Size: a a a

2020 January 04

AS

Aleksey Shirokikh in DevOps
Sergey Pechenko
reOpenLDAP - сервер, тут всё очевидно.
nslcd - локальный демон, который ходит в LDAP, а уже к нему обращается pam_ldap.
phpLDAPAdmin - веб-интерфейс, который несложно (без PHP!) конфигурится под сущности, группы и т.д. именно твоего бизнес-процесса.

На клиенте ставишь только nss_pam_ldapd + его конфиг.
На сервере[-ах] - reOpenLDAP, веб - по необходимости.

Содержимое сервера можно бэкапить и провизить текстовыми LDIF-файлами (=здравствуй, git!)
Структура дерева - такая, какую захочешь (ну или минимизирующая поиск).
HA поддерживается «искаропки» (то бишь просто два сервера прописываешь в конфиге, fallback на стороне клиента работает норм).

Сложно? Зависит от навыков, умений и желания понимать, что конкретно происходит в каждом компоненте. Однако затыков, подобных тому, что в sssd, я не видел.

Но, справделивости ради, нужно поправить idle-таймаут на клиенте: по умолчанию там вроде большой был -> сама система отрубает соединение через два часа, и эта ситуация толком не обрабатывается.
Скринсейвер на ноутбуке не в офисе без сети?
источник

SP

Sergey Pechenko in DevOps
Aleksey Shirokikh
Скринсейвер на ноутбуке не в офисе без сети?
?
источник

N

Navern in DevOps
Sergey Pechenko
reOpenLDAP - сервер, тут всё очевидно.
nslcd - локальный демон, который ходит в LDAP, а уже к нему обращается pam_ldap.
phpLDAPAdmin - веб-интерфейс, который несложно (без PHP!) конфигурится под сущности, группы и т.д. именно твоего бизнес-процесса.

На клиенте ставишь только nss_pam_ldapd + его конфиг.
На сервере[-ах] - reOpenLDAP, веб - по необходимости.

Содержимое сервера можно бэкапить и провизить текстовыми LDIF-файлами (=здравствуй, git!)
Структура дерева - такая, какую захочешь (ну или минимизирующая поиск).
HA поддерживается «искаропки» (то бишь просто два сервера прописываешь в конфиге, fallback на стороне клиента работает норм).

Сложно? Зависит от навыков, умений и желания понимать, что конкретно происходит в каждом компоненте. Однако затыков, подобных тому, что в sssd, я не видел.

Но, справделивости ради, нужно поправить idle-таймаут на клиенте: по умолчанию там вроде большой был -> сама система отрубает соединение через два часа, и эта ситуация толком не обрабатывается.
Ты это предлагаешь автору вопроса выше делать?)
источник

N

Navern in DevOps
А вместо докера заюзатт systemd-nspawn
источник

DK

Dmitry K. in DevOps
Navern
А вместо докера заюзатт systemd-nspawn
недостаточно гибко
источник

DK

Dmitry K. in DevOps
cgcreate/unshare
источник

DK

Dmitry K. in DevOps
а то нерасширяемо
источник

A

Alexander in DevOps
Ну дык нечего обработку одной очереди по нескольким тредам размазывать. Логично, что при конкурентной обработке данных порядок будет нарушаться.
источник

SP

Sergey Pechenko in DevOps
Alexander
Ну дык нечего обработку одной очереди по нескольким тредам размазывать. Логично, что при конкурентной обработке данных порядок будет нарушаться.
....но весь issue никто не читает!... 😊)))))
источник

A

Alexander in DevOps
Navern
По моему опыту freeipa решает класс задач с выдачей доступов, не могу сказать, чтт это очень ужасное решение.
Лично у меня главная претензия к фриипа в том, что это здоровенный и сложный набор кучи сервисов (навскидку 389ds, бэкенд, httpd, dogtag, bind9), конфигурируемый магическими скриптами на тысячи строк (которые трогают все: начиная от каталога и заканчивая конфигами бинда и httpd). При этом разработчики делиться тем, что там за магия внутри, не спешат.
В итоге, хоть и сетапится оно довольно задорно, но когда что-то сломается, ты будешь смотреть как баран на новые ворота и очень долго разбираться, что там в кишках не так.
У меня, например, есть личный инстанс фриипы, у которого так уж получилось, что протух серверный сертификат, выпущенный самой фриипой. В итоге, фриипа теперь недоступна, и перевыпустить серт я просто так не могу. Да, есть кое-какая инфа о том, как это сделать это руками, но методы, указанные там, не работают. Наверное, можно разобраться в тамошней магии, но это уж больно сильное колдунство для инсталляции "на поиграться". А на продакшене я бы такое словить очень не хотел.
источник

AS

Aleksey Shirokikh in DevOps
Скринсейвер требует пароль. Где он будет взят?
источник

A

Alexander in DevOps
Sergey Pechenko
Аргументы достаточно простые.
1. FreeIPA - нерасширяемое решение: ты не можешь взять и скоренько наваять удобный wizard по добавлению какой-то сущности, которая соответствует бизнес-процессам твоей организации.
2. FreeIPA создаёт совершенно отбитое дерево LDAP, и ты не можешь его произвольно взять и поменять.
3. sssd из комплекта - просто кусок говна, т.к периодически встаёт колом (и так уже лет 5, что ли, судя по issues), и тогда ты вообще ничего не можешь сделать с доменной учёткой, т.к. она аутентифиуируется посредством pam_sssd - только локальный пользователь, только ключи.
4. Kerberos там без вариантов - та ещё дрянь.

Выдача доступов (авторизация) на самом деле делается локально на каждой тачке через модули PAM. Только если ты используешь готовые блоки - получаешь польностью управляемую среду, а коробочное решение - оно "вещь в себе".
Sssd, кстати, имхо, не так уж и плох. На нашей инфре с тысячами хостов он ломается довольно редко (хотя раньше, да, были серьезные баги).
источник

SP

Sergey Pechenko in DevOps
Aleksey Shirokikh
Скринсейвер требует пароль. Где он будет взят?
Линукс + скринсейвер с паролем? O_o

vlock разлочивает консоль как обычно - по паролю УЗ, через PAM. Скринсейвер может вообще-то так же сделать.
источник

A

Alexander in DevOps
Sergey Pechenko
Линукс + скринсейвер с паролем? O_o

vlock разлочивает консоль как обычно - по паролю УЗ, через PAM. Скринсейвер может вообще-то так же сделать.
Тут намек на то, что проверка пароля делается, в конечном счете, через ldap bind. Который в случае ноута доступен не всегда.
источник

A

Alexander in DevOps
И, по хорошему, надо делать через керберос.
источник

AS

Aleksey Shirokikh in DevOps
Sergey Pechenko
Линукс + скринсейвер с паролем? O_o

vlock разлочивает консоль как обычно - по паролю УЗ, через PAM. Скринсейвер может вообще-то так же сделать.
Ноутбук у меня лет 5 как на Линуксе
источник

BG

Bogdan (SirEdvin) Gladyshev in DevOps
Sergey Pechenko
Линукс + скринсейвер с паролем? O_o

vlock разлочивает консоль как обычно - по паролю УЗ, через PAM. Скринсейвер может вообще-то так же сделать.
Сложно поверить, но уже 5 лет как работает это чудо. А вот сам с awesome wm + xscreensaver так и не завел, обходилось через переключение сессий
источник

ЕО

Евгений Омельченко in DevOps
Bogdan (SirEdvin) Gladyshev
Сложно поверить, но уже 5 лет как работает это чудо. А вот сам с awesome wm + xscreensaver так и не завел, обходилось через переключение сессий
Я воткнул xfce4-screensaver, с i3 норм работает
источник

BG

Bogdan (SirEdvin) Gladyshev in DevOps
На основное какого дистра? У меня раньше была убунта, а там был ssdm, который вместе с традиционными штуками не заводился человечески :(
источник

AS

Aleksey Shirokikh in DevOps
Линукс конечно Линукс. Но домена для него никакого нету.
источник