فصل 9. محدود کردن دامنه برای خدمات PAM با استفاده از SSSD

ماژول های احراز هویت قابل استفاده (PAM) یک چارچوب مشترک برای احراز هویت و مجوز است. بیشتر برنامه های سیستم در Red Hat Enterprise Linux به پیکربندی PAM اساسی برای تأیید اعتبار و مجوز بستگی دارد.

خدمات امنیتی سیستم Daemon (SSSD) شما را قادر می سازد که به خدمات PAM که می توانند به آن دسترسی پیدا کنند محدود کنید. SSSD درخواست های احراز هویت را از خدمات PAM بر اساس کاربر که سرویس PAM خاص را اجرا می کند ، ارزیابی می کند. این بدان معناست که اگر کاربر PAM Service بتواند به یک دامنه SSSD دسترسی پیدا کند ، سرویس PAM نیز می تواند به آن دامنه دسترسی پیدا کند.

9. 1درباره پم

ماژول های احراز هویت قابل عبور (PAM) یک مکانیسم تأیید اعتبار متمرکز را ارائه می دهند ، که یک برنامه سیستم می تواند از آن استفاده کند تا احراز هویت را به یک چارچوب پیکربندی شده مرکزی منتقل کند.

PAM قابل انعطاف است زیرا یک ماژول PAM برای انواع مختلف منابع تأیید اعتبار ، مانند Kerberos ، SSSD ، NIS یا سیستم فایل محلی وجود دارد. شما می توانید منابع مختلف احراز هویت را در اولویت قرار دهید.

این معماری مدولار انعطاف پذیری زیادی در تنظیم سیاست های تأیید اعتبار برای سیستم ارائه می دهد. PAM به دلایل مختلف یک سیستم مفید برای توسعه دهندگان و مدیران است:

• PAM یک طرح احراز هویت مشترک را ارائه می دهد ، که می تواند با طیف گسترده ای از برنامه ها استفاده شود.
• PAM انعطاف پذیری و کنترل قابل توجهی بر تأیید اعتبار برای مدیران سیستم فراهم می کند.
• PAM یک کتابخانه واحد و کاملاً مستند ارائه می دهد ، که به توسعه دهندگان اجازه می دهد بدون نیاز به ایجاد طرح های احراز هویت خود ، برنامه هایی بنویسند.

9. 2گزینه های محدودیت دسترسی به دامنه

گزینه های زیر برای محدود کردن دسترسی به دامنه های انتخاب شده در دسترس است:

pam_trusted_users in /etc/ssd/ssd. conf این گزینه لیستی از UID های عددی یا نام کاربری را نشان می دهد که خدمات PAM را که SSSD به آن اعتماد دارد ، می پذیرد. تنظیم پیش فرض همه چیز است ، به این معنی که به همه کاربران خدمات اعتماد دارند و می توانند به هر دامنه دسترسی پیدا کنند. pam_public_domains in /etc/ssd/ssd. conf این گزینه لیستی از حوزه های عمومی SSSD را می پذیرد. حوزه های عمومی دامنه هایی هستند که حتی برای کاربران سرویس PAM غیرقابل اعتماد قابل دسترسی هستند. این گزینه همچنین مقادیر All و None را می پذیرد. مقدار پیش فرض هیچکدام نیست ، به این معنی که هیچ دامنه ای عمومی نیست و کاربران خدمات غیر قابل اعتماد نمی توانند به هیچ دامنه دسترسی پیدا کنند. دامنه برای پرونده های پیکربندی PAM

این گزینه لیستی از دامنه هایی را که در آن یک سرویس PAM می تواند تأیید کند ، مشخص می کند. اگر از دامنه ها بدون مشخص کردن دامنه استفاده می کنید ، سرویس PAM قادر به تأیید اعتبار در برابر هر دامنه نخواهد بود ، به عنوان مثال:

Auth به pam_sss. se نیاز داشتدامنه =

اگر پرونده پیکربندی PAM از دامنه ها استفاده می کند ، سرویس PAM در هنگام کار این سرویس تحت یک کاربر قابل اعتماد قادر به تأیید اعتبار در برابر همه دامنه ها است.

گزینه Domains در پرونده پیکربندی SSSD /etc/ssd/ssd. conf SSSD همچنین لیستی از دامنه هایی را که SSSD برای تأیید اعتبار در آن تلاش می کند ، مشخص می کند. توجه داشته باشید که گزینه Domains در یک پرونده پیکربندی PAM نمی تواند لیست دامنه ها را در SSSD. Conf گسترش دهد ، فقط می تواند با مشخص کردن لیست کوتاه تر ، لیست SSSD. Conf دامنه ها را محدود کند. بنابراین ، اگر یک دامنه در پرونده PAM مشخص شود اما در SSSD. Conf نیست ، سرویس PAM نمی تواند در برابر دامنه تأیید شود.

تنظیمات پیش فرض pam_trusted_users = all و pam_public_domains = هیچ یک مشخص نمی کند که به همه کاربران خدمات PAM اعتماد دارند و می توانند به هر دامنه دسترسی پیدا کنند. استفاده از گزینه Domains برای پرونده های پیکربندی PAM ، دسترسی به دامنه ها را محدود می کند.

مشخص کردن یک دامنه با استفاده از دامنه ها در پرونده پیکربندی PAM در حالی که SSSD. Conf حاوی PAM_Public_domains نیز برای مشخص کردن دامنه در PAM_Public_Domains است. گزینه PAM_Public_Domains بدون در نظر گرفتن دامنه مورد نیاز ، سرویس PAM را به سمت تأیید هویت ناموفق در برابر دامنه سوق می دهد در صورتی که این سرویس تحت یک کاربر غیرقابل اعتماد باشد.

توجه داشته باشید

محدودیت های دامنه تعریف شده در یک پرونده پیکربندی PAM فقط برای اقدامات تأیید اعتبار اعمال می شود ، نه برای جستجوی کاربر.

منابع اضافی

• برای اطلاعات بیشتر در مورد گزینه های PAM_TRUSTED_USERS و PAM_PULLIC_DOMAINS ، به صفحه SSSD. Conf (5) Man مراجعه کنید.
• برای اطلاعات بیشتر در مورد گزینه دامنه مورد استفاده در پرونده های پیکربندی PAM ، به صفحه Man PAM_SSS (8) مراجعه کنید.

9. 3محدود کردن دامنه ها برای یک سرویس PAM

این روش نشان می دهد که چگونه می توان تأیید اعتبار سرویس PAM را در برابر دامنه ها محدود کرد.

پیش نیازها

• SSSD نصب و اجرا شده است.

روش

1. SSSD را برای دسترسی به دامنه یا دامنه های مورد نیاز پیکربندی کنید. دامنه هایی را که SSSD می تواند در گزینه دامنه در پرونده /etc/ssd/ssd. conf تأیید کند ، تعریف کنید:

    

[SSSD] دامنه =DOMAIN1 ، DOMAIN2 ، DOMAIN3

auth کافی pam_sss. se forward_passدامنه = دامنه 1حساب [پیش فرض = موفقیت بد = OK USER_UNKNOWN = نادیده گرفتن] PAM_SSS. SO رمز عبور کافی PAM_SS. SO USE_AUTHTOK

مراحل تأیید

• احراز هویت در برابر DOMAIN1. باید موفق باشد