Autenticación y administración centralizada de usuarios en GNU/Linux

Desde que estoy en mi actual trabajo, me vi forzado a utilizar Active Directory (AD), a aprender de qué trata, cómo funciona, y cómo administrarlo.

Realmente este servicio me parece una buena idea por parte de MS, y a nivel empresa es muy útil. La experiencia en el trabajo me enseñó que cuando la cantidad de usuarios supera un cierto número, administrarlos por workstation y/o por servicio es muy complejo, inaceptable. Además, la facilidad de independizar al usuario de la workstation en la que se encuentra, es muy importante para muchas empresas.

El problema, claro está, es que AD es de MS, con todo lo que ello representa:

- código cerrado

- licencias caras y limitantes

- poco flexible

- software malo (si, la idea de AD es buena, pero el soft de MS es malo)

- hay que utilizar Windows

- fuerza a utilizar más software MS, gracias a su política "incompatible con el mundo no MS"

- no se puede aprender de él

- mientras todo anda, es fácil, pero cuando algo falla, arreglarlo es extremadamente difícil

- etc, etc

No es ningún secreto que MS no me cae bien, y creo que las razones anteriores son suficientes para ello.

Por eso me di a la tarea de buscar una alternativa libre que brinde capacidades similares. El objetivo es tener un sistema centralizado de usuarios, donde los usuarios tienen una identidad única para utilizar el sistema operativo (y las aplicaciones que utilicen autenticación integrada) desde cualquier máquina.

MS no inventó nada nuevo con Active Directory, sino que supo combinar protocolos que ya se utilizaban desde hace años y que mayoritariamente nacieron como protocolos libres, por lo cual existen alternativas para cada componente. El problema es unir estos componentes para que trabajen en conjunto.

Los componentes básicos para lograr la funcionalidad deseada son:

- Autenticación con Kerberos.

- NTP para mantener sincronizados los relojes (requerimiento importante para kerberos).

- Servicio de directorio LDAP para almacenar datos de usuarios, grupos, hosts, etc.

- DNS para asignar nombres de dominio.

- DHCP para distribuir direcciones IPs (opcional pero muy útil).

- Replicación de los datos entre múltiples servidores (multi-master replication).

- Administración de seguridad a través de políticas de grupo (GPOs).

Es claro que AD no se queda ahí y gracias al la integración con el resto del soft MS, es posible tener integrado servicio de email (Exchange), y servicio de archivos (SMB), entre otros.

Sacando las GPOs, todo el resto se puede lograr utilizando software libre, por ejemplo:

- MIT Kerberos

- NTP

- OpenLDAP

- Bind (DNS)

- Samba

- Postfix

La tarea entonces es configurar los servicios para que trabajen en conjunto.

Existe mucha información en internet sobre cómo lograr que las herramientas interactúen, pero poco sobre proyectos que integren todo.

El más notable al respecto es la distribución Calculate Linux. Si bien todavía no probé esta distribución, la descripción de la misma es muy alentadora, ya que hasta permite integrar hosts Windows para que interactúen con los servidores Linux.

En base a lo expuesto, desde hace un par de meses estoy trabajando en armar una infraestructura como la de Active Directory, pero utilizando software libre y documentando todo al respecto, desde la definición de kerberos y LDAP, hasta la instalación y configuración de los diferentes servicios en servidores y clientes para lograr la funcionalidad deseada.

Como la información es mucha, decidí repartirla en varios artículos que iré publicando a lo largo del próximo mes (o tal vez dos meses). Uno de estos artículos ya lo publiqué hace un par de semanas, y trata sobre PAM.

La lista de artículos es la siguiente:

- Sincronicemos relojes con NTP

- Un servicio básico, el DNS: breve descripción y cómo utilizar bind

- El mítico Kerberos

- Instalación de MIT Kerberos

- LDAP: Un directorio liviano

- Instalar y configurar el directorio OpenLDAP

- Autenticación en GNU/Linux con PAM

- Configurar PAM para utilizar kerberos

- Autenticar con kerberos y almacenar información de usuarios con LDAP en GNU/Linux

- OpenLDAP kerberizado

A medida que los vaya publicando, volveré a este artículo para actualizar los links y tener así todo integrado.

De los citados, sólo me falta escribir el de DNS, y puede que alguno lo termine partiendo en 2 por ser muy largos, pero básicamente no cambiará mucho a lo planteado.

También espero tener tiempo de armar un sistema de archivos y montar un servidor de mail con postfix, pero como viene la mano en el trabajo, puede que eso quede para más adelante.

Mi recomendación es que si les interesa la idea, vayan armando sus propios proyectos y compartan dudas, mejoras o lo que se les ocurra. Pueden utilizar comentarios en el blog o en la página de IT Freek Zone en facebook.

Les recomiendo utilizar máquinas virtuales para poder probar servidores y clientes con una sola máquina de forma rápida. Además clonando discos virtuales es fácil deshacer y volver a empezar.