આંતરરાષ્ટ્રીય સ્પર્ધાઓના વિજેતાઓ SSH અને sudo ફરીથી સ્ટેજ પર છે. પ્રતિષ્ઠિત એક્ટિવ ડિરેક્ટરી કંડક્ટરની આગેવાની હેઠળ

ઐતિહાસિક રીતે, સુડો પરવાનગીઓ માંથી ફાઇલોની સામગ્રીઓ દ્વારા સંચાલિત હતી /etc/sudoers.d и વિસુડો, અને કી અધિકૃતતા નો ઉપયોગ કરીને હાથ ધરવામાં આવી હતી ~/.ssh/authorized_keys. જો કે, જેમ જેમ ઈન્ફ્રાસ્ટ્રક્ચર વધતું જાય છે તેમ તેમ આ અધિકારોનું કેન્દ્રિય રીતે સંચાલન કરવાની ઈચ્છા છે. આજે ઘણા ઉકેલ વિકલ્પો હોઈ શકે છે:

• કન્ફિગરેશન મેનેજમેન્ટ સિસ્ટમ - વડા, પપેટ, Ansible, સોલ્ટ
• સક્રિય માર્ગદર્શન + એસએસડી
• સ્ક્રિપ્ટ્સ અને મેન્યુઅલ ફાઇલ એડિટિંગના સ્વરૂપમાં વિવિધ વિકૃતિઓ

મારા વ્યક્તિલક્ષી અભિપ્રાયમાં, કેન્દ્રિય વ્યવસ્થાપન માટે શ્રેષ્ઠ વિકલ્પ હજુ પણ સંયોજન છે સક્રિય માર્ગદર્શન + એસએસડી. આ અભિગમના ફાયદા છે:

• ખરેખર એક કેન્દ્રિય વપરાશકર્તા નિર્દેશિકા.
• અધિકારોનું વિતરણ sudo ચોક્કસ સુરક્ષા જૂથમાં વપરાશકર્તાને ઉમેરવા માટે નીચે આવે છે.
• વિવિધ Linux સિસ્ટમોના કિસ્સામાં, રૂપરેખાંકન સિસ્ટમોનો ઉપયોગ કરતી વખતે OS નક્કી કરવા માટે વધારાની તપાસો દાખલ કરવી જરૂરી બને છે.

આજના સ્યુટને ખાસ કરીને કનેક્શન માટે સમર્પિત કરવામાં આવશે સક્રિય માર્ગદર્શન + એસએસડી અધિકાર વ્યવસ્થાપન માટે sudo અને સંગ્રહ ssh એક રીપોઝીટરીમાં કીઓ.
તેથી, હોલ તંગ મૌનમાં થીજી ગયો, કંડક્ટરે તેનો દંડો ઉભો કર્યો, અને ઓર્કેસ્ટ્રા તૈયાર થઈ ગયો.
જાઓ.

આપેલ:
- સક્રિય ડિરેક્ટરી ડોમેન testopf.local વિન્ડોઝ સર્વર 2012 R2 પર.
- સેન્ટોસ 7 ચલાવતા Linux હોસ્ટ
- નો ઉપયોગ કરીને રૂપરેખાંકિત અધિકૃતતા એસએસડી
બંને ઉકેલો સ્કીમામાં ફેરફાર કરે છે સક્રિય માર્ગદર્શન, તેથી અમે પરીક્ષણ વાતાવરણમાં બધું તપાસીએ છીએ અને પછી જ કાર્યકારી માળખામાં ફેરફાર કરીએ છીએ. હું એ નોંધવા માંગુ છું કે તમામ ફેરફારો લક્ષ્યાંકિત છે અને હકીકતમાં, ફક્ત જરૂરી લક્ષણો અને વર્ગો ઉમેરો.

ક્રિયા 1: નિયંત્રણ sudo દ્વારા ભૂમિકાઓ સક્રિય માર્ગદર્શન.

સર્કિટ વિસ્તૃત કરવા માટે સક્રિય માર્ગદર્શન તમારે નવીનતમ પ્રકાશન ડાઉનલોડ કરવાની જરૂર છે sudo - 1.8.27 આજથી. ફાઇલને અનપૅક કરો અને કૉપિ કરો schema.ActiveDirectory ./doc ડિરેક્ટરીમાંથી ડોમેન નિયંત્રક સુધી. જ્યાં ફાઇલ કૉપિ કરવામાં આવી હતી તે ડિરેક્ટરીમાંથી એડમિનિસ્ટ્રેટર અધિકારો સાથે કમાન્ડ લાઇનમાંથી, ચલાવો:
ldifde -i -f schema.ActiveDirectory -c dc=X dc=testopf,dc=local
(તમારા મૂલ્યોને બદલવાનું ભૂલશો નહીં)
ખોલો adsiedit.msc અને ડિફૉલ્ટ સંદર્ભ સાથે કનેક્ટ કરો:
ડોમેનના રુટ પર એક વિભાગ બનાવો સુડોર્સ. (બુર્જિયો હઠીલાપણે દાવો કરે છે કે તે આ એકમમાં રાક્ષસ છે એસએસડી વસ્તુ શોધે છે sudoRole વસ્તુઓ જો કે, વિગતવાર ડીબગીંગ ચાલુ કર્યા પછી અને લોગનો અભ્યાસ કર્યા પછી, તે બહાર આવ્યું કે શોધ સમગ્ર ડિરેક્ટરી ટ્રીમાં કરવામાં આવી હતી.)
અમે વિભાગમાં વર્ગ સાથે સંબંધિત પ્રથમ ઑબ્જેક્ટ બનાવીએ છીએ sudoRole. નામ એકદમ મનસ્વી રીતે પસંદ કરી શકાય છે, કારણ કે તે ફક્ત અનુકૂળ ઓળખ માટે જ સેવા આપે છે.
સ્કીમા એક્સ્ટેંશનમાંથી સંભવિત ઉપલબ્ધ લક્ષણો પૈકી, મુખ્ય નીચે મુજબ છે:

• sudoCommand — નક્કી કરે છે કે યજમાન પર કયા આદેશો ચલાવવાની મંજૂરી છે.
• sudoHost — નક્કી કરે છે કે આ ભૂમિકા કયા હોસ્ટને લાગુ પડે છે. તરીકે સ્પષ્ટ કરી શકાય છે બધા, અને નામ દ્વારા વ્યક્તિગત હોસ્ટ માટે. માસ્કનો ઉપયોગ કરવો પણ શક્ય છે.
• sudoUser - સૂચવે છે કે કયા વપરાશકર્તાઓને ચલાવવાની મંજૂરી છે sudo.
  જો તમે સુરક્ષા જૂથનો ઉલ્લેખ કરો છો, તો નામની શરૂઆતમાં “%” ચિહ્ન ઉમેરો. જો ગ્રુપના નામમાં સ્પેસ હોય તો ચિંતા કરવાની કોઈ વાત નથી. લોગ દ્વારા અભિપ્રાય આપતા, જગ્યાઓમાંથી બહાર નીકળવાનું કાર્ય મિકેનિઝમ દ્વારા લેવામાં આવે છે એસએસડી.

ફિગ 1. ડિરેક્ટરીના રુટમાં sudoers પેટાવિભાગમાં sudoRole ઑબ્જેક્ટ્સ

આકૃતિ 2. સુડોરોલ ઑબ્જેક્ટ્સમાં ઉલ્લેખિત સુરક્ષા જૂથોમાં સભ્યપદ.

નીચેનું સેટઅપ Linux બાજુ પર કરવામાં આવ્યું છે.
ફાઈલમાં /etc/nsswitch.conf ફાઇલના અંતમાં લીટી ઉમેરો:

sudoers: files sss

ફાઈલમાં /etc/sssd/sssd.conf વિભાગમાં [sssd] સેવાઓમાં ઉમેરો sudo

cat /etc/sssd/sssd.conf | grep services
services = nss, pam, sudo

તમામ કામગીરી પછી, તમારે sssd ડિમન કેશ સાફ કરવાની જરૂર છે. સ્વચાલિત અપડેટ દર 6 કલાકે થાય છે, પરંતુ જ્યારે આપણે તેને હમણાં જોઈએ ત્યારે શા માટે આટલી લાંબી રાહ જોવી જોઈએ?

sss_cache -E

તે ઘણીવાર થાય છે કે કેશ સાફ કરવાથી મદદ મળતી નથી. પછી અમે સેવા બંધ કરીએ છીએ, ડેટાબેઝ સાફ કરીએ છીએ અને સેવા શરૂ કરીએ છીએ.

service sssd stop
rm -rf /var/lib/sss/db/*
service sssd start

અમે પ્રથમ વપરાશકર્તા તરીકે કનેક્ટ કરીએ છીએ અને સુડો હેઠળ તેની માટે શું ઉપલબ્ધ છે તે તપાસો:

su user1
[user1@testsshad log]$ id
uid=1109801141(user1) gid=1109800513(domain users) groups=1109800513(domain users),1109801132(admins_)
[user1@testsshad log]$ sudo -l
[sudo] password for user1:
Matching Defaults entries for user1 on testsshad:
    !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
    env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
    env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
    env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
    env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
    env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY",
    secure_path=/sbin:/bin:/usr/sbin:/usr/bin

User user1 may run the following commands on testsshad:
    (root) /usr/bin/ls, /usr/bin/cat

અમે અમારા બીજા વપરાશકર્તા સાથે તે જ કરીએ છીએ:

su user2
[user2@testsshad log]$ id
uid=1109801142(user2) gid=1109800513(domain users) groups=1109800513(domain users),1109801138(sudo_root)
[user2@testsshad log]$ sudo -l
Matching Defaults entries for user2 on testsshad:
    !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
    env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
    env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
    env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
    env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
    env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY",
    secure_path=/sbin:/bin:/usr/sbin:/usr/bin

User user2 may run the following commands on testsshad:
    (root) ALL

આ અભિગમ તમને વિવિધ વપરાશકર્તા જૂથો માટે સુડો ભૂમિકાઓને કેન્દ્રિય રીતે વ્યાખ્યાયિત કરવાની મંજૂરી આપે છે.

એક્ટિવ ડિરેક્ટરીમાં ssh કીનો સંગ્રહ અને ઉપયોગ

સ્કીમના થોડા વિસ્તરણ સાથે, ssh કીને એક્ટિવ ડિરેક્ટરી યુઝર એટ્રિબ્યુટ્સમાં સ્ટોર કરવી અને Linux હોસ્ટ પર અધિકૃત કરતી વખતે તેનો ઉપયોગ કરવાનું શક્ય છે.

sssd દ્વારા અધિકૃતતા રૂપરેખાંકિત હોવી આવશ્યક છે.
પાવરશેલ સ્ક્રિપ્ટનો ઉપયોગ કરીને જરૂરી વિશેષતા ઉમેરો.
AddsshPublicKeyAttribute.ps1ફંક્શન ન્યૂ-એટ્રિબ્યુટઆઈડી {
$Prefix="1.2.840.113556.1.8000.2554"
$GUID=[System.Guid]::NewGuid().ToString()
$Parts=@()
$Parts+=[UInt64]::Parse($guid.SubString(0,4),“AllowHexSpecifier”)
$Parts+=[UInt64]::Parse($guid.SubString(4,4),“AllowHexSpecifier”)
$Parts+=[UInt64]::Parse($guid.SubString(9,4),“AllowHexSpecifier”)
$Parts+=[UInt64]::Parse($guid.SubString(14,4),“AllowHexSpecifier”)
$Parts+=[UInt64]::Parse($guid.SubString(19,4),“AllowHexSpecifier”)
$Parts+=[UInt64]::Parse($guid.SubString(24,6),“AllowHexSpecifier”)
$Parts+=[UInt64]::Parse($guid.SubString(30,6),“AllowHexSpecifier”)
$oid=[String]::Format(«{0}.{1}.{2}.{3}.{4}.{5}.{6}.{7}»,$prefix,$Parts[0],
$Parts[1],$Parts[2],$Parts[3],$Parts[4],$Parts[5],$Parts[6])
$oid
}
$schemaPath = (Get-ADrootDSE).schemaNamingContext
$oid = ન્યૂ-એટ્રિબ્યુટઆઈડી
$attributes = @{
lDAPDisplayName = 'sshPublicKey';
attributeId = $oid;
oMSyntax = 22;
attributeSyntax = "2.5.5.5";
isSingleValued = $true;
adminDescription = 'SSH લોગિન માટે યુઝર પબ્લિક કી';
}

નવું-ADObject -નામ sshPublicKey -Type attributeSchema -Path $schemapath -OtherAttributes $attributes
$userSchema = get-adobject -SearchBase $schemapath -Filter 'name -eq "user"'
$userSchema | સેટ-ADObject - @{mayContain = 'sshPublicKey'} ઉમેરો

એટ્રિબ્યુટ ઉમેર્યા પછી, તમારે એક્ટિવ ડિરેક્ટરી ડોમેન સર્વિસને રિસ્ટાર્ટ કરવી પડશે.
ચાલો સક્રિય ડિરેક્ટરી વપરાશકર્તાઓ તરફ આગળ વધીએ. અમે તમારા માટે અનુકૂળ કોઈપણ પદ્ધતિનો ઉપયોગ કરીને ssh કનેક્શન માટે કી જોડી જનરેટ કરીશું.
અમે પુટ્ટીજેન લોંચ કરીએ છીએ, "જનરેટ" બટન દબાવીએ છીએ અને માઉસને ખાલી વિસ્તારમાં ખસેડીએ છીએ.
પ્રક્રિયા પૂર્ણ થયા પછી, અમે સાર્વજનિક અને ખાનગી કીને સાચવી શકીએ છીએ, સાર્વજનિક કીને એક્ટિવ ડિરેક્ટરી યુઝર એટ્રિબ્યુટ પર અપલોડ કરી શકીએ છીએ અને પ્રક્રિયાનો આનંદ લઈ શકીએ છીએ. જો કે, સાર્વજનિક કીનો ઉપયોગ "OpenSSH authorized_keys ફાઇલમાં પેસ્ટ કરવા માટેની સાર્વજનિક કી:".

વપરાશકર્તા વિશેષતામાં કી ઉમેરો.
વિકલ્પ 1 - GUI:

વિકલ્પ 2 - પાવરશેલ:
get-aduser user1 | set-aduser -add @{sshPublicKey = 'AAAAB...XAVnX9ZRJJ0p/Q=='}
તેથી, અમારી પાસે હાલમાં છે: sshPublicKey એટ્રિબ્યુટ ભરેલ વપરાશકર્તા, કીનો ઉપયોગ કરીને અધિકૃતતા માટે રૂપરેખાંકિત પુટ્ટી ક્લાયંટ. ત્યાં એક નાનો મુદ્દો રહે છે: વપરાશકર્તાની વિશેષતાઓમાંથી આપણને જોઈતી સાર્વજનિક કી કાઢવા માટે sshd ડિમનને કેવી રીતે દબાણ કરવું. બુર્જિયો ઈન્ટરનેટ પર મળેલી એક નાની સ્ક્રિપ્ટ આનો સફળતાપૂર્વક સામનો કરી શકે છે.

cat /usr/local/bin/fetchSSHKeysFromLDAP
#!/bin/sh
ldapsearch -h testmdt.testopf.local -xb "dc=testopf,dc=local" '(sAMAccountName='"${1%@*}"')' -D [email protected] -w superSecretPassword 'sshPublicKey' | sed -n '/^ /{H;d};/sshPublicKey:/x;$g;s/n *//g;s/sshPublicKey: //gp'

અમે તેના પર પરવાનગીઓ રુટ માટે 0500 પર સેટ કરીએ છીએ.

chmod 0500  /usr/local/bin/fetchSSHKeysFromLDAP

આ ઉદાહરણમાં, એડમિનિસ્ટ્રેટર એકાઉન્ટનો ઉપયોગ ડિરેક્ટરી સાથે જોડાવા માટે થાય છે. લડાઇની પરિસ્થિતિઓમાં અધિકારોના ન્યૂનતમ સેટ સાથે એક અલગ ખાતું હોવું આવશ્યક છે.
રાઇટ્સ સેટ હોવા છતાં, સ્ક્રિપ્ટમાં તેના શુદ્ધ સ્વરૂપમાં પાસવર્ડની ક્ષણથી હું વ્યક્તિગત રીતે ખૂબ જ મૂંઝવણમાં હતો.
ઉકેલો વિકલ્પ:

• હું પાસવર્ડને અલગ ફાઇલમાં સાચવું છું:

  echo -n Supersecretpassword > /usr/local/etc/secretpass

• મેં રુટ માટે ફાઇલ પરવાનગીઓ 0500 પર સેટ કરી છે

  chmod 0500 /usr/local/etc/secretpass

• ldapsearch લોન્ચ પરિમાણો બદલવું: પરિમાણ -w superSecretPassword હું તેને બદલું છું -y/usr/local/etc/secretpass

આજના સ્યુટમાં અંતિમ તાર sshd_config સંપાદન છે

cat /etc/ssh/sshd_config | egrep -v -E "#|^$" | grep -E "AuthorizedKeysCommand|PubkeyAuthe"
PubkeyAuthentication yes
AuthorizedKeysCommand /usr/local/bin/fetchSSHKeysFromLDAP
AuthorizedKeysCommandUser root

પરિણામે, અમને ssh ક્લાયંટમાં રૂપરેખાંકિત કી અધિકૃતતા સાથે નીચેનો ક્રમ મળે છે:

1. વપરાશકર્તા તેના લોગિનને સૂચવીને સર્વર સાથે જોડાય છે.
2. sshd ડિમન, સ્ક્રિપ્ટ દ્વારા, સક્રિય ડિરેક્ટરીમાં વપરાશકર્તા વિશેષતામાંથી સાર્વજનિક કી મૂલ્ય કાઢે છે અને કીનો ઉપયોગ કરીને અધિકૃતતા કરે છે.
3. sssd ડિમન જૂથ સભ્યપદ પર આધારિત વપરાશકર્તાને વધુ પ્રમાણિત કરે છે. ધ્યાન આપો! જો આ ગોઠવેલ નથી, તો કોઈપણ ડોમેન વપરાશકર્તાને હોસ્ટની ઍક્સેસ હશે.
4. જ્યારે તમે sudo કરવાનો પ્રયાસ કરો છો, ત્યારે sssd ડિમન ભૂમિકાઓ માટે સક્રિય ડિરેક્ટરી શોધે છે. જો ભૂમિકાઓ હાજર હોય, તો વપરાશકર્તાની વિશેષતાઓ અને જૂથ સભ્યપદ તપાસવામાં આવે છે (જો sudoRoles વપરાશકર્તા જૂથોનો ઉપયોગ કરવા માટે ગોઠવેલ હોય)

કુલ.

આમ, કીઓ એક્ટિવ ડિરેક્ટરી યુઝર એટ્રિબ્યુટ્સ, સુડો પરવાનગીઓમાં સંગ્રહિત થાય છે - તેવી જ રીતે, ડોમેન એકાઉન્ટ્સ દ્વારા લિનક્સ હોસ્ટની ઍક્સેસ એક્ટિવ ડિરેક્ટરી જૂથમાં સભ્યપદ તપાસીને હાથ ધરવામાં આવે છે.
કંડક્ટરના દંડાનો અંતિમ તરંગ - અને હોલ આદરણીય મૌનમાં થીજી જાય છે.

લેખિતમાં વપરાતા સંસાધનો:

સક્રિય ડિરેક્ટરી દ્વારા સુડો
સક્રિય ડિરેક્ટરી દ્વારા Ssh કી
પાવરશેલ સ્ક્રિપ્ટ, સક્રિય ડિરેક્ટરી સ્કીમામાં એક વિશેષતા ઉમેરીને
sudo સ્થિર પ્રકાશન

સોર્સ: www.habr.com