Помещение учетных данных .k5login в ldap с помощью freeipa

В системах, которые я администрирую, помимо учетных записей пользователей, у нас есть ряд учетных записей, связанных с ролями, программным обеспечением и конкретными данными.

С помощью .k5логин файл в домашних каталогах, можно использовать ssh для подключения к другому компьютеру от имени другого пользователя. С помощью freeipa можно добавить правила sudo, чтобы члены определенной группы могли перейти на учетную запись с определенной ролью. Но я хотел бы включить те же функции непосредственно с помощью ssh. Во многих случаях это более удобно, особенно когда речь идет о таких вещах, как переадресация X. Возможно ли иметь данные, которые в противном случае находятся в .k5логин файлы хранятся непосредственно в LDAP через freeipa?

Я также был бы открыт для других возможных решений, таких как составление авторизованных_ключей SSH (которые, по-видимому, находятся в LDAP) из открытых ключей пользователей, которым разрешен доступ.

Он нигде не реализован, поэтому недоступен. Однако я бы рекомендовал не использовать этот подход. Помимо удобства, вы потеряете аудит выполненных действий. Использование правил sudo все равно позволит вам сохранить доступ к пересылке X (это в значительной степени доступ к сокету для чего-то, что рекламируется через переменную среды). Однако вы получаете набор проверенных событий для такого доступа.

С SSSD в Fedora 35+ или RHEL 8.5+ вы также получаете PAM-модуль pam_sss_gss.so, который позволяет аутентифицироваться в службах PAM с уже имеющимися у вас билетами Kerberos, так что это может улучшить его работу в случае, если у вас нет паролей, но вы используете PKINIT. (смарт-карты) вместо этого.

Короче говоря, несмотря на то, что реализация группового доступа к SSH-ключам может показаться заманчивой, на мой взгляд, более важным является наличие аудита событий входа в систему и смены ролей.

Я не знаю, как поделиться .k5login с помощью ldap.

Однако можно вывести авторизованные_ключи как функциональность с использованием ldap. Если вы используете sssd, посмотрите sss_ssh_authorizedkeys команда (пакет sssd-common в AlmaLinux 8.5) и АвторизедКейсКомманд параметр sshd_config.

Для простой функциональности ldap взгляните на ssh-ldap-помощник программа.Это часть пакета openssh-ldap (тот же дистрибутив).