Руководство по подключению LDAP

Поиск сервера

Если параметр server не задан явно, плагин попытается найти LDAP-сервер на основе текущей конфигурации среды. Это возможно только при соблюдении следующих условий:

• установлен пакет Python dnspython
• установлен пакет Python pyspnego[kerberos] для Kerberos
• в базовой библиотеке Kerberos задано значение default_realm в файле MIT krb5.conf

Если ни одно из перечисленных выше условий не выполнено, подключение завершится с ошибкой, и необходимо указать сервер явно. Если выполнены все требования, поиск сервера происходит следующим образом:

• получается default_realm из локальной конфигурации Kerberos
• для записи _ldap._tcp.dc._msdcs.{{ default_realm }} выполняется поиск DNS SRV
• записи DNS сортируются по приоритету и весу, после чего выбирается первая запись
• для поиска используются имя узла и порт из выбранной записи SRV

Простая аутентификация

Простая аутентификация — это самый базовый поддерживаемый протокол аутентификации. При этом имя пользователя и пароль отправляются серверу в открытом виде, как при базовой аутентификации HTTP. В Microsoft AD в качестве имени пользователя требуется sAMAccountName или userPrincipalName учётной записи, тогда как в других реализациях LDAP требуется distinguishedName LDAP. Если имя пользователя и пароль не указаны, можно выполнить анонимное связывание, однако сервер, скорее всего, отклонит любые операции поиска, если запрос не аутентифицирован с использованием учётных данных реального пользователя. Простая аутентификация запрещена при подключении, не защищённом TLS. Её можно разрешить для таких подключений, отключив проверку шифрования, но делать это не рекомендуется.

Аутентификация по сертификату

При аутентификации по сертификату для проверки подлинности пользователя на узле используется аутентификация клиента TLS в рамках рукопожатия TLS. Поскольку она является частью рукопожатия TLS, её можно использовать только при подключении LDAPS или с StartTLS. Для аутентификации используются сертификат пользователя и ключ сертификата. Для указания клиентского сертификата и ключа, используемых при аутентификации, доступны три параметра:

• certificate — сертификат и, при необходимости, включённый в него ключ
• certificate_key — ключ сертификата, если он не включён в certificate
• certificate_password — пароль для расшифровки ключа сертификата

Значения certificate и certificate_key могут быть путями к файлам сертификата и ключа либо строками, содержащими сертификат/ключ в кодировке PEM. Путь к файлу certificate может указывать на сертификат в кодировке PEM, DER или PKCS12/PFX с необязательным включённым ключом, а путь к файлу certificate_key — на ключ в кодировке PEM или DER. Если ключ в содержимом PEM, DER или PKCS12/PFX зашифрован, параметр certificate_password позволяет указать пароль для его расшифровки.

Negotiate

Аутентификация Negotiate — протокол аутентификации, используемый по умолчанию при подключении LDAP. Это сочетание kerberos и ntlm, при котором клиент выбирает, какой из протоколов использовать. Если доступен kerberos, ему отдаётся предпочтение; в противном случае используется ntlm. Пакет Python pyspnego предоставляет negotiate только с поддержкой ntlm; поддержка kerberos обеспечивается дополнительным компонентом pyspnego[kerberos]. Дополнительные сведения об установке этой зависимости см. в разделе требования.

Kerberos

Kerberos — современный протокол аутентификации, поддерживаемый серверами Microsoft AD и рекомендуемый для аутентификации. Он доступен, только если установлен дополнительный пакет pyspnego[kerberos] и узел настроен должным образом. Обычно эта настройка выполняется с помощью файла /etc/krb5.conf в системе. В этом руководстве не рассматривается настройка Kerberos на узле, поскольку она зависит от среды.

Проверить, правильно ли настроен Kerberos на узле, можно с помощью следующих команд:

$ python -c "import krb5"
$ kinit username@DOMAIN.REALM
$ kvno ldap/dc.domain.realm

Команда python проверяет, установлены ли необходимые библиотеки Python. Команда kinit получает билет Kerberos для указанного пользователя, а команда kvno пытается получить билет службы для запрошенного имени субъекта-службы (SPN). Если обе команды выполняются успешно, велика вероятность, что аутентификация Kerberos будет работать при подключении LDAP.

С помощью команды kinit можно настроить кэш учётных данных для аутентификации Ansible. Если получить учётные данные с помощью kinit, можно пройти аутентификацию на LDAP-сервере, не задавая в Ansible имя пользователя и пароль явно. Kerberos также можно использовать с явно заданными учётными данными.

NTLM

NTLM — простой протокол аутентификации, который можно использовать отдельно или как резервный вариант negotiate, если kerberos недоступен. В отличие от поддержки kerberos, он обычно не поддерживает неявные учётные данные, поэтому для его использования, как правило, требуется явно указать имя пользователя и пароль. Дополнительная настройка узла не требуется: протокол должен работать после установки pyspnego.