Включить SSO на redhat Environment

Question

Мне нужно включить SSO в моей среде redhat. Мне нужно знать, какой rpms требуется для установки. считают, что это случай настройки AD для поддержки единого входа в экземпляр WebSeal. Я устанавливаю WebSeal 6.1 (Tivoli Access Manager WebSeal 6.1).

У меня нет знаний относительно этого. Может кто-нибудь известить меня и помочь мне здесь, как действовать и какие шаги следует предпринять. Какими должны быть предпосылки?

Answer 1

Существует хорошая рецензия на ИнфоЦентр IBM, о том, как это сделать:

ТАМ 6.0:

http://publib.boulder.ibm.com/infocenter/tivihelp/v2r1/topic/com.ibm.itame.doc_6.0/rev/am60_webseal_admin211.htm?path=5_8_1_6_0_6_0_2_1_10_1_2#spnego-cfg-unix

ТАМ 6.1.1:

http://publib.boulder.ibm.com/infocenter/tivihelp/v2r1/topic/com.ibm.itame.doc_6.1.1/am611_webseal_admin709.htm?path=5_8_1_3_1_11_1_2#spnego-cfg-unix

SAM 7,0 :

http://publib.boulder.ibm.com/infocenter/tivihelp/v2r1/topic/com.ibm.isam.doc_70/ameb_webseal_guide/concept/con_config_win_desktop_sso_unix.html

Вы должны:

1. Установка IBM клиент Kerberos для WebSEAL
2. Создать запись в AD для сервера Linux авторизовать против
3. Карта принципала Kerberos для этого пользователя AD (труднее всего часть)
4. Включить SPNEGO на WebSEAL

Вот некоторые из моих записей, которые могут помочь. Тем не менее, я бы настоятельно рекомендовал следовать инструкциям на сайте InfoCenter, поскольку они почти правы.

На шаге 1, в каталоге linux_i386, установить клиент IBM Kerberos с помощью:

обороты -i IBMkrb5-клиент-1.4.0.2-1.i386.rpm

На шаге 2, то Ktpass команда запускается на контроллере AD должен выглядеть примерно так:

Ktpass -princ HTTP/WEBSEAL_SERVER_NAME_NOTFQDN@ad-domain.org -pass new_password -mapuser WEBSEAL_SERVER_NAME_N OTFQDN отъезда C: \ WEBSEAL_SERVER_NAME_NOTFQD_HTTP.keytab -mapOp набор

Transfer, что Keytab файл на сервер Linux.

Также убедитесь, что файл keytab на сервере Linux chown ivmgr.ivmgr; chmod 600. В противном случае процесс WebSEAL не сможет его прочитать.

Для шага 3 вам нужно будет отредактировать /etc/krb5/krb5.conf и настроить область KDC, AD и локальное DNS-имя. Вы можете использовать утилиту mkkrb5clnt, чтобы помочь с этим:

config.krb5 -r -c AD-DOMAIN.ORG ad-domain.org -s ад-домен.орг -d AD-DOMAIN

Редактировать krb5.conf и изменение:

[libdefaults] 
default_tkt_enctypes = des-cbc-md5 des-cbc-crc 
default_tgs_enctypes = des-cbc-md5 des-cbc-crc 

Из моих заметок, я имел вы можете проверить конфигурацию Kerberos с помощью (это все документально на Инфотека статьи):

/USR/krb5/бен/Kinit webseal@AD-DOMAIN.ORG

Введите passwor d для пользователя WebSEAL, затем используйте klist для проверки.

На шаге 4, просто отредактируйте файл конфигурации WebSEAL и изменения:

[spnego] 
spnego-auth = https 

[authentication-mechanisms] 
kerberosv5 = /opt/PolicyDirector/lib/libstliauthn.so 

Если клиенты настроены правильно, до тех пор, как имя его учетной записи AD соответствует их имя учетной записи ТАМ, то он будет работать. Вы также можете использовать WebSEAL для @DOMAIN.ORG при сопоставлении с пользователем TAM, что удобно, если вы собираетесь настроить несколько доменов для единого входа. Тем не менее, вы должны иметь учетные записи TAM с user@domain.org в своем каталоге для сопоставления.

Вы можете указать, какой уровень доступа SPHEGO достигнут, изменив раздел [authentication-levels] в конфигурационном файле WebSEAL. Этот уровень будет level = kerberosv5

Удачи и терпения. Получение клиентской настройки Kerberos в ящике Linux было самой сложной частью. Это немного сложно, когда он хочет получить имя домена DNS DNS, нижнее регистрационное имя домена DNS или просто имя домена доменного имени ванили.