Dotaz: uzivatele v LDAP

[karel]

Ahoj, nainstaloval jsem lokalni stanici. System Ubuntu 9.10. Uzivatel karel se pridal do nasledujicich skupin, lokalne v /etc/passwd:

karel : adm dialout cdrom plugdev lpadmin admin sambashare

overovani si nastavim ale vuci LDAP serveru, tzn. ze se pripojim i uzivatelem petr, ktery je v LDAP databazi.

V LDAPu nemam vubec skupiny adm dialout cdrom plugdev lpadmin admin sambashare atd.. a ani do nich petra pridavat nebudu.

Bude petrovi vsechno fungovat, kdyz nebude clenem techto skupin, do kterych system pridava lokalni usery automaticky?

Odpovědi

[timeos]

Podla toho, co myslite tym "vsechno fungovat". Clensvo v skupine cdrom napr znamena, ze dotycny user bude moct zapisovat na opticke medium, pripadne skupina plugdev podla vsetkeho povoluje pristup v vyberatelnym zariadeniam(? mediam?). Tieto skupiny su vecou distribucie a mozu sa lisit. Napr. skupina video umozniuje pouzit graficku akceleraciu v pripade, ze je user jej clenom v systeme fedora. Treba si zistit, co presne znamenaju tie skupiny a podla to uvidite, ci to usera obmedzuje alebo nie.

[karel]

no jo, ale jak to poresit? mam ty skupiny vytvaret i v LDAPu a kardeho noveho usera do nich vkladat nebo na kazdem stroji prodat usera do tech skupin? to je nejaky divoky, abych je pak nemel zduplikovane atd..

[Filip Jirsák]

Do lokálních skupin uživatele přidat můžete – je tam jenom jméno, takže PAM či NSS by s to měl umět srovnat, i když je skupina definovaná lokálně a uživatel v LDAPu.

Záleží na tom, jak se na ty skupiny díváte. Pokud chcete mít skupinu cdrom, jejíž uživatelé mohou na CD zapisovat na každém počítači, který používá tyto přihlašovací údaje, měla by ta skupina být globální (ale pozor na to, že může být potřeba při bootu dřív, než se počítač vůbec může k nějakému LDAPu připojit). Druhá varianta je, že skupina cdrom se týká lokálního počítače a chcete pomocí ní přidělovat práva pro každý počítač zvlášť. Pak je rozumné mít ji lokálně. Nejlepší by bylo, kdyby bylo možné do lokální skupiny jako člena vložit všechny členy vzdálené skupiny, ale to asi s normálním NSS nepůjde.

[timeos]

Podla spravnosti by ste usera mali pridat do tych lokalnych skupin a neduplikovat ich na LDAPe (i ked si myslim ze by to chodilo). Iste ze je to dost neprakticke, ak tych userov dynamicky pribuda. Druha moznost je pouzit nested groups... inak povedane vnorene skupiny (skupina je "clenom" inej skupiny) s tym, ze samotna nested groupa (vnorena skupina) by bola LDAPova a pouzivatela by ste uz len zaradili do tejto LDAPovej nested group (a tym bude clenom aj lokalnej skupiny). Ale nikdy som toto neskusal a nepotreboval riesit. Preto neviem, nakolko je to realne a riesitelne .