Installation et mise en œuvre du module Seth

Dans l'onglet Général, le Nom DNS du réseau local doit correspondre au nom du domaine Active Directory (realm^[2]) du serveur Active Directory.

Il est recommandé de déclarer le serveur Active Directory en tant que serveur NTP, saisir l'adresse IP ou le nom d'hôte dans le champ Adresse du serveur NTP.

• Nom du serveur Active Directory : doit correspondre au nom de la machine Active Directory ;
• Nom du domaine Active Directory : doit correspondre au nom du domaine Active Directory, il est pré-renseigné à partir du nom saisi dans l'onglet Général ;
• Adresse IP du serveur Active Directory : doit contenir l'adresse IP du serveur Active Directory.

Certaines variables, bien que disponibles à partir du mode normal s'avèrent très importantes.

• Adresse IP du serveur DNS de secours : dans le cas où une architecture de haute disponibilité de l'Active Directory a été mise en place, il est recommandé d'y renseigner l'adresse du second serveur AD ;
• Compte administrateur du domaine AD : doit correspondre à un compte ayant les droits Administrateur du domaine, en général le compte Administrator dans le cas d'un module Seth ou Administrateur dans le cas d'un serveur Microsoft AD configuré en français ;
• Conteneur Active Directory hébergeant les comptes Scribe : les comptes de l’annuaire du module Scribe sont répliqués par défaut dans le conteneur Active Directory CN=Users. Cette variable permet de personnaliser le conteneur hébergeant les comptes du module Scribe (exemple : OU=Scribe). En cas de personnalisation du conteneur, ne pas oublier de créer ce dernier dans Active Directory avant d'instancier le module Scribe ;
• Synchroniser l'annuaire en LDAPS : la synchronisation des comptes en LDAPS est plus sécurisée mais nécessite l’enregistrement des certificats d'autorité du serveur AD dans un fichier Java keystore^[3].

Sur un module EOLE Seth >= 2.8.0 instancié, le serveur AD utilise les mêmes certificats que ceux du module.

En mode "autosigné", le fichier contenant la chaîne de certificats est : /etc/ssl/certs/ca.crt.

Sur un module EOLE Seth >= 2.8.0 instancié, le serveur AD utilise les mêmes certificats que ceux du module.

En mode "manuel", le fichier contenant la chaîne de certificats intermédiaires est : /var/lib/samba/private/tls/ca.pem (ce fichier existe uniquement si le certificat utilisé par Samba n’est pas signé directement par un certificat autosigné).

Le fichier de certificats à importer sur le Scribe doit d’abord être préparé sur le Seth si celui-ci n’utilise pas le certificat temporaire.

from creole.cert import get_certs_chain, concat_fic

from creole.client import CreoleClient

server_cert = CreoleClient().get_creole('server_cert')

chain = get_certs_chain([server_cert,])[1:]

concat_fic('/root/samba_chain.pem', chain)

from creole.cert import get_certs_chain, concat_fic
from creole.client import CreoleClient
server_cert = CreoleClient().get_creole('server_cert')
chain = get_certs_chain([server_cert,])[1:]
concat_fic('/root/samba_chain.pem', chain)

Sur un module EOLE Seth 2.6 ou 2.7 instancié, le fichier contenant la chaîne de certificats est : /var/lib/samba/private/tls/ca.pem.

Pour créer la chaîne de certificats, il est possible de suivre la procédure décrite dans : https://www.ltb-project.org/documentation/active_directory_certificates.html

Une fois le fichier copié sur le serveur Scribe (exemple : /tmp/certificate.pem), il faut l'ajouter dans le fichier Java keystore à l'aide de la commande suivante :

# keytool -import -trustcacerts -keystore /etc/ssl/certs/java/cacerts -storepass changeit -noprompt -alias eole-ad -file /tmp/certificate.pem

Certificat ajouté au fichier de clés