Что такое Lightwave?

Проект Lightwave — это проект с открытым исходным кодом, включающий службы управления идентификацией и доступом корпоративного уровня, нацеленные на решение критически важных задач безопасности, управления и соблюдения нормативных требований для облачных приложений (Cloud-Native Apps) внутри предприятия. Благодаря интеграции с проектом Photon, Lightwave может обеспечить безопасность и управление для контейнерных нагрузок. Lightwave также может использоваться в различных сценариях, таких как единый вход, аутентификация, авторизация и центр сертификации, а также службы управления ключами и сертификатами во всей инфраструктуре и стеке приложений. Проект Lightwave основан на коде производственного качества и архитектуре корпоративного уровня, которая представляет собой мультитенантную, масштабируемую и высокодоступную топологию репликации с несколькими мастерами.

Проект Lightwave состоит из следующих ключевых элементов инфраструктуры идентификации:

• Lightwave Directory Service — стандартизированная, мультитенантная, мультимастерная, высокомасштабируемая служба каталогов LDAP v3, позволяющая использовать инфраструктуру предприятия как для самых требовательных приложений, так и для нескольких команд.
• Lightwave Certificate Authority — интегрированный с каталогом центр сертификации, который упрощает операции на основе сертификатов и управление ключами в инфраструктуре.
• Lightwave Certificate Store — хранилище сертификатов конечных точек для хранения учётных данных сертификатов.
• Lightwave Authentication Services — облачные службы аутентификации с поддержкой Kerberos, OAuth 2.0/OpenID Connect, SAML и WSTrust, обеспечивающие взаимодействие с другими стандартизированными технологиями в центре обработки данных.
• Lightwave Domain Name Services — интегрированная с каталогом служба доменных имен, обеспечивающая аутентификацию Kerberos для службы каталогов и службы аутентификации (STS). Она также поддерживает привязку к сайтам с помощью SRV-записей, а также DNS-пересылку.

Зависимости

Lightwave использует следующие существующие пакеты с открытым исходным кодом.

1. OpenLDAP

OpenLDAP используется в качестве протокольной части LDAP-сервера, а встроенная база данных OpenLDAP Lightning MDB используется как нижележащее хранилище LDAP.

1. Heimdal Kerberos

Стек Heimdal Kerberos используется в качестве протокольной части Kerberos.

1. DCE/RPC

DCE/RPC используется в качестве инфраструктуры управления для настройки службы каталогов Lightwave LDAP.

1. Likewise Open

Стек Likewise Open используется для инфраструктуры управления службами, инфраструктуры реестра и поддержки NT Security Descriptor. Likewise Open также предоставляет простой механизм для добавления поддержки SSH для клиентов Lightwave. Первые три пакета располагаются в рамках проекта Lightwave. Проект Likewise Open является отдельным проектом и должен собираться из отдельного git-репозитория. Также доступен двоичный RPM-пакет; пожалуйста, следуйте инструкциям ниже, чтобы добавить репозиторий.

Исходный код

git clone ssh://[email protected]/vmware/lightwave.git

Сборка

Эти инструкции по сборке предназначены для сборки Lightwave на дистрибутиве VMware Photon Linux. (Инструкции по сборке на других платформах см. в вики.)

1. Склонируйте git-репозиторий Lightwave в вашу установку Photon (Full).

2. Убедитесь, что пакет likewise-open-devel-6.2..x86_64.rpm установлен в вашей системе Photon.

3. Выполните ./build_photon.sh* в [workspace]/build

4. В случае успешной сборки в каталоге [workspace]/build/stage должны быть созданы следующие RPM-пакеты:

   1. lightwave-1.3.0-0.x86_64.rpm

   2. lightwave-client-1.3.0-0.x86_64.rpm

   3. lightwave-devel-1.3.0-0.x86_64.rpm

   4. lightwave-post-1.3.0-0.x86_64.rpm

   5. lightwave-mutentca-1.3.0-0.x86_64.rpm

   6. lightwave-server-1.3.0-0.x86_64.rpm

Развертывание

Платформа Lightwave состоит из контроллеров домена Lightwave и клиентов домена Lightwave.

Готовые двоичные файлы Lightwave

Готовые двоичные файлы Lightwave доступны через следующие репозитории YUM, которые можно настроить в вашем развёртывании Photon.

После настройки указанных ниже репозиториев YUM можно установить контроллер домена Lightwave и клиенты Lightwave с помощью "tdnf install vmware-lightwave-server" и "tdnf install vmware-lightwave-clients" соответственно.

Примечание. После настройки следующих репозиториев YUM отключите photon-iso.repo; для этого установите "enabled=0" в /etc/yum.repos.d/photon-iso.repo.

Репозиторий YUM Lightwave

Создайте файл "/etc/yum.repos.d/lightwave.repo" со следующим содержимым.

Для Photon 1.0

[lightwave]
name=VMware Lightwave 1.0(x86_64)
baseurl=https://dl.bintray.com/vmware/lightwave
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY
gpgcheck=0
enabled=1
skip_if_unavailable=True

Для Photon 2.0

[lightwave]
name=VMware Lightwave for Photon 2.0(x86_64)
baseurl=https://vmware.bintray.com/lightwave-dev/photon_2.0/master
gpgcheck=0
enabled=1
skip_if_unavailable=True
EOM

Репозиторий YUM Photon Extras

Создайте файл "/etc/yum.repos.d/photon-extras.repo" со следующим содержимым.

Для Photon 1.0

[photon-extras]
name=VMware Photon Extras 1.0(x86_64)
baseurl=https://dl.bintray.com/vmware/photon_extras
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY
gpgcheck=0
enabled=1
skip_if_unavailable=True

Для Photon 2.0

[photon-extras]
name=VMware Photon Extras 2.0(x86_64)
baseurl=https://dl.bintray.com/vmware/photon_extras_$releasever_$basearch
gpgkey=file:///etc/pki/rpm-gpg/VMWARE-RPM-GPG-KEY
gpgcheck=1
enabled=1
skip_if_unavailable=True

Настройка контроллера домена Lightwave

Сначала необходимо установить следующие пакеты в вашем экземпляре Photon:

1. lightwave-client
2. lightwave-server
3. lightwave

Для их установки просто выполните следующие команды tdnf:

Для Photon 1.0

tdnf makecache
tdnf install lightwave-client lightwave lightwave-server

Для Photon 2.0

tdnf makecache
tdnf install lightwave-client-1.3.1 lightwave-1.3.1 lightwave-server-1.3.1

Это должно подтянуть все необходимые зависимости для Lightwave.

Создание экземпляра контроллера домена

Настройка имени хоста для экземпляра

Этот шаг требуется для каждого узла Lightwave. Отредактируйте файл /etc/hosts, чтобы он выглядел, как показано ниже: ПРИМЕЧАНИЕ: Замените переменные на соответствующие значения, так как они могут не быть заданы по умолчанию при новой установке PhotonOS.

echo -e "127.0.0.1\tlocalhost" > /etc/hosts
echo -e "${VM_IP}\t${VM_HOSTNAME}.${VM_DOMAIN_NAME} ${VM_HOSTNAME}" >> /etc/hosts
hostnamectl set-hostname --static ${VM_HOSTNAME}

Обратите внимание, что VM_DOMAIN_NAME можно выбрать для первого сервера, и он должен быть одинаковым для всех партнёрских узлов в кластере.

Автономный режим (это первая реплика в новом домене)

/opt/vmware/bin/configure-lightwave-server --password <password>

Режим партнёра (это новая реплика в существующем домене)

/opt/vmware/bin/configure-lightwave-server --password <password> \
 --server <hostname or ip-address of partner instance>

Примечания:

1. Пароль, указанный для администратора домена, должен содержать не менее 8 символов, включая заглавную букву, строчную букву, цифру и специальный символ.

2. Перед повышением системы до контроллера домена обязательно назначьте ей статический IP-адрес или DHCP-адрес с резервированием.

Настройка клиента домена Lightwave

Для подключения системы Photon к домену Lightwave необходимы следующие пакеты:

1. lightwave-client-1.3.0-0.x86_64.rpm

При использовании репозиториев YUM для готовых двоичных файлов установите клиент домена Lightwave с помощью "tdnf install vmware-lightwave-clients".

Подключение системы к домену Lightwave

/opt/vmware/bin/domainjoin join <domain hostname>

Участие в разработке

Мы приглашаем вас вносить новые функции, исправления или обновления, большие или малые; мы всегда рады получать pull request и делаем всё возможное, чтобы обрабатывать их как можно быстрее. Если вы хотите внести код и не подписывали наше лицензионное соглашение с контрибьютором (CLA), наш бот обновит issue, когда вы откроете Pull Request. По любым вопросам о процессе CLA обращайтесь к нашему FAQ.

Прежде чем приступить к написанию кода, мы рекомендуем обсудить ваши планы через GitHub issue или сначала обсудить их с официальными мейнтейнерами проекта через #Lightwave Slack Channel, особенно для более масштабных изменений. Это даст другим участникам возможность указать вам правильное направление, дать обратную связь по вашему дизайну и помочь выяснить, не работает ли кто-то ещё над тем же самым.

Лицензия

Lightwave доступен под лицензией Apache 2.