vmware/lightwave-base

Lightwave 镜像文档

什么是 Lightwave

Project Lightwave 是一个开源项目，包含企业级身份和访问管理服务，旨在解决企业云原生应用面临的关键安全、治理和合规挑战。通过与 Project Photon 集成，Lightwave 可为容器工作负载提供安全和治理能力。它还可满足多种使用场景，如单点登录、认证、授权、证书授权以及跨整个基础设施和应用栈的证书密钥管理服务。Lightwave 基于生产级代码和企业级架构，支持多租户、可扩展且高可用的多主复制拓扑。

Lightwave 的核心身份基础设施组件

• Lightwave 目录服务：基于标准的多租户、多主、高可扩展 LDAP v3 目录服务，使企业基础设施能够被高要求的应用和多个团队使用。
• Lightwave 证书授权：与目录集成的证书授权机构，有助于简化跨基础设施的基于证书的操作和密钥管理。
• Lightwave 证书存储：端点证书存储，用于存储证书凭据。
• Lightwave 认证服务：云认证服务，支持 Kerberos、OAuth 2.0/OpenID Connect、SAML 和 WSTrust，实现与数据中心其他基于标准的技术的互操作性。
• Lightwave 域名服务：与目录集成的域名服务，确保对目录服务和认证服务（STS）的 Kerberos 认证。它还支持使用 SRV 记录的站点亲和性以及 DNS 转发器。

依赖项

Lightwave 使用以下现有的开源软件包：

1. OpenLDAP
   用于 LDAP 服务器协议头，OpenLDAP Lightning MDB 嵌入式数据库用作底层 LDAP 存储。

2. Heimdal Kerberos
   用作 Kerberos 协议头。

3. DCE/RPC
   用作 Lightwave LDAP 目录服务配置的控制基础设施。

4. Likewise Open
   用于其服务控制基础设施、注册表基础设施和 NT 安全描述符支持。Likewise Open 还为 Lightwave 客户端提供了简单的 SSH 支持机制。前三个软件包位于 Lightwave 项目内，Likewise Open 是一个独立项目，需从单独的 git 仓库构建，也可获取二进制 RPM（详见下文仓库添加说明）。

源代码

bash
git clone ssh://git@github.com/vmware/lightwave.git

构建

以下构建说明适用于在 VMware Photon Linux 发行版上构建 Lightwave（其他平台构建方法见 wiki）。

1. 将 lightwave git 仓库克隆到 Photon（Full）安装中。
2. 确保 Photon 系统上已安装 likewise-open-devel-6.2.*.x86_64.rpm。
3. 在 [workspace]/build 目录中运行 ./build_photon.sh。
4. 构建成功后，以下 RPM 包将在 [workspace]/build/stage 目录中生成：
   • lightwave-1.3.0-0.x86_64.rpm
   • lightwave-client-1.3.0-0.x86_64.rpm
   • lightwave-devel-1.3.0-0.x86_64.rpm
   • lightwave-post-1.3.0-0.x86_64.rpm
   • lightwave-mutentca-1.3.0-0.x86_64.rpm
   • lightwave-server-1.3.0-0.x86_64.rpm

部署

Lightwave 平台由 Lightwave 域控制器和 Lightwave 域客户端组成。

预构建的 Lightwave 二进制文件

可通过以下 YUM 仓库获取 Lightwave 预构建二进制文件，需在 Photon 部署中配置。配置后，可分别使用 tdnf install vmware-lightwave-server 和 tdnf install vmware-lightwave-clients 安装 Lightwave 域控制器和客户端。

注意：配置以下 YUM 仓库后，请禁用 photon-iso.repo，方法是在 /etc/yum.repos.d/photon-iso.repo 中设置 enabled=0。

Lightwave YUM 仓库

创建文件 /etc/yum.repos.d/lightwave.repo，内容如下：

适用于 Photon 1.0

ini
[lightwave]
name=VMware Lightwave 1.0(x86_64)
baseurl=https://dl.bintray.com/vmware/lightwave
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY
gpgcheck=0
enabled=1
skip_if_unavailable=True

适用于 Photon 2.0

ini
[lightwave]
name=VMware Lightwave for Photon 2.0(x86_64)
baseurl=https://vmware.bintray.com/lightwave-dev/photon_2.0/master
gpgcheck=0
enabled=1
skip_if_unavailable=True

Photon Extras YUM 仓库

创建文件 /etc/yum.repos.d/photon-extras.repo，内容如下：

适用于 Photon 1.0

ini
[photon-extras]
name=VMware Photon Extras 1.0(x86_64)
baseurl=https://dl.bintray.com/vmware/photon_extras
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY
gpgcheck=0
enabled=1
skip_if_unavailable=True

适用于 Photon 2.0

ini
[photon-extras]
name=VMware Photon Extras 2.0(x86_64)
baseurl=https://dl.bintray.com/vmware/photon_extras_$releasever_$basearch
gpgkey=file:///etc/pki/rpm-gpg/VMWARE-RPM-GPG-KEY
gpgcheck=1
enabled=1
skip_if_unavailable=True

设置 Lightwave 域控制器

需先在 Photon 实例上安装以下软件包：

1. lightwave-client
2. lightwave-server
3. lightwave

使用以下 tdnf 命令安装：

适用于 Photon 1.0

bash
tdnf makecache
tdnf install lightwave-client lightwave lightwave-server

适用于 Photon 2.0

bash
tdnf makecache
tdnf install lightwave-client-1.3.1 lightwave-1.3.1 lightwave-server-1.3.1

这将拉取 Lightwave 的所有必要依赖项。

实例化域控制器

设置实例主机名

每个 Lightwave 节点都需要执行此步骤。编辑 /etc/hosts 文件，如下所示（将变量替换为实际值，全新 PhotonOS 安装可能未默认设置）：

bash
echo -e "127.0.0.1\tlocalhost" > /etc/hosts
echo -e "${VM_IP}\t${VM_HOSTNAME}.${VM_DOMAIN_NAME} ${VM_HOSTNAME}" >> /etc/hosts
hostnamectl set-hostname --static ${VM_HOSTNAME}

注意：VM_DOMAIN_NAME 可在第一台服务器上选择，集群中所有伙伴节点应使用相同的域名。

独立模式（新域中的第一个副本）

bash
/opt/vmware/bin/configure-lightwave-server --password <password>

伙伴模式（现有域中的新副本）

bash
/opt/vmware/bin/configure-lightwave-server --password <password> \
 --server <伙伴实例的主机名或 IP 地址>

注意：

1. 域管理员密码必须至少 8 个字符，包含大写字母、小写字母、数字和特殊字符。
2. 在将系统提升为域控制器之前，确保为其分配静态 IP 地址或带有预留的 DHCP 地址。

设置 Lightwave 域客户端

将 Photon 系统加入 Lightwave 域需以下软件包：

1. lightwave-client-1.3.0-0.x86_64.rpm

若使用预构建二进制文件的 YUM 仓库，可通过 tdnf install vmware-lightwave-clients 安装 Lightwave 域客户端。

将系统加入 Lightwave 域

bash
/opt/vmware/bin/domainjoin join <domain hostname>

贡献

我们欢迎贡献新功能、修复或更新（无论大小）。我们始终乐于接收拉取请求，并尽力快速处理。如果您希望贡献代码但尚未签署贡献者许可协议（CLA），当您打开https://help.github.com/articles/creating-a-pull-request%E6%97%B6%EF%BC%8C%E6%88%91%E4%BB%AC%E7%9A%84%E6%9C%BA%E5%99%A8%E4%BA%BA%E5%B0%86%E6%9B%B4%E6%96%B0%E7%9B%B8%E5%85%B3%E9%97%AE%E9%A2%98%E3%80%82%E6%9C%89%E5%85%B3 CLA 流程的任何问题，请参考我们的常见问题。

在开始编码之前，建议通过 https://github.com/vmware/lightwave/issues 讨论您的计划，或首先通过 #Lightwave Slack 频道 与官方项目维护者讨论，尤其是对于更复杂的贡献。这使其他贡献者有机会为您指明方向、提供设计反馈，并帮助您了解是否有人在做相同的工作。

许可

Lightwave 基于 Apache 2 许可证 提供。