A procurou respostas, mas não encontrou nada aqui ...
Para encurtar a história: uma organização sem fins lucrativos precisa urgentemente de modernizar sua infraestrutura. A primeira coisa é encontrar alternativas para gerenciar contas de usuário em vários hosts Linux.
Temos 12 servidores (físicos e virtuais) e cerca de 50 estações de trabalho. Temos 500 usuários em potencial para esses sistemas. O indivíduo que construiu e manteve os sistemas ao longo dos anos se aposentou. Ele escreveu seus próprios scripts para gerenciar tudo. Ainda funciona. Não há queixas. No entanto, muitas coisas são muito manuais e propensas a erros. O código está confuso e, após as atualizações, muitas vezes precisa ser ajustado. A pior parte é que há pouco ou nenhum documento escrito. Existem apenas algumas notas Leia-me e aleatórias que podem ou não ser mais relevantes. Portanto, a manutenção se tornou uma tarefa difícil.
Atualmente, as contas são gerenciadas via / etc / passwd em cada sistema. As atualizações são distribuídas por meio de scripts cron para corrigir os sistemas à medida que as contas são adicionadas no servidor "principal". Alguns usuários precisam ter acesso a todos os sistemas (como uma conta sysadmin), outros precisam acessar servidores compartilhados, enquanto outros podem precisar acessar estações de trabalho ou apenas um subconjunto delas.
Existe uma ferramenta que possa nos ajudar a gerenciar contas que atendam aos seguintes requisitos?
- De preferência código aberto (ou seja, gratuito, pois o orçamento é MUITO limitado)
- mainstream (ou seja, mantido)
- de preferência, possui integração LDAP ou pode ser feita para fazer interface com o serviço LDAP ou AD para autenticação do usuário (será necessário em um futuro próximo para integrar contas a outros escritórios)
- gerenciamento de usuários (adição, validade, remoção, bloqueio, etc.)
- permite gerenciar a quais sistemas (ou grupo de sistemas) cada usuário tem acesso - nem todos os usuários são permitidos em todos os sistemas
- suporte para contas de usuário que possam ter diferentes homedirs e montagens disponíveis, dependendo do sistema em que estão conectados . Por exemplo
- O sysadmin conectado ao servidor "main" possui main: // home / sysadmin / como homedir e possui todas as montagens compartilhadas
- O sysadmin conectado às estações de trabalho da equipe teria nas: // user / s / sysadmin como homedir (diferente da acima) e um conjunto potencialmente limitado de montagens,
- um cliente conectado teria seu homedir em local diferente e nenhuma montagem compartilhada.
- Se houver uma interface de gerenciamento fácil, isso seria incrível.
- E se essa ferramenta for multiplataforma (Linux / MacOS / * nix), isso será um milagre!
Eu pesquisei na web e, portanto, não encontrei nada adequado. Estamos abertos a sugestões. Obrigado.
EDIT: Esta pergunta foi incorretamente marcada como uma duplicata. O link para responder apenas fala sobre ter os mesmos proprietários em todos os sistemas, enquanto que precisamos ter proprietários diferentes com base em qual usuário do sistema está conectado no momento (MULTIPLE homedirs). Além disso, o acesso precisa ser concedido apenas a algumas máquinas e não a todo o lote. Mods, por favor, entenda toda a extensão do problema, em vez de apenas marcá-lo como duplicado por pontos ...
Respostas:
O FreeIPA é provavelmente o que você está procurando. É para o Linux o que o Active Directory é para o Windows. (Ele também pode conversar com o AD se você tiver um ambiente heterogêneo, mas não deve ser usado para gerenciar máquinas Windows diretamente. Use o AD para isso.)
A documentação da Red Hat (eles chamam de Gerenciamento de Identidade) é muito completa e fácil de seguir, e deve ser aplicada principalmente se você não estiver usando sistemas derivados da Red Hat.
fonte
Sugiro um bom consultor local para avaliar os detalhes da sua situação ...
Realmente.
Pode haver outros requisitos ou nuances de negócios que as pessoas deste fórum podem não reconhecer ou investir - o suficiente para considerar. Um recurso dedicado é sua melhor aposta ... Caso contrário, estamos apenas lançando recomendações de produtos para você, para algo que está facilmente fora do escopo para uma simples pergunta e resposta.
Apesar disso, minha abordagem seria aproveitar o Microsoft Active Directory e amarrar os sistemas Linux usando SSSD ou LDAP. O FreeIPA é bom em uma casa totalmente Linux, mas mesmo que você diga "sem fins lucrativos", isso não exclui necessariamente o Windows. Você encontrará o Active Directory em algum lugar ao longo do caminho. Você pode aumentar isso com diretórios pessoais montados automaticamente, mas as especificidades de quem é montado quando ou onde não são claras.
Mesmo nos ambientes de nuvem privada com 99% de Linux que eu construo agora, ainda confio no Active Directory para facilitar o gerenciamento e a autenticação centralizada. Os grupos e as permissões de acesso são fáceis, a política de senhas e o vencimento da conta são diretos. Quaisquer preocupações sobre manutenção, compartilhamento de mente e compatibilidade são cobertas pela solução da Microsoft. A replicação é incorporada, está bem documentada e há algumas provas de futuro inerentes à tecnologia.
No entanto, existem alguns detalhes ausentes da sua pergunta original ...
fonte
O sistema atual funciona, mas é difícil de gerenciar. Acho que também existem outros problemas para gerenciar esses servidores, se tudo foi feito manualmente. Eu adotaria uma abordagem diferente, não substituindo algo que funciona (gerenciamento de usuários) e resolvendo o problema de administração dos servidores.
Eu recomendo usar algo como cfengine http://cfengine.com/community (edição gratuita lá) para "modernizar" a administração do sistema, não apenas o gerenciamento de usuários. É uma boa oportunidade para experimentá-lo porque seu sistema atual funciona como usar o cfengine para distribuir a configuração para os servidores, no seu caso, o / etc / passwd. Portanto, em vez de substituir, você migra esses scripts para cfengine. Espero que o impacto seja muito mínimo, porque você ainda está usando o mesmo / etc / passwd.
Quando estiver familiarizado com o cfengine, você poderá criar mais receitas para resolver mais problemas, como ter um sistema de gerenciamento de usuários completamente novo e ter a ferramenta para gerenciar a configuração nos servidores.
Para ajudar você a começar, encontrei este link http://explosive.net/opensource/cfpasswd/doc/cfengine.html que mostra como distribuir o arquivo / etc / passwd e arquivos relacionados.
Mesmo se você quiser substituir o sistema de gerenciamento de usuários agora, ainda precisará de uma ferramenta de administração para gerenciar esses servidores. É melhor ter a ferramenta de administração mais cedo ou mais tarde e reconfigurar o gerenciamento de usuários em uma ferramenta de administração.
fonte
Apenas algumas coisas rápidas para adicionar -
Eu tenho usado o Puppet em minha implantação - idéia semelhante ao cfengine - http://puppetlabs.com
Isso também pode fazer o gerenciamento de usuários e a configuração geral / gerenciamento de servidores.
Se você quiser experimentar algo tão versátil quanto o Samba, poderá haver a possibilidade de gerenciar os diretórios com alguma configuração, bem como a possibilidade de usar um back-end LDAP para configuração. O Samba 4 amadureceu bastante e poderia realmente fornecer um ambiente integrado ao Windows e Linux para gerenciamento / autenticação.
O Samba trabalha com o AD ou também como um substituto para o AD.
Há também um produto chamado Centrify, que eu olhei há algum tempo. Eu nunca fui muito longe com isso, mas acredito que eles também têm uma versão freeware / opensource. Se bem me lembro, tinha potencial para um ambiente misto, fornecendo gerenciamento de Windows e Linux e possivelmente Mac.
Eu secundaria a sugestão de um consultor. Essas implantações podem ser muito complicadas de instalar, com rapidez, mas são fáceis de manter, uma vez documentadas e configuradas.
Best of Luck
fonte