Devo gerenciar grupos do Linux no LDAP por máquina?

Question

Atualmente, estou executando um servidor OpenLDAP gerenciando meus usuários do Linux como elementos posixaccount e posixgroup da seguinte forma:

dn: cn=shellinger,ou=groups,dc=company,dc=com
cn: shellinger
gidNumber: 5001
objectClass: posixGroup
objectClass: top

dn: cn=shellinger,ou=people,dc=company,dc=com
cn: Simon Hellinger
uid: shellinger
uidNumber: 5001
gidNumber: 5001
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: person
objectClass: posixAccount
objectClass: shadowAccount
objectClass: top
...

Neste momento, além dos grupos primários, a participação no Grupo Linux é gerenciada localmente em cada máquina. Isso funciona, mas acho que derrota o propósito do gerenciamento centralizado de usuários.

O que eu acho que quero é atribuir aos meus usuários diferentes conjuntos de grupos, dependendo de qual máquina eles fazem logon. Geralmente, meus usuários têm negócios úteis em todas as minhas máquinas, portanto, acredito que as restrições de login (com base no host ou em um determinado grupo) são muito grosseiras para meu caso de uso. Eu quero restringir o que eles podem fazer em cada máquina, não se eles podem logar em tudo; e na minha mentalidade que se traduz em que grupos Linux eles estão em.

Além disso, esses grupos (e, como tal, permissões) podem ser muito diferentes para cada usuário em cada máquina, uma pessoa com permissões de superusuário em uma máquina pode ser um usuário comum na próxima.

Em termos leigos, isso soa como atribuição de grupo baseada em função, mas depois de lançar todo o meu vocabulário LDAP no Google e falha de servidor, eu ainda não consigo entender isso.

Resumindo, as perguntas são: O meu uso é válido? Eu estou indo sobre isso do jeito certo? Devo gerenciar grupos do Linux no LDAP?

    

Answer 1

Em geral, a associação ao grupo deve ser gerenciada centralmente, assim como os usuários.

No entanto, quando você fala sobre usuários que precisam ser permissões de superusuário, isso me faz pensar que você está gerenciando wheel para su em cada máquina separadamente. Isso é aceitável, mas um pouco entediante, especialmente se você tiver vários servidores que devem se comportar da mesma maneira.

Você pode alterar o grupo usado por pam_wheel ou ter várias entradas pam_wheel (com opções diferentes a cada vez em /etc/pam.d/su , mas uma alternativa melhor é usar sudo e integrar isso ao seu LDAP. O Sudo lhe dará controle mais refinado por servidor, e o LDAP irá distribuí-lo apropriadamente.

Algumas distribuições separam sudo e sudo-ldap.