🔐 2단계 인증 (OTP) 설정

비밀번호만으로는 부족해! 2단계 인증을 추가하면 보안이 훨씬 강화돼. FreeIPA는 TOTP (Time-based One-Time Password)를 지원해. Google Authenticator 같은 앱으로 사용할 수 있지!

사용자에게 OTP 토큰 추가:

# 웹 UI에서:
# 1. Identity → Users → 사용자 선택
# 2. Actions → Add OTP Token
# 3. QR 코드가 생성됨
# 4. Google Authenticator 앱으로 QR 코드 스캔

# 명령줄에서:
ipa otptoken-add --type=totp --owner=jsmith --desc="John's Phone"

# QR 코드 URL 생성
ipa otptoken-show [토큰ID] --show-uri

이제 사용자는 로그인할 때 "비밀번호+OTP코드"를 입력해야 해. 예를 들어 비밀번호가 "MyPass123"이고 OTP 코드가 "456789"라면, 로그인 시 "MyPass123456789"를 입력하면 돼!

🔑 비밀번호 정책 강화

강력한 비밀번호 정책을 설정해서 약한 비밀번호를 방지할 수 있어:

# 전역 비밀번호 정책 확인
ipa pwpolicy-show

# 비밀번호 정책 수정
ipa pwpolicy-mod --minlength=12 --minclasses=3 --maxlife=90 --minlife=1

# 옵션 설명:
# --minlength: 최소 길이 (12자)
# --minclasses: 최소 문자 클래스 수 (대문자, 소문자, 숫자, 특수문자 중 3가지)
# --maxlife: 최대 유효 기간 (90일)
# --minlife: 최소 사용 기간 (1일, 너무 자주 변경 방지)

# 특정 그룹에 대한 별도 정책
ipa pwpolicy-add admins --minlength=16 --minclasses=4 --maxlife=60

🚪 계정 잠금 정책

무차별 대입 공격(Brute Force)을 방지하기 위해 로그인 실패 시 계정을 잠그는 정책:

# 계정 잠금 정책 설정
ipa pwpolicy-mod --maxfail=5 --failinterval=300 --lockouttime=600

# 옵션 설명:
# --maxfail: 최대 실패 횟수 (5회)
# --failinterval: 실패 카운트 리셋 시간 (300초 = 5분)
# --lockouttime: 잠금 시간 (600초 = 10분)

# 잠긴 계정 해제
ipa user-unlock jsmith

🔍 감사 로그 활성화

모든 관리 작업을 로그로 남겨서 추적할 수 있어:

# 감사 로그 확인
tail -f /var/log/httpd/error_log
tail -f /var/log/dirsrv/slapd-EXAMPLE-COM/access

# 389 Directory Server 감사 로그 활성화
ldapmodify -x -D "cn=Directory Manager" -W << EOF
dn: cn=config
changetype: modify
replace: nsslapd-auditlog-logging-enabled
nsslapd-auditlog-logging-enabled: on
EOF

# 감사 로그 위치
tail -f /var/log/dirsrv/slapd-EXAMPLE-COM/audit

🌐 SSL/TLS 인증서 교체

프로덕션 환경에서는 자체 서명 인증서 대신 공인 인증서를 사용하는 게 좋아:

# Let's Encrypt 인증서 발급 (certbot 사용)
dnf install -y certbot
certbot certonly --standalone -d ipa.example.com

# FreeIPA에 인증서 설치
ipa-server-certinstall -w \
  /etc/letsencrypt/live/ipa.example.com/cert.pem \
  /etc/letsencrypt/live/ipa.example.com/privkey.pem \
  /etc/letsencrypt/live/ipa.example.com/chain.pem

# 웹 서버 재시작
systemctl restart httpd

🎫 서비스 계정 및 Keytab

애플리케이션이나 서비스가 자동으로 인증받을 수 있도록 서비스 계정을 만들 수 있어:

# 서비스 추가 (예: HTTP 서비스)
ipa service-add HTTP/web01.example.com

# Keytab 파일 생성
ipa-getkeytab -s ipa.example.com \
  -p HTTP/web01.example.com \
  -k /etc/httpd/conf/httpd.keytab

# Keytab 파일 권한 설정
chown apache:apache /etc/httpd/conf/httpd.keytab
chmod 600 /etc/httpd/conf/httpd.keytab

# Keytab 내용 확인
klist -kt /etc/httpd/conf/httpd.keytab

이제 Apache 웹 서버가 Kerberos 인증을 사용할 수 있어! 사용자가 웹 페이지에 접속하면 자동으로 SSO가 작동하지. 😎

🔗 LDAP 통합

다른 애플리케이션들이 FreeIPA의 LDAP 디렉터리를 사용하도록 설정할 수 있어. 예를 들어 GitLab, Jenkins, Nextcloud 같은 서비스들이 FreeIPA 계정으로 로그인할 수 있게 하는 거지!

LDAP 연결 정보:

대부분의 애플리케이션은 이 정보만 입력하면 FreeIPA와 연동돼!

🌍 DNS 관리

FreeIPA의 통합 DNS를 사용하면 호스트 관리가 훨씬 쉬워져:

# DNS 존 확인
ipa dnszone-find

# DNS 레코드 추가
ipa dnsrecord-add example.com web01 --a-rec=192.168.1.20

# CNAME 레코드 추가
ipa dnsrecord-add example.com www --cname-rec=web01.example.com.

# MX 레코드 추가
ipa dnsrecord-add example.com @ --mx-rec="10 mail.example.com."

# DNS 레코드 확인
ipa dnsrecord-show example.com web01

# DNS 레코드 삭제
ipa dnsrecord-del example.com web01 --a-rec=192.168.1.20

🎭 Sudo 규칙

누가 어떤 서버에서 sudo 명령어를 실행할 수 있는지 제어할 수 있어:

# Sudo 규칙 생성
ipa sudorule-add allow_admins_all

# 사용자/그룹 추가
ipa sudorule-add-user allow_admins_all --groups=admins

# 호스트 추가 (모든 호스트)
ipa sudorule-mod allow_admins_all --hostcat=all

# 명령어 추가 (모든 명령어)
ipa sudorule-mod allow_admins_all --cmdcat=all

# 규칙 활성화
ipa sudorule-enable allow_admins_all

# 특정 명령어만 허용하는 규칙
ipa sudorule-add allow_restart_httpd
ipa sudorule-add-user allow_restart_httpd --groups=webadmins
ipa sudorule-add-host allow_restart_httpd --hostgroups=webservers
ipa sudocmd-add /usr/bin/systemctl
ipa sudocmdgroup-add webserver_commands
ipa sudocmdgroup-add-member webserver_commands --sudocmds="/usr/bin/systemctl"
ipa sudorule-add-allow-command allow_restart_httpd --sudocmdgroups=webserver_commands

이제 클라이언트에서 sudo 명령어를 실행하면 FreeIPA의 규칙에 따라 권한이 부여돼!

❌ 클라이언트가 서버에 연결되지 않을 때

증상: 클라이언트에서 kinit이나 id 명령어가 작동하지 않음

해결 방법:

# 1. DNS 확인
nslookup ipa.example.com
dig _kerberos._tcp.example.com SRV

# 2. 방화벽 확인
telnet ipa.example.com 389
telnet ipa.example.com 88

# 3. SSSD 재시작
systemctl restart sssd
systemctl status sssd

# 4. SSSD 캐시 삭제 후 재시작
systemctl stop sssd
rm -rf /var/lib/sss/db/*
systemctl start sssd

# 5. 로그 확인
tail -f /var/log/sssd/sssd_example.com.log

⏰ 시간 동기화 문제

증상: "Clock skew too great" 에러 발생

해결 방법:

# Kerberos는 시간에 민감! 5분 이상 차이나면 인증 실패

# 1. 시간 확인
date
timedatectl

# 2. NTP 동기화
systemctl enable chronyd
systemctl start chronyd
chronyc sources

# 3. 수동 시간 동기화
ntpdate ipa.example.com

# 4. 타임존 설정
timedatectl set-timezone Asia/Seoul

🔄 복제 동기화 문제

증상: 복제 서버 간 데이터가 동기화되지 않음

해결 방법:

# 1. 복제 상태 확인
ipa-replica-manage list
ipa-replica-manage list-ruv

# 2. 복제 협약 상태 확인
ipa-replica-manage list -v ipa-replica.example.com

# 3. 수동 동기화 강제 실행
ipa-replica-manage re-initialize --from=ipa.example.com

# 4. 복제 충돌 확인 및 해결
ipa-replica-manage list-conflicts

# 5. 복제 로그 확인
tail -f /var/log/dirsrv/slapd-EXAMPLE-COM/errors

🔐 인증서 만료 문제

증상: 웹 UI 접속 불가, 인증 실패

해결 방법:

# 1. 인증서 만료일 확인
ipa-getcert list

# 2. 만료된 인증서 갱신
ipa-getcert resubmit -i [Request ID]

# 3. 인증서 자동 갱신 설정 확인
systemctl status certmonger

# 4. CA 인증서 확인
openssl x509 -in /etc/ipa/ca.crt -text -noout

# 5. 인증서 수동 갱신
ipa-cacert-manage renew --external-ca

💾 디스크 공간 부족

증상: 서비스 시작 실패, 로그 기록 안 됨

해결 방법:

# 1. 디스크 사용량 확인
df -h
du -sh /var/lib/dirsrv/*
du -sh /var/log/*

# 2. 오래된 로그 삭제
find /var/log -name "*.log.*" -mtime +30 -delete
find /var/log/dirsrv -name "access.*" -mtime +30 -delete

# 3. 로그 로테이션 설정
vi /etc/logrotate.d/dirsrv

# 4. 데이터베이스 압축
dsconf -D "cn=Directory Manager" ldap://localhost backend compact userRoot

# 5. 트랜잭션 로그 정리
dsconf -D "cn=Directory Manager" ldap://localhost backend db2ldif userRoot

📈 주요 모니터링 항목

🔄 정기 백업

백업은 정말 중요해! 최소 주 1회는 백업해야 해:

# 전체 백업 (데이터 + 설정)
ipa-backup

# 백업 파일 위치
ls -lh /var/lib/ipa/backup/

# 데이터만 백업 (LDIF 형식)
ipa-backup --data --online

# 백업에서 복구
ipa-restore /var/lib/ipa/backup/ipa-full-2023-12-15-10-00-00

# 백업 자동화 (cron)
cat > /etc/cron.weekly/ipa-backup.sh << 'EOF'
#!/bin/bash
/usr/sbin/ipa-backup --online
find /var/lib/ipa/backup -name "ipa-*" -mtime +30 -delete
EOF

chmod +x /etc/cron.weekly/ipa-backup.sh

🔧 정기 유지보수 작업

매일:

매주:

매월:

분기별:

🏢 시나리오 1: 스타트업 개발 환경 구축

상황: 개발자 10명, 서버 20대를 관리해야 하는 스타트업

구성:

# 그룹 생성
ipa group-add developers --desc="개발팀"
ipa group-add devops --desc="데브옵스팀"
ipa group-add admins --desc="시스템 관리자"

# 사용자 생성 및 그룹 할당
ipa user-add jsmith --first=John --last=Smith --password
ipa group-add-member developers --users=jsmith

ipa user-add mjones --first=Mike --last=Jones --password
ipa group-add-member devops --users=mjones

# 호스트 그룹
ipa hostgroup-add dev-servers --desc="개발 서버"
ipa hostgroup-add prod-servers --desc="운영 서버"

# 호스트 추가
ipa host-add dev01.example.com
ipa hostgroup-add-member dev-servers --hosts=dev01.example.com

# HBAC 규칙
ipa hbacrule-add allow_devs_to_dev
ipa hbacrule-add-user allow_devs_to_dev --groups=developers
ipa hbacrule-add-host allow_devs_to_dev --hostgroups=dev-servers
ipa hbacrule-add-service allow_devs_to_dev --hbacsvcs=sshd
ipa hbacrule-enable allow_devs_to_dev

# 운영 서버는 데브옵스팀만 접근
ipa hbacrule-add allow_devops_to_prod
ipa hbacrule-add-user allow_devops_to_prod --groups=devops
ipa hbacrule-add-host allow_devops_to_prod --hostgroups=prod-servers
ipa hbacrule-add-service allow_devops_to_prod --hbacsvcs=sshd
ipa hbacrule-enable allow_devops_to_prod

# 기본 allow_all 규칙 비활성화
ipa hbacrule-disable allow_all

# 데브옵스팀은 운영 서버에서 모든 sudo 명령 가능
ipa sudorule-add devops_all_sudo
ipa sudorule-add-user devops_all_sudo --groups=devops
ipa sudorule-add-host devops_all_sudo --hostgroups=prod-servers
ipa sudorule-mod devops_all_sudo --cmdcat=all
ipa sudorule-enable devops_all_sudo

# 개발자는 개발 서버에서 제한된 sudo 명령만 가능
ipa sudorule-add devs_limited_sudo
ipa sudorule-add-user devs_limited_sudo --groups=developers
ipa sudorule-add-host devs_limited_sudo --hostgroups=dev-servers
ipa sudocmd-add /usr/bin/systemctl
ipa sudocmd-add /usr/bin/docker
ipa sudocmdgroup-add dev_commands
ipa sudocmdgroup-add-member dev_commands --sudocmds="/usr/bin/systemctl"
ipa sudocmdgroup-add-member dev_commands --sudocmds="/usr/bin/docker"
ipa sudorule-add-allow-command devs_limited_sudo --sudocmdgroups=dev_commands
ipa sudorule-enable devs_limited_sudo

이렇게 구성하면 개발자는 개발 서버에만 접근하고, 운영 서버는 데브옵스팀만 관리할 수 있어! 권한 분리가 명확하지? 😊

🏭 시나리오 2: 중견기업 전사 시스템

상황: 직원 100명, 서버 50대, 여러 부서와 지사가 있는 중견기업

구성:

# 본사 (서울)
ipa.seoul.company.com (마스터)

# 지사 (부산)
ipa.busan.company.com (복제)

# 지사 (대구)
ipa.daegu.company.com (복제)

# 각 지사 서버는 가까운 FreeIPA 서버를 사용하도록 DNS 설정

# 부서별 그룹
ipa group-add sales --desc="영업부"
ipa group-add marketing --desc="마케팅부"
ipa group-add hr --desc="인사부"
ipa group-add it --desc="IT부"
ipa group-add finance --desc="재무부"

# 직급별 그룹
ipa group-add executives --desc="임원"
ipa group-add managers --desc="팀장"
ipa group-add staff --desc="일반 직원"

# 중첩 그룹 (임원은 모든 부서 접근 가능)
ipa group-add-member executives --groups=sales,marketing,hr,it,finance

사내 시스템들을 FreeIPA와 연동:

# 2단계 인증 필수화 (임원 및 IT부)
for user in $(ipa group-show executives --all | grep "Member users:" | cut -d: -f2); do
  ipa otptoken-add --type=totp --owner=$user
done

# 강력한 비밀번호 정책
ipa pwpolicy-mod --minlength=14 --minclasses=4 --maxlife=60

# 계정 잠금 정책
ipa pwpolicy-mod --maxfail=3 --failinterval=300 --lockouttime=1800

# 감사 로그 중앙 집중화 (Syslog 서버로 전송)
vi /etc/rsyslog.conf
# *.* @@syslog.company.com:514

🌐 공식 문서 및 리소스

📺 추천 학습 경로

• LDAP 개념 이해
• Kerberos 인증 원리
• DNS 기본 지식
• 리눅스 시스템 관리

• VirtualBox나 VMware로 가상 머신 3대 준비
• CentOS Stream 8 또는 Rocky Linux 8 설치
• 네트워크 구성 (NAT 또는 Bridge)
• 스냅샷 기능 활용 (실수해도 복구 가능!)

• 1단계: 기본 서버 설치 및 사용자 관리
• 2단계: 클라이언트 등록 및 SSO 테스트
• 3단계: 복제 서버 구축
• 4단계: HBAC 및 Sudo 규칙 설정
• 5단계: 애플리케이션 통합 (GitLab 등)
• 6단계: 백업 및 복구 테스트

• 인증서 관리 및 PKI
• 외부 CA 통합
• Active Directory 신뢰 관계
• 성능 튜닝 및 최적화
• 대규모 환경 설계

✨ 핵심 요약