Đưa thông tin đăng nhập .k5 vào ldap với freeipa

Trên các hệ thống do tôi quản lý, ngoài tài khoản người dùng là con người, chúng tôi còn có một số tài khoản được liên kết với các vai trò, phần mềm và dữ liệu cụ thể.

Bằng cách sử dụng một .k5đăng nhập tệp trong thư mục chính, có thể sử dụng ssh để kết nối với một máy khác với tư cách là một người dùng khác. Với freeipa, có thể thêm các quy tắc sudo để các thành viên của một nhóm cụ thể có thể thay đổi thành một tài khoản vai trò cụ thể. Nhưng tôi muốn kích hoạt chức năng tương tự trực tiếp với ssh. Điều này thuận tiện hơn trong nhiều trường hợp, đặc biệt là khi có liên quan đến những thứ như chuyển tiếp X. Có thể có dữ liệu khác trong .k5đăng nhập các tệp được lưu trữ trực tiếp trong LDAP qua freeipa?

Tôi cũng sẽ sẵn sàng cho các giải pháp khả thi khác, chẳng hạn như soạn SSH ủy quyền (dường như nằm trong LDAP) từ các khóa chung của người dùng được phép truy cập.

Nó không được thực hiện ở bất cứ đâu, do đó không có sẵn. Tuy nhiên, tôi khuyên bạn không nên sử dụng phương pháp này. Ngoài sự thuận tiện, bạn sẽ mất kiểm tra các hành động được thực hiện. Đi theo các quy tắc sudo vẫn sẽ cho phép bạn tiếp tục truy cập vào chuyển tiếp X (gần như là một ổ cắm truy cập vào thứ gì đó được quảng cáo thông qua một biến môi trường). Tuy nhiên, những gì bạn nhận được là một tập hợp các sự kiện được kiểm tra đối với quyền truy cập đó.

Với SSSD trong Fedora 35+ hoặc RHEL 8.5+, bạn cũng nhận được mô-đun pam_sss_gss.so PAM cho phép xác thực các dịch vụ PAM bằng vé Kerberos mà bạn đã có, vì vậy điều này có thể giúp nó hoạt động tốt trong trường hợp bạn không có mật khẩu nhưng sử dụng PKINIT (thẻ thông minh) thay thế.

Nói tóm lại, mặc dù việc triển khai quyền truy cập khóa SSH dựa trên nhóm có thể hấp dẫn, nhưng theo tôi, việc kiểm tra các sự kiện chuyển đổi vai trò và đăng nhập có sẵn là quan trọng hơn.

Tôi không biết cách nào để chia sẻ .k5login bằng ldap.

Tuy nhiên có thể suy ra ủy quyền_keys như chức năng sử dụng ldap. Nếu bạn đang sử dụng sssd, hãy xem sss_ssh_authorizedkeys lệnh (gói sssd-common trên AlmaLinux 8.5) và Phím được ủy quyềnLệnh tùy chọn sshd_config.

Đối với chức năng ldap đơn giản, hãy xem ssh-ldap-người trợ giúp chương trình.Nó là một phần của gói openssh-ldap (cùng bản phân phối).