Cuentas y SSO: Parte 3 — FreeIPA

FreeIPA — sistema de gestión centralizada de cuentas para servidores y estaciones de trabajo Linux. Resuelve la misma tarea que Active Directory en el mundo Windows: usuarios, grupos, contraseñas, permisos de acceso a servidores y reglas sudo se almacenan en un solo lugar, en vez de configurarse en cada máquina por separado.

De qué se compone

FreeIPA reúne componentes abiertos probados en un único conjunto gestionado:

• 389 Directory Server — directorio LDAP donde se almacenan usuarios, grupos, hosts y políticas;
• MIT Kerberos — inicio de sesión único: el usuario obtiene un ticket una vez y accede a los servidores sin volver a introducir la contraseña;
• Dogtag — centro de certificación para emitir certificados a servidores y servicios;
• DNS con BIND con almacenamiento de zonas integrado en el directorio — componente opcional;
• SSSD en los clientes — cachea las credenciales y permite iniciar sesión incluso si el servidor no está temporalmente disponible.

Todo se puede administrar a través de la interfaz web, la línea de comandos ipa y la API. La capa de integración de FreeIPA se distribuye bajo GPLv3; los componentes mantienen sus propias licencias. La versión vigente en septiembre de 2026 es 4.13.4.

Aclaración importante: a partir de la versión 4.7 el servidor FreeIPA no proporciona la hora exacta. El servicio ntpd fue reemplazado por chrony, y los servidores FreeIPA sincronizan la hora solo como clientes. La hora exacta sigue siendo crítica para Kerberos, por lo que se necesita una fuente NTP en la red por separado.

Qué aporta en la práctica

• Cuentas centralizadas. Un empleado se crea una vez y entra en todos los servidores conectados; al despedirlo, la cuenta se bloquea en un solo lugar.
• Reglas de acceso (HBAC). Qué grupo puede acceder a qué servidores y mediante qué servicios.
• sudo centralizado. Las reglas de elevación de privilegios se guardan en el directorio, no en archivos en cada servidor.
• Claves SSH en el directorio. Las claves públicas de los usuarios se almacenan en FreeIPA, y SSSD las entrega al servidor al autenticarse.
• Certificados para servicios desde un centro de certificación propio.
• Confianza con Active Directory. Los usuarios del dominio Windows pueden acceder a los servidores Linux con sus cuentas, sin necesidad de migrarlos a FreeIPA.

Cómo instalar

El servidor se instala en un sistema compatible con RHEL (RHEL, AlmaLinux, Rocky Linux) o Fedora. Requisitos: IP fija, nombre de dominio completo del servidor (por ejemplo, ipa.example.lan), resolución de nombres correcta y hora exacta.

dnf install ipa-server ipa-server-dns
ipa-server-install --setup-dns
kinit admin

El instalador preguntará el nombre de dominio y el realm de Kerberos, la contraseña del administrador del directorio (Directory Manager) y la contraseña de la cuenta admin — ambas no menores de 8 caracteres. Después de la instalación kinit admin obtiene el ticket Kerberos, y puede comprobarse con klist. Los clientes se unen con ipa-client-install; el parámetro --mkhomedir crea el directorio home en el primer inicio de sesión.

Para un segundo servidor y alta disponibilidad se configura replicación (ipa-replica-install): sin réplica, la caída del único servidor dejaría a todos sin posibilidad de iniciar sesión.

Confianza con Active Directory

Esquema según la documentación del proyecto:

ipa-adtrust-install --netbios-name=IPA -a 'пароль-admin'
ipa trust-add --type=ad ad.example.lan --admin Administrator --password
ipa trust-fetch-domains ad.example.lan

La condición principal es la visibilidad mutua de los dominios en DNS: en el controlador AD y en el servidor FreeIPA se configuran reenviadores condicionales de las zonas del otro. Además, las horas en los servidores deben coincidir y deben estar abiertos los puertos Kerberos (88), LDAP (389), SMB (445) y otros de la lista en la documentación.

Limitaciones

• Complejidad. Kerberos, LDAP, DNS y certificados requieren pericia; errores en DNS o en la hora provocan fallos de inicio de sesión difíciles de diagnosticar.
• No para aplicaciones web. El acceso de usuarios a servicios web mediante OIDC es tarea de Keycloak, que puede tomar usuarios de FreeIPA vía LDAP.
• Plataforma de servidor. El servidor FreeIPA se instala en sistemas compatibles con RHEL y Fedora; los clientes sí funcionan en otras distribuciones.

Errores típicos

• Un único servidor FreeIPA sin réplica.
• Nombre de host o DNS incorrecto: la instalación pasa, pero luego los clientes no encuentran el servidor.
• Falta de una fuente de hora precisa en la red después del cambio a chrony.
• Instalación en un servidor donde ya funcionan otros servicios que ocupan los puertos 80, 443 o 389.

Cuándo elegirlo

FreeIPA es necesario cuando hay decenas o más servidores Linux y gestionar cuentas manualmente ya no es posible, y también cuando se necesita integrar servidores Linux con un dominio Active Directory existente. Para que los usuarios inicien sesión en un solo sitio web, es una solución sobredimensionada.