![设置 SSO:openldap、kerberos、nfs(truenas):](https://linux22.com/image/785979/%E8%AE%BE%E7%BD%AE%20SSO%EF%BC%9Aopenldap%E3%80%81kerberos%E3%80%81nfs%EF%BC%88truenas%EF%BC%89%EF%BC%9A.png)
目前,我能够使用 openldap ldap 服务器和 Truenas NFS 服务器(配置了 LDAP 访问)设置 SSO NFS 设置。ubuntu 客户端能够使用 pam-mount 挂载 nfs 主共享。目的是让每个 LDAP 用户使用 pam-ldap 和 nss-ldap 进行身份验证,然后挂载适当的 nfs 主共享。设置正在运行。
据我所知,有四种可能的方法。
方法 - 1:
a) 在 nfs-server 导出中使用 no_root_squash 和 sec=sys(这具有严重的安全隐患),并通过 ubuntu 客户端中的 pam_ldap 为每个使用 ldap 进行身份验证的用户挂载 /home。这将使 pam_mkdir 能够为新用户自动创建主文件夹,并根据权限设置访问其他用户主文件夹。
b) 但这似乎非常不安全,因为客户端可以伪造 uid/gid 来访问未经授权的共享,包括 root。但如果没有 no_root_squash,在 /home 中自动创建主文件夹似乎是不可能的。
方法 - 2
a) 在 nfs 导出中使用 sec=sys、root_squash。Nfs(truenas)服务器已配置 ldap 访问权限。不要挂载 /home。而是使用 pam_mount 或 autofs 仅挂载经过客户端身份验证的用户主文件夹。这是我当前的工作设置。但客户端仍然可以伪造 uid/gid 来获得未经授权的访问权限。但在这种情况下,自动创建主目录不起作用,必须手动完成。
方法 - 3
a) 在 nfs 导出中使用 sec=ldap 、root_squash。在 nfs 服务器中也设置 ldap_pam 身份验证。这种方法是否提供了额外的安全性?据我了解,nfs_client 为 nfs_server 提供了 uid/gid(也可能是伪造的),即使 nfs_server 使用这些信息查询 ldap 服务器,我也看不出可以提供安全性的任何方式。有人可以评论这种方法吗?我没有尝试过,因为我真的不明白它是如何工作的。
方法 - 4
a) 使用 kerberos。nfs_server 中的 sec=krb5。为 kerberos 设置 ldap_backend。使用带有 ldap 后端的 kerberos 对客户端用户进行身份验证。现在,一旦我们开始使用 kerberos 对用户进行身份验证,LDAP 的传统 userPassword 字段就变得毫无用处。因此,使用 ldap 进行身份验证的其他应用程序(如 gitea、gogs 等)无法进一步使用 ldap,因为 ldap 服务器中的 userPassword 字段与 kerberos 密钥存储字段不同步。使用此方法的正确方法是什么?这似乎是最好的方法,前提是它确实同步了传统 ldap 方法和 kerberos ldap 后端的密码。
方法 - 5
a) 仅使用 kerberos 来验证客户端机器和 nfs 服务器。使用传统的 ldap 身份验证来处理所有用途,包括登录/ssh 和其他应用程序(如 gogs 等)。这可能吗?
我的经验有限。请提供宝贵的建议。理想情况下,我希望使用 nfs home 共享的 SSO,并具有一定的安全性,并以 openldap 作为所有后端。如果可能的话,它应该尽可能无缝,就像不是 nfs 共享一样,如果权限允许,每个用户都可以访问其他用户文件夹。
一个能够提供合理安全性的更简单的解决方案就足够了。
-感谢 tachionic
答案1
a) 在 nfs 导出中使用 sec=ldap 、root_squash。在 nfs 服务器中也设置 ldap_pam 身份验证。这种方法是否提供了额外的安全性?据我了解,nfs_client 为 nfs_server 提供了 uid/gid(也可能是伪造的),即使 nfs_server 使用这些信息查询 ldap 服务器,我也看不出可以提供安全性的任何方式。有人可以评论这种方法吗?我没有尝试过,因为我真的不明白它是如何工作的。
事实并非如此,因为 NFS 根本不使用 PAM。
NFS(特别是 v4)可能涉及 LDAP 进行用户⇆uid 查找,因为它在 stat() 结果中通过网络发送用户名,但这 a) 对 sec=sys 没有影响,并且 b) 不是通过 PAM 完成的。
a) 在 nfs 导出中使用 sec=ldap 、root_squash。在 nfs 服务器中也设置 ldap_pam 身份验证。这种方法是否提供了额外的安全性?据我了解,nfs_client 为 nfs_server 提供了 uid/gid(也可能是伪造的),即使 nfs_server 使用这些信息查询 ldap 服务器,我也看不出可以提供安全性的任何方式。有人可以评论这种方法吗?我没有尝试过,因为我真的不明白它是如何工作的。
sec=ldap 不存在。(如果存在,则应该是 sec=password 而不是 sec=ldap,就像 SSH 没有“ldap”身份验证机制一样,因为客户端和服务器之间没有传输任何与 LDAP 相关的内容。但是,NFS 没有任何首先基于密码的身份验证机制。
a) 使用 kerberos。nfs_server 中的 sec=krb5。为 kerberos 设置 ldap_backend。使用带有 ldap 后端的 kerberos 对客户端用户进行身份验证。现在,一旦我们开始使用 kerberos 对用户进行身份验证,LDAP 的传统 userPassword 字段就变得毫无用处了。因此,使用 ldap 进行身份验证的其他应用程序(如 gitea、gogs 等)无法进一步使用 ldap,因为 ldap 服务器中的 userPassword 字段与 kerberos 密钥存储字段不同步。
对于 OpenLDAP,可以将 userPassword 字段设置{SASL}user@REALM
为对服务器上运行的 Cyrus 守护进程执行“简单绑定”的传递身份验证saslauthd
,该守护进程能够根据 Kerberos KDC(使用模式-a kerberos5
)验证密码。
请记住,Kerberos 无法根据 LDAP 服务器对用户进行身份验证;“LDAP 后端”纯粹用于 KDC 的数据存储。