Administrowanie systemami komputerowymi
Temat: Systemy autoryzacji Zadania: Data:
Autor: Piotr Gębala 1 2 3 4 5 6 7 8 9 10 27 XI 2013
11
Autor: Mateusz Macięga E E M M M M M M M - 10:00-12:15
Przygotowanie ćwiczenia.
Uruchamiamy system ASK i logujemy się na konto administratora.
Zadanie 1. PAM flagi kontrolne cz.1 (moduł: pam_nologin.so).
Sprawdzamy czy w pliku /etc/pam.d/login znajduje się reguła pozwalająca na zablokowanie
możliwości logowania zwykłym użytkownikom. Okazuje się, że taka istnieje i korzysta z flagi
kontrolnej requisite (niepowodzenie powoduje natychmiastowe przerwanie autentykacji).
Blokujemy możliwość logowania tworząc plik /etc/nologin, co prowadzi to braku
możliwości zalogowania się zwykłego użytkownika. Aby proces login pytał o hasło, należy
przenieść regułę auth na koniec pliku.
Zadanie 2. PAM flagi kontrolne cz.2 (moduł: pam_rootok.so).
Aby użytkownik root był zmuszony do podawania hasła w momencie wykonania polecenia
su, należy z pliku /etc/pam.d/su usunąć regułę:
auth sufficient pam_rootok.so
Zadanie 3. PAM przykład autoryzacji  plik użytkowników (moduł: pam_listfile.so).
Tworzymy plik /etc/pam.d/ssh_users, w którym zapisujemy nazwy użytkowników (każda w
nowej linii). Następnie otwieramy plik /etc/pam.d/sshd i dodajemy w nim regułę autentykacji
wykorzystującą moduł pam_listfile.so. Wynikiem tych działań jest brak możliwości (sense=deny)
lub zezwolenie (sense=allow) na zalogowanie się przez ssh użytkownikom wymienionym w pliku
ssh_users.
Zadanie 4. PAM przykład autoryzacji  baza użytkowników (moduł: pam_pgsql.so).
Jako użytkownik postgres tworzymy tabelę konta (id, nazwa, hasło) i dodajemy do niej dane
użytkownika lab1 (1, lab1, lab1). Sprawdzamy czy dane zostały dodane poprawnie.
Modyfikujemy plik konfiguracyjny PAM dodając regułę wykorzystująca moduł pam_pgsql.so, a
następnie dodajemy konto użytkownika lab3 do bazy danych i testujemy logowanie przez ssh.
Kolejnym krokiem jest dodanie szyfrowania haseł w bazie (zamiana w pliku
konfiguracyjnym pw_type=clear na pw_type=crypt, oraz dodanie wygenerowanego hasła do bazy
danych).
Zadanie 5. Kerberos  konfiguracja serwera KDC (Key Distribution Center).
Konfigurujemy pliki /etc/krb5.conf oraz /etc/krb5kdc/kdc.conf wg tego co zamieszczone jest
w instrukcji. Następnie tworzymy plik kadm5.acl z linią */admin@ITILAB *.
Tworzymy początkową bazę danych Kerberos czego wynikiem jest:
Dodajemy konto administratora programem kadmin.local. Aby
system zadziałał uruchamiamy dwa demony obsługujące żądania jego klientów (krb5-kdc oraz
krb-admin-server).
Zadanie 6. Kerberos  pobieranie i niszczenie ticket'ów.
Analogicznie jak w poprzednim ćwiczeniu, przy pomocy programu kadmin, dodajemy konto
zwykłego użytkownika do bazy Kerberosa. Logujemy się na nowo dodane konto i używamy
programu klist do wyświetlenia listy ticket'ów (jest pusta). Następnie pobieramy tickety (kinit) i
znowu wyświetlamy (klist). Na końcu niszczymy wszystkie tickety poleceniem kdestroy.
Zadanie 7. Hasła jednorazowe.
Ustawiamy wartość opcji ChallengeResponseAuthentication w pliku sshd_config na yes i
uruchamiamy serwer ponownie, a pliku konfiguracyjnym PAM dodajemy wpis auth sufficient
pam_opie.so. Po zalogowaniu się jako użytkownik lab1 tworzymy mu hasło jednorazowe
poleceniem opiepasswd:
Następnie generujemy listę dziesięciu haseł i logujemy się dzięki nim
na konto użytkownika lab1 przez ssh.
Zadanie 8. Konfiguracja serwera OpenLDAP.
Sprawdzamy, czy serwer LDAP jest uruchomiony
oraz czy nasłuchuje na odpowiednim porcie.
Następnie sprawdzamy, czy możemy się połączyć
z serwerem LDAP:
Tworzymy jednostki People i Group modyfikując plik ou.ldif
wg instrukcji laboratoryjnej. Do umieszczenia plików na
serwerze używamy polecenia slapadd, natomiast do
sprawdzenia, czy wpisy zostały utworzone, korzystamy z
polecenia ldapsearch.
Zadanie 9. Tworzenie kont użytkowników w Open LDAP.
Tworzymy plik /var/tmp/uzytkownik1.ldif i wypełniamy go
wg instrukcji laboratoryjnej. Umieszczamy go na serwerze,
ustalamy hasło nowego użytkownika (polecenie ldappasswd) i
sprawdzamy, czy wpis został utworzony.
Wnioski.
Laboratorium udało się zrealizować. Były problemy z wykonaniem niektórych skryptów
jednak w końcu udało nam się je przeskoczyć. Wykonane zadania pozwoliły nam zgłębić naszą
wiedzę na temat systemów autoryzacji.