Newsgroup: it.comp.os.linux.sys
Titolo: autenticazione LDAP: limitare accessi (per eseprti LDAP)

ciao a tutti.
ho il seguente problema:
un server LDAP fornisce servizio di autenticazione a 500 server unix.
Voglio limitare gli accessi degli utenti a determinate macchine.
Voglio evitare di creare diverse entita' (esempio: 
it.blbla.com
, 
uk.blabla.com
) poiche' abbiamo molti utenti globali che in questo caso 
andrebbero replicati e sincronizzati in tutte queste entita'.
Esisterebbe una possibilita' di replicare automaticamente degli utenti?
in alternativa .. devo controllare se e' possibile ... dovrei creare una 
entita' "global" e dire a ciascun server di guardare nella propria 
entita' e in quella "global".
idee, suggerimenti?
-- 
il capitano dei carabinieri chiede a un appuntato: "quanto fa 1+1"
l'appuntato: "3"
I colleghi in coro "gli dia un'altra chance. Gli dia un'altra chance!"
Il capitano ci riprova. Quanto fa "2+1".
l'appuntato: "3"
I colleghi in coro "gli dia un'altra chance, gli dia un'altra chance!"

 idee, suggerimenti?
Quale OS e LDAP usi ?
Credo di aver visto una cosa simile a quello che vuoi realizzare, il 
sistemista aveva configurato oppurtunamente (e forse anche modificato) 
un modulo PAM.
Purtroppo non saprei darti maggiori indicazioni (erano i tempi della RH 
5.2).
ciao

 5.2).
RH5.2. Mnchia :-o


 idee, suggerimenti?
pam? 
http://www.webservertalk.com/message1152716.html
 
http://www.experts-exchange.com/Security/Linux_Security/Q_21229221.html
...certo c'è da modificare 500 server... 
-- 
lg, You love GNUS: you'll be assimilated.

 ...certo c'è da modificare 500 server... 
Non funziona. Su HP-UX non ho "pam_listfile.so".
Se inserisco una direttiva come quella suggerita nel forum, viene 
completamente ignorata.
Anche se funzionasse (obiettivamente), come hai notato anche tu, sarebbe 
ridicolo avere un sistema di autenticazione centralizzato e dover 
continuare ad amministrare 500 file localmente...
il tipo nel forum suggerisce anche di giochicchiare con le ACL. ci sto 
gia' provando ma con scarso successo. Le ACL di netscape (non so come 
spiegarlo) non funzionano bene. Continuero' a provarci.
un casino :(


      
http://www.experts-exchange.com/Security/Linux_Security/Q_21229221.html
la seconda soluzione fornita nel forum e' un caXXXata.
Dopo 3 ore che ci lavoro ho capito perche' non funzionava (era pure banale).
Giocando sui permessi si ottiene di restringere NON l'accesso 
dell'utente posix che vuol fare login, ma viene ristretto l'accesso 
all'utente anonymous che e' quello configurato nel file di 
configurazione del client LDAP! In ogni caso tu non fai mai il login 
facendo il "search ldap" con il tuo utente, ma usi quello stabilito nel 
file di configurazione.
qualcosina con le ACL si potrebbe fare... potrei impostare un accesso 
non piu' con l'utente anonymous e creare utenti diversi per gruppi 
diversi, ma a questo punto otterrei un bind tra macchina e macchina e 
non tra utente e macchina :-(


 un server LDAP fornisce servizio di autenticazione a 500 server unix.
ce l'ho fatta ;)
e' una cosa che riguarda netscape LDAP (e non saprei come gestirla con 
OpenLDAP) quindi la osluzione e' di scarso interesse per questo NG.


 OpenLDAP) quindi la osluzione e' di scarso interesse per questo NG.
Un vago riassunto?


 Non funziona. Su HP-UX non ho "pam_listfile.so".
Ho guardato meglio i miei bookmarks e ho trovato questo redbook:
www.redbooks.ibm.com/redpapers/pdfs/redp3863.pdf
 
"Limiting Access to Linux Systems Using the Host Attribute".


 
vago riassunto:
premessa: ho adottato una soluzione veramente banale.
creo delle "entita'". 
it.xxx.com
, 
de.xxx.com
, uk.xxx.con ... 
global.dhl.com
Ogni client avra' accesso all'entita' di pertinenza (i server italiani 
si attesteranno su 
it.xxx.com
, quelli tedeschi su 
de.xxx.com
,...)
E fin qui questa era una vecchia idea ceh avevo gia' pensato
Il problema che si poneva e' che gli utenti dell'entita' global dovevano 
essere ricopiati in tutti gli altri contenitori (poiche' chi guarda in 
it.xxx.dhl non puo' guardare piu' in alto, altrimenti si autentica 
comunque).
Banalmente ho scoperto che Netscape supporta gli "smart-referrals" 
(altro non sono che dei volgarissimi shortcut o link che dir si voglia).
Ho messo uno smart-referral a 
global.xxx.com
 in ogni entita' e il gioco 
e' fatto :-) Gli utenti global, a questo punto si trovano piu' in basso 
nel tree e verranno trovati dentro tutte le entita'.
Francamente non ho la piu' pallida idea di come si puo' fare la stessa 
cosa in OpenLDAP.
gli smart-referral sono una figata: puoi anche prendere i dati da un 
altro server LDAP...
