[OpenLDAP] Niet alle users op alle servers - hoe?

[usr-local-dick]

Hoi

Ik beheer een netwerk met ca. 15 Linux servers, plus enkele Windows 2003 servers.
Er draaien diverse services (SSH, FTP, Samba, Postfix, Courier-IMAP, Microsoft PPTP vpn etc).
Iedere machine heeft lokale useraccounts. Dus als er nieuwe medewerkers komen is het feest want dan kan er samen met die nieuwe gebruiker 20 keer ingelogd worden om passworden in te kloppen.

Daarom willen we een OpenLDAP server gaan draaien.

Nu heb ik een test machine met OpenLDAP, en hierop een LDAP tree aangemaakt, met dc=domain,dc=org, hier zitten weer een ou=groups in en een ou=users.

Ik heb verschillende howto's doorgelezen en het is me gelukt om gebruikers van een andere machine te laten inloggen met user/group- data van de LDAP server. So far so good.

Ik kan nu deze opzet in gaan zetten op meerdere servers. Echter wat ik eigenlijk nog zou willen, is een mogelijkheid om per server in te stellen welke users welke service mogen gebruiken.

Dus bv niet alle users hoeven te kunnen inloggen met SSH, sommige juist wel met FTP, en andere weer niet met Samba.

Het mooiste zou een soort grid zijn waar users en services in staan:

	SrvA_SSH	SrvA_FTP	SrvA_Smb	SrvB_FTP	SrvC_SSH	SrvD_VPN
user 1	x	x	x		x
user 2		x	x	x	x
user 3		x

De vraag is hoe ik dit in mijn LDAP schema hang? Ik wil uiteraard geen duplicate user info, en zeker geen meerdere passworden

Alvast bednakt!!!

[alt-92]

Lijkt me een kwestie van de benodigde attributen in kaart brengen en deze aan de user hangen, waarna je de autorisatie op basis van de aanwezigheid van die attributen regelt?

Ik kan me eigenlijk niet voorstellen dat je zoiets niet zelf kan bedenken als je kijkt naar een andere bekende LDAP implementatie van één of andere software toko uit Redmond WA

[ Voor 34% gewijzigd door alt-92 op 18-02-2008 19:21 ]

[usr-local-dick]

alt-92 schreef op maandag 18 februari 2008 @ 19:19:
Lijkt me een kwestie van de benodigde attributen in kaart brengen en deze aan de user hangen, waarna je de autorisatie op basis van de aanwezigheid van die attributen regelt?

Ik kan me eigenlijk niet voorstellen dat je zoiets niet zelf kan bedenken als je kijkt naar een andere bekende LDAP implementatie van één of andere software toko uit Redmond WA

Dat had ik inderdaad zelf kunnen bedenken. Maar het lijkt me heel erg sterk dat ik de eerste ben die zich dit afvraagt - ik kan geen schema's of tools vinden waar dit mee kan.
Er moeten toch wel meer mensen zijn die zo'n opzet willen?
Moet iedereen dat zelf schema's gaan kloppen?

[Sendy]

Ik weet even niet meer wat LDAP schema's zijn, dus misschien maakt mijn verhaal geen zin.

Als je in /etc/pam.d/ kijkt zie je voor de verschillende applicaties de pam instellingen (tenminste in mijn Debian). Je hebt vast al met pam gespeeld om ldap aan de praat te krijgen. Je moet pam zo instellen dat er twee dingen zijn waaraan voldaan moet worden als je wil inloggen:
1) je moet een vlaggetje hebben "mag inloggen via de service", 2) je moet het de juiste credentials hebben.

Dit is een beetje theorie, want hoe het precies moet weet ik ook niet meer (ik ben ook van plan geweest dit te maken, maar dit is er nog niet van gekomen.)

[alt-92]

usr-local-dick schreef op dinsdag 19 februari 2008 @ 10:11:
Dat had ik inderdaad zelf kunnen bedenken. Maar het lijkt me heel erg sterk dat ik de eerste ben die zich dit afvraagt - ik kan geen schema's of tools vinden waar dit mee kan.

http://www.yolinux.com/TU...ObjectsAndAttributes.html

Er zitten basis-schema's in, en als je kijkt naar Active Directory of eDirectory wordt daar ook gebruik gemaakt van memberOf attributen.

Er moeten toch wel meer mensen zijn die zo'n opzet willen?
Moet iedereen dat zelf schema's gaan kloppen?

Mja, dat ligt er toch helemaal aan waar je je OpenLDAP directory voor wil gebruiken?
Ik zou gewoon eens spelen met het bovenstaande idee.

[Sendy]

Hoi, ben je hier nog mee bezig?