ແນະນຳ systemd-homed ເພື່ອຈັດການໄດເຣັກທໍຣີເຮືອນແບບພົກພາ

Lennart Poettering ແນະ ນຳ (PDF) ໃນກອງປະຊຸມ All Systems Go 2019, ອົງປະກອບໃຫມ່ຂອງລະບົບຜູ້ຈັດການລະບົບ - systemd-homed, ມີຈຸດປະສົງເພື່ອເຮັດໃຫ້ໄດເລກະທໍລີເຮືອນຂອງຜູ້ໃຊ້ສາມາດເຄື່ອນທີ່ແລະແຍກຕ່າງຫາກຈາກການຕັ້ງຄ່າລະບົບ. ແນວຄວາມຄິດຕົ້ນຕໍຂອງໂຄງການແມ່ນເພື່ອສ້າງສະພາບແວດລ້ອມທີ່ພຽງພໍສໍາລັບຂໍ້ມູນຜູ້ໃຊ້ທີ່ສາມາດໂອນລະຫວ່າງລະບົບຕ່າງໆໄດ້ໂດຍບໍ່ຕ້ອງກັງວົນກ່ຽວກັບການ synchronization ຕົວລະບຸແລະຄວາມລັບ.

ສະພາບແວດລ້ອມໄດເລກະທໍລີເຮືອນມາໃນຮູບແບບຂອງໄຟລ໌ຮູບພາບທີ່ຕິດຕັ້ງ, ຂໍ້ມູນທີ່ຖືກເຂົ້າລະຫັດ. ຂໍ້ມູນປະຈຳຕົວຜູ້ໃຊ້ຖືກຜູກມັດກັບລະບົບ home directory ຫຼາຍກວ່າການຕັ້ງຄ່າລະບົບ - ແທນທີ່ /etc/passwd ແລະ /etc/shadow ຂໍ້ມູນ ໃນຮູບແບບ JSON, ເກັບໄວ້ໃນໄດເຣັກທໍຣີ ~/.identity. ໂປຣໄຟລ໌ປະກອບດ້ວຍພາລາມິເຕີທີ່ຈໍາເປັນສໍາລັບການເຮັດວຽກຂອງຜູ້ໃຊ້, ລວມທັງຂໍ້ມູນກ່ຽວກັບຊື່, hash ລະຫັດຜ່ານ, ກະແຈການເຂົ້າລະຫັດ, ໂຄຕ້າ, ແລະຊັບພະຍາກອນທີ່ຈັດສັນ. ໂປຣໄຟລ໌ສາມາດໄດ້ຮັບການຢັ້ງຢືນດ້ວຍລາຍເຊັນດິຈິຕອນທີ່ເກັບໄວ້ໃນ token Yubikey ພາຍນອກ.

ພາຣາມິເຕີອາດຈະລວມເອົາຂໍ້ມູນເພີ່ມເຕີມເຊັ່ນ: ກະແຈ SSH, ຂໍ້ມູນການພິສູດຢືນຢັນທາງຊີວະມິຕິ, ຮູບພາບ, ອີເມວ, ທີ່ຢູ່, ເຂດເວລາ, ພາສາ, ຂະບວນການ ແລະຄວາມຈຳຈຳກັດ, ທຸງ mount ເພີ່ມເຕີມ (nodev, noexec, nosuid), ຂໍ້ມູນກ່ຽວກັບເຊີບເວີ IMAP/SMTP ຜູ້ໃຊ້ທີ່ໃຊ້ແລ້ວ. , ຂໍ້ມູນກ່ຽວກັບການເປີດໃຊ້ການຄວບຄຸມຂອງພໍ່ແມ່, ທາງເລືອກສຳຮອງ, ແລະອື່ນໆ. API ແມ່ນສະໜອງໃຫ້ເພື່ອຮ້ອງຂໍ ແລະວິເຄາະພາລາມິເຕີ ວາລິງ.

ການມອບໝາຍ ແລະ ການປະມວນຜົນ UID/GID ແມ່ນເຮັດແບບເຄື່ອນໄຫວຢູ່ໃນແຕ່ລະລະບົບທ້ອງຖິ່ນທີ່ເຊື່ອມຕໍ່ລະບົບບ້ານ. ການນໍາໃຊ້ລະບົບທີ່ສະເຫນີ, ຜູ້ໃຊ້ສາມາດຮັກສາໄດເລກະທໍລີເຮືອນຂອງລາວກັບລາວ, ຕົວຢ່າງໃນ Flash drive, ແລະມີສະພາບແວດລ້ອມການເຮັດວຽກໃນຄອມພິວເຕີໃດໆໂດຍບໍ່ຕ້ອງສ້າງບັນຊີໃນມັນຢ່າງຊັດເຈນ (ມີໄຟລ໌ທີ່ມີຮູບພາບຂອງໄດເລກະທໍລີເຮືອນ. ນໍາໄປສູ່ການສັງເຄາະຂອງຜູ້ໃຊ້).

ມັນໄດ້ຖືກສະເຫນີໃຫ້ໃຊ້ລະບົບຍ່ອຍ LUKS2 ສໍາລັບການເຂົ້າລະຫັດຂໍ້ມູນ, ແຕ່ systemd-homed ຍັງອະນຸຍາດໃຫ້ນໍາໃຊ້ backends ອື່ນໆ, ສໍາລັບການຍົກຕົວຢ່າງ, ສໍາລັບໄດເລກະທໍລີທີ່ບໍ່ໄດ້ເຂົ້າລະຫັດ, Btrfs, Fscrypt ແລະ CIFS ການແບ່ງປັນເຄືອຂ່າຍ. ເພື່ອຈັດການໄດເລກະທໍລີແບບພົກພາ, ຜົນປະໂຫຍດ homectl ຖືກສະເຫນີ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດສ້າງແລະເປີດໃຊ້ຮູບພາບຂອງໄດເລກະທໍລີເຮືອນ, ເຊັ່ນດຽວກັນກັບການປ່ຽນຂະຫນາດແລະຕັ້ງລະຫັດຜ່ານ.

ໃນລະດັບລະບົບ, ການເຮັດວຽກແມ່ນຮັບປະກັນໂດຍອົງປະກອບດັ່ງຕໍ່ໄປນີ້:

• systemd-homed.service - ຈັດການ home directory ແລະຝັງບັນທຶກ JSON ໂດຍກົງໃສ່ຮູບພາບ home directory;
• pam_systemd - ປະມວນຜົນພາລາມິເຕີຈາກໂປຣໄຟລ໌ JSON ເມື່ອຜູ້ໃຊ້ເຂົ້າສູ່ລະບົບ ແລະນຳໃຊ້ພວກມັນໃນບໍລິບົດຂອງເຊດຊັນທີ່ເປີດໃຊ້ງານ (ປະຕິບັດການພິສູດຢືນຢັນ, ກຳນົດຄ່າຕົວແປສະພາບແວດລ້ອມ, ແລະອື່ນໆ);
• systemd-logind.service - ປະມວນຜົນພາລາມິເຕີຈາກໂປຣໄຟລ໌ JSON ເມື່ອຜູ້ໃຊ້ເຂົ້າສູ່ລະບົບ, ນຳໃຊ້ການຕັ້ງຄ່າການຈັດການຊັບພະຍາກອນຕ່າງໆ ແລະກຳນົດຂອບເຂດ;
• nss-systemd - ໂມດູນ NSS ສໍາລັບ glibc, ສັງເຄາະບັນທຶກ NSS ຄລາສສິກໂດຍອີງໃສ່ໂປຣໄຟລ໌ JSON, ສະຫນອງການເຂົ້າກັນໄດ້ກັບ UNIX user processing API (/etc/password);
• PID 1 - ສ້າງຜູ້ໃຊ້ແບບເຄື່ອນໄຫວ (ສັງເຄາະໂດຍການປຽບທຽບກັບການນໍາໃຊ້ຄໍາສັ່ງ DynamicUser ໃນຫນ່ວຍງານ) ແລະເຮັດໃຫ້ພວກເຂົາເບິ່ງເຫັນກັບສ່ວນທີ່ເຫຼືອຂອງລະບົບ;
• systemd-userdbd.service - ແປບັນຊີ UNIX/glibc NSS ເຂົ້າໄປໃນບັນທຶກ JSON ແລະສະຫນອງ Varlink API ທີ່ເປັນເອກະສັນສໍາລັບການສອບຖາມ ແລະເຮັດຊ້ໍາອີກຄັ້ງໃນບັນທຶກ.

ຂໍ້ດີຂອງລະບົບທີ່ສະເຫນີປະກອບມີຄວາມສາມາດໃນການຈັດການຜູ້ໃຊ້ເມື່ອຕິດຕັ້ງໄດເລກະທໍລີ /etc ໃນໂຫມດອ່ານເທົ່ານັ້ນ, ການຂາດຄວາມຕ້ອງການທີ່ຈະ synchronize ຕົວລະບຸ (UID / GID) ລະຫວ່າງລະບົບ, ຄວາມເປັນເອກະລາດຂອງຜູ້ໃຊ້ຈາກຄອມພິວເຕີສະເພາະ, ການຂັດຂວາງຂໍ້ມູນຜູ້ໃຊ້. ໃນລະຫວ່າງຮູບແບບການນອນ, ການນໍາໃຊ້ການເຂົ້າລະຫັດລັບແລະວິທີການກວດສອບທີ່ທັນສະໄຫມ. Systemd-homed ແມ່ນວາງແຜນທີ່ຈະລວມຢູ່ໃນລະບົບຫຼັກໃນການປ່ອຍ 244 ຫຼື 245.

ຕົວຢ່າງໂປຣໄຟລ໌ຜູ້ໃຊ້ JSON:

"autoLogin": ແທ້,
"ຜູກມັດ": {
«15e19cd24e004b949ddaac60c74aa165» : {
"fileSystemType" : "ext4"
«fileSystemUUID» : «758e88c8-5851-4a2a-b98f-e7474279c111»,
"gid": 60232,
"homeDirectory" : "/home/test",
"imagePath" : "/home/test.home",
"luksCipher" : "aes",
"luksCipherMode" : "xts-plain64",
«luksUUID» : «e63581ba-79fa-4226-b9de-1888393f7573»,
"luksVolumeKeySize" : 32,
«partitionUUID» : «41f9ce04-c927-4b74-a981-c669f93eb4dc»,
"ການເກັບຮັກສາ": "luks",
"uid": 60233
}
},
"ການຕັ້ງໃຈ": "ປົກກະຕິ",
"enforcePasswordPolicy": ບໍ່ຖືກຕ້ອງ,
"lastChangeUSec" : 1565951024279735,
"ສະມາຊິກຂອງ" : [
"ລໍ້"
],
"ສິດທິພິເສດ": {
"hashedPassword" : [
«$6$WHBKvAFFT9jKPA4k$OPY4D5…/»
] },
"ລາຍ​ເຊັນ​"​: [
{
"ຂໍ້ມູນ" : "LU/HeVrPZSzi3M3J...==",
"key" : "——BEGIN ກະແຈສາທາລະນະ—\nMCowBQADK2VwAy…=\n——END ກະແຈສາທາລະນະ——\n"
}
],
"ຊື່ຜູ້ໃຊ້": "ທົດສອບ",
"ສະຖານະ": {
«15e19cf24e004b949dfaac60c74aa165» : {
"goodAuthenticationCounter": 16,
"lastGoodAuthenticationUSec" : 1566309343044322,
"rateLimitBeginUSec" : 1566309342341723,
"rateLimitCount": 1,
"ລັດ" : "ບໍ່ເຄື່ອນໄຫວ",
"ການບໍລິການ" : "io.systemd.Home",
"diskSize": 161218667776,
"diskCeiling": 191371729408,
"diskFloor": 5242780,
"signedLocally" : ຈິງ
}
}

ແຫຼ່ງຂໍ້ມູນ: opennet.ru