Dotaz: prechod z unix. uctu na ???

[deVries]

Jaky byste mi, prosim, doporucili zpusob prechodu (a na jaky typ) z klasickych unixovych uctu a plaintextoveho overovni na nejaky lepsi, modernejsi etc.

S sifrovanim (jake)? Je mozna konverze hesel a nazvu uctu (z shadow a passwd)?

Pouzivam postfix, dovecot, squirrelmail, clam, amavis-new.

Dekuji za odpovedi.

Odpovědi

[Josef Kufner]

Vrámci lokalhostu ti to nikdo neodposlechne, tím spíš, když to ani nejde po soketech, takže plaintext ničemu nevadí. Šifrování se řeší samostatně pro každý protokol/démon. Samozřejmě, pokud máš síť a chceš distribuovat uživatelské účty všude, tak na to řešení existují (ale to už ti poví někdo jiný :)).

[deVries]

No jde samozrejme o postovni ucty, takze hesla posilaji odevsad, akorat ze kazdy uzivatel ma svuj linuxovy ucet. Jde mi o prechod na PAM, databazi nebo cokoliv dobreho. Samotne technicke reseni se pak lepe hleda, kdyz clovek vi, co presne chce zprovoznit =))

[Michal Kubeček]

Pokud náhodou nepoužíváte zrovna Slackware, tak na PAM pravděpodobně přecházet nemusíte, protože už ho používáte. Takže se spíš podívejte do jeho dokumentace, k čemu slouží a jak funguje.

[deVries]

ne, PAM tam neni, vsechno je na plaintextu

[Michal Kubeček]

To neznamená, že nepoužíváte PAM. I při použití PAM mohou být uživatelé a hesla v /etc/passwd a /etc/shadow, ale stačí změnit pam_unix2.so na jiný modul, abyste mohl používat jinou formu autentizace. Přesně takhle je to defaultně nakonfigurováno ve většině současných distribucí.

[Martin Vlasak]

Prejit muzete treba na LDAP, pokud budete chtit autorizovat i ruzne jine sluzby na jinych PC. Nebo treba pouzivat sambu. Jina moznost je treba i SQL databaze.

[deVries]

sem presne smeruje muj dotaz, co si vybrat? databaze, PAM, jen podle configuraku dovecotu je tech zpusobu asi 5, takze ktery? LDAP ma smysl jen pokud budu chtit autorizovat jine sluzby? je a bude to jen mail server

a jeste pripominam dulezitou cast dotazu: je mozne nejak importovat hesla a uzivatele z passwd a shadow?

[Michal Kubeček]

Vypadá to, že máte mylnou představu o tom, co je to PAM. PAM (Pluggable Authentication Modules) není způsob autentizace, ale knihovna, která umožňuje oddělit implementaci autentizace od vlastní aplikace. Funguje to tak, že aplikace si pouze řekne knihovně libpam.so, že chce ověřit uživatele, ta se podívá do konfiguračního souboru a podle něj nechá autentizaci provést konkrétní modul. K dispozici máte moduly pro běžně používané metody autentizace (klasické unixové soubory, SMB, Kerberos, LDAP, SQL, …) nebo si případně můžete dopsat vlastní. Takže PAM není alternativa k unixovým heslům nebo LDAP, ale univerzální rozhraní, které vám umožní vybrat si metodu autentizace pouhou úpravou konfiguračního souboru, aniž by bylo potřeba jakkoli hýbat s aplikací.

[deVries]

dekuji za vysvetleni

[Zdeněk Štěpánek]

Zdravim

Bezne uzivatele mam klasicky v passwd+shadow. Tamtez jsou FTP uzivatele pro webhosting.

Mailove uctxy mam v MySQL databazi. Ostatne se staci podivat na postfix a courier-imap proti cemu se umi overovat. Klasicky lokalni soubory, mysql, ldap a kdovico jeste.

V databazi muzou byt i FTP uzivatele, nicmene to ja nepouzivam.

Jako nejperspektivenjsi bych asi videl LDAP jako backend a PAM jako frontend. Program co by nedokazal vyuzit PAM by sel primo do LDAPu. Ovsem je to docela dost prace a osobne bych si na to netroufl, skoda.

Zdenek