[RISOLTO] Console WAPT - Nuovo utente (Enterprise)

[alain17]

Buongiorno,

Sto attualmente eseguendo alcuni test su una versione Enterprise nell'ambito della mia valutazione del prodotto WAPT e ho riscontrato un problema per il quale non sono riuscito a trovare una soluzione. Pertanto, apro questa discussione qui. Sto utilizzando una versione Enterprise su Ubuntu 20.04 LTS per il server e le workstation di distribuzione/amministrazione eseguono Windows 10.

Voglio consentire a diversi amministratori di gestire la nostra infrastruttura IT composta da circa un centinaio di postazioni di lavoro. Questo risolve il problema delle assenze e la responsabilità individuale della distribuzione di pacchetti e aggiornamenti. A tal fine, ho creato un account utente per uno dei miei colleghi nella console WAPT e gli ho concesso i privilegi necessari (può visualizzare tutte le opzioni di cui ha bisogno). Tuttavia, non è in grado di distribuire i pacchetti perché gli agenti rifiutano il suo certificato.

Ecco cosa ho già controllato:

• La sua chiave è correttamente elencata sul server in /var/www/ssl/
• Può creare pacchetti (incluso l'aggiornamento WAPT) ma non può distribuirli
• I pacchetti da lui creati non possono essere distribuiti da altri utenti

Come posso assicurarmi che il mio certificato sia distribuito correttamente su ciascun agente, in modo che possa gestirli e che i pacchetti che crea siano distribuibili? Non ho trovato alcuna opzione da nessuna parte.

Grazie in anticipo per il vostro prezioso aiuto.

[sfontenau]

Salve,

ogni utente possiede un certificato? Si tratta di un certificato rilasciato da un'autorità (firmato da una CA) o di un certificato autofirmato?

In genere, la procedura è la seguente:

viene generata una chiave per ogni entità (sito) o tecnico.
Il certificato viene assegnato all'utente nell'ACL e successivamente viene specificato il campo "Consenti dove viene distribuito il certificato utente" nell'ACL.

Utilizzando la chiave di amministratore (la chiave con i privilegi più elevati, la chiave master), viene creato un pacchetto di certificati (Repository privato -> Genera un modello di pacchetto -> Pacchetto di certificati) e viene selezionato il certificato da inserire nel pacchetto.

Questo pacchetto di certificati può quindi essere distribuito alle macchine a cui il tecnico ha accesso.
Una volta distribuito il pacchetto sulla macchina, il tecnico visualizzerà la macchina nella console (non prima) e la macchina accetterà le azioni originate da questo certificato.

[alain17]

Buongiorno,

Grazie per la pronta risposta. Sì, ogni utente ha il proprio certificato autofirmato generato al primo accesso alla console. Questo significa che devo recuperare il file .crt di ogni tecnico e caricarlo sulla console come amministratore tramite ACL?

Per quanto riguarda la distribuzione alle postazioni di lavoro, significa che se ho 15 tecnici (oltre all'amministratore), devo creare 15 pacchetti di certificati e distribuirli alle macchine necessarie? È corretto?

Una volta distribuito il pacchetto sulla macchina, il tecnico vedrà la macchina nella console (non prima) e la macchina accetterà le azioni provenienti da questo certificato

Attualmente il mio tecnico non può inviare pacchetti, ma riesce comunque a vedere tutte le mie macchine di prova, il che mi è sembrato strano (ma non illogico).

[sfontenau]

Salve,

grazie per la pronta risposta. Sì, ogni utente ha il proprio certificato autofirmato generato al primo accesso alla console. Questo significa che devo recuperare il file .crt di ogni tecnico e aggiungerlo alla console come amministratore tramite ACL?

Per quanto riguarda la distribuzione alle workstation, significa che se ho 15 tecnici (oltre all'amministratore), devo creare 15 pacchetti di certificati e distribuirli alle macchine necessarie? È corretto?

Sì, è proprio così.

L'altro metodo, a volte più semplice, consiste nell'eseguirlo per entità (una CA per entità):

- CA Global
---- Tecnico globale 1
---- Tecnico globale 2
- Sito CA di Parigi
---- Tecnico Parigi 1
---- Tecnico Parigi 2
- Sito CA Nantes
---- Tecnico Nantes 1
---- Tecnico Nantes 2


Le postazioni di lavoro presso la sede di Nantes dispongono della chiave Nantes e della chiave Global
Le posizioni sul sito di Parigi hanno la chiave Parigi e Global

Quando generi chiavi tramite la console per i tuoi tecnici, puoi specificare il genitore (l'autorità).

Per gli agenti, quando un pacco viene firmato dai figli dell'autorità, allora il pacco è accettato.

Questa modalità evita di distribuire il certificato di ciascun tecnico su ogni macchina, ma distribuisce solo le autorità

Attualmente, il mio tecnico non può distribuire pacchetti, ma può vedere tutte le mie macchine di test, il che mi è sembrato strano (ma non illogico).

In effetti, il tuo tecnico può vedere tutto in questo momento perché il suo ACL "Visualizza" deve essere in modalità "Consenti qualsiasi perimetro" oppure il suo ACL è impostato su amministratore

[alain17]

Buongiorno,

Ho riprovato con l'approccio orientato alla CA, che mi sembra elegante. Quindi ho proceduto come segue:

1. Ho creato un certificato CA da gestire per l'organizzazione (autofirmato)
2. Ho creato un certificato per il mio tecnico, firmato dal consiglio di amministrazione dell'organizzazione
3. In qualità di amministratore, ho creato un pacchetto di certificati e ho inviato il mio certificato CA a tutte le macchine necessarie
4. Agendo ancora come amministratore, ho firmato nuovamente tutti i pacchetti con il certificato CA
5. Ho creato un utente per il mio tecnico e gli ho assegnato, tramite ACL, il suo certificato firmato dalla CA
6. Sulla postazione di lavoro del tecnico, ho distribuito il certificato CA tramite WAPT, ho copiato il certificato e la chiave del tecnico nella directory "privata" (tra l'altro, è stata riconosciuta correttamente) e ho effettuato l'accesso con successo al suo account

Tuttavia, nonostante tutto questo, non riesco ancora a distribuire correttamente i pacchetti. Quando eseguo un'azione come la verifica degli aggiornamenti o l'avvio di installazioni, non succede nulla (non viene creata o eseguita alcuna attività). Eppure mi sembra di aver fatto tutto correttamente, non è vero?

Ho provato anche a inviare pacchetti con un secondo amministratore il cui certificato assegnato è quello della CA, ma non funziona nulla, non viene eseguita alcuna azione a meno che non la faccia il mio amministratore iniziale... Confesso che non ci capisco più niente.

In effetti, il tuo tecnico può vedere tutto in questo momento perché il suo ACL "Visualizza" deve essere in modalità "Consenti qualsiasi perimetro" oppure il suo ACL è impostato su amministratore

Assolutamente, questo spiega tutto, grazie

[alain17]

Ciao di nuovo,

ho fatto qualche progresso provando un'altra idea che mi è venuta in mente: ho creato una nuova versione del pacchetto di aggiornamento WAPT e l'ho firmata con la CA interna (autofirmata). Questo ha distribuito tutti i certificati, ma non ha risolto il problema iniziale: i pacchetti non possono ancora essere distribuiti né dal tecnico né dal secondo amministratore.

Ammetto di essere un po' disperato; ho dedicato molto tempo a questa configurazione e a cercare di capire cosa non va (compreso il mio fine settimana perché le mie risorse sono molto limitate), e vorrei davvero arrivare alla fine senza dover usare un singolo account (per giunta un account amministratore!) per gestire tutto.

[sfontenau]

Nelle macchine su cui vengono eseguiti i test, nella scheda dei certificati, vedi i certificati autorizzati (CA) che hai menzionato?

[alain17]

Sì, assolutamente. I certificati sono effettivamente distribuiti sulle macchine e compaiono nella scheda "Certificati", da qui la mia confusione.

MODIFICA: Questo mi ha dato un'idea; ho creato un nuovo tecnico con un nuovo certificato il cui genitore è il certificato CA del mio amministratore principale. L'operazione è andata a buon fine e il nuovo tecnico può effettuare la distribuzione. A questo punto, mi chiedo perché la seconda CA non funzioni.

MODIFICA 2: Bene, dopo aver riavviato tutto, funziona. Non so se sia stato il pacchetto di certificati ad avere effetto o la distribuzione di un pacchetto di aggiornamento WAPT, ma l'importante è che abbia funzionato.