IBM kupuje společnost HashiCorp (Terraform, Packer, Vault, Boundary, Consul, Nomad, Waypoint, Vagrant, …) za 6,4 miliardy dolarů, tj. 35 dolarů za akcii.
Byl vydán TrueNAS SCALE 24.04 “Dragonfish”. Přehled novinek této open source storage platformy postavené na Debianu v poznámkách k vydání.
Oznámeny byly nové Raspberry Pi Compute Module 4S. Vedle původní 1 GB varianty jsou nově k dispozici také varianty s 2 GB, 4 GB a 8 GB paměti. Compute Modules 4S mají na rozdíl od Compute Module 4 tvar a velikost Compute Module 3+ a předchozích. Lze tak provést snadný upgrade.
Po roce vývoje od vydání verze 1.24.0 byla vydána nová stabilní verze 1.26.0 webového serveru a reverzní proxy nginx (Wikipedie). Nová verze přináší řadu novinek. Podrobný přehled v souboru CHANGES-1.26.
Byla vydána nová verze 6.2 živé linuxové distribuce Tails (The Amnesic Incognito Live System), jež klade důraz na ochranu soukromí uživatelů a anonymitu. Přehled změn v příslušném seznamu. Tor Browser byl povýšen na verzi 13.0.14.
Byla vydána nová verze 30.0.0 frameworku pro vývoj multiplatformních desktopových aplikací pomocí JavaScriptu, HTML a CSS Electron (Wikipedie, GitHub). Chromium bylo aktualizováno na verzi 124.0.6367.49, V8 na verzi 12.4 a Node.js na verzi 20.11.1. Electron byl původně vyvíjen pro editor Atom pod názvem Atom Shell. Dnes je na Electronu postavena celá řada dalších aplikací.
Byla vydána nová verze 9.0.0 otevřeného emulátoru procesorů a virtualizačního nástroje QEMU (Wikipedie). Přispělo 220 vývojářů. Provedeno bylo více než 2 700 commitů. Přehled úprav a nových vlastností v seznamu změn.
Evropský parlament dnes přijal směrnici týkající se tzv. práva spotřebitele na opravu. Poslanci ji podpořili 584 hlasy (3 bylo proti a 14 se zdrželo hlasování). Směrnice ujasňuje povinnosti výrobců opravovat zboží a motivovat spotřebitele k tomu, aby si výrobky nechávali opravit a prodloužili tak jejich životnost.
Bylo oznámeno (cs) vydání Fedora Linuxu 40. Přehled novinek ve Fedora Workstation 40 a Fedora KDE 40 na stránkách Fedora Magazinu. Současně byl oznámen notebook Slimbook Fedora 2.
ČTK (Česká tisková kancelář) upozorňuje (X), že na jejím zpravodajském webu České noviny byly dnes dopoledne neznámým útočníkem umístěny dva smyšlené texty, které nepocházejí z její produkce. Jde o text s titulkem „BIS zabránila pokusu o atentát na nově zvoleného slovenského prezidenta Petra Pelligriniho“ a o údajné mimořádné prohlášení ministra Lipavského k témuž. Tyto dezinformace byly útočníky zveřejněny i s příslušnými notifikacemi v mobilní aplikaci Českých novin. ČTK ve svém zpravodajském servisu žádnou informaci v tomto znění nevydala.
/bin/restricted_shell
a na serveru jsem udělal symlink /bin/restricted_shell -> /bin/false
(tj. není možné přihlášení), na stanicích, kde má být umožněno přihlášení pak /bin/restricted_shell -> /bin/sh
.
Další možností je využít PAM modul, který bude řídit oprávnění k přihlášení podle příslušnosti k určité skupině, myslím že se jmenoval pam_group
. Tím jde ošetřit i rozdílná oprávnění k přihlášení na konzoli, přes ssh nebo třeba v gdm.
nsswitch
- passwd
jako zdroj i LDAP (kvůli NFS a UID/GID). Přihlašování heslem probíhá přes PAM, takže na serveru je možné nechat v PAM jen unix
modul. V případě NIS je to komplikovanější v tom, že všichni uživatelé jsou aA serveru v /etc/passwd a /etc/shadow a nelze snadno rozlišit ty lokální a "virtuální", ale tady si nejsem jistý, budu rád když mě někdo opraví.
Nevím, jak máte na mysli "povolit prihlaseni pouze lokalnim uzivatelum nebo uzivatelum skupiny XYZ napr. sysadmin", ale mě napadá jedině řešení - pomocí nějakého PAM modulu.
Když jsem to řešil, byl jsem rád, že jsem zprovoznil PAM s LDAP a unix účty a to řešení s shellem mi přišlo v dané situaci nejschůdnější.
Netgroups have become a daily staple for NIS administrators. They allow machines and/or users to be collected together for various administrative tasks such as grouping machines together for use in the tcp_wrappers files /etc/hosts.allow and /etc/hosts.deny.jinak modul pro PAM se jmenuje pam_groupdn, v nsswitch netgroup. Ted uz je to asi jasne. Myslim, ze jsem se jenom spatne vyjadril. Ad NIS - ze ma NIS informace v lokalnich souborech, to jsem nevedel. Potom je PAM/nsswitch zbytecna kombinace. Nicmene, netgroups by melo fungovat take.
nsswitch
a PAM
neposkytují úplně to samé, už se to tu několikrát řešilo. Ale je pravda, že pro základní použití by se tak dalo brát.
Ve Slackware je trochu specifická situace, protože nepoužívá PAM. Jinak všechny moderní distribuce PAM mají a pak to funguje asi takhle (jen shrnutí):
nsswitch
- se používá pro jmenné služby, tj. třeba překlad UID > login, nebo získání informací o uživateli, tj. taková abstrakční vrstva nad /etc/passwd
, /etc/groups
, /etc/hosts
a někdy dalšími. Informace může získávat z klasických souborů, NIS, LDAP ...
PAM
- se používá pro řízení přístupu, tedy např. ověřování heslem. PAM tedy "nahrazuje" klasický /etc/shadow
. Aplikace, která požaduje ověření heslem, pak nepoužije čtení shadow
, ale PAM. Pravda je, že většinou je v PAM použit modul unix
, který stejně nakonec používá soubor /etc/shadow
.
Výhoda PAM je v tom, že lze použít různé moduly pro omezení přístupu, čtečky otisků prstů ap. a hlavně lze použít různé zdroje ověření pro různé aplikace (třeba ssh jen z /etc/passwd a mailserser podle LDAP).
Je pravda, že nsswitch
může poskytovat i hesla
, ve formě abstrakce dat z /etc/shadow
(právě třeba z NIS), ale není to tak mocné jako PAM.
O NIS toho moc nevím. Chtěl jsem ho nasadit, ale většina návodů zmiňovala LDAP jako modernéjší a flexibilnější metodu, tak jsem se do něj pustil. NIS je určitě starší a zavedenější, hlavně mimo čistě linux prostředí (třeba SUN).
/bin/restricted_shell
(v /etc/passwd) a pak vytvoříte symlinky:
# ln -s /bin/false /bin/restricted_shell
-- na serveru, zabrání přihlášení
# ln -s /bin/sh /bin/restricted_shell
-- na klientech, umožní přihlášení
Jinak s NIS nemám zkušenosti, podle mě je dnes lepší LDAP, i když je možná trochu složitější na pochopení. Nedávno tady ale byl pěkný seriál, jak zprovoznit právě sdílení uživatelských účtů přes OpenLDAP.
Nastavení NIS bych nechal, jak je teď. Jen je potřeba daným uživatelům změnit shell a pak vytvořit ty symlinky, viz výše.
ln -s /bin/false /bin/xxx #server ln -s /bin/bash /bin/xxx #klientUmístění jak souboru xxx i příslušného Já totiž koukal na rbash (resctricted bash) a ten má konkrétní funkční omezení všeho možného ... ... předpokládám, že tady o to nejde, protože se vždy volá skutečná substituce toho xxx nebo se pletu a ten pomocný bash musí být skutečný shell ?
ln -s /bin/false /bin/xxx
-- tím se vytvoří symlink tj. soubor /bin/xxx
, který bude "odkazovat" na již existující soubor /bin/false
.
Na klientech spustíte analogicky ten druhý příkaz.
A nakonec na serveru v /etc/passwd
(nebo přes nějaký nástroj, třeba usermod) nastavíte patřičným uživateům shell /bin/xxx
- no a soubor /bin/xxx
je ten odkaz - symlink, který jste vytvořil příkazem ln
. Doufám, že už je to jasnější, jinak doporučuji si přečíst Wikipedia: Symbolický_odkaz
Rbash je něco trochu jiného, v tomto případě není potřeba.
man pam_listfileA v sekci examples druhý příklad ("To allow login access only for certain users, you can use a /etc/pam.d/login entry like this:")
Následující model : ve škole v PC učebně je mimo stanic umístěn i server.
...Aby si DĚTI NEHRÁLY SE SERVEREM ...
Nezlobte se, ale řešíte naprosté zbytečnosti. Pokud mají žáci fyzický přístup k serveru, tak jejich přihlášení coby obyčejný uživatel, je to nejmenší.
Zajistíte, aby vám žáci pomocí šroubováku nezačali server rozebírat? Aby nevytahovali napájecí a síťové kabely? Aby nerestartovali a nevypínali server? Aby do severu nekopali? Pokud tohle zajistíte, již nemusíte řešit jejich fyzické přihlašování na server.
Také jsem před několika lety měl server v učebně. Nyní jsou oba servery u mě v kabinetě (serverovně). Prostě vyličte řediteli děj katastrofického filmu Server v učebně. Tak jako ředitel má ředitelnu, učitelé kabinety a sborovnu, server musí mít serverovnu.
P.S.: Na mail vám ještě dnes odpovím
/var/yp/Makefilev řádku all: povoleno shadow nebo ne ?. b) a co je pak tedy na stanici v souboru.
nsswitch.confv řádku shadow ? Pouze "shadow files" nebo "shadow nis files" ?. Jinými slovy : všude se píše o tom, že se pro potřeby NIS slučují údaje z passwd a shadow do souboru passwd ....
Tiskni Sdílej: