Newsgroup: it.comp.os.linux.sys
Titolo: Auth server

Supponendo di dover centralizzare le autenticazioni di svariati servizi e svariati server (e con svariati intendo: fedora, centos, ubuntu, slackware, debian, vari programmi php, auth base di apache, etc etc)
cosa adottereste? Kerberos? LDAP? Radius?
 
Ho necessità (a dire il vero, in fretta, molto in fretta) di cambiare la password centinaia se non migliaia di servizi differenti, molti dei quali vecchi di anni.
Dato che devo metter mano in fretta e furia, preferirei fare una variazione defintiiva e centralizzare la autenticazioni, in modo da poter cambiare password in futuro in tempo zero.

 Kerberos? LDAP?
 
Io uso queste due, ovvero una perversione delle due, AD.


LDAP. E' fatta apposta. Radius se serve può usare LDAP.
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

 LDAP. E' fatta apposta. Radius se serve puï¿œ usare LDAP.
 
I problemi sostanzialmente sono due:
1) per eventuali persone che erano a conoscenza della password di root? Non c'è sistema che tenga, come ci si tutela in questi casi? L'unica è cambiarla ovunque, richiede tempo, parecchio tempo. Inoltre, attivare LDAP per l'autenticazione dei server mi pare rischioso, se la macchina LDAP dovesse aver problemi, nessuno entra in tutti i server. Si può fare un fallback ad autenticazione locale?
 
2) l'autenticazione base di apache: integrarla su ldap (sempre che sia possibile) mi pare un massacro, anche perchè ne ho alcune migliaia (migliaia!) da dover cambiare ed usano tutti file differenti.

 (migliaia!) da dover cambiare ed usano tutti file differenti.
 
Integrare l'autenticazione apache con ldap è questione di 15 minuti
circa. Per passare migliaia di siti si usa uno script che prenda i dati
da un file di testo e modifichi opportunamente il file di apache.
Se hai fatto le cose per bene dall'inizio è solo una questione di poche
ore. Se hai fatto le cose male è l'occasione buona per farle bene :)


 ore. Se hai fatto le cose male è l'occasione buona per farle bene :)
 
Le cose son state fatte male, proprio dalla persona che andrà via.
Ora devo mettere a posto tutto, il prima possibile, evitando che lo stronzetto possa fare qualche dispetto :)
 
Considera che su alcune macchine ho slackware (<= 12 e *non* aggiornabile) ed attivare PAM significa bestemmiare in tutte le lingue del mondo, compreso quelle non più correnti, mentre si viene fustigati a sangue.

 fustigati a sangue.
 
In quelle fai a manina... E magari è l'occasione buona per installarci
un sistema operativo.


 un sistema operativo.
 
Non posso. Ho degli applicativi che non funzionerebbero con sistemi operativi veri e più recenti. (questo ci riporta al thread in cui chiedevo come fare P2V di un server *senza* poter modificare ne kernel ne altro)

 cosa adottereste? Kerberos? LDAP? Radius?
 
FreeIPA
 
Enrico

 (migliaia!) da dover cambiare ed usano tutti file differenti.
 
Con mod_ldap (o come minchia si chiama) e` una passeggiata di salute. Io lo 
uso per far autenticare gli utenti ai repository subversion presenti in 
azienda :)
 
Enrico

 se per pura sfiga capita l'imprevedibile, non entro più nemmeno io.
 
Gli ambienti di test esistono per questo, eh :)
 
Enrico

 Gli ambienti di test esistono per questo, eh :)
 
L'esperienza mi ha portato a dire che se qualcosa può andare storto, lo farà sul sistema in produzione e mai su quello di test.