Abilitazione della registrazione Kerberos sul server WAPT (Ubuntu ARM)

[calvo]

Ciao,

ho appena aggiornato il mio server su Oracle Cloud (Ubuntu 24.04 arm64 alla versione 2.6.1.17834) e allo stesso tempo volevo impostare i prerequisiti per abilitare la registrazione Kerberos prima di riavviare il postconf.

Il mio problema è che il pacchetto "libnginx-mod-http-auth-spnego" non è apparentemente disponibile nei repository ufficiali di Ubuntu né nel repository WAPT (https://wapt.tranquil.it/Ubuntu/wapt-2.6/).
Ho dato un'occhiata a "https://wapt.tranquil.it/Ubuntu" ma ho trovato solo pacchetti per Arch amd64 e, se non ricordo male, per Nginx 1.18 (ma è la versione 1.24 quella distribuita dai repository ufficiali di Ubuntu). Esistono effettivamente versioni arm64 del pacchetto in "https://wapt.tranquil.it/Debian", ma solo fino a nginx 1.18.

Sono quindi "bloccato" e la registrazione Kerberos non è possibile per un server amr64 su Ubuntu 24.04 (nginx 1.24)? Oppure esiste un pacchetto disponibile per l'architettura amr64 (magari in un repository di terze parti di cui non sono a conoscenza)? O qualche altra soluzione alternativa?

Cordiali saluti,
Bastien

[sfontenau]

Ciao,

l'ho appena aggiunto per Ubuntu 24 (per Ubuntu 26 è già presente nei repository di Ubuntu).

Simon

[calvo]

Ciao Simon,

grazie per aver aggiunto il pacchetto! Ho letto da qualche parte sul forum, credo, che il pacchetto era disponibile presso Tranquil IT ma non ancora sul repository di produzione. Non ne ero più sicuro...
Ho scoperto che il pacchetto è effettivamente disponibile sui repository ufficiali per Ubuntu 26, ma Oracle offre solo immagini fino alla versione 24.04 per ora (e nel piano gratuito non è possibile caricare un'immagine personalizzata...).

Non ricordavo che il postconf richiedesse diverse informazioni per generare un keytab quando venivano configurati i server del consiglio...
Dato che non ho ancora configurato il CD (che comunque non sarà scrivibile), per abilitare la registrazione Kerberos ed evitare di essere bloccato durante l'esecuzione del postconf, ho semplicemente creato manualmente un keytab vuoto, il che mi ha permesso di aggirare il problema e completare l'esecuzione del postconf senza messaggi di errore.
Sembra funzionare. Quando registro una nuova macchina, utilizzo correttamente le credenziali di accesso autenticate e la macchina viene registrata correttamente. Provvederò a sostituire il file keytab in seguito, una volta che il controller di dominio sarà configurato.

Grazie ancora, Simon!

Cordiali saluti,
Bastien

[dcardon]

Ciao Bastien,

riguardo all'autenticazione Kerberos, è importante sapere che Active Directory non deve essere visibile al server WAPT. Il client WAPT deve semplicemente essere in grado di comunicare con AD. Quindi, se disponi di un Active Directory interno, puoi creare un keytab e posizionarlo sul tuo server WAPT.

Un piccolo suggerimento: nelle ultime versioni di OpenRSAT, puoi creare un keytab direttamente dall'interfaccia Utenti e computer di Active Directory.

Cordiali saluti,

Denis

[calvo]

Ciao Denis,

non ho ancora configurato il controller di dominio Samba da parte mia, ma sì, questo è quello che avevo intenzione di fare:
- creare un account macchina per il server WAPT (con il suo hostname)
- associarvi un SPN (HTTP/fqdn_wapt@DOMAIN.AD)da una macchina Windows usando il comando `spn`
- quindi generare il file keytab con ktpass
- e infine esportare il file sul server WAPT per configurarlo.

Non ho ancora avuto molto tempo per approfondire OpenRSAT, ma sì, potrebbe essere una buona opportunità per provare a generare il keytab con quello.

In realtà abbiamo avuto una breve conversazione telefonica sulla migrazione/centralizzazione delle scuole CD82 riguardo alla concatenazione dei keytab (18 in totale) con msktutil, che ha richiesto molto tempo per le ultime scuole durante l'implementazione di WAPT.
Ho finalmente individuato la causa del "problema" e, in effetti, la concatenazione dei 19 keytab (c'è un dominio in più) ora richiede solo pochi secondi.

Cordiali saluti,
Bastien