搜索

[10986] 2017-02-04_利用Freeipa实现Liunx用户身份、权限的统一管理企业安全拥抱开源

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-02-04_利用Freeipa实现Liunx用户身份、权限的统一管理企业安全拥抱开源 利 用 F r e e i p a 实 现 L i u n x 用 户 身 份 、 权 限 的 统 一 管 理   |   企 业 安 全 拥 抱 开 源 a g u i   F r e e B u f   2 0 1 7 - 0 2 - 0 4 * 本 文 原 创 作 者 ： a g u i ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 在 《 企 业 安 全 拥 抱 开 源 之 F R E E O T P 部 署 实 战 》 一 文 中 （ 下 面 简 称 上 文 ） ， 已 经 介 绍 了 F r e e i p a 的 部 署 方 法 和 O T P 的 启 用 方 法 ， 本 文 继 续 深 入 介 绍 如 何 将 L i n u x 接 入 进 行 统 一 的 身 份 管 理 。 在 未 部 署 统 一 身 份 管 理 系 统 时 ， 管 理 员 需 要 分 别 在 每 一 台 主 机 上 为 对 应 的 系 统 管 理 员 创 建 、 维 护 账 号 和 密 码 ， 无 法 进 行 统 在 未 部 署 统 一 身 份 管 理 系 统 时 ， 管 理 员 需 要 分 别 在 每 一 台 主 机 上 为 对 应 的 系 统 管 理 员 创 建 、 维 护 账 号 和 密 码 ， 无 法 进 行 统 一 的 管 理 。 一 的 管 理 。 当 主 机 数 量 增 加 到 一 定 程 度 后 ， 也 将 难 以 进 行 有 效 的 安 全 管 理 ， 对 账 号 密 码 泄 露 等 问 题 难 以 进 行 控 制 。 统 一 身 份 认 证 系 统 当 主 机 数 量 增 加 到 一 定 程 度 后 ， 也 将 难 以 进 行 有 效 的 安 全 管 理 ， 对 账 号 密 码 泄 露 等 问 题 难 以 进 行 控 制 。 统 一 身 份 认 证 系 统 可 以 帮 助 我 们 解 决 这 一 问 题 。 可 以 帮 助 我 们 解 决 这 一 问 题 。 W i n d o w s 环 境 下 可 以 使 用 域 账 号 进 行 身 份 管 理 ， 而 在 环 境 下 可 以 使 用 域 账 号 进 行 身 份 管 理 ， 而 在 L i n u x 环 境 下 ， 上 文 中 我 们 部 署 的 环 境 下 ， 上 文 中 我 们 部 署 的 F r e e i p a 已 经 提 供 了 相 关 功 能 ， 可 以 快 已 经 提 供 了 相 关 功 能 ， 可 以 快 速 、 便 捷 的 将 速 、 便 捷 的 将 l i n u x 系 统 接 入 ， 进 行 统 一 的 身 份 认 证 和 权 限 管 理 。 系 统 接 入 ， 进 行 统 一 的 身 份 认 证 和 权 限 管 理 。 0 × 0 1   序 序 本 文 假 设 系 统 管 理 员 已 将 域 账 号 同 步 至 F r e e i p a 或 已 在 F r e e i p a 中 建 立 了 用 户 账 号 （ u s e r n a m e ） 。 本 文 c l i e n t 使 用 C e n t O S   7 作 为 测 试 环 境 。 0 × 0 2   准 备 工 作 准 备 工 作 1 .   批 量 启 用 令 牌 批 量 启 用 令 牌 将 域 账 号 同 步 至 F r e e i p a 后 ， 上 文 介 绍 了 使 用 W E B U I 启 用 令 牌 的 方 法 ， 为 便 于 批 量 操 作 ， 管 理 员 也 可 采 用 下 列 脚 本 简 化 启 用 令 牌 的 过 程 ： 命 令 详 细 用 法 请 使 用 i p a   h e l p   t o p i c s 查 询 。
执 行 完 毕 后 ， 用 户 令 牌 配 置 文 件 输 出 至 o t p l i s t ， 输 出 结 果 如 图 所 示 。 利 用 新 创 建 的 账 号 登 录 F r e e i p a   W e b U I 测 试 无 误 后 ， 即 可 进 行 接 下 来 的 步 骤 。 2 .   设 置 用 户 配 置 文 件 设 置 用 户 配 置 文 件 使 用 管 理 员 账 号 登 录 W e b U I ， 找 到 需 要 设 置 的 用 户 ， 设 置 用 户 登 录 s h e l l 、 h o m e 目 录 、 S S H   p u b l i c   k e y s 等 ， 本 例 中 设 置 如 下 ：
命 令 ： 3 .   创 建 创 建 a u t o e n r o l l 用 户 用 户 为 方 便 主 机 H o s t 加 入 F r e e i p a 管 理 ， 应 创 建 单 独 的 用 户 用 于 自 动 注 册 主 机 ， 新 建 帐 号 a u t o e n r o l l ， 需 要 登 录 一 下 w e b ， 更 新 一 下 密 码 。 W e b   U I 创 建   e n r o l l 帐 号 的 步 骤 ： 【 I P A   S e r v e r   - > R o l e   B a s e d   A C L   - >   R O L E S 】 添 加 E n r o l l 组   - >   选 择 P R I V I L E G E S 权 限 组 ， 添 加 权 限 ： 同 时 ， 将 a u t o e n r o l l 用 户 加 入 e n r o l l 组 中 4 .   客 户 机 安 装 和 配 置 客 户 机 安 装 和 配 置 i p a - c l i e n t a )   安 装 安 装 i p a   c l i e n t # i p a   u s e r - m o d   U S E R N A M E   - - s h e l l = / b i n / b a s h - - h o m e d i r = / h o m e / U S E R N A M E #   y u m   i n s t a l l   i p a - c l i e n t
配 置 i p a   c l i e n t 在 主 机 未 加 入 F r e e i p a 统 一 管 理 之 前 ， 主 机 中 只 创 建 了 r o o t 账 号 ， 未 创 建 其 它 账 号 ， F r e e i p a 用 户 显 而 易 见 是 无 法 直 接 登 录 主 机 的 ： b )   配 置 配 置 i p a - c l i e n t 执 行 i p a - c l i e n t - i n s t a l l , 按 照 提 示 输 d o m a i n   n a m e 、 f r e e i p a   h o s t n a m e 、 a u t o e n r o l l 账 号 密 码 等 信 息 后 ， 确 认 执 行 ： c )   为 用 户 创 建 为 用 户 创 建 h o m e 目 录 目 录 0 × 0 3   登 录 系 统 测 试 登 录 系 统 测 试 执 行 成 功 后 ， 再 次 尝 试 使 用 F r e e i p a 中 已 有 用 户 账 号 连 接 主 机 ， 此 时 已 可 以 成 功 登 录 ： 如 果 已 开 启 O T P ， 则 会 要 求 连 续 输 入 密 码 、 O T P 后 才 可 成 功 登 录 ， 登 录 提 示 信 息 如 下 ： 提 示 F i r s t   F a c t o r ： 请 输 入 你 的 密 码 ， 如 果 已 进 行 A D 同 步 ， 此 处 为 域 账 号 密 码 提 示 S e c o n d   F a c t o r ： 请 输 入 你 的 O T P ， 通 常 为 6 位 或 8 位 数 字 0 × 0 4 权 限 管 理 权 限 管 理 F r e e i p a 提 供 了 统 一 权 限 管 理 功 能 ， 可 直 观 的 通 过 w e b   u i 进 行 配 置 ， 1 .   创 建 创 建 H B A C 规 则 规 则 #   i p a - c l i e n t - i n s t a l l   #   m k d i r   / h o m e / u s e r n a m e
【 P o l i c y - H o s t   B a s e d   A c c e s s   C o n t r o l 】 ， 根 据 需 要 创 建 控 制 规 则 , 规 则 设 置 简 单 易 懂 ， 即 【 什 么 用 户 （ 组 ） 可 以 通 过 什 么 服 务 （ 组 ） 访 问 哪 台 主 机 （ 组 ） 什 么 用 户 （ 组 ） 可 以 通 过 什 么 服 务 （ 组 ） 访 问 哪 台 主 机 （ 组 ） 】 ， 在 创 建 响 应 的 用 户 、 用 户 组 、 主 机 、 主 机 组 、 服 务 、 服 务 组 后 即 可 进 行 筛 选 、 添 加 等 操 作 。 配 置 完 毕 后 ， 请 删 除 删 除 默 认 的 配 置 完 毕 后 ， 请 删 除 删 除 默 认 的 a l l o w _ a l l 规 则 规 则 。 2 .   创 建 创 建 s u d o 规 则 规 则 在 未 创 建 s u d o 规 则 前 ， 登 录 用 户 只 具 备 普 通 用 户 权 限 ， 如 果 需 进 行 系 统 管 理 操 作 ， 需 要 创 建 对 应 的 s u d o 规 则 。 a )   * * 首 先 检 查 确 认 上 一 节 首 先 检 查 确 认 上 一 节 H B A C 配 置 ： 配 置 ： * * W h o ： 需 要 使 用 s u d o 的 用 户 或 用 户 组 已 配 置 A c c e s s i n g ： 需 访 问 的 主 机 或 主 机 组 已 配 置 V i a   S e r v i c e ： 已 启 用 s s h d 、 s u d o 服 务 b )   * * 创 建 适 当 的 创 建 适 当 的 s u d o 规 则 规 则 * * 【 【 P o l i c y - S u d o - S u d o   R u l e s 】 ， 创 建 新 的 】 ， 创 建 新 的 S u d o 规 则 ， 名 为 规 则 ， 名 为 “ a d m i n _ s u d o _ r u l e ”
3 .   验 证 验 证 s u d o 规 则 规 则 S S H 远 程 登 录 验 证 是 否 可 正 常 登 录 ， 同 时 执 行 s u d o   c o m m a n d 验 证 是 否 可 正 常 执 行 。 如 出 现 要 求 反 复 输 入 密 码 的 情 况 ， 请 检 查 上 述 配 置 是 否 正 确 。 0 × 0 5   参 考 内 容 参 考 内 容 h t t p : / / w w w . f r e e i p a . o r g / i m a g e s / 7 / 7 7 / F r e e i p a 3 0 _ S S S D _ S U D O _ I n t e g r a t i o n . p d f * 本 文 原 创 作 者 ： a g u i ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理