はじめに
先日作成した Giteaを利用したCI/CDサンプル で、手動でSSH公開鍵を登録するのが面倒だったので、ActiveDirectoryにSSH公開鍵も登録して、LDAP認証させることにしました。
自分の環境では結構レアな作業だったので、備忘録として残します。
やってることは 参考URL とほぼ同一ですの。
対象機器および環境
検証環境
- Windows Server 2019
- CentOS8 (8.2.2004)
- Gitea (1.13.0+dev)
作業内容
今回の作業では「ActiveDirectoryスキーマの追加」を行います。
作業中に警告ダイアログが出る通り、追加されたスキーマオブジェクトは削除ができませんので、その点にご注意ください。
「ActiceDirectoryスキーマの編集」ができるようにする
コマンドプロンプトを管理者権限で立ち上げて regsvr32 schmmgmt.dll と入力する。
すると、スナップインにADスキーマの編集が選択できるようになる。
で、同じく管理者権限のコマンドプロンプトでmmcして管理コンソールを立ち上げる。
すると、スナップインの追加と削除のメニューからActiveDirectoryスキーマが選択できるようになるので、これを追加して「OK」する。
属性の作成
「属性」を右クリック→「属性の作成」をクリック
この確認画面が出るので、「続行」する
一般名：sshPublicKeys
OID：1.3.6.1.4.1.24552.1.1.1.13
構文：IA5-String
複数値：チェックあり
で、作成する。
クラスの作成
「クラス」を右クリック→「クラスの作成」をクリック
この確認画面が出るので、「続行」する
一般名：ldapPublicKey
OID：1.3.6.1.4.1.24552.500.1.1.2.0
親クラス：top
クラスの種類：補助型
で、「次へ」する。
「オプション」に先ほど作成した sshPubnlicKeys を追加して「完了」する。
ユーザクラスに紐づけ
「クラス」→「user」を選択してダブルクリックorプロパティを開く
「関係」タブをクリックして、補助型クラスの「クラスの追加」から
「ldapPublicKey」を選択
こうなったら「適用」→「OK」する
ユーザの公開鍵を登録
管理ツールの「ActiveDirectoryユーザとコンピュータ」の「表示」→「拡張機能」にチェックをいれておく
ユーザをダブルクリック or プロパティを開いて、「属性エディタ」タブの「sshPublicKeys」を編集
こんな感じで登録しておく
登録されていればこうなる
GiteaでLDAP認証の設定をする
管理権限のあるユーザでログインして、「サイト管理」→「認証ソース」から「認証ソースを追加」を選択
認証タイプ：LDAP (via BindDN)
認証名：任意
セキュリティプロトコル：LDAPS
ホスト：ActiveDirectoryのサーバ
ポート：636（変更している場合はLDAPSのリッスンポート）
バインドDN：CN=検索用ユーザ,CN=Users,DC=prosper2,DC=net
バインドパスワード：（上記DNのパスワード）
ユーザ検索ベース：dc=prosper2,dc=net
ユーザフィルタ：(&(objectclass=person)(sAMAccountName=%s))
メールアドレス：userPrincipalName
SSH公開鍵：sshPublicKeys
（そのほか、特定グループは管理者権限を付与、とかあれば、Adminフィルタに入れるとよいと思います。）
Giteaでログインしてみる
ADに登録しているユーザでログインする
「設定」→「SSH/GPGキー」を見てみると、先ほど登録した公開鍵がすでに登録された状態となっている。
このとき、別のユーザで同一の公開鍵がすでに登録されている場合は登録されません。
Giteaとして一つの公開鍵は一つのユーザにしか紐づけられないためです。（逆に一つのユーザに複数の鍵はOKです）
あらかじめ公開鍵を２つ登録しておけば、
最初のログイン時（アカウント自動生成時）に鍵が２つ自動的に登録された状態になります。
おしまい
参考