Статья не для публикации.

Обновление 2020-0826

*** pam_mac.c.old       2020-08-12 15:56:29.411358560 +0300
--- pam_mac.c   2020-08-18 17:06:54.619453502 +0300
--- 1526,1549 ----
        }
  
        /* bind cuurent session's dir to home*/
+ 
+     T("Setting intermediate mac label");
+     PDPL_T *bind_mac_set=pdpl_dup(md->label);
+     if( !bind_mac_set)
+             T("Session label is NULL");
+     else {
+         pdpl_set_ilev(bind_mac_set,pdp_get_max_ilev());
+         if( pdp_set_current( bind_mac_set))
+             T("Can not set mac");
+         pdpl_put(bind_mac_set);
+     }
        if( !(session_home=pdplugm_make_session_dir(homes_root,md->user,MACDIR,md->label,md->uid,md->gid,HOME_MODE)) )
        {
                L(pamh,LOG_ERR,"Error making home dir %m");
                return PAM_SYSTEM_ERR;
        }
  
!       T("Home dir is %s. Export environment variable MACDIR", session_home);
        if( set_env(pamh,ENV_MACDIR,session_home) ) return PAM_SYSTEM_ERR;
  
        if( bind_dir(session_home,md->home,0,md) )
*

Описание стенда

• Сервер FreeIPA + Samba. Порядок установки и настройки см. Samba + FreeIPA аутентификация пользователей Samba в Kerberos.
  В промышленной эксплуатации службу samba рекомендуется размещать на отдельном сервере. Порядок настройки отдельной службы на отдельном сервере см. также в статье Samba + FreeIPA аутентификация пользователей Samba в Kerberos.
  
  
• Параметры сервера FreeIPA + Samba, используемые далее:
  • имя сервера ipa0.ipadomain/ru;
  • администратор домена admin;
  • пользователь домена с возможностью входа с ненулевой меткой конфиденциальности - ipauser;
• Компьютер - клиент FreeIPA. Инструкцию по вводу компьютера в домен см. с статье FreeIPA.

Настройка сервера

client max protocol = NT1
use socket MAC label = YES

Создать конфигурации разделяемых ресурсов импортировать их в конфигурацию samba. Создаваемые ресурсы:

1. Ресурс для монтирования домашних каталогов при работе с нулевой меткой конфиденциальности - ресурс homes (стандарный ресурс samba);
2. Ресурс для монтирования домашний каталогов при работе с ненулевой меткой конфиденциальности. Имя ресурса может быть произвольным, в примере используется имя pdp_homes. Данный ресурс требуется только для ОС СН.

Конфигурации ресурсов сохраняются в файлах, далее импортируются в конфигурацию samba. Команды:

Эти же действия можно выполнить командами не используя файлы для сохранения данных, например:

Специальные настройки для ОС СН

Ресурс pdp_homes будет предоставлять для монтирования путь /home/.pdp/<имя_пользователя"> (параметр path = /home/.pdp/%U в конфигурации). Если такого каталога нет, то с помощью подключения через samba (т.е. действиями со стороны клиентской машины) создать его невозможно, поэтому на момент подключения пользователя пользовательский подкаталог должен быть уже создан. При этом:

1. каталог должен принадлежать пользователю;
2. только в ОС СН:
   1. это должен быть каталог с низким уровнем целостности, иначе запись в него из сетевого подключения будет невозможна.
   2. каталог должен иметь метку конфиденциальности не ниже максимально допустимой для пользователя;

Для пользователя ipauser:

Далее возможны два варианта:

1. Заранее создать в каталоге пользователя все возможные для него варианты домашних каталогов для всех допустимых сочетаний атрибутов конфиденциальности (неудобно, но безопасно). При этом, так как при входе в любую сессию независимо от её метки конфиденциальности Парсек проверяет и создаёт пользовательский каталог с нулевой меткой конфиденциальности, этот каталог также в обязательном порядке должен быть создан заранее:

   sudo mkdir /home/.pdp/ipauser/l0i0c0x0t0x0
   sudo chown ipauser:ipauser /home/.pdp/ipauser/l0i0c0x0t0x0
   sudo pdpl-file 0:0:0 /home/.pdp/ipauser/l0i0c0x0t0x0

2. Изменить настройки ОС, принятые по умолчанию, и использовать параметр ядра parsec.ccnr_relax, что позволит Парсеку, действуя от имени пользователя, самостоятельно создавать каталоги с нужными метками конфиденциальности (не превышающими метку конфиденциальности каталога пользователя) при сетевом подключении. Это более удобно, но несколько снижает защищённость системы.

Настройка клиента

Клиент должен быть введён в домен FreeIPA. Инструкцию по вводу компьютера в домен см. с статье FreeIPA.

Установка пакетов

Набор пакетов, необходимых для монтирования домашних каталогов можно командой:

Настройка модуля pam_mount

В конфигурации модуля pam_mount (файл /etc/security/pam_mount.conf.xml) задать параметры подключаемых сетевых ресурсов. Примеры конфигурации (только часть, непосредственно относящаяся к ресурсам):

<volume 
fstype="cifs"
server="ipa0.ipadomain.ru"
path="%(USER)"
mountpoint="/home/%(USER)"
options="user=%(USER),cruid=%(USER),nosharesock,sec=krb5,vers=1.0"
/>

<volume 
fstype="cifs"
server="ipa0.ipadomain.ru"
path="pdp_homes"
mountpoint="/home/.pdp/%(USER)"
options="user=%(USER),cruid=%(USER),uid=%(USERUID),gid=%(USERGID),nosharesock,sec=krb5,vers=1.0"
/>

Дополнительно разрешить использование применяемых параметров, например:

<mntoptions allow="nosuid,nodev,loop,encryption,fsck,nonempty,allow_root,allow_other,uid,gid,nosharesock,vers" />

Если не срабатывает автоматическое размонтирование каталогов при выходе из сессии, то использовать задержку размонтирования (wait, миллисекунды) или параметры hup="yes", term="yes" или  kill="yes" для передачи сигналов завершения "зависшим" процессам:

<logout wait="0" hup="no" term="no" kill="yes" />

Настройка pam-стека

Удалить (закомментировать) вызов модуля pam_mount из файла /etc/pam.d/common-session: