Thursday, May 17. 2012
Beberapa kali saya menemukan problem instalasi FreeIPA server yang hampir serupa. Ternyata problemnya ada di pkisilent, yang selengkapnya bisa dibaca di beberapa link referensi yang saya cantumkan pada bagian akhir. Error yang muncul seperti ini:
##########################################################################################################
....
Configuring directory server for the CA: Estimated time 30 seconds
[1/3]: creating directory server user
[2/3]: creating directory server instance
[3/3]: restarting directory server
done configuring pkids.
Configuring certificate server: Estimated time 3 minutes 30 seconds
[1/17]: creating certificate server user
[2/17]: creating pki-ca instance
[3/17]: configuring certificate server instance
root : CRITICAL failed to configure ca instance Command '/usr/bin/perl /usr/bin/pkisilent 'ConfigureCA' '-cs_hostname' '389ds.linux.jc' '-cs_port' '9445' '-client_certdb_dir' '/tmp/tmp-LPWTqp' '-client_certdb_pwd' XXXXXXXX '-preop_pin' 'GWxPSve53pUveFqn73uf' '-domain_name' 'IPA' '-admin_user' 'admin' '-admin_email' 'root@localhost' '-admin_password' XXXXXXXX '-agent_name' 'ipa-ca-agent' '-agent_key_size' '2048' '-agent_key_type' 'rsa' '-agent_cert_subject' 'CN=ipa-ca-agent,O=LINUX.JC' '-ldap_host' '389ds.linux.jc' '-ldap_port' '7389' '-bind_dn' 'cn=Directory Manager' '-bind_password' XXXXXXXX '-base_dn' 'o=ipaca' '-db_name' 'ipaca' '-key_size' '2048' '-key_type' 'rsa' '-key_algorithm' 'SHA256withRSA' '-save_p12' 'true' '-backup_pwd' XXXXXXXX '-subsystem_name' 'pki-cad' '-token_name' 'internal' '-ca_subsystem_cert_subject_name' 'CN=CA Subsystem,O=LINUX.JC' '-ca_ocsp_cert_subject_name' 'CN=OCSP Subsystem,O=LINUX.JC' '-ca_server_cert_subject_name' 'CN=389ds.linux.jc,O=LINUX.JC' '-ca_audit_signing_cert_subject_name' 'CN=CA Audit,O=LINUX.JC' '-ca_sign_cert_subject_name' 'CN=Certificate Authority,O=LINUX.JC' '-external' 'false' '-clone' 'false'' returned non-zero exit status 255
Unexpected error - see ipaserver-install.log for details:
Configuration of CA failed
##########################################################################################################
Sedangkan jika kita check di dalam file /var/log/ipaserver-install.log muncul pesan seperti:
##########################################################################################################
...
2012-05-17 16:35:34,073 DEBUG duration: 3 seconds
2012-05-17 16:35:34,073 DEBUG [3/17]: configuring certificate server instance
2012-05-17 16:35:34,227 DEBUG args=/usr/bin/perl /usr/bin/pkisilent 'ConfigureCA' '-cs_hostname' '389ds.linux.jc' '-cs_port' '9445' '-client_certdb_dir' '/tmp/tmp-LPWTq
p' '-client_certdb_pwd' XXXXXXXX '-preop_pin' 'GWxPSve53pUveFqn73uf' '-domain_name' 'IPA' '-admin_user' 'admin' '-admin_email' 'root@localhost' '-admin_password' XXXXXX
XX '-agent_name' 'ipa-ca-agent' '-agent_key_size' '2048' '-agent_key_type' 'rsa' '-agent_cert_subject' 'CN=ipa-ca-agent,O=LINUX.JC' '-ldap_host' '389ds.linux.jc' '-ldap
_port' '7389' '-bind_dn' 'cn=Directory Manager' '-bind_password' XXXXXXXX '-base_dn' 'o=ipaca' '-db_name' 'ipaca' '-key_size' '2048' '-key_type' 'rsa' '-key_algorithm'
'SHA256withRSA' '-save_p12' 'true' '-backup_pwd' XXXXXXXX '-subsystem_name' 'pki-cad' '-token_name' 'internal' '-ca_subsystem_cert_subject_name' 'CN=CA Subsystem,O=LINU
X.JC' '-ca_ocsp_cert_subject_name' 'CN=OCSP Subsystem,O=LINUX.JC' '-ca_server_cert_subject_name' 'CN=389ds.linux.jc,O=LINUX.JC' '-ca_audit_signing_cert_subject_name' 'C
N=CA Audit,O=LINUX.JC' '-ca_sign_cert_subject_name' 'CN=Certificate Authority,O=LINUX.JC' '-external' 'false' '-clone' 'false'
2012-05-17 16:35:34,227 DEBUG stdout=libpath=/usr/lib
#######################################################################
#######################################################################
2012-05-17 16:35:34,227 DEBUG stderr=Exception in thread "main" java.lang.NoClassDefFoundError: 'ConfigureCA'
Caused by: java.lang.ClassNotFoundException: 'ConfigureCA'
at java.net.URLClassLoader$1.run(URLClassLoader.java:217)
at java.security.AccessController.doPrivileged(Native Method)
at java.net.URLClassLoader.findClass(URLClassLoader.java:205)
at java.lang.ClassLoader.loadClass(ClassLoader.java:321)
at sun.misc.Launcher$AppClassLoader.loadClass(Launcher.java:294)
at java.lang.ClassLoader.loadClass(ClassLoader.java:266)
Could not find the main class: 'ConfigureCA'. Program will exit.
2012-05-17 16:35:34,227 CRITICAL failed to configure ca instance Command '/usr/bin/perl /usr/bin/pkisilent 'ConfigureCA' '-cs_hostname' '389ds.linux.jc' '-cs_port' '9445' '-client_certdb_dir' '/tmp/tmp-LPWTqp' '-client_certdb_pwd' XXXXXXXX '-preop_pin' 'GWxPSve53pUveFqn73uf' '-domain_name' 'IPA' '-admin_user' 'admin' '-admin_email' 'root@localhost' '-admin_password' XXXXXXXX '-agent_name' 'ipa-ca-agent' '-agent_key_size' '2048' '-agent_key_type' 'rsa' '-agent_cert_subject' 'CN=ipa-ca-agent,O=LINUX.JC' '-ldap_host' '389ds.linux.jc' '-ldap_port' '7389' '-bind_dn' 'cn=Directory Manager' '-bind_password' XXXXXXXX '-base_dn' 'o=ipaca' '-db_name' 'ipaca' '-key_size' '2048' '-key_type' 'rsa' '-key_algorithm' 'SHA256withRSA' '-save_p12' 'true' '-backup_pwd' XXXXXXXX '-subsystem_name' 'pki-cad' '-token_name' 'internal' '-ca_subsystem_cert_subject_name' 'CN=CA Subsystem,O=LINUX.JC' '-ca_ocsp_cert_subject_name' 'CN=OCSP Subsystem,O=LINUX.JC' '-ca_server_cert_subject_name' 'CN=389ds.linux.jc,O=LINUX.JC' '-ca_audit_signing_cert_subject_name' 'CN=CA Audit,O=LINUX.JC' '-ca_sign_cert_subject_name' 'CN=Certificate Authority,O=LINUX.JC' '-external' 'false' '-clone' 'false'' returned non-zero exit status 255
2012-05-17 16:35:34,233 DEBUG Configuration of CA failed
File "/usr/sbin/ipa-server-install", line 1173, in <module>
rval = main()
File "/usr/sbin/ipa-server-install", line 974, in main
subject_base=options.subject)
File "/usr/lib/python2.7/site-packages/ipaserver/install/cainstance.py", line 537, in configure_instance
self.start_creation("Configuring certificate server", 210)
File "/usr/lib/python2.7/site-packages/ipaserver/install/service.py", line 248, in start_creation
method()
File "/usr/lib/python2.7/site-packages/ipaserver/install/cainstance.py", line 680, in __configure_instance
raise RuntimeError('Configuration of CA failed')
##########################################################################################################
Untuk melakukan workaround, kita harus melakukan patch pada file /usr/lib/python2.7/site-packages/ipaserver/install/cainstance.py. File patch bisa didownload di https://fedorahosted.org/freeipa/attachment/ticket/2529/freeipa-rcrit-985-shellescape.patch , atau kita edit sendiri file tersebut dengan menambahkan comment sign ('#') atau menghilangkan baris:
args[2:] = [ipautil.shell_quote(i) for i in args[2:]]
Untuk cara patching:
root# patch -p1 /usr/lib/python2.7/site-packages/ipaserver/install/cainstance.py < /path/ke/file/freeipa-rcrit-985-shellescape.patch
Setelah itu uninstall terlebih dahulu setup FreeIPA server sebelumnya dengan: ipa-server-install --uninstall , lalu jalankan setup lagi dengan: ipa-server-install.
Referensi:
Tuesday, April 17. 2012
Suatu ketika saya tidak sengaja shutdown paksa server FreeIPA saya, sehingga ketika server tersebut dipower-on, ipa.service tidak mau up. Setelah diperiksa log di /var/log/messages muncul pesan gagal seperti:
Apr 18 05:14:14 ipa ns-slapd[1446]: [18/Apr/2012:05:14:14 +0700] startup - The default password storage scheme SSHA could not be read or was not found in the file /etc/dirsrv/slapd-PKI-IPA/dse.ldif. It is mandatory.
Apr 18 05:14:14 ipa systemd[1]: dirsrv@DOT-JC.service: control process exited, code=exited status=1
Untuk merestore kembali file tersebut, kita bisa menyalin dari file .bak yang ada pada direktori yang sama. Bisa kita check terlebih dahulu dengan perintah: locate dse.ldif yang kemudian muncul output:
/etc/dirsrv/slapd-DOT-JC/dse.ldif
/etc/dirsrv/slapd-DOT-JC/dse.ldif.bak
/etc/dirsrv/slapd-DOT-JC/dse.ldif.startOK
/etc/dirsrv/slapd-PKI-IPA/dse.ldif
/etc/dirsrv/slapd-PKI-IPA/dse.ldif.bak
/etc/dirsrv/slapd-PKI-IPA/dse.ldif.startOK
/usr/share/dirsrv/data/template-dse.ldif
Salin semua file .bak ke nama file asli di direktori yang sama:
shell> cp /etc/dirsrv/slapd-DOT-JC/dse.ldif.bak /etc/dirsrv/slapd-DOT-JC/dse.ldif
shell> cp /etc/dirsrv/slapd-PKI-IPA/dse.ldif.bak /etc/dirsrv/slapd-PKI-IPA/dse.ldif
Setelah itu restart semua service yang berhubungan dengan FreeIPA server:
shell> systemctl restart dirsrv@PKI-IPA.service
shell> systemctl restart ipa.service
shell> service named restart
Tuesday, March 27. 2012
Karena harus mengaudit file konfigurasi sebuah sistem (dalam hal ini Nagios), tiba-tiba harus merapikan file supaya tidak bingung membaca file config-nya. Kalau kita pernah mengkonfigurasi Nagios, biasanya kita mendapati file nagios.cfg terdapat banyak sekali file yang di-comment untuk memberikan keterangan sebuah baris konfigurasi atau sekedar mendisable sebuah opsi konfigiurasi (silahkan lihat file nagios.cfg). Karena kebanyakan baris-baris seperti ini tidak saya butuhkan, saya perlu meremove semua baris yang berawalan tanda comment (biasanya diawali dengan tanda '#') dari file nagios.cfg. Sebelum melakukan ini, saya menyalin file asli ke file dengan nama lain (misal nagios.cfg.original), untuk jaga-jaga jika saya tidak sengaja merusak file konfig, sehingga saya masih punya backup. Untuk proses menghilangkan baris yang saya maksud di atas, perintahnya adalah (semua menggunakan sudo):
$ sudo sed '/^#/d' nagios.cfg > nagios.cfg.temp
Perintah di atas akan menghilangkan semua baris yang diawali dengan tanda '#' dan menyalinnya ke file nagios.cfg.temp. Kenapa harus ke nama file yang berbeda? Karena juga langsung diwrite di file nagios.cfg maka kita akan mendapati hasil filenya kosong. Pada file nagios.cfg.temp jika kita lihat maka semua baris yang berawalan tanda comment ('#') sudah dihilangkan, tetapi masih ada yang mengganjal karena masih banyak space kosong di sana sini. Untuk menghilangkan space kosong tersebut caranya:
$ sudo sed '/./!d' nagios.cfg.temp > nagios.cfg
Di sini output filenya sengaja saya langsungkan ke file nagios.cfg lagi karena saya yakin hasilnya sudah benar. Jika kita tidak yakin akan hasilnya, bisa diredirect ke nama file yang berbeda lagi, misall nagios.cfg.temp2. Setelah dicheck isi file tersebut benar, baru direname menjadi nagios.cfg.
Monday, March 26. 2012
Pada saat awal instalasi Fedora 16, saya mendapat nama interface-nya berbeda dengan biasanya. Kalo biasanya saya menjalankan ifconfig akan mendapati semacam eth0, eth1, eth2, eth0:2, eth2:4, sit0, dst, kali ini yang muncul adalah p3p1. WTF?
p3p1 Link encap:Ethernet HWaddr 00:0C:29:42:7A:3D
inet addr:192.168.216.140 Bcast:192.168.216.255 Mask:255.255.255.0
inet6 addr: fe80::20c:29ff:fe42:7a3d/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:449 errors:0 dropped:0 overruns:0 frame:0
TX packets:114 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:34547 (33.7 KiB) TX bytes:12395 (12.1 KiB)
Interrupt:19 Base address:0x2000
Ternyata nama interface tersebut muncul dari penamaan BIOS. Untuk mendisable penamaan dari BIOS, cukup ditambahkan opsi biosdevname=0 di dalam file /etc/grub2.conf. Edit file sehingga nampak seperti:
### BEGIN /etc/grub.d/10_linux ###
menuentry 'Fedora (3.2.7-1.fc16.i686)' --class fedora --class gnu-linux --class gnu --class os {
load_video
set gfxpayload=keep
insmod gzio
insmod part_gpt
insmod ext2
set root='(hd0,gpt2)'
search --no-floppy --fs-uuid --set=root ac2b3f09-0298-4a5a-bb55-5fe8ea4e2855
echo 'Loading Fedora (3.2.7-1.fc16.i686)'
linux /vmlinuz-3.2.7-1.fc16.i686 ...(opsi macem-macem di sini)... biosdevname=0
echo 'Loading initial ramdisk ...'
initrd /initramfs-3.2.7-1.fc16.i686.img
Setelah itu restart/reboot, dan saya mendapati nama interface eth0.
Friday, March 23. 2012
Kali ini dapat PR membuat sebuah sistem untuk mengatur privilege ke resource jaringan secara terpusat. Kenapa? Begini ceritanya.
Sebelumnya saya pernah bekerja di sebuah ISP dengan jangkauan layanan yang mencakup area cukup luwas (Jawa, Bali, Sumatra, Kalimantan, Sulawesi, Irian, dst). Dengan jumlah POP (Point of Presence) yang cukup banyak, maka perangkat yang dimiliki di daerah-daerah tersebut juga cukup banyak. Untuk bisa menghandle administrasi perangkat, masing-masing teknisi di daerah memiliki akses ke perangkat-perangkat tersebut. Akses yang didapat adalah shared account. Semua login dan password dibuat dengan pola yang hampir sama untuk memudahkan akses. Masalahnya, karena ini perusahaan cukup besar, maka frekuensi karyawan yang masuk dan resign pun cukup besar. Sehingga untuk blocking karyawan yang sudah resign ke resource jaringan juga akan sulit, dikarenakan shared access itu tadi.
Contoh kasus lain adalah pada sebuah perusahaan yang memiliki cukup banyak server *Nix dan juga cukup banyak teknisi support. Jika di dalam skema perusahaan seperti ini masih menggunakan shared account, maka akan rentan sekali terhadap penyusupan, bukan hanya dari karyawan yang sudah resign, bahkan juga dari internal sendiri.
Lalu idenya adalah, setiap karyawan diberikan privilege account khusus bagi dirinya sendiri. Credential account karyawan yang satu dengan yang lain dibuat berbeda, supaya karyawan A tidak bisa menggunakan accoun karyawan B, begitu juga sebaliknya. JIka kelak karyawan A atau karyawan B sudah tidak bekerja di perusahaan tersebut, maka administrator cukup menghapus informasi account karyawan yang bersangkutan sehingga akses ke resource jaringan perusahaan tersebut tidak bisa dilakukan lagi.
LDAP (Lightweight Directory Access Protocol)
Kandidat protokol yang kemudian muncul adalah LDAP. Sedangkan distro yang paling cepat bisa kita temukan adalah Microsoft Active Directory (AD). AD cukup powerful, dan mudah sekali memanage-nya. Untuk perusahaan-perusahaan yang minim support IT dan ingin menjalankan manajemen account, AD sepertinya menjadi solusi paling gampang. Banyak sekali software jaringan dan perangkat yang sudah support authentikasi via AD. Hanya saja yaaaa... berbayar.
Kandidat lainnya adalah OpenLDAP, software opensource yang pada umumnya berjalan di *Nix (rekomendasi di Linux). Agak ribet dalam instalasinya, tapi sudah bisa mendekati AD, walaupun tidak se-powerful AD. Untuk yang ingin belajar bagaimana protokol dan cara kerja LDAP, sebaiknya memulai dari OpenLDAP ini terlebih dahulu, baru nanti berikutnya mencoba sendiri AD.
FreeIPA (IPA - Identity, Policy, Audit)
Sekedar kopi paste dari Wikipedia, FreeIPA adalah project yang disponsori oleh RedHat untuk membuat sistem pengaturan single sign-on dan kemudahan pengaturan identitas dan policy yang berjalan di atas OS Linux. Intinya paket ini akan menyerupai Novell's Identity dan Microsoft Active Directory. Perbedaannya adalah, FreeIPA ini bahkan bisa mengatur privilege user dalam sebuah sistem melalui sudo. Pada dasarnya FreeIPA ini adalah identity management, sehingga sebuah server Linux bisa menjadi identity/authentication domain. Untuk keterangan lebih detail mengenai FreeIPA, silahkan baca di https://docs.fedoraproject.org/en-US/Fedora/15/html/FreeIPA_Guide/index.html. Tulisan kali ini hanya membahas cara instalasi dan contoh penggunaan sederhana. FreeIPA saat ini (terutama per tanggal tulisan ini) hanya bisa diinstall di Fedora. Sedangkan client yang support FreeIPA adalah OS RedHat Enterprise, Fedora, Solaris, AIX, HP-UX, Mac OS X, dan MS-Windows. Pada setup berikut ini server FreeIPA yang digunakan adalah Fedora 16, dan untuk client yang akan dicoba adalah CentOS 6 (CentOS termasuk varian dari RedHat, jadi sudah support untuk FreeIPA client, tetapi tidak bisa disetup sebagai FreeIPA server). Idealnya, jaringan tersebut bisa bekerja dengan topologi seperti berikut ini:
 Semua server (print server, database server, file server, mail server dan NFS server) disetup sebagai FreeIPA client. DNS server digunakan untuk mempermudah pencarian FreeIPA server dan FreeIPA client dalam jaringan. NFS server digunakan untuk mensikronisasi home directory user ke semua server, sehingga mempermudah penambahan dan penghapusan user (otomatis akan menambah dan menghapus homedir juga). Secara fisik, fungsi NFS server ini bisa di mana saja, tidak harus sebuah NFS standalone. Topologi ini bertujuan untuk mempermudah administrasi dan manajemen server. Semua entiti dalam jaringan ini juga tidak harus terpisah secara fisik. Bahkan semuanya bisa dijadikan satu, kecuali FreeIPA server-nya.
INSTALASI/SETUP
Untuk contoh instalasi dan setup kali ini, saya akan menggunakan topologi yang paling sederhana, yaitu dengan satu FreeIPA server (Fedora core 16), dan sebuah FreeIPA client (CentOS 6).
Oh ya, sebelumnya saya mengasumsikan bahwa kita akan melakukan semua kegiatan ini via ssh dari sebuah workstation Windows (saya menggunakan Windows 7). Hal ini penting saya sebutkan, karena untuk mengakses Web GUI FreeIPA server, akan menjadi sedikit berbeda dari OS Windows. Nanti akan saya bahas ketika sudah selesai instalasi.
Untuk setup OS Fedora dan CentOS tidak akan dibahas di sini, saya mengasumsikan sudah ada dua server yang siap sesuai dengan kebutuhan di atas. Jika kita kesulian menyiapka ke-2 server tersebut, kita bisa menggunakan VMWare untuk percobaan ini. Asal tidak untuk sistem produksi, VMWare bajakan sudah lebih dari cukup. Hehehehe...
FreeIPA Server Setup
Continue reading "Setup Manajemen ID dengan FreeIPA Server/Client (Tulisan 1)"
Friday, March 2. 2012
Kalo kita sering bermain SSL certificate, sampe numpuk-numpuk create-nya, ada kemungkinan kita akan mendapatkan error semacam ini. Kalau kasus saya pada saat menginstal aplikasi IPA (Identity, Policy, Audit), baik di rumah maupun di kantor dengan menggunakan browser yang sama (Firefox).
Ah iya, saya lupa menyebutkan bahwa error yang saya dapatkan ini dari browser Firefox di Win 7. Setelah browsing ke sana ke mari akhirnya saya mendapati bahwa saya hanya harus men-delete file cert8.db yang berlokasi di
C:\Users\<user win 7>\AppData\Roaming\Mozilla\Firefox\Profiles\trmzzmkd.default\
setelah itu tinggal restart Firefox dan error di atas hilang. Bukan cara elegan sih, tapi.. ya gitu deh...it works. :P
Sunday, February 26. 2012
Awalnya sih cuma pengen mengedit string "example.com" dengan (misal) "dot.jc" pas sedang setup konfigurasi OpenLDAP. Sebenarnya sih bisa diedit satu-satu. Tapi yang namanya terdistraksi, apapun bisa terjadi (termasuk browse ke 9gag, heheheh). Karena string yang mau saya ganti berada di dalam multiple file, akhirnya saya bikin sekrip seperti ini:
#!/bin/bash
TSTRING="example.com"
TNEW="dot.jc"
DTARGET="/etc/ldap/*.*"
BAK="/etc/ldap/backup"
TEMP="/tmp/out.tmp.$$"
[ ! -d $BAK ] && mkdir -p $BAK || :
for f in $DTARGET
do
if [ -f $f -a -r $f ]; then
/bin/cp -f $f $BAK
sed "s/$TSTRING/$TNEW/g" "$f" > $TEMP && mv $TEMP "$f"
else
echo "Error: Cannot read $f"
fi
done
Setelah itu chmod +x file di atas supaya bisa dieksekusi (bisa juga dengan menjalanlan : sh namafile). Cuma sayangnya jika di dalam direktori target ada subdirektori lagi, sekrip ini akan menampilkan error "Error: Cannot read file".
Continue reading "[iseng] mengganti string di dalam multiple file dengan sed"
|
