[devel] Не локальный вариант настроек PAM (/etc/pam.d/system-auth)

[devel] Не локальный вариант настроек PAM (/etc/pam.d/system-auth)

[Evgeny Sinelnikov]

Здравствуйте,

Смена стандартных настроек PAM может достаточно болезненно может
сказаться в самый неподходящий момент. Но для сложных инфраструктур
эта проблема назрела.

Во-первых, при попытке пароля у нас происходит путаница при наличии
совпадающих логинов. В принципе, я рассматриваю это не как "багу", а
как "фичу" - можно ходить глобальным логином (аутентифицироваться) и
использовать, при этом, локальные учётные данные (авторизовываться).
Хотя, в ряде случаев, это приводит к потенциальным проблемам.

Во-вторых, при попытке смены пароля у нас возникают повторные попытки
ввести пароль, что вообще странно и нелогично.

В-третьих, у нас накладываются локальные ограничения на политику
сложности паролей для глобальных пользователей, что приводит к тому,
что, вроде бы, сложность на уровне Samba/Winbind, Samba/SSSD,
FreeIPA/SSSD снижена, а, фактически, на клиентах это снижение
сложности не отрабатывает.

В связи с первым и вторым у нас не предусмотрены многие детали
связанные с особенностями реализации смены пароля графической утилитой
userpasswd.

Ещё один не вполне логичный момент - это условие uid >= 500 для любых
глобальных пользователей. Я думаю, что это момент стоит сделать
настраиваемым с помощью control. Думаю, что тут должно быть три вида
политики:
- текущая (остаётся, по умолчанию) uid >= 500;
- облегчённая uid > 0 (все, кроме рута);
- простая (без ограничений на uid);
- расширенная uid >= 10000 (при которой для локальных uid'ов выделен
диапазон от 500 до, к примеру, 10000. И этот диапазон согласован с
настройками, по умолчанию для мапинга глобальных пользователей в
службах Winbind, SSSD или записях в LDAP).

Ну, и ещё один момент - это парные настройки вида:
$ ls -1 /etc/pam.d/system-auth*use_first_pass*
/etc/pam.d/system-auth-use_first_pass
/etc/pam.d/system-auth-use_first_pass-krb5
/etc/pam.d/system-auth-use_first_pass-krb5_ccreds
/etc/pam.d/system-auth-use_first_pass-ldap
/etc/pam.d/system-auth-use_first_pass-local
/etc/pam.d/system-auth-use_first_pass-multi
/etc/pam.d/system-auth-use_first_pass-pkcs11
/etc/pam.d/system-auth-use_first_pass-sss
/etc/pam.d/system-auth-use_first_pass-winbind
Честно говоря, меня они путают - я не понимаю: "На каком этапе они
используются?"

В качестве решения я предлагаю использовать модуль pam_localuser.so.
Давайте попробуем проверить этот вариант в разных конфигурация - я могу
проверить далеко не все, что имеется в реальной боевой практике.

Для этого я предлагаю проверить тестовую сборку (надеюсь она собирётся
- в любом случае номера "тасков" сохраняться):
#182276 AWAITING #1 p8 pam-config.git=1.8.0-alt1 sssd.git=1.15.2-alt3%ubt
#182275 BUILDING #1 [locked] sisyphus pam-config.git=1.8.0-alt1
sssd.git=1.15.2-alt3%ubt

Там же, я предлагаю убрать прибитые гвоздями настройки ccache для
krb5. Это нужно выносить отдельно - а использоваться должен тот
credential cache, который задан по умолчанию. А то в общесистемных
настройках одно, а в PAM - другое.


-- 
Sin (Sinelnikov Evgeny)

Re: [devel] Не локальный вариант настроек PAM (/etc/pam.d/system-auth)

[Evgeny Sinelnikov]

28 апреля 2017 г., 7:32 пользователь Anton Farygin <rider@basealt.ru> написал:
> 28.04.2017 00:31, Evgeny Sinelnikov пишет:
>
> Ещё один не вполне логичный момент - это условие uid >= 500 для любых
> глобальных пользователей. Я думаю, что это момент стоит сделать
> настраиваемым с помощью control. Думаю, что тут должно быть три вида
> политики:
> - текущая (остаётся, по умолчанию) uid >= 500;
> - облегчённая uid > 0 (все, кроме рута);
> - простая (без ограничений на uid);
> - расширенная uid >= 10000 (при которой для локальных uid'ов выделен
> диапазон от 500 до, к примеру, 10000. И этот диапазон согласован с
> настройками, по умолчанию для мапинга глобальных пользователей в
> службах Winbind, SSSD или записях в LDAP).
>
> Женя, а кому мешает такой диапазон ?
>
> Просто если сделать четыре варианта поведения, то нам придётся тестировать
> это в разных сложных сочетаниях. При этом поведение некоторого софта
> предсказать будет практически невозможно.
>

Я уже упоминал, что глобальная аутентификация (kerberos) и локальная
авторизация (/etc/passwd) - это вполне самостоятельное рабочее
решение. Именно так, по крайней мере настроено у меня дома - Kerberos
без LDAP.

С uid'ами может быть такое, что глобальному пользователю,
действительно назначаются заданный uid < 500. Например, при включении
расширения rfc2307 в Samba пользователю Administrator (администратору
домену) явно задаётся uid = 0. То есть глобальный админ на любом компе
оказывается локальным админом, то есть рутом. О том стоит ли так
делать можно поспорить. Я попытался объяснить, когда это бывает нужно.

При этом вопрос не в том, чтобы перебрать все варианты при
тестировании, а в том, чтобы "не прибивать гвоздями" то, что можно
оставить гибким в настройке на усмотрение администратора. Тестировать
же нужно конкретные конфигурации, которые мы рекомендуем.




-- 
Sin (Sinelnikov Evgeny)

Re: [devel] Не локальный вариант настроек PAM (/etc/pam.d/system-auth)

[Evgeny Sinelnikov]

28 апреля 2017 г., 17:29 пользователь Evgeny Sinelnikov
<sin@altlinux.ru> написал:
> 28 апреля 2017 г., 7:32 пользователь Anton Farygin <rider@basealt.ru> написал:
>> 28.04.2017 00:31, Evgeny Sinelnikov пишет:
>>
>> Ещё один не вполне логичный момент - это условие uid >= 500 для любых
>> глобальных пользователей. Я думаю, что это момент стоит сделать
>> настраиваемым с помощью control. Думаю, что тут должно быть три вида
>> политики:
>> - текущая (остаётся, по умолчанию) uid >= 500;
>> - облегчённая uid > 0 (все, кроме рута);
>> - простая (без ограничений на uid);
>> - расширенная uid >= 10000 (при которой для локальных uid'ов выделен
>> диапазон от 500 до, к примеру, 10000. И этот диапазон согласован с
>> настройками, по умолчанию для мапинга глобальных пользователей в
>> службах Winbind, SSSD или записях в LDAP).
>>
>> Женя, а кому мешает такой диапазон ?
>>
>> Просто если сделать четыре варианта поведения, то нам придётся тестировать
>> это в разных сложных сочетаниях. При этом поведение некоторого софта
>> предсказать будет практически невозможно.
>>
>
> Я уже упоминал, что глобальная аутентификация (kerberos) и локальная
> авторизация (/etc/passwd) - это вполне самостоятельное рабочее
> решение. Именно так, по крайней мере настроено у меня дома - Kerberos
> без LDAP.
>
> С uid'ами может быть такое, что глобальному пользователю,
> действительно назначаются заданный uid < 500. Например, при включении
> расширения rfc2307 в Samba пользователю Administrator (администратору
> домену) явно задаётся uid = 0. То есть глобальный админ на любом компе
> оказывается локальным админом, то есть рутом. О том стоит ли так
> делать можно поспорить. Я попытался объяснить, когда это бывает нужно.
>
> При этом вопрос не в том, чтобы перебрать все варианты при
> тестировании, а в том, чтобы "не прибивать гвоздями" то, что можно
> оставить гибким в настройке на усмотрение администратора. Тестировать
> же нужно конкретные конфигурации, которые мы рекомендуем.
>
>

Сделал новую таску - старая уже протухла. Думаю нужно пропускать или
уточнять что не так.
#183003 BUILDING #1 [locked] sisyphus pam-config.git=1.8.0-alt1
sssd.git=1.15.2-alt3%ubt

Да, и наверное, в p8 pam-config-1.8.0-alt1, как noarch-пакет можно скопировать.

-- 
Sin (Sinelnikov Evgeny)