodify -x -D "cn=directory manager" -W -p 389 -h dc.rpn.loc <<EOF
 dn: cn=meTodcwin.win.loc,cn=replica,cn=dc\3Drpn\2Cdc\3Dloc,cn=mapping tree,cn=config
 changetype: modify
 replace: nsds7WindowsReplicaSubtree
 nsds7WindowsReplicaSubtree: cn=alternateusers,dc=win,dc=loc
 EOF 
 modifying entry "cn=meTodcwin.win.loc,cn=replica,cn=dc\3Drpn\2Cdc\3Dloc,cn=mapping tree,cn=config"

Новая настройка вступит в силу немедленно. Если в текущее время выполняется процесс синхронизации, то она вступит в силу по завершении процесса.

Настройка односторонней синхронизации.

По умолчанию все изменения и удаления являются двунаправленными. Изменение в Active Directory синхронизируется с FreeIPA, а изменение записи в FreeIPA синхронизируется с Active Directory. Это, по сути, равноправная взаимосвязь между несколькими хозяевами, где как Active Directory, так и FreeIPA являются равными узлами в синхронизации и являются одновременно мастерами данных.

Но иногда возникают ситуации, когда требуется только однонаправленная синхронизация. Т.е. мастером будет выступать только одна сторона. Изменения, проводящиеся на мастере, синхронизируются с остальными серверами. В то время, как изменения, проводимые на других серверах, не будут передаваться на мастер сервер.

Это делается путем установки параметра oneWaySync в соглашении синхронизации. Возможные значения: fromWindows (для синхронизации Active Directory в FreeIPA) и toWindows (для управления идентификацией в синхронизации Active Directory).

# ldapmodify -x -D "cn=directory manager" -w password -p 389 -h dc.rpn.loc

dn: cn=dcwin.win.loc,cn=replica,cn=dc\3Drpn\2Cdc\3Dloc,cn=mapping tree,cn=config
changetype: modify
add: oneWaySync
oneWaySync: fromWindows

В этом примере показано, что синхронизироваться будут только изменения, проводимые в домене Active Directory

Важно: Включение однонаправленной синхронизации не предотвращает изменения на подчиненном сервере, и это может привести к несоответствиям между данными серверов. Например, однонаправленная синхронизация настроена на переход от Active Directory к FreeIPA, поэтому Active Directory (по существу) является ведущим сервером. Если запись изменена или даже удалена в FreeIPA, тогда информация FreeIPA отличается от информации в Active Firectory, и эти изменения никогда не переносятся в Active Directory. Во время следующего обновления синхронизации изменения будут перезаписаны на сервере FreeIPA, и удаленная запись будет добавлена повторно.

Удаление соглашения о синхронизации.

 Удаление синхронизации:

# ipa-replica-manage disconnect dcwin.win.loc

Удаление CA Active Directory из базы данных FreeIPA:

# certutil -D -d /etc/dirsrv/slapd-RPN.LOC/ -n "Imported CA"

Посмотреть установленный сертификат:

# certutil -L -d /etc/dirsrv/slapd-RPN-LOC/

Certificate Nickname                                         Trust Attributes
                                                             SSL,S/MIME,JAR/XPI

Server-Cert                                                  u,u,u
CN=RootCA,DC=win,DC=loc                                      C,,  
RPN.LOC IPA CA                                               CT,C,C
CN=RootCA1,DC=dom-win,DC=loc                                 C,, 

Настройка синхронизации паролей между Active Directory и FreeIPA.

Для того, что бы перенесенные пользователи из Active Directory могли получать доступ в домен FreeIPA под своими учетными данными в новом домене, требуется еще настроить синхронизацию их паролей.

Синхронизация пользовательских учетных записей настраивается соглашением синхронизации. Однако пароли как в Active Directory, так и в FreeIPA хэшируются, когда они хранятся, и не могут быть дешифрованы как часть процесса синхронизации пользователя. На серверах Active Directory для сбора паролей по мере создания учетных записей пользователей или изменения паролей должен быть установлен отдельный клиент, который будет пересылать этоу информацию о пароле во время синхронизации.

Важно: FreeIPA в настоящее время не поддерживает первоначальную синхронизацию паролей для учетных записей пользователей. Сначала пользователю необходимо вручную изменить пароль до того, как пароль будет синхронизирован с FreeIPA.

Настройка контроллеров домена для синхронизации паролей.

Для синхронизации паролей необходимо выполнение двух условий:

• Active Directory должен работать в SSL
• Служба синхронизации паролей должна быть установлена на каждом контроллере домена Active Directory

Служба синхронизации паролей изменяет и синхронизирует их по безопасному соединению с записью FreeIPA.

Для сведения: Необходимо установить службу сертификатов Microsoft в режиме Enterprise Root. Затем Active Directory автоматически зарегистрируется для получения сертификата SSL-сервера.

Политики сложности паролей Active Directory включены до того как запустится служба синхронизации паролей. Что бы это проверить:

• Открываем оснастку Local Security Policy - secpol.msc
• Раскрываем узел Account Policies -> Password Policy
• Политика "Password must meet complexity requirements" должна быть разрешена.

Если роль сервера сертификатов еще не установлена, то ее необходимо установить (см. выше). Теперь необходимо установить службу синхронизации паролей. Переходим на сайт "389 Directory Server" и скачиваем программу для нашей архитектуры. Затем устанавливаем. Во время установки вводим данные синхронизации:

• Host Name - имя сервера FreeIPA
• Port Number - номер порта, к которому будет идти обращение
• User Name - имя пользователя синхронизации паролей. Он создается автоматически во время создания соглашения о синхронизации. Пароль определяется опцией --passync в команде создания соглашения
• Search Base - имя контейнера в FreeIPA, где содержатся учетные записи пользователей, которые необходимо синхронизировать.

Далее копируем сертификат сервера сертификации FreeIPA в каталог с установленной программой (в данном случае это "C:\Program Files\389 Directory Password Synchronization"). Открываем командную строку от имени администратора и выполняем команду:

cd "C:\Program Files\389 Directory Password Synchronization"
	
certutil.exe -d . -A -n "DC.IPA.LOC IPA CA" -t CT,, -a -i ca.cer

Эта команда установит сертификат в базу данных службы. Затем перезагружаем контроллер домена.

Важно: сервер должен быть перезагружен. Без перезагрузки PasswordHook.dll не включается, и синхронизация паролей не будет работать.

В итоге мы в базе FreeIPA мы получили и активировали всех необходимых пользователей из домена Active Directory. В нашей конфигурации пользователи в обоих доменах могут регистрироваться под любой своей учетной записью. Это значительно облегчает процесс "импортозамещения" (миграции из домена Active Directory в домен FreeIPA). Так же значительно проще получать доступ (например на файловые шары) пользователям домена FreeIPA на ресурсы Active Directory.