Introdução

Você pode configurar o IBM Spectrum Symphony para usar o servidor Active Directory (AD) como o serviço de diretório principal para autenticação de usuário. O documento descreve os procedimentos passo a passo para instalar e configurar o Active Directory e o DNS Server no Windows Server 2019 usando o PowerShell. Além disso, ele aborda o processo de conexão do nó do Symphony Cluster baseado no sistema operacional RHEL 8.4 diretamente ao AD usando o Samba Winbind, para garantir a compatibilidade da criptografia, e unindo-o a um domínio Active Directory.

O objetivo desta documentação é permitir que os administradores de sistemas configurem perfeitamente o IBM Spectrum Symphony com o Active Directory para autenticação de usuários, permitindo o gerenciamento eficiente de usuários e o controle de acesso.

Pré-requisitos gerais

Antes de continuar com o processo de configuração, assegure-se de que os pré-requisitos sejam atendidos:

1. Para Instalar e Configurar o Active Directory e o Servidor DNS:
   • Uma máquina do Windows Server 2019 com privilégios administrativos.
   • Familiaridade básica com comandos do PowerShell e gerenciamento do Windows Server.
2. Para conectar sistemas RHEL diretamente ao AD usando o Winbind do Samba:
   • Um sistema RHEL capaz de executar Samba Winbind.
   • Familiaridade com a interface da linha de comandos do RHEL e a configuração do sistema
   • Acesso ao domínio Active Directory e permissões apropriadas para associar o domínio.

Pré-requisitos de rede.

Antes de continuar com a configuração do IBM Storage Scale para usar o Active Directory e conectar sistemas RHEL ao AD, assegure-se de que os pré-requisitos de rede a seguir sejam atendidos:

1. Conectividade de rede: é necessária uma conectividade de rede estável e confiável entre a máquina do Windows Server 2019 (em que o Active Directory e o DNS estão instalados) e os sistemas RHEL que são unidos ao domínio. Verifique se nenhum problema de comunicação de rede ou firewall está configurado para bloquear portas essenciais.

2. Regras de firewall: revise e atualize as regras de firewall para permitir a comunicação necessária entre a máquina do Windows Server 2019, os sistemas RHEL e os controladores de domínio. As principais portas que são usadas para comunicação do AD incluem TCP/UDP 53 (DNS), TCP/UDP 88 (Kerberos), TCP 135 (RPC), TCP/UDP 389 (LDAP), TCP/UDP 445 (SMB) e TCP/UDP 636 (LDAPS).

3. Alcance do controlador de domínio: Confirme se os sistemas RHEL podem atingir os controladores de domínio do Active Directory sem quaisquer problemas de conectividade... Use ferramentas como "ping" ou "nslookup" para verificar a capacidade de resolver o nome do host e o endereço IP do controlador de domínio dos sistemas RHEL.

4. Sincronização de horário: assegure-se de que todos os sistemas que estão participando do domínio do Active Directory, incluindo a máquina Windows Server 2019 e os sistemas RHEL, tenham seus relógios sincronizados com uma origem de tempo confiável. A sincronização de tempo é crítica para autenticação adequada e validação de chamado do Kerberos.

5. Configuração de DNS do Domínio: O domínio do Active Directory deve ter definições de DNS corretamente. O endereço IP do controlador de domínio deve ser configurado como o servidor DNS primário em todos os sistemas (incluindo a máquina Windows Server 2019 e os sistemas RHEL) que fazem parte do domínio AD.

6. Resolução de DNS: Verifique se as resoluções de DNS de encaminhamento e reverso estão funcionando corretamente. O nome do host do controlador de domínio deve ser resolvido a partir da máquina do Windows Server 2019 e dos sistemas RHEL e o nome do host da máquina do Windows Server 2019 deve ser resolvido a partir dos sistemas RHEL.

7. Nome do domínio DNS Assegure-se de que o nome do domínio DNS do Active Directory corresponda ao nome de domínio usado durante o processo de configuração. Nesse caso, o nome de domínio "POCDOMAIN.LOCAL" usado para o Active Directory deve ser consistente em toda a configuração.

8. Conta do usuário doActive Directory com privilégios administrativos: Assegure-se de que uma conta do usuário do Active Directory com privilégios administrativos esteja disponível para ser usada durante o processo de configuração. Essa conta é usada para promover a máquina Windows Server 2019 como um controlador de domínio e para associar os sistemas RHEL ao domínio AD.

Etapa 1-Instalando e configurando o Active Directory e o servidor DNS no Windows Server 2019 usando PowerShell

1. Abra o PowerShell com privilégios administrativos:

   a. Pressione as teclas "Windows + X" no teclado para acessar o menu Power User.

   b. Na lista, escolha "Windows PowerShell (Admin)" para iniciar uma sessão elevada do PowerShell com privilégios administrativos.

2. Instale a Função de Serviços de Domínio do Active Directory e a Função de Servidor DNS executando estes comandos PowerShell:

   powershell code
   # Install the Active Directory Domain Services Role and DNS Server Role
    Install-WindowsFeature -Name AD-Domain-Services, DNS -IncludeManagementTools
   

3. Promova o Servidor para um Controlador de Domínio com DNS Integrado executando estes comandos PowerShell:

   powershell code
   # Set the required parameters
   $DomainName = "POCDOMAIN.LOCAL"
   $SafeModePassword = ConvertTo-SecureString -AsPlainText "MySecureDSRMpwd2023!" -Force
   
   # Configure and promote the server as a domain controller with integrated DNS
   Install-ADDSForest -DomainName $DomainName -SafeModeAdministratorPassword  $SafeModePassword -DomainMode Win2019 -ForestMode Win2019 -InstallDNS
   

   Valores de exemplo:

   • Nome de domínio: POCDOMAIN.LOCAL
   • Senha do DSRM: MySecureDSRMpwd2023!

   Ao executar os comandos do PowerShell, as funções do Active Directory Domain Services e DNS Server são instaladas e configuradas no servidor.

   O servidor é reiniciado automaticamente para concluir o processo de promoção do controlador de domínio

4. Depois que o servidor for reiniciado, efetue login usando a conta do administrador de domínio que você criou durante o processo de promoção para verificar o Active Directory e a Configuração de DNS

Etapa 2-Criando um grupo de usuários e usuários no Active Directory para usuários que acessam o cluster Symphony

Crie um grupo de usuários denominado "Symphony-group" e um usuário denominado "Symphonyuser01" no domínio do Active Directory "pocdomain.local" usando a ferramenta de gerenciamento Active Directory Users and Computers (ADUC) em um Windows Server:

Criar grupos de usuários e usuários no domínio "pocdomain.local" Active Directory requer privilégios administrativos dentro desse domínio. Assegure-se de ter as permissões necessárias para criar grupos e usuários. Além disso, sempre configure senhas fortes e siga as melhores práticas de segurança ao criar contas e grupos de usuários no Active Directory para manter um ambiente de rede seguro..

1. Abra Active Directory Users and Computers:

   a. Efetue login no Windows Server com privilégios administrativos..

   b. Clique em Iniciar e procure "Usuários e Computadores doActive Directory."

   c. Inicie o console de gerenciamento " Usuários e Computadores doActive Directory.

2. Crie um grupo de usuários Symphony-group:

   a. No console do ADUC, navegue para a Unidade organizacional (OU) dentro do domínio "pocdomain.local" no qual você deseja criar o grupo de usuários.

   b. Clique com o botão direito na OU e selecione Novo e, em seguida, Grupo.

   c. Na caixa de diálogo Novo Grupo de Objetos, insira Symphony-group como o nome do Grupo.

   d. Escolha o escopo do Grupo (por exemplo, Global) e o tipo do Grupo (por exemplo, Segurança)

   e. Clique em OK para criar o grupo de usuários Symphony-group.

3. Crie um usuário Symphonyuser01:

   a. No console do ADUC, navegue para a mesma ou uma Unidade Organizacional (OU) diferente dentro do domínio "pocdomain.local" no qual você deseja criar o usuário "Symphonyuser01."

   b. Clique com o botão direito na OU e selecione Novo e, em seguida, Usuário.

   c. Na caixa de diálogo Novo Objeto-Usuário, insira as informações necessárias para o novo usuário *symphonyuser01:

   • Nome completo: Insira o nome completo do usuário (por exemplo, Usuário 01 do LSF)

   • Nome de logon do usuário: Insira o nome de logon do usuário (por exemplo Symphonyser01).

   • User Principal Name (UPN): O UPN é gerado automaticamente com base no nome de logon do usuário e no nome de domínio (por exemplo, Symphonyuser01@pocdomain.local).

   • Senha: configure uma senha segura para a conta do usuário e escolha se o usuário deve alterar a senha no primeiro logon..

   • O usuário não pode alterar a senha: marque esta opção se desejar evitar que o usuário altere sua senha.

   • A senha nunca expira: marque esta opção se desejar que a senha do usuário nunca expire.

   • A conta está desativada: por padrão, a conta está ativada.. Se você desejar criar a conta do usuário em um estado desativado, desmarque essa opção

   d. Clique em Avançar para continuar com quaisquer etapas adicionais do assistente.

   e. Revise as informações inseridas e clique em Concluir para criar o novo usuário "Symphonyuser01."

4. Inclua "Symphonyuser01" no Grupo de Usuários "Symphony-group":

   a. No console ADUC, localize o grupo de usuários Symphony-group que você criou anteriormente.

   b. Clique com o botão direito no grupo de usuários Symphony-group e selecione Propriedades. c. Na caixa de diálogo Propriedades, acesse a guia Membros.

   d. Clique em Incluir e, em seguida, insira Symphonyuser01 no campo Inserir os nomes do objeto para selecionar.

   e. Clique em Verificar nomes para validar o nome do usuário..

   f. Clique em OK para incluir "Symphonyuser01" no grupo de usuários "Symphony-group".

   g. Clique em Aplicar e, em seguida, em OK para salvar as alterações

Etapa 3-Integrando o Symphony Cluster em execução no RHEL 8.4 com base em Sistemas Diretamente para AD usando o Samba Winbind

[plugins]
localauth = {
module = winbind:/usr/lib64/samba/krb5/winbind_krb5_localauth.so
enable_only = winbind
}

#systemctl status winbind
[root@amit-rhel84 ~]# systemctl status winbind
winbind.service - Samba Winbind Daemon
Loaded: loaded (/usr/lib/systemd/system/winbind.service; enabled; vendor preset: disabled)
Active: active (running) since Wed 2023-08-09 08:16:16 EDT; 1h 42min ago
Docs: man:winbindd(8)
  man:samba(7)
  man:smb.conf(5)
Main PID: 4889 (winbindd)
Status: "winbindd: ready to serve connections..."
Tasks: 5 (limit: 49264)
Memory: 10.9M
CGroup: /system.slice/winbind.service
       ├─4889 /usr/sbin/winbindd --foreground --no-process-group
       ├─4893 /usr/sbin/winbindd --foreground --no-process-group
       ├─4894 /usr/sbin/winbindd --foreground --no-process-group
       ├─4924 /usr/sbin/winbindd --foreground --no-process-group
       └─5997 /usr/sbin/winbindd --foreground --no-process-group

Etapa 4-Configurando a configuração no lado do cluster Symphony

A seguir estão as etapas para configurar a Kerberos em Linux para IBM Spectrum Symphony integração com Active Directory:

1. Encerrar o Cluster

   Efetue login em qualquer host de gerenciamento no cluster usando as credenciais do administrador do cluster.

   #Example
   egosh user logon –u Admin –x Admin
   

   Execute os comandos a seguir para encerrar o cluster normalmente:

   #Example
   soamcontrol app disable all
   egosh service stop all
   egosh ego shutdown all
   

2. Modificar Configuração de Segurança em Hosts de Gerenciamento: Em cada host de gerenciamento, edite o arquivo $EGO_CONFDIR/ego.conf.

   Configure EGO_SEC_PLUGIN como "sec_ego_gsskrb."

   #Example
   EGO_SEC_PLUGIN=sec_ego_gsskrb
   

   Configure EGO_SEC_CONF para especificar a configuração do plug-in:

   #Example
   EGO_SEC_CONF="/EGOShare/kernel/conf,600,ERROR,/opt/EGO/kernel/log"
   

   Configure EGO_SEC_KRB_SERVICENAME para o proprietário Kerberos para o servidor de autenticação:

   #Example
   EGO_SEC_KRB_SERVICENAME=symphonyuser03
   

   Crie ou modifique o arquivo $EGO_CONFDIR/sec_ego_gsskrb.conf com os parâmetros fornecidos:

   #Example
   REALM=POCDomain.local
   KRB5_KTNAME=/etc/krb5.keytab
   KERBEROS_ADMIN=egoadmin
   

   KRB5_KTNAME=/etc/krb5.keytab O parâmetro KRB5_KTNAME designa o caminho absoluto para o arquivo keytab. Esse arquivo contém chaves para o proprietário de serviço usado na autenticação do Kerberos Aqui, o caminho é configurado como "/etc/krb5.keytab," assegurando que as chaves necessárias sejam recuperadas para autenticação..

   KERBEROS_ADMIN=egoadmin O parâmetro KERBEROS_ADMIN especifica o proprietário Kerberos que é mapeado para o nome do usuário do administrador de cluster integrado (Admin). Nessa configuração, ele é definido como "hpcegoadmin" Essa entidade é importante para tarefas administrativas no cluster IBM Spectrum Symphony e é usada para autenticação como administrador do cluster.

3. Aplique a configuração aos hosts de computador e cliente.

   Repita as etapas de modificação em hosts de cálculo e cliente, ajustando configurações em seus respectivos arquivos $EGO_CONFDIR/ego.conf e $EGO_CONFDIR/sec_ego_gsskrb.conf.

4. Inicie o Cluster e ative os Aplicativos

   Quando as configurações forem aplicadas nos hosts, inicie o cluster e ative os aplicativos usando os comandos a seguir:

   #Example
   egosh ego start
   soamcontrol app enable appName
   

5. Efetue logon no Host de Gerenciamento de Cluster

   A partir de um host de gerenciamento na região POCDomain.local, efetue login como o usuário Administrativo usando a linha de comandos egosh Insira a senha do proprietário do Kerberos definido no parâmetro KERBEROS_ADMIN

   #Example
   egosh user logon –u Admin –x passwordegoadmin
   

6. Incluir usuários do AD (se necessário)

   Se o parâmetro ENABLE_AD_USERS_MANAGE no arquivo $EGO_CONFDIR/sec_ego_gsskrb.conf nos hosts de gerenciamento Linux tiver sido definido como 'N', use o comando egosh user add para adicionar usuários do AD a IBM Spectrum Symphony. Forneça qualquer sequência aleatória como a senha; ela não será usada para o logon do usuário

   #Example egosh user add –u ad1tester –x 111
   

7. Designar funções a usuários

   Designe funções às contas do usuário usando o comando egosh user assignrole. Por exemplo, para designar a função de administrador do consumidor para ad1tester e ad2tester:

   #Example
   egosh user assignrole –u ad1tester –r CONSUMER_ADMIN –p /SymTesting/Symping73.2
   

8. Efetuar login como um usuário AD

   Efetue login como um usuário AD usando a linha de comando egosh. Por exemplo, para efetuar login como ad1tester:

   #Example
   egosh user logon –u ad1tester –x passwordad1tester
   

Conclusão

Este guia serve como um recurso vital para administradores de sistemas que buscam integrar perfeitamente o IBM Spectrum Symphony com o Active Directory no ambiente IBM Cloud. Abordando pré-requisitos e fornecendo instruções passo a passo, ele garante a prontidão para sistemas Active Directory e RHEL implantados em IBM Virtual Servers. Desde a instalação do Active Directory no Windows Server 2019 até a configuração da autenticação Kerberos, o guia fornece aos administradores uma referência confiável para obter gerenciamento eficiente de usuários e controle de acesso para IBM Spectrum Symphony dentro da infraestrutura do IBM Cloud.