पोर्टेबल गृह डाइरेक्टरीहरू प्रबन्ध गर्न systemd-homed परिचय गरियो

Lennart Poettering परिचय (पीडीएफ) All Systems Go 2019 सम्मेलनमा, प्रणाली प्रबन्धक प्रणालीको नयाँ कम्पोनेन्ट - systemd-homed, प्रयोगकर्ताको गृह डाइरेक्टरीहरूलाई पोर्टेबल र प्रणाली सेटिङहरूबाट अलग बनाउने उद्देश्यले। परियोजनाको मुख्य विचार प्रयोगकर्ता डेटाको लागि आत्म-पर्याप्त वातावरण सिर्जना गर्नु हो जुन पहिचानकर्ता सिङ्क्रोनाइजेसन र गोपनीयताको बारेमा चिन्ता नगरी विभिन्न प्रणालीहरू बीच स्थानान्तरण गर्न सकिन्छ।

गृह डाइरेक्टरी वातावरण माउन्ट गरिएको छवि फाइलको रूपमा आउँदछ, डेटा जसमा इन्क्रिप्ट गरिएको छ। प्रयोगकर्ता प्रमाणहरू प्रणाली सेटिङहरूको सट्टा गृह डाइरेक्टरीमा बाँधिएका छन् - /etc/passwd र /etc/shadow को सट्टा प्रोफाइल JSON ढाँचामा, ~/.identity डाइरेक्टरीमा भण्डारण। प्रोफाइलले प्रयोगकर्ताको कामको लागि आवश्यक प्यारामिटरहरू समावेश गर्दछ, जसमा नाम, पासवर्ड ह्यास, इन्क्रिप्सन कुञ्जीहरू, कोटाहरू, र आवंटित स्रोतहरू बारे जानकारी समावेश हुन्छ। प्रोफाइललाई बाह्य Yubikey टोकनमा भण्डारण गरिएको डिजिटल हस्ताक्षरद्वारा प्रमाणित गर्न सकिन्छ।

प्यारामिटरहरूले SSH कुञ्जीहरू, बायोमेट्रिक प्रमाणीकरण डाटा, छवि, इमेल, ठेगाना, समय क्षेत्र, भाषा, प्रक्रिया र मेमोरी सीमाहरू, अतिरिक्त माउन्ट फ्ल्यागहरू (nodev, noexec, nosuid), प्रयोग गरिएको प्रयोगकर्ता IMAP/SMTP सर्भरहरूको बारेमा जानकारी जस्ता थप जानकारीहरू पनि समावेश गर्न सक्छन्। , अभिभावकीय नियन्त्रणहरू, ब्याकअप विकल्पहरू, आदि सक्षम गर्ने बारे जानकारी। एक API क्वेरी र प्यारामिटरहरू पार्स गर्न प्रदान गरिएको छ Varlink.

UID/GID असाइनमेन्ट र प्रशोधन प्रत्येक स्थानीय प्रणालीमा गतिशील रूपमा गरिन्छ जसमा गृह निर्देशिका जडान गरिएको छ। प्रस्तावित प्रणाली प्रयोग गरेर, प्रयोगकर्ताले आफ्नो गृह डाइरेक्टरी आफूसँग राख्न सक्छ, उदाहरणका लागि फ्ल्यास ड्राइभमा, र कुनै पनि कम्प्युटरमा स्पष्ट रूपमा खाता सिर्जना नगरी काम गर्ने वातावरण प्राप्त गर्न सक्छ (गृह डाइरेक्टरीको छविको साथ फाइलको उपस्थिति। प्रयोगकर्ताको संश्लेषणमा जान्छ)।

डाटा इन्क्रिप्शनका लागि LUKS2 उपप्रणाली प्रयोग गर्ने प्रस्ताव गरिएको छ, तर systemd-homed ले अन्य ब्याकइन्डहरू प्रयोग गर्न अनुमति दिन्छ, उदाहरणका लागि, गुप्तिकरण नगरिएका डाइरेक्टरीहरू, Btrfs, Fscrypt र CIFS नेटवर्क विभाजनहरूका लागि। पोर्टेबल डाइरेक्टरीहरू व्यवस्थापन गर्न, homectl उपयोगिता प्रस्ताव गरिएको छ, जसले तपाईंलाई गृह डाइरेक्टरीहरूको छविहरू सिर्जना गर्न र सक्रिय गर्न, साथै तिनीहरूको साइज परिवर्तन गर्न र पासवर्ड सेट गर्न अनुमति दिन्छ।

प्रणाली स्तर मा, काम निम्न घटक द्वारा सुनिश्चित गरिएको छ:

• systemd-homed.service - गृह डाइरेक्टरी प्रबन्ध गर्दछ र JSON रेकर्डहरू सिधै गृह डाइरेक्टरी छविहरूमा इम्बेड गर्दछ;
• pam_systemd - प्रयोगकर्ताले लग इन गर्दा र सक्रिय सत्रको सन्दर्भमा लागू गर्दा JSON प्रोफाइलबाट प्यारामिटरहरू प्रक्रिया गर्दछ (प्रमाणीकरण गर्दछ, वातावरण चर कन्फिगर गर्दछ, आदि);
• systemd-logind.service - प्रयोगकर्ताले लग इन गर्दा, विभिन्न स्रोत व्यवस्थापन सेटिङहरू लागू गर्दा र सीमाहरू सेट गर्दा JSON प्रोफाइलबाट प्यारामिटरहरू प्रशोधन गर्छ;
• nss-systemd - glibc को लागि NSS मोड्युल, JSON प्रोफाइलमा आधारित क्लासिक NSS रेकर्डहरू संश्लेषण गर्दछ, UNIX प्रयोगकर्ता प्रशोधन API (/etc/password) सँग पछाडि अनुकूलता प्रदान गर्दछ;
• PID 1 - गतिशील रूपमा प्रयोगकर्ताहरू सिर्जना गर्दछ (एकाइहरूमा DynamicUser निर्देशनको प्रयोगसँग समानताद्वारा संश्लेषित) र तिनीहरूलाई बाँकी प्रणालीमा दृश्यात्मक बनाउँछ;
• systemd-userdbd.service - UNIX/glibc NSS खाताहरूलाई JSON रेकर्डहरूमा अनुवाद गर्छ र अभिलेखहरूमा क्वेरी गर्न र दोहोर्याउनको लागि एक एकीकृत Varlink API प्रदान गर्दछ।

प्रस्तावित प्रणालीका फाइदाहरूमा /etc डाइरेक्टरीलाई पढ्ने-मात्र मोडमा माउन्ट गर्दा प्रयोगकर्ताहरू व्यवस्थापन गर्ने क्षमता, प्रणालीहरू बीच पहिचानकर्ताहरू (UID/GID) सिङ्क्रोनाइज गर्ने आवश्यकताको अभाव, विशिष्ट कम्प्युटरबाट प्रयोगकर्ताको स्वतन्त्रता, प्रयोगकर्ता डेटा अवरुद्ध गर्ने समावेश छ। निद्रा मोडको समयमा, एन्क्रिप्शन र आधुनिक प्रमाणीकरण विधिहरूको प्रयोग। Systemd-homed लाई रिलीज 244 वा 245 मा systemd मुख्यधारामा समावेश गर्ने योजना छ।

उदाहरण JSON प्रयोगकर्ता प्रोफाइल:

"स्वत: लगइन": सत्य,
"बाध्यकारी" : {
«15e19cd24e004b949ddaac60c74aa165» : {
"fileSystemType" : "ext4"
«fileSystemUUID» : «758e88c8-5851-4a2a-b98f-e7474279c111»,
"gid": ६०२३२,
"homeDirectory" : "/home/test",
"imagePath" : "/home/test.home",
"luksCipher" : "aes",
"luksCipherMode" : "xts-plain64",
«luksUUID» : «e63581ba-79fa-4226-b9de-1888393f7573»,
"luksVolumeKeySize" : 32,
«partitionUUID» : «41f9ce04-c927-4b74-a981-c669f93eb4dc»,
"storage" : "luks",
"uid" : ६०२३३
}
},
"स्वभाव" : "नियमित",
"EnforcePasswordPolicy": false,
"lastChangeUSec" : 1565951024279735,
"सदस्य" : [
"चक्र"
],
"विशेषाधिकार प्राप्त" : {
"hashedPassword" : [
«$6$WHBKvAFFT9jKPA4k$OPY4D5…/»
] },
"हस्ताक्षर" : [
{
"डेटा" : "LU/HeVrPZSzi3M3J...==",
"कुञ्जी" : "——पब्लिक कुञ्जी सुरु गर्नुहोस्——\nMCowBQADK2VwAy…=\n——सार्वजनिक कुञ्जी अन्त्य गर्नुहोस्——\n"
}
],
"userName" : "परीक्षण",
"स्थिति" : {
«15e19cf24e004b949dfaac60c74aa165» : {
"goodAuthenticationCounter": 16,
"lastGoodAuthenticationUSec" : 1566309343044322,
"rateLimitBeginUSec" : 1566309342341723,
"रेट लिमिट काउन्ट" : १,
"state" : "निष्क्रिय",
"सेवा" : "io.systemd.Home",
"डिस्कसाइज" : १६१२१८६६७७७६,
"डिस्क सिलिंग": 191371729408,
"डिस्कफ्लोर": 5242780,
"signedLocally": सत्य
}
}

स्रोत: opennet.ru