Kde se berou uživatelé a skupiny?

• getent(1) získává položky z datábazí "passwd", "group", "hosts" a dalších

  # getent passwd
  # getent group wheel
  

• každá taková databáze může být načítána z více zdrojů (více až hlouběji v semestru)
  z passwd(5) se vytvoří databáze pomocí pwd_mkdb(8) do binárního /etc/[s]pwd.db; případně se zkouší yp(8)

  # tail -n1 /etc/master.passwd
  +:*::::::::
  

  nsswitch.conf(5); format passwd(5) jako ↑ == compat (nejspis pochazi ze Solarisu)

  $ grep passwd /etc/nsswitch.conf
  passwd:     files ldap
  

Pro pokročilejší

• Jak funguje autentizace? pam(8), bsd_auth(3), authenticate(3)
• Slidy o LDAPu pro zvídavé

Single-user mode

• boot -s
  

• boot bzImage init=/bin/sh 1
  

Správa uživatelů

• šablona domovského adresáře /etc/skel/

  # echo ". /etc/ksh.kshrc" >> /etc/skel/.profile
  

• useradd(8), userdel(8), usermod(8)

  # useradd -m pokus
  # userdel -r pokus
  

• POZOR! usermod(8) v OpenBSD neumí odebrat uživatele ze skupiny! více informací
• usermgmt.conf(5), adduser.conf(5),
• adduser(8), adding-users(8), pw(8)
• při editaci musíte databázi zamčít: vipw(8), chpass(1)
• vipw(8) pouziva $EDITOR
• Nechcete, aby se přihlásili? Nastavte shell na /nonexistent nebo /sbin/nologin nebo /bin/false
• shells(5) obsahuje cesty ke všem programům, které lze použít jako shelly

• Similarly, login accounts not allowing password authentication but
       allowing other authentication methods, for example public key
       authentication, conventionally have 13 asterisks in the password field.

  odkud to prislo

Rozdělení uživatelů

group(5): skupiny

• groupadd(8), groupdel(8), groupmod(8)

  # groupadd ftp_filmy
  # chgrp -R ftp_filmy /mnt/filmy/
  # chmod -R g+rwX,o-w /mnt/filmy/
  

• newgrp(1), sg(1), gshadow(5) a vigr(8) umožňují "přihlásit se do skupiny"

classes: bezpečnostní omezení a způsoby přihlášení

• každý uživatel je v jedné "login class", na kterou můžete nastavovat limity a vlastnosti
  ulimit(1), login.conf(5), cap_mkdb(8)
• login.defs(5)
• neplést si BSD user capabilities s Linuxovými capabilities(7)!

sudo(8)

• práce pod rootem je nebezpečná
• rozhodně nechceme, aby se někdo logoval na roota přímo (sshd_config(5) a PermitRootLogin)
• zkuste si přidat normálního uživatele, z něj pomocí su(1) přejít do roota (pravděpodobně musíte být ve skupině wheel)

  # OLD_GROUPS=`groups <uživatel> | tr " " ","`
  # usermod -G ${OLD_GROUPS},wheel <uživatel>
  # visudo
  ...
  %wheel  ALL=(ALL) SETENV: ALL
  ...
  

• delegace práv ostatním uživatelům: sudo(8), sudoers(5), visudo(8)
• Pokud místo manuálu radši čtete stránky na internetu, Gentoo má sudo(8) guide

Další informace

Seznamy

• právě přihášených: w(1), who(1)
• naposledy přihášených: last(1), wtmp(5)
• všech: getent(1)
• skupin, ve kterých je současná session: groups(1), id(1)

Zbytky

• motd(5) je soubor s Message Of The Day, která se ukáže všem uživatelům po přihlášení, před spuštěním shellu
• nologin(5) umožňuje "odříznout" všechny příchozí uživatele a nechat přístup jen pro roota (v krajních situacích)
• encrypt(1) vygeneruje hash hesla pro "useradd -p"

  $ encrypt -b6 -p "heslo"
  

Příklad z praxe: úložiště pro externí pracovníky

• požadavky: spoustě lidem zvenku máme zajistit místo na jejich výsledky
• asi by se mezi sebou neměli vidět, ale možná taky měli
• nejsou součástí firemní NFS/SMB/... infrastruktury - přístup přes FTP, SFTP

Jak na to?

• nenechme si externisty sahat do existujícího systému

  # groupadd externisti

• vytváření uživatelů (pokročilejší budou chtít LDAP server a webový interface; možná nestihneme)

  # useradd -m -b /mnt/externisti/ potazmo

• bezpečnost: uživatelé chroot(2)neme do jejich domovských adresářů pomocí /etc/ftpchroot
• vybereme FTP server a zapneme jej

  # echo "g/^#ftp/s/^#//\nw" | ed -s /etc/inetd.conf
  # pkill -HUP inetd
  

• bezpečnost: na portu 22 povolíme jen SFTP:

  # tail /etc/ssh/sshd_config
  Match Group externisti
  	ForceCommand internal-sftp
  	ChrootDirectory /mnt/externisti
  

• pokročilejší: nastavte FTP over SSL pomocí relayd(8), HTTP prohlížení, ...