Configurar CIFS

El objetivo de esta configuración es permitir ver OpenKM como una unidad remota usando el protocolo CIFS. A continuación se describen las dos formas de configurarlo:

• Autenticación usando la base de datos
• Autenticación usando Active Directory

Precaución

Esta integración solo funciona con SMBv1, que está deshabilitado por defecto en Windows 10. Si quiere habilitarlo, abra una PowerShell y siga estos pasos:

> Get-WindowsOptionalFeature -Online -FeatureName smb1protocol
> Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol
> Enable-WindowsOptionalFeature -Online -FeatureName smb1protocol

Después, debe reiniciar el servidor. Más información en How to detect, enable and disable SMBv1, SMBv2, and SMBv3 in Windows.

Autenticación por base de datos

Este es el caso más simple. Debe configurar estas partes:

• Servidor OpenKM
• Configuración de OpenKM
• Cliente Windows

Servidor OpenKM

Si el sistema no puede iniciarse con permisos de root, los puertos mencionados a continuación deben estar por encima de 1024 (los puertos del sistema por defecto son 138, 137, 139 y 445), así que es necesario redirigir los puertos originales a otros nuevos. Para ello, ejecute los siguientes comandos como root o usando sudo:

echo 1 > /proc/sys/net/ipv4/ip_forward
modprobe iptable_nat
iptables -F
iptables -t nat -F
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 445 -j DNAT --to-destination :1445
iptables -t nat -A PREROUTING -p tcp --dport 139 -j DNAT --to-destination :1139
iptables -t nat -A PREROUTING -p tcp --dport 137:139 -j DNAT --to-destination :1137-1139
iptables -t nat -A PREROUTING -p udp --dport 137:139 -j DNAT --to-destination :1137-1139

Precaución

A veces, para propósitos de prueba, es necesario acceder a CIFS desde la propia máquina servidor local. En ese caso, la configuración anterior no es suficiente y es necesario ejecutar los siguientes comandos:

iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport 445 -j REDIRECT --to-port 1445
iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport 139 -j REDIRECT --to-port 1139
iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport 137 -j REDIRECT --to-port 1137
iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport 138 -j REDIRECT --to-port 1138

Configuración de OpenKM

Para configurarlo, vaya a Administration > Configuration y cambie las siguientes propiedades:

Campo / Propiedad	Tipo	Descripción	Valor
system.cifs.server	Boolean	Propiedad para habilitar o deshabilitar CIFS.	true
system.cifs.authenticator.class	String	Clase usada por CIFS para autenticarse contra OpenKM.	com.openkm.integration.cifs.authenticator.DatabaseCIFSAuthenticator Dependiendo de los valores del adaptador de autenticación, debe usarse la clase autenticadora adecuada: com.openkm.integration.cifs.authenticator.DatabaseCIFSAuthenticator com.openkm.integration.cifs.authenticator.LdapCIFSAuthenticator
system.cifs.debug	Boolean	Propiedad usada para habilitar el registro detallado de la funcionalidad CIFS.	false
system.cifs.domain.name	String	Dominio o grupo de trabajo donde está instalado el servidor OpenKM.
system.cifs.hostname	String	Hostname donde está instalado OpenKM.	0.0.0.0
system.cifs.port.datagram	Integer	Número de puerto usado por los datagramas.	Por defecto 1138
system.cifs.port.name	Integer	Número de puerto usado por CIFS.	Por defecto 1137
system.cifs.port.session	Integer	Número de puerto usado por la sesión.	Por defecto 1139
system.cifs.port.smb	Integer	Número de puerto usado por SMB.	Por defecto 1445
system.cifs.shared.name	String	Propiedad para indicar el nombre del repositorio	Por defecto el nombre es repository

Precaución

Tras cambiar estas propiedades, debe reiniciarse OpenKM.

Precaución

Si esta no es una instalación nueva de OpenKM, es importante restablecer las contraseñas de usuario en la configuración de administración de OpenKM (sin importar si es la misma contraseña), para generar la versión MD4 necesaria para la autenticación.

Cliente Windows

Es necesario modificar una directiva de seguridad local. Para ello, vaya a Panel de control → Herramientas administrativas → Directiva de seguridad local → Directivas locales → Opciones de seguridad:

Nota

Establezca la opción Seguridad de red: Nivel de autenticación de LAN Manager en: Enviar LM y NTLM: usar seguridad de sesión NTLMv2 si se negocia.

Nota

También puede hacerlo lanzando el siguiente comando desde la línea de comandos:

REG ADD “HKLM\SYSTEM\CurrentControlSet\Control\Lsa” /v “LmCompatibilityLevel” /t “REG_DWORD” /d “1” /f

Después, para conectarse a la máquina remota, vaya a Equipo → Conectar a unidad de red:

• Unidad: cualquier letra de unidad disponible
• Carpeta: \\server_ip\repository O \\server_name\repository
• Conectar usando credenciales diferentes (marque esto si el usuario y contraseña de Windows son distintos de los del usuario de OpenKM).

Después haga clic en el botón Finalizar.

Precaución

Si se marcó ‘Conectar usando credenciales diferentes’, aparecerá una nueva ventana para introducir las credenciales correspondientes.

Nota

También puede hacerlo lanzando el siguiente comando desde la línea de comandos:

net use \\\ /user: <contraseña>, por ejemplo: net use Z: \\server_ip\repository O \\server_name\repository /user:okmAdmin admin_password

Precaución

Si obtiene un error de contraseña incorrecta, intente restablecer la contraseña del usuario en la configuración de administración de OpenKM.

Autenticación por Active Directory

En este caso, se asume que el sistema ya estaba previamente integrado con Active Directory. Será necesario configurar:

• Active Directory
• Servidor OpenKM
• Configuración de OpenKM
• Cliente Windows

Active Directory

Es necesario crear un usuario que OpenKM, mediante una clave privada, usará para validar las credenciales de la solicitud CIFS entrante. Para ello, siga estos pasos:

1. Cree un objeto de equipo que será el correspondiente al servidor OpenKM.

2. Una vez creado, modifique sus propiedades habilitando la propiedad ‘De confianza para delegación’.

   1. De confianza para delegación. Este paso es importante porque, si no se habilita, no será posible negociar entre cliente y servidor.

3. El servidor debe autenticarse contra Active Directory antes de validar los tickets enviados por el cliente. Esta autenticación se realiza usando un fichero (keytab) que asocia el servicio (servidor de aplicaciones) con un usuario de dominio. Este usuario debe usarse única y exclusivamente para este propósito, porque si se usa este usuario para iniciar sesión en otro equipo, no podrá usarse para iniciar sesión en el servidor de aplicaciones. Una vez creado el usuario, deben modificarse sus propiedades para impedir cambios de contraseña y deshabilitar la caducidad de la cuenta. Finalmente, seleccione la pestaña Cuenta y habilite No requerir autenticación previa de Kerberos en la sección Opciones de cuenta. Para este ejemplo, se crea un usuario llamado servercifs.

4. Seleccione la pestaña Cuenta y habilite la opción No requerir autenticación previa de Kerberos en la sección Opciones de cuenta.

5. Genere el fichero keytab. Este fichero es una copia codificada de la clave privada de un usuario en Kerberos. Lo usa la aplicación web como proxy de autenticación para las credenciales enviadas por el usuario. Se ejecuta el siguiente comando:

    ktpass -princ cifs/tomcat.example.com@EXAMPLE.COM -mapuser servercifs@EXAMAPLE.COM -crypto all -kvno 0 \        -ptype KRB5_NT_PRINCIPAL -pass * -out cifs.keytab -kvno 0

   • Es importante destacar:
     1. tomcat.example.com@EXAMPLE.COM: Nombre completo del servidor Tomcat y su dominio.
     2. servercifs@EXAMAPLE.COM : usuario creado previamente.
     3. cifs.keytab: fichero donde se almacena la clave privada exportada para uso por el servidor Tomcat.

6. Es necesario configurar un Service Principal Name (SPN) con CIFS y un nombre de servidor; por ejemplo: tomcat.example.org, donde se ejecuta el contenedor de servlets Tomcat. Esto se usa con un usuario de dominio y su keytab, que después se usa como credencial del servicio:

   C:\> setspn -A cifs/tomcat.example.org servercifs
   
   C:\> setspn -A cifs/tomcat.example.org servercifs@EXAMPLE.COM

   Nota

   Donde tomcat.example.org es la máquina donde se ejecuta el contenedor de servlets Tomcat, y servercifs es el usuario creado anteriormente.

   Normalmente el comando anterior “ktpass” debería crear el servicio cifs/tomcat.example.org; si ya está creado, se producirá un error indicando que ya existe.

Servidor OpenKM en configuración con Active Directory

Deben seguirse los siguientes pasos:

Introducir el servidor en el dominio

Lo primero es incluir el servidor de aplicaciones en el dominio si no se hizo previamente. Para ello, siga la guía:

http://cerowarnings.blogspot.com.es/2011/11/how-to-linux-en-dominio-windows.html

Algo a tener en cuenta es añadir la siguiente configuración al fichero /etc/hosts debido a problemas conocidos previamente:

# ldap in /etc/hosts
192.168.1.110 example.com
192.168.1.110 Schema.Configuration.example.com
192.168.1.110 Configuration.example.com
192.168.1.110 DomainDnsZones.example.com
192.168.1.110 ForestDnsZones.example.com

Redirigir los puertos necesarios

Si el sistema no puede iniciarse con permisos de root, los puertos mencionados a continuación deben estar por encima de 1000 (los puertos del sistema por defecto son 138, 137, 139, 445), así que es necesario redirigir los puertos originales a otros nuevos. Para ello, ejecute los siguientes comandos como root o usando sudo:

$ modprobe iptable_nat
$ iptables -F
$ iptables -t nat -F
$ iptables -P INPUT ACCEPT
$ iptables -P FORWARD ACCEPT
$ iptables -P OUTPUT ACCEPT
$ iptables -t nat -A PREROUTING -p tcp --dport 445 -j DNAT --to-destination :1445
$ iptables -t nat -A PREROUTING -p tcp --dport 139 -j DNAT --to-destination :1139
$ iptables -t nat -A PREROUTING -p tcp --dport 137:139 -j DNAT --to-destination :1137-1139
$ iptables -t nat -A PREROUTING -p udp --dport 137:139 -j DNAT --to-destination  :1137-1139

Precaución

A veces, para propósitos de prueba, es necesario acceder a CIFS desde la propia máquina servidor local. En ese caso, la configuración anterior no es suficiente y es necesario ejecutar los siguientes comandos:

$ iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 –dport 445 -j REDIRECT –to-port 1445
$ iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 –dport 139 -j REDIRECT –to-port 1139
$ iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 –dport 137 -j REDIRECT –to-port 1137
$ iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 –dport 138 -j REDIRECT –to-port 1138

Fichero de configuración de Kerberos

Instale el cliente Kerberos:

$ apt-get krb5-user krb5-config

Antes de iniciar la aplicación, Kerberos debe configurarse correctamente para validar los tickets de forma adecuada. En sistemas Linux este fichero se encuentra en “/etc/krb5.conf”.

En este fichero deben especificarse el dominio, el servidor KDC y los algoritmos permitidos. Los algoritmos más importantes son arcfour-hmac-md5 y rc4-hmac, que ofrece Microsoft Active Directory.

Precaución

Conserve la mayor parte de la configuración por defecto de krb5.conf y realice solo los cambios sugeridos que se muestran a continuación.

[libdefaults]
default_realm = EXAMPLE.COM
#these are mandatory for kerberos.
permitted_enctypes = aes128-cts rc4-hmac
default_tgs_enctypes = aes128-cts rc4-hmac
default_tkt_enctypes = aes128-cts rc4-hmac
[realms]
EXAMPLE.COM = {
   kdc = SERVER.example.com
   admin_server = SERVER.example.com
  default_domain = EXAMPLE.COM
}
[domain_realm]
  example.com = EXAMPLE.COM
 .example.com = EXAMPLE.COM

Fichero cifs.login.config

Cree un fichero de configuración necesario para habilitar el login de Java, con el siguiente contenido:

JLANServerCIFS{
com.sun.security.auth.module.Krb5LoginModule required
storeKey=true
useKeyTab=true
keyTab="/path/to/cifs.keytab"
principal="cifs/tomcat.example.com";
};

Como puede observarse:

• JLANServerCIFS corresponde a la propiedad system.cifs.ldap.login.entry
• La propiedad principal corresponde a system.cifs.ldap.principal
• La propiedad keytab es la ubicación segura donde se ha copiado el fichero .keytab creado previamente, que contiene la clave para acceder a Active Directory.

Nota

El fichero suele encontrarse en la carpeta JRE/lib/security. Sin embargo, podría colocarse en cualquier lugar con un mínimo de seguridad.

Habilitar la configuración de login de Java.

Para habilitar el login de Java, es necesario cambiar la configuración del fichero de seguridad de Java, que suele estar en: JRE/lib/security/java.security, y añadir la siguiente línea:

login.config.url.1= file:${java.home}/lib/security/cifs.login.config where cifs.login.config is the file created in the previous section.

Nota

El valor por defecto ${java.home}/lib/security puede cambiarse a cualquier otra ubicación donde se haya almacenado el fichero cifs.login.config creado previamente.

Configuración de OpenKM en configuración con Active Directory

Para configurarlo: vaya a Administration > Configuration y cambie las siguientes propiedades:

Campo / Propiedad	Tipo	Descripción	Valor
system.cifs.server	Boolean	Propiedad para activar o desactivar CIFS	true
system.cifs.authenticator.class	String	Clase usada por CIFS para autenticarse contra OpenKM	com.openkm.integration.cifs.authenticator.LdapCIFSAuthenticator Dependiendo de los valores del adaptador de autenticación, debe usarse la clase autenticadora adecuada: com.openkm.integration.cifs.authenticator.DatabaseCIFSAuthenticator com.openkm.integration.cifs.authenticator.LdapCIFSAuthenticator
system.cifs.debug	Boolean	Propiedad usada para habilitar el registro detallado de la funcionalidad CIFS	false
system.cifs.domain.name	String	Dominio o grupo de trabajo donde está instalado el servidor OpenKM	EXAMPLE
system.cifs.hostname	String	Hostname donde está instalado OpenKM	0.0.0.0
system.cifs.ldap.kdc	String	Nombre del servidor Active Directory	server.example.com
system.cifs.ldap.principal	String	Servicio creado previamente en Active Directory	cifs/tomcat.example.com
system.cifs.ldap.password	String	Contraseña del usuario creado con fines de autenticación	En el ejemplo el usuario era servercifs
system.cifs.ldap.realm	String	Nombre del dominio donde está instalado Active Directory	EXAMPLE.COM
system.cifs.ldap.login.entry	String	Nombre de la configuración Kerberos dentro del fichero de configuraciones	JLANServerCIFS
system.cifs.port.datagram	Integer	Número de puerto usado por los datagramas	Por defecto 1138
system.cifs.port.name	Integer	Número de puerto usado por CIFS	Por defecto 1137
system.cifs.port.session	Integer	Número de puerto usado para las sesiones	Por defecto 1139
system.cifs.port.smb	Integer	Número de puerto usado por SMB	Por defecto 1445
system.cifs.shared.name	String	Propiedad para indicar el nombre del repositorio	Por defecto el nombre es repository

Precaución

Tras cambiar estas propiedades, debe reiniciarse OpenKM.

Cliente Windows en configuración con Active Directory

Es necesario modificar una directiva de seguridad local. Para ello, vaya a Panel de control → Herramientas administrativas → Directiva de seguridad local → Directivas locales → Opciones de seguridad:

Nota

Establezca la opción Seguridad de red: Nivel de autenticación de LAN Manager en: Enviar LM y NTLM: usar seguridad de sesión NTLMv2 si se negocia.

Nota

También puede hacerlo lanzando el siguiente comando desde la línea de comandos:

REG ADD “HKLM\SYSTEM\CurrentControlSet\Control\Lsa” /v “LmCompatibilityLevel” /t “REG_DWORD” /d “1” /f

Después, para conectarse a la máquina remota, vaya a Equipo → Conectar a unidad de red:

• Unidad: cualquier letra de unidad disponible
• Carpeta: \\server_name\repository
• Conectar usando credenciales diferentes (marque esto si el usuario y contraseña de Windows son distintos de los del usuario de OpenKM).

Después haga clic en el botón Finalizar.

Precaución

Si se marcó ‘Conectar usando credenciales diferentes’, aparecerá una nueva ventana para introducir las credenciales correspondientes.

Nota

También puede hacerlo lanzando el siguiente comando desde la línea de comandos:

net use \\\ /user: <contraseña>, por ejemplo: net use Z: \\server_name\repository /user:okmAdmin admin_password