Configurar CIFS

El objetivo de esta configuración es permitir el uso de OpenKM como unidad remota mediante el protocolo CIFS. A continuación se describen dos formas de configurarlo:

• Autenticación mediante la base de datos
• Autenticación mediante Active Directory

Autenticación mediante la base de datos

Este es el caso más sencillo. Debe configurar las siguientes partes:

• Servidor OpenKM
• Configuración de OpenKM
• Cliente Windows

Servidor OpenKM

Si el sistema no puede iniciarse con permisos de root, los puertos indicados a continuación deben ser superiores a 1024 (los puertos por defecto del sistema son 138, 137, 139 y 445), por lo que es necesario redirigir los puertos originales a los nuevos. Para ello es necesario ejecutar los siguientes comandos como root o mediante sudo:

modprobe iptable_nat
iptables -F
iptables -t nat -F
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 445 -j DNAT --to-destination :1445
iptables -t nat -A PREROUTING -p tcp --dport 139 -j DNAT --to-destination :1139
iptables -t nat -A PREROUTING -p tcp --dport 137:139 -j DNAT --to-destination :1137-1139
iptables -t nat -A PREROUTING -p udp --dport 137:139 -j DNAT --to-destination  :1137-1139

Precaución

En ocasiones, con fines de prueba, es necesario acceder a CIFS desde el propio servidor local. En este caso, la configuración anterior no es suficiente y es necesario ejecutar los siguientes comandos:

iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport 445 -j REDIRECT --to-port 1445
iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport 139 -j REDIRECT --to-port 1139
iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport 137 -j REDIRECT --to-port 1137
iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport 138 -j REDIRECT --to-port 1138

Configuración de OpenKM

Para configurarlo, vaya a Administration > Configuration y cambie las siguientes propiedades:

Campo / Propiedad	Tipo	Descripción	Valor
system.cifs.server	Boolean	Propiedad para habilitar o deshabilitar CIFS.	true
system.cifs.authenticator.class	String	Clase utilizada por CIFS para autenticarse contra OpenKM.	com.openkm.integration.cifs.authenticator.DatabaseCIFSAuthenticator Según el adaptador de autenticación, debe utilizarse la clase de autenticación adecuada: com.openkm.integration.cifs.authenticator.DatabaseCIFSAuthenticator com.openkm.integration.cifs.authenticator.LdapCIFSAuthenticator
system.cifs.debug	Boolean	Propiedad utilizada para habilitar un registro detallado del funcionamiento de CIFS.	false
system.cifs.domain.name	String	Dominio o grupo de trabajo donde está instalado el servidor OpenKM.
system.cifs.hostname	String	Nombre de host donde está instalado OpenKM.	0.0.0.0
system.cifs.port.datagram	Integer	Número de puerto utilizado por los datagramas.	Por defecto 1138
system.cifs.port.name	Integer	Número de puerto utilizado por CIFS.	Por defecto 1137
system.cifs.port.session	Integer	Número de puerto utilizado por la sesión.	Por defecto 1139
system.cifs.port.smb	Integer	Número de puerto utilizado por SMB.	Por defecto 1445
system.cifs.shared.name	String	Propiedad para indicar el nombre del repositorio	Por defecto el nombre es repository

Precaución

Tras cambiar estas propiedades, debe reiniciarse OpenKM.

Precaución

Si no se trata de una instalación nueva de OpenKM, es importante restablecer las contraseñas de los usuarios desde la administración de OpenKM (aunque sea la misma contraseña) para generar una versión md4 necesaria para la autenticación.

Cliente Windows

Es necesario modificar una Local Security Policy. Para ello, vaya a Control Panel → Administrative Tools → Local Security Policy → Local Policies → Security Options:

Nota

Network Security Option: acceda a LAN Manager Authentication Level y seleccione: Send LM & NTLM: Use NTLMv2 session security if negotiated.

Nota

También puede habilitarlo ejecutando el siguiente comando desde la línea de comandos: 

REG ADD “HKLM\SYSTEM\CurrentControlSet\Control\Lsa” /v “LmCompatibilityLevel” /t “REG_DWORD” /d “1” /f

Puede que también necesite reiniciar el sistema operativo.

 Después, para conectarse a la máquina remota, vaya a Computer → Map Network Drive:

• Drive: cualquier letra disponible
• Folder: \\server_ip\repository O \\server_name\repository
• Connect using different credentials (márquelo si el usuario y la contraseña de Windows son distintos de los del usuario de OpenKM).

Después haga clic en el botón Finish.

Precaución

Si se ha marcado la conexión con credenciales diferentes, aparecerá una nueva ventana para introducir las credenciales correspondientes.

Nota

También puede hacerlo ejecutando el siguiente comando desde la línea de comandos: 

net use \\\ /user: y, como ejemplo: net use Z: \\server_ip\repository O \\server_name\repository /user:okmAdmin admin_password

Autenticación mediante Active Directory

En este caso, partimos de la suposición de que el sistema ya se ha integrado con Active Directory. A partir de este punto será necesario configurar:

• Active Directory
• Servidor OpenKM
• Configuración de OpenKM
• Cliente Windows

Active Directory

Es necesario crear un usuario que OpenKM, mediante una clave privada, utilizará para validar las credenciales de la petición CIFS entrante. Para ello deben seguirse los siguientes pasos:

1. Cree un Computer Object que será el correspondiente al servidor OpenKM.

2. Una vez creado, modifique sus propiedades habilitando la propiedad Trusted for Delegation. 1. Trusted for Delegation: este paso es importante porque, si no se habilita, el cliente y el servidor no podrán negociar.

3. El servidor debe autenticarse contra Active Directory antes de validar los tickets enviados por el cliente. Esta autenticación se realiza mediante un archivo (keytab) que asocia el servicio (servidor de aplicaciones) con un usuario de dominio. Este usuario debe utilizarse única y exclusivamente para este fin, porque si se utiliza para iniciar sesión en otro equipo, no podrá iniciar sesión al mismo tiempo en el servidor de aplicaciones. Una vez creado el usuario, se configuran sus propiedades para que no permitan la modificación de la contraseña y para evitar la caducidad de la cuenta. Por último, seleccione la pestaña Account y habilite la opción Do not require Kerberos preauthentication en la sección Account Options. Para este ejemplo, el usuario creado se llama servercifs.

4. Seleccione la pestaña Account y habilite la opción Do not require Kerberos preauthentication en la sección Account Options.

5. Genere el archivo keytab. Este archivo es una copia codificada de la clave privada de un usuario en kerberos. La aplicación web lo utiliza como proxy de autenticación de las credenciales enviadas por el usuario. Se ejecuta el siguiente comando:

    ktpass -princ cifs/tomcat.example.com@EXAMPLE.COM -mapuser servercifs@EXAMAPLE.COM -crypto all -kvno 0 \        -ptype KRB5_NT_PRINCIPAL -pass * -out cifs.keytab -kvno 0

   -   es importante destacar:
   1\. [tomcat.example.com@EXAMPLE.COM:](mailto:tomcat.example.com@EXAMPLE.COM:) el nombre completo del servidor tomcat y su dominio.
   2\. servercifs@EXAMAPLE.COM : el usuario creado anteriormente.
   3\. cifs.keytab: archivo donde se exporta la clave privada que utilizará el servidor Tomcat.

6. Es necesario configurar un Service Principal Name (SPN) con CIFS y un nombre de servidor, por ejemplo: tomcat.example.org, donde se ejecuta el contenedor de servlets tomcat. Se utiliza con el usuario de dominio y su keytab se utiliza después como credencial de servicio:

   C:\> setspn -A cifs/tomcat.example.org servercifs
   
   C:\> setspn -A cifs/tomcat.example.org servercifs@EXAMPLE.COM

   Nota

   Donde tomcat.example.org es la máquina en la que se ejecuta el contenedor de servlets tomcat y servercifs es el usuario creado previamente. 

   Normalmente el comando “ktpass” anterior debería crear el servicio cifs/tomcat.example.org; al intentar crearlo, se producirá un error indicando que ya está presente.

Servidor OpenKM en la configuración de Active Directory

Deben seguirse los siguientes pasos:

Incluir el servidor en el dominio

Lo primero que debe hacerse es incluir el servidor de aplicaciones en el dominio, si no se hizo previamente. Para ello siga la guía siguiente:

http://cerowarnings.blogspot.com.es/2011/11/how-to-linux-en-dominio-windows.html

Un aspecto a tener en cuenta es añadir la siguiente configuración al archivo /etc/host para evitar problemas conocidos:

# ldap in /etc/hosts
192.168.1.110 example.com
192.168.1.110 Schema.Configuration.example.com
192.168.1.110 Configuration.example.com
192.168.1.110 DomainDnsZones.example.com
192.168.1.110 ForestDnsZones.example.com

Redirigir los puertos necesarios

Si el sistema no puede iniciarse con permisos de root, los puertos indicados a continuación deben ser superiores a 1000 (los puertos por defecto del sistema son 138, 137, 139, 445), por lo que es necesario redirigir los puertos originales a los nuevos. Para ello es necesario ejecutar los siguientes comandos como root o mediante sudo:

$ modprobe iptable_nat
$ iptables -F
$ iptables -t nat -F
$ iptables -P INPUT ACCEPT
$ iptables -P FORWARD ACCEPT
$ iptables -P OUTPUT ACCEPT
$ iptables -t nat -A PREROUTING -p tcp --dport 445 -j DNAT --to-destination :1445
$ iptables -t nat -A PREROUTING -p tcp --dport 139 -j DNAT --to-destination :1139
$ iptables -t nat -A PREROUTING -p tcp --dport 137:139 -j DNAT --to-destination :1137-1139
$ iptables -t nat -A PREROUTING -p udp --dport 137:139 -j DNAT --to-destination  :1137-1139

Precaución

En ocasiones, con fines de prueba, es necesario acceder a CIFS desde el propio servidor local. En este caso, la configuración anterior no es suficiente y son necesarios los siguientes comandos:

$ iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 –dport 445 -j REDIRECT –to-port 1445
$ iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 –dport 139 -j REDIRECT –to-port 1139
$ iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 –dport 137 -j REDIRECT –to-port 1137
$ iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 –dport 138 -j REDIRECT –to-port 1138

Archivo de configuración de kerberos

Instale el cliente kerberos:

$ apt-get krb5-user krb5-config

Antes de iniciar la aplicación, Kerberos debe configurarse correctamente para validar los tickets. En los sistemas Linux este archivo se encuentra en “/etc/kbr5.conf”.

En este archivo deben especificarse el dominio, el servidor KDC y los algoritmos permitidos. Los algoritmos más importantes son arcfour-hmac-md5 y rc4-hmac, que ofrece Microsoft Active Directory.

Precaución

A partir de la configuración krb5.con por defecto, realice únicamente los cambios sugeridos que se muestran a continuación.

[libdefaults]
default_realm = EXAMPLE.COM
#these are mandatory for kerberos.
permitted_enctypes = aes128-cts rc4-hmac
default_tgs_enctypes = aes128-cts rc4-hmac
default_tkt_enctypes = aes128-cts rc4-hmac
[realms]
EXAMPLE.COM = {
   kdc = SERVER.example.com
   admin_server = SERVER.example.com
  default_domain = EXAMPLE.COM
}
[domain_realm]
  example.com = EXAMPLE.COM
 .example.com = EXAMPLE.COM

Archivo cifs.login.config

Cree un archivo de configuración necesario para habilitar el inicio de sesión de java con el siguiente contenido:

JLANServerCIFS{
com.sun.security.auth.module.Krb5LoginModule required
storeKey=true
useKeyTab=true
keyTab="/path/to/cifs.keytab"
principal="cifs/tomcat.example.com";
};

Como podemos observar:

• JLANServerCIFS se corresponde con la propiedad system.cifs.ldap.login.entry
• La propiedad principal se corresponde con la propiedad: system.cifs.ldap.principal
• La propiedad keytab es el lugar seguro donde se ha copiado el archivo .keytab creado previamente, que contiene la clave para acceder a Active Directory.

Nota

El archivo suele encontrarse en la carpeta JRE/lib/security. No obstante, puede colocarse en cualquier lugar con un mínimo de seguridad.

Habilitar la configuración de inicio de sesión de Java.

Para habilitar el inicio de sesión de java, es necesario cambiar la configuración del archivo de seguridad de Java, que suele estar en: JRE/lib/security/java.security, y añadir la siguiente línea:

login.config.url.1= file:${java.home}/lib/security/cifs.login.config where cifs.login.config is the file created in the prevous section.

Nota

El valor por defecto ${java.home}/lib/security puede cambiarse por cualquier otra ruta donde se haya almacenado el archivo jlan.login.config creado anteriormente.

Configuración de OpenKM en la configuración de Active Directory

Para configurarlo: vaya a Administration > Configuration y cambie las siguientes propiedades:

Campo / Propiedad	Tipo	Descripción	Valor
system.cifs.server	Boolean	Propiedad para activar o desactivar CIFS	true
system.cifs.authenticator.class	String	Clase utilizada por CIFS para autenticarse contra OpenKM	com.openkm.integration.cifs.authenticator.LdapCIFSAuthenticator Según el adaptador de autenticación, debe utilizarse la clase de autenticación adecuada: com.openkm.integration.cifs.authenticator.DatabaseCIFSAuthenticator com.openkm.integration.cifs.authenticator.LdapCIFSAuthenticator
system.cifs.debug	Boolean	Propiedad utilizada para habilitar un registro detallado del funcionamiento de CIFS	false
system.cifs.domain.name	String	Dominio o grupo de trabajo donde está instalado el servidor OpenKM	EXAMPLE
system.cifs.hostname	String	Nombre de host donde está instalado OpenKM	0.0.0.0
system.cifs.ldap.kdc	String	Nombre del servidor de Active Directory	server.example.com
system.cifs.ldap.principal	String	Servicio creado previamente en Active Directory	cifs/tomcat.example.com
system.cifs.ldap.password	String	Contraseña del usuario creado con fines de autenticación	En el ejemplo el usuario era servercifs
system.cifs.ldap.realm	String	Nombre del dominio donde está instalado Active Directory	EXAMPLE.COM
system.cifs.ldap.login.entry	String	Nombre de la configuración de Kerberos dentro del archivo de configuración	JLANServerCIFS
system.cifs.port.datagram	Integer	Número de puerto utilizado por los datagramas	Por defecto 1138
system.cifs.port.name	Integer	Número de puerto utilizado por cifs	Por defecto 1137
system.cifs.port.session	Integer	Número de puerto utilizado por la sesión	Por defecto 1139
system.cifs.port.smb	Integer	Número de puerto utilizado por smb	Por defecto 1445
system.cifs.shared.name	String	Propiedad para indicar el nombre del repositorio	Por defecto el nombre es repository

Precaución

Tras cambiar estas propiedades, debe reiniciarse OpenKM.

Cliente Windows en la configuración de Active Directory

Es necesario modificar una Local Security Policy. Para ello, vaya a Controls Panel → Administrative Tools → Local Security Policy → Local Policies → Security Options: 

Nota

Network Security Option: LAN Manager authentication Level y seleccione: Send LM & NTLM: Use NTLMv2 session security if negotiated.

Nota

También puede hacerlo ejecutando el siguiente comando desde la línea de comandos: 

REG ADD “HKLM\SYSTEM\CurrentControlSet\Control\Lsa” /v “LmCompatibilityLevel” /t “REG_DWORD” /d “1” /f

  Después, para conectarse a la máquina remota, vaya a Computer → Map Network Drive:

• Drive: cualquier letra disponible

• Folder: \\server_name\repository

• Connect using different credentials (márquelo si el usuario y las contraseñas de Windows son distintos de los del usuario de OpenKM).

Después haga clic en el botón Finish. 

Precaución

Si se ha marcado “connect using different credentials”, aparecerá una nueva ventana para introducir las credenciales correspondientes.

Nota

También puede hacerlo ejecutando el siguiente comando desde la línea de comandos: 

net use \\\ /user: y, como ejemplo: net use Z: \\server_name\repository /user:okmAdmin admin_password