Integração Linux / AD com SSSD: como escolher em quais sistemas um usuário pode efetuar login?

Question

Estamos tentando a integração do ActiveDirectory em alguns sistemas Linux com SSSD.

Até aí tudo bem, nós nos juntamos aos sistemas Linux para o domínio e podemos entrar em sistemas Linux com usuários definidos pelo AD. Neste momento, todos os usuários do AD podem efetuar login em todos os sistemas Linux que foram integrados ao SSSD.

Como posso deixar o Foo entrar no LinuxServer01, mas impedi-lo de entrar no LinuxServer02? E / ou como posso bloquear um usuário para logar em todos os sistemas linux e simplesmente deixá-lo em alguns específicos?

    

Answer 1

Eu recomendaria contra usando os filtros de controle de acesso baseados em filtro para a maioria das implantações por dois motivos:

• eles são difíceis de acertar
• os filtros são aplicados na entrada do usuário que está efetuando login. Isso pode ter consequências interessantes, especialmente se o filtro contiver um atributo memberof enquanto o usuário for um membro de grupos aninhados - já que a entrada do usuário contém somente memberofs pais, os grupos aninhados nunca seriam iguais.

Para casos de uso muito simples, como permitir um usuário ou um grupo de usuários, eu recomendaria usar o provedor de acesso simples

Para casos de uso complexos, o SSSD suporta GPOs do AD começando com a série 1.12.x, pesquise página de manual do sssd-ad para detalhes.

    

Answer 2

Depois de fazer mais alguns RTFM encontrei os detalhes em sssd-ad (5 ) - Eu devo ter sentido falta deles pela primeira vez:

• o padrão access_provider é permit , portanto, todos os usuários que podem autenticar recebem permissão para efetuar login no sistema. Isso é explicado em sssd.conf (5) .
• para gerenciar permissões específicas que você deve definir access_provider = ad
• você usa ad_access_filter conforme detalhado em sssd-ad (5) para definir um filtro para usuários que podem efetuar login

(mas eu ainda não sei se existe alguma maneira de especificar sistemas um por um no lado AD para um usuário permitir login)

    

Answer 3

No seu arquivo de configuração sssd.conf, você pode modificar o filtro de acesso para atender às suas necessidades:

Na seção domain/default , tente o seguinte:

access_provider = ldap
ldap_access_filter = memberOf=cn=GroupName,ou=Groups,dc=domain,dc=com