INFN wiki

This page is read only. You can view the source, but not change it. Ask your administrator if you think this is wrong.
====== Integrazione con Kerberos5 dei LNF ======

Questo documento descrive il metodo usato per l'integrazione del dominio Windows nel sistema di autenticazione centrale dei LNF, basato su Kerberos 5 (MIT su sistemi Unix).

Lo scopo e' di permettere agli utenti del Servizio di Calcolo di effettuare login sul dominio utilizzando le proprie credenziali Kerberos (uniche per l'accesso a tutte le risorse informatiche dei LNF gestite dal Servizio)

====== Requisiti ======

- Computer client con sistema operativo Windows 7 installato

- Computer client con AFS e MIT Kerberos configurati

===== Step 1: Relazione di trust =====

Creazione della relazione di trust tra il dominio Windows (WIN.LNF.INFN.IT) e il REALM Kerberos (LNF.INFN.IT)

==== Lato Windows Server (Domain Controller): ====

Fare login sul server come Administrator

  Start --> Programs --> Administrative Tools --> Active Directory Domains and Trusts
  Click con il tasto destro su <domain name> --> Properties
  Click su New Trust... (parte un Wizard)
  click su Next>
  Scrivere il REALM Kerberos con cui fare il Trust (nel nostro caso ad esempio: LNF.INFN.IT), quindi click su Next>
  Selezionare "REALM trust" e click su Next>
  Selezionare "Transitive" e click su Next>
  Selezionare "Two-way" e click su Next>
  Inserire una password di trust e click su Next>
    (Nota: la password deve essere sufficientemente sicura e uguale a quella impostata sul Kerberos server, lato Unix; 
    per convenzione <password_per_il_trust>) 
  Click su Next>
  Click su Finish

==== Lato Unix (Kerberos5 server): ====

Fare login sul server come root e digitare i seguenti comandi:

  ank -e arcfour-hmac-md5:normal -pw <password_per_il_trust> krbtgt/LNF.INFN.IT@WIN.LNF.INFN.IT
  ank -e arcfour-hmac-md5:normal -pw <password_per_il_trust> krbtgt/WIN.LNF.INFN.IT@LNF.INFN.IT


**Nota:** Il controllo della versione della password nella relazione di fiducia tra Windows Kerberos e MIT Kerberos sembra che non venga fatto.

Comandi utili 

Lato unix
  kvno <principal>

Lato Windows
  netdom
  adsiedit.msc
  setspn

===== Step 2: Creazione degli account utente=====

Creazione in Active Directory Domain Server degli account per tutti gli utenti che potranno accedere al dominio.

La creazione degli account avviene tramite sincronizzazione con LDAP. Si leggono tutte le username valide da LDAP e si verifica per ciascuna l esistenza del relativo account in Active Directory. Nel caso non esista si procede con la creazione. In questo modo e' possibile avere Active Directory sempre aggiornato, creado o attivando nuovi account ed eventualmente disabilitando quelli che non sono piu' in uso. Per rendere questo procedimento automatico viene fatto eseguire il seguente script (in VBScript):

  Set oDS = GetObject("LDAP:")
  Dim fso, MyFile
  set fso = CreateObject("Scripting.FileSystemObject")
  FileName = "E:\Kits\log_AD\log" & Day(Date)&"_"&Month(Date)&"_"&Year(Date)&"_"&Hour(Now)&"-"&Minute(Now) & ".txt"
  Set MyFile = fso.CreateTextFile( FileName, True)
  Set oAuth = oDS.OpenDSObject("LDAP://server:port/ou=Services,dc=infn,dc=it", DN , password ,2)
  Dim oConn: Set oConn = CreateObject("ADODB.Connection")
  oConn.Provider = "ADSDSOObject"
  oConn.Open "Ads Provider", DN , password
  Dim rsLdap
  Set rsLdap = oConn.Execute("<LDAP://server:port/dc=lnf,dc=infn,dc=it>;(uid=*);uid;subtree")
  If((rsLdap.BOF)And(rsLdap.EOF)) Then 
      MyFile.WriteLine("Non è stato trovato nessun utente su LDAP") 
  Else
  'wscript.echo rsLdap.RecordCount
  Set HashLdap = CreateObject("Scripting.Dictionary")
  While Not rsLdap.EOF
        arr = rsLdap.Fields("uid")
        HashLdap.Add arr(0),   1
        rsLdap.MoveNext
  Wend
  MyFile.WriteLine("Numero di utenti trovati su LDAP: "& rsLdap.RecordCount)
  MyFile.WriteLine
  End If
  Set objConnection = CreateObject("ADODB.Connection")
  objConnection.Open "Provider=ADsDSOObject;"
  Set objCommand= CreateObject("ADODB.Command")
  objCommand.ActiveConnection = objConnection
  objCommand.Properties("Sort on") = "Name"
  objCommand.CommandText = "<LDAP://cn=Users,dc=win,dc=lnf,dc=infn,dc=it>;(&(altSecurityIdentities=Kerberos*)(!userAccountControl:1.2.840.113556.1.4.803:=2));Name,objectCategory;onelevel"
  Set objRecordSet = objCommand.Execute
  objCommand.CommandText = "<LDAP://cn=Users,dc=win,dc=lnf,dc=infn,dc=it>;(&(altSecurityIdentities=Kerberos*)(userAccountControl:1.2.840.113556.1.4.803:=2));Name,objectCategory;onelevel"
  Set recdis = objCommand.Execute
  Set wshShell = WScript.CreateObject ("WSCript.shell")
  contatore=0 ' Conta le modifiche avvenute
  If ((objRecordSet.BOF)And(objRecordSet.EOF)) Then
      MyFile.WriteLine("Non è stato trovato nessun utente da disabilitare")
  Else
      MyFile.WriteLine("Numero di utenti attivi su Active Directory: "& objRecordSet.RecordCount) 
  MyFile.WriteLine 
  MyFile.WriteLine("Elenco utenti da disabilitare")    
  MyFile.WriteLine 
  While Not objRecordSet.EOF 
       arrAD = objRecordSet.Fields("Name")
       If (HashLdap.Exists(arrAD)) Then
            HashLdap.Remove(arrAD)
       Else
            contatore=contatore+1
            'wscript.echo arrAD
            'wscript.Echo "dsmod user cn="& arrAD &",cn=users,dc=win,dc=lnf,dc=infn,dc=it -disabled yes"
            MyFile.WriteLine(arrAD)
            'return = wshshell.run ("dsmod user cn="& arrAD &",cn=users,dc=win,dc=lnf,dc=infn,dc=it -disabled yes",0)
            wscript.sleep 1000
      End If    
      objRecordSet.MoveNext
  Wend
  End If
  MyFile.WriteLine 
  MyFile.WriteLine("Numero di utenti disattivi su Active Directory: "& recdis.RecordCount) 
  MyFile.WriteLine
  if (recdis.RecordCount > 0) then
        MyFile.WriteLine("Elenco utenti da riabilitare")
        MyFile.WriteLine
  end if
  If ((HashLdap.Count>0)And((Not recdis.BOF)Or(Not recdis.EOF))) Then
      while Not recdis.EOF
          rec=recdis.Fields("Name")
          if (HashLdap.Exists(rec)) Then
              contatore=contatore+1
              HashLdap.Remove(rec)
              'wscript.Echo "dsmod user cn="& rec &",cn=users,dc=win,dc=lnf,dc=infn,dc=it -disabled no"
              MyFile.WriteLine(rec)
              'return1 = wshshell.run ("dsmod user cn="& rec &",cn=users,dc=win,dc=lnf,dc=infn,dc=it -disabled no",0)
          End If
          recdis.MoveNext
      Wend
  End If
  'wscript.echo "Utenti da creare"
  MyFile.WriteLine("Nuovi utenti da creare")
  MyFile.WriteLine 
  If (HashLdap.Count>0) Then
      For Each Elem in HashLdap.Keys
            contatore=contatore+1
            'wscript.echo Elem 
            Set recutente = oConn.Execute("<LDAP://server:port/dc=lnf,dc=infn,dc=it>;(uid="&Elem&");givenName,sn;subtree")
            arrnome= recutente.Fields("givenName")
            arrsn= recutente.Fields("sn")
            a=array("ABCDEFGHIJKLMNOPQRSTUVWXYZ","abcdefghijklmnopqrstuvwxyz","12345678901234567890123456","!?^,.-+:;!?!;^,.-+:;!?,-+:;")
            password=""
            for j=0 to 2
                  for i=0 to Ubound(a)
                      Randomize
                      ran=Int((26)*Rnd+1)
                      password=password&Mid(a(i),ran,1)
                  Next
           Next
           Set wshSh = WScript.CreateObject ("WSCript.shell")
           dsna ="dsadd user cn="& Elem &",cn=users,dc=win,dc=lnf,dc=infn,dc=it -fn """& arrnome(0) &""" -ln """&arrsn(0)&""" -display """& arrnome(0) &" "& arrsn(0) &""" -pwd  "& password &" -email """& arrmail(0) &"""  -canchpwd no -pwdneverexpires yes -disabled no"
          MyFile.WriteLine(Elem)           
          return =wshSh.Run (dsna,0)
          Set wshSh= nothing
          'wscript.echo dsna 
          WScript.Sleep 2000 
      Next
  ' Le seguenti righe creano i nuovi utenti
  For Each Elem in HashLdap.Keys
         Set objUser = GetObject("LDAP://cn="&Elem&",cn=Users,dc=win,dc=lnf,dc=infn,dc=it") 
         objUser.Put "userPrincipalName", Elem & "@win.lnf.infn.it"
         objUser.Put "altSecurityIdentities", "kerberos:" & Elem & "@LNF.INFN.IT"
         objUser.SetInfo
         MyFile.WriteLine("Kerberos settato con succeso per il profilo: " & Elem )
         WScript.Sleep 1500 
  Next
  End If
  oConn.close
  set wshshell = nothing
  objConnection.Close
  MyFile.Close
  if (contatore>0) Then
        text=""
        Set fil=fso.OpenTextFile(FileName, 1 )
        If fil.AtEndOfStream Then
           text = ""
        Else
           text = fil.ReadAll
        End If
        fil.Close
        Set objEmail = CreateObject("CDO.Message")
        objEmail.From = indirizzo_mittente
        objEmail.To = indirizzo_destinatario
        objEmail.Subject = "Modifica account Active Directory"
        objEmail.Textbody = text
        objEmail.Configuration.Fields.Item _
        ("http://schemas.microsoft.com/cdo/configuration/sendusing") = 2
        objEmail.Configuration.Fields.Item _
        ("http://schemas.microsoft.com/cdo/configuration/smtpserver") = _
        nome_server
        objEmail.Configuration.Fields.Item _
        ("http://schemas.microsoft.com/cdo/configuration/smtpserverport") = 25
        objEmail.Configuration.Fields.Update
        objEmail.Send
  End If    
  wscript.Quit


**IMPORTANTE: **LDAP prevede una connessione sicura che si basa sul protocollo SSL. In questo caso la comunicazione avviene sulla porta 636. Prima di eseguire lo script e' necessario assicurarsi che sulla macchina locale sia installato un certificato valido, altrimenti non sara' possibile instaurare la connessione.

**IMPORTANTE: **Prima di eseguire lo script e' necessario impostare alcuni parametri per Active Directory. Si considera che, per impostazione predefinita, Active Directory restituisce un numero massimo di 1000 record per ogni query. Se il numero di elementi da restituire supera il limite previsto, durante l' esecuzione della query viene generato un errore. Occorre, quindi, impostare i parametri MaxPageSize e MaxResultSetSize con il seguente procedimento:

  Fare login sul server come amministratore
  Start --> Run --> Ntdsutil.exe --> LDAP policies
  connections --> connect to nome dominio Windows --> q
  LDAP policies --> Set MaxPageSize to numero_elementi -->Commit Changes
  LDAP policies --> Set MaxResultSetSize to numero di byte (aumentati in proporzione al numero di elementi) --> Commit Changes
  Show Values --> q --> q

Lo script viene realizzato con i seguenti passi: 

  * Creazione di un file di testo identificato da giorno ed ora in cui lo script viene eseguito, contenente tutte le modifiche apportate. 

  * Connessione ad LDAP. Si stabilisce un collegamento passando tutti i parametri necessari.
  * Interrogazione LDAP. Si esegue una query richiedendo le username di tutti gli utenti del ramo dc=lnf,dc=infn,dc=it. Il risultato viene memorizzato in una struttura di tipo recordset.
  * Creazione di un array associativo che viene riempito con le username degli utenti di LDAP.
  * Connessione ad Active Directory.
  * Interrogazione di Active Directory. Si eseguono due query in modo da creare due oggetti recordset contenenti rispettivamente le username relative ad account attivi e le username per gli account disattivi.
**IMPORTANTE:** Quando si creano le query e' necessario definire i filtri in modo opportuno, facendo attenzione a non ottenere un recordset contenente username relativi a computer, gruppi o utenti particolari che sono definiti nello stesso ramo ma non devono essere considerati. In questo caso e' possibile richiedere solo utenti per cui e' stato specificato il campo **altsecurityIdentities** con il nome Kerberos. 
  * Verificare l'esistenza in Active Directory di account da disattivare. Si scorre il recordset relativo agli account attivi di Active Directory verificando, per ciascuna username, se esiste anche nell' array associativo (precedentemente creato per le username degli utenti di LDAP). Se esiste, si procede eliminando l' elemento corrispondente dall' array associativo, altrimenti l' account in Active Directory viene disattivato.
  * Verificare l'esistenza in Active Directory di account da riattivare. Si scorre il recordset relativo agli account disattivi di Active Directory verificando per ciascuno se esiste anche nell' array associativo. In questo caso si procede eliminando l' elemento corrispondente dall' array e riattivando l' account considerato.
  * Creazione di nuovi account su Active Directory. Gli elementi dell'array associativo che non sono stati precedentemente eliminati, contengono le username di tutti gli utenti che possiedono un account su LDAP ma non su Active Directory. Si procede, quindi, alla creazione di questi nuovi account utilizzando la funzione **dsadd user** e definendo, in seguito, i campi **userPrincipalName** e **altSecurityIdentities**.
**IMPORTANTE: **Affinche' l' utente possa accedere al dominio Windows con le proprie credenziali Kerberos, e' necessario impostare il campo altSecurityIdentities con il nome Kerberos dell'utente.

**NOTA: ** Quando lo script viene eseguito per la prima volta e non sono ancora stati creati account su Active Directory, i due recordset relativi agli account attivi e disattivi sono vuoti, quindi l' array associativo, dal quale in questo modo non possono essere stati eliminati degli elementi, contiene le username di tutti gli utenti dei LNF per cui si deve creare un account.
  * Chiusura di tutte le connessioni.
  * Invio e-mail per notificare gli aggiornamenti sugli account. Lo script prevede l' invio automatico di una email ogni volta che, a seguito dell' eseguzione dello script, vengono apportate modifiche in Active Directory. Si utilizza un contatore, inizialmente a zero, che viene incrementato ad ogni modifica. Alla fine se il contatore risulta maggiore di zero viene inviato il file di log precedentemente creato.

===== Step 3: Definizione Mapping =====

==== Lato Windows Client ====

**3.1** Definire il computer locale come membro del dominio Windows con i seguenti passi:

  Accedere al computer locale come amministrator --> Start --> Control Panel
  System --> Advanced System Settings --> Computer Name --> Change
  In Member of specificare il dominio Windows --> Ok --> Ok

**3.2** Aggiungere sul computer di ciascun utente il nome del MIT Kerberos KDC utilizzando il seguente comando:

  Ksetup /addkdc NOME_REALM NOME_KDC

**3.3** Definire il mapping per tutti gli utenti che potranno accedere nel dominio dal computer locale con il seguente comando:

  Ksetup /MapUser *@LNF.INFN.IT *@win.lnf.infn.it

**NOTA:** Si specifica '*' per indicare che il mapping deve essere fatto per tutti gli utenti. 

Riavviare il computer per rendere effettive le operazioni eseguite con il comando ksetup.





 
 



===== Step 4: Folder Redirection =====
==== Lato Windows Server ====

**4.1** Definire le specifiche per il folder redirection. Decidere, quindi, la locazione di memoria e le cartelle da reindirizzare.

Il folder redirection permette di memorizzare le cartelle del proprio profilo Windows in uno spazio disco in rete appositamente dedicato. Quindi ogni modifica locale viene istantaneamente riportata in rete. Inoltre l' utente ha la possibilita' di continuare a lavorare sui propri dati anche quando e' disconnesso dalla rete in quanto viene generata una copia locale delle cartelle remote. In questo caso la sincronizzazione avviene quando viene rilevata la connessione.

**Vantaggi:**
  * Sincronizzazione continua tra dati locali e quelli remoti;
  * Gestione centralizzata delle informazioni,quindi possibilita' di accedere alle proprie cartelle da diversi terminali;
  * Possibilita' per diversi utenti di accedere alle proprie informazioni dallo stesso pc;
  * Facolta' di accedere alle cartelle da pc differenti contemporaneamente. 

Si e' scelto di reindirizzare le cartelle su uno storage di Windows dedicato in cui si crea uno share condiviso per gli utenti di Active Directory. 
Il folder redirection viene definito per le seguenti cartelle:

  Desktop
  Documents
  AppData
  Start Menu
  Contacts
  Links
  
**4.2** Creare una Group Policy di dominio. Le cartelle per cui applicare il Folder Redirection e le varie specifiche vengono definite tramite opportune group policy. 
Procedere come segue:

  Start --> Program --> Administrative Tools --> Group Policy Management 
  Espandere il dominio --> Click con il tasto destro su "Group Policy Object" --> New
  Assegnare un nome alla nuova group policy --> Ok
  Click con il tasto destro sul dominio --> Link an Existing GPO
  Selezionare la group policy --> OK
  Specificare gli account di dominio per cui applicare la GPO


**4.3** Specificare le cartelle da reindirizzare tramite la GPO precedentemente creata:

  Start --> Program --> Administrative Tools --> Group Policy Management
  Dominio --> Group Policy Object 
  Click con il tasto destro sulla Group Policy precedentemente creata per il dominio --> Edit
  User Configuration --> Policies --> Windows Setting --> Folder Redirection
  Click con tasto destro sulla cartella da reindirizzare --> Properties
  In Target specificare:
  Basic-Redirect everyone's folder to the same location
  In Target folder location specificare:
  Create a folder for each user under the root path
  Specificare in Root Path lo spazio di memoria in cui posizionare la cartella
  In Settings selezionare:
  Grant the user exclusive right to <Nome Cartella>
  Move The content of <Nome Cartella> to new location
  In Policy Removal specificare:
  Leave the folder in the new location when policy removed


**Nota:** Per ciascun utente viene aggiunto in modo automatico al Root Path username e nome della cartella da creare. Quindi non occorre specificare questi valori.

**Nota:** Si ha la possibilita' di definire alcuni tipi di file, tramite estensione, che non potranno essere memorizzati nello spazio disco in rete.

===== Step 6: Creazione delle Cartelle e definizione Quote =====
Per il Folder Redirection si e' scelto di utilizzare uno storage di Windows collegato tramite connessioni multiple. Per avere una visione unica di ciascun disco e' stato utilizzato il Multipath I/O abilitando la features MPIO.

Lo storage dedicato alle cartelle di Windows prevede l' utilizzo della tecnologia **Thin Provisioning** che permette di assegnare uno spazio maggiore, in questo caso 10 TB, rispetto a quello fisicamente allocato e lo rende disponibile contestualmente alle richieste degli utenti. 
Si e' deciso di assegnare 10 GB di spazio per ciascun utente.

Per definire lo spazio di archiviazione procedere come segue:

  * Creare uno share condiviso all' interno dello storage definendo opportunemente i permessi;
  * Definire un template per le quote:

       Start --> Program --> Administrative Tools --> Server Manager
       Ruoli --> File Services --> Share and Storage Management
       File Server Resource Manager --> Quotas
       "Create Template" specificando: 
       Limit: 10 GB
       Selezionare "Hard Quotas"

  * Creare una quota ed applicarla per tutte le sottocartelle dello share condiviso(ovvero quote per utente):

       Start --> Program --> Administrative Tools --> Server Manager
       Ruoli --> File Services --> Share and Storage Management
       File Server Resource Manager --> Quotas
       "Create quota" specificando:
       Lo share condiviso a cui applicare la quota
       Selezionare "Auto apply template and create quotas on existing and new subfolders"
       Specificare il riferimento al template precedentemente creato
       

In questo modo, durante il primo login, verra' creata automaticamente una cartella per ciascun utente contenente le shared folders.

**Nota:** E' stata verificata la possibilita' di utilizzare AFS come spazio di archiviazione delle cartelle di Windows e del profilo utente. Considerando che per accedere ad AFS e' necessario ottenere un token, si e' osservato che alcune volte si verificano dei ritardi nell' acquisizione del token rispetto al momento in cui il sistema operativo prevede il download delle cartelle remote. Questo porta alla creazione di un profilo temporaneo locale che viene cancellato a logout.



     
      




===== Roaming Profile =====
Un altro metodo per memorizzare i dati degli utenti su disco remoto e' il Roaming Profile.

Il Roaming Profile permette di salvare il profilo utente con la possibilita' di escludere alcune cartelle, eventualmente utilizzate con il Folder Redirection. 
Il profilo viene caricato sul computer locale durante il login e le modifiche sono apportate a logout. In questo modo l' utente ha la possibilita' di lavorare sui propri dati accedendovi da diversi terminali.
La differenza rispetto al Folder Redirection e' che non si ha una continua sincronizzazione tra i dati locali e quelli remoti.

Per configurare il Roaming Profile e' possibile:
  * Definire il parametro **- profile** della funzione **dsadd user** nel caso in cui si crea un nuovo account e **dsmod user** per aggiungere l'informazione per un account gia' esistente, specificando il percorso completo verso lo spazio di memoria in cui salvare il profilo utente.
  * Modificare manualmente il campo **Profile Path** dell' account utente in Active Directory.


Per specificare le cartelle da escludere dal Roaming Profile procedere come segue:

  Start --> Administrative Tools --> Group Policy Management
  Espandere il dominio --> Group Policy Object 
  Click con il tasto destro sulla group policy creata precedentemente per il dominio --> Edit
  User configuration --> Administrative Tools --> System --> user Profiles
  Doppio click su "Exclude directory in roaming profiles"
  Specificare le cartelle da escludere 
  
Se si intende impostare la cancellazione per le copie del Roaming Profile memorizzate procedere come segue:

  Start --> Administrative Tools --> Group Policy Management
  Espandere il dominio --> Group Policy Object 
  Click con il tasto destro sulla group policy creata precedentemente per il dominio --> Edit
  Computer configuration --> Administrative Tools --> System --> user Profiles
  Doppio click su "Delete cached copies of roaming profiles" --> Enable --> Ok