Une recherche de réponses mais rien trouvé ici ...
Pour faire court: une organisation à but non lucratif a un besoin urgent de moderniser son infrastructure. La première chose est de trouver une alternative à la gestion des comptes utilisateurs sur un certain nombre d'hôtes Linux.
Nous avons 12 serveurs (physiques et virtuels) et environ 50 postes de travail. Nous avons 500 utilisateurs potentiels pour ces systèmes. La personne qui a construit et entretenu les systèmes au fil des ans a pris sa retraite. Il a écrit ses propres scripts pour tout gérer. Ça fonctionne encore. Rien à redire là-bas. Cependant, beaucoup de choses sont très manuelles et sujettes aux erreurs. Le code est en désordre et après les mises à jour, il doit souvent être modifié. Le pire, c'est qu'il y a peu ou pas de documents écrits. Il n'y a que quelques notes Lisez-moi et des notes aléatoires qui peuvent être pertinentes ou non. La maintenance est donc devenue une tâche difficile.
Actuellement, les comptes sont gérés via / etc / passwd sur chaque système. Les mises à jour sont distribuées via des scripts cron pour corriger les systèmes à mesure que des comptes sont ajoutés sur le serveur "principal". Certains utilisateurs doivent avoir accès à tous les systèmes (comme un compte administrateur système), d'autres ont besoin d'accéder à des serveurs partagés, tandis que d'autres peuvent avoir besoin d'accéder à des postes de travail ou seulement à un sous-ensemble de ceux-ci.
Existe-t-il un outil qui peut nous aider à gérer des comptes répondant aux exigences suivantes?
- De préférence open source (c'est-à-dire gratuit car le budget est TRÈS limité)
- grand public (c.-à-d. maintenu)
- a de préférence une intégration LDAP ou pourrait être fait pour s'interfacer avec le service LDAP ou AD pour l'authentification des utilisateurs (sera nécessaire dans un proche avenir pour intégrer les comptes avec d'autres bureaux)
- gestion des utilisateurs (ajout, expiration, suppression, verrouillage, etc.)
- permet de gérer à quels systèmes (ou groupe de systèmes) chaque utilisateur a accès - tous les utilisateurs ne sont pas autorisés sur tous les systèmes
- prise en charge des comptes d'utilisateurs pouvant avoir différents homedirs et montages disponibles selon le système auquel ils sont connectés . Par exemple
- sysadmin connecté au serveur "principal" a main: // home / sysadmin / as homedir et a tous les montages partagés
- sysadmin connecté aux postes de travail du personnel aurait nas: // user / s / sysadmin comme homedir (différent de ci-dessus) et un ensemble de montages potentiellement limité,
- un client connecté aurait son homedir à un endroit différent et aucune monture partagée.
- S'il existe une interface de gestion simple, ce serait génial.
- Et si cet outil est multi-plateforme (Linux / MacOS / * nix), ce sera un miracle!
J'ai cherché sur le Web et n'ai donc rien trouvé de convenable. Nous sommes ouverts à toutes suggestions. Je vous remercie.
EDIT: Cette question a été incorrectement marquée comme doublon. Le lien vers la réponse ne parle que d'avoir les mêmes homedirs sur tous les systèmes, alors que nous devons avoir différents homedirs en fonction de l'utilisateur du système actuellement connecté (MULTIPLE homedirs). De plus, l'accès ne doit être accordé qu'à certaines machines et non à l'ensemble du lot. Mods, veuillez comprendre toute l'étendue du problème au lieu de simplement le marquer comme doublon pour les points ...
Réponses:
FreeIPA est probablement ce que vous recherchez. C'est pour Linux ce qu'est Active Directory pour Windows. (Il peut également communiquer avec AD si vous avez un environnement hétérogène, mais ne doit pas être utilisé pour gérer directement les machines Windows. Utilisez AD pour cela.)
La documentation de Red Hat (ils l'appellent Gestion de l'identité) est très complète et facile à suivre, et devrait être principalement applicable même si vous n'utilisez pas de systèmes dérivés de Red Hat.
la source
Je suggérerais un bon consultant local pour évaluer les détails de votre situation ...
Vraiment.
Il peut y avoir d'autres exigences ou nuances commerciales que les personnes sur ce forum peuvent ne pas reconnaître ou être suffisamment investies pour être prises en compte. Une ressource dédiée est votre meilleur pari ... Sinon, nous vous envoyons simplement des recommandations de produits pour quelque chose qui est facilement hors de portée pour un simple Q&R.
Malgré cela, mon approche serait de tirer parti de Microsoft Active Directory et de lier les systèmes Linux à l'utilisation de SSSD ou LDAP. FreeIPA est très bien dans une maison entièrement Linux, mais même si vous dites "à but non lucratif", cela n'exclut pas nécessairement Windows. Vous allez rencontrer Active Directory quelque part le long du chemin. Vous voudrez peut-être augmenter cela avec des répertoires personnels montés automatiquement, mais les détails de qui est monté quand ou où ne sont pas clairs.
Même dans les environnements de cloud privé à 99% Linux que je construis maintenant, je compte toujours sur Active Directory pour faciliter la gestion et l'authentification centralisée. Les groupes et les autorisations d'accès sont faciles, la politique de mot de passe et le vieillissement du compte sont simples. Toutes les préoccupations concernant la maintenabilité, le partage de l'esprit et la compatibilité sont couvertes par la solution Microsoft. La réplication est intégrée, elle est bien documentée et il y a un peu de pérennité inhérente à la technologie.
Il manque cependant certains détails dans votre question initiale ...
la source
Le système actuel fonctionne mais est difficile à gérer. Je suppose qu'il y a aussi d'autres problèmes pour gérer ces serveurs si tout a été fait manuellement. Je prendrais une approche différente en ne remplaçant pas quelque chose qui fonctionne (gestion des utilisateurs) et en résolvant le problème d'administration des serveurs.
Je recommande d'utiliser quelque chose comme cfengine http://cfengine.com/community (édition gratuite là-bas) pour "moderniser" votre administration système, pas seulement la gestion des utilisateurs. C'est une bonne occasion de l'essayer, car votre système actuel fonctionne de manière similaire à l'utilisation de cfengine pour distribuer la configuration aux serveurs, dans votre cas le / etc / passwd. Ainsi, au lieu de les remplacer, vous migrez ces scripts vers cfengine. J'espère que l'impact serait très minime car vous utilisez toujours le même / etc / passwd.
Une fois que vous êtes à l'aise avec le cfengine, vous pouvez créer plus de recettes pour résoudre plus de problèmes comme avoir un tout nouveau système de gestion des utilisateurs et vous avez l'outil pour gérer la configuration sur les serveurs.
Pour vous aider à démarrer, j'ai trouvé ce lien http://explosive.net/opensource/cfpasswd/doc/cfengine.html qui montre comment distribuer / etc / passwd et les fichiers associés.
Même si vous vouliez remplacer le système de gestion des utilisateurs maintenant, vous avez toujours besoin d'un outil d'administration pour gérer ces serveurs. Il vaut mieux avoir un outil d'administration plus tôt que tard et reconfigurer votre gestion des utilisateurs sous un outil d'administration.
la source
Juste quelques petites choses à ajouter -
J'utilise Puppet dans mon déploiement - idée similaire à cfengine - http://puppetlabs.com
Cela pourrait également faire votre gestion des utilisateurs et la configuration générale / gestion du serveur.
Si vous vouliez essayer quelque chose d'aussi polyvalent que Samba, il pourrait avoir la possibilité de faire la gestion des répertoires avec une certaine configuration ainsi que la possibilité d'utiliser un backend LDAP pour la configuration. Samba 4 a beaucoup mûri et pourrait réellement fournir un environnement intégré avec Windows et Linux pour la gestion / authentification.
Samba fonctionne avec AD ou en remplacement de AD également.
Il y a aussi un produit appelé Centrify que j'ai vu il y a quelque temps. Je ne suis jamais allé trop loin avec ça, mais je pense qu'ils en ont aussi une version freeware / opensource. Si je me souviens, il avait un potentiel pour un environnement mixte, fournissant une gestion Windows et Linux, et éventuellement Mac.
J'appuie la suggestion d'un consultant. Ces déploiements peuvent devenir très compliqués à mettre en place très rapidement, mais faciles à entretenir une fois qu'ils sont documentés et configurés.
Bonne chance
la source