Astra Linux Directory в Astra Linux Special Edition версии 1.2

Общая информация

Служба Astra Linux Directory (ALD) представляет собой систему управления единым пространством пользователей (ЕПП). ALD является надстройкой над технологиями LDAP, Kerberos 5, CIFS и обеспечивает автоматическую настройку всех необходимых файлов конфигурации служб, реализующих перечисленные технологии, а так же предоставляет интерфейс управления и администрирования. Все необходимые компоненты службы ALD входят в состав следующих основных пакетов:–

• ald-client — клиентская часть ALD. Содержит

...

• инструмент настройки клиентского компьютера ald-client и

...

• инструмент обновления пользовательских билетов -renew-tickets. Пакет должен

...

• быть установлен на все клиентские компьютеры, входящие в ЕПП

...

• .

...

• ald-admin — содержит

...

• инструмент ald-admin и

...

• инструмент администрирования базы данных (БД) ALD. Пакет должен

...

• быть установлен на все компьютеры, с которых будет осуществляться администрирование БД ALD. При установке данного пакета также устанавливается клиентская часть

...

• ALD.

...

• ald-server — серверная часть ALD. Содержит

...

• инструмент настройки сервера ald-init. Пакет должен

...

• быть установлен на сервер домена ALD. При установке данного пакета также устанавливается пакет ald-admin и, соответственно, клиентская часть.

Все В руководстве man подробно описаны все возможности указанных утилит подробно описаны в руководстве man.

Для поддержки централизации хранения атрибутов системы защиты информации (СЗИ) в распределенной сетевой среде предназначены дополнительные пакеты ALD, первая часть наименования которых соответствует одному из основных пакетов:–

• ald-client-parsec — расширение, необходимое клиентской части ALD

...

• .
• ald-admin-parsec — расширение

...

• инструментов администрирования БД ALD

...

• .

...

• ald-server-parsec — расширение, необходимое для организации хранения атрибутов СЗИ на сервере ALD

...

• .

Без установки пакетов расширения совместно с соответствующими основными пакетами невозможна централизация хранения атрибутов СЗИ в распределенной сетевой среде, что может привести к невозможности входа пользователей в систему. В

Также в состав ОС входит графическая утилита fly-admin-ald, которая позволяет администратору произвести управление позволяющая администратору производить настройку ЕПП в графическом режиме (см. электронную справку).

Настройка

Настройка всех компонентов ALD осуществляется автоматически утилитами конфигурирования. Настройки соответствующими инструментами. Параметры настройки сервера и клиентов ALD содержатся в конфигурационном файле /etc/ald/ald.conf. После изменения данного файла необходимо выполнить команду commit-config для того, чтобы изменения вступили в силу:

• На сервере:
  

  Command
  ald-init commit-config

...

• на клиентах:
  

  Command
  ald-client commit-config

...

Формат записей конфигурационного файла:

ИМЯ_ПАРАМЕТРА=значение # Комментарий

В файле для системы ALD задаются следующие параметры:–

• VERSION — для текущей версии должно быть установлено значение 1.3;

...

• DOMAIN — имя домена для сервера ALD. Должно быть задано в формате:
  .example.ru
  

...

• Если данный параметр меняется, то необходимо заново инициализировать сервер командой:
  ald-init init
  

...

• Для переименования домена можно также воспользоваться командами:
  ald-init backup-ldif
  ald-init restore-backup-ldif

...

...

• SERVER — полное имя серверного компьютера ALD.

...

• Пример:
  my-server.example.ru
• MINIMUM_UID

...

• — минимальное значение числового идентификатора пользователя ЕПП (UID). Пользователи с

...

• UID меньше данного считаются локальными и аутентифицируются через локальные файлы /etc/passwd и /etc/shadow.

...

• Для нормальной работы домена не

...

• допускается пересечение

...

• диапазонов локальных и глобальных пользователей и групп. Не рекомендуется задавать значение MINIMUM_UID меньше 1000

...

• .

...

• TICKET_MAX_LIFE=10h — максимальное время жизни билета Kerberos

...

• . Формат параметра: NNd (дни), или NNh (часы), или NNm (минуты).

...

• При входе в домен пользователь получает билет. При выходе из домена билет уничтожается. Если билет не обновлять, то после истечения срока действия билета пользователь потеряет доступ к своему домашнему каталогу. Чтобы восстановить доступ, ему придется выполнить команду kinit или

...

• войти в систему заново. Чтобы доступ не был потерян, билет следует периодически обновлять (до истечения срока действия).

...

• Например, настроить автоматическое обновление можно с помощью утилиты ald-renew-ticket.

...

• Для удобства можно настроить данный параметр на большое количество времени, например 30d. Но это менее безопасно

...

• .

...

• ICKET_MAX_RENEWABLE_LIFE=7d — максимальное обновляемое время жизни билета Kerberos. Формат параметра: NNd (дни), или NNh (часы), или NNm (минуты).

...

• По истечении данного срока билет не может быть обновлен. Данный параметр должен быть больше, чем параметр TICKET_MAX_LIFE.


  Информация

...

• Для клиентских компьютеров параметры TICKET_MAX_LIFE и TICKET_MAX_RENEWABLE_LIFE определяются как наименьшие значения этих параметров, заданных в файлах ald.conf на сервере и на клиентском компьютере;

...

• NETWORK_FS_TYPE — определяет, какая сетевая ФС будет использоваться для глобальных пользовательских домашних каталогов. Возможные значения:

  ...

  • • none — сетевая ФС не используется. Работает только аутентификация глобальных пользователей. Используются локальные домашние каталоги пользователей.

  ...

  • • Следующие параметры, относящиеся к сетевой ФС, игнорируются

  ...

  • • .

  ...

  • • cifs — используется Samba/CIFS

  ...

  • • .

  ...

  • SERVER_EXPORT_DIR — (только для сервера). Задает абсолютный путь к каталогу на сервере, где будет располагаться хранилище домашних каталогов. Данный каталог будет экспортирован по Samba/CIFS

  ...

  • .

  ...

  • CLIENT_MOUNT_DIR — задает абсолютный путь к точке монтирования хранилища домашних каталогов на клиентских компьютерах

  ...

  • .

  ...

  • SERVER_FS_KRB_MODES — (только для сервера). Задает режимы экспорта сервера Samba/CIFS (перечисленные через запятую). Должен быть указан хотя бы один режим. Возможные режимы:

    ...

    • • krb5 — только Kerberos-аутентификация;

    ...

    • • krb5i — (integrity) аутентификация и проверка целостности (подпись) пакетов.

    ...

    • CLIENT_FS_KRB_MODE — задает Kerberos-режим монтирования на клиентском компьютере. Должен быть указан один из режимов: krb5 или krb5i

    ...

    • .

    ...

    • SERVER_

    ...

    • ON — включает/выключает сервер. Присвоенное значение может быть 0 или 1.

    ...

    • Если на клиентском компьютере SERVER_ON=0, это аналогично CLIENT_ON=0. Если на сервере SERVER_ON=0, то:

      ...

      • • домашние каталоги не экспортируются;

      ...

      • • разрешение имен по LDAP выключается в nsswitch.conf;

      ...

      • • все принципалы Kerberos деактивируются (allow_tickets=0); – службы LDAP, Samba, Kerberos, nss-ldapd останавливаются;

      ...

      • • служба nscd перезапускается;

      ...

      • CLIENT_ON — включает/выключает клиентскую часть ALD. Присвоенное значение может быть 0 или 1. Если CLIENT_ON=0, то:

        ...

        • • домашние каталоги не монтируются

        ...

        • • разрешение имен по LDAP выключается в nsswitch.conf

        ...

        • • служба nscd перезапускается.

        Пример файла /etc/ald/ald.conf:

        Блок кода
        VERSION=1.3

        ...

        DOMAIN=.example.ru

        ...

        SERVER=my-server.example.ru

        ...

        MINIMUM_UID=2500

        ...

        TICKET_MAX_LIFE=10h

        ...

        TICKET_MAX_RENEWABLE_LIFE=7d

        ...

        NETWORK_FS_TYPE=cifs

        ...

        SERVER_EXPORT_DIR=/ald_export_home

        ...

        CLIENT_MOUNT_DIR=/ald_home

        ...

        SERVER_FS_KRB_MODES=krb5,krb5i

        ...

        CLIENT_FS_KRB_MODE=krb5i

        ...

        SERVER_ON=1

        ...

        CLIENT_ON=1