Introducción

Puede configurar IBM Spectrum Symphony para utilizar el servidor Active Directory (AD) como servicio de directorio principal para la autenticación de usuarios. El documento describe los procedimientos paso a paso para instalar y configurar Active Directory y DNS Server en Windows Server 2019 mediante PowerShell. Además, cubre el proceso de conectar el nodo Symphony Cluster basado en el sistema operativo RHEL 8.4 directamente a AD utilizando Samba Winbind, para garantizar la compatibilidad de cifrado, y unirlo a un dominio Active Directory.

El propósito de esta documentación es permitir a los administradores del sistema configurar sin problemas IBM Spectrum Symphony con Active Directory para la autenticación de usuarios, lo que permite una gestión eficiente de usuarios y control de acceso.

Requisitos previos generales

Antes de continuar con el proceso de configuración, asegúrese de que se cumplen los requisitos previos:

1. Para instalar y configurar Active Directory y el servidor DNS:
   • Una máquina Windows Server 2019 con privilegios administrativos.
   • Familiaridad básica con los mandatos PowerShell y la gestión de Windows Server.
2. Para conectar sistemas RHEL directamente a AD utilizando Samba Winbind:
   • Un sistema RHEL capaz de ejecutar Samba Winbind.
   • Familiaridad con la interfaz de línea de mandatos RHEL y la configuración del sistema.
   • Acceda al dominio de Active Directory y a los permisos adecuados para unirse al dominio.

Requisitos previos de red

Antes de continuar con la configuración de IBM Storage Scale para utilizar Active Directory y conectar sistemas RHEL a AD, asegúrese de que se cumplen los siguientes requisitos previos de red:

1. Conectividad de red: necesita una conectividad de red estable y fiable entre la máquina de Windows Server 2019 (donde están instalados Active Directory y DNS) y los sistemas RHEL que están unidos al dominio. Verifique que no haya ningún problema de comunicación de red o cortafuegos configurado que bloquee los puertos esenciales.

2. Reglas de cortafuegos: Revise y actualice las reglas de cortafuegos para permitir la comunicación necesaria entre la máquina de Windows Server 2019, los sistemas RHEL y los controladores de dominio. Los puertos clave que se utilizan para la comunicación AD incluyen TCP/UDP 53 (DNS), TCP/UDP 88 (Kerberos), TCP 135 (RPC), TCP/UDP 389 (LDAP), TCP/UDP 445 (SMB) y TCP/UDP 636 (LDAPS).

3. Accesibilidad del controlador de dominio: Confirme que los sistemas RHEL pueden alcanzar los controladores de dominio de Active Directory sin problemas de conectividad. Utilice herramientas como "ping" o "nslookup" para verificar la capacidad de resolver el nombre de host y la dirección IP del controlador de dominio desde los sistemas RHEL.

4. Sincronización de tiempo: Asegúrese de que todos los sistemas que participan en el dominio de Active Directory, incluidos la máquina Windows Server 2019 y los sistemas RHEL, tengan sus relojes sincronizados con un origen de tiempo fiable. La sincronización de tiempo es crítica para la autenticación adecuada y la validación de tíquets de Kerberos.

5. Configuración de DNS de dominio: el dominio de Active Directory debe tener configurados correctamente los valores de DNS. La dirección IP del controlador de dominio debe establecerse como el servidor DNS primario en todos los sistemas (incluidos la máquina Windows Server 2019 y los sistemas RHEL) que forman parte del dominio AD.

6. Resolución de DNS: Verifique que las resoluciones de DNS de reenvío y de reenvío estén funcionando correctamente. El nombre de host del controlador de dominio debe poder resolverse desde la máquina Windows Server 2019 y los sistemas RHEL, y el nombre de host de la máquina Windows Server 2019 debe poder resolverse desde los sistemas RHEL.

7. Nombre de dominio DNS Asegúrese de que el nombre de dominio DNS de Active Directory coincide con el nombre de dominio que se utiliza durante el proceso de configuración. En este caso, el nombre de dominio "POCDOMAIN.LOCAL" utilizado para Active Directory debe ser coherente en toda la configuración.

8. Cuenta de usuario de Active Directory con privilegios administrativos: Asegúrese de que una cuenta de usuario de Active Directory con privilegios administrativos esté disponible para su uso durante el proceso de configuración. Esta cuenta se utiliza para promocionar la máquina de Windows Server 2019 como controlador de dominio y para unir los sistemas RHEL al dominio AD.

Paso 1-Instalación y configuración de Active Directory y el servidor DNS en Windows Server 2019 utilizando PowerShell

1. Abra PowerShell con privilegios administrativos:

   a. Presione las teclas "Windows + X" en su teclado para acceder al menú de usuario de energía.

   b. En la lista, elija "Windows PowerShell (Admin)" para iniciar una sesión de PowerShell elevada con privilegios administrativos.

2. Instale el rol de servicios de dominio de Active Directory y el rol de servidor DNS ejecutando estos mandatos de PowerShell:

   powershell code
   # Install the Active Directory Domain Services Role and DNS Server Role
    Install-WindowsFeature -Name AD-Domain-Services, DNS -IncludeManagementTools
   

3. Promocione el servidor a un controlador de dominio con DNS integrado ejecutando estos mandatos PowerShell:

   powershell code
   # Set the required parameters
   $DomainName = "POCDOMAIN.LOCAL"
   $SafeModePassword = ConvertTo-SecureString -AsPlainText "MySecureDSRMpwd2023!" -Force
   
   # Configure and promote the server as a domain controller with integrated DNS
   Install-ADDSForest -DomainName $DomainName -SafeModeAdministratorPassword  $SafeModePassword -DomainMode Win2019 -ForestMode Win2019 -InstallDNS
   

   Valores de ejemplo:

   • Nombre de dominio: POCDOMAIN.LOCAL
   • Contraseña de DSRM: MySecureDSRMpwd2023!

   Al ejecutar los mandatos PowerShell, los roles de Servicios de dominio y Servidor DNS de Active Directory se instalan y configuran en el servidor.

   El servidor se reinicia automáticamente para completar el proceso de promoción del controlador de dominio.

4. Una vez reiniciado el servidor, inicie sesión utilizando la cuenta de administrador de dominio que ha creado durante el proceso de promoción para verificar Active Directory y la configuración de DNS.

Paso 2-Creación de un grupo de usuarios y usuarios en Active Directory para los usuarios que acceden al clúster de Symphony

Cree un grupo de usuarios denominado "Symphony-group" y un usuario denominado "Symphonyuser01" en el dominio de Active Directory "pocdomain.local" utilizando la herramienta de gestión Active Directory Users and Computers (ADUC) en un servidor Windows:

La creación de grupos de usuarios y usuarios en el dominio "pocdomain.local" Active Directory requiere privilegios administrativos dentro de dicho dominio. Asegúrese de que tiene los permisos necesarios para crear grupos y usuarios. Además, establezca siempre contraseñas seguras y siga las recomendaciones de seguridad cuando cree cuentas de usuario y grupos en Active Directory para mantener un entorno de red seguro.

1. Abra Active Directory Usuarios y equipos:

   a. Inicie sesión en Windows Server con privilegios administrativos.

   b. Pulse Iniciar y busque "Usuarios y sistemas deActive Directory ".

   c. Inicie la consola de gestión de "Usuarios y sistemas deActive Directory ".

2. Crear un Grupo de Usuarios Grupo-Symphony:

   a. En la consola de ADUC, vaya a la unidad organizativa (OU) dentro del dominio "pocdomain.local" donde desea crear el grupo de usuarios.

   b. Pulse con el botón derecho del ratón en la unidad organizativa y seleccione Nuevo y, a continuación, Grupo.

   c. En el cuadro de diálogo Nuevo grupo de objetos, especifique Symphony-group como nombre de grupo.

   d. Elija el ámbito de grupo (por ejemplo, Global) y el tipo de grupo (por ejemplo, Seguridad).

   e. Haga clic en Aceptar para crear el grupo de usuarios Grupo-Symphony.

3. Crear un usuario Symphonyuser01:

   a. En la consola de ADUC, vaya a la misma unidad organizativa (OU) o a otra distinta dentro del dominio "pocdomain.local" donde desea crear el usuario "Symphonyuser01."

   b. Pulse con el botón derecho del ratón en la unidad organizativa y seleccione Nuevo y, a continuación, Usuario.

   c. En el recuadro de diálogo Nuevo objeto-Usuario, especifique la información necesaria para el nuevo usuario *symphonyuser01:

   • Nombre completo: especifique el nombre completo del usuario (por ejemplo, LSF User 01).

   • Nombre de inicio de sesión de usuario: especifique el nombre de inicio de sesión del usuario (por ejemplo, Symphonyser01).

   • Nombre principal de usuario (UPN): el UPN se genera automáticamente basándose en el nombre de inicio de sesión del usuario y el nombre de dominio (por ejemplo, Symphonyuser01@pocdomain.local).

   • Contraseña: establezca una contraseña segura para la cuenta de usuario y elija si el usuario debe cambiar la contraseña en el primer inicio de sesión.

   • El usuario no puede cambiar la contraseña: seleccione esta opción si desea impedir que el usuario cambie su contraseña.

   • La contraseña nunca caduca: seleccione esta opción si desea que la contraseña del usuario nunca caduque.

   • La cuenta está inhabilitada: de forma predeterminada, la cuenta está habilitada. Si desea crear la cuenta de usuario en un estado inhabilitado, desmarque esta opción.

   d. Pulse Siguiente para continuar con los pasos adicionales del asistente.

   e. Revise la información especificada y pulse Finalizar para crear el nuevo usuario "Symphonyuser01."

4. Añada "Symphonyuser01" al grupo de usuarios "Symphony-group":

   a. En la consola de ADUC, localice el grupo de usuarios Symphony-group que ha creado anteriormente.

   b. Pulse con el botón derecho del ratón en el grupo de usuarios Symphony-group y seleccione Propiedades. c. En el cuadro de diálogo Propiedades, vaya a la pestaña Miembros.

   d. Pulse Añadir y, a continuación, especifique Symphonyuser01 en el campo Especifique los nombres de objeto que desea seleccionar.

   e. Pulse Comprobar nombres para validar el nombre de usuario.

   f. Pulse Aceptar para añadir "Symphonyuser01" al grupo de usuarios "Symphony-group".

   g. Pulse Aplicar y, a continuación, Aceptar para guardar los cambios.

Paso 3-Integración del clúster Symphony que se ejecuta en sistemas basados en RHEL 8.4 directamente en AD utilizando Samba Winbind

[plugins]
localauth = {
module = winbind:/usr/lib64/samba/krb5/winbind_krb5_localauth.so
enable_only = winbind
}

#systemctl status winbind
[root@amit-rhel84 ~]# systemctl status winbind
winbind.service - Samba Winbind Daemon
Loaded: loaded (/usr/lib/systemd/system/winbind.service; enabled; vendor preset: disabled)
Active: active (running) since Wed 2023-08-09 08:16:16 EDT; 1h 42min ago
Docs: man:winbindd(8)
  man:samba(7)
  man:smb.conf(5)
Main PID: 4889 (winbindd)
Status: "winbindd: ready to serve connections..."
Tasks: 5 (limit: 49264)
Memory: 10.9M
CGroup: /system.slice/winbind.service
       ├─4889 /usr/sbin/winbindd --foreground --no-process-group
       ├─4893 /usr/sbin/winbindd --foreground --no-process-group
       ├─4894 /usr/sbin/winbindd --foreground --no-process-group
       ├─4924 /usr/sbin/winbindd --foreground --no-process-group
       └─5997 /usr/sbin/winbindd --foreground --no-process-group

Paso 4-Configuración de la configuración en el lado del clúster de Symphony

A continuación se indican los pasos para configurar Kerberos en Linux Hosts para IBM Spectrum Symphony Integración con Active Directory:

1. Concluir el clúster

   Inicie sesión en cualquier host de gestión del clúster utilizando las credenciales de administrador del clúster.

   #Example
   egosh user logon –u Admin –x Admin
   

   Ejecute los mandatos siguientes para concluir correctamente el clúster:

   #Example
   soamcontrol app disable all
   egosh service stop all
   egosh ego shutdown all
   

2. Modificar configuración de seguridad en hosts de gestión: En cada host de gestión, edite el archivo $EGO_CONFDIR/ego.conf.

   Establezca EGO_SEC_PLUGIN en "sec_ego_gsskrb."

   #Example
   EGO_SEC_PLUGIN=sec_ego_gsskrb
   

   Establezca EGO_SEC_CONF para especificar la configuración del plug-in:

   #Example
   EGO_SEC_CONF="/EGOShare/kernel/conf,600,ERROR,/opt/EGO/kernel/log"
   

   Establezca EGO_SEC_KRB_SERVICENAME en el principal de Kerberos para el servidor de autenticación:

   #Example
   EGO_SEC_KRB_SERVICENAME=symphonyuser03
   

   Cree o modifique el archivo $EGO_CONFDIR/sec_ego_gsskrb.conf con los parámetros proporcionados:

   #Example
   REALM=POCDomain.local
   KRB5_KTNAME=/etc/krb5.keytab
   KERBEROS_ADMIN=egoadmin
   

   KRB5_KTNAME=/etc/krb5.keytab El parámetro KRB5_KTNAME designa la vía de acceso absoluta al archivo de tabla de claves. Este archivo contiene claves para el principal de servicio utilizado en la autenticación Kerberos. Aquí, la vía de acceso se establece en "/etc/krb5.keytab", asegurándose de que se recuperen las claves necesarias para la autenticación.

   KERBEROS_ADMIN=egoadmin El parámetro KERBEROS_ADMIN especifica el principal de Kerberos que se correlaciona con el nombre de usuario del administrador del clúster incorporado (Admin). En esta configuración, se establece en "hpcegoadmin" Esta entidad de seguridad es importante para las tareas administrativas dentro del clúster IBM Spectrum Symphony y se utiliza para autenticarse como administrador del clúster.

3. Aplicar configuración a hosts de cálculo y cliente.

   Repita los pasos de modificación en los hosts de cálculo y cliente, ajustando las configuraciones en sus respectivos archivos $EGO_CONFDIR/ego.conf y $EGO_CONFDIR/sec_ego_gsskrb.conf.

4. Inicie el clúster y habilite las aplicaciones.

   Una vez que se hayan aplicado las configuraciones en los hosts, inicie el clúster y habilite las aplicaciones utilizando los mandatos siguientes:

   #Example
   egosh ego start
   soamcontrol app enable appName
   

5. Inicie sesión en el host de gestión de clúster.

   Desde un host de gestión en el dominio POCDomain.local, inicie sesión como usuario administrador utilizando la línea de mandatos egosh. Especifique la contraseña del principal de Kerberos definido en el parámetro KERBEROS_ADMIN.

   #Example
   egosh user logon –u Admin –x passwordegoadmin
   

6. Añadir usuarios de AD (si es necesario)

   Si el parámetro ENABLE_AD_USERS_MANAGE del archivo $EGO_CONFDIR/sec_ego_gsskrb.conf de los hosts de administración Linux se estableció en 'N', utilice el comando egosh user add para agregar usuarios de AD a IBM Spectrum Symphony. Proporcione cualquier serie aleatoria como contraseña; no se utilizará para el inicio de sesión del usuario.

   #Example egosh user add –u ad1tester –x 111
   

7. Asignar roles a usuarios

   Asigne roles a las cuentas de usuario utilizando el mandato egosh user assignrole. Por ejemplo, para asignar el rol de administrador de consumidor a ad1tester y ad2tester:

   #Example
   egosh user assignrole –u ad1tester –r CONSUMER_ADMIN –p /SymTesting/Symping73.2
   

8. Iniciar sesión como usuario de AD

   Inicie sesión como usuario AD utilizando la línea de mandatos egosh. Por ejemplo, para iniciar sesión como ad1tester:

   #Example
   egosh user logon –u ad1tester –x passwordad1tester
   

Conclusión

Esta guía es un recurso vital para los administradores de sistemas que deseen integrar a la perfección IBM Spectrum Symphony con Active Directory dentro del entorno IBM Cloud. Al abordar los requisitos previos y ofrecer instrucciones paso a paso, garantiza la preparación tanto para Active Directory como para los sistemas RHEL desplegados en IBM Virtual Servers. Desde la instalación de Active Directory en Windows Server 2019 hasta la configuración de la autenticación Kerberos, la guía proporciona a los administradores una referencia fiable para lograr una gestión de usuarios y un control de acceso eficientes para IBM Spectrum Symphony dentro de la infraestructura IBM Cloud.