Dotaz: uživatelské účty v praxi

[jardak]

Mám jednoduchý dotaz:

pokud je server, na kterém běží např. Samba, FTP, POP3, MySQL a další, vytváří se pro každého uživatele jeden uživatelský účet, nebo se vytváří zvlášť účty pro každého uživatele a službu? Jde mi o to, zda je možné nastavit přístup ke každé službě s jiným heslem, popřípadě uživatelským jménem i když jde o jednu a tu samou osobu.

Díky za každou odpověď

JardaK.

Odpovědi

[Martin Kysela]

Nevim, jestli jsem otázku pochopil správně. Ale pokud ano, tak jde jen o rozdělení práv na využívání služeb mezi skupiny. Tj. vytvořim skupinu "ftp", do níž zařadím uživatele, kteří k FTP mají mít přístup, atd. Nic složitého.

// Martin Kysela

[jardak]

dobře, ale co když chci, aby se k ftp přistupovalo pod jiným heslem, než k např. poště přes POP3; musím vytvořit dva uživatelské účty?

[Martin Kysela]

Nejsem si úplně jistý, jestli mluvíme o tom samém. Ale pokud to chápu správně - máte několik uživatelů a chcete, aby přistupovali k jedné službě pod jedním heslem a k jiné službě pod jiným heslem. OK. V tom případě by bylo asi nejjednodušší vytvořit skupinu "ftp" a skupinu "mail". Uživatel nebude implicitně v žádné z nich, ale ke skupině bude přiřazeno heslo, které tomu konkrétnímu uživateli sdělíte. A on se pak může do této skupiny dočasně přihlásit a využívat jejích služeb.

Ale stejně nevim, jestli mluvíme o tom samém...

// Martin Kysela

[jardak]

asi se špatně vyjadřuji jde mi o zjištění, jak se v praxi nastavují uživatelské účty pro několik osob, pokud je na serveru spuštěno více služeb, které se využívají přes heslo. Nechci aby skupina osob používala společné heslo pro určitou službu. Zkrátka: používá se v praxi jedno uživatelské jméno a heslo pro jednu osobu pro více služeb, nebo má každá osoba několik uživatelských jmen a hesel? Cítím to tak, že je bezpečnější mít více hesel, protože když mi někdo odhalí jedno heslo (např. pro poštu), tak stále ještě nezná heslo např. do ftp. ???? JardaK.

[burlog]

Jestli vam dobre rozumim, tak jde o to zajistit jednomu uzivateli pristup na FTP/POP/... a to pod jednim heslem. Jinemu uzivateli pristup k tem samym(jen nekterym) ale pod jinym heslem? To je prece zajisteno pouhym pridanim uzivale do system, ne? A pokud mu sluzbu chcete vzit, tak to udelate v configuraku te ktere konkretni sluzby.
Pokud nechcete mit uzivatele v systemu a prece jen jim poskytovat sluzby, pak se to dela pres tzv. virtualni uzivatele. Ty si ale dela kazda sluzba(program) jinak. Vam nezbyva nez to nejak dat dohromady. Nebo pouzit vyhod PAM modulu.
Vyse napsane plati pro sitove sluzby. Pro lokalni pohyb po systemu se da vyuzit vyse zminenych skupin.

[jardak]

to právě nechci. 1) osoba A: přistupuje k FTP pod heslem H1, k POP3 pod heslem H2 a k Sambě pod heslem H3 2) osoba B: přistupuje k FTP pod heslem H4, k POP3 pod heslem H5 a k Sambě pod heslem H6 atd... Pro jednoduchost není nutné, aby se osoba A přihlašovala k FTP jako A1 a k Sambě jako A2. Může mít vždy stejné uživatelské jméno (ale jiné heslo). je to jasné ??? Díky. JardaK.

[burlog]

Pak jsou dve moznosti, bud PAM a nastavit si to jak je treba, nebo virtualni uzivatele tam je ma kazda sluzba kde chce a jak chce. Ale to ta sluzba musi podporovat.
Mimochodem Samba ma hesla uzivatelu v souboru smbpasswd, ktery nemusi nutne odpovidat systemovemu passwd.

[Martin Kysela]

Tak to řeknu hned, ne? Vyřešit by se to mělo použitím PAM. Viz:
User Authentication HOWTO
User Authentication HOWTO
PAM - praktické príklady použitia
PAM -- použití v praxi
PAM -- správa autentizačních mechanismů

// Martin Kysela

[Beda]

dve kouzelna sluvka. pam a ldap.

a nekolik dalsich kouzelnych slov pro google: "slapd quickstart" "pam ldap howto site:openldap.org"

a pokud se ti nebude zdat vykon ldap serveru, kterej ma access list >64k a o datech uz radsi nemluvim, tak na klientech pouzit/nastavit nscd a nsswitch.conf

[jardak]

Díky všem za odpovědi (spokojenost). JardaK.

[Marek Chowaniok]

Muzete jednoduse vysvetlit jaky je rozdil mezi pam a ldap? Dik

[unchallenger]

PAM a LDAP jsou dvě úplně různé věci. Stačí? ;-) PAM (Pluggable Authentication Modules) je autentizační framework, umožňující aplikacím neřešit si autentizaci uživatelů nějak po svém, ale požádat o ni PAM. Takže metody a politiky se implementují pro PAM a pak je lze využít, resp. jsou vnuceny všem aplikacím, které PAM používají. LDAP (Lightweight Directory Access Protocol) je v podstatě hierarchická databáze + protokol, resp. v užším smyslu jen ten protokol.