IT-Sicherheit
FreeIPA
FreeIPA ist eine integrierte Open-Source-Identity-Management-Lösung für Linux/Unix mit LDAP-Verzeichnis, Kerberos-SSO und eigener Zertifikats-CA.
- GPLv3, Upstream von Red Hat IdM
- LDAP + Kerberos + CA
- HBAC, sudo, SSO
- AD-Trust (Cross-Forest)
- Linux/Unix-fokussiert
FreeIPA ist eine integrierte Open-Source-Identity-Management-Lösung für Linux- und Unix-Umgebungen, häufig als Active-Directory-Pendant der Linux-Welt beschrieben. Sie bündelt mehrere bewährte Bausteine zu einem einheitlich verwalteten Stack und ist der Upstream von Red Hats Identity Management (IdM).
Dieser Artikel erklärt die Komponenten (389 Directory Server, MIT Kerberos, Dogtag-CA, SSSD), die Funktionen wie HBAC, sudo-Regeln und Kerberos-SSO, die Active-Directory-Integration über Trust sowie die Grenzen bei Windows-Clients und die Abgrenzung zu reinem LDAP, Keycloak und UCS.
1. Komponenten
FreeIPA integriert quelloffene Bausteine: den 389 Directory Server als LDAP-Verzeichnis, MIT Kerberos als KDC für Single-Sign-on, die Dogtag-Zertifizierungsstelle für eine eigene PKI, optional BIND als DNS sowie SSSD auf den Clients, das LDAP/Kerberos-Anbindung und die Durchsetzung von Regeln übernimmt. Verwaltet wird alles über Web-UI und das ipa-CLI.
2. HBAC, sudo und SSO
Über Host-Based Access Control (HBAC) lässt sich granular festlegen, welche Nutzer auf welchen Hosts welche Dienste nutzen dürfen; SSSD setzt das auf dem Client durch. Zentrale sudo-Regeln steuern Rechteerteilung über Benutzer-, Host- und Befehlsgruppen. Kerberos-SSO erlaubt die einmalige Anmeldung für Linux-Dienste ohne wiederholte Passworteingabe.
FreeIPAs Stärke ist die Integration: LDAP, Kerberos, CA, HBAC und sudo aus einer Hand und konsistent verwaltet, statt fünf Einzelsysteme von Hand zu verheiraten.
3. Active-Directory-Integration
FreeIPA koppelt sich über einen Cross-Forest-Trust an Microsoft Active Directory: AD-Benutzer können sich per Kerberos-Cross-Realm an Linux-Diensten (FreeIPA-Clients) authentifizieren. Voraussetzung sind getrennte DNS-Namensräume und ein auf Kernel-Ebene aktiver IPv6-Stack (ein echtes IPv6-Netzwerk ist nicht nötig). Das Muster ist verbreitet: AD bleibt für Windows zuständig, FreeIPA verwaltet die Linux-Welt, der Trust verbindet beide.
4. Abgrenzung und Windows-Grenzen
Gegenüber reinem LDAP liefert FreeIPA die ganze Identity-Infrastruktur (Kerberos, CA, HBAC, sudo). Gegenüber Keycloak ist es komplementär: Keycloak ist der Protokoll-Broker für OIDC/SAML in Webanwendungen, FreeIPA das System-Identity-Management auf Betriebssystemebene; beide lassen sich föderieren. Gegenüber UCS ist FreeIPA Linux-fokussiert, während UCS über Samba auch Windows-Domänendienste abdeckt.
Kein AD-Ersatz für Windows-Clients
FreeIPA bedient Windows-Clients nicht wie ein Domänencontroller (keine GPO, kein SYSVOL/NETLOGON). Für gemischte Umgebungen ist der AD-Trust der Weg; wer eine AD-Alternative inklusive Windows-Domäne sucht, schaut eher auf UCS.
5. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Integriertes Identity-Management für Linux (LDAP, Kerberos, CA, HBAC, sudo) | Primär Linux/Unix; kein vollwertiger AD-Ersatz für Windows-Clients |
| Kerberos-SSO und zentrale Richtlinien, Multi-Master-Replikation | Stärken kommen erst in größeren Linux-Landschaften zum Tragen |
| AD-Trust koppelt sauber an bestehende Windows-Welt | Fokus auf RHEL/Fedora-Familie (Debian/Ubuntu sekundär) |
Häufige Fragen zu FreeIPA
Für Linux/Unix ja, für Windows-Clients nein. FreeIPA verwaltet Linux-Identitäten umfassend, bedient Windows aber nicht wie ein Domänencontroller. Üblich ist ein Cross-Forest-Trust, bei dem AD die Windows- und FreeIPA die Linux-Welt verwaltet.
Sie lösen verschiedene Ebenen: FreeIPA ist System-Identity-Management für Hosts (Kerberos, HBAC, sudo), Keycloak ein Identity-Provider für Web-/Cloud-Apps (OIDC/SAML). Oft werden beide kombiniert, Keycloak föderiert dann gegen FreeIPA als Backend.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
FreeIPA im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.