დაინერგა systemd-homed პორტატული სახლის დირექტორიების მართვისთვის

ლენარტ პოეტრინგი შემოიღო (PDF) All Systems Go 2019 კონფერენციაზე, სისტემის მენეჯერის ახალი კომპონენტი - systemd-homed, რომელიც მიზნად ისახავს მომხმარებლის სახლის დირექტორიების პორტატული და სისტემის პარამეტრებისგან განცალკევებას. პროექტის მთავარი იდეაა შექმნას თვითკმარი გარემო მომხმარებლის მონაცემებისთვის, რომელიც შეიძლება გადაიცეს სხვადასხვა სისტემას შორის იდენტიფიკატორის სინქრონიზაციისა და კონფიდენციალურობის შესახებ ფიქრის გარეშე.

საშინაო დირექტორიის გარემო გამოდის დამონტაჟებული სურათის ფაილის სახით, რომელშიც მონაცემები დაშიფრულია. მომხმარებლის რწმუნებათა სიგელები მიბმულია მთავარ დირექტორიასთან და არა სისტემის პარამეტრებთან - ნაცვლად /etc/passwd და /etc/shadow პროფილი JSON ფორმატში, ინახება ~/.identity დირექტორიაში. პროფილი შეიცავს მომხმარებლის მუშაობისთვის აუცილებელ პარამეტრებს, მათ შორის ინფორმაციას სახელის, პაროლის ჰეშის, დაშიფვრის გასაღებების, კვოტებისა და გამოყოფილი რესურსების შესახებ. პროფილის დამოწმება შესაძლებელია ციფრული ხელმოწერით, რომელიც ინახება გარე Yubikey ჟეტონზე.

პარამეტრები ასევე შეიძლება შეიცავდეს დამატებით ინფორმაციას, როგორიცაა SSH გასაღებები, ბიომეტრიული ავთენტიფიკაციის მონაცემები, სურათი, ელფოსტა, მისამართი, დროის ზონა, ენა, პროცესი და მეხსიერების ლიმიტები, დამატებითი სამონტაჟო დროშები (nodev, noexec, nosuid), ინფორმაცია გამოყენებული მომხმარებლის IMAP/SMTP სერვერების შესახებ. , ინფორმაცია მშობელთა კონტროლის ჩართვის, სარეზერვო ოფციების და ა.შ. API მოწოდებულია პარამეტრების მოთხოვნისა და გასაანალიზებლად ვარლინკი.

UID/GID მინიჭება და დამუშავება ხდება დინამიურად თითოეულ ლოკალურ სისტემაზე, რომელსაც უკავშირდება მთავარი დირექტორია. შემოთავაზებული სისტემის გამოყენებით, მომხმარებელს შეუძლია შეინახოს თავისი საშინაო დირექტორია მასთან, მაგალითად, ფლეშ დრაივზე და მიიღოს სამუშაო გარემო ნებისმიერ კომპიუტერზე, მასზე აშკარად ანგარიშის შექმნის გარეშე (ფაილის არსებობა მთავარი დირექტორიას გამოსახულებით იწვევს მომხმარებლის სინთეზს).

შემოთავაზებულია მონაცემთა დაშიფვრისთვის LUKS2 ქვესისტემის გამოყენება, მაგრამ systemd-homed ასევე საშუალებას იძლევა გამოიყენოს სხვა სარეზერვო სისტემა, მაგალითად, დაშიფრული დირექტორიებისთვის, Btrfs, Fscrypt და CIFS ქსელის ტიხრებისთვის. პორტატული დირექტორიების მართვისთვის შემოთავაზებულია homectl პროგრამა, რომელიც საშუალებას გაძლევთ შექმნათ და გაააქტიუროთ სახლის დირექტორიების სურათები, ასევე შეცვალოთ მათი ზომა და დააყენოთ პაროლი.

სისტემის დონეზე მუშაობა უზრუნველყოფილია შემდეგი კომპონენტებით:

• systemd-homed.service - მართავს სახლის დირექტორიას და ათავსებს JSON ჩანაწერებს პირდაპირ სახლის დირექტორიაში სურათებში;
• pam_systemd - ამუშავებს პარამეტრებს JSON პროფილიდან, როდესაც მომხმარებელი შედის სისტემაში და იყენებს მათ გააქტიურებული სესიის კონტექსტში (ახორციელებს ავთენტიფიკაციას, აკონფიგურირებს გარემოს ცვლადებს და ა.შ.);
• systemd-logind.service - ამუშავებს პარამეტრებს JSON პროფილიდან მომხმარებლის შესვლისას, იყენებს რესურსების მართვის სხვადასხვა პარამეტრებს და ადგენს ლიმიტებს;
• nss-systemd - NSS მოდული glibc-სთვის, ასინთეზებს კლასიკურ NSS ჩანაწერებს JSON პროფილზე დაფუძნებული, რაც უზრუნველყოფს UNIX მომხმარებლის დამუშავების API-სთან (/etc/password) უკან თავსებადობას;
• PID 1 - დინამიურად ქმნის მომხმარებლებს (სინთეზირებულია ანალოგიით DynamicUser დირექტივის გამოყენებით ერთეულებში) და ხდის მათ ხილულს სისტემის დანარჩენი ნაწილისთვის;
• systemd-userdbd.service - თარგმნის UNIX/glibc NSS ანგარიშებს JSON ჩანაწერებად და უზრუნველყოფს ერთიან Varlink API-ს შეკითხვისა და ჩანაწერების გამეორებისთვის.

შემოთავაზებული სისტემის უპირატესობებში შედის მომხმარებლების მართვა /etc კატალოგის მხოლოდ წაკითხვის რეჟიმში დამონტაჟებისას, სისტემებს შორის იდენტიფიკატორების (UID/GID) სინქრონიზაციის საჭიროების არარსებობა, კონკრეტული კომპიუტერისგან მომხმარებლის დამოუკიდებლობა, მომხმარებლის მონაცემების დაბლოკვა. ძილის რეჟიმის დროს, დაშიფვრის და თანამედროვე ავთენტიფიკაციის მეთოდების გამოყენება. Systemd-homed-ის ჩართვა იგეგმება systemd mainstream-ში 244 ან 245 გამოშვებაში.

მაგალითი JSON მომხმარებლის პროფილი:

"autoLogin": მართალია,
"სავალდებულო" : {
«15e19cd24e004b949ddaac60c74aa165» : {
"fileSystemType": "ext4"
«fileSystemUUID» : «758e88c8-5851-4a2a-b98f-e7474279c111»,
"gid": 60232,
"homeDirectory" : "/home/test",
"imagePath" : "/home/test.home",
"luksCipher" : "aes",
"luksCipherMode" : "xts-plain64",
«luksUUID» : «e63581ba-79fa-4226-b9de-1888393f7573»,
"luksVolumeKeySize": 32,
«partitionUUID» : «41f9ce04-c927-4b74-a981-c669f93eb4dc»,
"შენახვა": "ლუქსი",
"uid": 60233
}
},
"განწყობა" : "რეგულარული",
"enforcePasswordPolicy" : false,
"lastChangeUSec": 1565951024279735,
"წევრი" : [
"ბორბალი"
],
"პრივილეგირებული" : {
"hashedPassword" : [
«$6$WHBKvAFFT9jKPA4k$OPY4D5…/»
] },
"ხელმოწერა": [
{
"data" : "LU/HeVrPZSzi3M3J...==",
"key" : "—— BEGIN PUBLIC KEY——\nMCowBQADK2VwAy…=\n——დასრულდეს საჯარო გასაღები——\n"
}
],
"username" : "ტესტი",
"სტატუსები" : {
«15e19cf24e004b949dfaac60c74aa165» : {
"goodAuthenticationCounter": 16,
"lastGoodAuthenticationUSec": 1566309343044322,
"rateLimitBeginUSec": 1566309342341723,
"rateLimitCount": 1,
"მდგომარეობა": "არააქტიური",
"სერვისი" : "io.systemd.Home",
"დისკის ზომა": 161218667776,
"diskCeiling": 191371729408,
"diskFloor": 5242780,
"signedLocally": მართალია
}
}

წყარო: opennet.ru