ניהול שרת IPA
Policy ואז Password policies מגדירים מדיניות גלובלית של תוקף (למשל 90 יום), אורך מינימלי וכמה כשלונות רצופים עד חסימה. אפשר ליצור מדיניות שונה לסוגי משתמשים.Management (אנדי, כרמל, אילון) ו-Employees (בוב, דניאל, פרנק), וקבוצות מקצועיות Sales, Support ו-Engineers. אחרי sss_cache -E ו-id רואים את השיוך במערכת.production, סיסטם 2 בקבוצה development, וסיסטם 3 הוא שרת ה-IPA.HBAC test מראה אם גישה אושרה או נדחתה ואיזה כלל אישר אותה, בלי להתחבר בפועל.Sudo ואז Sudo Rules מגדירים למי מותר, על אילו שרתים, אילו פקודות ובאיזה משתמש להריץ. לאנדי הותר כל דבר כ-root. לקבוצת Support הותר sudo בכל השרתים./bin/id ו-/bin/date, שאוגדו ב-Sudo Commands לקבוצה אחת. פקודה אחרת כמו ls נדחתה.sss_cache -E ולהפעיל מחדש את sssd עם systemctl restart sssd. אחרת צריך לחכות כמה דקות.מבנה ושמות דיסקים ומחיצות בלינוקס:
הוכן ע"י התלמיד המצטיין: אברהים אבו שיכה
פרקי ההרצאה: ניהול שרת IPA
תמלול ההרצאה: ניהול שרת IPA
הטקסט המלא של הדקות הראשונות בהרצאה «ניהול שרת IPA» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים לסרטון בנושא איפה, ניהול זהות מרכזית בלינוקס. בסרטון הקודם ראינו איך מבצעים התקנה של האיפה והחיבור של השרתים של הקליינטים בעצם אל שרת האיפה.
בסרטון הזה אנחנו נראה איך אנחנו מייצרים משתמשים נוספים ומייצרים היררכיה ארגונית של קבוצות של מנהלים, עובדים, קבוצות של מכירה, קבוצות של תמיכה ואנג'ינירס וכמו כן גם נראה איך אנחנו מחלקים את השרתים עצמם לקבוצות ועל פי הסדר הארגוני הזה
אנחנו נחלק הרשאות למשתמשים ולקבוצות משתמשים. בואו נתחיל. אז קודם כל אנחנו צריכים קצת יותר משתמשים כדי להתחיל את התרגיל הזה ואנחנו נוסיף עוד משתמש, בעצם אנחנו נוסיף משתמש בשם דניאל ונוסיף משתמש בשם אילון ומשתמש אחרון, משתמש שקוראים לו פרנק.
מצוין, עכשיו יש לנו פה את משתמש אנדי בוב, כרמל דניאל, אילון ופרנק. שימו לב, בשביל הנוחות של העבודה, האות הראשונה של המשתמש היא לפי סדרי האלף-בית, כמובן שבמצב האמיתי זה לא צריך להיות ככה.
למשתמשים החדשים שיצרתי קבעתי להם סיסמה זמנית. כאשר הם ייכנסו למערכת בפעם הראשונה, התבקשו להחליף את הסיסמה הזאת בסיסמה קבועה. הסיסמה הקבועה צריכה לעמוד בחלק מהקריטריונים שמוגדרים כאן במערכת, והם מוגדרים תחת policy password policies.
כאן בעצם יש לי global policy שמגדיר את ברירת המחדל מה הדרישות מהסיסמה שהמשתמשים חייבים להאזין. בעצם כאן יש לי למשל לכמה זמן הסיסמה תהיה.
תקפה ונגיד אחרי 90 יום המשתמש יצטרך להחליף את הסיסמה. יש לי כאן עוד כל מיני פרטים מעניינים כמו למשל האורך המינימלי של הסיסמה וכמה פעמים למשתמש מותר להיכשל בעצם באופן רציף עד שהחשבון שלו ייחסם במערכת.
כמובן את כל המשתנים האלה אפשר לערוך מכאן וגם כן אפשר ליצור בעצם פוליסיס מדיניות שונות לסיסמאות על פי סוגי המשתמשים. למשל, למנהלים תהיה דרישות מסוימות, לאדמינים של המערכת דרישות אחרות, ולמשתמשים אחרים אפשר לקבוע שלהם יהיה סוג אחר של דרישות מהסיסמה במערכת.
עכשיו אנחנו רוצים ליצור קבוצות ולחלק את המשתמשים שלנו למנהלים ועובדים. אז בעצם נעשה כזה דבר, אנחנו נחליט שאנדי, כרמל ואילון יהיו המנהלים שלנו. אז אני הולך ל- Groups ויוצר פה גרופ חדש שנקרא Management Add and Edit, וכאן אני אבחר את המשתמשים שלי.
מנדי, כרמל ואילון. מצוין, עכשיו אני אצור לי קבוצה חדשה שלקבוצה הזאת אני אקרא עובדים, employees, ולקבוצה הזאת אני אוסיף את בוב, דניאל ופרנק.
מצוין, בואו נראה איך השינוי הזה משתקף במערכת. תחילה אני אריץ את הפקודה ssscash == e == הפקודה הזאת בעצם תעדכן את הרשומות במערכת, זהו תהליך שקורה גם בלי הרצאה של הפקודה כל כמה דקות.
יחד עם זה, בגלל שביצענו את השינוי רק עכשיו, אז אני רוצה לעדכן את הרשומות במערכת ולמחוק את ה-case שיש, כיוון שאני צריך להריץ את הפקודה הזאת בתוארות.
ועכשיו אני אעבור למשתמש nd, su-nd, ואני אריץ את הפקודה id כדי לראות לאיזה קבוצות המשתמש שייך, ואני רואה שבעצם נוספה למשתמש הזה הקבוצה Management.
עכשיו אני אעשה אותו דבר עם המשתמש בוב ID, ואני רואה שבוב שייך לקבוצה של Employees. עכשיו בואו ניצור את הקבוצות האחרות שאנחנו רוצים. אני אעבור לקבוצות, ואנחנו עכשיו עשינו חלוקה למנהלים ועובדים.
עכשיו נעשה קבוצות מקצועיות של Sales, ספורט ואנג'ינירס ואני מייצר כאן את הקבוצה סיילס ולקבוצה של סיילס אני מוסיף בעצם את אנדי ובו הם יהיו אנשי המכירות שלנו כאן אני עכשיו הולך לייצר עוד קבוצה של ספורט ולקבוצת הספורט אני אוסיף את כרמל ודניאל מצוין ומוסיף קבוצה אחרונה קבוצה של אנג'ינירס ולקבוצה הזאת
אני אוסיף את המשתמשים אילון ופרנק. מעולה, עכשיו יצרתי את המבנה הארגוני שלי, ובואו נראה איך הוא משתקף במערכת. מתחיל את ה... עושה ריסט לקאש, sss cache-e ו-sue-nd id, ורואה כאן שהוא גם בקבוצה של מנג'מנט וגם בקבוצה של סיילס.
ועכשיו אני אעשה סו מינוס כרמל ואני רואה שהוא גם בקבוצה של מנג'מנט וגם בקבוצה של ספורט. עכשיו אני רוצה גם לחלק את השרתים לקבוצות. כרגע יש לי שלושה שרתים סיסטם 1, סיסטם 2 וסיסטם 3. אז בעצם אני רוצה שסיסטם 1 יהיה פרודקשן וסיסטם 2 יהיה דיבלופמנט.
אז אני הולך לקבוצות ויש לי גם קבוצות של שרתים. וכאן אני מייצר קבוצה חדשה שאני קורא לה פרודקשן ולקבוצה של הפרודקשן אני מוסיף את סיסטם 1, הולך לקבוצות ומייצר כאן קבוצה חדשה שאני קורא לה development ולקבוצה הזאת אני אוסיף את סיסטם 2. מעולה, אז כרגע יש לי בעצם שלושה קבוצות של שרתים,
אחת כבר נוצרה, קבוצה של ה-EPA servers שיש שם את System 3 ויש לי קבוצה אחת של Production וקבוצה אחת של Development. מבחינת קבוצות הארגוניות יש לי קבוצה של Management וקבוצה של Employees וכמו כן יש לי גם קבוצה של Engineers, Support ו-Sales.
עכשיו בעצם המבנה הארגוני שרציתי הוא קיים על שרת ה-EPA וכמו שראינו הוא משתקף בתוך המערכות. עכשיו מה שאנחנו נעשה, אנחנו נשתמש ביכולות ה-policy של המערכת כדי לקבוע מדיניות למי מותר לעשות מה על גבי השרתים האלה.
אז בעצם הסוג הראשון של המדיניות שאנחנו נראה זה מדיניות של host-based access control, כלומר בקרה מבוססת סוג ושם של שרת והדיפולט כאן המדיניות שרת מחדל שלכולם מותר להתחבר לכל מקום.
המבנה של חוק מדיניות כזה הוא מאוד פשוט: למי מותר להתחבר לאן, ודרך איזה סרוויס. כרגע המצב הוא שבעצם כל משתמש יכול להתחבר לכל שרת. ולכן כשאנחנו ננסה להתחבר עם המשתמש אנדי ל-System 1, אנחנו נצליח, ואותו כנ"ל גם ל-System 2.
עכשיו מה שאנחנו הולכים לעשות, אנחנו הולכים לבטל את המדיניות הזאתי שלכולם מותר להתחבר לכל מקום. אנחנו עושים לה Disable ועכשיו אם אני אתחבר עם המשתמש אנדי לשרת סיסטם אחד, אני לא אצליח להתחבר, אני אקבל הודעה של Connection Closed.
עכשיו אנחנו נקים מדיניות פחות מתירנית משלנו שתאפשר למשתמשים מסוימים להתחבר לשרתים מסוימים בדיוק כמו שאנחנו צריכים מבחינת הארגון.
ואנחנו מתחילים כאן ואנחנו בעצם ניצור כאן פוליסי של ה-Engineers. כאן זה ה-Engineers, מכף תחתון, P-Add and Edit. וכאן אנחנו בעצם קובעים למי מותר.
אנחנו יכולים או לבחור פרטנית את היוזרים שהם בעצם יהיו חלק מהמדיניות הזאת, או שאנחנו יכולים לבחור קבוצה, וכאן אנחנו בעצם בוחרים את קבוצת ה-Engineers Add, וכאן אנחנו בוחרים לאן הם יכולים להתחבר.
אז או שאנחנו יכולים לבחור ספציפית את המערכת שאנחנו רוצים, או בצורה קצת יותר מתוחכמת לבחור את הקבוצה של המערכות, ואנחנו בעצם קובעים שה-Engineers יוכלו להתחבר לשרתי ה-Development בלבד, ונבחר שהם יוכלו להתחבר דרך כל סרוויס.
אנחנו שומרים את הפוליסי, ועכשיו יש לנו פוליסי חדש שנקרא Engineers, שהוא יאפשר לכל מי שבקבוצת ה-Engineers להתחבר לשרתים שהם בקבוצת Development.
בואו רגע ניזכר זריז שאילון ופרנק הם בקבוצת ה-Engineers, והשרתים שבקבוצת הדיבלופמנט הם סיסטם 2. אז בואו ננסה להתחבר למערכת 2 עם משתמש של פרנק.
זה סייג' פרנק לכתובת ה-IP של סיסטם 2 ואני מתבקש להקיש סיסמה. עכשיו בגלל שזאת הפעם הראשונה שאני מתחבר עם המשתמש הזה, אז בעצם אני מתבקש לבחור סיסמה חדשה ולהקיש עוד פעם את הסיסמה החדשה.
ועכשיו התחברתי עם המשתמש פרנק לסיסטם 2 ובואו ננסה לעשות משהו שאנחנו לא אמורים להצליח להתחבר עם המשתמש פרנק לסיסטם 1 וכמו שאתם רואים פרנק לא יכול להתחבר למערכת 1 יכול להתחבר רק למערכת 2 שזה בדיוק מה שהגדרנו בפוליסה עכשיו בואו נשלים גם את הפוליסות שאנחנו רוצים עכשיו נוסיף כאן פוליסה שנקראת
support ואנחנו בעצם קובעים שמשתמשים מקבוצת הספורט שהם יהיו רשאים להתחבר לכל שרת עם כל סרוויס ועכשיו אני שומר את הפוליסה הזאת ונראה אם היא נכנסה לתוקף להזכירכם בקבוצת הספורט יש לנו את המשתמשים כרמל ודניאל ואני מריץ את הפקודה הבאה, מנסה להתחבר עם המשתמש כרמל לסיסטם 2. מצוין.
וננסה להתחבר גם עם משתמש כרמל לסיסטם 1. מצוין. אותו דבר עם משתמש דניאל. גם כן אני מתבקש להחליף סיסמה, כי יצרתי את המשתמש הזה כרגע והוא עם סיסמה זמנית.
מצוין. והתחברתי עם דניאל גם לסיסטם 1 וגם לסיסטם 2. עכשיו אני אצור זריז את הפוליסה של סיילס ולפוליסה של סיילס אני אבחר את קבוצת הסיילס ואתן להם גישה לשרתי הפרודקשן עם כל שירות.
סייב מעולה וכרגע נשאר לנו להוסיף רק פוליסה אחת חשובה נוספת כי יש לנו בעצם פוליסה ל-allow all שביטלנו אותה ויצרנו פוליסות מיוחדות אבל חסרה לנו הפוליסה של האדמין שמקודם המשתמש אדמין היה מכוסה בפוליסה הכוללת של allow all וכרגע אין לו כיסוי אז אנחנו נוסיף בעצם פוליסה אדמין ולכאן אנחנו נגיד who admins שיכולים להתחבר
ל-any host ב-any service ואני שומר את הפוליסה הזאת. יש לנו עכשיו פוליסה שמטפלת בסיילס, פוליסה שמטפלת בספורט ופוליסה שמטפלת באנג'ינירס ופוליסה שמטפלת במשתמשים אדמיניסטרטיביים.
עכשיו אני אראה איך יוצרים פוליסה שהיא החרגה שאני אוכל לקחת ובעצם לתת למשתמש מסוים זכויות להיכנס לכל מקום, ונגיד נקרא לזה הפוליסה של אנדי.
ועכשיו אני לא אבחר את הקבוצה אלא אני אבחר את המשתמש הפרטי, את אנדי, ולמשתמש הזה אני גם אאפשר לו להיכנס לכל שרת ועם כל סרוויס.
אתם יודעים מה? אפילו נעשה את זה טיפה יותר מעניין. אני אקח ולמשתמש אנדי אני אאשר לו להיכנס ספציפית לסיסטם 1 וסיסטם 2, אבל סיסטם 3, מכיוון שזה שרת האיפה, אז אני לא אאפשר לו להיכנס ויצרתי פוליסה שהיא מיוחדת לאנדי ובואו נבדוק את הפוליסה הזאת במערכת עכשיו משתמש אנדי צריכה להיות
לו את היכולת להיכנס גם לסיסטם 1 וגם לסיסטם 2 אז אני עושה ssh [email protected] מצוין נכנסתי ועכשיו לסיסטם 2 אני בודק ולסיסטם 2 אני לא יכול עדיין להיכנס, כנראה שאני צריך לעדכן, לחכות שהפוליסה תתעדכן,