👩🏾‍🏭 ⏯️ 🧓🏼 मंच पर फिर से अंतर्राष्ट्रीय प्रतियोगिताओं के विजेता एसएसएच और सुडो। सम्मानित कंडक्टर सक्रिय निर्देशिका के मार्गदर्शन में 🦇 🌀 📻

ऐतिहासिक रूप से, sudo अधिकारों को /etc/sudoers.d और visudo की फ़ाइलों की सामग्री द्वारा विनियमित किया गया था, और ~ / .ssh / अधिकृत_की का उपयोग करके प्रमुख प्राधिकरण किया गया था। हालांकि, बुनियादी ढांचे के विकास के साथ, इन अधिकारों को केंद्रीय रूप से प्रबंधित करने की इच्छा है। आज तक, कई समाधान हो सकते हैं:

विन्यास प्रबंधन प्रणाली - बावर्ची , कठपुतली , Ansible , नमक
सक्रिय निर्देशिका + sssd
स्क्रिप्ट और फ़ाइलों के मैन्युअल संपादन के रूप में विभिन्न विकृतियाँ

मेरे व्यक्तिपरक राय में, केंद्रीकृत प्रबंधन के लिए सबसे अच्छा विकल्प अभी भी सक्रिय निर्देशिका + sssd का एक गुच्छा है। इस दृष्टिकोण के लाभ हैं:

सचमुच एक केंद्रीकृत उपयोगकर्ता निर्देशिका।
Sudo अधिकारों का वितरण उपयोगकर्ता को एक विशिष्ट सुरक्षा समूह में जोड़ने के बारे में है।
विभिन्न लिनक्स-सिस्टम के मामले में, कॉन्फ़िगरेशन सिस्टम का उपयोग करते समय ओएस का निर्धारण करने के लिए अतिरिक्त जांच शुरू करने की आवश्यकता है।

आज का सुइट एक ही रिपॉजिटरी में sudo अधिकारों के प्रबंधन और ssh कीज़ को स्टोर करने के लिए Active Directory + sssd बंडल को समर्पित होगा।
इसलिए, श्रोताओं ने तनावपूर्ण मौन में भटकते हुए, कंडक्टर ने अपनी छड़ी उठाई, ऑर्केस्ट्रा तैयार किया।
चलो चलते हैं।

दिए गए:

Windows Server 2012 R2 पर सक्रिय निर्देशिका डोमेन testopf.local ।
Linux होस्ट Centos 7 चल रहा है
Sssd का उपयोग करके प्राधिकृत विन्यास

दोनों समाधान सक्रिय निर्देशिका स्कीमा में परिवर्तन करते हैं, इसलिए हम परीक्षण वातावरण पर सब कुछ जांचते हैं और उसके बाद ही कार्यशील बुनियादी ढांचे में बदलाव करते हैं। मैं ध्यान देना चाहता हूं - सभी परिवर्तन बिंदु-आधारित हैं और वास्तव में, केवल आवश्यक विशेषताओं और वर्गों को जोड़ते हैं।

चरण 1: सक्रिय निर्देशिका के माध्यम से sudo भूमिकाओं का प्रबंधन।

सक्रिय निर्देशिका स्कीमा का विस्तार करने के लिए , आपको नवीनतम sudo रिलीज़ - 1.8.27 आज डाउनलोड करना होगा। अनपैक करें, डोमेन नियंत्रक से ./doc निर्देशिका से स्कीमा.एक्टिवडायरेक्टरी फ़ाइल की प्रतिलिपि बनाएँ। उस निर्देशिका से व्यवस्थापक अधिकारों के साथ कमांड लाइन से, जहाँ आपने फ़ाइल की प्रतिलिपि बनाई थी, चलाएँ:

ldifde -i -f schema.ActiveDirectory -c dc=X dc=testopf,dc=local
(अपने मूल्यों को बदलना न भूलें)

Adsiedit.msc खोलें और डिफ़ॉल्ट संदर्भ से कनेक्ट करें:

डोमेन के मूल में, एक sudoers यूनिट बनाएं। (बुर्जुआ हठीली तर्क देते हैं कि यह इस उपखंड में है कि sssd डेमोन सुडोल वस्तुओं की खोज करता है। हालांकि, विस्तृत डिबग को चालू करने और लॉग की जांच करने के बाद, यह पता चला कि खोज कैटलॉग ट्री में प्रदर्शन की गई है।)

यूनिट में पहला ऑब्जेक्ट बनाएं जो कि sudoRole वर्ग का है। नाम को पूरी तरह से मनमाने ढंग से चुना जा सकता है, क्योंकि यह सुविधाजनक पहचान के लिए पूरी तरह से कार्य करता है।

स्कीमा विस्तार से उपलब्ध संभावित विशेषताओं में, मुख्य हैं:

sudoCommand - निर्धारित करता है कि होस्ट पर किन कमांडों को चलाने की अनुमति है।
sudoHost - यह निर्धारित करता है कि यह भूमिका किस होस्ट पर लागू होती है। यह सभी के रूप में सेट किया जा सकता है, या नाम से एक व्यक्तिगत होस्ट के लिए। मास्क का उपयोग करना भी संभव है।
sudoUser - इंगित करें कि किन उपयोगकर्ताओं को sudo निष्पादित करने की अनुमति है।
यदि कोई सुरक्षा समूह निर्दिष्ट है, तो नाम की शुरुआत में "%" चिह्न जोड़ें। यदि समूह के नाम में स्थान हैं, तो चिंता की कोई बात नहीं है। लॉग को देखते हुए, sssd तंत्र रिक्त स्थान से बचने का काम करता है।

चित्र 1. निर्देशिका के मूल में sudoers इकाई में sudoRole ऑब्जेक्ट

चित्रा 2. sudoRole ऑब्जेक्ट्स में निर्दिष्ट सुरक्षा समूहों में सदस्यता।

निम्नलिखित विन्यास लिनक्स पक्ष पर किया जाता है।

/Etc/nsswitch.conf फ़ाइल में, फ़ाइल के अंत में लाइन जोड़ें:

 sudoers: files sss

[Sssd] अनुभाग में /etc/sssd/sssd.conf फ़ाइल में, सेवाओं में sudo जोड़ें

 cat /etc/sssd/sssd.conf | grep services services = nss, pam, sudo

सभी ऑपरेशन के बाद, आपको sssd डेमॉन कैश को खाली करने की आवश्यकता है। ऑटोमैटिक अपडेट हर 6 घंटे में किए जाते हैं, लेकिन जब हम अभी चाहते हैं तो हमें इतना इंतजार क्यों करना पड़ता है।

 sss_cache -E

अक्सर ऐसा होता है कि कैश क्लियर करने से मदद नहीं मिलती है। फिर हम सेवा को रोकते हैं, आधार को साफ करते हैं, सेवा शुरू करते हैं।

 service sssd stop rm -rf /var/lib/sss/db/* service sssd start

हम पहले उपयोगकर्ता के तहत कनेक्ट करते हैं और जांचते हैं कि यह sudo के तहत उपलब्ध है:

 su user1 [user1@testsshad log]$ id uid=1109801141(user1) gid=1109800513(domain users) groups=1109800513(domain users),1109801132(admins_) [user1@testsshad log]$ sudo -l [sudo] password for user1: Matching Defaults entries for user1 on testsshad: !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin, env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE", env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY", secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin User user1 may run the following commands on testsshad: (root) /usr/bin/ls, /usr/bin/cat

हम अपने दूसरे उपयोगकर्ता के साथ भी ऐसा ही करते हैं:

 su user2 [user2@testsshad log]$ id uid=1109801142(user2) gid=1109800513(domain users) groups=1109800513(domain users),1109801138(sudo_root) [user2@testsshad log]$ sudo -l Matching Defaults entries for user2 on testsshad: !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin, env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE", env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY", secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin User user2 may run the following commands on testsshad: (root) ALL

यह दृष्टिकोण आपको विभिन्न उपयोगकर्ता समूहों के लिए सूडो भूमिकाओं को केंद्रीय रूप से परिभाषित करने की अनुमति देता है।

सक्रिय निर्देशिका में ssh कुंजियों का भंडारण और उपयोग करना

स्कीम के एक छोटे से विस्तार के साथ, सक्रिय निर्देशिका उपयोगकर्ता विशेषताओं में ssh कुंजियों को संग्रहीत करना और उन्हें लिनक्स मेजबानों पर प्राधिकरण के लिए उपयोग करना संभव है।

Sssd के माध्यम से प्राधिकरण को कॉन्फ़िगर किया जाना चाहिए।

PowerShell स्क्रिप्ट का उपयोग करके वांछित विशेषता जोड़ें।

AddsshPublicKeyAttribute.ps1

नई विशेषता- {
$ उपसर्ग = "1.2.840.113556.1.8000.2554"
$ GUID = [System.Guid] :: NewGuid ()। ToString ()
$ पार्ट्स = @ ()
$ पार्ट्स + = [UInt64] :: पार्स ($ गाइड। स्टबस्ट्रिंग (0.4), "AllowHexSpecifier")
$ पार्ट्स + = [UInt64] :: Parse ($ गाइड। SubString (4,4), "AllowHexSpifier")
$ पार्ट्स + = [UInt64] :: Parse ($ गाइड। SubString (9,4), "AllowHexSpifier"))
$ पार्ट्स + = [UInt64] :: Parse ($ गाइड। SubString (14,4), "AllowHexSpifier")
$ पार्ट्स + = [UInt64] :: Parse ($ गाइड। SubString (19,4), "AllowHexSpifier")
$ पार्ट्स + = [UInt64] :: Parse ($ गाइड। SubString (24.6), "AllowHexSpifier")
$ पार्ट्स + = [UInt64] :: Parse ($ गाइड। SubString (30.6), "AllowHexSpifier")
$ oid = [स्ट्रिंग] :: प्रारूप ("{0}। {1}। {2}। {3} {{4}} {5}। {6}। {7}", $ उपसर्ग, $ भागों]। 0]
$ पार्ट्स [1], $ पार्ट्स [2], $ पार्ट्स [3], $ पार्ट्स [4], $ पार्ट्स [5], $ पार्ट्स [6])
$ ओयड
}
$ स्कीमापथ = (प्राप्त करें- ADRootDSE) .schemaNamingContext
$ oid = नई-विशेषता
$ विशेषताएँ = @ {
lDAPDisplayName = 'sshPublicKey';
विशेषता = $ ओआईडी;
oMSyntax = 22;
एट्रीसाइंसैक्स = "2.5.5.5";
isSleleValued = $ true;
adminDescription = 'SSH लॉगिन के लिए उपयोगकर्ता सार्वजनिक कुंजी';
}

नई-ADObject -नाम sshPublicKey -Type विशेषताSchema -Path $ schemapath -OtherAttributes $ विशेषताएँ
$ userSchema = get-adobject -SearchBase $ schemapath -Filter 'name -eq "उपयोगकर्ता"
$ userSchema | सेट-ADObject -Add @ {mayContain = 'sshPublicKey'}

विशेषता जोड़ने के बाद, सक्रिय निर्देशिका डोमेन सेवा को पुनरारंभ करें।
हम सक्रिय निर्देशिका के उपयोगकर्ताओं को पास करते हैं। आपके लिए सुविधाजनक किसी भी तरह से, हम ssh कनेक्शन के लिए एक महत्वपूर्ण जोड़ी बनाते हैं।

पुट्टीजेन लॉन्च करें, "जेनरेट" बटन पर क्लिक करें और एक खाली क्षेत्र के भीतर माउस पर फ्रिक करें।

प्रक्रिया के पूरा होने पर, हम सार्वजनिक और निजी कुंजी को सहेज सकते हैं, सार्वजनिक निर्देशिका को सक्रिय निर्देशिका उपयोगकर्ता विशेषता में भर सकते हैं और प्रक्रिया का आनंद ले सकते हैं। हालाँकि, सार्वजनिक कुंजी का उपयोग " OpenSSH अधिकृत_की फ़ाइल में चिपकाने के लिए सार्वजनिक कुंजी: " विंडो से किया जाना चाहिए।

उपयोगकर्ता विशेषता के लिए कुंजी जोड़ें।

विकल्प 1 - GUI:

विकल्प 2 - पॉवरशेल:

get-aduser user1 | set-aduser -add @{sshPublicKey = 'AAAAB...XAVnX9ZRJJ0p/Q=='}

तो, हमारे पास इस समय है: sshPublicKey विशेषता वाला एक उपयोगकर्ता, जो मुख्य प्राधिकरण के लिए कॉन्फ़िगर किया गया एक पोटीन क्लाइंट है। एक छोटी सी बात बनी हुई है, कैसे sshd डेमॉन को सार्वजनिक कुंजी खींचनी चाहिए जो हमें उपयोगकर्ता विशेषताओं से चाहिए। बुर्जुआ इंटरनेट के खुले स्थानों पर पाई जाने वाली एक छोटी लिपि इस का सफलतापूर्वक सामना करती है।

 cat /usr/local/bin/fetchSSHKeysFromLDAP #!/bin/sh ldapsearch -h testmdt.testopf.local -xb "dc=testopf,dc=local" '(sAMAccountName='"${1%@*}"')' -D Administrator@testopf.local -w superSecretPassword 'sshPublicKey' | sed -n '/^ /{H;d};/sshPublicKey:/x;$g;s/\n *//g;s/sshPublicKey: //gp'

हमने इस पर रूट के लिए 0500 अनुमतियां निर्धारित की हैं।

 chmod 0500 /usr/local/bin/fetchSSHKeysFromLDAP

इस उदाहरण में, निर्देशिका के लिए बाइंड के लिए व्यवस्थापक खाते का उपयोग किया जाता है। युद्ध की स्थितियों में अधिकारों के न्यूनतम सेट के साथ एक अलग खाता होना चाहिए।

मैं व्यक्तिगत रूप से स्क्रिप्ट में अपने शुद्ध रूप में पासवर्ड के क्षण से बहुत भ्रमित था, अधिकार निर्धारित होने के बावजूद।

समाधान विकल्प:

मैं एक अलग फाइल में पासवर्ड सेव करता हूँ:
```
 echo -n Supersecretpassword > /usr/local/etc/secretpass 
```
मैंने रूट के लिए 0500 फ़ाइल पर अनुमतियाँ सेट की हैं
```
 chmod 0500 /usr/local/etc/secretpass 
```
मैं ldapsearch के स्टार्टअप मापदंडों को बदलता हूं: -w सुपरसिट्रेसेपासवर्ड पैरामीटर को -y / usr / लोकल / आदि / गुप्तपास में बदल दिया जाता है

आज के सुइट में अंतिम राग sshd_config का संपादन कर रहा है

 cat /etc/ssh/sshd_config | egrep -v -E "#|^$" | grep -E "AuthorizedKeysCommand|PubkeyAuthe" PubkeyAuthentication yes AuthorizedKeysCommand /usr/local/bin/fetchSSHKeysFromLDAP AuthorizedKeysCommandUser root

परिणामस्वरूप, हमें ssh क्लाइंट में कॉन्फ़िगर किए गए मुख्य प्रमाणीकरण के साथ निम्नलिखित अनुक्रम मिलता है:

उपयोगकर्ता सर्वर से जुड़ता है, अपने उपयोगकर्ता नाम का संकेत देता है।
Sshd डेमॉन, एक स्क्रिप्ट के माध्यम से, सक्रिय निर्देशिका में उपयोगकर्ता विशेषता से सार्वजनिक कुंजी का मान खींचता है और कुंजी को अधिकृत करता है।
Sssd डेमन आगे समूह सदस्यता के आधार पर उपयोगकर्ता को प्रमाणित करता है। चेतावनी! यदि यह कॉन्फ़िगर नहीं किया गया है, तो किसी भी डोमेन उपयोगकर्ता के पास होस्ट तक पहुंच होगी।
जब sudo कोशिश करता है, sssd डेमन भूमिकाओं के लिए सक्रिय निर्देशिका निर्देशिका खोजता है। यदि भूमिकाएँ हैं, तो समूह की विशेषताओं और उपयोगकर्ता सदस्यता की जाँच की जाती है (यदि उपयोगकर्ता समूहों का उपयोग करने के लिए sudoRoles कॉन्फ़िगर किया गया है)

परिणाम

इस प्रकार, चाबियाँ सक्रिय निर्देशिका उपयोगकर्ता विशेषताओं, sudo अनुमतियों में संग्रहीत की जाती हैं - इसी तरह, सक्रिय खातों में सदस्यता की जाँच करके डोमेन खातों द्वारा लिनक्स होस्ट तक पहुंच बनाई जाती है।

कंडक्टर की छड़ी की अंतिम लहर - और हॉल चुप्पी में जमा देता है।

लेखन में प्रयुक्त संसाधन:

चरण 1: सक्रिय निर्देशिका के माध्यम से sudo भूमिकाओं का प्रबंधन।

सक्रिय निर्देशिका में ssh कुंजियों का भंडारण और उपयोग करना

परिणाम

More articles: