Пользователи видят всех остальных пользователей LDAP в поведении по умолчанию RHEL?
Мы используем сервер LDAP с серверами Solaris и RHEL и планируем перенести больше серверов на RHEL. Однако у нас есть проблема с LDAP на всех серверах Red Hat. Когда мы набираем "getent passwd", отображаются все пользователи на всем сервере LDAP, а не только те пользователи, которые имеют доступ к этому серверу. Обычно около 10-50 человек имеют доступ к серверу, поэтому Solaris распечатывает этот список пользователей, а Red Hat распечатывает список всех пользователей, которые существуют в LDAP (около 650).
Мы используем nscd/nslcd на RHEL 6.2. Переход на sssd не является краткосрочным решением, хотя мы рассматриваем возможность сделать это в будущем.
Я обнаружил, что это можно изменить, используя compat в качестве источника для /etc/nsswitch.conf, который перечисляет, так что вы видите только пользователей с доступом к + сетевой группе в /etc/passwd.
- Каково нормальное поведение на серверах Red Hat Linux?
- Существует ли угроза безопасности для пользователей, которые могут видеть всех других пользователей?
- Вы рекомендуете использовать compat в /etc/nsswitch.conf в качестве решения?
1 ответ
nsswitch правильный, не меняйте его! он не имеет никакой возможности фильтрации, поэтому, если он выводит пользователей ldap, он настроен правильно.
Проблема в фильтре ldap в /etc/ldap.conf. На Солярисе выполняется фильтрация пользователей и разрешено только то, что соответствует фильтру, на RHEL вы, вероятно, не используете какой-либо фильтр и, таким образом, разрешаете всем пользователям.
проверьте опцию pam_filter. Вы можете использовать этот пример ldap.conf в качестве базы, если ваш слишком пуст