Szukałem odpowiedzi, ale nic tu nie znalazłem ...
Krótko mówiąc: organizacja non-profit bardzo potrzebuje modernizacji swojej infrastruktury. Pierwszą rzeczą jest znalezienie alternatyw dla zarządzania kontami użytkowników na wielu hostach Linux.
Mamy 12 serwerów (fizycznych i wirtualnych) i około 50 stacji roboczych. Mamy 500 potencjalnych użytkowników tych systemów. Osoba, która budowała i utrzymywała systemy przez lata, przeszła na emeryturę. Napisał własne skrypty do zarządzania tym wszystkim. Wciąż działa. Brak skarg. Jednak wiele rzeczy jest bardzo ręcznych i podatnych na błędy. Kod jest nieuporządkowany i po aktualizacjach często trzeba go poprawić. Najgorsze jest to, że napisano niewiele dokumentów. Jest tylko kilka notatek ReadMe i losowych, które mogą już nie być istotne. Konserwacja stała się więc trudnym zadaniem.
Obecnie kontami zarządza się za pomocą / etc / passwd w każdym systemie. Aktualizacje są dystrybuowane za pomocą skryptów cron w celu korygowania systemów w miarę dodawania kont na „głównym” serwerze. Niektórzy użytkownicy muszą mieć dostęp do wszystkich systemów (takich jak konto sysadmin), inni potrzebują dostępu do współdzielonych serwerów, podczas gdy inni mogą potrzebować dostępu do stacji roboczych lub tylko ich części.
Czy istnieje narzędzie, które może nam pomóc w zarządzaniu kontami spełniającymi poniższe wymagania?
- Najlepiej oprogramowanie typu open source (tzn. Bezpłatne, ponieważ budżet jest bardzo ograniczony)
- główny nurt (tj. utrzymany)
- najlepiej ma integrację LDAP lub może być przystosowany do współpracy z usługą LDAP lub AD w celu uwierzytelnienia użytkownika (będzie potrzebny w najbliższej przyszłości do integracji kont z innymi biurami)
- zarządzanie użytkownikami (dodawanie, wygaśnięcie, usuwanie, blokowanie itp.)
- pozwala zarządzać, do których systemów (lub grup systemów) ma dostęp każdy użytkownik - nie wszyscy użytkownicy są dozwoleni we wszystkich systemach
- obsługa kont użytkowników, które mogą mieć różne katalogi główne i podłączenia dostępne w zależności od systemu, do którego są zalogowani . Na przykład
- sysadmin zalogowany na serwerze „main” ma main: // home / sysadmin / as homedir i ma wszystkie współużytkowane podłączenia
- sysadmin zalogowany na stacjach roboczych personelu miałby nas: // user / s / sysadmin jako homedir (inny niż wyżej) i potencjalnie ograniczony zestaw montowań,
- zalogowany klient miałby swój homedir w innej lokalizacji i nie miałby wspólnych montowań.
- Jeśli istnieje prosty interfejs zarządzania, byłby niesamowity.
- A jeśli to narzędzie jest wieloplatformowe (Linux / MacOS / * nix), to będzie cud!
Przeszukałem sieć i nie znalazłem nic odpowiedniego. Jesteśmy otwarci na wszelkie sugestie. Dziękuję Ci.
EDYCJA: To pytanie zostało niepoprawnie oznaczone jako duplikat. Link do odpowiedzi mówi tylko o posiadaniu tych samych homedirów na wszystkich systemach, podczas gdy musimy mieć różne homediry na podstawie tego, do którego użytkownika systemu jest aktualnie zalogowany (MULTIPLE homedirs). Dostęp należy przyznać tylko niektórym maszynom, a nie całej partii. Mody, proszę zrozumieć pełny zakres problemu zamiast po prostu oznaczać go jako duplikat punktów ...
Odpowiedzi:
FreeIPA jest prawdopodobnie tym, czego szukasz. Dla Linuksa to, czym jest Active Directory dla Windows. (Może także rozmawiać z AD, jeśli masz heterogeniczne środowisko, ale nie powinien być używany do bezpośredniego zarządzania komputerami z systemem Windows. Do tego użyj AD).
Dokumentacja Red Hata (nazywają to Zarządzanie Tożsamością) jest bardzo dokładna i łatwa do naśladowania i powinna mieć zastosowanie głównie, nawet jeśli nie korzystasz z systemów wywodzących się z Red Hata.
źródło
Proponuję dobrego lokalnego konsultanta, który oceni szczegóły twojej sytuacji ...
Naprawdę.
Mogą istnieć inne wymagania biznesowe lub niuanse, których ludzie na tym forum mogą nie rozpoznać lub zainwestować - na tyle, aby rozważyć. Specjalny zasób to najlepszy wybór ... W przeciwnym razie po prostu rzucamy ci rekomendacje dotyczące produktów, które łatwo wykraczają poza zakres prostych pytań i odpowiedzi.
Mimo to moim podejściem byłoby wykorzystanie Microsoft Active Directory i powiązanie systemów Linux przy użyciu SSSD lub LDAP. FreeIPA ma się dobrze w domu z systemem Linux, ale nawet jeśli mówisz „non-profit”, to niekoniecznie wyklucza Windows. Gdzieś na ścieżce napotkasz Active Directory . Być może warto to rozszerzyć o automatycznie montowane katalogi domowe, ale nie wiadomo, kto jest montowany, kiedy i gdzie.
Nawet w 99-procentowych środowiskach chmury prywatnej Linuksa, które teraz buduję, wciąż polegam na Active Directory dla łatwości zarządzania i scentralizowanego uwierzytelniania. Grupy i uprawnienia dostępu są łatwe, zasady haseł i starzenie się konta są proste. Wszelkie obawy dotyczące łatwości konserwacji, udostępniania i kompatybilności są objęte rozwiązaniem Microsoft. Replikacja jest wbudowana, dobrze udokumentowana, a technologia ma w sobie coś z przyszłości.
W twoim pierwotnym pytaniu brakuje jednak niektórych szczegółów ...
źródło
Obecny system działa, ale jest trudny do zarządzania. Sądzę, że istnieją również inne problemy z zarządzaniem tymi serwerami, jeśli wszystko zostało zrobione ręcznie. Przyjąłbym inne podejście, nie zastępując czegoś, co działa (zarządzanie użytkownikami) i nie rozwiązałem problemu administracyjnego serwerów.
Polecam użycie czegoś takiego jak cfengine http://cfengine.com/community (tam darmowa wersja), aby „zmodernizować” administrację systemu, a nie tylko zarządzanie użytkownikami. To dobra okazja do wypróbowania tego, ponieważ twój obecny system działa bardzo podobnie do używania cfengine do dystrybucji konfiguracji na serwery, w twoim przypadku / etc / passwd. Zamiast zastępować, migruj te skrypty do cfengine. Mamy nadzieję, że wpływ będzie bardzo minimalny, ponieważ nadal używasz tego samego pliku / etc / passwd.
Gdy poczujesz się komfortowo z cfengine, możesz zbudować więcej przepisów, aby rozwiązać więcej problemów, takich jak posiadanie zupełnie nowego systemu zarządzania użytkownikami i masz narzędzie do zarządzania konfiguracją na serwerach.
Aby pomóc Ci zacząć, znalazłem ten link http://explosive.net/opensource/cfpasswd/doc/cfengine.html, który pokazuje, jak rozpowszechniać / etc / passwd i powiązane pliki.
Nawet jeśli chcesz teraz zastąpić system zarządzania użytkownikami, nadal potrzebujesz narzędzia administracyjnego do zarządzania tymi serwerami. Lepiej mieć narzędzie administracyjne wcześniej niż później i ponownie skonfigurować zarządzanie użytkownikami w narzędziu administracyjnym.
źródło
Kilka krótkich rzeczy do dodania -
Używam Puppet w moim wdrożeniu - podobny pomysł do cfengine - http://puppetlabs.com
Może to również zrobić zarządzanie użytkownikami i ogólne zarządzanie konfiguracją / serwerem.
Jeśli chcesz wypróbować coś tak wszechstronnego jak Samba, może on mieć możliwość zarządzania katalogami z pewną konfiguracją, a także możliwość korzystania z zaplecza LDAP do konfiguracji. Samba 4 jest bardzo dojrzała i może zapewnić zintegrowane środowisko z systemami Windows i Linux do zarządzania / uwierzytelniania.
Samba działa również z AD lub jako zamiennik AD.
Jest też produkt o nazwie Centrify, na który patrzyłem jakiś czas temu. Nigdy nie posunąłem się za daleko, ale sądzę, że mają też wersję freeware / opensource. O ile pamiętam, miał potencjał dla mieszanego środowiska, zapewniającego zarządzanie Windows i Linux, a być może także Mac.
Poparłbym sugestię konsultanta. Wdrożenia te mogą być bardzo skomplikowane w konfiguracji bardzo szybko, ale łatwe do utrzymania po ich udokumentowaniu i skonfigurowaniu.
Powodzenia
źródło