NetUSE-SSH-Keymanager 2.12

Transkript

1 Benutzerhandbuch Maksim Kabakou - Fotolia.com Revision: 38 Stand: 10. Januar 2014 NetUSE AG Dr.-Hell-Straße 6 D Kiel Telefon:

2 Inhaltsverzeichnis 1. Versionsübersicht Einführung Grundlagen Begrifflichkeiten Anmeldung und Benutzereinstellungen Menüpunkte Einrichtung eines Hosts Technische Beschreibung Backend-Prozess Problembehandlung Tabellenverzeichnis Abbildungsverzeichnis Literaturverzeichnis Stichwortverzeichnis Weitergabe an Dritte nur mit Zustimmung der NetUSE AG!

3 1. Versionsübersicht 1. Versionsübersicht Version Rev. Datum Inhalt/Änderung Funktionsbeschreibung + Problembehandlung Tabelle 1: Versionsübersicht Weitergabe an Dritte nur mit Zustimmung der NetUSE AG! 3

4 2. Einführung 2. Einführung Der SSH-Keymanager ermöglicht eine zentrale Verwaltung und automatische Installation von SSH-Public-Keys. Über ein Webfrontend lassen sich Benutzer und Logins für die verwalteten Host-Systeme verwalten. Login- und Benutzergruppen ermöglichen eine einfache Steuerung des Zugriffs, auch bei einer großen Anzahl von Hosts und Mitarbeitern. Änderungen der Konfigurationseinstellungen für die verwalteten Systeme und alle Aktionen im Keymanager sind abhängig vom eingestellten Loglevel - über ein detailliertes Logging nachvollziehbar. 3. Grundlagen 3.1. Begrifflichkeiten Benutzer: Benutzer sind die Systembenutzer, die das SSH Kommando ausführen, um sich mit einem Login an einem Host anzumelden. Systembenutzer und GUI-Benutzer haben denselben Namen. Hosts: Hosts sind Rechner, auf denen Logins existieren. Ein Benutzer kann sich an einem Host mit einem Login anmelden. Logins: Ein Login ist ein Account auf einem Host, an dem sich ein Benutzer per SSH anmelden kann. Wenn die Rede von "an einem Login anmelden" ist, ist meistens die Login-zu-Host Verbindung gemeint. Ein Beispiel: peter@workstation> ssh -l root webserver01 peter ist der Systembenutzer, der das SSH Kommando ausführt, um sich mit dem Login root am Host webserver01 anzumelden Anmeldung und Benutzereinstellungen Die Anmeldung am System erfolgt entweder mit der Berechtigungsstufe Administrator oder als einfacher Benutzer. Benutzer können ihre eigenen Login- und Benutzerdaten abrufen, aber keine Änderungen vornehmen. Administratoren stehen alle Funktionen des Keymanagers zur Verfügung. Nach der Anmeldung ist in der GUI im Header zu sehen, auf wieviele Hosts die Lizenz limitiert ist. Detaillierte Informationen zur Lizenz finden sich auch unter dem Menüpunkt Informationen. Weitergabe an Dritte nur mit Zustimmung der NetUSE AG! 4

5 3. Grundlagen Außerdem wird angezeigt, ob das Backend, das die Verteilung der Schlüssel auf die Systeme vornimmt, online ist. Genauere Informationen zum Backend finden sich im Kapitel 4.1 Backend- Prozesse. Hinweis: Auf den meisten Seiten befindet sich Hilfe-Links, über die kontextabhängig Informationen zu den angezeigten Daten bzw. den Formularen abgerufen werden können Menüpunkte Meine Logins Anzeige der eigenen Logins. Meine Benutzer-Details Anzeige der eigenen Benutzerdaten. Die folgenden Menüpunkte stehen nur Administratoren zur Verfügung: Hosts Anzeige der eingerichteten Hosts und der jeweiligen zugeordneten Logins. Logins Anzeige der eingerichteten Logins, also der Accounts, mit denen die Anmeldung an den jeweiligen Host-Systemen erfolgt. Logins lassen sich Logingruppen zuordnen. Logingruppen Logins lassen sich zu Gruppen zusammen fassen und dann entsprechenden Host-Systemen zuordnen. Benutzer Anzeige der eingerichteten Benutzer. Benutzer lassen sich Benutzergruppen zuordnen. Benutzern lassen sich außerdem Logingruppen und Logins zuordnen. Der einzelne Benutzer bekommt diese Daten angezeigt, wenn er sich mit seinem Benutzer-Login am SSH-Keymanager anmeldet. Damit sich ein Benutzer an einem Host mit einem Login anmelden kann, muss dem Benutzer die Berechtigung zur Anmeldung mit einem Login zugewiesen werden. Um den Administrationsaufwand zu vermindern, können Benutzer in Benutzergruppen und Logins in Logingruppen gruppiert werden. So kann man z.b. der Benutzergruppe Administratoren die Logingruppe Webserver-Root-Loginszuweisen. Dann werden alle SSH-Keys der Mitglieder der Benutzergruppe Administratoren in alle authorized_keys Dateien der Logins geschrieben, die Mitglied der Logingruppe Webserver-Root-Logins sind. Weitergabe an Dritte nur mit Zustimmung der NetUSE AG! 5

6 3. Grundlagen Um feinere Benutzer - Login Zuweisungen zu realisieren, können auch einzelne Benutzer einer oder mehreren Logingruppen oder einem einzelnen Login zugeordnet werden. Dies funktioniert auf der Login- und Logingruppenseite ebenso; es können einem Login eine oder mehrere Benutzergruppen oder einzelne Benutzer zugeordnet werden. Warum ein Benutzer oder eine Benutzergruppe das Recht an einem Login oder einer Logingruppe bekommen hat, kann durch das Anzeigen der Details auf einer Loginseite in Erfahrung gebracht werden. Ebenso kann auf der Seite eines Benutzers durch das Anzeigen der Details zu einem Login der Grund/die Gründe für die Berechtigung am jeweiligen Login aufgelistet werden. Benutzergruppen Benutzer lassen sich zu Gruppen zusammen fassen. Benutzergruppen können dann Logingruppen bzw. Logins zugeordnet werden. Log Hier können Logeinträge über Aktionen im GUI und vom Backend angesehen, gefiltert und gelöscht werden. Hier lassen sich z.b. Konfigurationsänderungen, die über die GUI vorgenommen wurden, nachvollziehen, und auch Details zu gegebenenfalls aufgetretenen Fehlern bei der Auslieferung von SSH-Keys abrufen. Logeinträge, die sich auf Backendprozesse beziehen, sind außerdem mit einem entsprechenden Eintrag in der Worklist verknüpft. Worklist Liste der durch Konfigurationsänderungen in der GUI ausgelösten Jobs, die vom Backend abgearbeitet werden. Der Status gibt Auskunft, darüber, ob der betreffende Job schon abgearbeitet wurde. Konfiguration Hier lassen sich umfangreiche Konfigurationseinstellungen für den Keymanager vornemen. Zu jedem Konfigurationsparameter ist in der GUI ein entsprechender Erläterungstext hinterlegt, der die Funktion dieses Parameters beschreibt. SSH Keys anzeigen Hier werden die Public Keys des Backendbenutzers angezeigt, die auf den jeweiligen Zielsystemen in den authorized_keys hinterlegt werden müssen, damit die Auslieferung der SSH- Keys funktioniert. Weitergabe an Dritte nur mit Zustimmung der NetUSE AG! 6

7 3. Grundlagen Dokumentation Hier findet sich ein Überblick über die Funktionen des SSH-Keymanagers. Informationen Hier werden Details zur Lizenz (wieviele Hosts/User sind erlaubt, wann läuft die Lizenz aus) angezeigt. 4. Einrichtung eines Hosts Hier wird die typische Einrichtung eines neuen Hosts beschrieben. Auf dem Zielhost: Der gewünschte Login muss auf dem Zielhost vorhanden und für einen SSH Zugriff konfiguriert sein. Einloggen mit dem später gewünschten Login auf dem "neuen" Host. (Befindet sich im Ordner.ssh im Homeverzeichnis des Users. Sollte es nicht vorhanden sein, kann es einfach angelegt werden. Hier müssen lediglich die Datei und Ordnerrechte berücksichtigt werden. Eintragen des Management Schlüssels vom SSH-Keymanagers in die authorized_keys Datei auf dem "neuen" Host. Wichtig: Nur einen Key pro Zeile in der Datei ablegen. Im Keymanager: Im Menu unter "Hosts" unten rechts in der Tabellenansicht auf "neuen Host anlegen" klicken. Dort die notwendigen Informationen ausfüllen und den Host speichern. Im Menu unter "Logins" unten rechts in der Tabellenansicht auf "neuen Login anlegen" klicken. Nun alle Informationen (Remotelogin) eintragen und den Typ des SSHkeys angeben. Nun sind alle Informationen zum neuen Host vorhanden und er kann in weiteren Zuordnungen (Logingruppe oder Direktzuweisung) verwendet werden. Wichtig: Sobald für einen Host auch ein Login definiert wurde, der Keymanager also Zugriff auf das Zielsystem hat, werden die aktuelle konfigurierten SSH-Key-Konfigurationseinstellungen auch durch das Backend umgesetzt. Es sollte also möglichst umgehend auch die Zuordnung der entsprechenden Benutzer(gruppen) erfolgen, damit der SSH-Zugriff auf das Zielsystem für die betreffenden Benutzer funktioniert. Weitergabe an Dritte nur mit Zustimmung der NetUSE AG! 7

8 5. Technische Beschreibung 5. Technische Beschreibung 5.1. Backend-Prozess Der Backend-Prozess bearbeitet die durch Konfigurationsänderungen in der GUI ausgelösten Jobs. Der Status wird in der GUI im Header angezeigt. Der Backend-Prozess startet für die Bearbeitung dieser Jobs die Anzahl von Worker-Prozessen, die unter Konfiguration für den Parameter max_childs eingestellt wurden. Änderungen werden vom Backend-Prozess innerhalb von weniger Sekunden abgearbeitet. Über eine Aktualisierung der betreffenden Seite der GUI, oder aber in der Worklist, ist dann der neue Status zu sehen. Sollten die eingetragenen Änderungen einmal nicht wirksam werden (wenn also z.b. der SSH-Key eines neu eingetragenen Benutzers nicht auf das konfigurierte System ausgeliefert wird), sollten zunächst die Punkte im Kapitel Problembehandlung geprüft werden Problembehandlung Bei Problemen sollten zunächst die Einträge unter dem Menüpunkt Log geprüft werden. Ebenso lassen sich in der Worklist im Fehlerfall genauere Informationen entnehmen. Wichtige Hinweise finden sich auch in den Logdateien {Application-Folder}/logs/backend.log {Application-Folder}/logs/backend.crit Sollte der Backendprozess nicht laufen, lässt sich dieser über die Konsole per /etc/init.d/sshkeymgrd start starten. Für Fragen, Anregungen und bei Problemen steht die unter dem Menüpunkt Informationen angegebene Adresse zur Verfügung. Weitergabe an Dritte nur mit Zustimmung der NetUSE AG! 8

9 6. Tabellenverzeichnis 6. Tabellenverzeichnis Tabelle 1: Versionsübersicht Abbildungsverzeichnis 8. Literaturverzeichnis 9. Stichwortverzeichnis Weitergabe an Dritte nur mit Zustimmung der NetUSE AG! 9