Pam - История изменений

Sirmax: /* Linix PAM */

2016-08-31T10:10:18Z

Linix PAM

← Предыдущая		Версия 10:10, 31 августа 2016
Строка 8:		Строка 8:
	<BR>		<BR>
	Все написаное относится к CentOS 6.5 - меня интересовала именно эта система и со всякими вашими убунтами я не тестировал :)		Все написаное относится к CentOS 6.5 - меня интересовала именно эта система и со всякими вашими убунтами я не тестировал :)
		+
		+	<B>С авторизацией по ключам в ssh РАБОТАТЬ НЕ БУДЕТ так как ssh не использует PAM для ключей</B>
	==Решение==		==Решение==
	<BR>		<BR>

Sirmax: /* PAM */

2015-03-06T02:40:24Z

PAM

← Предыдущая		Версия 02:40, 6 марта 2015
Строка 62:		Строка 62:
	</PRE>		</PRE>
	Т.е. любой пользователь с @ будет мапиться на одного и того же пользователя.		Т.е. любой пользователь с @ будет мапиться на одного и того же пользователя.
−	<BR> в реальности это конечно же не нужно.	+	<BR> в реальности это конечно же не нужно - маппить надо только того пользователя которого надо.

	<BR>После чего у меня все заработало .		<BR>После чего у меня все заработало .

Sirmax: /* Решение */

2015-03-06T02:39:46Z

Решение

← Предыдущая		Версия 02:39, 6 марта 2015
Строка 9:		Строка 9:
	Все написаное относится к CentOS 6.5 - меня интересовала именно эта система и со всякими вашими убунтами я не тестировал :)		Все написаное относится к CentOS 6.5 - меня интересовала именно эта система и со всякими вашими убунтами я не тестировал :)
	==Решение==		==Решение==
−	===Краткое описание сложностей===
	<BR>		<BR>
	Первое что пришло в голову - использовать PAM и не заморачиваться с хранением пользователя вообще.		Первое что пришло в голову - использовать PAM и не заморачиваться с хранением пользователя вообще.
Строка 54:		Строка 53:

	<BR>После этого я смог успешно залогиниться в ssh с пользователем которого нет в /etc/passwd		<BR>После этого я смог успешно залогиниться в ssh с пользователем которого нет в /etc/passwd
−	<BR>Но и это не решает проблему - пользователь с "@" в имени остается не валидным.	+	<BR>Но и это не решает проблему - пользователь с "@" в имени остается не валидным.
		+
	==PAM==		==PAM==
	Для того что бы пользователь маппился на другого (валидного) я применил простейшее решение - pam_regex.		Для того что бы пользователь маппился на другого (валидного) я применил простейшее решение - pam_regex.

Sirmax: /* PAM */

2015-03-05T21:10:43Z

PAM

@@ Строка 56: / Строка 56: @@
 <BR>Но и  это не решает проблему - пользователь с "@" в имени остается не валидным.
 ==PAM==
 ==Links==
 * http://i-notes.org/centos-ssh-pam-radius-avtorizaciya/

Sirmax в 21:04, 5 марта 2015

2015-03-05T21:04:12Z

← Предыдущая		Версия 21:04, 5 марта 2015
Строка 47:		Строка 47:
	* Сгенерировать базу (/usr/bin/make -f ./Makefile). Важно не забывать удалять старые базы перед перегенерацией.		* Сгенерировать базу (/usr/bin/make -f ./Makefile). Важно не забывать удалять старые базы перед перегенерацией.

		+	Для проверки я сделал следующее:
−	Для проверки я создал пользователя, сбекапил passwd shadow groups, в копиях - оставил только этого нового пользователя, из основной базы - его удалил.
		+	* создал пользователя (useradd ...)
		+	* сбекапил passwd shadow groups
		+	* в копиях - оставил только этого нового пользователя
		+	* из основной базы - его удалил (userdel ..), домашний каталог оставил.

		+	<BR>После этого я смог успешно залогиниться в ssh с пользователем которого нет в /etc/passwd
		+	<BR>Но и это не решает проблему - пользователь с "@" в имени остается не валидным.
		+	==PAM==
	==Links==		==Links==
	* http://i-notes.org/centos-ssh-pam-radius-avtorizaciya/		* http://i-notes.org/centos-ssh-pam-radius-avtorizaciya/

Sirmax: /* Краткое описание сложностей */

2015-03-05T20:58:48Z

Краткое описание сложностей

@@ Строка 35: / Строка 35: @@
 * NIS
 * DB
 ==Links==

Sirmax: /* Краткое описание сложностей */

2015-03-05T20:47:46Z

Краткое описание сложностей

← Предыдущая		Версия 20:47, 5 марта 2015
Строка 20:		Строка 20:
	<BR>Т.е. на уровне PAM это конечно же работает- но ssh слишком умный <S>как утка</S> и имеет дополнительную проверку - вызывая системную ф-ю <B>getpwnam</B> которая ничего не знает про PAM (а использует дедовские методы - /etc/passwd ... ) и не пускает с ошибкой:		<BR>Т.е. на уровне PAM это конечно же работает- но ssh слишком умный <S>как утка</S> и имеет дополнительную проверку - вызывая системную ф-ю <B>getpwnam</B> которая ничего не знает про PAM (а использует дедовские методы - /etc/passwd ... ) и не пускает с ошибкой:
	<PRE>		<PRE>
		+	Mar 5 17:52:55 test-vm-mm sshd[3378]: fatal: Internal error: PAM auth succeeded when it should have failed
		+	Mar 5 17:52:55 test-vm-mm sshd[3379]: fatal: mm_request_send: write: Broken pipe
	</PRE>		</PRE>
		+	После чтения кода sshd перевести на человеческий я зык это сообщение можно так "PAM сказал что пускать можно но т.к. поверка на наличие такого пользователя в системе дала отрицательный результат то мы все равно пускаем."
	<BR>		<BR>
		+	Отличный результат.
		+
		+	Для того что бы пользователь был доступен при проверке getpwnam это должен быть системный пользователь. Другого варианта нет.
		+
		+	<BR>
		+	Однако системные пользователи могут храниться не только в /etc/passwd но и в других местах<BR>
	Тут возможно несколько вариантов		Тут возможно несколько вариантов
	* LDAP		* LDAP

Sirmax: /* Краткое описание сложностей */

2015-03-05T20:39:21Z

Краткое описание сложностей

← Предыдущая		Версия 20:39, 5 марта 2015
Строка 18:		Строка 18:
	Естественно /root/pam_exec.sh для моего пользователя (или для теста - всегда) возвращает "успех".		Естественно /root/pam_exec.sh для моего пользователя (или для теста - всегда) возвращает "успех".
	<BR><B>Это не сработало</B>		<BR><B>Это не сработало</B>
−	<BR>Т.е. на уровне PAM это конечно же работает- но ssh слишком умный <S>как утка</S> и имеет дополнительную проверку - вызывая системную ф-ю которая ничего не знает про PAM (а использует дедовские методы - /etc/passwd ... ) и не пускает с ошибкой:	+	<BR>Т.е. на уровне PAM это конечно же работает- но ssh слишком умный <S>как утка</S> и имеет дополнительную проверку - вызывая системную ф-ю <B>getpwnam</B> которая ничего не знает про PAM (а использует дедовские методы - /etc/passwd ... ) и не пускает с ошибкой:
	<PRE>		<PRE>
	</PRE>		</PRE>
Строка 26:		Строка 26:
	* NIS		* NIS
	* DB		* DB
−	Я остановлюсь	+	Я остановлюсь
		+
	==Links==		==Links==
	* http://i-notes.org/centos-ssh-pam-radius-avtorizaciya/		* http://i-notes.org/centos-ssh-pam-radius-avtorizaciya/

Sirmax: /* Linix PAM */

2015-03-05T20:37:17Z

Linix PAM

← Предыдущая		Версия 20:37, 5 марта 2015
Строка 4:		Строка 4:
	=Linix PAM=		=Linix PAM=
	Это статья про полную <s>хуйню</s> ерунду - от руководства поставлена задача: заводить пользователя вида user@domain.tld на линукс-боксах. Из ограничений - такой пользователь нужен только один в системе.		Это статья про полную <s>хуйню</s> ерунду - от руководства поставлена задача: заводить пользователя вида user@domain.tld на линукс-боксах. Из ограничений - такой пользователь нужен только один в системе.
		+	<BR>
		⚫	В линуксе нельзя завести пользователя с символом "@" в имени стандартными средствами (--force варианты я не расматриваю). Потому для хранения пользователей нужно использовать какое-то внешнее хранилище.
		+	<BR>
		+	Все написаное относится к CentOS 6.5 - меня интересовала именно эта система и со всякими вашими убунтами я не тестировал :)
		⚫	==Решение==
		+	===Краткое описание сложностей===
	<BR>		<BR>
	Первое что пришло в голову - использовать PAM и не заморачиваться с хранением пользователя вообще.		Первое что пришло в голову - использовать PAM и не заморачиваться с хранением пользователя вообще.
−	Сделать что то вроде	+	Сделать что то вроде такого в /etc/pam.d.sshd
	<PRE>		<PRE>
	auth sufficient pam_exec.so debug expose_authtok log=/root/pam_exec_debug.log /root/pam_exec.sh		auth sufficient pam_exec.so debug expose_authtok log=/root/pam_exec_debug.log /root/pam_exec.sh
	</PRE>		</PRE>
		+	Естественно /root/pam_exec.sh для моего пользователя (или для теста - всегда) возвращает "успех".
−
		+	<BR><B>Это не сработало</B>
⚫	==Решение==
		+	<BR>Т.е. на уровне PAM это конечно же работает- но ssh слишком умный <S>как утка</S> и имеет дополнительную проверку - вызывая системную ф-ю которая ничего не знает про PAM (а использует дедовские методы - /etc/passwd ... ) и не пускает с ошибкой:
⚫	В линуксе нельзя завести пользователя с символом "@" в имени стандартными средствами (--force варианты я не расматриваю). Потому для хранения пользователей нужно использовать какое-то внешнее хранилище.
		+	<PRE>
		+	</PRE>
	<BR>		<BR>
	Тут возможно несколько вариантов		Тут возможно несколько вариантов

Sirmax: /* Linix PAM */

2015-03-05T20:30:00Z

Linix PAM

@@ Строка 3: / Строка 3: @@
 =Linix PAM=
 ==Links==
 * http://i-notes.org/centos-ssh-pam-radius-avtorizaciya/