 |
|
|
|
За пределами nss_ldap, или Еще о методах авторизации
За пределами nss_ldap, О методах авторизации в Active Directory, которые возможны без использования nss_ldap и при этом нисколько не теряют его функциональности, а, наоборот, более безопасны, потому как могут и не требовать задания пароля открытым текстом Точка невозврата После того как однажды настройка nss_ldap была завершена, казалось, к этой теме можно больше не возвращаться – все работает. Так казалось ровно до тех пор, пока демон не был бессрочно командирован на остров пингвинов[1], где, собственно, с ним и произошла неприятность, связанная с правкой nsswitch.conf, которая в конечном итоге привела к тому, что нужно использовать какие-то другие механизмы. Конечно, недостатки у nss_ldap были. Например, он не желал работать, если компьютер отключен от сети, – постоянные попытки убедиться в том, что пользователь root отсутствует в AD, могли привести к kernel panic. Ноотключенный от сети шлюз – это само по себе ситуация неестественная, поэтому работало все и работало. Ровно до того момента, когда произошел окончательный переход на CentOS, где, как оказалось, нет nss_ldap. А что же есть? Есть nslcd, который можно было бы называть идейным наследником nss_ldap – он похож на nss_ldap даже по построению конфигурационного файла. Эта программа способна выполнять только получение информации опользователе, так что pam_ldap с ней все равно понадобится. Есть sssd – этакий суперкомбайн, который позволяет использовать те или иные модули для решения задачи получения информации о пользователе и его аутентификации, то есть sssd способен заменить одновременно pam_ldap иnss_ldap. Ну и, наконец, есть realmd. Это не самостоятельная программа, а скорее некий хелпер, который позволит ускорить процесс настройки sssd (или winbind, если вы придерживаетесь принципа аутентификации через Samba). Мы рассмотрим каждый из них. Nslcd – идейный наследник nss_ldap Nslcd – это программа, которой предлагается заменить nss_ldap в CentOS после его официального удаления из системы. Не пытайтесь собрать nss_ldap вручную. Даже если удастся его построить, то не получится использовать. Более того, если вы окажетесь настолько настойчивыми, что все же пропишете nss_ldap в nsswitch.conf, неприятности будут обеспечены сразу после первой перезагрузки, initrd прочитает nsswitch.conf и попытается найти данные о пользователе root в домене, который сейчас недоступен, эта попытка завершится аварийно, initrd снова попытается найти данные о пользователе root и так далее. Загрузка в single-user mode проблему не решает, решает только использование liveCD. Устанавливается программа nscld в CentOS из пакета nss-pam-ldapd со стандартного репозитория updates: # yum install nss-pam-ldapd
В пакет входят пара библиотек libnss_ldap.so, конфигурационный файл nslcd.conf, стартовый скрипт nclsd и немного документации и мануалов. Во FreeBSD программа устанавливается из портов, из net/nss-pam-ldapd. Устанавливается примерно то же самое, минус документация – только файл образца конфигурации. Конфигурационный файл напоминает файл от nss_ldap и рассматриваться будет в том же порядке, что и ldap.conf, – то есть описываться будут только параметры, которые были настроены, потому что всего в нем параметров очень много. Желающие могут прочитать man nslcd.conf [5]. Статью целиком читайте в журнале «Системный администратор», №4 за 2015 г. на страницах 04-08. PDF-версию данного номера можно приобрести в нашем магазине. |
РАШИД АЧИЛОВ, главный специалист по защите информации в компании, занимающейся автоматизацией горнодобывающей промышленности, Комментарии отсутствуют
| Добавить комментарий |
|
Комментарии могут оставлять только зарегистрированные пользователи |
|
