LDAP Linux Auth SSS - История изменений

Sirmax в 16:20, 24 июля 2024

2024-07-24T16:20:47Z

← Предыдущая		Версия 16:20, 24 июля 2024
Строка 6:		Строка 6:
	[[Категория:Linux]]		[[Категория:Linux]]
	[[Категория:PAM]]		[[Категория:PAM]]
−	[[Категория:~~ssh~~]]	+	[[Категория:SSH]]

Sirmax в 12:00, 31 августа 2016

2016-08-31T12:00:05Z

← Предыдущая		Версия 12:00, 31 августа 2016
Строка 82:		Строка 82:
	dns_resolver_timeout = 15		dns_resolver_timeout = 15

−	ldap_search_base = dc=~~mirantis~~,dc=net	+	ldap_search_base = dc=MYCOMPANY,dc=net
−	ldap_access_filter = \|(\|(&(accessTo=itlab)(trustModel=byhost)(trustModel=fullaccess))(&(objectClass=posixAccount)(uid=mmaxur)))(memberOf=cn=it-cloud-ops,ou=groups,o=~~mirantis~~,dc=~~mirantis~~,dc=net)	+	ldap_access_filter = \|(\|(&(accessTo=itlab)(trustModel=byhost)(trustModel=fullaccess))(&(objectClass=posixAccount)(uid=mmaxur)))(memberOf=cn=it-cloud-ops,ou=groups,o=MYCOMPANY,dc=MYCOMPANY,dc=net)
	cache_credentials = False		cache_credentials = False
	#enumerate = false		#enumerate = false
	enumerate = True		enumerate = True
	sudo_provider = ldap		sudo_provider = ldap
−	ldap_sudo_search_base = ou=sudoers,dc=~~mirantis~~,dc=net	+	ldap_sudo_search_base = ou=sudoers,dc=MYCOMPANY,dc=net
	cache_credentials = True		cache_credentials = True
	ldap_tls_reqcert = never		ldap_tls_reqcert = never
Строка 99:		Строка 99:
	[sudo]		[sudo]
	sudo_provider = ldap		sudo_provider = ldap
−	ldap_sudo_search_base = ou=sudoers,dc=~~mirantis~~,dc=net	+	ldap_sudo_search_base = ou=sudoers,dc=MYCOMPANY,dc=net
	</PRE>		</PRE>

Строка 112:		Строка 112:
	<PRE>		<PRE>
	URI ldap://ldap/		URI ldap://ldap/
−	BASE dc=~~mirantis~~,dc=net	+	BASE dc= MYCOMPANY,dc=net
	</PRE>		</PRE>

Строка 246:		Строка 246:

	search_key() {		search_key() {
−	${LDAPSEARCH} -x -LLL -b "uid=${USER},ou=people,o=~~mirantis~~,dc=~~mirantis~~,dc=net" sshPublicKey -tt -T ${TMP_DIR} 2>&1 >>${LOG}	+	${LDAPSEARCH} -x -LLL -b "uid=${USER},ou=people,o=MYCOMPANY,dc=MYCOMPANY,dc=net" sshPublicKey -tt -T ${TMP_DIR} 2>&1 >>${LOG}
	}		}

Sirmax: /* sudo */

2016-08-31T11:56:34Z

sudo

← Предыдущая		Версия 11:56, 31 августа 2016
Строка 198:		Строка 198:
	</PRE>		</PRE>

−	<B>t /etc/sssd/sssd.conf</B>	+	<B>/etc/sssd/sssd.conf</B>
	<PRE>		<PRE>
	id_provider = ldap		id_provider = ldap

Sirmax: /* SSSD */

2016-08-31T11:55:48Z

SSSD

← Предыдущая		Версия 11:55, 31 августа 2016
Строка 11:		Строка 11:
	=SSSD=		=SSSD=
	<BR>		<BR>
−	Изначально задача стояла - сделать авторизацию (shell) в LDAP ~~причем~~	+	Изначально задача стояла - сделать авторизацию (shell) в LDAP:
		+
−	* Огромный корпоративный LDAP где куча всяких данных и в целом мне не доступно управление	+	* Огромный корпоративный LDAP где куча всяких данных и в целом мне не доступно управление
−	* Доступ должен определяться членством в группах (обратить внимание - есть более чем 1 группа, memberOf ко торой должны иметь возможность логиниться на сервер что исключает pam_ldap)	+	* Доступ должен определяться членством в группах (обратить внимание - есть более чем 1 группа, memberOf ко торой должны иметь возможность логиниться на сервер что исключает pam_ldap)
−	* sudo для этой группы	+	* sudo для этой группы
−	* sudosh2 для записи сессии	+	* sudosh2 для записи сессии


Строка 272:		Строка 273:
	</PRE>		</PRE>
	Тут можно сделать что угодно - использовать нестандартную схему, другой ldap-сервер или что то еще.		Тут можно сделать что угодно - использовать нестандартную схему, другой ldap-сервер или что то еще.
		+
	=Ссылки=		=Ссылки=
	* https://www.couyon.net/blog/enabling-ldap-usergroup-support-and-authentication-in-centos-6		* https://www.couyon.net/blog/enabling-ldap-usergroup-support-and-authentication-in-centos-6

Sirmax: /* SSSD */

2016-07-21T10:55:18Z

SSSD

← Предыдущая		Версия 10:55, 21 июля 2016
Строка 272:		Строка 272:
	</PRE>		</PRE>
	Тут можно сделать что угодно - использовать нестандартную схему, другой ldap-сервер или что то еще.		Тут можно сделать что угодно - использовать нестандартную схему, другой ldap-сервер или что то еще.
		+	=Ссылки=
		+	* https://www.couyon.net/blog/enabling-ldap-usergroup-support-and-authentication-in-centos-6
		+	* https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Deployment_Guide/sssd-ldap-sudo.html
		+	* https://arthurdejong.org/nss-pam-ldapd/setup
		+	* https://thornelabs.net/2013/01/28/linux-restrict-server-login-via-ldap-groups.html
		+	* http://www.cyberciti.biz/tips/howto-deny-allow-linux-user-group-login.html
		+	https://wiki.gentoo.org/wiki/Centralized_authentication_using_OpenLDAP/ru

Sirmax: /* sudo */

2016-07-21T10:46:26Z

sudo

← Предыдущая		Версия 10:46, 21 июля 2016
Строка 184:		Строка 184:

	==sudo==		==sudo==
		+	* https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Deployment_Guide/sssd-ldap-sudo.html
		+
	<B> /etc/nsswitch.conf</B>		<B> /etc/nsswitch.conf</B>
	<PRE>		<PRE>

Sirmax: /* sudo */

2016-07-21T10:46:04Z

sudo

← Предыдущая		Версия 10:46, 21 июля 2016
Строка 181:		Строка 181:
	< session optional pam_sss.so		< session optional pam_sss.so
	</PRE>		</PRE>
		+

	==sudo==		==sudo==
		+	<B> /etc/nsswitch.conf</B>
		+	<PRE>
		+	sudoers: files sss
		+	</PRE>

		+	<B>/etc/sssd/sssd.conf</B>
		+	<PRE>
		+	[sssd]
		+	services = nss,pam,sudo
		+	</PRE>

		+	<B>t /etc/sssd/sssd.conf</B>
		+	<PRE>
		+	id_provider = ldap

		+	sudo_provider = ldap
		+	ldap_uri = ldap://example.com
		+	ldap_sudo_search_base = ou=sudoers,dc=example,dc=com
		+	</PRE>

	==ssh access using key from ldap==		==ssh access using key from ldap==

Sirmax: /* sudo */

2016-07-20T14:32:20Z

sudo

← Предыдущая		Версия 14:32, 20 июля 2016
Строка 183:		Строка 183:

	==sudo==		==sudo==
		+
		+
		+
		+
		+	==ssh access using key from ldap==
		+
		+	Если LDAP настроен так как нужно (верная схема) - то можно просто добавить строчку "бери ключ из лдап", бинарник идет вместе с пакето sssd
		+
		+	<PRE>
		+	AuthorizedKeysCommand /usr/bin/sss_ssh_authorizedkeys
		+	</PRE>
		+
		+	По сути это комманда которая на вход получает username а на выходе отдает ключ
		+	<BR>
		+	Скрипт который делает то же самое выглядит так:
		+
		+	<PRE>
		+	#!/bin/bash
		+
		+
		+
		+	LOG="/etc/ssh/auth.log"
		+	LDAPSEARCH="/usr/bin/ldapsearch"
		+	WORKDIR=/etc/ssh/ldap_auth
		+
		+
		+	date >> ${LOG}
		+	env >> ${LOG}
		+	echo $@ >> ${LOG}
		+	echo ${1} >> ${LOG}
		+
		+	USER=${1}
		+
		+
		+	pre() {
		+
		+	mkdir -p ${WORKDIR}
		+	TMP_DIR=`mktemp -p ${WORKDIR} -d --suffix="-${USER}"`
		+
		+
		+	}
		+
		+	search_key() {
		+	${LDAPSEARCH} -x -LLL -b "uid=${USER},ou=people,o=mirantis,dc=mirantis,dc=net" sshPublicKey -tt -T ${TMP_DIR} 2>&1 >>${LOG}
		+	}
		+
		+
		+
		+	show_key() {
		+	pushd ${TMP_DIR} 2>/dev/null 1>/dev/null
		+	for F in `ls -1 `
		+	do
		+	cat ${F}
		+	cat ${F} >> ${LOG}
		+	done
		+	popd 2>/dev/null 1>/dev/null
		+	}
		+
		+	clanup(){
		+	rm -rf ${TMP_DIR}
		+
		+	}
		+
		+	pre
		+	search_key
		+	show_key
		+	clanup
		+
		+	</PRE>
		+	Тут можно сделать что угодно - использовать нестандартную схему, другой ldap-сервер или что то еще.

Sirmax: /* sudosh2 */

2016-07-20T13:37:17Z

sudosh2

← Предыдущая		Версия 13:37, 20 июля 2016
Строка 47:		Строка 47:
	head -1 /etc/passwd		head -1 /etc/passwd
	root:x:0:0:root:/root:/usr/bin/sudosh		root:x:0:0:root:/root:/usr/bin/sudosh
		+	</PRE>
		+
		+	Включить автосоздание директорий
		+	<PRE>
		+	authconfig --enablemkhomedir --update
	</PRE>		</PRE>

Sirmax: /* ldap auth via pam_sss */

2016-07-20T13:34:44Z

ldap auth via pam_sss

← Предыдущая		Версия 13:34, 20 июля 2016
Строка 101:		Строка 101:

	chkconfig sssd on		chkconfig sssd on
		+	</PRE>
		+
		+	<B>/etc/openldap/ldap.conf</B>
		+	<PRE>
		+	URI ldap://ldap/
		+	BASE dc=mirantis,dc=net
		+	</PRE>
		+
		+
		+
		+	<PRE>
		+	cp -r /etc/pam.d /root
		+	authconfig --enablesssdauth --enablesssd --update
		+	</PRE>
		+
		+	Проверить: (/root/pam.d - бекап)
		+	<PRE>
		+	[root@ic3-fuel-scc ~]# diff /etc/pam.d/ /root/pam.d/
		+	diff /etc/pam.d/fingerprint-auth /root/pam.d/fingerprint-auth
		+	11d10
		+	< account [default=bad success=ok user_unknown=ignore] pam_sss.so
		+	20d18
		+	< session optional pam_sss.so
		+	diff /etc/pam.d/fingerprint-auth-ac /root/pam.d/fingerprint-auth-ac
		+	11d10
		+	< account [default=bad success=ok user_unknown=ignore] pam_sss.so
		+	20d18
		+	< session optional pam_sss.so
		+	diff /etc/pam.d/password-auth /root/pam.d/password-auth
		+	7d6
		+	< auth sufficient pam_sss.so use_first_pass
		+	13d11
		+	< account [default=bad success=ok user_unknown=ignore] pam_sss.so
		+	18d15
		+	< password sufficient pam_sss.so use_authtok
		+	25d21
		+	< session optional pam_sss.so
		+	diff /etc/pam.d/password-auth-ac /root/pam.d/password-auth-ac
		+	7d6
		+	< auth sufficient pam_sss.so use_first_pass
		+	13d11
		+	< account [default=bad success=ok user_unknown=ignore] pam_sss.so
		+	18d15
		+	< password sufficient pam_sss.so use_authtok
		+	25d21
		+	< session optional pam_sss.so
		+	diff /etc/pam.d/smartcard-auth /root/pam.d/smartcard-auth
		+	11d10
		+	< account [default=bad success=ok user_unknown=ignore] pam_sss.so
		+	20d18
		+	< session optional pam_sss.so
		+	diff /etc/pam.d/smartcard-auth-ac /root/pam.d/smartcard-auth-ac
		+	11d10
		+	< account [default=bad success=ok user_unknown=ignore] pam_sss.so
		+	20d18
		+	< session optional pam_sss.so
		+	diff /etc/pam.d/system-auth /root/pam.d/system-auth
		+	7d6
		+	< auth sufficient pam_sss.so use_first_pass
		+	13d11
		+	< account [default=bad success=ok user_unknown=ignore] pam_sss.so
		+	18d15
		+	< password sufficient pam_sss.so use_authtok
		+	25d21
		+	< session optional pam_sss.so
		+	diff /etc/pam.d/system-auth-ac /root/pam.d/system-auth-ac
		+	7d6
		+	< auth sufficient pam_sss.so use_first_pass
		+	13d11
		+	< account [default=bad success=ok user_unknown=ignore] pam_sss.so
		+	18d15
		+	< password sufficient pam_sss.so use_authtok
		+	25d21
		+	< session optional pam_sss.so
	</PRE>		</PRE>