From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: X-Spam-Checker-Version: SpamAssassin 3.4.1 (2015-04-28) on sa.local.altlinux.org X-Spam-Level: X-Spam-Status: No, score=-1.9 required=5.0 tests=BAYES_00 autolearn=ham autolearn_force=no version=3.4.1 To: Evgeny Sinelnikov , Mikhail Novosyolov References: <6bc0e860-59d6-80e6-5f2e-aa376bbb053b@dumalogiyamail.ru> From: Mikhail Novosyolov Message-ID: Date: Thu, 28 Nov 2019 23:51:07 +0300 User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Thunderbird/68.2.1 MIME-Version: 1.0 In-Reply-To: Content-Type: text/plain; charset=utf-8; format=flowed Content-Transfer-Encoding: 8bit Content-Language: ru-RU Cc: ALT Linux Team development discussions Subject: Re: [devel] =?utf-8?b?0J3QtdC70L7QutCw0LvRjNC90YvQuSDQstCw0YDQuNCw?= =?utf-8?b?0L3RgiDQvdCw0YHRgtGA0L7QtdC6IFBBTSAoc3lzdGVtLWF1dGgg0Lggc3lz?= =?utf-8?q?tem-policy=29?= X-BeenThere: devel@lists.altlinux.org X-Mailman-Version: 2.1.12 Precedence: list Reply-To: ALT Linux Team development discussions List-Id: ALT Linux Team development discussions List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Thu, 28 Nov 2019 20:51:16 -0000 Archived-At: List-Archive: List-Post: 28.11.2019 22:47, Evgeny Sinelnikov пишет: > чт, 28 нояб. 2019 г. в 17:56, Mikhail Novosyolov : >> Добрый вечер! >> >> 28.11.2019 08:52, Evgeny Sinelnikov пишет: >>> Доброе утро! >>> >>> чт, 28 нояб. 2019 г. в 05:14, Mikhail Novosyolov : >>>> 27.11.2019 22:16, Evgeny Sinelnikov пишет: >>>>> <...> >>>>>>> <...> >>>>>>> Настройка system-policy расширяемая и включает в себя, по умолчанию, >>>>>>> две политики - local и global. >>>>>>> >>>>>>> ~ # control system-policy help >>>>>>> global: global session policy with mkhomedir >>>>>>> local: local session policy >>>>>>> ~ # control system-policy summary >>>>>>> system session policy type >>>>>>> ~ # control system-policy help >>>>>>> global: global session policy with mkhomedir >>>>>>> local: local session policy >>>>>>> ~ # control system-policy >>>>>>> local >>>>>>> >>>>>>> По сути, первая от второй отличается только одним - наличием модуля >>>>>>> pam_mkhomedir.so >>>>>>> >>>>>>> ~ # cat /etc/pam.d/system-policy-local >>>>>>> #%PAM-1.0 >>>>>>> session required pam_mktemp.so >>>>>>> session required pam_limits.so >>>>>>> ~ # cat /etc/pam.d/system-policy-global >>>>>>> #%PAM-1.0 >>>>>>> session required pam_mktemp.so >>>>>>> session required pam_mkhomedir.so silent >>>>>>> session required pam_limits.so >>>>>>> >>>>>>> <...> >>>>>>> >>>> Хотелось бы поинтересоваться, рассматривали ли вы вопрос pam_mkhomedir >>>> vs pam_oddjob_mkhomedir? >>> Рассматривали. Пока не определились. >>> >>>> Использовать dbus для создания домашней директории из-под pam кажется >>>> совсем перебором, но то, что это решает проблемы с контекстами selinux >>>> (https://access.redhat.com/discussions/903523#comment-766163), весьма >>>> разумно. >>> Нет, я не думаю, что это сильно перебор. Сейчас dbus везде. Ну, просто >>> везде. NetworkManager - это dbus, udisks2 - тоже, polkit - снова... >> Разумно... Спасибо за ответ. Это не будет нормально работать при логине, >> когда система не запущена, но такое может быть разве что в chroot, так >> что почти не актуально. > Почему не будет? Там всё опционально включено. > >>> В штуках сейчас этих попугаев, как раз, тридцать восемь у меня: >>> $ LC_ALL=C apt-cache whatdepends libdbus | grep "Depends: >>> " | wc -l >>> 38 >>> >>> Ну, и да... Именно вопрос selinux для RedHat был ключевым в данном случае. >>> >>> В нашем случае. Вот прям сейчас. Сделан pam_oddjob_gpupdate, взят за >>> основу pam_oddjob_mkhomedir и отпилен от основного проекта: >>> https://github.com/altlinux/oddjob-gpupdate >>> http://git.altlinux.org/people/sin/packages/oddjob-gpupdate.git >> Круто! Но разобраться в этом очень сложно, т.к. не сохранена >> оригинальная история git, невозможно понять, какие изменения были сделаны. > Ну, не было задачи сохранить историю. Была задача, наоборот, отпилить. > Там оригинального кода, когда я его почищу, будет очень немного. > >>> Это модуль, позволяющий запускать из-под пользователя инструмент по >>> обновлению групповых политик с правами администратора. Служба oddjob >>> используется в данном случае для двух задач: >>> - для запуска процесса обновления групповых политик во время логина; >>> - для ручного запуска обновления групповых политик пользователем. >>> >>> Сам gpupdate разрабатывается отдельно и готовится вместе в >>> oddjob-gpupdate уехать в сизиф. >>> >>> Собственно, ради гибкого управления настройками этих модулей нам и >>> понадобился новый, гибкий control-метод system-policy, тесно увязанный >>> с уже существующим control-методом system-auth. >> А authconfig не рассматривали? Я почти не смотрел control, в нем >> какие-то скрипты для редактирования конфигов pam, не придете ли вы с ним >> к authconfig - куче слабо предсказуемых if..else? > По этому поводу предлагаю ознакомиться с интереснейшим докладом > Александра Бокового из Red Hat на прошедшей осенью конференции в > Калуге - http://0x1.tv/20190828D > > Цитата из тезисов: "Как результат, модули nss-pam-ldapd, pam_krb5, > pam_pkcs11 были убраны из Red Hat Enterprise Linux 8. Утилита > конфигурирования authconfig была заменена на authselect, а управление > первоначальной настройкой для доменных сред унифицировано утилитой > realm." > > У нас всё довольно просто и надеюсь вполне надёжно. Никакой динамики > пока не предвидится. Хотя authselect я пока не разбирал. Я внимательно смотрел запись этого доклада. Вряд ли скрипты - это просто пос равнению с готовыми шаблонами в authselect. authconfig заменили на authselect, т.к. authselect предоставляет готовые протестированные шаблоны конфигов с минимальными вариациями и не занимается правкой существующих конфигов как authconfig.