Habilitación del registro Kerberos en el servidor WAPT (Ubuntu ARM)

[calvo]

Hola,

acabo de actualizar mi servidor en Oracle Cloud (Ubuntu 24.04 arm64 a la versión 2.6.1.17834) y, al mismo tiempo, quería configurar los prerrequisitos para habilitar el registro Kerberos antes de reiniciar el postconf.

Mi problema es que el paquete "libnginx-mod-http-auth-spnego" aparentemente no está disponible en los repositorios oficiales de Ubuntu ni en el repositorio WAPT (https://wapt.tranquil.it/Ubuntu/wapt-2.6/).
Navegué un poco por "https://wapt.tranquil.it/Ubuntu" pero solo encontré paquetes para Arch amd64 y, si no recuerdo mal, para Nginx 1.18 (pero es la versión 1.24 la que distribuyen los repositorios oficiales de Ubuntu). En efecto, existen versiones arm64 del paquete en "https://wapt.tranquil.it/Debian", pero solo hasta nginx 1.18. ¿

Estoy, por lo tanto, "atascado" y no es posible el registro Kerberos para un servidor amr64 en Ubuntu 24.04 (nginx 1.24)? ¿O existe algún paquete disponible para la arquitectura amr64 (quizás en un repositorio de terceros que desconozco)? ¿O alguna otra solución alternativa?

Saludos,
Bastien

[Sfonteneau]

Hola,

acabo de agregarlo para Ubuntu 24 (para Ubuntu 26 ya está en los repositorios de Ubuntu).

Simon

[calvo]

Hola Simon, ¡

Gracias por añadir el paquete! Leí en algún lugar del foro, creo, que el paquete estaba disponible en Tranquil IT pero aún no en el repositorio de producción. Pero ya no estaba seguro...
Había descubierto que el paquete sí estaba disponible en los repositorios oficiales para Ubuntu 26, pero Oracle solo ofrece imágenes hasta 24.04 por ahora (y en el nivel gratuito, no se puede subir una imagen personalizada...).

No recordaba que el postconf requería varias piezas de información para generar un keytab cuando se configuraban los servidores del consejo...
Como aún no he configurado el cd en mi lado (que de todos modos no será escribible), para habilitar el registro Kerberos y evitar que se bloquee durante la ejecución del postconf, simplemente creé un keytab vacío manualmente, lo que me permitió omitirlo y completar la ejecución del postconf sin un mensaje de error.
Parece que está funcionando. Al registrar una nueva máquina, recurro correctamente al nombre de usuario/contraseña autenticados, y la máquina se registra correctamente. Posteriormente, una vez que el controlador de dominio esté configurado, reemplazaré el archivo keytab. ¡

Gracias de nuevo, Simon!

Un cordial saludo,
Bastien.

[dcardón]

Hola Bastien,

con respecto a la autenticación Kerberos, es importante saber que Active Directory no necesita ser visible para el servidor WAPT. El cliente WAPT simplemente necesita poder comunicarse con AD. Por lo tanto, si tienes un AD interno, puedes crear un archivo keytab y colocarlo en tu servidor WAPT.

Un pequeño consejo: en las versiones más recientes de OpenRSAT, puedes crear un archivo keytab directamente desde la interfaz de Usuarios y Equipos de Active Directory.

Saludos cordiales,

Denis

[calvo]

Hola Denis,

bueno, todavía no he configurado el controlador de dominio Samba en mi lado, pero sí, eso es lo que estaba planeando hacer:
- crear una cuenta de máquina para el servidor WAPT (con su nombre de host)
- asociar un SPN con él (HTTP/fqdn_wapt@DOMAIN.AD)desde una máquina Windows usando el comando `spn`
- luego generar el archivo keytab con ktpass
- y luego exportar el archivo al servidor WAPT para configurarlo.

No he tenido mucho tiempo para investigar OpenRSAT todavía, pero sí, podría ser una buena oportunidad para intentar generar el keytab con él.

De hecho, tuvimos una breve conversación telefónica sobre la migración/centralización de las escuelas CD82 con respecto a la concatenación de los keytabs (18 en total) con msktutil, lo que tomó mucho tiempo para las últimas escuelas durante la implementación de WAPT.
Finalmente identifiqué la causa del "problema" y, efectivamente, concatenar los 19 archivos keytab (hay un dominio adicional) ahora solo lleva unos segundos.

Saludos,
Bastien.