Доменная аутентификация: Linux

Если разрабатываемое веб-приложение предполагает аутентификацию в репозитории платформы под доменным пользователем, то для организации такой схемы работы потребуется дополнительная настройка как сервера СУБД, так и BI-сервера, установленного на Linux. Ниже приведен пример настройки доменной аутентификации на Ubuntu. Если используется СУБД Oracle, то указанные настройки актуальны для работы интегрированной доменной аутентификации.

Сервер СУБД

Доменная аутентификация доступна при организации сервера на базе СУБД Oracle версии 11.x и выше или PostgreSQL. При работе с Oracle сервер СУБД необходимо подготовить, используя одну из следующих инструкций:

При работе с PostgreSQL необходимо настроить аутентификацию по методу GSSAPI, руководствуясь документацией к СУБД.

Настройка BI-сервера продукта «Форсайт. Аналитическая платформа»

Предполагается, что сервер СУБД и BI-сервер располагаются на различных физических серверах.

Предварительно выполните следующие действия:

Скачайте клиент Oracle с официального сайта (требуются пакеты basic, devel, sqlplus в RPM-формате).

Рассмотрим установку на примере клиента Oracle версии 12.1. Выполните следующие действия:

при работе в Debian-подобном дистрибутиве:

Конвертируйте RPM-пакеты в формат DEB с помощью утилиты alien:

sudo apt-get install alien
sudo alien oracle-instantclient12.1-basic-12.1.0.2.0-1.x86_64.rpm
sudo alien oracle-instantclient12.1-devel-12.1.0.2.0-1.x86_64.rpm
sudo alien oracle-instantclient12.1-sqlplus-12.1.0.2.0-1.x86_64.rpm

Установите полученные deb-пакеты (в терминале с помощью утилиты dpkg или её аналога) и вспомогательный пакет libaio:

sudo apt-get install libaio1
sudo dpkg -i oracle-instantclient12.1*

при работе в RedHat-подобном дистрибутиве:

Скопируйте RPM-пакеты и установите командой:

sudo yum localinstall oracle-instantclient*

После установки добавьте путь до библиотек клиента Oracle с помощью утилиты ldconfig в список поиска зависимых библиотек и обновите кэш:

echo "/usr/lib/oracle/12.1/client64/lib" > ~/oracle.conf
sudo cp ~/oracle.conf /etc/ld.so.conf.d/
sudo ldconfig

После установки BI-сервера в файл переменных окружения /etc/opt/Foresight/fp9.2-biserver/envvars для экземпляра Apache2 потребуется добавить экспорт переменной TNS_ADMIN с указанием каталога, содержащего файл tnsnames.ora. У экземпляра Apache2 должен быть доступ к файлу, можно установить владельца www-data:www-data для файла tnsnames.ora.

Подробней про создание базы данных для репозитория читайте в подразделе «Подготовка сервера Oracle».

Настройка клиента Kerberos

В /etc/krb5.conf добавьте информацию о домене, например:

При возникновении ошибки «kinit: Generic preauthentication failure while getting initial credentials» добавьте в /etc/krb5.conf:

Настройка клиента Oracle

Настройка Apache

Помимо основной настройки Apache HTTP Server, которая будет выполнена при установке пакета BI-сервера, необходимо произвести дополнительную настройку.

Для аутентификации пользователя на сервере требуется установить модуль mod_auth_kerb. Модуль доступен по адресу: http://modauthkerb.sourceforge.net/.

На Ubuntu модуль доступен из стандартных репозиториев, для его установки выполните:

Предполагается, что keytab-файл для сервиса HTTP находится в /etc/apache2/http.keytab и имеет права доступа на чтение для www-data.

После установки и активации модуля нужно скорректировать файл с настройками /etc/apache2/mods-enabled/auth_kerb.conf следующим образом (поменять <server> на имя сервера, на котором развернут BI-сервер продукта «Форсайт. Аналитическая платформа»):

# To enable or disable the use of the Negotiate method. You need a special support on the browser side to support this mechanism.

# To enable or disable the use of password based authentication for Kerberos v5.

# If set to off this directive allow authentication controls to be pass on to another modules.

# This option takes one or more arguments (separated by spaces), specifying the Kerberos realm(s) to be used for authentication.

# This defaults to the default realm taken from the local Kerberos configuration.

# This option can be used to disable the verification tickets against local keytab to prevent KDC spoofing atacks.

# For specification the service name that will be used by Apache for authentication.

# This option takes one argument, specifying the location of the Kerberos V5 keytab file.

# It will use the "default keytab" from Kerberos V5's config if it is not specified here.

# The keytab file must be readable for the apache process, and should be different from other keytabs in the system.

# Always offer Basic authentication regardless of KrbMethodK5Pass and pass on authentication to lower modules if Basic headers arrive.

# Set to 'on' to have Kerberos do auth_to_local mapping of principal names to system user names.

В файле /etc/apache2/sites-enabled/000-default.conf (наименование может быть без .conf) следует добавить следующие строки:

Для корректной работы через Kerberos на Apache нужен модифицированный mpm-модуль coworker вместо worker. Это требуется для того, чтобы изолировать процессы аутентификации пользователей.

StartServers 2 # предполагаемое количество пользователей, работающих одновременно

ExpireTimeout 3600 # таймаут в секундах, по истечению которого процесс может быть переиспользован новым пользователем

ChildPerUser On # включить разделение пользователей (по умолчанию выключено)

Настройка LDAP

Для работы с Active Directory нужно установить следующие пакеты:

Далее в файл /etc/ldap/ldap.conf добавить информацию об Active Directory:

Работу с Active Directory можно проверить и без Apache, для этого достаточно инициализировать кэш учетных данных доменного пользователя через kinit. Далее под тем же локальным пользователем, из-под которого запускали kinit, запустить axis2_http_server.

В настройках репозитория (файл Metabases.xml или registry.reg) должна быть установлена интегрированная доменная аутентификация: Authentication="2".