Instalacion y administracion de OpenLDAP

OpenLDAP es una implementación libre y de código abierto del protocolo Lightweight Directory Access Protocol (Protocolo de directorio de acceso ligero) desarrollada por el proyecto OpenLDAP. Está liberada bajo su propia licencia OpenLDAP Public License. LDAPLDAP. Este software también corre en plataformas BSD, AIX, HP-UX, Mac OS X, Solaris, Microsoft Windows (NT y derivados, incluyendo 2000, XP, Vista), y z/OS. es un protocolo de comunicación independiente de la plataforma. Muchas distribuciones GNU/Linux incluyen el software OpenLDAP para el soporte


Se usó inicialmente como un Front-end o interfaz final para x.500, pero también puede usarse con servidores de directorio únicos y con otros tipos de servidores de directorio


¿Qué es un directorio?


Un directorio es como una base de datos, pero en general contiene información más descriptiva y más basada en atributos.


La información contenida en un directorio normalmente se lee mucho más de lo que se escribe. Como consecuencia los directorios no implementan normalmente los complicados esquemas para transacciones o esquemas de reducción que las bases de datos utilizan para llevar a cabo actualizaciones complejas de grandes volúmenes de datos, Las actualizaciones en un directorio son usualmente cambios
sencillos de todo o nada, si es que permiten algo.

Ventajas en el uso de LDAP


Un directorio LDAP destaca sobre los demás tipos de bases de datos por las siguientes características:


- es muy rápido en la lectura de registros
- permite replicar el servidor de forma muy sencilla y económica
- muchas aplicaciones de todo tipo tienen interfaces de conexión a LDAP y se pueden integrar fácilmente
- Dispone de un modelo de nombres globales que asegura  que todas las entradas son únicas


Instalacion:


Lo primero que haremos sera descargar los paquetes nesecerios para OpenLDAP estos son:

openldap-servers 

openldap-clients.

Renombrar sldap.conf.bak


Ahora que ya tenemos instalados nuestros paquetes OpenLDAP procedere a renombrar el archivo de configuracion de OpenLDAP, me explico, yo estoy usando CentOS en su versión 6.0, en donde su archivo de configuracion es sldap.conf.bak para un correcto funcionamiento renombraremos este archivo de configuracion y lo llamaremos sldap.conf. Este proceso lo hacemos con la ayuda del comando mv


mv /etc/openldap/slap.conf.bak /etc/openldap/slapd.conf

instalar editor nano (opcional)


ahora que tenemos nuestro archivo de configuración con el nombre correcto ingresaremos a el para configurarlo. yo normalmente uso nano para editar los archivos pero CentOS 6.0 no trae este editor, viene por defecto con otros editores como vim y gedit. asi que instalare nano

editar slapd.conf


Ahora con mi editor de preferencia instalado editaremos el archivo de configuración del OpenLDAP el cual se encuentra dentro del directorio OpenLDAP


nano /etcopenldap/slapd.conf

nos encontramos con un archivo de configuracion con unos parametros por defecto, este archivo lo editaremos y cambiaremos esos parametros de acuerdo con nuestras especificaciones:

database: bdb
El nombre de la base de datos


suffix: "dc=ABCx,dc=com"
El dominio

rootdn: "cn=Redes,dc=ABCx,dc=com"
El root o administrador de dominio

rootpw: {SSHA}**********************
Password enctriptado

Guardamos esta configuración con Ctrl + O y salimos con Ctrl + X. Antes de seguir quiero explicarles como encripte la contraseña anterior  


Proceso de encriptacion o cifrado


para cifrar una contraseña ingresamos el comando sldappasswd e ingresamos el password que vamos a encriptar, el resultado sera la contraseña cifrada la cual copiaremos en la linea rootpw del archivo de configuración slapd.conf

Copiado de plantilla de base de datos

en el sistema viene un ejemplo de un archivo de base de datos, esta es una plantilla llamada DB_CONFIG con la ayuda del comando find  ubicaremos este archivo y lo copiaremos a /var/lib/ldap/ ademas de esto tendremos que cambiar de propietario a este directorio, ahora el propietario sera ldap y pertenecerá al grupo ldap

buscar el archivo:

find / -iname db_config.example

Copiar archivo a /var/lib/ldap

cp /usr/share/doc/openldap-servers-2.4.19/DB_CONFIG.example /var/lib/ldap/

cambiar de propietario

chown -R ldap:ldap /var/lib/ldap

editar ldap.conf

ahora editaremos el archivo ldap.conf el cual se encuentra dentro de /etc/openldap alli añadiremos en BASE nuestro dominio y en URI copiaremos ldap://seguida de la direccion ip del servidor 

Creacion de unidades organizativas

dentro de /etc/openldap/ creacermos un archivo .ldif con un nombre X, yo lo llame Direccion general en este archivo crearemos nuestro dominio (ABCx.com) y algunas unidades organizaticas (Direccion general, Sistemas, Logistica, compras etc)

les explicare en que consiste el anterior archivo de configuracion

dn: dc=gABCx,dc=com 

Dominio

ObjectClass: Object
ObjectClass: Organization
Son los tipos de objeto que utilizaremos.

dc: ABCx
Es el nombre distinguido de la entrada padre.

description:
o:
Son Objetos pertenecientes al ObjectClass organization.

Creacion de usuarios

Ahora que ya tenemos el dominio y las unidades organizativas vamos a añadirle usuarios a estas para ello crearemos otro archivo .ldif con nombre X dentro de /etc/openldap yo lo llame UserDireccionGeneral.ldif y alli estaran los usuarios que pertenecen a la unidad organizativa direccion general

Usuario Tiesto perteneciente a la unidad organizativa Direccion General

Usuario Hardwell perteneciente a la unidad organizativa Compras 

Asi como los ejemplos anteriores podemos crear tantos usuarios como queramos y ubicarlos en la unidad organizatica que sea necesario

Ingresar Dominio, unidades organizativas y usuarios a la base de datos (ldapadd) 

Ahora que ya tenemos un dominio con algunas unidades organizativas y unos usarios incorporados a ellas podemos montar esta informacion a nuestra base de datos esto lo haremos con ayuda del comando ldapadd con la siguiente sintaxis

ldapadd -x -D 'cn=Redes,dc=ABCx,dc=com' -W -f /etc/openldap/UserCompras.ldif

Opciones

-x: Usar autenticacion simple
-D: Usar el nombre distinguido de administrador ldap
-W: Requerir contraseña
-f: Asignar el archivo .ldif de donde se copiara la informacion

Luego de insertar la linea anterior y copiar la contraseña del Administrador OpenLDAP (Redes) si el resultado fue satisfactorio la respuesta sera adding new entry 'uid=Hardwell,ou=compras,ou=Direccion general,dc=ABCx,dc=com'

Esto quiere decir que se agrego la entrada con el usuario Hardwell a la unidad organizativa compras que se encuentra dentro de dirección general perteneciente al dominio ABCx.com

Busqueda de entradas (ldapsearch) 

las entradas fueron ingresadas correctamente. ¿Pero como buscarlas? para eso utilizamos el comando ldapsearch el cual nos sirve para relizar diversas busquedas, podemos buscar por unidades organizativas, por dominio, por usuario y cada uno de sus atributos etc

en este caso veremos la busqueda de la unidad organizativa Direccion general para esto usaremos la sintaxis

ldapsearch -x -b 'dirección general,dc=ABCx,dc=com'

nos despliega la unidad organizativa Dirección general ademas de Sistemas ya que esta se encuentra dentro de Dirección General

Realizare una busqueda por usuario. Buscare el usuario DavidGuetta para esto la sintaxis sera la siguiente

ldapsearch -x '(uidDavidGuetta)'

El resultado es que el usuario DavidGuetta se encuentra dentro de la unidad organizativa Logistica la cual se encuentra dentro de Dirección general perteneciente al dominio ABCx.com

Asi termina esta entrada sobre instalación y administración de OpenLDAP con la asignación correcta de entradas en una base de datos y búsquedas exitosas

FIN !

Implementacion de Active Directory Windows Server 2008 R2

¿qué es active directory?

Es un sistema parejo al arbol de netware que sirve para compartir recursos en un conjunto de dominios. Para ello utiliza un sistema común de resolución de nombres (dns) y un catálogo común que contiene una réplica completa de todos los objetos de directorio del dominio en que se aloja además de una replica parcial de todos los objetos de directorio de cada dominio del bosque

El objetivo de un catálogo global es proporcionar autentificación a los inicios de sesión.

Además contiene información sobre todos los objetos de todos los dominios del bosque, la búsqueda de información en el directorio no requiere consultas innecesarias a los dominios.

Una única consulta al catálogo produce la información sobre donde se puede encontrar el objeto.

En definitiva Active Directory es el servicio de directorio incluído con Windows 2000/2003

¿Qué es un servicio de directorio?
Un servicio de directorio es uno de los componentes más importantes de una red. Los usuarios y administradores con frecuencia no saben el nombre exacto de los objetos en que están interesados. Quizá conozcan uno o más atributos de los objetos y puedan consultar el directorio para obtener una lista de objetos que concuerden cono los atributos: por ejemplo, "Encontar todas las impresoras duplex en Edificio B". Un servicio de directorio permite que un usuario encuentre cualquier objeto con sólo uno de sus atributos.

¿Qué es un objeto?

Es cualquier cosa que tenga entidad en el directorio. Puede ser un programa, un usuario, un ordenador, un router, una impresora, un proxy, ...

¿Qué es un dominio?

Es un conjunto de normas que especifican que administran los recursos y los clientes en una red local.

En un dominio hay lo que se llama un servidor principal llamado pdc (primary domain controller) que es quien asigna derechos controla usuarios y recursos.

Dado que este servidor puede recibir muchas peticiones de red por parte de los clientes, es posible instalar un servidor de réplica llamado bdc (backup domain controller) que contiene siempre una réplica de la base de datos del pdc y actúa como pdc en cuanto a peticiones de clientes.

Además en caso de fallo del pdc, él se sitúa en el dominio como pdc.

En caso de haber varios bdc, uno de ellos se coloca como pdc y los demás se dedican a respaldar a ese.

¿Que es un arbol?

Es un conjunto de dominios con relaciones de confianza entre sí que comparten recursos, clientes y un sistema de resolución de nombres.

¿Qué es un bosque?

Es un conjunto de árboles de dominio con relaciones de confianza entre sí

Anteriormente hemos trabajado con Directivas GPO dentro de una misma maquina, Active Directory es basicamente la implementacion de estas directivas pero a nivel de servidor dentro de una red administrando no solo la maquina loca sino tambn los todos los equipos pertenecientes a un domino

Instalacion

lo primero que haremos sera instalar el software Active Directory mediante la plataforma de descargas Microsoft Platform Installer de Windows Server o directamente desde la la red

Para esta entrada utilizare el siguiente planteamiento:

La empresa ABCx requiere el diseño e implementación de un servicio para mantener
información centralizada de los recursos de la red. Se requiere entonces que la información
de los objetos de la red sea almacenada en un servicio de Directorio Ligero (Active
Directory) en Windows Server 2008.

Este es la esctrutura jerarquica del la empresa ABCx

Crearemos esta esctrutura en nuestro Active Directory mediante la creacion de Unidades organizaticas (UO) en las cuales alvergaremos usuarios que a su vez perteneceran a grupos de la siguiente manera

Como podemos ver esta creada toda la esctructura de la Figura 1, con un contenedor por cada dependencia, cada una de las dependencias tiene los subcontenedores

Usuarios y grupos: Incluiremos los usuarios (yo use 4 por departamento) que seran miembros de un grupo con el mismo nombre de la UO

Equipos: Este contenedor es opcional, desde alli prodemos agregar una directiva para que solo usuarios especificos puedan logiarse en una maquina del domino

Impresoras: Compartiremos una impresoraPDF en el dominio, aqui estara albergada

Carpetas compartidas: Dentro de la red abran una serie de carpetas que compartiremos para todo el dominio la UO Carpetas compartidas sera la que las contendra.

Como implementar las directivas en Active Directory

Luego de que nuestro Active Directory este instalado iremos a Inicio>Herramientas Administrativas>Administracion de directivas de grupo



Estando alli abriremos la cascada de nuestro dominio ABCx.com y podran ver los diferentes departamentos que esta empresa tiene ademas de las GPO que he implementado previamente. Para crear una nueva GPO daremos click derecho sobre la UO a la que deseamos aplicarle la directiva y clickeamos en Crear un GPO en este dominio y vincular aqui.

Editar una GPO:

Luego de creada nuestra GPO ahora hara parte del arbol del dominio lista para editarle y agregarle las directivas para editarla simplemente haremos click de izquierdo sobre ella y daremos click en editar  

Ahora con las UO creadas con sus respectivos subcontenedores y sabiendo como aplicarlas en Active Directory podemos aplicar un sinfin de directivas  a continuacion veran el link de una entrada anterior sobre Directivas de grupos locales GPO en la que veran algunas de las muchas directivas que se pueden aplicar, es basicamente el mismo proceso pero ahora desde un servidor implementandolas a un dominio

Directivas de grupos locales GPO

Algunas directivas que no se encuentras en la entrada de directivas de grupo GPO

Ocultar unidad C:

Quita los iconos que representan los discos duros seleccionados de Mi PC y Explorador de Windows. Además, las letras de unidad que representan las unidades seleccionadas no aparecerán en el cuadro de diálogo Abrir estándar.

Para usar esta opción, seleccione una unidad o una combinación de unidades de la lista desplegable. Para mostrar todas las unidades, deshabilite esta opción o seleccione la opción "No restringir unidades" de la lista desplegable.

Para aplicar esta directiva seguiremos la ruta Configuracion de usuario>Directivas>Plantillas administrativas>Componentes de Windows>Explorador de Windows>Ocultar estas unidades especificas en Mi Pc

Quitar el menu ejecutar

Le permite quitar el comando Ejecutar del menú Inicio, Internet Explorer y el Administrador de tareas.Si habilita esta opción, se producirán los siguientes cambios:

Se quita el comando Ejecutar del menú Inicio.

El comando Nueva tarea (ejecutar) se quita del Administrador de tareas.

Se impedirá al usuario lo siguiente en la barra de direcciones de Internet Explorer:

Para aplicar esta directiva seguiremos la ruta Configuracion de usuario>Directivas>Plantillas administrativas>Menu inicio y barra de tareas>Quitar el menu ejecutar del menu de inicio

Prohibir acceso al panel de control

Deshabilita todos los programas del Panel de control.Esta opción impide que Control.exe, el archivo de programa del Panel de control, se inicie. En consecuencia, los usuarios no pueden iniciar el Panel de control ni ejecutar los elementos de éste.

Además, esta opción quita el Panel de control del menú Inicio. Esta opción también quita la carpeta Panel de control del Explorador de Windows.

Para aplicar esta directiva seguiremos la ruta Configuracion de usuario>Directivas>Plantillas administrativas>Panel de control >Prohibir el acceso al panel de control

Esta ha sido la implementacion de Active Directory en un servidor Windows Server 2008 R2, vimos como instalar el Active Directory, crear unidades organizativas (UO) contenedores y subcontenedores y a estos aplicarles directivas de acuerdo a los requeriminetos.

FIN

Directivas de grupos locales GPO (Windows Seven)

¿Qué son las directivas de grupo?

Una directiva de grupo no es una mera directriz, ni un simple aviso destinado a evitar que los usuarios instalen software no autorizado. Es más bien un conjunto de reglas implementadas mediante cambios efectuados en el Registro, que se activan al iniciar el equipo o cuando un usuario inicia su sesión de trabajo. Las directivas entran a formar parte del entorno de usuario e imponen restricciones sobre las acciones de dicho usuario.

¿que se puede lograr con estas restricciones?

Puede ejecutarse un guión con el que iniciar un equipo. Este guión, específico para esa máquina, difiere del guión necesario para iniciar la sesión de un usuario., además de poder ejecutar este último tipo de guiones, también permite la ejecución de otros cuando el usuario acaba su sesión de trabajo o cuando se cierra el equipo. No resulta difícil configurar el perfil de un usuario en un equipo para que, eliminando opciones o estableciendo configuraciones restrictivas, no se puedan ejecutar determinadas aplicaciones, sea imposible conectarse a la red o, incluso, no se permita escoger el fondo de pantalla.

También pueden emplearse las directivas de grupo para imponer restricciones de seguridad y controlar el acceso a los recursos de la red.

Podemos aplicar estas directivas en dos campos diferentes dependiendo el requerimiento:

Directivas de configuración de equipo

Las aplicamos cuando solo queremos que dichas directivas se apliquen a la maquina como tal, sin reconocimiento de usuarios, grupos o cualquier otra división que esta tenga


Directivas de configuración de usuario

Estas directivas se aplican únicamente a un usuario especifico sin afectar los valores de los demas usuarios

Aplicación de restricciones.

A continuación asignaremos una serie de restricciones desde las directivas de grupo local para administrar los accesos y denegaciones de nuestra maquina teniendo asi un control total sobre ella y aplicando politicas de seguridad que impidan que dichas reglas sean vulnerables


Para ello crearemos cuatro usuarios mas aparte del administrador estos usuarios son

Benji
Bruno
Carlos
Manuel
Johan (Administrador)

La creación de estos usuarios en una maquina Windows Seven se realiza ingresando a


Inicio>Panel de control>Cuentas de usuario>Agregar o quitar cuentas de usuario.

Estando allí encontraremos la siguiente ventana, aquí clickearemos en crear una nueva cuenta

y procederemos a ingresar las cuentas anteriormente mensionadas aplicando la opcion usuario estandar

Repetimos este proceso con los demás usuarios y el resultado sera una lista de usuarios como la siguiente donde aparece el usuario Johan como único administrador y los demás usuarios como usuarios estándar

ahora que ya tenemos nuestros usuarios vamos a agruparlos, los usuarios Carlos y Manuel pertenceran al grupo Killers, mientras que Bruno y Benji seran usuarios del grupo Timers. Para realizar este procedimiento ireamos a


Inicio>Click derecho en equipo>Administrar>Herramientas del sistema>Usuarios y grupos locales>Click derecho a grupos>Grupo nuevo...

Se nos abrira una nueva ventana donde ingresaremos el nombre del nuevo grupo que vamos a crear (Killers) ademas de una descripcion opcional, luego de asignar el nombre del grupo agregaremos los usuarios que perteneceran a este grupo (Carlos, Manuel) y aceptamos y luego le damos click en crear

Ahora haremos el mismo procedimiento con el grupo Timers

El resultado sera la aparición de estos dos nuevos grupos en la lista de usuarios y grupos locales de herramientas del sistema

Implementacion de politicas

Ahora que ya tenenos los usuarios asignados a grupos ingresaremos unas politicas que restrinjan el uso de ciertos recursos, aplicaciones o utlidades dentro del sistema operativo, acontinuacion veran una serie de estas politicas que varian de acuerdo a las restricciones que se deseen dar. Asignare unas a Directivas de configuración de equipo y otras a directivas de configuración de usuario


Estas politicas se aplican desde el editor de directivas de grupo local al cual podemos ingresar ejecutando (Tecla windows + R) gpedit.msc

Cambio de vigencia máxima de la contraseña:

Para realizar el cambio de la vigencia (duración de la contraseña) seguiremos la ruta

Configuración de equipo>Configuración de Windows>Configuración de seguridad>Directivas de cuenta>Vigencia máxima de contraseña

Desde allí se abrirá una ventana desde donde podemos cambiar el valor: la contraseña expira en: en mi caso expirara luego de 15 días de uso.

Implementar a las contraseñas requisitos de complejidad por defecto de Windows server

Podemos implementar a los passwords políticas que los rijan como por ejemplo la longitud que debe tener (8 caracteres) la implementación de letras mayúsculas y/o minúsculas, uso de caracteres especiales etc. Para implementar estas políticas haremos cambios tanto en longitud mínima de contraseña como en la contraseña debe cumplir los requerimientos de seguridad atravez de la siguiente ruta


Configuracion de equipo>Configuracion de Windows>Configuracion de seguridad>Directivas de cuenta> longitud mínima de contraseña

Configuracion de equipo>Configuracion de Windows>Configuracion de seguridad>Directivas de cuenta> la contraseña debe cumplir con los requerimientos de complejidad

Exigir historial de las contraseñas 

Esta configuración de seguridad determina el número de nuevas contraseñas únicas que deben asociarse a una cuenta de usuario antes de poder reutilizar una contraseña antigua. El valor debe estar comprendido entre 0 y 24 contraseñas.

Un ejemplo de la utilizacion de este es cuando los usuarios que requieran cambiar su contraseña no podrán usar un password que se haya usado antes por lo menos desde los 2 últimos cambios. Para implementar esta politca seguiremos la ruta:


Configuracion de equipo>Configuracion de Windows>Configuracion de seguridad>Directivas de cuenta> Exigir historial de contraseña

Impedir que un usuario o grupo apague la maquina

Esta directiva se aplica cuando impondremos la orden de que un usuario especifico no pueda apagar la maquina desde el sistema operativo, obviamente si lo hace por medio del interruptor o cortando la alimentacion esta GOP no tendra ningun efecto. Para implementar dicha directiva seguiremos la ruta 

Esta directiva se puede aplicar tanto en usuarios como en grupos en este caso la aplicare a un grupo, el grupo Timers 

Impedir que un usuario cambie la hora de la maquina


Mediante esta GPO un usuario especifico no podra cambiar la hora del equipo, esta directiva se aplica generalmente en maquinas que deben estar sincronizadas en la hora con un servidor, para implementar esta directiva seguiremos la ruta


Configuración del equipo> configuración de Windows> Configuración de seguridad> Asignación de derechos de usuarios>Cambiar la hora del sistema

Implementar un servidor Proxy 


Esta direcitva se implementa para que una maquina tenga asignada una direccion Proxy en su navegador. Para implementarla seguiremos la ruta


Configuracion de usuario>Configuracion de Windows>Mantenimiento de Internet Explorer>Conexion>Configuracion de los servidores Proxy

Habilitamos la configuracion proxy y asignamos una IP para esta, yo utilize el mismo servidor proxy para todas las direcciones

Impedir que la configuracion del Proxy que asignamos sea manipulada

hemos implementado un servidor Proxy para nuestra maquina pero cualquier usuario puede cambiar esta configuracion y asignar un Proxy diferente, para impedir que esto sucesa bloquearemos el cambio de Proxy. Para esto seguiremos la ruta 

Configuracion de usuario>Componentes de Windows>Internet Explorer>Desabilitar el cambio de configuracion Proxy

Esta ha sido una entrada explicando que son y como implementar las directivas de grupo locales GPO para una maquina Windows Server, tan solo han sido unas pocas configuraciones las que vimos, pero practicando el tema podran ver que por medio de ellas hay un sin fin de configuraciones disponibles tanto para permitir como para denegar las utilidades de nuestra maquina

FIN