Доверие доменов в MULTIDIRECTORY: Realm-trust и LDAP-Forward

MULTIFACTOR_company1 час назад

Доверие доменов в MULTIDIRECTORY: Realm-trust и LDAP-Forward

Время на прочтение6 минОхват и читатели2.2KБлог компании МУЛЬТИФАКТОРИнформационная безопасность*Системное администрирование*IT-инфраструктура*Серверное администрирование*Recovery ModeВ инфраструктуре почти любой компании служба каталогов — центральный элемент аутентификации и управления доступами. Через неё происходит вход в систему, авторизация в корпоративных сервисах, проверка групп и ролей пользователей.

Пока инфраструктура состоит из одного домена и одного каталога, всё работает достаточно просто. Но в реальности часто возникает необходимость интеграции нескольких каталогов. Это может происходить при слиянии компаний, при построении гибридных инфраструктур или в процессе миграции на новую систему управления идентификацией.

В таких сценариях требуется механизм, позволяющий доменам доверять результатам аутентификации друг друга и обмениваться данными каталога. Для этого используются доверительные отношения между доменами.

В MULTIDIRECTORY реализовано два механизма такой интеграции:

• двусторонние доверительные отношения типа Realm
• однонаправленное проксирование LDAP-запросов (LDAP-Forward)Эти механизмы решают разные задачи и используются в разных архитектурных сценариях. Разберёмся, как они устроены и как применяются на практике.

Доверительные отношения в службах каталогов

Доверительные отношения (domain trust relationship) — это механизм, позволяющий одному домену принимать результаты аутентификации, выполненной в другом домене.

С технической точки зрения доверие между доменами включает два компонента:

• Механизм аутентификации, подтверждающий личность пользователя
• Механизм авторизации, позволяющий получать информацию о пользователях, группах и атрибутахВ большинстве инфраструктур для этого используются два протокола.

Аутентификация выполняется через Kerberos. Пользователь проходит проверку в своём домене и получает Kerberos-билет (TGT), который затем может использоваться для доступа к сервисам.

Доступ к данным каталога осуществляется через LDAP. Этот протокол используется для поиска объектов каталога и получения атрибутов пользователей, включая членство в группах.

Комбинация Kerberos и LDAP позволяет реализовать сквозную аутентификацию и авторизацию между доменами.

Двусторонние доверительные отношения Realm

В Kerberos термин Realm обозначает административную область аутентификации. Обычно Realm соответствует домену каталога и включает:

• Kerberos KDC
• Базу принципалов
• Политики аутентификацииПри настройке Realm-trust между двумя доменами создаётся доверительное отношение между их Kerberos-реалмами. В результате каждый KDC начинает признавать билеты, выданные другим реалмом.

Это позволяет реализовать классическую схему cross-realm authentication:

• Пользователь аутентифицируется в своём реалме
• Получает TGT
• При обращении к сервису в другом реалме запрашивает cross-realm ticket
• Удалённый сервис принимает билет и выполняет аутентификацию

Реализация Realm-trust в MULTIDIRECTORY

В MULTIDIRECTORY поддерживаются двунаправленные доверительные отношения между доменами, основанные на Kerberos Realm-trust.

Для установления доверия создаётся кросс-доменный Kerberos-принципал, который используется для междоменной аутентификации. Эта учётная запись признаётся обоими реалмами и позволяет безопасно обмениваться Kerberos-билетами.

После настройки пользователи одного домена могут аутентифицироваться в своём каталоге и получать доступ к ресурсам другого домена без повторного ввода учётных данных.

С точки зрения инфраструктуры это означает:

• Единый механизм аутентификации
• Отсутствие необходимости дублирования пользователей
• Централизованное управление доступомKerberos при этом обеспечивает криптографически защищённую передачу билетов и исключает передачу паролей между доменами.

LDAP-Forward: проксирование запросов каталога

Не во всех случая�� требуется полноценная Kerberos-интеграция между каталогами. Иногда задача сводится к тому, чтобы один каталог мог получать информацию о пользователях из другого.

Для таких сценариев в MULTIDIRECTORY реализован механизм LDAP-Forward.

LDAP-Forward работает как прокси для LDAP-запросов. Когда сервер каталога получает запрос, он может определить, что нужный объект отсутствует в локальной базе, и перенаправить запрос на удалённый LDAP-сервер.

С точки зрения клиента это выглядит как обращение к одному каталогу, хотя фактически данные могут извлекаться из нескольких источников.

Подобный механизм часто используется при:

• Интеграции нескольких каталогов
• Поэтапной миграции инфраструктуры
• Построении федеративных каталогов

Аутентификация при LDAP-Forward

При подключении удалённого каталога MULTIDIRECTORY может использовать два режима аутентификации.

В режиме Simple Bind используется сервисная учётная запись LDAP с правами на чтение каталога. В конфигурации указываются логин, пароль, протокол (LDAP или LDAPS) и порт сервера.

Более безопасный вариант — использование GSSAPI. В этом случае аутентификация выполняется через Kerberos, а сервер использует сервисный принципал и keytab-файл для получения билетов.

Этот режим предпочтителен в инфраструктурах, где уже используется Kerberos-аутентификация и требуется защищённое взаимодействие между каталогами.

LDAP-референсы и распределённый поиск

При работе с несколькими каталогами используется механизм LDAP-референс.

Референс — это указание на другой LDAP-сервер или на другую часть дерева каталога, где может находиться запрашиваемый объект. Когда сервер каталога получает запрос, он может вернуть клиенту referral или самостоятельно перенаправить запрос на указанный сервер.

В MULTIDIRECTORY референсы позволяют выстраивать распределённую структуру каталогов, где поиск может выполняться сразу в нескольких доменах.

DNS и сетевое взаимодействие доменов

Для корректной работы междоменного доверия критически важна конфигурация DNS.

Kerberos-аутентификация использует DNS для поиска KDC и сервисных записей. LDAP-клиенты также используют DNS для определения контроллеров каталога.

Поэтому при интеграции доменов важно обеспечить корректное разрешение имён между ними.

В MULTIDIRECTORY для этого используется механизм DNS Forwarding, который позволяет пересылать DNS-запросы между доменами и упрощает обнаружение сервисов в удалённых каталогах.

Сценарии применения

Realm-trust и LDAP-Forward закрывают разные задачи интеграции.

Realm-trust обычно используется в инфраструктурах, где требуется полноценная сквозная аутентификация между доменами. Например, при интеграции с каталогами вроде Microsoft Active Directory или FreeIPA.

LDAP-Forward чаще применяется в более лёгких сценариях: когда нужно получить данные пользователей из внешнего каталога или временно связать системы во время миграции.

В обоих случаях MULTIDIRECTORY может выступать в роли центрального элемента инфраструктуры идентификации.

Настройка доверия доменов

Настройка доверительных отношений выполняется через административный интерфейс MULTIDIRECTORY в разделе «Домены и доверие».

При создании доверительных отношений указывается доменное имя удалённой системы, а также параметры соединения. После создания записи хост изменить уже нельзя — допускается только изменение протокола и порта соединения.

Для Realm-trust дополнительно задаётся общий пароль для кросс-доменного Kerberos-принципала.

При настройке LDAP-Forward указываются параметры подключения к удалённому LDAP-серверу: протокол, порт, домен и учётные данные сервисной записи или Kerberos-учётки.

После настройки система может автоматически перенаправлять LDAP-запросы к доверенному домену.

Доверительные отношения В MULTIDIRECTORY

Интеграция каталогов — типичная задача для корпоративных инфраструктур. Она возникает при объединении доменов, построении гибридных сред и миграции между платформами управления идентификацией.

В MULTIDIRECTORY для этого реализованы два механизма.

Realm-trust обеспечивает полноценную Kerberos-аутентификацию между доменами и позволяет пользователям получать доступ к ресурсам разных систем без повторного входа.

LDAP-Forward решает более узкую задачу — проксирование LDAP-запросов и доступ к данным внешних каталогов.

Комбинация этих механизмов позволяет строить гибкие архитектуры каталогов и постепенно интегрировать разные системы управления идентификацией в единую инфраструктуру.

Планы развития доверительных отношений в MULTIDIRECTORY

В ближайшем обновлении в MULTIDIRECTORY появится расширенная поддержка доверительных отношений между доменами по модели, аналогичной той, которая используется в Microsoft Active Directory.

Речь идёт о реализации доверия типа Лес (Forest Trust) с поддержкой трёх типов отношений:

Двунаправленное доверие (two-way trust)Оба домена доверяют друг другу. Пользователи каждого домена могут проходить аутентификацию в своём каталоге и получать доступ к ресурсам другого домена. Такой тип доверия обычно используется при объединении инфраструктур или построении единого пространства аутентификации.

Однонаправленное исходящее доверие (outgoing trust)В этом сценарии локальный домен доверяет целевому домену. Пользователи целевого домена могут получать доступ к ресурсам локального домена, но обратное взаимодействие не разрешено.

Однонаправленное входящее доверие (incoming trust)Обратная ситуация: целевой домен доверяет локальному домену. Пользователи локального домена могут получать доступ к ресурсам удалённого домена.

С точки зрения архитектуры модель доверия будет максимально совместима с логикой, используемой в Active Directory. Это упрощает интеграцию MULTIDIRECTORY в существующие инфраструктуры и делает процесс настройки привычным для администраторов, которые уже работали с междоменными trust-отношениями.

При этом сама процедура настройки будет упрощена. В интерфейсе MULTIDIRECTORY этапы создания доверия сокращены и сгруппированы: основные параметры соединения, тип доверия и параметры аутентификации настраиваются в рамках одного сценария конфигурации. Такой подход позволяет быстрее развернуть доверие между доменами и уменьшает вероятность ошибок при настройке.

Подробно о внутренней реализации этого механизма, включая особенности Kerberos-интеграции, обмен билетов между реалмами и архитектуру trust-отношений, мы расскажем в одной из будущих статей.Теги:• multidirectory
• мультифактор
• служба каталогов
• доверие доменовХабы:• Блог компании МУЛЬТИФАКТОР
• Информационная безопасность
• Системное администрирование
• IT-инфраструктура
• Серверное администрирование