Autenticación LDAP - ORACLE

Transcripción

1 I.E.S. Gonzalo Nazareno Autenticación LDAP - ORACLE Sistemas Gestores de Bases de Datos Pier Alessandro Finazzi José Manuel Ferrete Benítez 2011

2 Índice Oracle Identity Management... 3 Por qué Oracle Identity Management?... 3 Instalación de Oracle Internet Directory... 3 Qué conseguiremos?... 3 Pre-requisitos y preparación... 3 Instalación de Oracle Internet Directory sin dominio WebLogic... 4 Instalación de Oracle Internet Directory con dominio WebLogic Conectar con Oracle Internet Directory Administración de Oracle Internet Directory Administración de OID mediante la consola web Administración de OID mediante aplicaciones externas Autenticación de Oracle Database con usuarios de Oracle Internet Directory

3 Oracle Identity Management En este documento vamos a explicar el funcionamiento, la instalación y la configuración del sistema de gestión de identidades que nos ofrece Oracle para controlar y administrar un dominio de entorno de base de datos. Por qué Oracle Identity Management? El motivo de utilizar este sistema de gestión de identidades es darle a nuestra base de datos una mayor capacidad de administración de usuarios. A partir de la instalación de Oracle Identity Management los usuarios serán centralizados por un servicio de directorio LDAP denominado en este caso Oracle Internet Directory. Oracle Internet Directory es un complemento del paquete Oracle Identity Management y como éste, también puede ser administrado desde la consola de administración de dominios de Weblogic Server. Instalación de Oracle Internet Directory Este complemento se puede instalar de distintas formas. Entre ellas están: Instalar Oracle Internet Directory sin configurar un dominio. Instalar Oracle Internet Directory con un dominio Weblogic Server y consola de administración de Fusion Middleware. En primer lugar explicaremos el proceso de instalación de OID sin un dominio de Weblogic. Qué conseguiremos? Con esto tendremos a nuestra disposición básicamente el servicio de directorio, sin aplicaciones que lo gestionen. Tendrá que ser administrado por aplicaciones externas a Oracle, como por ejemplo Apache Directory Studio. Pre-requisitos y preparación Para comenzar, necesitamos instalar las siguientes aplicaciones: Oracle Enterprise Database 11g.- Será el sistema gestor de bases de datos que utilizaremos y sobre el que implantaremos nuestro servicio de directorio. Oracle Identity Management 11g.- Incluye Internet Directory que entre otras funciones proporcionará el servicio de directorio siguiendo el estándar LDAP v3. Todos los componentes son descargables desde la sección de descargas de la web oficial de Oracle: 3

4 Instalación de Oracle Internet Directory sin dominio WebLogic Para comenzar nos aseguramos de que tenemos instalado Oracle Database. Una vez hecho esto, ejecutamos el instalador y nos abrirá la siguiente pantalla: En ella nos informa de que vamos a proceder con la instalación de Identity Management y donde podemos encontrar más información además de su licencia. Una vez leído hacemos clic en Siguiente. Seleccionamos Instalar y Configurar para aprovechar la ayuda que nos ofrece el asistente del instalador. Hacemos clic en Siguiente. 4

5 El asistente nos hará un chequeo de los recursos de nuestro sistema. Si no disponemos entre otras cosas de 1 GB de memoria RAM, nos lo informaría en este paso. Hacemos clic en Siguiente. Seleccionamos Configurar Sin Dominio y volvemos a cliquear en Siguiente. 5

6 En esta pantalla nos pregunta dónde tenemos instalados los componentes de Oracle Database y donde vamos a querer instalar la instancia de Oracle que utilizará Identity Management. Si la instalación de Oracle DB se realizó con éxito no hará falta modificar nada, haremos clic en Siguiente. Puesto que no disponemos de una licencia ni somos Partners de Oracle, indicamos que no queremos obtener soporte ni información de futuras actualizaciones por correo electrónico. Siguiente. 6

7 Seleccionamos los componentes a instalar. En este caso, Oracle Internet Directory y haríamos clic en Siguiente. Aunque aparezca marcado también Oracle Virtual Directory, podríamos obviarlo ya que no nos hará falta. En esta pantalla podemos elegir entre configurar los puertos automáticamente o manualmente, en nuestro caso hemos elegido hacerlo automáticamente. Hacemos clic en Siguiente. 7

8 En la siguiente pantalla que nos aparece tendremos que elegir entre crear nuestro esquema o utilizar uno existente. Puesto que la base de datos sobre la que estamos montando OID está virgen seleccionamos Crear Esquema. Nos pedirá un usuario con rol DBA que utilizará para crear todos los objetos necesarios. Clic en Siguiente. Introducimos las contraseñas de cada uno de los esquemas de OID (ODS y ODSSM) y hacemos clic en Siguiente. 8

9 Ahora toca elegir dominio. En nuestro caso seleccionamos dc=example,dc=com como base. Además tendremos que elegir una contraseña para el usuario con el que administraremos OID. Clic en Siguiente. Nos aparecerá un resumen de configuración. Es muy recomendable guardar el resumen de configuración, para posibles problemas que puedan surgir durante la instalación. Hacemos clic en Instalar. 9

10 Una vez instalado, se inicia el proceso de configuración con los parámetros que le hemos indicado anteriormente. Una vez configurado aparecerá el siguiente resumen de instalación: 10

11 Instalación de Oracle Internet Directory con dominio WebLogic Este tipo de instalación es bastante más compleja que la anterior, puesto que debemos instalar también componentes ajenos a Identity Management, para que éste se pueda integrar en un dominio administrado por WebLogic. Comenzamos instalando Weblogic Application Server. Una vez descargado el ejecutable, lo lanzamos, y nos aparecerá una pantalla de bienvenida. Pinchamos en siguiente, sin más complicaciones. En la próxima pantalla, tendremos que escoger el directorio en el que se va a instalar WebLogic: 11

12 Seguidamente nos aparecerá la típica pantalla que está presente en todas las instalaciones de Oracle en la que se nos solicita la dirección de correo para recibir actualizaciones, etc. A continuación escogemos el tipo de instalación, típica o personalizada. Nosotros como somos usuarios avanzados, vamos a escoger la instalación personalizada ;-). 12

13 Ahora marcamos lo que queremos instalar, en nuestro caso hemos desmarcado la opción de server examples, para aligerar el peso de la máquina virtual. A continuación elegimos los JDK que vamos a instalar. En nuestro caso no vamos a modificar ninguno de los valores que vienen por defecto. 13

14 En la siguiente pantalla, escogemos los directorios en lo que se intalarán los productos. Nuevamente, no vamos a modificar ningún valor. En la próxima ventana decidiremos si instalar un gestor de nodos o no. Básicamente se nos pregunta si querremos administrar en un futuro los servicios remotamente. Nosotros marcamos el no. 14

15 Ya en el penúltimo paso antes de iniciar la instalación, escogemos a que usuarios del sistema les va a crear los métodos abreviados. Como podemos observar en la captura, hemos marcado todos los usuarios. En la última pantalla nos muestra un resumen de la instalación, los revisamos y pinchamos en siguiente. 15

16 Por fin!!! Ahora comenzará la instalación. Pantalla final de la instalación. Una vez instalado weblogic, procederemos a instalar una librería llamada JRF, la cual obtendremos beneficiándonos de la instalación de Oracle JDeveloper. 16

17 Oracle JDeveloper es un entorno integrado de desarrollo que simplifica el desarrollo de aplicaciones SOA basadas en Java y las interfaces de usuario con soporte para el ciclo de vida de desarrollo completo. Instalación de Jdeveloper 11g. Lanzamos el ejecutable, y nos muestra la pantalla de bienvenida. Seleccionamos el directorio middleware (directorio en el que se encuentran todos los programas de middleware) si queremos uno nuevo o usar el existente. 17

18 Seleccionamos lo que quermos instalar. Se va a insrtalar en SUN SDK seleccionado. 18

19 Vemos los directorios en los que se va a instalar el paquete. Resumen de la instalación. 19

20 Comienzo de la instalación. Finalización de la instalación. Ahora podemos comenzar a instalar OID integrándolo en un dominio de Weblogic Server. 20

21 Instalación de OID con dominio Weblogic. Puesto que muchos de los pasos de la instalación son comentados en la versión sin dominio, vamos a centrarnos en las diferencias para no extendernos demasiado. Una de las principales diferencias es a la hora de crear el dominio, donde antes le decíamos que se configurase sin él, ahora le indicamos que cree uno nuevo usando el usuario privilegiado de Weblogic Server. Otra diferencia es en la pantalla de selección de componentes, aquí es muy importante no indicar más componentes de los necesarios, puesto que tendríamos problemas de dependencias. 21

22 Prácticamente, estos son los cambios más importantes. Ya que los restantes son idénticos a los descritos en la instalación de OID sin dominio. El siguiente paso es el de conectar con OID. Conectar con Oracle Internet Directory Llegados a este punto, disponemos de los siguientes datos: Host: Protocolo: windows LDAP v3 Puerto: 3060 Base: Usuario: dc=example,dc=com orcladmin Pass: ********* Puesto que OID trabaja con el estándar de directorio es totalmente compatible con todas las herramientas de administración de directorio. De tal forma que podemos utilizar herramientas externas a Oracle para administrar OID. Administración de Oracle Internet Directory La administración de este servicio se puede realizar de varias formas: A alto nivel. Usando la consola de administración. A bajo nivel. Usando una herramienta que interactúe directamente con el LDAP de OID. Administración de OID mediante la consola web Para poder administrar OID usando la consola de administración, debemos de haberlo instalado integrándolo en un dominio WebLogic. Accedemos a la consola ingresando la siguiente URL en nuestro navegador web: Donde windows es nuestro host y 7005 es el puerto en el que WebLogic nos sirve la web de administración. 22

23 Una vez ingresada la URL nos encontramos con la siguiente pantalla: Aparentemente no nos ofrece una interfaz muy compleja pero esto se debe a que previamente tenemos que conectarnos a nuestro servicio de directorio. Para ello hacemos clic en el símbolo que hay justo al lado del reloj en la parte superior de la interfaz. En la siguiente imagen podemos verlo mejor: 23

24 Si hacemos clic en Crear Nueva Conexión se nos abrirá una nueva ventana en la que podremos ingresar los datos necesarios para crear el enlace a nuestro directorio. Una vez creada la conexión, nos aparecerá la siguiente pantalla, en la que podemos ver las diferentes secciones del panel de administración. 24

25 Secciones del panel de administración de la consola web: Explorador de Datos. Esquema. Seguridad. Avanzada. Explorador de Datos. Nos ofrece la posibilidad de crear, copiar y eliminar objetos directamente del directorio. Esquema. Permite que adaptemos la estructura de nuestro directorio a nuestras necesidades, en esta sección podremos crear, copiar y eliminar atributos, clases de objetos y en general modificar la estructura del directorio. 25

26 Seguridad. En esta sección podremos modificar los privilegios que tienen los usuarios sobre otros objetos del directorio, además de las políticas de contraseñas y las restricciones mínimas de fortaleza. Avanzada. Nos permite realizar operaciones más complejas como la de conectar nuestro OID con otro servicio de directorio de una tecnología diferente como puede ser un Directorio Activo de Windows. 26

27 Administración de OID mediante aplicaciones externas En este caso veremos un ejemplo de administración a bajo nivel. Para ello vamos a utilizar una herramienta llamada Apache Directory Studio la cual podemos descargar desde su web oficial: Iniciamos Apache Directory Studio. Hacemos clic en New->LDAP Connection. Ingresamos los datos necesarios, en este caso el nombre de host, el puerto y tipo de autenticación. 27

28 Cuando lo hayamos introducido, hacemos clic en Check Network Parameter y verificamos que los parámetros de red sean correctos. Una vez hecho esto cliqueamos en Next. Volverá a aparecer una pantalla similar en la que se nos pide que introduzcamos el usuario y la contraseña con el que nos conectaremos. Verificamos la autenticación haciendo clic en Check Authentication y ya hemos terminado de configurar la conexión. Nuestro directorio de OID presenta el siguiente aspecto: 28

29 Si buscamos, por ejemplo la información del usuario con el que nos conectamos, comprobamos que dispone de atributos y object class totalmente estándares como InetOrgPerson y Person. Pero eso no es todo Nos damos cuenta de que también dispone de atributos totalmente compatibles con sistemas Unix, lo que nos da la posibilidad de crear no solo un sistema centralizado de cuentas de BD sino que también nos brinda todas las posibilidades que nos ofrece un servicio de directorio estándar. Podemos ver que dispone de varios tipos de HASH de contraseñas, entre ellos un atributo uid y un atributo userpassword que además contiene un HASH del tipo SSHA, lo que nos proporciona automáticamente una posibilidad de centralizar usuarios de máquinas UNIX sin necesidad de realizar muchos cambios en la estructura del directorio. 29

30 Autenticación de Oracle Database con usuarios de Oracle Internet Directory Antes de comenzar con éste apartado, dejaremos claro que NO hemos podido conseguir una autenticación de este tipo, por lo que explicaremos el proceso de configuración hasta el punto en el que hemos podido llegar. Básicamente existen dos archivos a modificar para conseguir este tipo de autenticación. LDAP.ORA En el que debemos añadir la configuración necesaria para que Oracle se conecte con el servidor LDAP. SQLNET.ORA En el que debemos añadir a la instrucción NAMES.DIRECTORY_PATH el parámetro LDAP, para que utilice dicha autenticación. 30

31 Una vez hecho esto, la conexión se realizaría insertando el usuario de una de las siguientes formas: connect connect Creemos que es posible que falte algún tipo de configuración en un fichero distinto a los mencionados. Referencias e información. Es conveniente saber estar actualizado de posibles problemas de incompatibilidad y actualizaciones de productos Oracle, por ello hemos recolectado en esta sección parte de las fuentes en las que nos hemos documentado para la realización de este documento y algunas otras muy interesantes. En esta página podemos encontrar todo tipo de manuales relacionados con Oracle Fusion Middelware. Es completísima y está hecha por Oracle. Todo el contenido está en inglés como en casi todas las páginas medianamente decentes :-p. 31

32 Página de contenido para administradores de base de datos con diversos contenidos. Temas de seguridad, desarrollo, administración, herramientas, características del rendimiento, desde las versiones 8i hasta la 11g, así como foros, scripts, documentos técnicos Página con más de posts a cerca de Oracle, con más de miembros. Un foro de lo más completo. 32

33 Sitio para buscar noticias, consejos y trucos, guiones y documentos de interés sobre Oracle, página de origen europeo (Belga). Comunidad de Oracle en español!!! Parecida a dba fórums pero en español y con un poco menos de posts. 33

34 DBAPool es básicamente un sitio que atienden las necesidades de los administradores de base de datos, especialmente las personas que utilizan Oracle como base de datos. Un grupo de trabajadores españoles con amplios conocimientos en Oracle Fusion Middleware, que quieren compartir sus conocimientos. Esto es todo, esperamos que les haya servido nuestro documento sobre la implantación y la autenticación mediante un servicio LDAP en Oracle. 34