Seminar Verzeichnisdienste mit FreeIPA und LDAP an Open-Source-IAM anbinden

Ein lokaler Anmeldedienst benötigt eine verlässliche Identitätsbasis. Das Seminar untersucht, wann lokale Keycloak-Konten ausreichen und wann ein eigenständiges Verzeichnis für Benutzer, Gruppen und Infrastrukturzugriffe sinnvoll ist. FreeIPA dient als praktische Plattform für eine Linux-orientierte Umgebung.

Der Schwerpunkt liegt auf korrekt aufgebauten Verzeichnisobjekten und einer kontrollierten Anbindung an Keycloak. Benutzer werden über die vorgesehenen FreeIPA-Verwaltungswege angelegt; das ungezielte Schreiben in das LDAP-Verzeichnis wird nicht als Ersatz für die vollständige Benutzeranlage behandelt. Suchkonten erhalten nur die für ihre Aufgabe benötigten Rechte.

Die Migration aus einer Entra-geprägten Umgebung wird anhand von Attributen, eindeutigen Kennungen und neuen Anmeldeverfahren geplant. FreeIPA wird nicht als vollständiger Ersatz für Active Directory, Windows-Gruppenrichtlinien, Entra Join oder Intune dargestellt. Solche Anforderungen erhalten einen gesonderten Lösungs- und Prüfpfad.

Inhalte im Überblick

• Identitätsmodell und Infrastruktur
• FreeIPA verwalten
• LDAP sicher anbinden
• Keycloak User Federation
• Migration und Betriebsabgrenzung
• Integrations- und Fehlerprüfung

Seminarinhalte

Identitätsmodell und Infrastruktur

• Benutzerkennungen, UID/GID-Bereiche, Gruppen und Namenskonventionen planen.
• DNS, Zeitabgleich, Zertifikate und administrative Zuständigkeiten vorbereiten.
• LDAP-Verzeichnis, Kerberos-Anmeldung und Web-SSO funktional auseinanderhalten.

FreeIPA verwalten

• Eine vorbereitete Serverinstallation prüfen und Testbenutzer über Weboberfläche und CLI anlegen.
• Gruppen, Hostzuordnung und begrenzte Linux-Zugriffsregeln einrichten.
• Änderungen, Deaktivierung und Wiederherstellung von Testkonten nachvollziehen.

LDAP sicher anbinden

• Suchbasis, Filter, Objektklassen und stabile Identitätsattribute bestimmen.
• TLS-Vertrauen sowie ein eingeschränktes technisches Suchkonto einrichten.
• Zertifikatsfehler, unvollständige Suchergebnisse und Namenskollisionen untersuchen.

Keycloak User Federation

• Das Verzeichnis zunächst kontrolliert und mit begrenzten Schreibmöglichkeiten anbinden.
• Benutzerattribute und Gruppen über passende Mapper zuordnen.
• Synchronisationsverhalten, Cache, Passwortprüfung und Sperrwirkung messen.

Migration und Betriebsabgrenzung

• Eine bereinigte Testkontenliste mit eindeutiger Zuordnung in die lokale Identitätsbasis überführen.
• Neuvergabe von Zugangsdaten und Wiederregistrierung von Faktoren planen.
• Restbedarf für Windows-Domänendienste und Microsoft-Geräteverwaltung separat erfassen.

Integrations- und Fehlerprüfung

• Linux-Anmeldung und Web-SSO mit denselben Testidentitäten prüfen.
• Ausfall des Verzeichniszugriffs und eine Gruppenänderung beobachten.
• Berechtigungs- und Wiederanlauftests in einem Betriebsprotokoll festhalten.

Praktische Übungen

1. Namensraum und Benutzerattribute festlegen und einen Linux-Testclient anbinden.
2. Testbenutzer über FreeIPA anlegen sowie Gruppen und begrenzte Zugriffsrechte zuweisen.
3. Eine verschlüsselte LDAP-Suche mit einem eingeschränkten Dienstkonto ausführen.
4. Keycloak mit dem Verzeichnis verbinden und Login, Attributabbildung und Gruppenzuordnung prüfen.
5. Ein Konto deaktivieren und den tatsächlichen Entzug von Web- und Infrastrukturzugriffen dokumentieren.

Schulungsumgebung

Der Kunde stellt getrennte Linux-VMs für FreeIPA, Keycloak und einen Testclient sowie einen kontrollierten DNS-Namensraum bereit. Die Umgebung benötigt Zeitabgleich, erreichbare Zertifikatsdienste und zurücksetzbare Testdaten.