[devel] Не локальный вариант настроек PAM (/etc/pam.d/system-auth)

[Evgeny Sinelnikov]

28 апреля 2017 г., 17:29 пользователь Evgeny Sinelnikov
<sin at altlinux.ru> написал:
> 28 апреля 2017 г., 7:32 пользователь Anton Farygin <rider at basealt.ru> написал:
>> 28.04.2017 00:31, Evgeny Sinelnikov пишет:
>>
>> Ещё один не вполне логичный момент - это условие uid >= 500 для любых
>> глобальных пользователей. Я думаю, что это момент стоит сделать
>> настраиваемым с помощью control. Думаю, что тут должно быть три вида
>> политики:
>> - текущая (остаётся, по умолчанию) uid >= 500;
>> - облегчённая uid > 0 (все, кроме рута);
>> - простая (без ограничений на uid);
>> - расширенная uid >= 10000 (при которой для локальных uid'ов выделен
>> диапазон от 500 до, к примеру, 10000. И этот диапазон согласован с
>> настройками, по умолчанию для мапинга глобальных пользователей в
>> службах Winbind, SSSD или записях в LDAP).
>>
>> Женя, а кому мешает такой диапазон ?
>>
>> Просто если сделать четыре варианта поведения, то нам придётся тестировать
>> это в разных сложных сочетаниях. При этом поведение некоторого софта
>> предсказать будет практически невозможно.
>>
>
> Я уже упоминал, что глобальная аутентификация (kerberos) и локальная
> авторизация (/etc/passwd) - это вполне самостоятельное рабочее
> решение. Именно так, по крайней мере настроено у меня дома - Kerberos
> без LDAP.
>
> С uid'ами может быть такое, что глобальному пользователю,
> действительно назначаются заданный uid < 500. Например, при включении
> расширения rfc2307 в Samba пользователю Administrator (администратору
> домену) явно задаётся uid = 0. То есть глобальный админ на любом компе
> оказывается локальным админом, то есть рутом. О том стоит ли так
> делать можно поспорить. Я попытался объяснить, когда это бывает нужно.
>
> При этом вопрос не в том, чтобы перебрать все варианты при
> тестировании, а в том, чтобы "не прибивать гвоздями" то, что можно
> оставить гибким в настройке на усмотрение администратора. Тестировать
> же нужно конкретные конфигурации, которые мы рекомендуем.
>
>

Сделал новую таску - старая уже протухла. Думаю нужно пропускать или
уточнять что не так.
#183003 BUILDING #1 [locked] sisyphus pam-config.git=1.8.0-alt1
sssd.git=1.15.2-alt3%ubt

Да, и наверное, в p8 pam-config-1.8.0-alt1, как noarch-пакет можно скопировать.

-- 
Sin (Sinelnikov Evgeny)