On 11/01/2018 15:16, frsag@jack.fr.eu.org wrote:
Est-ce que ces solutions sont utiles si le type fait sudo su - ?
+1. Le mieux reste de configurer correctement sudo pour ne donner accès qu'aux commandes souhaitées (avec périmètre voulu), comme ça, ça sera au moins dans leur historique...
Sinon pour FreeIPA, si tu veux tester rapidement : https://github.com/freeipa/freeipa-container (pas testé) docker run --name ipa -d --privileged -h ipa.toto.com -p 443:443 -p 389 --network ipa freeipa/freeipa-server -U --realm TOTO.COM --ds-password=toto123 --admin-password=toto123 PS pour monter 2 LDAP synchro avec syncrepl (sans ldaps par contre) : http://gitlab.mbb.univ-montp2.fr/remy/ldap_synchro > Je prend les forks/issues.
A+
Si non, je ne vois guère l'intérêt
On 01/11/2018 03:13 PM, Benoit Mortier wrote:
Le 11/01/2018 à 15:00, Alexis Prodhomme a écrit :
Bonjour tout le monde,
Nous avons quelques serveurs (~15) sur lesquels nous nous connectons en root via SSH avec un mot de passe commun à tous nos serveurs (y'a de l'iptables devant ssh quand même). Comme root est le seul utilisateur, tout le monde peut tout y faire sans que l'on ne sache précisément qui a fait quelle commande. C'est clairement limite limite.
Du coup, je me penchais sur les solutions AAA (Authentication, Authorization, Accounting) centralisées mais je nage un peu.
Notre but final est d'avoir un serveur unique (centralisé) qui gère les comptes, les droits de ces comptes et log les commandes que chaque compte fait. Le tout uniquement pour les connexions SSH vers nos serveurs et avec du 2FA (les petites Yubikeys me font de l'oeil :)). Entre Radius, LDAP et Kerberos, j'avoue ne pas savoir quoi choisir. Idem pour le 2FA, entre U2F, OTP et tous les autres.
Et le tout en open-source bien sur.
Avez-vous des retours d'expérience sur ce genre de chose ? Des conseils, articles ou documentations qui peuvent m'aider ?
FusionDirectory https://www.fusiondirectory.org/ va te permettre de faire ça.
- Gestion utilisateur avec tout ce qui est nécessaire posix, ssh etc ...
- Gestion des machines avec restrictions d’accès via pam
- Modèle utilisateurs si nécessaire pour creer tout les utilisateurs trs
exactement les memes
et plein d’autres choses si nécessaire, le logiciel est compose d'une base avec beaucoup de plugins suivants tes besoins
n’hésite pas a venir discuter sur irc #freenode fusiondirectory
Bonne après-midi
Liste de diffusion du FRsAG http://www.frsag.org/
Liste de diffusion du FRsAG http://www.frsag.org/