Proxmox Domain Integration

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen

Download

sudo -i
cd /var/lib/libvirt/images
wget http://host200:8000/win2022-ldap.qcow2

Maschine im VMM erstellen

  • Vorhandenes Festplatten-Abbild importieren
  • Image auswählen
  • Bestriebssystem auf Microsoft Windows Server 2022
  • Speicher: 8192
  • CPUs: 4
  • Name: win2k22
  • Konfiguration bearbeiten vor der Installation
  • Platte entfernen
  • Nochmal hinzufügen diesmal aber Bustype: Virtio
  • NIC: auch auf Virtio stellen, Bridge: vmbr0
  • Booten
  • User: Administrator
  • Pass: 123Start$

Einbinden in die Domain

proxmox-domain.png

Auf allen PMXen

  • Root werden
sudo -i
  • LDAP utils installieren
apt install ldap-utils
  • Stammzertifikat einbauen
cd /usr/local/share/ca-certificates/
wget https://web.samogo.de/certs/win2022-ca.sec-labs.de.crt
update-ca-certificates
  • Zertifikat pruefen (muss "Verify return code: 0 (ok)" liefern)
openssl s_client -connect win2022.sec-labs.de:636 </dev/null 2>/dev/null | grep "Verify return"
  • LDAPS-Funktion testen
ldapsearch -xLLL -H ldaps://win2022.sec-labs.de -D ldap@sec-labs.de -w '123Start$' -b OU=spielwiese,DC=sec-labs,DC=de "(objectClass=user)" sAMAccountName

Es sollten die Benutzer aus der OU spielwiese erscheinen.

  • Ein Test-script für alles
wget https://xinux.de/downloads/script/ldap-test.sh
bash ldap-test.sh

Anmerkung

AGDLP ist ein Gruppen- und Berechtigungsmodell in Microsoft Active Directory. Dabei werden Benutzerkonten (Accounts) zunächst Globalen Gruppen (Global Groups) zugeordnet, diese wiederum in Domänenlokale Gruppen (Domain Local Groups) geschachtelt, die schließlich Berechtigungen (Permissions) auf Ressourcen erhalten. Dieses Modell erlaubt eine saubere Trennung von Benutzerverwaltung und Rechtevergabe - funktioniert aber in Proxmox nicht, da verschachtelte Gruppen dort nicht aufgelöst werden.

Deshalb werden die Rechte in Proxmox direkt an die globalen Gruppen (GG_...) vergeben, in denen die Benutzer unmittelbar Mitglied sind.

Anbinden der AD über LDAP (LDAPS)

  • Proxmox WebGUI öffnen
  • Gehe zu: Datacenter -> Permissions -> Realms -> Add: LDAP

LDAP-Konfiguration - Reiter "General"

Feld Wert
Realm spielwiese
Server win2022.sec-labs.de
Port 636
Mode LDAPS
Base Domain Name OU=spielwiese,DC=sec-labs,DC=de
User Attribute sAMAccountName
Verify Certificate aktivieren (CA wurde oben importiert)
Require TFA none
Check connection aktiviert lassen

LDAP-Realm-Konfiguration (Sync Options)

Feld Wert
Bind User CN=ldap,OU=dienste,OU=spielwiese,DC=sec-labs,DC=de
Bind Password 123Start$
Groupname attr. sAMAccountName
User classes user
Group classes group
Scope none
Enable new users Yes (Default)
Remove vanished alles deaktiviert lassen

Realm Sync - Felder zum Ausfüllen

Feld Wert
Scope Users and Groups
Enable new Yes
Remove ACL deaktiviert lassen
Remove Entry deaktiviert lassen
Remove Properties deaktiviert lassen

Preview sollte so aussehen

Datacenter -> Permissions -> Realms -> spielwiese -> Sync -> Preview 

(dry test run) starting sync for realm spielwiese
got data from server, updating users and groups
syncing users (remove-vanished opts: none)
updating user 'dagobert@spielwiese'
updating user 'dewey@spielwiese'
updating user 'donald@spielwiese'
updating user 'huey@spielwiese'
updating user 'ldap@spielwiese'
updating user 'louie@spielwiese'
syncing groups (remove-vanished opts: none)
updating group 'GG_Admins-spielwiese'
updating group 'GG_Benutzer-spielwiese'
updating group 'GG_Dienste-spielwiese'
updating group 'LG_Admins-spielwiese'
updating group 'LG_Benutzer-spielwiese'
updating group 'LG_Dienste-spielwiese'

NOTE: Dry test run, changes were NOT written to the configuration.
TASK OK

Die Gruppen heißen in Proxmox danach <Gruppe>-<Realm>, also z.B. GG_Benutzer-spielwiese.

Danach Syncen

Datacenter -> Permissions -> Realms -> spielwiese -> Sync -> Sync

Die Ausgabe entspricht der Preview, endet aber mit: 

successfully updated users and groups configuration
TASK OK

Realm Sync Job nach Bedarf

Datacenter -> Realm Sync Jobs -> Add

Feld Wert
Realm spielwiese
Schedule z.B. 21:00
Enable Job aktiviert
Scope Users and Groups
Enable New Yes
Remove Vanished: ACL / Entry / Properties deaktiviert lassen

Benutzerberechtigung

Admins bekommen volle Verwaltungsrechte:

  • Gehe zu: Datacenter -> Permissions -> Add -> Group Permission
Feld Wert
Path /
Group GG_Admins-spielwiese
Role PVEAdmin
Propagate aktiviert

Rollen für GG_Benutzer: Gucken auf alles, Schalten einer VM

1. Rolle anlegen (einmalig auf einem Proxmox-Host)

Auf einem beliebigen Cluster-Knoten als root: 

pveum roleadd VMPowerOnly -privs "VM.PowerMgmt VM.Audit"

Für das reine Anschauen wird die eingebaute Rolle PVEAuditor verwendet, dafür muss keine eigene Rolle angelegt werden.

2. Rechte auf alle VMs zum Anschauen geben

Alle Benutzer der Gruppe GG_Benutzer dürfen den Status aller VMs sehen:

  • WebGUI: Datacenter -> Permissions -> Add -> Group Permission
Path:      /
Group:     GG_Benutzer-spielwiese
Role:      PVEAuditor
Propagate: aktiviert

3. Rechte zum Ein-/Ausschalten einer bestimmten VM geben

Zusätzliche Rechte nur für z.B. VM 101 (Start, Stop, Shutdown):

  • WebGUI: Datacenter -> Permissions -> Add -> Group Permission
Path:      /vms/101
Group:     GG_Benutzer-spielwiese
Role:      VMPowerOnly

Ergebnis

  • Mitglieder von GG_Benutzer sehen alle VMs im Webinterface
  • Nur bei VM 101 ist der Power-Button aktiv
  • Kein Zugriff auf Konsole, Snapshot, Konfiguration oder andere Aktionen
Abgerufen von „http://wiki.xinux.net/index.php?title=Proxmox_Domain_Integration&oldid=73726“