ניהול מרכזי עם IPA Users
ipa-client-install עם שם הדומיין lab.local ושם שרת ה-IPA, ומזינים משתמש ניהולי וסיסמה.getent passwd מציג את המשתמש של ה-IPA, למרות שאינו מופיע בקובץ passwd המקומי.setsebool -P ftp_home_dir on, כדי שהשירות יגיע לתיקיות הבית.restorecon -R כדי לשחזר את התווית הנכונה של התיקייה והקבצים.מבנה ושמות דיסקים ומחיצות בלינוקס:
הוכן ע"י התלמיד המצטיין: אברהים אבו שיכה
פרקי ההרצאה: ניהול מרכזי עם IPA Users
תמלול ההרצאה: ניהול מרכזי עם IPA Users
הטקסט המלא של הדקות הראשונות בהרצאה «ניהול מרכזי עם IPA Users» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים לסרטון בנושא FTP בלינוקס. בסרטון הקודם ראינו כי ניתן לעבוד עם FTP ובעצם לשמור על התוכן שלנו בעזרת שם משתמש וסיסמה, גם כאשר שם משתמש וסיסמה באים ממנגנון של זהות חיצונית חכמה, כמו Active Directory או כמו במקרה שאנחנו מדברים עליו היום, איפה,
שאשר גם שימש אותנו בדוגמה הקודמת. היתרון הוא בכך לא רק שכל הסיסמאות שלנו יישמרו אותו דבר ויהיו קונסיסטנטיות והשינוי שלהם יתבצע בכל השרתים במקביל אלא גם שיהיה אפשר לשמור על פוליסי על אילו שרתים איזה משתמש יכול לגשת ולאיזה שירותים עליהם.
בסרטון הזה אני אדגים ממש את ההדגמה של איך מחברים שרת לשירות של איפא ואיך אני יכול לשחק עם הפוליסי ולכוון בעצם את הגישה באופן נקודתי של המשתמש הרצוי על השרת הרצוי.
אוקיי, אז בואו נתחיל. ראשית, אני צריך להגדיר את מקום שרת האיפא. אם זה נעשה דרך מנגנון השמות בצורה אוטומטית, דרך ה-DNS, מה טוב.
יחד עם זה אני אצטרך להגדיר את זה באופן ידני, אני עושה וי-איי לקובץ ctc-hosts ומוסיף פה שורה את השם של שרת האיפה שלי 192.168.1.120, כאן תחילה אני רושם את השם המלא של השרת serveridm.lab.local ורק אחרי זה אני רושם את השם המקוצר של השרת.
הסיבה שאני עושה את זה זה כאשר יקרה בעצם גילוי שמות הפוך כלומר כאשר כתובת הIP תוסב לשם התוצאה הראשונה שצריכה להתקבל בפעולה הזאת שנקראת אגב Backward Resolving היא שהכתובת ה-IP צריכה קודם כל להיות משוייכת אל השם המלא ורק לאחר מכן אל השם הקצר.
ובכן, אני שומר את הכובד. כאשר מחברים שרת ל-Active Directory יש צורך לעשות מספר פעולות ומספר הגדרות. כאשר מחברים ל-EPA, בגלל שהמנגנון מגיע מבית Red Hat, המערכת מגיעה עם אינטגרציה מאוד גבוהה ביניהם, ולכן מספיק להריץ סקריפט פשוט כדי להפעיל את החיבוריות בין השרתים.
השם של הסקריפט זה IPA Client Install, אוקיי? עכשיו הוא שואל אותי בעצם את שם הדומיין שעליו אחראי הIPA סרבר, אני רושם את שם הדומיין, lab.local, ועכשיו הוא יבקש ממני את השם של השרת של האיפה שהוא בדיוק כמו השם המלא שהזנתי ב-ATC הוסט.
אני הולך server.idm.lab.local, אוקיי? כאן הוא מתריע לי שהוא לא קיבל את ההגדרות מתוך ה-DNS אלא בצורה עדנית ואני מאשר לו להמשיך עם זה, מאשר לו את ההגדרות של הדומיין.
שם הוא מבקש ממני את היוזר שהוא בעצם יוזר ניהולי ובעל הרשאות להוסיף מחשבים שרתים לתוך האיפה. נותן לו את היוזר של האדמין ביחד עם הסיסמה.
כרגע הוא מחליף סרטיפיקייטים בין השרתים ומבצע עבורי בעצם את כל ההגדרות הקיימות שצריך בשביל לחבר את השרת.
עכשיו השרת מחובר ואני יכול לבדוק את החיבור על ידי כך שאני אבצע שאילתה get end מסוג pathwd הרשומה של היוזרים ליוזר של ה-ftp מתוך מנגנון הepathdir ואני מקבל בעצם את השורה של היוזר שלי למרות שהיא אינה מופיעה בקובץ ה-pathwd d cut לשיטי c פס wd אני רואה שהשורה הזאת
לא מופיעה כאן כי היא מגיעה אלינו מתוך השרת של האי פאפ עכשיו אני הולך להתקין את השרת fdp לצורך כך אני מריץ ים סל פי אס אפ טי פי די מתקין אותו בדוגמה הקודמת אנחנו בהשארת היה ב s e לינוקס במצב פרמיסיב פה אנחנו עכשיו הולכים להגדיר את מנגנון ה s e לינוקס מנגנון ה s e לינוקס הוא בשתי מילים הוא מאפשר גם לפרוססים שרצים עם יוזר רוט והם פרוססים שונים ומונע מהם להפריע אחד לשני לעשות את העבודה
או להתערב בקבצים אחד של השני. למשל אני לא רוצה ששרת ה-FTP גם אם הוא רץ בתור יוזר רוט שתהיה לו את האפשרות לפרמט לי את ה-hard disk.
כלומר במידה ומישהו משתלט על הפרוסס של ה-FTP הוא עדיין לא יוכל לעשות את כל הפעולות במערכת אפילו שהפרוסס של FTP רץ בתור משתמש שירות, אוקיי?
אז אני הולך לשנות טיפה, לכוונן את הפוליסי כך שיתאים לצרכים שלי, ומה שאני רוצה לעשות זה שמשתמשים יוכלו לגשת לתיקיות הבית, אני עושה getsebull -a, ככה אני בעצם אראה את כל האפשרויות שאני יכול לכוונן בפוליסה, ואני אעשה גרפ על FTP, אוקיי, וכאן אני רואה את האפשרות של FTP Home Deer,
עכשיו אני אעשה Set SE Bool FTP Home Deer on, ועכשיו שרת ה-FTP יוכל לגשת אל הקבצים של המשתמשים, אוקיי, נעשה רגע Get SE Worker of FTP, נראה שזה תפס, כן, אכן העניין הזה תפס עכשיו, עכשיו אני הולך ליצור את תיקיית הבית עבור המשתמש, היות ומדובר במשתמש
שפרטי הזיהוי שלו מגיעים בעצם מבחוץ משרת ה-Identity Management. אני רוצה ליצור על השרת תוכן שיהיה שייך בעצם למשתמש ושהוא יוכל לגשת אליו מבחוץ.
אני הולך לתיקייה /home וכאן אני הולך ליצור תיקייה שהיא בעצם עם השם של היוזר. כמובן שישנה אופציה שהפרופיל של המשתמש ותיקיית הבית שלו יגיעו מהרשת, יחד עם זאת אנחנו לא נזכור את זה בדוגמה הזאת כי אנחנו פה מדברים על שרת FTP ואנחנו רוצים להנגיש תוכן שהוא מתוך השרת
המקומי. אז אני יוצר כאן תיקייה mkdir שאני אקרא לה פי כף דיר אוקיי אני עושה צ'יינג' און לתקייה הזאתי ליוזר ftp דיר עם ולקבוצה ftp דיר לתקייה שעכשיו עצרתי ftp דיר אוקיי עכשיו אני רואה שהתקיית בית היא אכן שייכת ליוזר אני אכנס לתיקיית הבית ואני אעצור שמה כמה קבצים,
למשל server time.ftp.dir, פשוט שיהיה לי, נראה מה קורה בתוך התיקייה. יחד עם זאת, עכשיו אני צריך גם לשייך את הקבצים האלה לקונטקסט הנכון של se-linux.
לינוקס בעצם יודע מה שייך למה על פי משהו שנקרא קונטקסט שזה מעין פרמטר שאומר מה שייך למה למשל כדי לראות אותו אני עושה ls-lz כאן אני רואה למשל שהקובץ הזה הקונטקסט שלו שייך להום רוט אוקיי ולכן אם אני אעלה את השרת FTP ואני אתחבר עם היוזר ה-SE Linux ימנע ממני לגשת לקובץ בגלל שהוא לא יהיה קובץ כביכול של תוכן שנמצא בתוך ספריית
בית של משתמש אפילו שהוא נמצא במקום הנכון ואפילו שהוא בבעלות המשתמש. עכשיו צריך לעשות לו גם צ'יינג' און. טוב שנזכרתי, Change on Server 2 ועדיין אם אני אסתכל על ה-LS מינוס LZ עדיין הקונטקסט ה-Ownership של הקובץ לא משנה את הקונטקסט שלו, עדיין הקובץ הזה משוח כתוכן ביתי של רות וכדי לשנות את הקונטקסט אני אריץ את הפקודה שמשחזרת את הקונטקסט לפי
לפי הפוליסי ומה שכתוב בפוליסי שבעיקרון מה שנמצא בתוך התיקייה סלאש הום pwd אני נמצא בהום אז כל מה שנמצא מתחת צריך להיות תחת הקונטקסט של משתמשים ביתיים אתם בעצם כדי להבין את זה לעומק אני מזמין אתכם לראות את הסרטון בנושא se linux אשר סוקר את העניין הזה לפרטי פרטים אוקיי אז אני אריץ את הפקודה סטור קון ומינוס r שיעשה את זה גם על ספרייה
וגם על הקבצים בפנים s-lz אני רואה שהקונטקסט השתנה מהום רוט ליוזר הום וגם הקונטקסט של התיקייה עצמה של התיקייה