幻灯片 1

Size: px

Start display at page:

Download "幻灯片 1"

禺宰
5 years ago
Views:

2 车联网的统一身份认证系统演变过程许颖维运维总监

3 目彔选择需求分析如何实施演变历程总结

4 没有万能的系统统一认证 : 一个用户只有一个账号密码 ; 生效快捷 : 用户信息变更之后快速在所有服务器上生效 ; 最简场景 :ssh & scp;

5 选择开源商业 Google FaceBook Kerberos OpenLDAP. AD 堡垒机. 使用 OpenLDAP PPTV CNTV

6 商业与开源对比价格分布式架构模型授权模式操作回放其他功能

7 OpenLDAP 介绍 OpenLDAP Software is an open source implementation of the Lightweight Directory Access Protocol. How does LDAP work X.500 DB:BerKeley DB

8 分析 : 用户认证过程账号信息 : 用户 ID OpenLDAP Client 账号认证功能 : 用户通过将账号密码传输到服务器端进行验证 OpenLDAP 客户端, 用户密码用户账号 PAM 模块 pam 模块增加验证数据源的扩展, 不仅在本地 passwd/shadow 文件中进行验证, 还增加了到 OpenLDAP 源的验证 OU ID OU 账号 OpenLDAP Server OpenLDAP cluster

9 分析 : 用户提权过程提权功能用户通过个人账号登彔服务器之后, 可以使用 sudo 来进行提权权限定义权限定义分为默认权限和临时权限, 默认权限是在 OpenLDAP 中定义, 默认所有用户的权限都是 : sudo su - root

10 分析 : 用户使用过程

11 安装部署 (CentOS 5.8 ) Server Client openldap-devel-$version pam_ldap-$version openldap-$version nss-pam-ldapd-$version openldap-servers-$version openldap-$version openldap24-libs-$version openldap-clients-$version openldap-servers-sql-$version

12 客户端配置 (CentOS 5.8 ) Command: Authconfig-tui

13 客户端配置 ( 注意事项 ) ConfigureFile:/etc/ldap.conf

14 客户端配置 ( 注意事项 ) ConfigureFile:/etc/nsswitch.conf

15 客户端配置 ( 注意事项 ) ConfigureFile:/etc/sysconfig/authconfig

16 客户端配置 ( 注意事项 ) ConfigureFile:/etc/pam.d/system-auth

17 演变的开始 : 权限的精细化管理如何细化 : admin service Network observer personal sudo su - root sudo su oracle/mysql sudo su service sudo su Network-command sudo su read_only none

18 权限 : 精细化管理如何落地 : OpenLDAP Group People Sudoers Admin Service Observer 许颖维张三王五 Admin Service Observer Admin Gid Network Gid Observer GId sudo su - root sudo su service sudo su read_only

19 权限 : 精细化管理如何实现 :(UserInformation GroupInformation)

20 权限 : 精细化管理如何实现 :(SudoersInformation)

21 演变的继续 : 分布式管理 1. 主从关系 : 一主多从 2. 只读过程 : 保持不变 3. 读写过程 : 读写分离

22 演变的继续 : 分布式管理 Master : Slave:

23 演变的继续 : 分布式管理 Slurpd.replog

24 演变的继续 : 安全考虑加密 ( 原生支持 : 客户端与服务端的通讯 ) 证书制作过程建议使用泛域名 ; 服务器端启用 ( port:389 -> 636) 客户端启用

25 演变的继续 : 安全考虑防暴力破解 (OpenLDAP 原生不支持 ) 通过 PAM 模块 /etc/pam.d/sshd, 当登彔失败次数达到 5 次之后, 对该用户进行 Lock 操作, 时间为 600 秒 auth required pam_tally.so onerr=fail deny=5 unlock_time=600

26 再次继续 : 服务解耦剥离 OpenLDAP 服务故障对于平台的影响通过 nss_initgroups_ignoreusers 模块的定义 ; # /etc/ldap.conf nss_initgroups_ignoreusers root,ldap,named,avahi,haldaemon,tomcat,lbs,nagios,nginx,yanfa_ ro,zjxl_ops,oracle,sshd

27 需求推劢演变 : 对个人账号基于服务器的限制目的 : 项目组内用户管理涉及到的模块 : 模块 :ldapns.schema; 配置 :Host:HostName; 配置 :pam_check_host_attr 和 pam_filter nss_base_<map>

28 需求推劢演变 : 对个人账号基于服务器的限制

29 内部需求 : 高效管理

30 内部需求 : 高效管理用户将需求通过 WEB 页面持久化到 MySQL 内,PythonScript 通过 API 获取到需求, 幵生效到 OpenLDAP Server 内部, 幵将操作结果返回给 API, 幵持久化到 MySQL 内 WEB Server:Django + Python DB Server:MySQL API Server :Python API Python Script OpenLDAP Server

31 内部需求 : 高效安装软件选择 SaltStack 关注方向 Pkg manage Command Run File Manage 系统区分 CentOS 5 CentOS 6 CentOS 7 CentOS 5/6 CentOS 7 CentOS 5 CentOS 6 CentOS 7 NOTE: SERVICE: nscd or nslcd PKG: nss_ldap or nss-pam-ldapd FILE: /etc/sudo-ldap.conf or /etc/sudoers

32 总结 1. 账号管理方面账号信息管理 : 包括用户 ID 用户账号用户密码 OU 账号 (OpenLDAP 以 OU 命名, 区分角色组或者部门 ) OU_ID 等 ; 权限信息管理 : 根据用户权限需求不同, 定义每个归属的 OU 对应 sudoer 权限内容, 幵作为默认权限而各自的特殊权限只能在相应的服务器上的 sudoers 里面进行定义 ;

33 总结 2. 方案架构方面认证到服务器端进行验证 ; 主从同步实现 : 一主多从的架构, 实现多 IDC 之间的数据同步 ; 服务业务解耦 : 对业务归属账号进行忽略定义, 避免对业务的影响, 及加大 OpenLDAP 服务的的压力 ;

34 总结 3. 安全管理方面交互通讯加密 : 使用 openssl 对整个身份认证过程进行加密, 保障内部通讯的安全 ; 登录主机限制 : 实现对用户拥有登彔的设备进行限制, 便于管理需要 ; 防止暴力破解 : 定义密码失败次数限制, 及限制劢作的定义 ; 提权功能 : 用户必须通过个人账号登彔服务器, 幵使用 sudo 才能进行提权, 方便进行监控与管理 ;

35 总结 4. 高效管理 WEB 页面管理 : 简化操作难度, 增加工作效率 ; Salt 安装部署 : 简化操作难度, 增加工作效率 ;

36 DevOpsDays 即将首次登陆中国 DevOps 之父 Patrick Debois 与您相约 DevOpsDays 北京站 2017 年 3 月 18 日门票早鸟价仅限前 100 名, 请从速哟

37 想第一时间看到高效运维社区公众号的好文章吗? 请打开高效运维社区公众号, 点击右上角小人, 如右侧所示设置就好

38 Thanks 高效运维社区开放运维联盟荣誉出品

PU.seminar

PU.seminar RHEL4 LDAP 異 Chris Tsai 精逸練 RHCE RHCE RHCX NCLP TCSE 1 LDAP OpenLDAP OpenLDAP Outlook Express 錄 OpenLDAP Samba DC OpenLDAP Active Directory OpenLDAP Q & A 2 IP station201 RHEL4 _ 1 192.168.0.201/24 station202