上下文
我想将一些 AD 用户限制到特定的脚本,限制他们可以在这台特定的机器上执行的操作。
因此,/bin/bash
我不会将他们与 连接起来(例如),而是想强制他们使用/path/to/my/script
。这些用户位于特定的 AD 组中。
其他人应该能够使用真正的 shell。
经典方式
如果这些用户是本地用户,我只需更改中的 shell 字段/etc/passwd
。
ssd 方式
有没有办法仅为该组的成员提供不同的 shell 值?
如果不是,你会怎么做?
答案1
实现此目标的一种方法是声明多个域,将第一个域限制为给定组的成员。
[sssd]
config_file_version = 2
services = nss, pam
domains=DOMAIN_GROUP1,DOMAIN_GROUP2,DOMAIN
[nss]
default_shell = /bin/bash
[domain/DOMAIN_GROUP1]
id_provider = ad
# Domain
ad_domain = domain.local
# Servers
ad_server = dc01.domain.local,dc02.domain.local,dc03.domain.local
# Restrict to group members
ldap_user_search_base = DC=domain,DC=local?subtree?(memberOf=CN=group1,OU=Groups,DC=domain,DC=local)
# Shell
override_shell = /shell/path/for/group1
# Homedir
override_homedir = /home/%u
[domain/DOMAIN_GROUP2]
id_provider = ad
# Domain
ad_domain = domain.local
# Servers
ad_server = dc01.domain.local,dc02.domain.local,dc03.domain.local
# Restrict to group members
ldap_user_search_base = DC=domain,DC=local?subtree?(memberOf=CN=group2,OU=Groups,DC=domain,DC=local)
# Shell
override_shell = /shell/path/for/group2
# Homedir
override_homedir = /home/%u
[domain/DOMAIN]
id_provider = ad
# Domain
ad_domain = domain.local
# Servers
ad_server = dc01.domain.local,dc02.domain.local,dc03.domain.local
# Homedir
override_homedir = /home/%u
group1
使用会员,使用/shell/path/for/group1
会员,所有其他用户使用group2
/shell/path/for/group2
DOMAIN
/bin/bash
缺点是如果用户是两个组的成员:它将始终属于第一个“域”DOMAIN_GROUP1。
编辑:使用ldap_user_search_base
而不是已弃用的ldap_user_search_filter
。它应该可以在较新版本的 sssd 上运行。
答案2
您可能无法对组执行此操作,但您可以更改 AD 中 SSSD 的每个用户的 shell。使用 ADSI Edit 进入实际的对象属性并更改用户的“loginShell”属性。或者,您可以考虑使用 Puppet 将类似 GPO 的东西带到 Linux 并在那里进行管理(但我不确定这是否可行)。