pam_auth_radius - пользователи RADIUS против пользователей Unix
Недавно я настроил сервер с FreeRADIUS для проверки подлинности и отслеживания входов администратора на некоторых моих устройствах.
Я смотрю на то, чтобы мои Linux и FreeBSD-машины проходили аутентификацию на RADIUS с помощью модуля pam_auth_radius. В настоящее время я работаю с виртуальной машиной Ubuntu 10.04 для тестирования. Также в настоящее время я тестирую с аутентификацией RADIUS только удаленных пользователей SSH, я бы хотел, чтобы ВСЕ аутентификация проводилась таким образом в какой-то момент.
Согласно инструкциям со всего Интернета, я устанавливаю pam_auth_radius и добавляю строку со ссылкой на модуль в /etc/pam.d/sshd, добавляю адрес моего сервера и общий секретный ключ в /etc/pam_radius_auth.conf.
После этого я могу аутентифицироваться на RADIUS... однако аутентифицировать могут только те пользователи, которых я добавил на тестовую машину (используя adduser). Например, пользователь "cory" является действительным пользователем RADIUS, для которого RADIUS возвращает "Accept", но я продолжаю получать "Permission Denied" при попытке войти через ssh, пока я не "adoryser cory".
Нужно ли добавлять каждого администратора к каждому серверу? Я понимаю, что могу сделать пользователей без пароля, так что это на самом деле не проблема безопасности, а просто лишает центральный сервер проверки подлинности, если мне все еще приходится управлять учетными записями на каждом устройстве.
Есть ли способ динамически создать временный пользователь / каталог / etc? Или же пользователи, прошедшие аутентификацию через RADIUS, могут быть сопоставлены с существующей учетной записью, чтобы устранить необходимость создания каждого пользователя?
1 ответ
Что происходит, так это то, что без остальной части необходимых структур система linux не имеет никакой информации о пользователе 'cory'. Такие вещи, как UID/GID, оболочка, домашний каталог, что угодно.
Вы можете настроить локальную учетную запись пользователя, а затем указать PAM проверить действительный пароль для RADIUS.
Что вы действительно хотите сделать, это настроить LDAP. Это позволит вам определить полные учетные записи пользователей Unix в центральной базе данных. Затем вы должны настроить свой RADIUS-сервер для выполнения проверок в базе данных LDAP для тех устройств, которые могут его использовать.