Воведен systemd-homed за управување со преносни домашни директориуми

Ленарт Потеринг воведено (PDF) на конференцијата All Systems Go 2019, нова компонента на системскиот менаџер систем - systemd-homed, со цел да ги направи корисничките домашни директориуми преносливи и одвоени од системските поставки. Главната идеја на проектот е да се создадат самодоволни средини за кориснички податоци кои можат да се префрлаат помеѓу различни системи без да се грижите за синхронизацијата и доверливоста на идентификаторот.

Околината на домашниот директориум доаѓа во форма на монтирана датотека со слики, податоците во кои се шифрирани. Корисничките ингеренции се врзани за домашниот директориум наместо за системските поставки - наместо /etc/passwd и /etc/shadow профил во JSON формат, зачуван во директориумот ~/.identity. Профилот ги содржи параметрите неопходни за работата на корисникот, вклучувајќи информации за името, хашот на лозинката, клучевите за шифрирање, квотите и доделените ресурси. Профилот може да се сертифицира со дигитален потпис зачуван на надворешен Yubikey токен.

Параметрите може да вклучуваат и дополнителни информации како што се клучеви SSH, податоци за биометриска автентикација, слика, е-пошта, адреса, временска зона, јазик, ограничувања на процеси и меморија, дополнителни знаменца за монтирање (nodev, noexec, nosuid), информации за користени кориснички сервери IMAP/SMTP , информации за овозможување родителски контроли, резервни опции итн. Обезбедено е API за барање и анализа на параметрите Варлинк.

Доделувањето и обработката на UID/GID се врши динамично на секој локален систем на кој е поврзан домашниот директориум. Користејќи го предложениот систем, корисникот може да го задржи својот домашен директориум со себе, на пример на флеш-уред, и да добие работна средина на кој било компјутер без експлицитно да креира сметка на него (присуство на датотека со слика на домашниот директориум доведува до синтеза на корисникот).

Се предлага да се користи потсистемот LUKS2 за шифрирање на податоци, но systemd-homed исто така дозволува користење на други задни делови, на пример, за нешифрирани директориуми, Btrfs, Fscrypt и CIFS мрежни партиции. За управување со преносливи директориуми, предложена е алатката homectl, која ви овозможува да креирате и активирате слики од домашни директориуми, како и да ја менувате нивната големина и да поставите лозинка.

На ниво на системот, работата е обезбедена од следниве компоненти:

• systemd-homed.service - управува со домашниот директориум и ги вградува записите од JSON директно во сликите на домашниот директориум;
• pam_systemd - обработува параметри од JSON профилот кога корисникот се најавува и ги применува во контекст на активираната сесија (врши автентикација, конфигурира променливи на околината итн.);
• systemd-logind.service - обработува параметри од JSON профилот кога корисникот се најавува, применува различни поставки за управување со ресурси и поставува ограничувања;
• nss-systemd - NSS модул за glibc, синтетизира класични NSS записи базирани на JSON профил, обезбедувајќи компатибилност наназад со UNIX корисничкиот процесорски API (/etc/password);
• PID 1 - динамички создава корисници (синтетизирани по аналогија со употреба на директивата DynamicUser во единици) и ги прави видливи за остатокот од системот;
• systemd-userdbd.service - ги преведува сметките на UNIX/glibc NSS во записи JSON и обезбедува унифициран Varlink API за барање и повторување преку записите.

Предностите на предложениот систем вклучуваат можност за управување со корисници при монтирање на директориумот /etc во режим само за читање, отсуство на потреба од синхронизирање идентификатори (UID/GID) помеѓу системите, независност на корисникот од специфичен компјутер, блокирање кориснички податоци за време на режимот на мирување, употребата на шифрирање и современи методи за автентикација. Планирано е Systemd-homed да биде вклучен во мејнстрим на systemd во изданието 244 или 245.

Пример JSON кориснички профил:

"autoLogin" : точно,
"обврзувачки" : {
«15e19cd24e004b949ddaac60c74aa165» : {
"fileSystemType" : "ext4"
«fileSystemUUID» : «758e88c8-5851-4a2a-b98f-e7474279c111»,
"gid": 60232,
"homeDirectory" : "/home/test",
"imagePath" : "/home/test.home",
"luksCipher" : "aes",
"luksCipherMode" : "xts-plain64",
«luksUUID» : «e63581ba-79fa-4226-b9de-1888393f7573»,
"luksVolumeKeySize": 32,
«partitionUUID» : «41f9ce04-c927-4b74-a981-c669f93eb4dc»,
"складирање" : "лукс",
"uid": 60233
}
},
"диспозиција" : "редовно",
"enforcePasswordPolicy" : лажно,
"lastChangeUSec": 1565951024279735,
"член на" : [
"тркало"
],
"привилегиран" : {
"hashedPassword" : [
«$6$WHBKvAFFT9jKPA4k$OPY4D5…/»
] },
"потпис" : [
{
"data" : "LU/HeVrPZSzi3M3J...==",
"key" : "—— BEGIN PUBLIC KEY——\nMCowBQADK2VwAy…=\n——КРАЈ ЈАВЕН КЛУЧ——\n"
}
],
"корисничко име" : "тест",
"статус" : {
«15e19cf24e004b949dfaac60c74aa165» : {
"goodAuthenticationCounter": 16,
"lastGoodAuthenticationUSec": 1566309343044322,
"rateLimitBeginUSec" : 1566309342341723,
"rateLimitCount" : 1,
"состојба" : "неактивна",
"сервис" : "io.systemd.Home",
"Големина на дискот": 161218667776,
"diskCeiling": 191371729408,
"diskFloor": 5242780,
"signedLocally" : точно
}
}

Извор: opennet.ru