Konzept: Domain-Login

1. Directory Daten

   • Zuordnung username <--> uid

   • Zuordnung user <--> gruppen

     • GECOS-Feld ... eigentlich egal
     • Loginshell ... eigentlich egal
     • Heimverzeichnis ... halbegal, weil deterministisch
   • Im Prinzip alles aus /etc/passwd

   • Beispiele

     • LDAP
     • AD / Active-Directory / (eigentlich auch LDAP, mit Megakomplexem Schema)
     • Hesiod - Directory-Daten über DNS
     • NIS - Network Information Service, historisch auch Yellow Pages
     • /etc/-Verzeichnis aus dem Netzwerk mounten

2. Inhalt von Heimverzeichnis

   • Entweder /home kommt vom Fileserver

     • Alle Heimverzeichnisse sind immer auf dem Client sichtbar - Sicherheitsüberlegungen!

   • Heimverzeichnis wird beim Login gemounted

     • Mount-Mechanismus muss beim Login laufen

   • Beispiele

     • SMB (Server Message Block) / CIFS (Common Internet File System) / Samba
     • NFS (Network Filesystem) → clientseitige Sicherheit, mäh!
     • SSHFS

3. Authentifizierung

   • Kann über Directory-Daten laufen

     • d.h. Shadow-Datenbank auf Client-Rechner verfügbar
     • → Sicherheitsüberlegungen!
   • Netzwerkauthentifizierungsschema

   • Beispiele

     • Shadow-Daten via Hesiod → Passwordhashes im ganzen Netzwerk abrufbar, mäh!
     • Shadow-Daten via NIS → gleiches Problem, mäh!
     • Shadow-Daten via Netzwerkmount (/etc) → kommt aufs Filesystem-Protokoll an, weniger mäh.
     • Kerberos → eigentlich cool! (aber kompliziert)
     • LDAP-Authentifizierung
     • SSH-Authentifizierung → warum nicht gleich verbinden, mit SSHFS :-)
     • AD / Samba / (eigentlich Kerberos)

4. Evtl. Mechanismus um Nutzerdaten zu ändern.

   • Mindestens das User-Passwort

   • Beispiele

     • AD / Samba
     • Directory-Daten via Mount (/etc)
     • Irgendwas mit PAM-Script
     • Via SSH-Shell

Beispiel: Domain Login

• Directory-Daten via SSHFS-Mount:

  • ~# apt-get install sshfs libnss-extrausers

  • In /etc/nsswitch.conf

    für die passwd, group und shadow-Einträge, das Modul "extrausers" an zweite stelle setzen. Beispiel (ggf. abweichend):
    passwd: files extrausers
group: files extrausers
shadow: files extrausers

  • auf dem Server "zoerwah" ist eine Userdatenbank zum Mount bereitgestellt

  • ~# sshfs -o allow_others sshdirectory@zoerwah:/var/lib/extrausers /var/lib/extrausers

    • Passwort: sshdir
    • "allow_others" ist nötig, damit Benutzer z.B. ihre eigene user-id nachschlagen können

  • ~# getent passwd listet jetzt neben den eigenen Usern, auch den Account "netzwerk"

  • Am Terminal kann man sich jetzt mit "netzwerk" (Passwort "netzwerk") anmelden

    • Der User loggt sich an der lokalen maschine ein. Diese erhält alle Benutzerdaten von dem SSHFS-Mount.
    • Der User hat auf der lokalen Maschine noch kein Heimverzeichnis

• "Reboot-fester" SSHFS-Mount

  • Passworteingabe während des Reboots ist inakzeptabel
  • ssh-keys!
  • ~# ssh-keygen
  • ~# ssh-copy-id sshdirectory@zoerwah
  • In /etc/fstab
sshfs#sshdirectory@zoerwah:/var/lib/extrausers/ /var/lib/extrausers fuse auto,_netdev,allow_other 0 0

• User-Home beim Login mounten

  • ~# apt-get install libpam-mount; ~# pam-auth-update

    • (pam-auth-update sieht schöner aus, wenn dialog installiert ist)
  • Configfile /etc/security/pam_mount.conf.xml:
    <pam_mount>
<mkmountpoint enable="1" remove="true">
<volume path="sshfs#%(USER)@zoerwah:/home/%(USER)" mountpoint="/home/%(USER)" fstype="fuse" options="password_stdin,allow_other,nonempty" noroot="0" /> ← Einzige Zeile, die dazu kommt
    </pam_mount>

Einzelne Zeichen

• a, b, C, 0 usw. Buchstaben und Ziffern stehen einfach für sich selbst, a "matcht" den Buchstaben a usw.
• <, ~, " Etliche Sonderzeichen haben keine spezielle Bedeutung und stehen wie Buchstaben und Ziffern für sich selbst.
• . Der Punkt steht für ein beliebiges Zeichen
• \. Mit einem vorangestellten Backslash ist es wieder einfach nur ein Punkt
• \?, \+, \*, \\ Gleiches gilt für andere Zeichen, die sonst eine besondere Bedeutung erhalten
• ^ steht (außerhalb von eckigen Klammern) für den Zeilenanfang
• $ steht für das Zeilenende

Beispiel: Esel ist eine Abfolge von Buchstaben und trifft auf das Wort "Esel" zu. E.el trifft auf "Esel", "Egel", "Ekel" zu, aber auch auf Fantasieworte wie "Exel" oder "E%el".

Bracket Expressions

• [abc] Ausdrücke in eckigen Klammern treffen auf ein beliebiges Zeichen aus der angegebenen Menge zu
• [a-m], [A-Z], [3-9] Die Menge in eckigen Klammern kann auch als Zeichenbereich (Character Range) angegeben werden
• [0-9a-z] Es dürfen mehrere Ranges auftauchen
• [^0-9], [^aeou] Ist das erste Zeichen ein ^ (Circumflex), wir die Menge negiert, sie steht dann für ein beliebiges Zeichen, außer für die angegebenen
• [-+*/] Enthält eine Menge ein Minuszeichen, muss dies am Anfang oder Ende stehen, so dass die Menge nicht als Range erkannt wird
• [])}>], [^])}>] enthält eine Menge selbst eine schließende eckige Klammer (]) muss diese ganz am Anfang stehen
• [*+^$] Innerhalb eckiger Klammern verlieren die meisten Sonderzeichen ihre besondere Bedeutung (so als stünde ein \ davor).

Quantifizierer und Grenzen (Bounds)

Ein Bound kann einem Atom (d.h. einem "Teil des Ausdrucks", einem Zeichen, einer Bracket Expression, etc. folgen) folgen (z.B. m+, oder [^a-z]?)

• ? Das vorhergehende Atom kann einmal vorkommen, muss aber nicht
• + Das vorhergehende Atom kann einmal oder mehrmals (beliebig oft) vorkommen
• * Das vorhergehende Atom kann beliebig oft, oder gar nicht vorkommen
• {5} Das Atom kommt genau fünfmal vor
• {2,14} Das Atom kommt mindestens zweimal, höchstend vierzehnmal vor
• {2,} Das Atom kommt mindestens zweimal oder beliebig viel häufiger vor
• {,14} Das Atom kommt höchstens vierzehnmal vor, braucht aber gar nicht oder weniger häufig auftauchen

Unterausdrücke (Sub-expressions)

• (foobar) ist zunächst einmal das gleiche wie foobar

• (foobar)+ ist eine beliebig häufige Wiederholung des Wortes foobar

  • foobar+ dagegen wäre eine beliebige Wiederholung des Buchstaben r im Wort foobar
• → Runde Klammern fassen eine Zeichenfolge zu einem Atom zusammen
• (foobar|schnabbeldiwauwau) steht für das Wort foobar oder das Wort schnabbeldiwauwau

Beispiel: ([gG]roß|[kK]lein)+ - Eine beliebige Folge der Worte Groß und Klein jeweils mit großem oder kleinem Anfangsbuchstaben.