Искал ответы, но ничего не нашел здесь ...
Короче говоря: некоммерческая организация остро нуждается в модернизации своей инфраструктуры. Прежде всего, нужно найти альтернативы управлению учетными записями пользователей на нескольких хостах Linux.
У нас 12 серверов (как физических, так и виртуальных) и около 50 рабочих станций. У нас есть 500 потенциальных пользователей для этих систем. Человек, который строил и обслуживал системы за эти годы, ушел в отставку. Он написал свои собственные сценарии, чтобы справиться со всем этим. Это все еще работает. Нареканий нет. Тем не менее, многие вещи очень ручные и подвержены ошибкам. Код неопрятен, и после обновлений его часто нужно настроить. Хуже всего то, что почти нет написанных документов. Есть только несколько ReadMe's и случайных заметок, которые могут быть или не иметь отношения больше. Поэтому обслуживание стало сложной задачей.
В настоящее время учетные записи управляются через / etc / passwd в каждой системе. Обновления распространяются с помощью скриптов cron для исправления систем по мере добавления учетных записей на «главном» сервере. Некоторые пользователи должны иметь доступ ко всем системам (например, к учетной записи системного администратора), другим нужен доступ к общим серверам, в то время как другим может понадобиться доступ к рабочим станциям или только к их подмножеству.
Существует ли инструмент, который может помочь нам управлять учетными записями, который отвечает следующим требованиям?
- Предпочтительно с открытым исходным кодом (то есть бесплатно, так как бюджет ОЧЕНЬ ограничен)
- основной (то есть поддерживается)
- предпочтительно имеет интеграцию с LDAP или может использоваться для взаимодействия со службой LDAP или AD для аутентификации пользователя (потребуется в ближайшем будущем для интеграции учетных записей с другими офисами)
- управление пользователями (добавление, истечение срока действия, удаление, блокировка и т. д.)
- позволяет управлять тем, к каким системам (или группам систем) имеет доступ каждый пользователь - не всем пользователям разрешено работать во всех системах
- поддержка учетных записей пользователей, которые могут иметь различные домашние каталоги и монтирования, доступные в зависимости от того, в какую систему они вошли . Например
- sysadmin, вошедший в систему на «главном» сервере, имеет main: // home / sysadmin / в качестве homedir и имеет все общие подключения
- sysadmin, вошедший в систему на рабочих станциях персонала, будет иметь nas: // user / s / sysadmin в качестве homedir (отличается от описанного выше) и потенциально ограниченный набор монтирований,
- зарегистрированный клиент будет иметь свой домашний каталог в другом месте и без общих подключений.
- Если есть простой интерфейс управления, это было бы здорово.
- И если этот инструмент кроссплатформенный (Linux / MacOS / * nix), это будет чудом!
Я искал в Интернете и поэтому не нашел ничего подходящего. Мы открыты для любых предложений. Спасибо.
РЕДАКТИРОВАТЬ: Этот вопрос был неправильно помечен как дубликат. Связанный с ответом говорит только о наличии одних и тех же домашних папок во всех системах, в то время как нам нужно иметь разные домашние папки в зависимости от того, какой пользователь системы в данный момент вошел в систему (НЕСКОЛЬКО домашних папок). Кроме того, доступ должен быть предоставлен только для некоторых машин, а не всей партии. Моды, пожалуйста, поймите всю проблему, а не просто отметьте ее как дубликат для очков ...
Ответы:
FreeIPA , вероятно, то, что вы ищете. Это для Linux, что Active Directory для Windows. (Он также может общаться с AD, если у вас гетерогенная среда, но его не следует использовать для непосредственного управления компьютерами Windows. Для этого используйте AD.)
Документация Red Hat (они называют это Identity Management) очень тщательна и проста для понимания, и должна быть в основном применима, даже если вы не используете системы, производные от Red Hat.
источник
Я бы посоветовал хорошего местного консультанта, чтобы оценить особенности вашей ситуации ...
В самом деле.
Могут быть и другие деловые требования или нюансы, которые люди на этом форуме могут не распознать или не инвестировать - достаточно, чтобы обдумать. Выделенный ресурс - ваша лучшая ставка ... В противном случае мы просто дадим вам рекомендации по продуктам, которые легко выходят за рамки простых вопросов и ответов.
Несмотря на это, мой подход заключается в использовании Microsoft Active Directory и связывании систем Linux с использованием SSSD или LDAP. FreeIPA хороша в полностью Linux-домике, но даже если вы говорите «некоммерческий», это не обязательно исключает Windows. Вы столкнетесь с Active Directory где-то по пути. Возможно, вы захотите дополнить это автоматически установленными домашними каталогами, но детали того, кто подключается, когда и где, не ясны.
Даже в 99% частных облачных средах Linux, которые я сейчас создаю, я все еще полагаюсь на Active Directory для простоты управления и централизованной аутентификации. Группы и права доступа просты, политика паролей и устаревание аккаунта просты. Любые проблемы, связанные с ремонтопригодностью, разумностью и совместимостью, покрываются решением Microsoft. Репликация является встроенной, хорошо документирована, и этой технологии присуща некоторая перспектива.
Однако в исходном вопросе отсутствуют некоторые детали ...
источник
Текущая система работает, но сложна в управлении. Я предполагаю, что есть и другие проблемы для управления этими серверами, если все было сделано вручную. Я бы выбрал другой подход, не заменяя что-то, что работает (управление пользователями) и решая проблему администрирования серверов.
Я рекомендую использовать что-то вроде cfengine http://cfengine.com/community (бесплатная версия там) для «модернизации» системного администрирования, а не только управления пользователями. Это хорошая возможность попробовать это, потому что ваша текущая система работает очень похоже на использование cfengine для распределения конфигурации на серверы, в вашем случае / etc / passwd. Поэтому вместо замены вы перенесете эти скрипты в cfengine. Надеюсь, влияние будет минимальным, потому что вы все еще используете тот же / etc / passwd.
Как только вы освоитесь с cfengine, вы сможете создавать больше рецептов для решения большего количества проблем, таких как совершенно новая система управления пользователями и инструмент управления конфигурацией на серверах.
Чтобы помочь вам начать, я нашел эту ссылку http://explosive.net/opensource/cfpasswd/doc/cfengine.html, которая показывает, как распространять файл / etc / passwd и связанные файлы.
Даже если вы хотите заменить систему управления пользователями сейчас, вам все равно нужен инструмент администрирования для управления этим сервером. Лучше иметь инструмент администрирования раньше, чем позже, и перенастроить управление пользователями под инструментом администрирования.
источник
Просто несколько быстрых вещей, чтобы добавить -
Я использовал Puppet в своем развертывании - идея похожа на cfengine - http://puppetlabs.com
Это также может сделать ваше управление пользователями и общей конфигурацией / управлением сервером.
Если вы хотите попробовать что-то столь же универсальное, как Samba, у него могут быть возможности управления каталогами с некоторой конфигурацией, а также возможность использования для конфигурации бэкэнда LDAP. Samba 4 сильно повзрослела и может обеспечить интегрированную среду с Windows и Linux для управления / аутентификации.
Samba работает как с AD, так и с заменой AD.
Есть также продукт под названием Centrify, на который я смотрел некоторое время назад. Я никогда не заходил слишком далеко, но я верю, что у них есть и бесплатная версия с открытым исходным кодом. Насколько я помню, у него был потенциал для смешанной среды, обеспечивающей управление Windows и Linux и, возможно, Mac.
Я бы поддержал предложение консультанта. Эти развертывания могут быть очень сложными и очень быстрыми в настройке, но простыми в обслуживании после их документирования и настройки.
Удачи
источник