PAM/NSS DCE for Linux ins DCE

Transkript

1 Mit PAM/NSS DCE for Linux ins DCE Markus Zahn Rechenzentrum der Universität Augsburg September 2000

2 PAM/NSS DCE for Linux Die Problemstellung Einführung IT-Infrastruktur besteht aus vielen unterschiedlichen Hardwareplattformen diverseunix-systeme(solaris,hp/ux,aix,...aberauch Linux!) Windows 3.x/95/98/ME/NT/2000 Mac... Systemabhängige Authentifizierungs- und Filesharing-Mechanismen Ziel: DCE als Basis u. a. einer systemübergreifenden Benutzerverwaltung Ziel: DFS als plattformunabhängiges, gemeinsames Filesystem Markus Zahn, Rechenzentrum der Universität Augsburg, September

3 PAM/NSS DCE for Linux Die Problemstellung Einführung (Fortsetzung) DCE/DFS-Implementierungen existieren für die gängigsten Unix-Varianten diverse andere Systeme (v. a. auch Windows) Linux-Systeme sind auf dem Vormarsch Aber: Es existiert bisher noch keine DCE/DFS-Implementierung für Linux Markus Zahn, Rechenzentrum der Universität Augsburg, September

4 PAM/NSS DCE for Linux Die Problemstellung Aufgabenstellung DCE Benutzer-/Gruppendatenbank für Linux nutzbar machen keine eigene Linux-Benutzerverwaltung insbesondere kein NIS Nutzung von PAM- und NSS-Mechanismus Filezugriff per DFS/NFS-Gateway Freischaltung des Gateways ( DCE-Tickets) umständlich implizite Erzeugung der Tickets via PAM Verschlüsselte Übertragung sicherheitsrelevanter Daten Markus Zahn, Rechenzentrum der Universität Augsburg, September

5 PAM/NSS DCE for Linux Umsetzung der Aufgabenstellung Komponenten der Umsetzung Auf der Linux-Seite... Pluggable Authentication Module (pam dce.so) zur Authentifizierung standardisierte Schnittstelle systemkonforme Erweiterung der Authentifizierungsmechanismen Name Service Switch Module (libnss dce.so.2) zur Namensauflösung standardisierte Schnittstelle systemkonforme Erweiterung der Namensauflösung (User UID, Group GID) Markus Zahn, Rechenzentrum der Universität Augsburg, September

6 PAM/NSS DCE for Linux Umsetzung der Aufgabenstellung Komponenten der Umsetzung (Fortsetzung) Auf der DCE-Seite... PAM-Dæmon Läuft auf dem DFS/NFS-Gateway-Rechner Überprüfung und Beantwortung der Authentifizierungsanfragen Freischaltung des Gateways ( DCE-Tickets) Secure Socket Layer (SSL) für gesicherte Datenübertragung NSS-Dæmon Läuft auf irgendeinem DCE-Client Beantwortung der Namensanfragen Markus Zahn, Rechenzentrum der Universität Augsburg, September

7 PAM/NSS DCE for Linux Umsetzung der Aufgabenstellung Das Konzept im Überblick Linux Client libnss_dce.so.2 pam_dce.so SSL NFS Client DCE Client DCE Registry nssdced pamdced DFS/NFS Gateway NFS Server DFS Markus Zahn, Rechenzentrum der Universität Augsburg, September

8 PAM/NSS DCE for Linux Umsetzung der Aufgabenstellung Konfiguration des Linux-Clients: PAM Übersetzung und Installation des PAM-Moduls (/lib/security/pam dce.so) Erstellen der PAM/DCE-Konfigurationsdatei (/etc/security/pam dce.conf) Installation des SSL-Zertifikats (/etc/security/pam dce.pem) Anpassung der PAM-Konfigurationsdateien (z. B. /etc/pam.d/login) auth required /lib/security/pam_dce.so Markus Zahn, Rechenzentrum der Universität Augsburg, September

9 PAM/NSS DCE for Linux Umsetzung der Aufgabenstellung Konfiguration des Linux-Clients: NSS Übersetzung und Installation des NSS-Moduls (/lib/libnss dce.so.2) Erstellen der NSS/DCE-Konfigurationsdatei (/etc/nss dce.conf) Anpassung der NSS-Konfigurationsdatei (/etc/nsswitch.conf) passwd: files dce group: files dce Markus Zahn, Rechenzentrum der Universität Augsburg, September

10 PAM/NSS DCE for Linux Umsetzung der Aufgabenstellung Konfiguration der zugehörigen DCE-Dæmons Übersetzung und Installation der Dæmons (/usr/local/pam nss/pamdced und /usr/local/pam nss/nssdced) Erstellen des SSL-Zertifikats (/usr/local/pam nss/pamdce.pem) Erstellen der Einträge in /etc/services pamdce 903/tcp nssdce 904/tcp Aufnahme von pamdced in /etc/inetd.conf pamdce stream tcp nowait root /usr/local/pam_nss/pamdced pamdced Starten von nssdced z. B. in /etc/rc.local Markus Zahn, Rechenzentrum der Universität Augsburg, September

11 PAM/NSS DCE for Linux Der Stand der Dinge Status Quo Was ist bisher realisiert? Authentifizierung von DCE-Benutzern via PAM Implizite Freischaltung des DFS/NFS-Gateways Verschlüsselte Übertragung sicherheitsrelevanter Daten mittels SSL Unterstützung der wichtigsten Nameservice-Anfragen (dies sind getpwnam(), getpwuid(), getgrnam() und getgrgid()) Markus Zahn, Rechenzentrum der Universität Augsburg, September

12 PAM/NSS DCE for Linux Der Stand der Dinge Status Quo (Fortsetzung) Was ist bisher noch nicht realisiert? Kein Sessionsupport, kein Äquivalent zu kdestroy Benutzerpaßworte können von Linux aus noch nicht geändert werden Einige Nameservice-Anfragen aus Performancegründen nicht implementiert (dies sind setpwent(), endpwent(), getpwent(), setgrent(), endgrent() und getgrent()) Keine Unterstützung mehrerer NSS/DCE-Dæmons Markus Zahn, Rechenzentrum der Universität Augsburg, September

13 PAM/NSS DCE for Linux Der Stand der Dinge Betriebserfahrung PAM/NSS DCE for Linux seit über 6 Monaten im Produktionsbetrieb derzeit etwas über 30 Linux-Clients, Tendenz steigend Installation nahezu plug & play DFS-Zugriff über DFS/NFS-Gateway ist NFS-eingeschränkt pamdced läuft nur unter AIX (DFS/NFS-Gateway API nur hier verfügbar) ansonsten keine wesentlichen Probleme Markus Zahn, Rechenzentrum der Universität Augsburg, September

14 PAM/NSS DCE for Linux Weiterführende Informationen Weiterführende Informationen PAM/NSS-DCE Homepage Linux-PAM ftp://ftp.kernel.org/pub/linux/libs/pam/index.html The GNU C Library System Databases and Name Service Switch Markus Zahn, Rechenzentrum der Universität Augsburg, September