LDAP Linux LDAP SUDO - История изменений

Sirmax: /* SUDO */

2016-05-21T12:38:03Z

SUDO

← Предыдущая		Версия 12:38, 21 мая 2016
Строка 291:		Строка 291:
	</PRE>		</PRE>

		+	=Cсылки=
−	=SUDO=
−	Добавить разрешения в файл sudoers
−	<BR>/etc/sudoers
−	<PRE>
−	%fuel_users ALL=(ALL:ALL) ALL
−	</PRE>
−
−
	Подробно про sudo: https://wiki.archlinux.org/index.php/Sudo_%28%D0%A0%D1%83%D1%81%D1%81%D0%BA%D0%B8%D0%B9%29		Подробно про sudo: https://wiki.archlinux.org/index.php/Sudo_%28%D0%A0%D1%83%D1%81%D1%81%D0%BA%D0%B8%D0%B9%29

Sirmax: /* Настройка клиента */

2016-05-21T12:37:38Z

Настройка клиента

@@ Строка 236: / Строка 236: @@
 * TLS_CACERT - путь к сертефикату
 * TLS_REQCERT  - опция, влияющая на то будет ли принят самоподписанный сертификат.
 =SUDO=

Sirmax: /* Настройка клиента */

2016-05-21T12:36:29Z

Настройка клиента

@@ Строка 201: / Строка 201: @@
 =Настройка клиента=
 =SUDO=
 Добавить разрешения в файл sudoers

Sirmax: /* Добавление объектов */

2016-05-21T12:26:58Z

Добавление объектов

← Предыдущая		Версия 12:26, 21 мая 2016
Строка 155:		Строка 155:

	==Добавление объектов==		==Добавление объектов==
		+	Следующим шагом следует конвертировать существующий файл <B>sudoers</B> в объекты LDAP
		+	<BR>
	Установить sudo с поддержкой ldap и необходимые утилиты и схемы		Установить sudo с поддержкой ldap и необходимые утилиты и схемы
	<PRE>		<PRE>
Строка 162:		Строка 164:
	<PRE>		<PRE>
	cp /etc/sudoers /root/sudoers		cp /etc/sudoers /root/sudoers
		+	</PRE>
		+
		+	В файле предназначенном для конвертации я добавил разрешения для sudo для группу fuel_users
		+	<PRE>
		+	%fuel_users ALL=(ALL:ALL) ALL
	</PRE>		</PRE>

Sirmax: /* Создание схемы */

2016-05-21T12:18:19Z

Создание схемы

← Предыдущая		Версия 12:18, 21 мая 2016
Строка 5:		Строка 5:

	=Настройка сервера=		=Настройка сервера=
−
−	==Создание схемы==

	==Добавление схемы==		==Добавление схемы==

Sirmax: /* SUDO LDAP */

2016-05-21T12:18:03Z

SUDO LDAP

← Предыдущая		Версия 12:18, 21 мая 2016
Строка 6:		Строка 6:
	=Настройка сервера=		=Настройка сервера=

		+	==Создание схемы==
−	==SUDO LDAP==
−	Файл sudoers на самом деле может храниться в LDAP
−	<BR>
−	Co стороны LDAP-сервера требуется более детальная настройка
−	* Добавить схему для sudo
−	* Добавить объекты
−

	==Добавление схемы==		==Добавление схемы==

Sirmax: /* SUDO */

2016-05-21T12:17:21Z

SUDO

@@ Строка 2: / Строка 2: @@
 [[Категория:LDAP]]
 [[Категория:sudo]]
 ==SUDO LDAP==
@@ Строка 207: / Строка 200: @@
 </PRE>

Sirmax в 11:14, 19 мая 2016

2016-05-19T11:14:17Z

← Предыдущая		Версия 11:14, 19 мая 2016
Строка 1:		Строка 1:
−	[[~~Катгория~~:Linux]]	+	[[Категория:Linux]]
−	[[~~Катгория~~:LDAP]]	+	[[Категория:LDAP]]
−	[[~~Катгория~~:sudo]]	+	[[Категория:sudo]]
	=SUDO=		=SUDO=
	Добавить разрешения в файл sudoers		Добавить разрешения в файл sudoers

Sirmax: Новая страница: «Катгория:Linux Катгория:LDAP Катгория:sudo =SUDO= Добавить разрешения в файл sudoers
/etc/sudoers <…»

2016-05-19T11:14:00Z

Новая страница: «Катгория:Linux Катгория:LDAP Катгория:sudo =SUDO= Добавить разрешения в файл sudoers /etc/sudoers <…»

Новая страница

[[Катгория:Linux]]
[[Катгория:LDAP]]
[[Катгория:sudo]]
=SUDO=
Добавить разрешения в файл sudoers
 /etc/sudoers
<PRE>
%fuel_users ALL=(ALL:ALL) ALL
</PRE>

Подробно про sudo: https://wiki.archlinux.org/index.php/Sudo_%28%D0%A0%D1%83%D1%81%D1%81%D0%BA%D0%B8%D0%B9%29

==SUDO LDAP==
Файл sudoers на самом деле может храниться в LDAP
 
Co стороны LDAP-сервера требуется более детальная настройка
* Добавить схему для sudo
* Добавить объекты

==Добавление схемы==
Операция не совсем тривиальная - в пакете ldap-sudo поставляется старая схема и просто так ее залить на сервер не получиться. Требуется конвертация.

* Создать временный файл "конфигурации slapd". В моем примере это /root/slapd.conf с одной строкой:
<PRE>
# cat /root/slapd.conf
include ./sudo.OpenLDAP
</PRE>

sudo.OpenLDAP - это файл скопированный из пакета ldap-sudo, /usr/share/doc/sudo-ldap/schema.OpenLDAP
 
Запустить конвертацию: создать директорию для будущих конфигов и сгенерировать их

<PRE>
# создаём директорию
mkdir testdir
</PRE>

<PRE>
# запускаем slaptest
slaptest -f slapd.conf -F testdir
</PRE>
В результате в testdir будет создано дерева конфигурации.
 
Интересующая нас схема расположена в файле testdir/cn=config/cn=sudo

<PRE>
# AUTO-GENERATED FILE - DO NOT EDIT!! Use ldapmodify.
# CRC32 75e9d97b
dn: cn={0}sudo
objectClass: olcSchemaConfig
cn: {0}sudo
olcAttributeTypes: {0}( 1.3.6.1.4.1.15953.9.1.1 NAME 'sudoUser' DESC 'User(s).
who may run sudo' EQUALITY caseExactIA5Match SUBSTR caseExactIA5SubstringsMa
tch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcAttributeTypes: {1}( 1.3.6.1.4.1.15953.9.1.2 NAME 'sudoHost' DESC 'Host(s).
who may run sudo' EQUALITY caseExactIA5Match SUBSTR caseExactIA5SubstringsMat
ch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcAttributeTypes: {2}( 1.3.6.1.4.1.15953.9.1.3 NAME 'sudoCommand' DESC 'Comma
nd(s) to be executed by sudo' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1.4.1.1
466.115.121.1.26 )
olcAttributeTypes: {3}( 1.3.6.1.4.1.15953.9.1.4 NAME 'sudoRunAs' DESC 'User(s)
impersonated by sudo (deprecated)' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1
.4.1.1466.115.121.1.26 )
olcAttributeTypes: {4}( 1.3.6.1.4.1.15953.9.1.5 NAME 'sudoOption' DESC 'Option
s(s) followed by sudo' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1.4.1.1466.115
.121.1.26 )
olcAttributeTypes: {5}( 1.3.6.1.4.1.15953.9.1.6 NAME 'sudoRunAsUser' DESC 'Use
r(s) impersonated by sudo' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1.4.1.1466
.115.121.1.26 )
olcAttributeTypes: {6}( 1.3.6.1.4.1.15953.9.1.7 NAME 'sudoRunAsGroup' DESC 'Gr
oup(s) impersonated by sudo' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1.4.1.14
66.115.121.1.26 )
olcAttributeTypes: {7}( 1.3.6.1.4.1.15953.9.1.8 NAME 'sudoNotBefore' DESC 'Sta
rt of time interval for which the entry is valid' EQUALITY generalizedTimeMat
ch ORDERING generalizedTimeOrderingMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.24
)
olcAttributeTypes: {8}( 1.3.6.1.4.1.15953.9.1.9 NAME 'sudoNotAfter' DESC 'End.
of time interval for which the entry is valid' EQUALITY generalizedTimeMatch.
ORDERING generalizedTimeOrderingMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.24 )
olcAttributeTypes: {9}( 1.3.6.1.4.1.15953.9.1.10 NAME 'sudoOrder' DESC 'an int
eger to order the sudoRole entries' EQUALITY integerMatch ORDERING integerOrd
eringMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 )
olcObjectClasses: {0}( 1.3.6.1.4.1.15953.9.2.1 NAME 'sudoRole' DESC 'Sudoer En
tries' SUP top STRUCTURAL MUST cn MAY ( sudoUser $ sudoHost $ sudoCommand $ s
udoRunAs $ sudoRunAsUser $ sudoRunAsGroup $ sudoOption $ sudoOrder $ sudoNotB
efore $ sudoNotAfter $ description ) )
structuralObjectClass: olcSchemaConfig
entryUUID: aaaded3e-af4b-1035-8f99-f94b551aa988
creatorsName: cn=config
createTimestamp: 20160516004836Z
entryCSN: 20160516004836.159008Z#000000#000#000000
modifiersName: cn=config
modifyTimestamp: 20160516004836Z
</PRE>

Тут dn: cn={0}sudo - взято из имени файла. Если файл со схемой назывался по-другому, то и имя будет другое.

 
Файл требуется привести к следующему виду:

<PRE>
dn: cn=sudo,cn=schema,cn=config
objectClass: olcSchemaConfig
cn: sudo
olcAttributeTypes: {0}( 1.3.6.1.4.1.15953.9.1.1 NAME 'sudoUser' DESC 'User(s).
who may run sudo' EQUALITY caseExactIA5Match SUBSTR caseExactIA5SubstringsMa
tch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcAttributeTypes: {1}( 1.3.6.1.4.1.15953.9.1.2 NAME 'sudoHost' DESC 'Host(s).
who may run sudo' EQUALITY caseExactIA5Match SUBSTR caseExactIA5SubstringsMat
ch SYNTAX 1.3.6.1.4.1.1466.115.121.1.26 )
olcAttributeTypes: {2}( 1.3.6.1.4.1.15953.9.1.3 NAME 'sudoCommand' DESC 'Comma
nd(s) to be executed by sudo' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1.4.1.1
466.115.121.1.26 )
olcAttributeTypes: {3}( 1.3.6.1.4.1.15953.9.1.4 NAME 'sudoRunAs' DESC 'User(s)
impersonated by sudo (deprecated)' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1
.4.1.1466.115.121.1.26 )
olcAttributeTypes: {4}( 1.3.6.1.4.1.15953.9.1.5 NAME 'sudoOption' DESC 'Option
s(s) followed by sudo' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1.4.1.1466.115
.121.1.26 )
olcAttributeTypes: {5}( 1.3.6.1.4.1.15953.9.1.6 NAME 'sudoRunAsUser' DESC 'Use
r(s) impersonated by sudo' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1.4.1.1466
.115.121.1.26 )
olcAttributeTypes: {6}( 1.3.6.1.4.1.15953.9.1.7 NAME 'sudoRunAsGroup' DESC 'Gr
oup(s) impersonated by sudo' EQUALITY caseExactIA5Match SYNTAX 1.3.6.1.4.1.14
66.115.121.1.26 )
olcAttributeTypes: {7}( 1.3.6.1.4.1.15953.9.1.8 NAME 'sudoNotBefore' DESC 'Sta
rt of time interval for which the entry is valid' EQUALITY generalizedTimeMat
ch ORDERING generalizedTimeOrderingMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.24
)
olcAttributeTypes: {8}( 1.3.6.1.4.1.15953.9.1.9 NAME 'sudoNotAfter' DESC 'End.
of time interval for which the entry is valid' EQUALITY generalizedTimeMatch.
ORDERING generalizedTimeOrderingMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.24 )
olcAttributeTypes: {9}( 1.3.6.1.4.1.15953.9.1.10 NAME 'sudoOrder' DESC 'an int
eger to order the sudoRole entries' EQUALITY integerMatch ORDERING integerOrd
eringMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 )
olcObjectClasses: {0}( 1.3.6.1.4.1.15953.9.2.1 NAME 'sudoRole' DESC 'Sudoer En
tries' SUP top STRUCTURAL MUST cn MAY ( sudoUser $ sudoHost $ sudoCommand $ s
udoRunAs $ sudoRunAsUser $ sudoRunAsGroup $ sudoOption $ sudoOrder $ sudoNotB
efore $ sudoNotAfter $ description ) )
</PRE>

diff:
<PRE>
< # AUTO-GENERATED FILE - DO NOT EDIT!! Use ldapmodify.
< # CRC32 75e9d97b
< dn: cn={0}sudo
---
> dn: cn=sudo,cn=schema,cn=config
5c3
< cn: {0}sudo
---
> cn: sudo
41,47d38
< structuralObjectClass: olcSchemaConfig
< entryUUID: aaaded3e-af4b-1035-8f99-f94b551aa988
< creatorsName: cn=config
< createTimestamp: 20160516004836Z
< entryCSN: 20160516004836.159008Z#000000#000#000000
< modifiersName: cn=config
</PRE>

А именно: указать правильный dn и удалить{0}. Удаление {0} означает что LDAP сам назначит номер в последовательности, а не перепишет существующую запись.
 
Тут подробно:
* http://pro-ldap.ru/tr/zytrax/ch6/slapd-config.html

==Добавление объектов==
Установить sudo с поддержкой ldap и необходимые утилиты и схемы
<PRE>
apt-get install sudo-ldap
</PRE>
Бекап настроек sudo
<PRE>
cp /etc/sudoers /root/sudoers
</PRE>

Распаковать утилиту для конвертации файла sudoers а объекты LDAP
<PRE>
zcat /usr/share/doc/sudo-ldap/sudoers2ldif.gz > /root/sudoers2ldif
chmod +x sudoers2ldif
</PRE>

Конвертация
<PRE>
SUDOERS_BASE=ou=sudo,ou=services,dc=customer_organization,dc=fuel_domain ./sudoers2ldif sudoers > sudoers.ldif
</PRE>

Переменная SUDOERS_BASE=ou=sudo,ou=services,dc=customer_organization,dc=fuel_domain определяет в каком OU/DOMAIN помещать объекты

 
Загрузить конфигурацию в LDAP
<PRE>
ldapadd < sudoers.ldif
adding new entry "cn=defaults,ou=sudo,ou=services,dc=customer_organization,dc=fuel_domain"

adding new entry "cn=root,ou=sudo,ou=services,dc=customer_organization,dc=fuel_domain"

adding new entry "cn=%admin,ou=sudo,ou=services,dc=customer_organization,dc=fuel_domain"

adding new entry "cn=%sudo,ou=sudo,ou=services,dc=customer_organization,dc=fuel_domain"

adding new entry "cn=%fuel_users,ou=sudo,ou=services,dc=customer_organization,dc=fuel_domain"

</PRE>

LDAP Linux LDAP SUDO - История изменений

Sirmax: /* SUDO */

Sirmax: /* Настройка клиента */

Sirmax: /* Настройка клиента */

Sirmax: /* Добавление объектов */

Sirmax: /* Создание схемы */

Sirmax: /* SUDO LDAP */

Sirmax: /* SUDO */

Sirmax в 11:14, 19 мая 2016

Sirmax: Новая страница: «Катгория:Linux Катгория:LDAP Катгория:sudo =SUDO= Добавить разрешения в файл sudoers /etc/sudoers <…»

Sirmax: Новая страница: «Катгория:Linux Катгория:LDAP Катгория:sudo =SUDO= Добавить разрешения в файл sudoers
/etc/sudoers <…»