Habilitación del servicio OpenLDAP

Acerca de OpenLDAP con IBM Storage Scale

OpenLDAP es una implementación de código abierto de LDAP (Lightweight Directory Access Protocol) que proporciona autenticación centralizada y servicios de directorio.

La integración de OpenLDAP con su IBM Storage Scale clúster permite la gestión centralizada de usuarios, la mejora de la seguridad y la simplificación de la autenticación de usuarios. La integración también le permite utilizar las credenciales de autenticación existentes, lo que reduce la necesidad de recordar varias credenciales de inicio de sesión. En general, la arquitectura proporciona una solución sólida y eficiente para la autenticación de usuarios y la gestión de directorios en entornos de informática distribuida.

El servidor OpenLDAP se puede instalar y configurar en un sistema Linux® ; por ejemplo, un Ubuntu 22.04 como host está soportado.

Integración de un servidor OpenLDAP existente con el clúster de IBM Storage Scale

Puede habilitar OpenLDAP con su IBM Storage Scale cluster durante el despliegue configurando los valores de entrada de despliegue enable_ldap,ldap_basedns, ldap_server, ldap_admin_password, ldap_user_name y ldap_user_password. Si no dispone de un servidor LDAP, el proceso de despliegue crea uno y lo conecta al clúster IBM Storage Scale. Si dispone de un servidor LDAP existente, puede proporcionar información LDAP durante la implantación del clúster IBM Storage Scale.

Si dispone de un servidor OpenLDAP existente, puede utilizarlo con su clúster IBM Storage Scale. Antes de desplegar el clúster IBM Storage Scale con los valores de entrada LDAP, complete los siguientes requisitos LDAP:

1. OpenLDAP versión 2.4 o posterior está instalado y configurado.
2. El servidor OpenLDAP puede comunicarse con los nodos del clúster IBM Storage Scale a través de la red. Configure los ajustes de red tanto en el servidor OpenLDAP como en los nodos de clúster IBM Storage Scale.
3. El servidor OpenLDAP y los nodos de clúster IBM Storage Scale pueden comunicarse a través del puerto 389.

Además, permita siempre el acceso a los rangos CIDR para la VPC que crea el despliegue de clúster IBM Storage Scale. Asegúrese de que los grupos de seguridad para el servidor LDAP existente estén incluidos en la lista de elementos permitidos con el rango CIDR de VPC de la VPC recién creada. De este modo, la nueva VPC puede conectarse al servidor OpenLDAP existente y que todos los nodos de gestión e inicio de sesión puedan acceder al servidor LDAP.

Si los grupos de seguridad del servidor LDAP se actualizan con los rangos CIDR de la VPC, aparecerá un mensaje similar a:

null_resource.validate_ldap_server_connection[0] (remote-exec): The connection to the existing LDAP server 10.241.0.5 was successfully established.

Sin embargo, si no se establece la conexión con el servidor LDAP existente, aparecerá un mensaje similar a:

╷
│ Error: remote-exec provisioner error
│
│   with null_resource.validate_ldap_server_connection[0],
│   on main.tf line 355, in resource "null_resource" "validate_ldap_server_connection":
│  355:   provisioner "remote-exec" {
│
│ error executing "/tmp/terraform_888134906.sh": Process exited with status 1

Comprobación del estado de OpenLDAP

Tras el despliegue del clúster IBM Storage Scale, los registros de Schematic muestran información esencial en la sección de salida. Desde aquí, puede comprobar el estado del servidor LDAP:

1. Conéctese al servidor OpenLDAP a través de SSH utilizando el mandato ssh_to_ldap_node desde la salida del registro Schematics.

   Por ejemplo:

   ssh -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null -o ServerAliveInterval=5 -o ServerAliveCountMax=1 -J vpcuser@<floatingg_IP_address> ubuntu@<LDAP_server_IP>
   

   donde <floating_IP_address> es la dirección IP flotante para el nodo bastión y <LDAP_server_IP> es la dirección IP para el nodo OpenLDAP.

2. Verifique el estado del servicio LDAP:

   systemctl status slapd
   

3. Verifique los grupos LDAP y los usuarios creados:

   ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:///
   

Creación de un usuario LDAP

Si no dispone de un servidor LDAP existente, el proceso de despliegue creará uno por usted y lo conectará al clúster IBM Storage Scale durante el despliegue. Cree un usuario LDAP para su clúster IBM Storage Scale. Utilícelo para ejecutar mandatos de Storage Scale y enviar los trabajos con credenciales de autenticación existentes, lo que reduce la necesidad de recordar varias credenciales de inicio de sesión.

Si dispone de un servidor LDAP existente con la información LDAP que se proporciona durante la implantación del clúster IBM Storage Scale, no es necesario crear un nuevo usuario LDAP.

export BASE_DN="ldap.com"
export OU_NAME="People"
export LDAP_ADMIN_PASSWORD="Admin@123"
export LDAP_USER="testuser01"
export UNIQUE_USER_ID="10089"
export NEW_LDAP_USER_PASSWORD="Test@1234"

Configuración de CES con valores de despliegue de LDAP

La característica CES ofrece dos opciones de autenticación, el método predeterminado definido por el usuario y el uso de servicios de directorio como AD, LDAP o NIS.

Los servicios de directorio habilitan el acceso a los archivos a través del protocolo NFS.

LDAP es un componente opcional para CES, que permite a los usuarios utilizar un servidor LDAP existente o configurar un nuevo nodo LDAP específicamente para el clúster CES.

Al configurar el valor de despliegue de ldap_basedns en el nombre de dominio necesario durante el despliegue, la característica LDAP se integra junto con el CES de Scale.

mmuserauth service check