Plattformübergreifende Dienste in ein Netzwerk integrieren

In kaum einer Firma läuft nur ein Betriebssystem. Die Benutzerverwaltung steckt im Active Directory, Webdienste laufen auf Linux, die Grafikabteilung arbeitet mit Macs. In diesem Modul bindest du Linux-Server an das AD an, stellst Dateifreigaben für alle Plattformen bereit und meldest Webanwendungen über LDAP gegen das Verzeichnis an. Du sorgst dafür, dass Namensauflösung, Zeit und Zertifikate überall stimmen, und sammelst die Logs aller Systeme an einem Ort.

Das sind die Fähigkeiten, die am Ende des Moduls sitzen sollten. Jedes Ziel mit einem Beispiel aus dem Lehrbetrieb.

1. 1

   Linux-Server an das Active Directory anbinden

   Kompetenz B

   Du nimmst einen Linux-Server in die Domäne auf, sodass sich Benutzer mit ihrem AD-Konto per SSH anmelden. Wer Admin-Rechte bekommt, steuerst du über eine AD-Gruppe statt über lokale Konten.

   Situation

   Die Grafikagentur Pixelwerk in Bern hat ein AD (ad.pixelwerk.ch) und drei Ubuntu-Server mit lokalen Konten. Bei Austritten vergisst man regelmässig, die Linux-Konten zu löschen.

   Deine Aufgabe

   Binde die Ubuntu-Server ans AD an und regle die sudo-Rechte zentral.

   Gutes Ergebnis

   Mit realmd und SSSD per 'realm join ad.pixelwerk.ch' aufgenommen. Anmeldung als 'anna.meier' funktioniert, Home-Verzeichnis wird automatisch erstellt. SSH nur für die AD-Gruppe 'GG_Linux_User', sudo für 'GG_Linux_Admins' in /etc/sudoers.d. Mit access_provider = ad kann sich ein deaktiviertes AD-Konto sofort nicht mehr anmelden, auch nicht per SSH-Schlüssel.

   realmdSSSDKerberos-Keytabsudo per Gruppepam_mkhomedir
2. 2

   Dateifreigaben für Windows, macOS und Linux bereitstellen

   Kompetenz C

   Du stellst eine Freigabe so bereit, dass alle Plattformen mit ihrem AD-Konto darauf zugreifen und die Rechte überall gleich gelten. Du kennst die Unterschiede zwischen SMB und NFS und weisst, wann welches passt.

   Situation

   Die Grafikabteilung arbeitet auf Macs, die Projektleitung auf Windows, und ein Linux-Renderserver muss Projektdateien lesen. Bisher werden Dateien per USB-Stick getauscht.

   Deine Aufgabe

   Stelle eine gemeinsame Projektfreigabe bereit.

   Gutes Ergebnis

   Samba als AD-Mitgliedsserver mit Freigabe 'projekte', Rechte über die Gruppen DL_Projekte_RW und DL_Projekte_R. Für die Macs ist das Modul vfs_fruit aktiv, damit Finder-Metadaten sauber gespeichert werden. Die Macs verbinden smb://fs02.ad.pixelwerk.ch/projekte, der Renderserver hängt die Freigabe mit cifs und Kerberos-Anmeldung per /etc/fstab ein.

   SMB 3NFSSamba-MitgliedsserverID-Mappingvfs_fruitPOSIX- vs. NTFS-ACL
3. 3

   Webanwendungen über LDAP an das Verzeichnis anbinden

   Kompetenz D

   Viele Anwendungen wie Nextcloud, Grafana oder GitLab können Benutzer gegen das AD prüfen. Du richtest dafür ein Dienstkonto mit minimalen Rechten ein, verbindest verschlüsselt über LDAPS und filterst, wer sich anmelden darf.

   Situation

   Pixelwerk betreibt Nextcloud für den Datenaustausch mit Kunden. Mitarbeitende haben dort eigene Passwörter, die niemand pflegt.

   Deine Aufgabe

   Stelle die Nextcloud-Anmeldung auf AD-Konten um.

   Gutes Ergebnis

   Dienstkonto 'svc-nextcloud-ldap' mit nur Leserechten. Verbindung über ldaps://ad.pixelwerk.ch:636. Benutzerfilter auf Mitglieder von GG_Nextcloud. Gruppen werden synchronisiert, sodass Ordner in Nextcloud per AD-Gruppe freigegeben werden können.

   LDAP-BindDienstkontoBase-DNLDAP-FilterLDAPS (Port 636)
4. 4

   Interne Zertifikate ausstellen und auf allen Plattformen vertrauenswürdig machen

   Kompetenz E

   Interne Dienste sollen verschlüsselt erreichbar sein, ohne Warnmeldungen im Browser. Du stellst Zertifikate über eine interne Zertifizierungsstelle aus und verteilst das Stammzertifikat auf Windows, Linux und macOS.

   Situation

   Beim Aufruf von https://wiki.ad.pixelwerk.ch erscheint auf allen Geräten eine Zertifikatswarnung. Die Mitarbeitenden klicken sie einfach weg.

   Deine Aufgabe

   Sorge für gültige Zertifikate und verteile das Vertrauen.

   Gutes Ergebnis

   AD CS als Enterprise-CA. Das Wiki erhält ein Zertifikat mit SAN wiki.ad.pixelwerk.ch, gültig 1 Jahr. Windows-Clients bekommen das Stammzertifikat per GPO, Linux-Server per /usr/local/share/ca-certificates und 'update-ca-certificates', Macs über ein Konfigurationsprofil im MDM. Keine Warnungen mehr.

   Zertifizierungsstelle (CA)StammzertifikatSANZertifikatsketteAblaufdatum
5. 5

   Namensauflösung und Zeitsynchronisation plattformübergreifend sicherstellen

   Kompetenz A

   Kerberos, Zertifikate und Logs funktionieren nur, wenn alle Systeme dieselben Namen auflösen und dieselbe Zeit haben. Du konfigurierst DNS und NTP auf Linux und macOS so, dass sie sich am AD orientieren.

   Situation

   Ein Linux-Server verliert jeden Morgen die Anmeldung am AD. Im Log steht 'Clock skew too great'.

   Deine Aufgabe

   Finde die Ursache und behebe sie dauerhaft.

   Gutes Ergebnis

   'timedatectl' zeigt, dass kein NTP aktiv ist, die Uhr läuft 7 Minuten vor. chrony wird installiert und auf die beiden DCs (10.30.0.11 und .12) gerichtet. In /etc/systemd/resolved.conf sind die DCs als DNS und ad.pixelwerk.ch als Suchdomäne gesetzt. Die Anmeldung bleibt stabil.

   NTP / chronysystemd-resolvedSuchdomäneKerberos-ZeittoleranzSRV-Einträge
6. 6

   Logs aller Plattformen zentral sammeln und auswerten

   Kompetenz F

   Statt auf jedem Server einzeln zu suchen, sendest du Windows-Ereignisse und Linux-Logs an eine zentrale Stelle. Dort suchst du über alle Systeme hinweg und richtest Meldungen für wichtige Ereignisse ein.

   Situation

   Nach einem verdächtigen Login-Versuch muss man bei Pixelwerk auf 6 Servern einzeln nachsehen, was passiert ist.

   Deine Aufgabe

   Richte ein zentrales Logging ein.

   Gutes Ergebnis

   Graylog auf einer Ubuntu-VM. Linux-Server senden per rsyslog über TCP mit TLS, die Windows-Server per NXLog die Sicherheitsereignisse. Eine Suche nach dem Benutzernamen zeigt alle Anmeldeversuche auf allen Systemen. Bei mehr als 10 fehlgeschlagenen Logins in 5 Minuten geht eine Mail an den Support.

   SyslogrsyslogWindows-EreignisweiterleitungLog-AufbewahrungKorrelation

Die Kompetenzmatrix zerlegt das Modul in Themenstränge und drei Stufen. Für den Kompetenznachweis solltest du überall mindestens Stufe 2 erreichen. Dein Stand bleibt in diesem Browser gespeichert und färbt Lernweg und Übungen ein.

Gian ist im 3. Lehrjahr als Informatiker Plattformentwicklung in der Informatik der Geoplan Vermessung AG in Frauenfeld, 65 Mitarbeitende. Die Firma hat ein Windows-AD, vier Linux-Server für GIS-Berechnungen, Macs in der Kartografie und ein selbst betriebenes Grafana für ihre Messstationen. Überall gibt es eigene Konten und Passwörter, und Gian soll alles an das AD anbinden.

1. Kapitel 1

   Die Uhr geht falsch

   Der erste Versuch, den Server gis01 in die Domäne aufzunehmen, scheitert mit der Meldung Clock skew too great. Gian stellt fest, dass der Server nach dem Zurücksetzen eines Snapshots 6 Minuten vorgeht und seine Zeit aus dem Internet statt vom AD holt. Er stellt chrony auf die beiden DCs um und trägt sie auch als DNS-Server ein. Danach liefert dig den SRV-Eintrag _ldap._tcp der Domäne, und der Beitritt funktioniert.

   Ziel 5

2. Kapitel 2

   Schluss mit lokalen Konten

   Gian nimmt alle vier GIS-Server mit realm join auf und konfiguriert SSSD so, dass sich nur Mitglieder der Gruppe GG-Linux-Login per SSH anmelden können. Wer in GG-Linux-Admins ist, erhält sudo-Rechte über eine einzige Zeile in sudoers. Beim Aufräumen findet er zwei lokale Konten von Personen, die längst ausgetreten sind, und löscht sie. Mit sssctl prüft er, dass eine Anmeldung auch dann klappt, wenn ein DC neu startet.

   Ziel 1

3. Kapitel 3

   Ein Projektordner für alle

   Für die gemeinsamen Projektdaten richtet Gian einen Samba-Fileserver als Domänenmitglied ein. Die Rechte vergibt er über AD-Gruppen, sodass sie auf Windows, Mac und Linux gleich gelten. Die Kartografie beschwert sich über Dateien mit ._ am Anfang und verlorene Farbmarkierungen. Gian aktiviert das Samba-Modul vfs_fruit für macOS-Metadaten, und die Probleme verschwinden.

   Ziel 2

4. Kapitel 4

   Grafana ohne Warnmeldung

   Grafana soll Benutzer gegen das AD prüfen. Gian legt das Dienstkonto svc-grafana-ldap mit reinen Leserechten an und beschränkt die Anmeldung auf die Gruppe GG-Grafana-User. Die LDAPS-Verbindung bricht mit certificate verify failed ab, weil der Linux-Server die interne CA nicht kennt. Gian verteilt das Stammzertifikat auf Linux, per GPO auf Windows und per Profil auf die Macs und stellt für grafana.ad.geoplan.ch ein Zertifikat mit passendem SAN aus. Eine Endung wie .local vermeidet er, weil Macs diese per Bonjour auflösen.

   Ziel 3Ziel 4

5. Kapitel 5

   312 Fehlanmeldungen in der Nacht

   Seit alle Logs in Graylog landen, sieht Gian an einem Morgen 312 fehlgeschlagene SSH-Anmeldungen auf gis03 innerhalb von 10 Minuten. Auf dem Domain Controller findet er zur gleichen Zeit Ereignis 4771 (Kerberos-Vorauthentifizierung fehlgeschlagen) und schliesslich 4740 (Konto gesperrt) für dasselbe Konto. Die Spur führt zu einem vergessenen Skript, das noch mit einem alten Passwort Messdaten abholen wollte. Gian stellt das Skript auf ein Dienstkonto um und richtet einen Alarm für mehr als 20 Fehlanmeldungen in 5 Minuten ein.

   Ziel 6

1. 1

   Labor mit gemischter Umgebung

   ca. 4 Std.

   Du erweiterst dein AD-Labor um Linux-Server und, falls vorhanden, einen Mac.

   • Zwei Ubuntu-Server-VMs ins Labor-Netz mit dem AD stellen
   • DNS und NTP auf den Linux-Servern auf die DCs ausrichten und mit 'dig' und 'chronyc sources' prüfen
   • Eine Übersicht zeichnen: welches System bietet welchen Dienst für wen

   Trainiert Kompetenz A1A2

   Lernziel5

2. 2

   Linux im AD

   ca. 6 Std.

   Du nimmst Linux-Server in die Domäne auf und regelst Anmeldung und sudo über AD-Gruppen.

   • realm discover und realm join ausführen und den Ablauf in eigenen Worten notieren
   • SSH-Zugriff auf eine AD-Gruppe einschränken und sudo per Gruppe vergeben
   • Ein AD-Konto sperren und testen, ob der Linux-Login sofort verweigert wird

   Trainiert Kompetenz B1B2

   Lernziel1

3. 3

   Gemeinsame Dateien

   ca. 6 Std.

   Du baust einen Samba-Fileserver als Domänenmitglied und greifst von allen Plattformen darauf zu.

   • Samba als Mitgliedsserver mit winbind einrichten (SSSD für die übrigen Linux-Server)
   • Freigabe mit AD-Gruppenrechten erstellen und von Windows, Linux und (falls möglich) macOS testen
   • Zum Vergleich eine NFS-Freigabe einrichten und Unterschiede notieren

   Trainiert Kompetenz C1C2

   Lernziel2

4. 4

   Anwendungen an das Verzeichnis anbinden

   ca. 5 Std.

   Du verbindest eine Webanwendung über LDAPS mit dem AD.

   • Nextcloud oder Grafana per Docker starten
   • Dienstkonto anlegen, LDAP-Verbindung mit Filter auf eine Gruppe konfigurieren
   • Mit ldapsearch die Abfrage von der Kommandozeile nachvollziehen

   Trainiert Kompetenz D1D2

   Lernziel3

5. 5

   Vertrauen und Verschlüsselung

   ca. 5 Std.

   Du baust eine interne CA auf und verteilst Zertifikate an alle Plattformen.

   • AD CS installieren und eine Zertifikatsvorlage für Webserver erstellen
   • Ein Zertifikat für einen Linux-Webserver ausstellen und in nginx einbinden
   • Das Stammzertifikat per GPO auf Windows und per update-ca-certificates auf Linux verteilen

   Trainiert Kompetenz E1E2D3

   Lernziel43

6. 6

   Alles im Blick: zentrales Logging

   ca. 5 Std.

   Du sammelst Logs aller Systeme zentral und spielst einen Sicherheitsvorfall durch.

   • Graylog per Docker starten und Linux- sowie Windows-Logs einliefern
   • Zehn fehlerhafte SSH-Logins erzeugen und den Vorfall in Graylog nachverfolgen
   • Eine Betriebsdokumentation der gesamten gemischten Umgebung schreiben

   Trainiert Kompetenz F1F2F3B3

   Lernziel61

SSSD

Linux-Dienst, der Benutzer und Gruppen aus einem Verzeichnis wie dem AD bereitstellt und Anmeldungen prüft.

realmd

Werkzeug, das den Beitritt eines Linux-Systems zu einer AD-Domäne vereinfacht.

Samba

Software, mit der Linux SMB-Freigaben anbietet und Mitglied einer AD-Domäne sein kann.

NFS

Protokoll für Dateifreigaben, vor allem zwischen Linux- und Unix-Systemen.

Keytab

Datei mit Kerberos-Schlüsseln, mit der sich ein Dienst oder Rechner ohne Passworteingabe anmelden kann.

LDAPS

LDAP über eine mit TLS verschlüsselte Verbindung, standardmässig Port 636.

Zertifizierungsstelle (CA)

Instanz, die Zertifikate ausstellt und signiert. Wer ihrem Stammzertifikat vertraut, vertraut auch den ausgestellten Zertifikaten.

chrony

Linux-Dienst zur Zeitsynchronisation über NTP.

Syslog

Standard zum Übertragen von Log-Meldungen an einen zentralen Server.

Passende Module