Dans un grand réseau Linux uniquement, comment géreriez-vous l'authentification et la gestion des utilisateurs?


12

Après avoir travaillé avec Linux pendant des années dans de petits réseaux, j'ai commencé dans une entreprise qui gère de grands réseaux Windows. Je sais que vous pouvez bricoler un hôte linux sur un réseau Active Directory, mais existe-t-il une manière linux-y ordonnée de le gérer si vous n'avez pas à traiter avec des hôtes Windows. Purement hypothétique.

Réponses:


14

L'équivalent le plus proche d'Active Directory pour Linux est FreeIPA. FreeIPA est fabriqué par Redhat et fournit à la fois une authentification basée sur LDAP et Kerberos à un réseau Linux ...

FreeIPA est une solution intégrée de gestion des informations de sécurité combinant Linux (Fedora), 389 Directory Server, MIT Kerberos, NTP, DNS, Dogtag (Certificate System). Il se compose d'une interface Web et d'outils d'administration en ligne de commande.

Gardez à l'esprit que FreeIPA est en grande partie uniquement Redhat, et qu'il faudrait beaucoup de travail pour être opérationnel sur Debian / Ubuntu / peu importe ...

http://freeipa.org/page/Main_Page


Je pense que vous dites que le serveur Ubuntu FreeIPA serait un travail difficile? La configuration d'un client Ubuntu ne devrait pas être aussi difficile.
Pas maintenant

je n'aime pas le fait que ce soit une seule solution Redhat (faire confiance à l'affiche sur ce sujet, 0 expérience avec elle), mais c'est certainement la chose la plus proche d'une réponse à la question des parents.
ItsGC

@ItsGC Il s'agit de Redhat uniquement du côté serveur IPA / Ldap.
Pas maintenant

@NotNow Sur un client, c'est plus facile avec Redhat car il y a une commande qui configure tout, de LDAP à NTP en une seule étape ... Cette commande n'existe pas sur Ubuntu (AFAIK), et donc vous devrez tout faire vous-même à partir de zéro ...
Soviero

Pour toute personne intéressée, il existe ce package dans Ubuntu 12.04 LTS: packages.ubuntu.com/precise/freeipa-client
Soviero

4

LDAP est un protocole d'application permettant d'accéder aux services d'information d'annuaire distribués et de les gérer sur un réseau IP (Internet Protocol).

Les services d'annuaire peuvent fournir tout ensemble organisé d'enregistrements, souvent avec une structure hiérarchique, comme un annuaire de messagerie d'entreprise. De même, un annuaire téléphonique est une liste d'abonnés avec une adresse et un numéro de téléphone.


LDAP fait également partie intégrante d'Active Directory.
Sven

1
Les gars, je ne pense pas qu'il ait demandé ce qu'était LDAP ...
Ryan Ries

2
LDAP est la réponse à la question. J'ai simplement fourni des informations supplémentaires sur LDAP pour mieux illustrer cela.
Daemon of Chaos

Ce n'était pas la réponse, je cherchais une réponse plus pratique, quel matériel et logiciel utiliseriez-vous.
Keith Loughnane

Cela aurait dû être précisé dans votre question.
Daemon of Chaos

0

J'ai vu de grands réseaux de plus d'un millier de serveurs Linux sans authentification ou gestion centralisée des utilisateurs. Chaque serveur unique n'avait que des comptes locaux qui devaient tous être gérés individuellement.

Cela me fait grincer des dents. Quelque chose comme Puppet peut probablement aider dans ce département de synchronisation des comptes entre les systèmes, mais cela ne vous aidera pas à joindre les hôtes à un domaine AD.

Je ne pense pas que votre question concerne un équivalent Active Directory pour Linux, tel que FreeIPA. Je pense que votre question concerne l'intégration des hôtes Linux dans un Microsoft Active Directory existant de sorte que vos machines Windows et Linux soient toutes mélangées dans le même répertoire.

Vous savez déjà, comme vous l'avez dit, que les hôtes Linux peuvent être "bricolés". Je suis d'accord avec cette métaphore, car c'est un processus compliqué à mon avis.

Ensuite, il existe également des solutions professionnelles telles que PowerBroker (anciennement Liklike) qui est installable sur vos hôtes Linux et rend leur connexion à un domaine AD beaucoup plus fiable. Il intègre même certaines capacités de stratégie de groupe.

Je pense que vous verrez probablement quelque chose comme ça dans une grande entreprise qui veut joindre ses machines Linux à un domaine Windows.


1
Titre: Dans un grand réseau Linux uniquement, comment géreriez-vous l'authentification et la gestion des utilisateurs? Dans la question: purement hypothétique. Il a décrit une situation réelle qui a déclenché sa réflexion sur une situation hypotétique. Il voulait vraiment dire "comment gérer de nombreux hôtes Unix de la même manière que vous géreriez de nombreux hôtes Windows avec AD"?
ItsGC

2
Je prends mon ballon et rentre chez moi! : `(
Ryan Ries

2
/étreinte. voici un cookie.
ItsGC

"si vous n'aviez pas à faire face à des hôtes Windows" Merci quand même Ryan. Je me demandais vraiment s'il y avait une meilleure façon native Linux de gérer au moins les comptes et la sécurité.
Keith Loughnane

Il y a; voir ma réponse et les suggestions sur LDAP.
MadHatter

0

Je recommanderais OpenLDAP + Kerberos ( MIT ou Heimdal ). Cela implique de mettre les mains un peu plus sales que vous ne le feriez avec un produit comme FreeIPA, mais en termes de performances, vous ne pouvez pas battre OpenLDAP.

Ce lien est vraiment ancien, mais il met en évidence certaines des différences de performances entre OpenLDAP et le serveur d'annuaire 389 (inclus dans FreeIPA):

Quelques chiffres: Fedora Directory Server vs OpenLDAP

Bien sûr, je suis sûr que les deux produits se sont améliorés depuis. Je sais que les chiffres d'OpenLDAP sont bien meilleurs, en particulier avec le nouveau backend mdb mappé en mémoire .


Un article si vieux que vous deviez utiliser la Wayback Machine? Article bien écrit, mais les chiffres à ce stade devraient être considérés comme anecdotiques.
Aaron Copley

0

Si je n'étais pas dans un environnement particulièrement soucieux de la sécurité, j'utiliserais NIS . Il est léger, fonctionne sur de nombreux Unices, résout bien les pannes de serveur (c'est-à-dire que chaque client est configuré pour utiliser plusieurs serveurs NIS ou peut trouver plusieurs serveurs par diffusion, il est robuste contre la panne du serveur actuellement lié), et a été utilisé pendant des années (comme dans, je me souviens avoir configuré les serveurs NIS en 1991), donc ses particularités sont assez bien comprises.

En utilisant notre site, vous reconnaissez avoir lu et compris notre politique liée aux cookies et notre politique de confidentialité.
Licensed under cc by-sa 3.0 with attribution required.