Configurando CIFS

El objetivo de esta configuración es permitir ver OpenKM como una unidad remota usando el protocolo CIFS. A continuación se describen las dos formas de configurarlo:

• Autenticación usando la base de datos
• Autenticación usando Active Directory

Precaución

Esta integración solo funciona con SMBv1, que está deshabilitado por defecto en Windows 10. Si quiere habilitarlo, abra una PowerShell y siga estos pasos:

> Get-WindowsOptionalFeature -Online -FeatureName smb1protocol
> Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol
> Enable-WindowsOptionalFeature -Online -FeatureName smb1protocol

Después, necesita reiniciar el servidor. Más información en How to detect, enable and disable SMBv1, SMBv2, and SMBv3 in Windows.

Autenticación por base de datos

Este es el caso más simple. Debe configurar estas partes:

• Servidor OpenKM
• Configuración de OpenKM
• Cliente Windows

Servidor OpenKM

Si el sistema no puede iniciarse con permisos de root, los puertos mencionados abajo deben estar por encima de 1024 (los puertos por defecto del sistema son 138, 137, 139 y 445), así que es necesario redirigir los puertos originales a los nuevos. Para ello, ejecute los siguientes comandos como root o usando sudo:

echo 1 > /proc/sys/net/ipv4/ip_forward
modprobe iptable_nat
iptables -F
iptables -t nat -F
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 445 -j DNAT --to-destination :1445
iptables -t nat -A PREROUTING -p tcp --dport 139 -j DNAT --to-destination :1139
iptables -t nat -A PREROUTING -p tcp --dport 137:139 -j DNAT --to-destination :1137-1139
iptables -t nat -A PREROUTING -p udp --dport 137:139 -j DNAT --to-destination :1137-1139

Precaución

A veces, con fines de prueba, es necesario acceder a CIFS desde la propia máquina servidor. En este caso, la configuración anterior es insuficiente y es necesario ejecutar los siguientes comandos:

iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport 445 -j REDIRECT --to-port 1445
iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport 139 -j REDIRECT --to-port 1139
iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport 137 -j REDIRECT --to-port 1137
iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport 138 -j REDIRECT --to-port 1138

Configuración de OpenKM

Para configurarlo, vaya a Administration > Configuration y cambie las siguientes propiedades:

Field / Property	Type	Description	Value
system.cifs.server	Boolean	Propiedad para habilitar o deshabilitar CIFS.	true
system.cifs.authenticator.class	String	Clase usada por CIFS para autenticar contra OpenKM.	com.openkm.integration.cifs.authenticator.DatabaseCIFSAuthenticator Dependiendo de los valores del adaptador de autenticación, debe usarse la clase autenticadora adecuada: com.openkm.integration.cifs.authenticator.DatabaseCIFSAuthenticator com.openkm.integration.cifs.authenticator.LdapCIFSAuthenticator
system.cifs.debug	Boolean	Propiedad usada para habilitar el registro detallado de la funcionalidad CIFS.	false
system.cifs.domain.name	String	Dominio o grupo de trabajo donde está instalado el servidor OpenKM.
system.cifs.hostname	String	Hostname donde está instalado OpenKM.	0.0.0.0
system.cifs.port.datagram	Integer	Número de puerto usado por los datagramas.	Por defecto 1138
system.cifs.port.name	Integer	Número de puerto usado por CIFS.	Por defecto 1137
system.cifs.port.session	Integer	Número de puerto usado por la sesión.	Por defecto 1139
system.cifs.port.smb	Integer	Número de puerto usado por SMB.	Por defecto 1445
system.cifs.shared.name	String	Propiedad para indicar el nombre del repositorio	Por defecto el nombre es repository

Precaución

Tras cambiar estas propiedades, OpenKM debe reiniciarse.

Precaución

Si esta no es una instalación nueva de OpenKM, es importante restablecer las contraseñas de usuario en OpenKM Administration Configuration (sin importar si es la misma contraseña) para generar la versión MD4 necesaria para la autenticación.

Cliente Windows

Es necesario modificar una Local Security Policy. Para ello, vaya a Control Panel → Administrative Tools → Local Security Policy → Local Policies → Security Options:

Nota

Establezca la opción Network security: LAN Manager authentication level a: Send LM & NTLM: Use NTLMv2 session security if negotiated.

Nota

También puede hacerlo ejecutando el siguiente comando desde la línea de comandos:

REG ADD “HKLM\SYSTEM\CurrentControlSet\Control\Lsa” /v “LmCompatibilityLevel” /t “REG_DWORD” /d “1” /f

Después, para conectar a la máquina remota, vaya a Computer → Map Network Drive:

• Drive: Cualquier letra de unidad disponible
• Folder: \\server_ip\repository O \\server_name\repository
• Connect using different credentials (marque esto si el usuario y contraseña de Windows son distintos de los del usuario de OpenKM).

Después haga clic en el botón Finish.

Precaución

Si se marcó ‘Connect using different credentials’, aparecerá una nueva ventana para introducir las credenciales correspondientes.

Nota

También puede hacerlo ejecutando el siguiente comando desde la línea de comandos:

net use \\\ /user: y como ejemplo: net use Z: \\server_ip\repository OR \\server_name\repository /user:okmAdmin admin_password

Precaución

Si obtiene un error de contraseña incorrecta, intente restablecer la contraseña del usuario en OpenKM Administration Configuration.

Autenticación con Active Directory

En este caso, se asume que el sistema fue previamente integrado con Active Directory. Será necesario configurar:

• Active Directory
• Servidor OpenKM
• Configuración de OpenKM
• Cliente Windows

Active Directory

Es necesario crear un usuario que OpenKM, usando una clave privada, usará para validar las credenciales de la petición CIFS entrante. Para ello, siga estos pasos:

1. Cree un Computer Object que será el correspondiente al servidor OpenKM.

2. Una vez creado, modifique sus propiedades habilitando la propiedad ‘Trusted for delegation’.

   1. Trusted for delegation. Este paso es importante porque, si no está habilitado, no será posible negociar entre el cliente y el servidor.

3. El servidor debe autenticarse contra Active Directory antes de validar los tickets enviados por el cliente. Esta autenticación se realiza usando un fichero (keytab) que asocia el servicio (servidor de aplicación) a un usuario del dominio. Este usuario debe usarse única y exclusivamente para este propósito, porque si se usa para iniciar sesión en otro equipo, no podrá usarse para iniciar sesión en el servidor de aplicación. Una vez creado el usuario, sus propiedades deben modificarse para impedir cambios de contraseña y deshabilitar la expiración de la cuenta. Finalmente, seleccione la pestaña Account y habilite Do not require Kerberos preauthentication en la sección Account Options. Para este ejemplo, se crea un usuario llamado servercifs.

4. Seleccione la pestaña Account y habilite la opción Do not require Kerberos preauthentication en la sección Account Options.

5. Genere el fichero keytab. Este fichero es una copia codificada de la clave privada de un usuario en Kerberos. Lo usa la aplicación web como proxy de autenticación para las credenciales enviadas por el usuario. Se ejecuta el siguiente comando:

    ktpass -princ cifs/tomcat.example.com@EXAMPLE.COM -mapuser servercifs@EXAMAPLE.COM -crypto all -kvno 0 \        -ptype KRB5_NT_PRINCIPAL -pass * -out cifs.keytab -kvno 0

   • Es importante destacar:
     1. tomcat.example.com@EXAMPLE.COM: Nombre completo del servidor Tomcat y su dominio.
     2. servercifs@EXAMAPLE.COM : Usuario creado previamente.
     3. cifs.keytab: fichero donde se almacena la clave privada exportada para su uso por el servidor Tomcat.

6. Es necesario configurar un Service Principal Name (SPN) con CIFS y un nombre de servidor; por ejemplo: tomcat.example.org donde se ejecuta el contenedor de servlets Tomcat. Esto se usa con un usuario del dominio y su keytab, que después se usa como credencial de servicio:

   C:\> setspn -A cifs/tomcat.example.org servercifs
   
   C:\> setspn -A cifs/tomcat.example.org servercifs@EXAMPLE.COM

   Nota

   Donde tomcat.example.org es la máquina donde se ejecuta el contenedor de servlets Tomcat y servercifs es el usuario creado previamente.

   Normalmente el comando anterior “ktpass” debería crear el servicio cifs/tomcat.example.org; si ya está creado, se mostrará un error indicando que ya existe.

Servidor OpenKM en configuración con Active Directory

Deben seguirse los siguientes pasos:

Introducir el servidor en el dominio

Lo primero que hay que hacer es incluir el servidor de aplicación en el dominio, si no se hizo previamente. Para ello, siga la guía:

http://cerowarnings.blogspot.com.es/2011/11/how-to-linux-en-dominio-windows.html

Algo a tener en cuenta es añadir la siguiente configuración al fichero /etc/hosts debido a problemas conocidos previamente:

# ldap in /etc/hosts
192.168.1.110 example.com
192.168.1.110 Schema.Configuration.example.com
192.168.1.110 Configuration.example.com
192.168.1.110 DomainDnsZones.example.com
192.168.1.110 ForestDnsZones.example.com

Redirigir los puertos necesarios

Si el sistema no puede iniciarse con permisos de root, los puertos mencionados abajo deben estar por encima de 1000 (los puertos por defecto del sistema son 138, 137, 139, 445), así que es necesario redirigir los puertos originales a los nuevos. Para ello, ejecute los siguientes comandos como root o usando sudo:

$ modprobe iptable_nat
$ iptables -F
$ iptables -t nat -F
$ iptables -P INPUT ACCEPT
$ iptables -P FORWARD ACCEPT
$ iptables -P OUTPUT ACCEPT
$ iptables -t nat -A PREROUTING -p tcp --dport 445 -j DNAT --to-destination :1445
$ iptables -t nat -A PREROUTING -p tcp --dport 139 -j DNAT --to-destination :1139
$ iptables -t nat -A PREROUTING -p tcp --dport 137:139 -j DNAT --to-destination :1137-1139
$ iptables -t nat -A PREROUTING -p udp --dport 137:139 -j DNAT --to-destination  :1137-1139

Precaución

A veces, con fines de prueba, es necesario acceder a CIFS desde la propia máquina servidor. En este caso, la configuración anterior es insuficiente y es necesario ejecutar los siguientes comandos:

$ iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 –dport 445 -j REDIRECT –to-port 1445
$ iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 –dport 139 -j REDIRECT –to-port 1139
$ iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 –dport 137 -j REDIRECT –to-port 1137
$ iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 –dport 138 -j REDIRECT –to-port 1138

Fichero de configuración de Kerberos

Instale el cliente Kerberos:

$ apt-get krb5-user krb5-config

Antes de iniciar la aplicación, Kerberos debe configurarse correctamente para validar los tickets de forma adecuada. En sistemas Linux este fichero está en “/etc/krb5.conf”.

En este fichero deben especificarse el Domain, el servidor KDC y los algoritmos permitidos. Los algoritmos más importantes son arcfour-hmac-md5 y rc4-hmac, que ofrece Microsoft Active Directory.

Precaución

Conserve la mayor parte de la configuración por defecto de krb5.conf y realice solo los cambios sugeridos abajo.

[libdefaults]
default_realm = EXAMPLE.COM
#these are mandatory for kerberos.
permitted_enctypes = aes128-cts rc4-hmac
default_tgs_enctypes = aes128-cts rc4-hmac
default_tkt_enctypes = aes128-cts rc4-hmac
[realms]
EXAMPLE.COM = {
   kdc = SERVER.example.com
   admin_server = SERVER.example.com
  default_domain = EXAMPLE.COM
}
[domain_realm]
  example.com = EXAMPLE.COM
 .example.com = EXAMPLE.COM

Fichero cifs.login.config

Cree un fichero de configuración necesario para habilitar el login de Java con el siguiente contenido:

JLANServerCIFS{
com.sun.security.auth.module.Krb5LoginModule required
storeKey=true
useKeyTab=true
keyTab="/path/to/cifs.keytab"
principal="cifs/tomcat.example.com";
};

Como puede observarse:

• JLANServerCIFS corresponde a la propiedad system.cifs.ldap.login.entry
• La propiedad principal corresponde a system.cifs.ldap.principal
• La propiedad keytab es la ubicación segura donde se ha copiado el fichero .keytab creado previamente, que contiene la clave para acceder a Active Directory.

Nota

El fichero se encuentra normalmente en la carpeta JRE/lib/security. Sin embargo, puede colocarse en cualquier lugar con un mínimo de seguridad.

Habilitar la configuración de login de Java.

Para habilitar el login de Java, es necesario cambiar la configuración del fichero de seguridad de Java, que normalmente se encuentra en: JRE/lib/security/java.security y añadir la siguiente línea:

login.config.url.1= file:${java.home}/lib/security/cifs.login.config where cifs.login.config is the file created in the previous section.

Nota

El valor por defecto ${java.home}/lib/security puede cambiarse a cualquier otra ubicación donde se haya almacenado el fichero cifs.login.config creado previamente.

Configuración de OpenKM en configuración con Active Directory

Para configurarlo: vaya a Administration > Configuration y cambie las siguientes propiedades:

Field / Property	Type	Description	Value
system.cifs.server	Boolean	Propiedad para activar o desactivar CIFS	true
system.cifs.authenticator.class	String	Clase usada por CIFS para autenticar contra OpenKM	com.openkm.integration.cifs.authenticator.LdapCIFSAuthenticator Dependiendo de los valores del adaptador de autenticación, debe usarse la clase autenticadora adecuada: com.openkm.integration.cifs.authenticator.DatabaseCIFSAuthenticator com.openkm.integration.cifs.authenticator.LdapCIFSAuthenticator
system.cifs.debug	Boolean	Propiedad usada para habilitar el registro detallado de la funcionalidad CIFS	false
system.cifs.domain.name	String	Dominio o grupo de trabajo donde está instalado el servidor OpenKM	EXAMPLE
system.cifs.hostname	String	Hostname donde está instalado OpenKM	0.0.0.0
system.cifs.ldap.kdc	String	Nombre del servidor Active Directory	server.example.com
system.cifs.ldap.principal	String	Servicio creado previamente en Active Directory	cifs/tomcat.example.com
system.cifs.ldap.password	String	Contraseña del usuario creado para fines de autenticación	En el ejemplo el usuario era servercifs
system.cifs.ldap.realm	String	Nombre del dominio donde está instalado Active Directory	EXAMPLE.COM
system.cifs.ldap.login.entry	String	Nombre de la configuración Kerberos dentro del fichero de configuraciones	JLANServerCIFS
system.cifs.port.datagram	Integer	Número de puerto usado por los datagramas	Por defecto 1138
system.cifs.port.name	Integer	Número de puerto usado por CIFS	Por defecto 1137
system.cifs.port.session	Integer	Número de puerto usado para las sesiones	Por defecto 1139
system.cifs.port.smb	Integer	Número de puerto usado por SMB	Por defecto 1445
system.cifs.shared.name	String	Propiedad para indicar el nombre del repositorio	Por defecto el nombre es repository

Precaución

Tras cambiar estas propiedades, OpenKM debe reiniciarse.

Cliente Windows en configuración con Active Directory

Es necesario modificar una Local Security Policy. Para ello, vaya a Control Panel → Administrative Tools → Local Security Policy → Local Policies → Security Options:

Nota

Establezca la opción Network security: LAN Manager authentication level a: Send LM & NTLM: Use NTLMv2 session security if negotiated.

Nota

También puede hacerlo ejecutando el siguiente comando desde la línea de comandos:

REG ADD “HKLM\SYSTEM\CurrentControlSet\Control\Lsa” /v “LmCompatibilityLevel” /t “REG_DWORD” /d “1” /f

Después, para conectar a la máquina remota, vaya a Computer → Map Network Drive:

• Drive: Cualquier letra de unidad disponible
• Folder: \\server_name\repository
• Connect using different credentials (marque esto si el usuario y contraseña de Windows son distintos de los del usuario de OpenKM).

Después haga clic en el botón Finish.

Precaución

Si se marcó ‘Connect using different credentials’, aparecerá una nueva ventana para introducir las credenciales correspondientes.

Nota

También puede hacerlo ejecutando el siguiente comando desde la línea de comandos:

net use \\\ /user: y como ejemplo: net use Z: \\server_name\repository /user:okmAdmin admin_password