[ Pobierz całość w formacie PDF ]
.W pe³nym li stin gu ls wy Swie-tla na zwy sym bo licz ne u¿yt kow ni ka i gru py, któ rzy s¹ w³aSci cie la mi pli ku.To zna-czy, ¿e w przy pad ku na po tka nia ka ¿ de go uid i gid po le ce nie mu si za daæ za py ta niedo ser we ra NIS.Za py ta nie NIS trwa nie co d³u¿ej, ni¿ rów no wa ¿ne prze szu ki wa-nie pli ku lo kal ne go.Mo¿e siê oka zaæ, ¿e umiesz cze nie w NI S-ie in for ma cji z pli kówpasswd i group znacz nie zmniej sza wy daj noSæ pro gra mów, któ re czê sto ko rzy staj¹z tych in for ma cji.To jeszcze nie wszystko.Wyobrax sobie, co siê stanie, je¿eli u¿ytkownik zechcezmie niæ has³o.Zwy kle wy wo³uje on po le ce nie passwd, któ re wczy tu je no we has³o iuak tu al nia lo kal ny plik passwd.Jest to nie mo ¿li we w przy pad ku NI S-a, gdy¿ plik niejest nig dzie do stêp ny lo kal nie, a lo go wa nie siê u¿yt kow ni ków do ser we ra NIS za ka-¿dym ra zem, gdy chc¹ oni zmie niæ has³o, nie jest ta k¿e do brym roz wi¹za niem.Dla-te go NIS udo stêp nia za stêp cê passwd po le ce nie yppasswd, któ re obs³ugu je zmianêhas³a w NI S-ie.Aby zmie niæ has³o na ser we rze, ³¹czy siê ono przez RPC z de mo nemyppasswdd na tym ser we rze i prze ka zu je mu ak tu al ne in for ma cje o ha S le.Zwy kle in-sta lu je siê yppasswd, za miast nor mal ne go po le ce nia passwd, w na stê puj¹cy spo sób:# cd /bin# mv passwd passwd.old# ln yppasswd passwd 242 Roz dzia³ 13: Sys tem in for ma cji sie cio wejW tym sa mym cza sie mu sisz za in sta lo waæ na ser we rze pro gramrpc.yppasswdd i uru-chomiæ go ze skryptu sieciowego.Spowoduje to ukrycie przed u¿ytkownikamiwiêkszo Sci dzia³añ NI S-a.U¿ywanie NIS-a z obs³ug¹ hase³ shadowKo rzy sta nie z NI S-a w po³¹cze niu z pli ka mi ha se³ sha dow jest nie co k³opo tli we.Naj-pierw z³e wia do mo Sci: NIS pod wa ¿a sens u¿y wa nia ha se³ sha dow.Sche mat ha se³shadow zo sta³ za pro jek to wa ny po to, by za bro niæ u¿yt kow ni kom nie po sia daj¹cymprawa roota dostêpu do zaszyfrowanej postaci hase³.U¿ywanie NIS-a dowspó³dzie le nia da nych shadow po wo du je ko niecz noSæ udo stêp nie nia za szy fro wa-nych ha se³ oso bom, któ re pods³uchuj¹ od po wie dzi ser we ra NIS w sie ci.Roz wi¹za-nie po le gaj¹ce na zmu sza niu lu dzi do wy bo ru do brych ha se³ jest zde cy do wa nielep sze, ni¿ próba u¿y wa nia ha se³ sha dow w Sro do wi sku NIS.Przyj rzyj my siê szyb-ko, jak to zro biæ.W libc5 nie ma praw dzi we go roz wi¹za nia po zwa laj¹ce go na wspó³dzie le nie da nychshadow za pomoc¹ NIS-a.Jedynym sposobem na rozpowszechnianie informacjio u¿yt kow ni kach i has³ach przez NIS jest u¿y cie stan dar do wych map passwd.*.Je-¿eli masz zainstalowane has³a typu shadow, najprostszym sposobem na ich roz-sy³anie jest ge ne ro wa nie od po wied nie go pli ku passwd na pod sta wie /etc/shadow zapo moc¹ na rzê dzi ta kich, jak pwuncov, i two rze nie map NI S-a na pod sta wie uzy ska-ne go pli ku.Oczyw iScie wy myS lono kil ka zab iegów, któ re umo¿ liwi aj¹ u¿yw anie ha se³ shad owi NI S-a w tym sa mym cza sie, jak na przyk³ad in stal acja pli ku /etc/shadow na ka ¿dymho Scie w sie ci i dys tryb uow anie in form acji o u¿ytk owni kach przez NI S-a.Jed nak tasztucz ka jest na prawdê pry mit ywna i w za sad zie za prze cza istocie NI S-a, kt óry mau³atwiaæ ad min ist rowan ie sys tem em.Obs³uga NI S-a w bi blio te ce GNU libc (libc6) uwzglêd nia has³a ty pu sha dow.Nie za-pew nia ¿ad ne go roz wi¹za nia, któ re udo stêp nia³oby has³a, ale uprasz cza zarz¹dza-nie has³ami w Sro do wi skach, w któ rych chcesz u¿y waæ i NI S-a, i ha se³ sha dow.Abyto zro biæ, mu sisz stwo rzyæ ba zê da nych shadow.byname i do daæ po ni¿ szy wiersz doswo je go pli ku /etc/nsswitch.conf:# Obs³uga hase³ typu shadowshadow: compatJeSli u¿ywasz hase³ shadow wraz z NIS-em, musisz przestrzegaæ pewnej zasadybez pie cze ñstwa i ogra ni czyæ do stêp do ba zy da nych NIS.Przy po mnij so bie pod roz-dzia³ Bez pie cze ñstwo ser we ra NIS z te go roz dzia³u. 14Sieciowy systemplikówRoz dzia³ 14: Sie cio wy sys tem pli kówSie cio wy sys tem pli ków (Ne twork Fi le Sys tem NFS) jest praw do po dob nie naj bar dziejznan¹ us³ug¹ opart¹ na RPC.Po zwa la ona na do stêp do plików znaj duj¹cych siê naho Scie zdal nym dok³ad nie w taki sam sposób, w ja ki masz do stêp do plików lo kal-nych.Ta ki do stêp sta³ siê mo ¿li wy dziê ki po³¹cze niu pro ce dur obs³ugi w j¹drze i de-monów prze strze ni u¿yt kow ni ka po stro nie klien ta z ser we rem NFS po stro nie ser-we ra.Jest on zu pe³nie prze zro czy sty dla klien ta i dzia³a po miê dzy ró ¿ny mi ar chi tek-tu ra mi ser we ra i ho sta.NFS ofer uje sze reg przy datn ych funk cji:· Dane wy ko rzy sty wa ne przez wszyst kich u¿ytko wników mog¹ byæ prze cho wy wa-ne na cen tral nym ho Scie, kt órego ka ta lo gi klien ty mon tuj¹ w cza sie uru cha mia nia.Na przyk³ad mo¿esz prze cho wy waæ wszyst kie kon ta u¿y tkowników na jed nymho Scie, z kt órego bê dziesz mon to waæ ka ta log /home na wszyst kich po zo sta³ych.Je-¿eli NFS jest zainstalowany wraz z NI S-em, u¿yt kow ni cy mog¹ lo go waæ siê dodo wol ne go sys te mu i wci¹¿ pra co waæ na jed nym ze sta wie pl ików.· Dane zajmuj¹ce du¿o miejsca na dysku mog¹ byæ przechowywane na jednymhoScie.Na przyk³ad wszyst kie pli ki i pro gra my zwi¹zane z La TeX-em i ME TA-FON T-em mog¹ byæ prze cho wy wa ne i zarz¹dza ne w jed nym miej scu.· Dane ad min ist racyj ne mog¹ byæ prze chow ywa ne na osobn ym ho Scie.Nie ma po-trzeby u¿yw ania rcp do in stal acji tego sa me go g³upiego pli ku na dwudziestu ró¿-nych kom put era ch.Kon fi gu ro wa nie pod sta wo wych ope ra cji NFS po stro nie klien ta i ser we ra nie jesttrud ne.Oma wia to ten roz dzia³.NFS dla Linuk sa to g³Ã³w nie zas³uga Ric ka Slad keya*, któ ry na pi sa³ kod NFS-a dlaj¹dra i du¿¹ czê Sæ ser we ra NFS.Ten ostat ni zo sta³ opra co wa ny na pod sta wie ser we-* Z Ric kiem mo¿esz skon tak to waæ siê pod ad re sem jrs@world.std.com. 244 Roz dzia³ 14: Sie cio wy sys tem pli kówra unfsd, któ re go au to rem jest Mark Shand, i na pod sta wie ser we ra NFS hnfs, na pi-sa ne go przez Do nal da Bec ke ra.Przyj rzyj my siê, jak dzia³a NFS.Naj pierw klient pró bu je za mon to waæ ka ta log z ho-sta zdal ne go w ka ta lo gu lo kal nym, tak jak by mon to wa³ fi zycz ne urz¹dze nie.Jed naksk³ad nia u¿y wa na do okre Sle nia zdal ne go ka ta lo gu jest in na.Na przyk³ad, aby za-mon to waæ /home z ho sta vlager w ka ta lo gu /user na ho Scie vale, ad mi ni stra tor wy da-je na stê puj¹ce po le ce nie na ho Scie vale*:# mount -t nfs vlager:/home /usersmount podejmie próbê skomunikowania siê przez RPC z de mon em rpc.mountddzia³aj¹cym na ho Scie vlager.Serwer sprawdzi, czy vale ma prawo zamontowa濹da ny ka tal og.Je ¿eli tak, zwróci uchwyt pli ku.Ten uchwyt bê dzie u¿yw any wewszyst kich ko lejn ych od wo³aniach do plików w ka tal ogu /users.Gdy ktoS do sta je siê do pli ku przez NFS, j¹dro wy sy³a wy wo³anie RPC do rpc.nfsd(de mo na NFS) na ma szy nie ser we ra.To wy wo³anie w pa ra me trach za wie ra uchwytpli ku, na zwê pli ku, do któ re go siê chce my do staæ, i ID u¿yt kow ni ka oraz gru py te go,kto chce siê do staæ.S¹ one wy ko rzy sty wa ne przy usta la niu praw do stê pu do za da-nego pliku.Aby unie mo ¿li wiæ nie upraw nio nym u¿yt kow ni kom od czy ty wa nie lub mo-dy fi ko wa nie pli ków, ID u¿yt kow ni ka i gru py musz¹ byæ ta kie sa me na obu ho stach
[ Pobierz całość w formacie PDF ]