backnet — ответы на простые вопросы и не очень

Установка opensource корпоративного чата с авторизацией через Active Directory.

Задача была следующей: Развернуть корпоративный чат в локальной сети предприятия максимально похожего на icq с автоматической авторизацией через Active Directory. Погуглив и полазив по просторам интернета наткнулся на очень интересный jabber сервер под названием Openfire, скачать эту бесплатную вещицу можно на их официальном сайте http://www.igniterealtime.org/projects/openfire/ (на момент написания статьи, версия была 3.7.1. Там же кроме сервера есть их собственные клиенты (как веб, так и обычный). В сети используется терминальный сервер на котором работают клиенты, и несколько других серверов входящих в домен, пользователей порядка ~70 - 100 человек (чтобы было понятно про нагрузку). Тестовая установка и тестирование делалось непосредственно на терминальном сервере Windows 2008 R2. И так приступим... ЧАСТЬ 1 (установка) Скачиваем версию для "Ленивых", где только нужно клацать мышкой и заполнять поля ( openfire_3_7_1.exe Includes Java JRE (recommended) ). Первым делом будет окошко с выбором языка, в нем нет русского (но позже будет (немножко кривой, видимо переводили промтом), тут язык выбирается только для установки. Далее, жмем next, принимаем соглашение, указываем директорию установки и ждем установки. После установки, ставим галочку Run..., жмем "Ок" и видим окно запущенного сервиса. В появившимся окне, клацаем по кнопке "Launch Admin" которая запускает браузер с дальнейшей установкой и настройки jabber сервера. На первой странице - выбираем язык, на котором в дальнейшем будет наша админ панелька. (по правде говоря русский язык читается смешно, на английском даже лучше понятно, но т.к. мы русские - выбираем русский 🙂 ) Ждем "Continue" и переходим к следующей странице настроек на которой необходимо заполнить название домена (по умолчанию это имя пк) на котором будет крутиться сервер и порты (оставляем без изменения). Жмем кнопку "Продолжить". Далее нам предлагают выбрать базу данных, можно выбрать mysql и поиграться с ней, но чтобы не замарачиваться, выбираем встроенную HSQLDB. На следующей странице предлагается выбрать способ работы с пользователя, т.к. нас интересует авторизация через домен, выбираем LDAP. Далее идет одна из главных страниц настроек - подключение к AD. "Тип сервера" - указываем Active Directory "Хост" - имя домена, в случае примера это "office.company.local" "Порт" - остается по умолчанию, это порт который слушает AD "База DN" - Base Domain Name - в моем примере это папка users в домене office.company.local (cn=name,dc=office,dc=company,dc=local) Настройки можно проверить, нажав на забавно переведенную кнопку "Настройка теста". Если все прошло хорошо, увидим соответствующее окно если же нет, смотрим, что и где указали не верно. После жмем такую же веселую кнопку "Сохранять & Остаться". В следующем окне необходимо указать по каким параметрам мы будем отбирать пользователей. Пока я рылся в интернете один из блогеров (ссылку к сожалению не помню), предложил вместо того, чтобы выбирать всех пользователей, отсеивать тех, которые отключены. Для этого жмем ссылку "Расширенная настройка" и вместо (objectClass=organizationalPerson) вписываем вот такую строчку (objectClass=user)(objectCategory=person)(!(userAccountControl:1.2.840.113556.1.4.803:=2)) Проходим дальше и в следующем окне оставляем все как есть, жмем "ок....". После, в окне предлагают добавить админа для управления сервером, вводим имя пользователя из AD под которым будем осуществлять управление. Жмем "Продолжить". Вуаля, все готово и нам предлагают пройти в админ панель.   ЧАСТЬ 2 (настройка) Теперь для того, чтобы пользователи могли "позрачно" (без ввода логин пароля) авторизовываться в чате, нужно пропатчить сервер, сторонним патчем который позволяет реализовать NTLM. Сам патч качаем вот отсюда http://norman.rasmussen.co.za/dl/sasl-sspi/. На момент написания статьи это был файл openfire-sasl-sspi.v7.2.zip Распаковываем архив и читаем инструкцию по установке. Если не хочется читать инструкцию, коротко опишу что нужно сделать: 1. Скопировать файл SaslSspi.dll из папки install/bin/ и положить его в папку openfire/bin/ 2. Скопировать файл sasl-sspi.jar из папки install/lib/ и положить его в папку openfire/lib/ 3. Скопировать файл saslmechanisms.jar из папки install/plugins/ и положить его в папку openfire/plugins/ 4. Скопировать содержимое файла openfire-patch.xml из папки install/conf/ в файл openfire.xml в папке openfire/conf/ (обратите внимание, что скопировав содержимое его нужно подправить), а именно: <realm>MYNTDOMAIN</realm> <!------ тут указываем имя нашего домена <!-- or if you have more than one domain: -->  <!----- а вот тут, если доменов несколько, то указываем несколько и стираем первую строчку, либо если домен один то стираем то что идет ниже (т.е. выбираем или то, или то) <approvedRealms>MYNTDOMAIN1,MYNTDOMAIN2</approvedRealms> 5. Копируем содержимое файла java.security.patch из папки install/jre/lib/security в файл java.security который находится в папке Openfire\jre\lib\security\ а именно, находим вот этот блок # # List of providers and their preference orders (see above): # security.provider.1=sun.security.provider.Sun security.provider.2=sun.security.rsa.SunRsaSign security.provider.3=com.sun.net.ssl.internal.ssl.Provider security.provider.4=com.sun.crypto.provider.SunJCE security.provider.5=sun.security.jgss.SunProvider security.provider.6=com.sun.security.sasl.Provider security.provider.7=org.jcp.xml.dsig.internal.dom.XMLDSigRI security.provider.8=sun.security.smartcardio.SunPCSC security.provider.9=sun.security.mscapi.SunMSCAPI и после него вставляем вот эту строчку security.provider.10=net.za.darkskies.security.sasl.SSPIProvider После этого перезагружаем сервер и заходим в админ панель по адресу <ip>:9090. Тут все просто и понятно. Нужные галочки ставим, не нужные снимаем. После этого, устанавливаем клиент Padion и выставляем аутентификацию через NTLM (доменную), вводим ip сервера и жмем "вход", если все правильно сделали - успешная авторизация гарантирована. Задавайте вопросы, если остались.