ຜູ້ຊະນະການແຂ່ງຂັນລະດັບສາກົນ SSH ແລະ sudo ຢູ່ເທິງເວທີອີກເທື່ອຫນຶ່ງ. ນໍາພາໂດຍຕົວຊີ້ນໍາ Active Directory ທີ່ໂດດເດັ່ນ

ໃນປະຫວັດສາດ, ການອະນຸຍາດ sudo ໄດ້ຖືກຄຸ້ມຄອງໂດຍເນື້ອໃນຂອງໄຟລ໌ຈາກ /etc/sudoers.d и ວີຊາໂດ, ແລະການອະນຸຍາດທີ່ສໍາຄັນໄດ້ຖືກປະຕິບັດໂດຍໃຊ້ ~/.ssh/authorized_keys. ເຖິງຢ່າງໃດກໍ່ຕາມ, ເມື່ອພື້ນຖານໂຄງລ່າງຂະຫຍາຍຕົວ, ມີຄວາມຕ້ອງການທີ່ຈະຄຸ້ມຄອງສິດທິເຫຼົ່ານີ້ໂດຍສູນກາງ. ມື້​ນີ້​ອາດ​ຈະ​ມີ​ທາງ​ເລືອກ​ໃນ​ການ​ແກ້​ໄຂ​ຫຼາຍ​:

• ລະບົບການຈັດການການຕັ້ງຄ່າ - ຫົວ, ພ້າ, ຄວາມເຂົ້າໃຈ, ເກືອ
• Active Directory + ssd
• perversions ຕ່າງໆໃນຮູບແບບຂອງສະຄິບແລະການແກ້ໄຂໄຟລ໌ຄູ່ມື

ໃນຄວາມຄິດເຫັນຂອງຂ້ອຍ, ທາງເລືອກທີ່ດີທີ່ສຸດສໍາລັບການຄຸ້ມຄອງສູນກາງແມ່ນຍັງປະສົມປະສານ Active Directory + ssd. ຂໍ້ດີຂອງວິທີການນີ້ແມ່ນ:

• ແທ້ໆເປັນລະບົບຜູ້ໃຊ້ສູນກາງອັນດຽວ.
• ການແຈກຢາຍສິດທິ sudo ມາເຖິງການເພີ່ມຜູ້ໃຊ້ເຂົ້າໃນກຸ່ມຄວາມປອດໄພສະເພາະ.
• ໃນກໍລະນີຂອງລະບົບ Linux ຕ່າງໆ, ມັນເປັນສິ່ງຈໍາເປັນທີ່ຈະແນະນໍາການກວດສອບເພີ່ມເຕີມເພື່ອກໍານົດ OS ໃນເວລາທີ່ໃຊ້ລະບົບການຕັ້ງຄ່າ.

ຊຸດຂອງມື້ນີ້ຈະອຸທິດຕົນໂດຍສະເພາະກັບການເຊື່ອມຕໍ່ Active Directory + ssd ສໍາລັບການຄຸ້ມຄອງສິດທິ sudo ແລະການເກັບຮັກສາ ssh ກະແຈໃນບ່ອນເກັບມ້ຽນອັນດຽວ.
ດັ່ງນັ້ນ, ຫ້ອງໂຖງຈຶ່ງເຢັນລົງໃນຄວາມງຽບສະຫງົບ, ຜູ້ຄວບຄຸມໄດ້ຍົກກະບອງຂຶ້ນ, ແລະວົງດົນຕີກຽມພ້ອມ.
ໄປ.

ມອບໃຫ້:
— Active Directory ໂດ​ເມນ​ testopf.ທ້ອງຖິ່ນ ໃນ Windows Server 2012 R2.
- Linux host ແລ່ນ Centos 7
- ການ​ອະ​ນຸ​ຍາດ​ກໍາ​ນົດ​ການ​ນໍາ​ໃຊ້​ ssd
ທັງສອງການແກ້ໄຂເຮັດໃຫ້ມີການປ່ຽນແປງ schema Active Directory, ດັ່ງນັ້ນພວກເຮົາກວດເບິ່ງທຸກສິ່ງທຸກຢ່າງໃນສະພາບແວດລ້ອມການທົດສອບແລະພຽງແຕ່ຫຼັງຈາກນັ້ນເຮັດໃຫ້ມີການປ່ຽນແປງໂຄງສ້າງພື້ນຖານການເຮັດວຽກ. ຂ້າພະເຈົ້າຢາກສັງເກດວ່າການປ່ຽນແປງທັງຫມົດແມ່ນເປົ້າຫມາຍແລະ, ໃນຄວາມເປັນຈິງ, ເພີ່ມພຽງແຕ່ຄຸນລັກສະນະແລະຊັ້ນຮຽນທີ່ຈໍາເປັນ.

ການປະຕິບັດ 1: ການຄວບຄຸມ sudo ພາລະບົດບາດໂດຍຜ່ານ Active Directory.

ເພື່ອຂະຫຍາຍວົງຈອນ Active Directory ທ່ານຈໍາເປັນຕ້ອງໄດ້ດາວນ໌ໂຫລດສະບັບຫລ້າສຸດ sudo — 1.8.27 ຂອງ​ມື້​ນີ້​. Unpack ແລະຄັດລອກໄຟລ໌ schema.ActiveDirectory ຈາກໄດເລກະທໍລີ ./doc ໄປຫາຕົວຄວບຄຸມໂດເມນ. ຈາກບັນທັດຄໍາສັ່ງທີ່ມີສິດທິຜູ້ບໍລິຫານຈາກໄດເລກະທໍລີທີ່ໄຟລ໌ໄດ້ຖືກຄັດລອກ, ດໍາເນີນການ:
ldifde -i -f schema.ActiveDirectory -c dc=X dc=testopf,dc=local
(ຢ່າລືມປ່ຽນຄ່າຂອງເຈົ້າ)
ເປີດ adsiedit.msc ແລະເຊື່ອມຕໍ່ກັບບໍລິບົດເລີ່ມຕົ້ນ:
ສ້າງການແບ່ງປັນຢູ່ຮາກຂອງໂດເມນ ເສື້ອກັນຫນາວ. (ພວກ bourgeoisie stubbornly ອ້າງວ່າມັນຢູ່ໃນຫນ່ວຍນີ້ demon ssd ຊອກຫາລາຍການ sudoRole ວັດຖຸ. ຢ່າງໃດກໍຕາມ, ຫຼັງຈາກເປີດການແກ້ບັນຫາຢ່າງລະອຽດແລະການສຶກສາບັນທຶກ, ມັນໄດ້ຖືກເປີດເຜີຍວ່າການຄົ້ນຫາໄດ້ຖືກປະຕິບັດໃນທົ່ວຕົ້ນໄມ້ໄດເລກະທໍລີທັງຫມົດ.)
ພວກເຮົາສ້າງວັດຖຸທໍາອິດທີ່ເປັນຂອງຫ້ອງຮຽນໃນພະແນກ sudoRole. ຊື່ສາມາດເລືອກໄດ້ຢ່າງແທ້ຈິງ, ເພາະວ່າມັນຮັບໃຊ້ພຽງແຕ່ສໍາລັບການກໍານົດທີ່ສະດວກ.
ໃນບັນດາຄຸນລັກສະນະທີ່ເປັນໄປໄດ້ຈາກການຂະຫຍາຍ schema, ລັກສະນະຕົ້ນຕໍແມ່ນດັ່ງຕໍ່ໄປນີ້:

• sudoCommand — ກໍານົດວ່າຄໍາສັ່ງໃດຖືກອະນຸຍາດໃຫ້ປະຕິບັດຢູ່ໃນໂຮດ.
• sudoHost — ກຳນົດ​ວ່າ​ເຈົ້າ​ໜ້າທີ່​ນີ້​ໃຊ້​ໄດ້​ກັບ​ເຈົ້າ​ໜ້າທີ່​ໃດ. ສາມາດລະບຸເປັນ ທັງຫມົດ, ແລະສໍາລັບເຈົ້າພາບສ່ວນບຸກຄົນໂດຍຊື່. ມັນເປັນໄປໄດ້ທີ່ຈະໃຊ້ຫນ້າກາກ.
• sudoUser — ຊີ້ບອກວ່າຜູ້ໃຊ້ໃດຖືກອະນຸຍາດໃຫ້ປະຕິບັດ sudo.
  ຖ້າທ່ານລະບຸກຸ່ມຄວາມປອດໄພ, ໃຫ້ເພີ່ມເຄື່ອງໝາຍ “%” ຢູ່ຕົ້ນຊື່. ຖ້າມີຊ່ອງຫວ່າງຢູ່ໃນຊື່ກຸ່ມ, ບໍ່ມີຫຍັງທີ່ຈະກັງວົນ. ການຕັດສິນໂດຍໄມ້ທ່ອນ, ວຽກງານຂອງການຫລົບຫນີສະຖານທີ່ຖືກປະຕິບັດໂດຍກົນໄກ ssd.

Fig 1. sudoRole objects ໃນ subdivision sudoers ໃນ root ຂອງ directory

ຮູບ 2. ສະມາຊິກໃນກຸ່ມຄວາມປອດໄພທີ່ລະບຸໄວ້ໃນວັດຖຸ sudoRole.

ການຕິດຕັ້ງຕໍ່ໄປນີ້ແມ່ນເຮັດຢູ່ດ້ານ Linux.
ໃນໄຟລ໌ /etc/nsswitch.conf ເພີ່ມແຖວໃສ່ທ້າຍໄຟລ໌:

sudoers: files sss

ໃນໄຟລ໌ /etc/sssd/sssd.conf ໃນພາກ [ssd] ເພີ່ມໃສ່ການບໍລິການ sudo

cat /etc/sssd/sssd.conf | grep services
services = nss, pam, sudo

ຫຼັງຈາກການດໍາເນີນງານທັງຫມົດ, ທ່ານຈໍາເປັນຕ້ອງລ້າງ cache daemon sssd. ການອັບເດດອັດຕະໂນມັດເກີດຂຶ້ນທຸກໆ 6 ຊົ່ວໂມງ, ແຕ່ເປັນຫຍັງພວກເຮົາຈຶ່ງຕ້ອງລໍຖ້າດົນຫຼາຍເມື່ອພວກເຮົາຕ້ອງການມັນຕອນນີ້?

sss_cache -E

ມັນມັກຈະເກີດຂື້ນວ່າການລ້າງແຄດບໍ່ໄດ້ຊ່ວຍ. ຫຼັງຈາກນັ້ນ, ພວກເຮົາຢຸດເຊົາການບໍລິການ, ເຮັດຄວາມສະອາດຖານຂໍ້ມູນ, ແລະເລີ່ມຕົ້ນການບໍລິການ.

service sssd stop
rm -rf /var/lib/sss/db/*
service sssd start

ພວກເຮົາເຊື່ອມຕໍ່ເປັນຜູ້ໃຊ້ທໍາອິດແລະກວດເບິ່ງສິ່ງທີ່ມີໃຫ້ກັບລາວພາຍໃຕ້ sudo:

su user1
[user1@testsshad log]$ id
uid=1109801141(user1) gid=1109800513(domain users) groups=1109800513(domain users),1109801132(admins_)
[user1@testsshad log]$ sudo -l
[sudo] password for user1:
Matching Defaults entries for user1 on testsshad:
    !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
    env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
    env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
    env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
    env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
    env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY",
    secure_path=/sbin:/bin:/usr/sbin:/usr/bin

User user1 may run the following commands on testsshad:
    (root) /usr/bin/ls, /usr/bin/cat

ພວກເຮົາເຮັດເຊັ່ນດຽວກັນກັບຜູ້ໃຊ້ທີສອງຂອງພວກເຮົາ:

su user2
[user2@testsshad log]$ id
uid=1109801142(user2) gid=1109800513(domain users) groups=1109800513(domain users),1109801138(sudo_root)
[user2@testsshad log]$ sudo -l
Matching Defaults entries for user2 on testsshad:
    !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin,
    env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
    env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
    env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
    env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
    env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY",
    secure_path=/sbin:/bin:/usr/sbin:/usr/bin

User user2 may run the following commands on testsshad:
    (root) ALL

ວິທີການນີ້ຊ່ວຍໃຫ້ທ່ານສາມາດກໍານົດບົດບາດ sudo ໂດຍສູນກາງສໍາລັບກຸ່ມຜູ້ໃຊ້ທີ່ແຕກຕ່າງກັນ.

ການເກັບຮັກສາແລະນໍາໃຊ້ກະແຈ ssh ໃນ Active Directory

ດ້ວຍການຂະຫຍາຍໂຄງການເລັກນ້ອຍ, ມັນເປັນໄປໄດ້ທີ່ຈະເກັບຮັກສາກະແຈ ssh ໃນຄຸນສົມບັດຜູ້ໃຊ້ Active Directory ແລະນໍາໃຊ້ພວກມັນໃນເວລາທີ່ອະນຸຍາດໃນ Linux hosts.

ການອະນຸຍາດຜ່ານ sssd ຕ້ອງໄດ້ຮັບການຕັ້ງຄ່າ.
ເພີ່ມຄຸນສົມບັດທີ່ຕ້ອງການໂດຍໃຊ້ສະຄຣິບ PowerShell.
AddsshPublicKeyAttribute.ps1ຟັງຊັນ New-AttributeID {
$Prefix="1.2.840.113556.1.8000.2554"
$GUID=[System.Guid]::NewGuid().ToString()
$Parts=@()
$Parts+=[UInt64]::Parse($guid.SubString(0,4),“AllowHexSpecifier”)
$Parts+=[UInt64]::Parse($guid.SubString(4,4),“AllowHexSpecifier”)
$Parts+=[UInt64]::Parse($guid.SubString(9,4),“AllowHexSpecifier”)
$Parts+=[UInt64]::Parse($guid.SubString(14,4),“AllowHexSpecifier”)
$Parts+=[UInt64]::Parse($guid.SubString(19,4),“AllowHexSpecifier”)
$Parts+=[UInt64]::Parse($guid.SubString(24,6),“AllowHexSpecifier”)
$Parts+=[UInt64]::Parse($guid.SubString(30,6),“AllowHexSpecifier”)
$oid=[String]::Format(«{0}.{1}.{2}.{3}.{4}.{5}.{6}.{7}»,$prefix,$Parts[0],
$Parts[1],$Parts[2],$Parts[3],$Parts[4],$Parts[5],$Parts[6])
$oid
}
$schemaPath = (Get-ADRootDSE).schemaNamingContext
$oid = New-AttributeID
$attributes = @{
lDAPDisplayName = 'sshPublicKey';
attributeId = $oid;
oMSyntax = 22;
attributeSyntax = "2.5.5.5" ;
isSingleValued = $true;
adminDescription = 'ກະແຈສາທາລະນະຂອງຜູ້ໃຊ້ສຳລັບການເຂົ້າສູ່ລະບົບ SSH';
}

New-ADObject -Name sshPublicKey -Type attributeSchema -Path $schemapath -OtherAttributes $attributes
$userSchema = get-adobject -SearchBase $schemapath -Filter 'name -eq "user"'
$userSchema | Set-ADObject -Add @{mayContain = 'sshPublicKey'}

ຫຼັງຈາກເພີ່ມຄຸນສົມບັດ, ທ່ານຕ້ອງເປີດບໍລິການ Active Directory Domain Services ຄືນໃໝ່.
ໃຫ້ກ້າວໄປສູ່ຜູ້ໃຊ້ Active Directory. ພວກເຮົາຈະສ້າງຄູ່ຄີສໍາລັບການເຊື່ອມຕໍ່ ssh ໂດຍໃຊ້ວິທີການໃດກໍ່ໄດ້ທີ່ສະດວກສໍາລັບທ່ານ.
ພວກເຮົາເປີດຕົວ PuttyGen, ກົດປຸ່ມ "ສ້າງ" ແລະຍ້າຍຫນູຢູ່ໃນພື້ນທີ່ຫວ່າງເປົ່າ.
ເມື່ອສໍາເລັດຂະບວນການ, ພວກເຮົາສາມາດບັນທຶກກະແຈສາທາລະນະແລະເອກະຊົນ, ອັບໂຫລດລະຫັດສາທາລະນະໃຫ້ກັບຄຸນລັກສະນະຜູ້ໃຊ້ Active Directory ແລະເພີດເພີນກັບຂະບວນການ. ຢ່າງໃດກໍ່ຕາມ, ກຸນແຈສາທາລະນະຕ້ອງຖືກນໍາໃຊ້ຈາກ "ກະແຈສາທາລະນະສຳລັບການວາງໃສ່ໄຟລ໌ OpenSSH authorized_keys:"

ເພີ່ມຄີກັບຄຸນລັກສະນະຂອງຜູ້ໃຊ້.
ທາງເລືອກ 1 - GUI:

ທາງ​ເລືອກ 2 - PowerShell​:
get-aduser user1 | set-aduser -add @{sshPublicKey = 'AAAAB...XAVnX9ZRJJ0p/Q=='}
ດັ່ງນັ້ນ, ປະຈຸບັນພວກເຮົາມີ: ຜູ້ໃຊ້ທີ່ມີຄຸນລັກສະນະ sshPublicKey ເຕັມໄປ, ລູກຄ້າ Putty ທີ່ຖືກຕັ້ງຄ່າສໍາລັບການອະນຸຍາດໂດຍໃຊ້ກະແຈ. ຍັງມີຈຸດນ້ອຍໆອັນໜຶ່ງ: ວິທີການບັງຄັບ sshd daemon ເພື່ອສະກັດລະຫັດສາທາລະນະທີ່ພວກເຮົາຕ້ອງການຈາກຄຸນລັກສະນະຂອງຜູ້ໃຊ້. script ນ້ອຍໆທີ່ພົບເຫັນຢູ່ໃນອິນເຕີເນັດ bourgeois ສາມາດຮັບມືກັບສິ່ງນີ້ໄດ້ຢ່າງສໍາເລັດຜົນ.

cat /usr/local/bin/fetchSSHKeysFromLDAP
#!/bin/sh
ldapsearch -h testmdt.testopf.local -xb "dc=testopf,dc=local" '(sAMAccountName='"${1%@*}"')' -D [email protected] -w superSecretPassword 'sshPublicKey' | sed -n '/^ /{H;d};/sshPublicKey:/x;$g;s/n *//g;s/sshPublicKey: //gp'

ພວກເຮົາກໍານົດການອະນຸຍາດໃນມັນເປັນ 0500 ສໍາລັບຮາກ.

chmod 0500  /usr/local/bin/fetchSSHKeysFromLDAP

ໃນຕົວຢ່າງນີ້, ບັນຊີຜູ້ບໍລິຫານຖືກນໍາໃຊ້ເພື່ອຜູກມັດກັບໄດເລກະທໍລີ. ໃນເງື່ອນໄຂການຕໍ່ສູ້ຕ້ອງມີບັນຊີແຍກຕ່າງຫາກທີ່ມີສິດທິຂັ້ນຕ່ໍາ.
ຂ້າພະເຈົ້າສ່ວນບຸກຄົນໄດ້ສັບສົນຫຼາຍໂດຍປັດຈຸບັນຂອງລະຫັດຜ່ານໃນຮູບແບບບໍລິສຸດຂອງມັນຢູ່ໃນສະຄິບ, ເຖິງວ່າຈະມີສິດທິທີ່ກໍານົດໄວ້.
ທາງເລືອກໃນການແກ້ໄຂ:

• ຂ້ອຍບັນທຶກລະຫັດຜ່ານໃນໄຟລ໌ແຍກຕ່າງຫາກ:

  echo -n Supersecretpassword > /usr/local/etc/secretpass

• ຂ້ອຍຕັ້ງການອະນຸຍາດໄຟລ໌ເປັນ 0500 ສໍາລັບຮາກ

  chmod 0500 /usr/local/etc/secretpass

• ການປ່ຽນແປງຕົວກໍານົດການເປີດຕົວ ldapsearch: ພາລາມິເຕີ -w superSecretPassword ຂ້ອຍປ່ຽນເປັນ -y /usr/local/etc/secretpass

chord ສຸດທ້າຍໃນຊຸດມື້ນີ້ແມ່ນການແກ້ໄຂ sshd_config

cat /etc/ssh/sshd_config | egrep -v -E "#|^$" | grep -E "AuthorizedKeysCommand|PubkeyAuthe"
PubkeyAuthentication yes
AuthorizedKeysCommand /usr/local/bin/fetchSSHKeysFromLDAP
AuthorizedKeysCommandUser root

ດັ່ງນັ້ນ, ພວກເຮົາໄດ້ຮັບລໍາດັບຕໍ່ໄປນີ້ດ້ວຍການອະນຸຍາດທີ່ສໍາຄັນທີ່ກໍາຫນົດຄ່າຢູ່ໃນລູກຄ້າ ssh:

1. ຜູ້ໃຊ້ເຊື່ອມຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍໂດຍການຊີ້ບອກການເຂົ້າສູ່ລະບົບຂອງລາວ.
2. sshd daemon, ຜ່ານສະຄຣິບ, ສະກັດຄ່າສາທາລະນະຈາກຄຸນລັກສະນະຂອງຜູ້ໃຊ້ໃນ Active Directory ແລະປະຕິບັດການອະນຸຍາດໂດຍໃຊ້ກະແຈ.
3. daemon sssd ເພີ່ມການກວດສອບຜູ້ໃຊ້ໂດຍອີງໃສ່ການເປັນສະມາຊິກກຸ່ມ. ເອົາໃຈໃສ່! ຖ້າອັນນີ້ບໍ່ໄດ້ຖືກຕັ້ງຄ່າ, ຜູ້ໃຊ້ໂດເມນໃດໆຈະມີການເຂົ້າເຖິງໂຮດ.
4. ເມື່ອທ່ານພະຍາຍາມ sudo, daemon sssd ຄົ້ນຫາ Active Directory ສໍາລັບບົດບາດ. ຖ້າມີພາລະບົດບາດ, ຄຸນລັກສະນະຂອງຜູ້ໃຊ້ແລະການເປັນສະມາຊິກກຸ່ມຖືກກວດສອບ (ຖ້າ sudoRoles ຖືກຕັ້ງຄ່າໃຫ້ໃຊ້ກຸ່ມຜູ້ໃຊ້)

ຜົນໄດ້ຮັບ.

ດັ່ງນັ້ນ, ລະຫັດຖືກເກັບໄວ້ໃນຄຸນລັກສະນະຂອງຜູ້ໃຊ້ Active Directory, ການອະນຸຍາດ sudo - ເຊັ່ນດຽວກັນ, ການເຂົ້າເຖິງ Linux hosts ໂດຍບັນຊີໂດເມນແມ່ນດໍາເນີນການໂດຍການກວດສອບສະມາຊິກໃນກຸ່ມ Active Directory.
ຄື້ນສຸດທ້າຍຂອງ baton ຂອງ conductor - ແລະຫ້ອງໂຖງ freezes ໃນ silence reverent.

ຊັບພະຍາກອນທີ່ໃຊ້ໃນການຂຽນ:

Sudo ຜ່ານ Active Directory
ປຸ່ມ Ssh ຜ່ານ Active Directory
ສະຄຣິບ Powershell, ເພີ່ມຄຸນສົມບັດໃຫ້ກັບ Active Directory Schema
sudo ການປ່ອຍຄວາມຫມັ້ນຄົງ

ແຫຼ່ງຂໍ້ມູນ: www.habr.com