Docker 部署 FreeIPA 服务

一、FreeIPA Docker 服务部署
- 1、安装 FreeIPA 服务器
- 2、部署过程
- 3、域名解析
二、FreeIPA 服务器脚本批量用户操作
- 1、进入 FreeIPA 容器
- 2、登录 admin 用户，才可进行操作
- 3、添加用户脚本 addUsersAndToken.sh
- 4、批量删除用户脚本 delUsers.sh
- 5、批量删除用户 token 脚本 delToken.sh
- 6、批量修改用户 token 脚本 modToken.sh
三、Java 通过连接 LDAP 服务器对用户进行认证

一、FreeIPA Docker 服务部署

为省去 FreeIPA 服务器环境安装复杂性，采取 docker 容器安装最为方便。
官网参考连接：https://hub.docker.com/r/freeipa/freeipa-server/
FreeIPA 是集中认证和权限管理服务器系统，包含 WEB UI 管理界面，界面访问地址需要全域访问（即不能通过IP地址直接访问界面），需要将地址与 IP 在 /etc/hosts 里面映射。

1、安装 FreeIPA 服务器

启动 docker 安装容器命令如下：
注意： 官网没有 --privileged=true 和 --no-ntp 参数，分别用于开启 docker 容器高级权限和安装不启动时间同步组件安装。需要将 docker 端口映射到宿主机端口上。
首先在宿主机上创建 FreeIPA 数据目录：

mkdir /var/lib/ipa-data

然后启动 docker 容器：

sudo docker run --name freeipa-server --privileged=true -p 80:80 -p 389:389 -p 443:443 -ti -h freeipa.example.com -v /sys/fs/cgroup:/sys/fs/cgroup:ro --tmpfs /run --tmpfs /tmp -v /var/lib/ipa-data:/data:Z --restart=on-failure:3 freeipa/freeipa-server --no-ntp

注意：如果遇到 IPV6 问题，可能需要打开 IPV6
默认关闭 IPV6 的打开方法：

编辑 /etc/default/grub 文件，将其中 ipv6.disable=1 去除；
使用 grub2-mkconfig 重新编译 grub.cfg 文件，最后 reboot 重启即可；

[test@test]$ vim /etc/default/grub
[test@test]$ grub2-mkconfig -o /boot/grub2/grub.cfg
[test@test]$ reboot

服务器开机后重启 docker 服务

[test@test]$ systemctl start docker

2、部署过程

This program will set up the FreeIPA Server.

This includes:

Configure a stand-alone CA (dogtag) for certificate management
Create and configure an instance of Directory Server
Create and configure a Kerberos Key Distribution Center (KDC)
Configure Apache (httpd)

Excluded by options:

Configure the Network Time Daemon (ntpd)

To accept the default shown in brackets, press the Enter key.

Do you want to configure integrated DNS (BIND)? [no]: no

Enter the fully qualified domain name of the computer
on which you’re setting up server software. Using the form
.
Example: master.example.com.

Server host name [ipa.jansen.org]:freeipa.example.com

The domain name has been determined based on the host name.

Please confirm the domain name [jansen.org]: freeipa.example.com

The kerberos protocol requires a Realm name to be defined.
This is typically the domain name converted to uppercase.

Please provide a realm name [IPA.JANSEN.ORG]: FREEIPA.EXAMPLE.COM

An upper-case realm name is required.
Do you want to use FREEIPATEST.GENERALICHINA.COM as realm name? [yes]: yes

Certain directory server operations require an administrative user.
This user is referred to as the Directory Manager and has full access
to the Directory for system management tasks and will be added to the
instance of directory server created for IPA.
The password must be at least 8 characters long.

Directory Manager password:*********
Password (confirm):*********

The IPA server requires an administrative user, named ‘admin’.
This user is a regular system account used for IPA server administration.

IPA admin password:*********
Password (confirm):*********

The IPA Master Server will be configured with:
Hostname: freeipa.example.com
IP address(es): 172.17.0.7
Domain name: freeipa.example.com
Realm name: FREEIPA.EXAMPLE.COM

Continue to configure the system with these values? [no]:yes
The following operations may take some minutes to complete.
Please wait until the prompt is returned.

接下来自动配置的时间可能有点久
直到出现：
FreeIPA server configured.

3、域名解析

找网络管理在域控服务器上加域名解析，nslookup 命令查询到域名对应的 IP 地址

[root@freeipa /]# nslookup freeipa.example.com
Server:         10.5.11.20
Address:        10.5.11.20#53Name:   freeipa.example.com
Address: 10.5.35.69

也可通过 nslookup 查看 ip 的反向解析记录，查看是否配置了 dns

[root@freeipa ~]# nslookup 10.5.35.69
Server:         10.5.11.20
Address:        10.5.11.20#5369.35.5.10.in-addr.arpa name = freeipa.example.com.[root@freeipa ~]# nslookup 10.5.56.2
Server:         10.5.11.20
Address:        10.5.11.20#53** server can't find 2.56.5.10.in-addr.arpa.: NXDOMAIN

添加域名解析后，可使用 https://freeipa.example.com/ipa/ui 登录
前台页面如下：

admin 账户登录，密码为最开始配置 freeipa-server 时设置的密码
假设某一个用户 test 设置了 OTP token，那登录密码为： 用户密码+token密码
可在 IPA server 下的 API browser 查看操作 API：

二、FreeIPA 服务器脚本批量用户操作

1、进入 FreeIPA 容器

#freeipa 为 freeipa-server 容器的 name
docker exec -it freeipa bash

2、登录 admin 用户，才可进行操作

#这里 admin 的登录密码就是最开始配置 freeipa-server 时设置的密码
[root@freeipa /]$ kinit admin
Password for admin@FREEIPA.EXAMPLE.COM: ********

3、添加用户脚本 addUsersAndToken.sh

#!/bin/bash
# 添加用户并设置OTP Token
# 设置新增用户的初始密码
password=freeipa
if [ -f otplist ]; thenrm -rf otplist*
fi
if [ -f users.txt ]; then
starttime=`date +'%Y-%m-%d %H:%M:%S'`
start_seconds=$(date --date="$starttime" +%s);
for line in `cat users.txt`
#例如line = test/测试/test@generalichina.com/保险公司用户
dologin=${line%%/*}str=${line#*/}str2=${str%/*}name=${str2%/*}email=${str2##*/}title=${line##*/}/usr/bin/expect<<-EOFset timeout 10spawn ipa user-add ${login} --first ${name} --last ${name} --title ${title} --cn ${name} --displayname ${name} --email ${email}  --user-auth-type otp --passwordexpect "Password:"send "$password\r"expect "Enter Password again to verify:"send "$password\r"expect eofEOFipa otptoken-add --type=totp --not-before=20190101000000Z --not-after=22000101000000Z --owner=${login} --algo=sha512 --digits=6 --interval=60 --no-qrcode --desc="Token for ${name}" >> ./otplist#echo "-----Add Token success!  ${login}-${name}"
done
cat otplist | grep URI | awk -F 'URI:' '{print $2}' >> otplist.txt
elseecho "Error! users.txt not exists!"
fi
endtime=`date +'%Y-%m-%d %H:%M:%S'`
end_seconds=$(date --date="$endtime" +%s);
echo "本次运行时间： "$((end_seconds-start_seconds))"s"

这里需要用户列表文件 users.txt
内容格式例如：test/测试/test@example.com/系统用户

addUsersAndToken.sh 脚本执行完后，会将 token 信息返回到 otplist.txt 文件内。

4、批量删除用户脚本 delUsers.sh

#!bin/bash
#查询用户输出到 userlist.txt
ipa user-find | grep User | awk -F ':' '{print $2}' >> userlist.txt
#排除不可删除的用户，例如 admin
if [ -f ./userlist.txt ];
thencat userlist.txt | sed '/admin/d' > newuserlist.txtrm -f userlist.txt
fi
if [ -f newuserlist.txt ];
thenfor username in `cat newuserlist.txt`doecho "删除用户 $username"ipa user-del $usernamedonerm -f newuserlist.txt
fi

5、批量删除用户 token 脚本 delToken.sh

#!bin/bash
ipa otptoken-find | grep Unique | awk -F ':' '{print $2}' >> tokenlist.txt
if [ -f ./tokenlist.txt ]; then
for id in `cat tokenlist.txt`
doipa otptoken-del ${id}
done
rm -rf tokenlist.txt
fi

6、批量修改用户 token 脚本 modToken.sh

#!bin/bash
for user in `cat temp.txt`
#修改最晚失效时间
doipa otptoken-mod `ipa otptoken-find --owner=${user} | grep Unique | awk -F ':' '{print $2}'`  --not-after=22000101000000Z
done

三、Java 通过连接 LDAP 服务器对用户进行认证

private boolean LDAP_connect(String userName, String validationCode) {LdapContext env = new Hashtable<String, String>();env.put(Context.INITIAL_CONTEXT_FACTORY, FACTORY);env.put(Context.PROVIDER_URL, URL + BASEDN);// LDAP serverenv.put(Context.SECURITY_PRINCIPAL, "uid=" + userName + SEARCHDN);env.put(Context.SECURITY_AUTHENTICATION, "simple");env.put(Context.SECURITY_CREDENTIALS, "cnpcfreeipa"+validationCode);boolean returnFlag = false;// 此处若不指定用户名和密码,则自动转换为匿名登录try {ctx = new InitialLdapContext(env, connCtls);returnFlag = true;} catch (NamingException e) {returnFlag = false;}return returnFlag;}

配置文件：

#####################双因子认证 config###########################
#双因子认证服务器freeipa-server地址
URL=ldap://ip:389/
#ldap服务 端口
PORT=389
#基本域和查询域
BASEDN=dc=freeipa,dc=example,dc=com
SEARCHDN=,cn=users,cn=accounts,dc=freeipa,dc=example,dc=com
#协议工厂
FACTORY=com.sun.jndi.ldap.LdapCtxFactory