înregistrare Logare
Puncte:0
avatar Server

Alternativă SSSD pentru opțiunea pam_authz_search în nslcd

drapel ca
Aleksandr Makhov

Am servere bazate pe RHEL 7 și 8. Serverele RHEL 7 folosesc nslcd pentru a lucra cu un server LDAP, RHEL 8 utilizează SSSD.

Pentru RHEL 7 pot oferi acces utilizatorilor numai la gazdele permise. Aceste funcții sunt acoperite de opțiunea din nslcd.conf:

pam_authz_search (&(objectClass=posixAccount)(uid=$uid)(|(gazdă=$nume gazdă.\*)(gazdă=\*)))

Folosesc optiunea "gazdă=$nume gazdă.\* " pentru utilizatorii obișnuiți care au o listă de servere permise, "gazdă=\*" este folosit pentru administratorii care au * pentru atributul host ldap.

SSSD are opțiunea ldap_access_filter și cu următoarele stări:

ldap_access_filter = (objectClass=posixAccount)

Toți utilizatorii se pot conecta la toate mașinile RHEL 8, ceea ce vreau să evit.

Este posibil să adăugați opțiuni de gazdă la ldap_access_filter așa cum am în nslcd.conf pe serverele vechi?

Multumesc anticipat.

UPD:

ldap_access_filter = (&(objectClass=posixAccount)(gazdă=\*))

funcționează pentru administratorii cu * în atributele gazdei ldapsearch:

~$ ldapsearch -LLL -Q -Z uid=admin-user gazdă
dn: uid=admin-user,ou=People,dc=my,dc=domain,dc=net
gazda: *

De asemenea, pot specifica numele serverului direct:

ldap_access_filter = (&(objectClass=posixAccount)(gazdă=servername.example.lan))

și funcționează și pentru utilizatorii care au acest server în listă:

~$ ldapsearch -LLL -Q -Z uid=a-testuser gazdă
dn: uid=a-testuser,ou=People,dc=my,dc=domain,dc=net
gazdă: servername.example.lan

Dar cum pot folosi variabile sau caractere speciale, cum ar fi * sau \*?

40
0 + 0
pam
drapel cn
natxo asenjo
Cred că problema este că „*” este un filtru de prezență, adică verifică dacă există ceva în atributul „gazdă”. Acest document MS arată câteva informații despre evadarea caracterelor speciale „https://social.technet.microsoft.com/wiki/contents/articles/5392.active-directory-ldap-syntax-filters.aspx#Special_Characters”
0
Răspunde
drapel cn
natxo asenjo
folosirea a ceva de genul freeipa cu regulile sale avansate de rbac ar face acest lucru banal, apropo. Știu, nu este răspunsul la întrebarea ta, dar poate ceva ce ai putea fi interesat să folosești în viitor pentru exact acest gen de lucruri.
0
Răspunde
drapel romania
SEF 777
întrebarea această in alte limbi:

Postează un răspuns

Majoritatea oamenilor nu înțeleg că a pune multe întrebări deblochează învățarea și îmbunătățește legătura interpersonală. În studiile lui Alison, de exemplu, deși oamenii își puteau aminti cu exactitate câte întrebări au fost puse în conversațiile lor, ei nu au intuit legătura dintre întrebări și apreciere. În patru studii, în care participanții au fost implicați în conversații ei înșiși sau au citit transcrieri ale conversațiilor altora, oamenii au avut tendința să nu realizeze că întrebarea ar influența – sau ar fi influențat – nivelul de prietenie dintre conversatori.