Centrální správa účtů a Single Sign-On v Linuxu (diskuse)

[1john2]

držím palce ať se seriál povede, budu sledovat každý díl a rád se přiučím..

[vencas]

+1 (a doufám, že bude fungovat +- v debianu). Moje malé zkušenosti s Kerberem jsou přesně opačné - totiž že to bylo složité a nefunkční (možná je to těmi složitými návody): nakonec jsem to zabalil a účty jsou v LDAPu i s hashem hesla. Třeba se to nakonec ještě změní.

[Jirka]

No, minimálně o tu superbezpečnou by se asi autor měl pokusit.

[rudiik]

Bezpecnost mimo jine zavisi i na urovni paranoiy administratora a celkovem razu dane instalace. Takze pro seznameni urcite postaci zakladni konfigurace bez nejakeho obr zabezpeceni. Nicmene by serialu mozna slusela kapitola venovana mistum potencialne slabym, kde bude nutne zajistit nejake zabezpeceni a pripadne odkazat na nejaka reseni. Kazdopadne jsem za takovy serial rad, protoze jsem cca pred tydnem zacal neco podobneho experimentalne stavet, takze se alespon mohu inspirovat a neco priucit.

[Stevko]

Tak na tento seriál sa teším. Nakoniec si ho možno nechám vytlačený zviazať.

[Honza "tux" Friesse]

Na seriál se moc těším, protože SSO jsem chtěl nasadit už delší dobu. Nicméně mě vždy odradily věty typu: "Pokud OpenLDAP/Kerberos není správně vypnut, dojde ke zničení databáze. To vyřešíme synchronizací s n stroji...". Jenže co když těch n strojů není? NIS (byť není 2x bezpečný) je úplně bezúdržbový a prostě funguje, ale Kerberos i LDAP by přinesl hromadu výhod. Takže otázka. Jak je to s tím ničením databáze?

[vencas]

U (open)LDAPu jsem se s tím nikdy nesetkal. (kerberos: nevím).

[osladil]

Ja bohuzel ano. Po 80ti dnech mi stroj necekane slitl stremhlav k dolu a pak uz jsem jen koukal na prazdnou databazi. Od te doby nejen replika na druhy stroj ale i obycejny slapcat > /backup/ldap/slapd-$(date +%Y%m%d-%H%M%S)

[newman]

Mozna bych vic ocenil komplexnejsi reseni a la FreeIPA, protoze vim, ze postaveni SSO na DirectoryServeru a GSS je dost bolestiva operace, ale budu rad, za kompletni sumar na jednom miste; diky :).

[vencas]

Už jste freeIPA někdo zkoušel? Podle stránke to vypadá super, ale to je spíš záležitost webmastera.

[Lukáš Zapletal]

Tento seriál to bude bomba.

[Jan Šimák]

+1
díky autorovi! už se těším na pokračování.

[andree]

+1, uz sa neviem dockat, nechces to pastenut do blogu pre nedockavych? :o))

[V3lbl^^d]

Bude se tesit. Diky autorovi..

[dik]

Taky se tesim na pokracovani.. dik

[corwin78]

Dík za tento seriál, už se těším

[fissie]

NFS2/3? Ne, to žádnou bezpečnou autentizaci nepoužívá

To neni tak docela pravda, NFS3 se da s uspechem pres GSSAPI kerberizovat take, je to dokonce o par krucku jednodussi (odpada idmap na klientech a jednotny root s mountbindy na serverech) a dokonce je to i o par procent rychlejsi.

[danaketh]

Super. Na tenhle seriál se těším.

[j3nda]

+1 taky budu sledovat a rad se priucim. dost mozna, ze zmenim starou a zazitou politiku (nis+nfs)

[Ondar]

Také přidám svoje +1, ale musím říci, že ačkoli jsem Linuxák, tak v případě LDAP/Kerberos dávám přednost Active Directory. Tam to jde taky a je to jednodušší. Navíc AD ve Windows Server 2007 používá o dost více "Unix-friendly" strukturu, takže to je taky dobrá zpráva. Kdyby v seriálu byla zmínka o možnosti užití AD pro autentizaci uživatelů v Unixu, tak by to byla bomba.

[Jiří Mlíka]

No problem!

AD pro autentizaci uživatelů úspěšně používám včetně SSO. Možností, jak to udělat je více. Dokonce by se o tom dal napsat samostatný seriál.

[Ondar]

Perfektní. My to taky užíváme (i když pomocí komerčního produktu Centrify - www.centrify.com - funguje skvěle, ale NFSv4&sec=krb5i neudělám ani za boha). Takže pokud by se další díly tohoto článku této problematice věnovali, tak bych to ocenil nejen já

[Pavel]

Tak to bude paradni serial, uz se moc tesim! Je to presne o tom, co zanedlouho budu resit a tak se to hodi. Diky moc!

[b0nd]

Diky za clanek, momentalne tento problem resime take. Nevyhodu pri vyuziti kerbera, nebo ldapu vidim v tom, ze je potreba vsechny systemy prekonfigurovat a ldap, ci kerberos musi byt budovan s vysokou dostupnosti. Napadlo nas to resit centralnim pristupovym serverem ktery bude vyuzivat soukromy klic pro openssh. Prihlaseni by mohlo pak probihat takto: sudo ssh server, nebo jen sudo server s aliasy v konfiguraci suda. Navic sudo se da nastavit tak aby informace cerpalo z ldapu. Jediny co je potreba udelat je zabezpecit pristupovy server a rozdistribuovat verejny klic. Dalsi moznosti je patch na openssh, ktery zajistuje cteni verejneho ssh-klice z ldapu, tim padem by odpadlo prihlasovani na centralni server. Jaky je vas nazor?

[Adam Pribyl]

Me by tedy celkem zajimalo, jak v kerberizovane siti funguji mobilni klienti. Tedy notebooky atd. NFS a NIS mi v tomto smeru prijdou nepouzitelne.

[Jiří Mlíka]

http://wiki.mandriva.com/en/Docs/SysAdmin/Server/Disconnected_Auth

http://www.padl.com/OSS/pam_ccreds.html

Otázkou zůstává, co dělat s domácími adresáři, pokud nejsou lokální, ale jsou uloženy na serveru.

[Adam Pribyl]

Prave... zvlaste kdyz pak NFS pri odtrhnuti od site znemozni cely system.

Jedine hezke reseni, ktere me napada, je, ze dany pocitac obsahuje uzivatelum home i authentizace a v okamziku, kdy se pripoji k siti bude jeho home i login dostupny na vsech stanicich v siti prave z tohoto pocitace. To uz je ale asi neco jineho nez se bude v serialu diskutovat.

[Jiří Mlíka]

Teď budu vařit z vody. Nemám to vyzkoušené ani nastudované, ale domnívám se, že jediné systémové řešení by bylo připojovat "home" adresáře přes nějaký souborový systém, který umí lokálně "kešovat" tak, aby byly soubory dostupné i bez připojení k síti. Po opětovném připojení by se pak provedla synchronizace. Někde jsem zahlédl, že by to snad mohlo umět AFS a možná i CODA. Bohužel nic z toho nemám vyzkoušeno, takže nemůžu říct.

Dále mě napadá řešení na způsob roaming profile z Windows. Při přihlášení a odhlášení uživatele spustit pomocí nějakého vhodného PAM modulu (např. pam_exec) třeba rsync a lokální domovský adresář uživatele synchronizovat se serverem. V případě, že server není dostupný, je na lokálním harddisku k dispozici poslední verze domácího adresáře.

[LuděkS]

+1 Děkuji za odhodlání pustit se do tohoto tématu a přeju vytrvalost a úspěch při jeho dokončování.
Osobně se mi to také velmi hodí, protože se právě chci pustit do LDAPu. Díky a hodně zdaru!