Portál AbcLinuxu, 19. dubna 2024 11:35
19.7.2008 21:56
stybla | skóre: 29
| Praha
/bin/restricted_shell a na serveru jsem udělal symlink /bin/restricted_shell -> /bin/false (tj. není možné přihlášení), na stanicích, kde má být umožněno přihlášení pak /bin/restricted_shell -> /bin/sh.
Další možností je využít PAM modul, který bude řídit oprávnění k přihlášení podle příslušnosti k určité skupině, myslím že se jmenoval pam_group. Tím jde ošetřit i rozdílná oprávnění k přihlášení na konzoli, přes ssh nebo třeba v gdm.
19.7.2008 23:02
stybla | skóre: 29
| Praha
nsswitch - passwd jako zdroj i LDAP (kvůli NFS a UID/GID). Přihlašování heslem probíhá přes PAM, takže na serveru je možné nechat v PAM jen unix modul. V případě NIS je to komplikovanější v tom, že všichni uživatelé jsou aA serveru v /etc/passwd a /etc/shadow a nelze snadno rozlišit ty lokální a "virtuální", ale tady si nejsem jistý, budu rád když mě někdo opraví.
Nevím, jak máte na mysli "povolit prihlaseni pouze lokalnim uzivatelum nebo uzivatelum skupiny XYZ napr. sysadmin", ale mě napadá jedině řešení - pomocí nějakého PAM modulu.
Když jsem to řešil, byl jsem rád, že jsem zprovoznil PAM s LDAP a unix účty a to řešení s shellem mi přišlo v dané situaci nejschůdnější.
20.7.2008 07:47
stybla | skóre: 29
| Praha
Netgroups have become a daily staple for NIS administrators. They allow machines and/or users to be collected together for various administrative tasks such as grouping machines together for use in the tcp_wrappers files /etc/hosts.allow and /etc/hosts.deny.jinak modul pro PAM se jmenuje pam_groupdn, v nsswitch netgroup. Ted uz je to asi jasne. Myslim, ze jsem se jenom spatne vyjadril. Ad NIS - ze ma NIS informace v lokalnich souborech, to jsem nevedel. Potom je PAM/nsswitch zbytecna kombinace. Nicmene, netgroups by melo fungovat take.
nsswitch a PAM neposkytují úplně to samé, už se to tu několikrát řešilo. Ale je pravda, že pro základní použití by se tak dalo brát.
Ve Slackware je trochu specifická situace, protože nepoužívá PAM. Jinak všechny moderní distribuce PAM mají a pak to funguje asi takhle (jen shrnutí):
nsswitch - se používá pro jmenné služby, tj. třeba překlad UID > login, nebo získání informací o uživateli, tj. taková abstrakční vrstva nad /etc/passwd, /etc/groups, /etc/hosts a někdy dalšími. Informace může získávat z klasických souborů, NIS, LDAP ...
PAM - se používá pro řízení přístupu, tedy např. ověřování heslem. PAM tedy "nahrazuje" klasický /etc/shadow. Aplikace, která požaduje ověření heslem, pak nepoužije čtení shadow, ale PAM. Pravda je, že většinou je v PAM použit modul unix, který stejně nakonec používá soubor /etc/shadow.
Výhoda PAM je v tom, že lze použít různé moduly pro omezení přístupu, čtečky otisků prstů ap. a hlavně lze použít různé zdroje ověření pro různé aplikace (třeba ssh jen z /etc/passwd a mailserser podle LDAP).
Je pravda, že nsswitch může poskytovat i hesla, ve formě abstrakce dat z /etc/shadow (právě třeba z NIS), ale není to tak mocné jako PAM.
O NIS toho moc nevím. Chtěl jsem ho nasadit, ale většina návodů zmiňovala LDAP jako modernéjší a flexibilnější metodu, tak jsem se do něj pustil. NIS je určitě starší a zavedenější, hlavně mimo čistě linux prostředí (třeba SUN).
neboli jestli dobře chápu :
i když se obsah passwd přenese přes NIS na stanici a tudíž by tam bylo u související položky /bin/restricted_shell (v /etc/passwd) a pak vytvoříte symlinky:
# ln -s /bin/false /bin/restricted_shell -- na serveru, zabrání přihlášení
# ln -s /bin/sh /bin/restricted_shell -- na klientech, umožní přihlášení
Jinak s NIS nemám zkušenosti, podle mě je dnes lepší LDAP, i když je možná trochu složitější na pochopení. Nedávno tady ale byl pěkný seriál, jak zprovoznit právě sdílení uživatelských účtů přes OpenLDAP.
Nastavení NIS bych nechal, jak je teď. Jen je potřeba daným uživatelům změnit shell a pak vytvořit ty symlinky, viz výše.
ln -s /bin/false /bin/xxx #server ln -s /bin/bash /bin/xxx #klientUmístění jak souboru xxx i příslušného Já totiž koukal na rbash (resctricted bash) a ten má konkrétní funkční omezení všeho možného ... ... předpokládám, že tady o to nejde, protože se vždy volá skutečná substituce toho xxx nebo se pletu a ten pomocný bash musí být skutečný shell ?
ln -s /bin/false /bin/xxx -- tím se vytvoří symlink tj. soubor /bin/xxx, který bude "odkazovat" na již existující soubor /bin/false.
Na klientech spustíte analogicky ten druhý příkaz.
A nakonec na serveru v /etc/passwd (nebo přes nějaký nástroj, třeba usermod) nastavíte patřičným uživateům shell /bin/xxx - no a soubor /bin/xxx je ten odkaz - symlink, který jste vytvořil příkazem ln. Doufám, že už je to jasnější, jinak doporučuji si přečíst Wikipedia: Symbolický_odkaz
Rbash je něco trochu jiného, v tomto případě není potřeba.
man pam_listfileA v sekci examples druhý příklad ("To allow login access only for certain users, you can use a /etc/pam.d/login entry like this:")
Následující model : ve škole v PC učebně je mimo stanic umístěn i server.
...Aby si DĚTI NEHRÁLY SE SERVEREM ...
Nezlobte se, ale řešíte naprosté zbytečnosti. Pokud mají žáci fyzický přístup k serveru, tak jejich přihlášení coby obyčejný uživatel, je to nejmenší.
Zajistíte, aby vám žáci pomocí šroubováku nezačali server rozebírat? Aby nevytahovali napájecí a síťové kabely? Aby nerestartovali a nevypínali server? Aby do severu nekopali? Pokud tohle zajistíte, již nemusíte řešit jejich fyzické přihlašování na server.
Také jsem před několika lety měl server v učebně. Nyní jsou oba servery u mě v kabinetě (serverovně). Prostě vyličte řediteli děj katastrofického filmu Server v učebně. Tak jako ředitel má ředitelnu, učitelé kabinety a sborovnu, server musí mít serverovnu.
P.S.: Na mail vám ještě dnes odpovím
/var/yp/Makefilev řádku all: povoleno shadow nebo ne ?. b) a co je pak tedy na stanici v souboru.
nsswitch.confv řádku shadow ? Pouze "shadow files" nebo "shadow nis files" ?. Jinými slovy : všude se píše o tom, že se pro potřeby NIS slučují údaje z passwd a shadow do souboru passwd ....
Tiskni
Sdílej:
ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.