Upload
docong
View
216
Download
0
Embed Size (px)
Citation preview
Gestion des utilisateurs
Administration des Systèmes UNIX
Noureddine GRASSAISET MAHDIA
Septembre 2009
2
© D
omin
ique
La
zure
Politiques de gestion des comptes
Comptes individuels➢ Responsabilisation➢ Sécurité➢ Personnalisation du service rendu➢ Cloisonnement des espaces
Comptes collectifs➢ Facilité de gestion (ouverture par lots)➢ Dangers multiples
3
© D
omin
ique
La
zure
Comptes systèmesComptes d'application
Souvent nécessaires, mais dangereux
Choisir (si possible) UID < 1024
Interdire le login :➢ Supprimer l'image cryptée (/etc/shadow) *➢ Limiter l'usage de su
Surveiller : ➢ Rediriger le mail par un alias (/etc/aliases)
4
© D
omin
ique
La
zure
Charte / Licence utilisateurs
Indispensable, se doit de traiter de :➢ Partage de compte, de données➢ Cadre des manipulations (fichier passwd)➢ Usurpation d'identité➢ Monopolisation de ressources➢ Exportation de données, image de l'entreprise➢ Respect des licences des logiciels installés➢ Respect des droits sur des données importées
(MP3,DivX…)➢ Respect du matériel➢ Activités illégales (fraude, diffamation, harcèlement)➢ Usage « en bon père de famille »
5
© D
omin
ique
La
zure
Choix du login
Seule contrainte : il est unique
Généralement 8 caractères (16 sous FreeBSD…)
Rester simple pour éviter les problèmes : ➢ pas de ponctuation➢ 8 caractères maximum (NIS, autre système…)➢ Pas de majuscules (sendmail)
Respecter une convention maison (expliquer !):➢ lazure, dlazure, lazured, lazure1, domi, chdom
6
© D
omin
ique
La
zure
Choix du passwd
Sensibiliser les utilisateurs
Règles usuelles :➢ Entre 6 et 8 caractères (PASS_MAX_LEN)➢ Majuscules, minuscules, chiffres et ponctuations➢ Pas dans un dictionnaire (initiales d'une phrase)
Aucune fiabilité :➢ crack
Imposer le changement de régulier ou événementiel
7
© D
omin
ique
La
zure
Crack de passwd
Divers outils libres et accessibles (crack, john...)
Principe : essais multiples sur /etc/passwd➢ Login / passwd / full name➢ Dictionnaires (brut et permutations).➢ Méthode glouton (infaillible)
Adminsys : ➢ les faire tourner préventivement➢ Précautions : avertir et faire preuve de discrétion
Cacher les images cryptées (/etc/shadow).
8
© D
omin
ique
La
zure
Péremption du passwd
Un des usages de /etc/login.defs :➢ PASS_MAX_DAYS➢ PASS_MIN_DAYS➢ PASS_WARN_AGE
En BSD : /etc/login.conf
Ne pas pratiquer le harcèlement
Intervention obligatoire après incident
9
© D
omin
ique
La
zure
Sniff de passwd
Nombreux logiciels efficaces disponibles (ethereal).
Prévenir en évitant les transits de passwd en clair (POP vs APOP)
Prévenir en évitant aussi les transits cryptés (voir précédemment)
Surveiller (promiscuous mode, brassage)
Sectionner le réseau (hub vs switch)
10
© D
omin
ique
La
zure
useradd
Commande de création d'un utilisateur
Évite l'édition des fichiers
À customiser suivant les besoins :➢ politique d'attribution des UID➢ des chemins➢ des quotas➢ Inclusion dans les alias mails
Lecture indispensable du scriptusermod
11
© D
omin
ique
La
zure
Champs divers à la création
Full-name (GECOS). Conventionnellement :➢ Nom complet (souvent la seule info présente)➢ Adresse➢ Téléphone
➢ Commande polo% chfn (si autorisation)polo% ypchfn
Shell de login (non-interactif) ➢ doit se trouver dans /etc/shells➢ Commande
polo% chsh (si autorisation)polo% ypchsh
12
© D
omin
ique
La
zure
Les fichiers d'initialisation
Dépendant du shell exécuté (man bash)
Pour l'environnement : .Xdefault
Pour les applications : .emacs
Squelette de création de compte : /etc/skel
13
© D
omin
ique
La
zure
Exemple : bash
Lancement en mode non-interactif (login), exécute dans l'ordre :
/etc/profile ~/.bash_profile (si invoqué par bash) ~/.bash_login (ignore si invoqué par sh) ~/.profile
➢ Lancement en mode interactif : ~/.bashrc
Quitte avec ~/.bash_logout
14
© D
omin
ique
La
zure
profile
➢ Exécuté par tous les utilisateurs :➢ Définition des variables communes (PATH)➢ Définition des prompts (distinguer root par `id -u`)➢ Définition d'alias courants :
alias rm /bin/rm -ialias ll ls -l
➢ Pour un utilisateur donné : ~/.profilealias rm /bin/mv -f -target_directory=/home/dushmol/.corbeille
15
© D
omin
ique
La
zure
.bashrc .cshrc .tcshrc …
Même modèle que précédent :➢ Fichier commun dans /etc/ZESHELLrc➢ Fichier individuel dans ~/.ZESHELLrc
Invocation interactive (vs login)
Source de beaucoup d'interventions
Factoriser les modifications dans le commun
16
© D
omin
ique
La
zure
.login .logout
Bonne blague réchauffée :dushmol@posecafé> echo logout > ~/.login
dushmol@posecafé> logout
17
© D
omin
ique
La
zure
/etc/skel
Répertoire squelette de création de compte➢ Copie récursive par adduser
Attention : ➢ fichiers communs avant adduser➢ Fichiers individuels après.
➢ Préférer modifier dans /etc/bashrc
18
© D
omin
ique
La
zure
Mailbox automatiquement créée /var/spool/mail
Paramétrer en fonction du mailer choisi
Aliaser le login par l'adresse mail :➢ [email protected]➢ Imposer des quotas sur les mailbox (cf quotas)
( cf cours JC Delépine )
19
© D
omin
ique
La
zure
Espace disque
Estimer les besoins du nouvel usager
Doubler l'estimation
Choisir intelligemment l'emplacement :➢ Eviter les encombrements du réseau➢ Centraliser l'administration (sauvegarde)➢ Penser à la confidentialité, la sécurité➢ Eventuellement, découper
(Cf cours « arborescence »)
20
© D
omin
ique
La
zure
Espace usager
Espace disque individuel par défaut:➢ Mailbox➢ Home-directory
Espaces accessibles directement :➢ /tmp➢ Home-directories ouvertes en écriture
Espaces accessibles indirectement :➢ Très variés (connaître les applis)➢ Espaces système (spooler mail, spooler at, …)
Cf chapitre « Gestion des ressources, quotas »
21
© D
omin
ique
La
zure
Usage Personnel
Reconnu par la jurisprudence : ~dushmol/Perso
Doit être précisé par la charte d'utilisation.
Bannir l'usage de matériel personnel.Fournir des consommables sûrs.
Non-engagement de l'entreprise (mail).Discrétion.
22
© D
omin
ique
La
zure
Suppression de compte
Souvent oublié dans la charte.Potentiellement délicat (départ involontaire)Proposer avec le futur ex-usager une méthode :
➢ Ne rien garder➢ Bande/CD-R de sauvegarde➢ Envoi par mail à son domicile, à son futur emploi
(propriété des données ?)
Commande userdel (find -uid)Vérifier les travaux différés (Impératif !)Délai de grâce (fermeture sans destruction)
23
© D
omin
ique
La
zure
Comptes invités / provisoires
Danger pour la sécurité et la confidentialité.➢ volontaire➢ involontaire (telnet, ftp, rcp…)
Isoler dans un espace / un domaine distinct.
Login/passwd temporaires (dans la minute)
Login/passwd à usage unique
24
© D
omin
ique
La
zure
Comptes anonymes / collectifs
Pas de responsabilisation de l'usager.
Isoler aussi de l'espace des usagers.
Gros problèmes (NFS) d'accès concurrents :➢ Environnements comme gnome➢ Mailbox➢ Cache du butineur…
A proscrire (si possible)
25
© D
omin
ique
La
zure
Voir aussi…
Tout ce qui concerne les groups➢ Concepts équivalents
D'autres cours en rapport :➢ NIS➢ quotas➢ Travaux différés➢ LDAP➢ …