+7 (495) 320-70-49
- Назад
- Телефоны
- +7 (495) 320-70-49
- Заказать звонок
info@proxmox.su
Москва, Бакунинская улица, 69с1
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

[ОБРАЗЕЦ] Настройка LDAP-сервера FreeIPA с Proxmox Привет всем! В этом руководстве я проведу вас через настройку FreeIPA LDAP-сервера с использованием Proxmox. Это отличный способ централизовать управление пользователями и группами для ваших виртуальных

RSS

torchilidae

Guest

11.08.2022 07:11:00

Привет! Я не смог найти подробную инструкцию по настройке аутентификации LDAP для FreeIPA, поэтому пишу это руководство для таких, как я, кто не может найти нужную информацию. Пожалуйста, добавляйте то, чего, по вашему мнению, не хватает.

Шаг 1: Перейдите в "Центр обработки данных" -> "Реальности" -> "Добавить" -> "LDAP-сервер".
Шаг 2: Заполните раздел "Общие" следующими данными:
Реальность: example.com
Сервер: hostname.example.com
Базовое доменное имя: dc=example,dc=com
Резервный сервер (необязательно): bkp_hostname.example.com
Имя атрибута пользователя: uid
Порт: По умолчанию SSL: Отмечено Проверять сертификат: Не отмечено Требовать MFA: none

Шаг 3: Заполните "Опции синхронизации" следующими данными и нажмите "Добавить":
Привязка пользователя: uid=admin,cn=users,cn=accounts,dc=example,dc=com
Пароль привязки: Пароль
Атрибут электронной почты (необязательно): email@example.com
Атрибут имени группы: cn
Классы пользователей: person
Классы групп: posixGroup
Фильтр пользователя: memberOf=cn=pve-group,cn=groups,cn=accounts,dc=example,dc=com
Фильтр группы: (|(cn=*pve*)(dc=ipa)(dc=example)(dc=com))
Область: Пользователи и группы
Включить новых пользователей: Да
ACL: Отмечено
Запись: Отмечено
Свойства: Отмечено

Шаг 4: Теперь выберите добавленную реальность и нажмите кнопку "Синхронизировать". Используя следующие параметры, нажмите "Синхронизировать".
Область: Пользователи и группы
Включить новые: Да
ACL: Отмечено
Запись: Отмечено
Свойства: Отмечено

После нажатия "Синхронизировать" пользователи и группы Proxmox автоматически синхронизируются с FreeIPA LDAP-сервера. Вы можете проверить детали пользователей и групп на вкладке "Пользователи и группы".
Шаг 5: Настройте соответствующие разрешения для группы/пользователя на вкладке "Разрешения".

Шаг 6: Как только вы убедитесь, что вышеперечисленные шаги работают как ожидалось, добавьте следующую строку в cron-задания на сервере для автоматической синхронизации пользователей и групп:
*/15 * * * * pveum realm sync example.com > /var/log/ldap-sync.log

Ссылки:
https://pve.torchilidae.net/pve-docs/chapter-pveum.html#pveum_authentication_realms
https://pve.torchilidae.net/pve-docs/chapter-pveum.html#pveum_ldap_sync

admdnlr Guest	#2 0 18.11.2022 09:37:00 Какой IP нам нужно указать там, где написано example.com?

LordRatner Guest	#3 0 05.12.2022 05:47:00 Спасибо за подробное описание! Тебе пришлось добавлять Proxmox в FreeIPA как хост, прежде чем сможешь синхронизировать пользователей и группы? Если да, то как это сделал?

Zubin Singh Parihar

Guest

22.03.2023 16:24:00

Привет, Torchilidae! Спасибо за отличное описание. А есть описание того, что ты делал на стороне Proxmox? Например, создал ли ты аккаунт 'bind' (я вижу, что использовал 'admin', что похоже на аккаунт FreeIPA 'admin')? Также, в фильтре пользователей я вижу 'pve-group'; ты создал эту группу в FreeIPA? И в 'Group Filter' я вижу, что 'dc' у тебя: (dc=ipa)(dc=example)(dc=com), но в остальных местах только '(dc=example)(dc=com)'. '(dc=ipa)' на самом деле часть твоего 'dc'? И я предполагаю, что cn=*pve* связано с тем, что ты создал группу под названием 'pve-group'? Я не против экспериментировать, когда я дома, но описание FreeIPA-части инструкций было бы очень полезно многим! Удачи!

sebastien chanson

Guest

07.07.2023 10:49:00

Привет! Спасибо за твою инструкцию. Мне удалось восстановить часть групп и пользователей из FreeIPA, следуя ей без проблем. Однако восстановленные пользователи и группы потеряли связи, то есть мне пришлось добавлять пользователей в группы в Proxmox, хотя они уже были в группах в FreeIPA. Возможно, так и задумано, но, так как я обычно не очень разбираюсь в LDAP-запросах, это могло произойти из-за того, что мои запросы были составлены неправильно.

Я использовал следующие параметры запроса:
Bind User: uid=ldap_bind_generic,cn=users,cn=accounts,dc=intra,dc=corp,dc=fr
Bind Password: Password
Email Attribute (Optional):
Groupname attr.: cn
User Classes: person
Group Classes: posixGroup
User Filter: memberOf=cn=proxmox_admin_global,cn=groups,cn=accounts,dc=intra,dc=corp,dc=fr
Group Filter: (|(cn=*proxmox*)(dc=ipa)(dc=intra)(dc=corp)(dc=fr))
Scope: Users and Groups
Enable new users: Yes
ACL: Checked
Entry: Checked
Properties: Checked

Спасибо за твои рекомендации!

vtex

Guest

02.09.2023 17:11:00

С FreeIPA & Proxmox (LXC), как ты решил проблему с UID/GID по умолчанию, которые выше 65536? Моя попытка была изменить диапазон ID в FreeIPA до 20000-50000. Не идеально, конечно, но сработало. Я не заморачивался с изменением отображений для каждого контейнера, что, полагаю, тоже выход.

sebastien chanson

Guest

04.09.2023 10:18:00

Я изменил параметры запроса, чтобы нацелиться на группу, содержащую пользователей Proxmox, и это дало мне корректные сведения об отношениях между пользователями и группами. Фильтр группы: cn=proxmox_group,cn=groups,cn=accounts,dc=intra,dc=corp,dc=fr

tycjan Guest	#8 0 06.05.2025 10:44:00 Всем привет! Подскажите, как предоставить доступ к командной оболочке узла?

hambuergaer Guest	#9 0 07.05.2025 11:55:00 Я тоже хотел бы это узнать. Есть определённые настройки, которые я не вижу и не могу выполнить как пользователь LDAP с правами администратора. А именно: обновления хостов через веб-интерфейс отключены для пользователя LDAP, а пулы ресурсов вообще не видны.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры