[avr12s@localhost wkcvs]$ ls
aura
[avr12s@localhost wkcvs]$ !!
ls
aura
[avr12s@localhost wkcvs]$

Cuanto menos curioso.

¡Nos vemos el 12 de Julio!

Suprimieron el impuesto de patrimonio, que generalmente pagan las rentas más altas, … y pagan los parques y jardines del “PlanE“  a costa de mi paquete de tabaco y la gasolina de mi moto.

YMPQ que más bien tirando a azulones…. lo mismo les cambian la rosa por la gaviota y ni se enteran.

Actualización:
“No es justo que Botín pague el mismo impuesto en la gasolina que paga un comercial que está ganándose la vida en la carretera todos los días. No es justo y entendemos que los impuestos tienen que ser impuestos directos que graven el capital y la riqueza”

Cayo Lara hoy en Lugo

El jueves muy temprano salimos para Barcelona…

Empezamos la segunda parte donde lo dejamos, daremos un vistazo al fichero insane.ldif para hacernos una idea de lo que contiene  nuestro directorio-árbol.  Vamos con la raíz:

# insanecrew.info
dn: dc=insanecrew,dc=info
dc: insanecrew
objectClass: domain
objectClass: domainRelatedObject
associatedDomain: insanecrew.info

Inmediatamente después los dos primeros contenedores donde colocaremos a los usuarios y a los grupos.

# People, insanecrew.info
dn: ou=People,dc=insanecrew,dc=info
ou: People
objectClass: organizationalUnit

# Group, insanecrew.info
dn: ou=Group,dc=insanecrew,dc=info
ou: Group
objectClass: organizationalUnit
description: Container for user accounts

Ahora llega la primera sorpresa, mandriva crea dos unidades organizativas como contenedores de los usuarios y los grupos de los sistemas y servicios que usaran nuestro directorio como fuente para autenticarse.

# System Accounts, insanecrew.info
dn: ou=System Accounts,dc=insanecrew,dc=info
ou: System Accounts
objectClass: organizationalUnit
description: Container for System and Services privileged accounts

# System Groups, insanecrew.info
dn: ou=System Groups,dc=insanecrew,dc=info
ou: System Groups
objectClass: organizationalUnit
description: Container for System and Services privileged groups

Seguimos con otra vuelta de tuerca

# Hosts, insanecrew.info
dn: ou=Hosts,dc=insanecrew,dc=info
ou: Hosts
objectClass: organizationalUnit
description: Container for Samba machine accounts

# Idmap, insanecrew.info
dn: ou=Idmap,dc=insanecrew,dc=info
ou: Idmap
objectClass: organizationalUnit
description: Container for Samba Winbind ID mappings

# Address Book, insanecrew.info
dn: ou=Address Book,dc=insanecrew,dc=info
ou: Address Book
objectClass: organizationalUnit
description: Container for global address book entries

Tenemos una unidad organizativa que contendrá a los host de nuestra red. Seguimos complicando la cosa. otro contenedor para el mapeo de  uids y gid s para integrar samba y winbind con nuestro directorio,  ( en próximos capítulos suplantaremos a cualquier AD).
La última Unidad Organizativa de esta tanda es un contenedor llamado libreta de direcciones ¿Nos dará soporte mandriva para enchufar nuestros clientes de correo al directorio? Pues eso parece.

# sudoers, insanecrew.info
dn: ou=sudoers,dc=insanecrew,dc=info
ou: sudoers
objectClass: organizationalUnit
description: Container for sudo related entries

# dhcp, insanecrew.info
dn: ou=dhcp,dc=insanecrew,dc=info
ou: dhcp
objectClass: organizationalUnit
description: Container for DHCP related entries

# dns, insanecrew.info
dn: ou=dns,dc=insanecrew,dc=info
ou: dns
objectClass: organizationalUnit
description: Container for DNS related entries

Las últimas versiones del paquete sudo permiten enchufarlo contra un directorio  para tener un control más exhaustivo de quién, como y cuando usa sudo en nuestros sistemas. Los servicios de infraestructura basados en GNU/Linux también  se integran con nuestro directorio, DHCP y  DNS. Sí, otra vez como el AD.

# Password Policies, insanecrew.info
dn: ou=Password Policies,dc=insanecrew,dc=info
ou: Password Policies
objectClass: organizationalUnit
description: Container for OpenLDAP password policies

# default, Password Policies, insanecrew.info
dn: cn=default,ou=Password Policies,dc=insanecrew,dc=info
cn: default
objectClass: pwdPolicy
objectClass: namedObject
pwdAttribute: userPassword

# KDEConfig, insanecrew.info
dn: ou=KDEConfig,dc=insanecrew,dc=info
ou: KDEConfig
objectClass: organizationalUnit
description: Container for KDE configuration profiles

# default, KDEConfig, insanecrew.info
dn: ou=default,ou=KDEConfig,dc=insanecrew,dc=info
ou: default
objectClass: organizationalUnit
description: Default KDE configuration for all users

Casi estamos acabando, ¡no sufran!  Los dos primeros contenedores contendrán la política de Password de nuestra empresa. Las dos últimas  Unidades Organizativas son para la configuración del escritorio kde de los puestos de nuestra red. ¡ Quién tuviera KDE en los escritos de usuario!

De un tirón los DN (Distinguished Name) de los usuarios para administrar los servicios en nuestra corporación.

# Account Admin, System Accounts, insanecrew.info
dn: uid=Account Admin,ou=System Accounts,dc=insanecrew,dc=info
uid: Account Admin
objectClass: account
objectClass: simpleSecurityObject
description: Account used to administer all users, groups, machines and genera
l accounts

# nssldap, System Accounts, insanecrew.info
dn: uid=nssldap,ou=System Accounts,dc=insanecrew,dc=info
uid: nssldap
objectClass: account
objectClass: simpleSecurityObject
description: Unprivileged account which can be used by nss_ldap for when anony
mous searches are disabled

# MTA Admin, System Accounts, insanecrew.info
dn: uid=MTA Admin,ou=System Accounts,dc=insanecrew,dc=info
uid: MTA Admin
objectClass: account
objectClass: simpleSecurityObject
description: Account used to administer email related attributes

# XXXX Admin, System Accounts, insanecrew.info
dn: uid=XXXX Admin,ou=System Accounts,dc=insanecrew,dc=info
uid: XXXX Admin
objectClass: account
objectClass: simpleSecurityObject
description: Account used to administer XXXX attributes

Sustituya XXXX por lectores y escritores en DHCP yDNS, SUDO, Libreta de direcciones, kde config..  (Si coloco el ldif entero esto se convertirá en eterno). A continuación tenemos los grupos ( groupOfNames) donde incluir a todos los administradores de los servicios antes nombrados, siguiendo la siguiente estructura

# XXXX Admins, System Groups, insanecrew.info
dn: cn=XXXX Admins,ou=System Groups,dc=insanecrew,dc=info
cn: XXXX Admins
objectClass: groupOfNames
description: Members can administer ou=XXXX entries and attributes
owner: uid=XXXX Admin,ou=System Accounts,dc=insanecrew,dc=info
member: uid=XXXX Admin,ou=System Accounts,dc=insanecrew,dc=info

¡Ya era hora! Menudo lío, nos queda claro, que esto no es un directorio de “chichinabo” como dicen en mi pueblo. mandriva nos coloca a competir directemante en funcionalidad con el  “otro” directorio.
Así que para el siguiente capitulo necesitaremos algo de ayuda:

• La documentación oficial de proyecto en el wiki de mandriva
• La instalación de la consola de administración de mandriva, para manejar todo esto.
• Documentación sobre la integración de DNS , sudo y DHCP con OpenLdap

¿Mande? ¿qué..? Un poco de calma que enseguida me explico…  Este paquete contiene la forma de ver el directorio de nuestra organización (DIT) por  nuestra distro preferida además del corazón de MDS del que ya hablamos aquí.

[root@mdv1 ~]#urpmq  -i openldap-mandriva-dit

Como podemos leer en la descripción del paquete, mandriva nos da “by the face” un ldif básico para cargar en nuestro servidor openldap, además de la estructura del árbol también nos provee de reglas básicas de control de acceso y un pequeño script para facilitarnos la instalación.

[root@mdv1 ~]# urpmi openldap-mandriva-dit
Para satisfacer las dependencias, se instalarán los paquetes siguientes:
Paquete Versión Revision Arq.
(soporte «main_backports»)
openldap-clients 2.4.15 1mdv2009.0 i586
openldap-servers 2.4.15 1mdv2009.0 i586
(soporte «contrib»)
openldap-mandriva-dit 0.17 3mdv2009.0 i586
se utilizarán 3.6MB de espacio de disco adicional.
se descargarán 1.1MB de paquetes.
¿Efectuar la instalación de los 3 paquetes? (S/n)

El tema de las dependencias estaba claro, si es un paquete para ayudarnos a configurar nuestro directorio ldap, tendremos que instalarlo.

El directorio donde se encuentra toda la magia de la cuestión es: /usr/share/openldap:

[root@mdv1 ~]# ls  /usr/share/openldap/
gencert.sh*  mandriva-dit/  schema/  scripts/
[root@mdv1 ~]#

Antes del lanzarnos, como mínimo deberemos de tener claro el nombre de dominio de nuestra organización, en nuestro caso insanecrew.info,  ¡al lío!

[root@mdv1 ~]# /usr/share/openldap/scripts/mandriva-dit-setup.sh
Please enter your DNS domain name [example.com]:
insanecrew.info

Administrator account
The administrator account for this directory is
uid=LDAP Admin,ou=System Accounts,dc=insanecrew,dc=info

Please choose a password for this account:
New password:
Re-enter new password:

Summary
=======
Domain:        insanecrew.info
LDAP suffix:   dc=insanecrew,dc=info
Administrator: uid=LDAP Admin,ou=System Accounts,dc=insanecrew,dc=info

Confirm? (Y/n)

Antes de confirmar, conviene repasar que llevamos hasta ahora

• Hemos definido la raiz de nuestro directorio o RootDN : insanecrew.info
• Definimos la contraseña del administrador del directorio, y a la vez ya sabemos el DN del administrador del Directorio:
  “uid=LDAP Admin,ou=System Accounts,dc=insanecrew,dc=info”

Perfecto, son los primeros pasos a seguir cuando queremos configurar un servidor OpenLdap, decidir el RootDN de nuestro directorio y definir la cuenta/contraseña del administrador del directorio, continuamos  confirmando los datos

config file testing succeeded
_#################### 100.00% eta   none elapsed            none fast!
Stopping ldap service
_#################### 100.00% eta   none elapsed            none fast!
Closing DB…
Finished, starting ldap service
Iniciando slapd (ldap + ldaps):                                 [  OK  ]

Your previous database directory has been backed up as /var/lib/ldap.1241980408
All files that were backed up got the suffix “1241980408″.
[root@mdv1 openldap]#

¡Corcholis!, ¡ya está! comprueba la integridad de los ficheros de configuración, realiza amablemente una copia de seguridad de nuestro antiguo directorio y arranca, así de facil.

Para comprobar que nuestro servidor está funcionando podemos hacer una consulta de este tipo:

[root@mdv1 openldap]# ldapsearch -x -b ” -s base ‘(objectclass=*)’ namingContexts
# extended LDIF
#
# LDAPv3
# base <> with scope baseObject
# filter: (objectclass=*)
# requesting: namingContexts
#

#
dn:
namingContexts: dc=insanecrew,dc=info

# search result
search: 2
result: 0 Success

# numResponses: 2
# numEntries: 1
[root@mdv1 openldap]#

El siguiente comando nos tiene que devolver en formato ldif todo el contenido del directorio:

[root@mdv1 openldap]# ldapsearch -x -b ‘dc=insanecrew,dc=info’ ‘(objectclass=*)’

Volvemos a ejecutar el comando pero esta vez redireccionando la salida a un fichero.

[root@mdv1 openldap]# ldapsearch -x -b ‘dc=insanecrew,dc=info’ ‘(objectclass=*)’ > insane.ldif

En el fichero insane.ldif tenemos el contenido del directorio que será el objeto de nuestro próximo post.

La posibilidad de auntenticar Apache contra un servidor ldap está presente desde la versión 1.3 hasta la actual,  puede ser interesante que  sólo los usuarios de un grupo de nuestro directorio puedan acceder a un lugar protegido del servidor web.
En la rama 2.0.x teníamos  mod_auth_ldap y en la rama 2.2.x tenemos el módulo mod_authnz_ldap

Después de repasar la documentación parece que son prácticamente iguales por lo que probamos con nuestra configuración de toda la vida.

<Location /directorioprotegido>

# Tipo de autenticación y de donde
AuthType               Basic

# Mensaje en la ventana de autenticacion
AuthName               “Acceso a Directorio Protegido”

# Requerir que el usuario exista y tal, y tal
AuthLDAPURL ldap://ldap.example.es/ou=usuarios,dc=example,dc=es?uid
Require ldap-group cn=Admins,ou=grupos,dc=example,dc=es

# Cuenta genérica para acceder al directorio, con permisos de Lectura
AuthLDAPBindDN         “cn=nss,dc=example,dc=es”
AuthLDAPBindPassword   “lector”

</Location>

¡No funciona!. Obtenemos este error

access to /directorioprotegido/ failed, reason: verification of user id ‘user’ not configured

Con un poco de san Google, llego a la solución,  necesitamos colocar como proveedor de autenticación ldap  “When using mod_auth_basic, this module is invoked via the AuthBasicProvider directive with the ldap value.” Un poco escondido en la documentación pero lo dicen

<Location /directorioprotegido>

# Tipo de autenticación y de donde
AuthType               Basic
AuthBasicProvider ldap

# Mensaje en la ventana de autenticacion
AuthName               “Acceso a Directorio Protegido”

# Requerir que el usuario exista y tal, y tal
AuthLDAPURL ldap://ldap.example.es/ou=usuarios,dc=example,dc=es?uid
Require ldap-group cn=Admins,ou=grupos,dc=example,dc=es

# Cuenta genérica para acceder al directorio, con permisos de Lectura
AuthLDAPBindDN         “cn=nss,dc=example,dc=es”
AuthLDAPBindPassword   “lector”

</Location>

Reiniciamos el servidor y listo, ya funciona, solamente puede acceder al directorio protegido los usUarios del grupo “admins”

¡Qué alboroto!, en mandriva no paran de sorprendernos, coincidiendo con la liberación de Mandriva 2009 Spring, rediseñan su web www.mandriva.com. Para saber más consulta nuestra fuente de noticias mandriveras preferida, noticiasdrake.

Ya están disponibles los medios de descarga HTTP, FTP y Torrent de la nueva versión de Mandriva Linux 2009 Spring.

http://www.mandriva.com/es/descargas

Espero poder publicar más información pronto.  Se aconseja usar los Torrents para colaborar con la Comunidad. Pero si no les funciona están los servidores HTTP y FTP.

¡Feliz descarga!

Falleció ayer de parada cardio-respiratoria el escritor y periodista Javier Ortiz. Es algo que él mismo, autor de estas líneas, sabía muy bien que sucedería, y que por eso pudo pronosticar, porque no hay nada más inevitable que morir de parada cardio-respiratoria. Si sigues respirando y el corazón te late, no te dan por muerto. Pueden seguir leyendo su obituario
Descanse en Paz, años acompañándome con la columna de cada día lo hacen casi de la familia, suerte Don Javier.