Administrator Linux (2)

[ Pobierz całość w formacie PDF ]
.Pola puste, nie wy-pe�nione, oznaczaj� wykorzystanie informacji dostarczonych przez serwer NIS.S� tu jednak dwa powa�ne zastrze�enia.Po pierwsze, opisana do tej pory konfigura-cja dzia�a tylko dla logowania, które nie wykorzystuje hase� shadow.Zawi�oSci ko-rzystania z hase� shadow w NIS-ie zostan� omówione w kolejnym podrozdziale.Podrugie, polecenia logowania nie s� jedynymi, które dostaj� si� do pliku passwd po-równaj polecenie ls, którego wci�� u�ywa wiele osób.W pe�nym listingu ls wySwie-tla nazwy symboliczne u�ytkownika i grupy, którzy s� w�aScicielami pliku.To zna-czy, �e w przypadku napotkania ka�dego uid i gid polecenie musi zada� zapytaniedo serwera NIS.Zapytanie NIS trwa nieco d�u�ej, ni� równowa�ne przeszukiwa-nie pliku lokalnego.Mo�e si� okaza�, �e umieszczenie w NIS-ie informacji z plikówpasswd i group znacznie zmniejsza wydajnoS� programów, które cz�sto korzystaj�z tych informacji.To jeszcze nie wszystko.Wyobrax sobie, co si� stanie, je�eli u�ytkownik zechcezmieni� has�o.Zwykle wywo�uje on polecenie passwd, które wczytuje nowe has�o iuaktualnia lokalny plik passwd.Jest to niemo�liwe w przypadku NIS-a, gdy� plik niejest nigdzie dost�pny lokalnie, a logowanie si� u�ytkowników do serwera NIS za ka-�dym razem, gdy chc� oni zmieni� has�o, nie jest tak�e dobrym rozwi�zaniem.Dla-tego NIS udost�pnia zast�pc� passwd polecenie yppasswd, które obs�uguje zmianhas�a w NIS-ie.Aby zmieni� has�o na serwerze, ��czy si� ono przez RPC z demonemyppasswdd na tym serwerze i przekazuje mu aktualne informacje o haSle.Zwykle in-staluje si� yppasswd, zamiast normalnego polecenia passwd, w nast�puj�cy sposób:# cd /bin# mv passwd passwd.old# ln yppasswd passwd242 Rozdzia� 13: System informacji sieciowejW tym samym czasie musisz zainstalowa� na serwerze program rpc.yppasswdd i uru-chomi� go ze skryptu sieciowego.Spowoduje to ukrycie przed u�ytkownikamiwi�kszoSci dzia�a� NIS-a.U�ywanie NIS-a z obs�ug� hase� shadowKorzystanie z NIS-a w po��czeniu z plikami hase� shadow jest nieco k�opotliwe.Naj-pierw z�e wiadomoSci: NIS podwa�a sens u�ywania hase� shadow.Schemat hase�shadow zosta� zaprojektowany po to, by zabroni� u�ytkownikom nie posiadaj�cymprawa roota dost�pu do zaszyfrowanej postaci hase�.U�ywanie NIS-a dowspó�dzielenia danych shadow powoduje koniecznoS� udost�pnienia zaszyfrowa-nych hase� osobom, które pods�uchuj� odpowiedzi serwera NIS w sieci.Rozwi�za-nie polegaj�ce na zmuszaniu ludzi do wyboru dobrych hase� jest zdecydowanielepsze, ni� próba u�ywania hase� shadow w Srodowisku NIS.Przyjrzyjmy si� szyb-ko, jak to zrobi�.W libc5nie ma prawdziwego rozwi�zania pozwalaj�cego na wspó�dzielenie danychshadow za pomoc� NIS-a.Jedynym sposobem na rozpowszechnianie informacjio u�ytkownikach i has�ach przez NIS jest u�ycie standardowych map passwd.*.Je�elimasz zainstalowane has�a typu shadow, najprostszym sposobem na ich rozsy�aniejest generowanie odpowiedniego pliku passwd na podstawie /etc/shadow za pomoc�narz�dzi takich, jak pwuncov, i tworzenie map NIS-a na podstawie uzyskanego pli-ku.OczywiScie wymySlono kilka zabiegów, które umo�liwiaj� u�ywanie hase� shadowi NIS-a w tym samym czasie, jak na przyk�ad instalacja pliku /etc/shadow na ka�dymhoScie w sieci i dystrybuowanie informacji o u�ytkownikach przez NIS-a.Jednak tasztuczka jest naprawd� prymitywna i w zasadzie zaprzecza istocie NIS-a, który mau�atwia� administrowanie systemem.Obs�uga NIS-a w bibliotece GNU libc (libc6) uwzgl�dnia has�a typu shadow.Nie za-pewnia �adnego rozwi�zania, które udost�pnia�oby has�a, ale upraszcza zarz�dza-nie has�ami w Srodowiskach, w których chcesz u�ywa� i NIS-a, i hase� shadow.Abyto zrobi�, musisz stworzy� baz� danych shadow.byname i doda� poni�szy wiersz doswojego pliku /etc/nsswitch.conf:# Obs�uga hase� typu shadowshadow: compatJeSli u�ywasz hase� shadow wraz z NIS-em, musisz przestrzega� pewnej zasadybezpiecze�stwa i ograniczy� dost�p do bazy danych NIS.Przypomnij sobie podroz-dzia� Bezpiecze�stwo serwera NIS z tego rozdzia�u.14Sieciowy systemplikówRozdzia� 14: Sieciowy system plikówSieciowy system plików (Network File System NFS) jest prawdopodobnie najbardziejznan� us�ug� opart� na RPC.Pozwala ona na dost�p do plików znajduj�cych si� nahoScie zdalnym dok�adnie w taki sam sposób, w jaki masz dost�p do plików lokal-nych.Taki dost�p sta� si� mo�liwy dzi�ki po��czeniu procedur obs�ugi w j�drze i de-monów przestrzeni u�ytkownika po stronie klienta z serwerem NFS po stronie ser-wera.Jest on zupe�nie przezroczysty dla klienta i dzia�a pomi�dzy ró�nymi architek-turami serwera i hosta.NFS oferuje szereg przydatnych funkcji:� Dane wykorzystywane przez wszystkich u�ytkowników mog� by� przechowywa-ne na centralnym hoScie, którego katalogi klienty montuj� w czasie uruchamiania.Na przyk�ad mo�esz przechowywa� wszystkie konta u�ytkowników na jednymhoScie, z którego b�dziesz montowa� katalog /home na wszystkich pozosta�ych.Je-�eli NFS jest zainstalowany wraz z NIS-em, u�ytkownicy mog� logowa� si� dodowolnego systemu i wci�� pracowa� na jednym zestawie plików.� Dane zajmuj�ce du�o miejsca na dysku mog� by� przechowywane na jednymhoScie.Na przyk�ad wszystkie pliki i programy zwi�zane z LaTeX-em i META-FONT-em mog� by� przechowywane i zarz�dzane w jednym miejscu.� Dane administracyjne mog� by� przechowywane na osobnym hoScie.Nie ma po-trzeby u�ywania rcp do instalacji tego samego g�upiego pliku na dwudziestu ró�-nych komputerach.Konfigurowanie podstawowych operacji NFS po stronie klienta i serwera nie jesttrudne.Omawia to ten rozdzia�.NFS dla Linuksa to g�ównie zas�uga Ricka Sladkeya*, który napisa� kod NFS-a dlaj�dra i du�� cz�S� serwera NFS.Ten ostatni zosta� opracowany na podstawie serwe-* Z Rickiem mo�esz skontaktowa� si� pod adresem jrs@world.std.com.244 Rozdzia� 14: Sieciowy system plikówra unfsd, którego autorem jest Mark Shand, i na podstawie serwera NFS hnfs, napi-sanego przez Donalda Beckera.Przyjrzyjmy si�, jak dzia�a NFS.Najpierw klient próbuje zamontowa� katalog z ho-sta zdalnego w katalogu lokalnym, tak jakby montowa� fizyczne urz�dzenie.Jednaksk�adnia u�ywana do okreSlenia zdalnego katalogu jest inna.Na przyk�ad, aby za-montowa� /home z hosta vlager w katalogu /user na hoScie vale, administrator wyda-je nast�puj�ce polecenie na hoScie vale*:# mount -t nfs vlager:/home /usersmount podejmie prób� skomunikowania si� przez RPC z demonem rpc.mountddzia�aj�cym na hoScie vlager.Serwer sprawdzi, czy vale ma prawo zamontowa濹dany katalog.Je�eli tak, zwróci uchwyt pliku.Ten uchwyt b�dzie u�ywany wewszystkich kolejnych odwo�aniach do plików w katalogu /users.Gdy ktoS dostaje si� do pliku przez NFS, j�dro wysy�a wywo�anie RPC do rpc.nfsd(demona NFS) na maszynie serwera.To wywo�anie w parametrach zawiera uchwytpliku, nazw� pliku, do którego si� chcemy dosta�, i ID u�ytkownika oraz grupy tego,kto chce si� dosta�.S� one wykorzystywane przy ustalaniu praw dost�pu do zada-nego pliku [ Pobierz całość w formacie PDF ]

Podobne