Présentation de l’architecture LDAP à intégrer
Cette section va permettre d’exploiter les différentes études menées lors du chapitre Planification de l’intégration d’un annuaire LDAP dans le cadre de l’intégration d’une architecture LDAP dans un véritable réseau de production d’entreprise ultra-sécurisé de type "DataCenter". Il faudra donc positionner l’annuaire LDAP en tant que service d’authentification auprès de divers clients.
Ainsi, cet environnement héberge une centaine de serveurs Linux Red Hat appartenant à une trentaine de clients de l’entreprise. À cela s’ajoute une dizaine de serveurs dits d’infrastructure permettant d’encadrer ou d’administrer les serveurs hébergés. Ce sont par exemple des serveurs de surveillance (monitoring), de courrier (mail), de temps (ntp), de noms (dns), de virtualisation (ESX) et aussi des équipements matériels de type routeur Cisco ou de carte HP ILO.
Quelques applications notamment de sauvegarde et de surveillance auront elles aussi accès au service d’authentification LDAP, et viennent donc compléter la liste des applications devant utiliser le service d’authentification LDAP.
Tous les serveurs et applications clientes de l’annuaire LDAP sont isolés par client au niveau réseau à l’aide de vLAN. Ainsi, les serveurs de différents clients ne pourront jamais communiquer entre eux. Seule l’architecture LDAP pourra communiquer avec l’ensemble des serveurs des clients. Il sera également possible de filtrer les clients LDAP en fonction de leurs adresses réseau.
Par ailleurs, l’accès au service d’annuaire nécessitera une authentification de liaison simple, excluant l’accès anonyme et non authentifié, et nécessitant le protocole sécurisé LDAPS (dans la mesure, bien entendu, où tous les clients LDAP sont compatibles).
Aussi, il faudra alors distinguer les équipes techniques locales de l’entreprise gérant le "Datacenter" qui devront pouvoir accéder à l’ensemble des serveurs (serveurs de l’infrastructure et serveurs des clients hébergés), des équipes applicatives de chacun des clients hébergés qui, eux, seront seulement habilités à se connecter à leurs propres serveurs. Un système de privilège d’accès au contenu de l’annuaire devra être mis en place afin de cloisonner les accès aux serveurs et aux applications en fonction de la nature de l’utilisateur (par équipe et par client). Ce point sera réalisé par le biais d’ACL positionnées sur différentes branches de l’annuaire.
Par ailleurs, afin de faciliter l’utilisation des comptes LDAP des équipes locales de l’entreprise, il conviendra d’utiliser l’authentification par la technique du PTA aux annuaires Windows Active Directory de notre organisation ; et dans ce cas, le serveur LDAP deviendra en quelque sorte un "proxy Active Directory". Les mots de passe des utilisateurs de l’entreprise seront donc validés par les serveurs AD, mais ceux des clients seront validés par le service LDAP. En revanche, la gestion des accréditations de l’ensemble des utilisateurs du DataCenter sera totalement prise en charge par l’annuaire LDAP.
Puis, afin de garantir une haute disponibilité du service d’annuaire, une topologie de type local en réplication Peer To Peer avec l’apport d’un commutateur IP applicatif en "frontend" sera privilégiée. Selon le type de "load-balance" utilisé, il pourra se charger aussi d’équilibrer la charge de chacun des annuaires.
Et pour finir, quand cela sera possible, la mise en cache des mots de passe sera activée sur chacun des clients LDAP.
Voici un schéma (figure 4-1) qui permet de visualiser l’architecture LDAP à réaliser dans son ensemble.
¬
Figure 4-1 : Topologie de l’infrastructure LDAP
Pour réaliser cette architecture, il faut donc commencer par l’installation du serveur OpenLDAP.