[devel] Не локальный вариант настроек PAM (/etc/pam.d/system-auth)

[Evgeny Sinelnikov]

28 апреля 2017 г., 7:32 пользователь Anton Farygin <rider at basealt.ru> написал:
> 28.04.2017 00:31, Evgeny Sinelnikov пишет:
>
> Ещё один не вполне логичный момент - это условие uid >= 500 для любых
> глобальных пользователей. Я думаю, что это момент стоит сделать
> настраиваемым с помощью control. Думаю, что тут должно быть три вида
> политики:
> - текущая (остаётся, по умолчанию) uid >= 500;
> - облегчённая uid > 0 (все, кроме рута);
> - простая (без ограничений на uid);
> - расширенная uid >= 10000 (при которой для локальных uid'ов выделен
> диапазон от 500 до, к примеру, 10000. И этот диапазон согласован с
> настройками, по умолчанию для мапинга глобальных пользователей в
> службах Winbind, SSSD или записях в LDAP).
>
> Женя, а кому мешает такой диапазон ?
>
> Просто если сделать четыре варианта поведения, то нам придётся тестировать
> это в разных сложных сочетаниях. При этом поведение некоторого софта
> предсказать будет практически невозможно.
>

Я уже упоминал, что глобальная аутентификация (kerberos) и локальная
авторизация (/etc/passwd) - это вполне самостоятельное рабочее
решение. Именно так, по крайней мере настроено у меня дома - Kerberos
без LDAP.

С uid'ами может быть такое, что глобальному пользователю,
действительно назначаются заданный uid < 500. Например, при включении
расширения rfc2307 в Samba пользователю Administrator (администратору
домену) явно задаётся uid = 0. То есть глобальный админ на любом компе
оказывается локальным админом, то есть рутом. О том стоит ли так
делать можно поспорить. Я попытался объяснить, когда это бывает нужно.

При этом вопрос не в том, чтобы перебрать все варианты при
тестировании, а в том, чтобы "не прибивать гвоздями" то, что можно
оставить гибким в настройке на усмотрение администратора. Тестировать
же нужно конкретные конфигурации, которые мы рекомендуем.




-- 
Sin (Sinelnikov Evgeny)