UCS-Handbuch - Univention

10 Basis-Systemdienste
Neben dieser Überprüfung benötigen einige Dienste zusätzlich ein gültiges Benutzerkonto: Dieses ordnet
einem Benutzersein Heimat-Verzeichnis, seine numerische Benutzerkennung (UID) sowie die Gruppen-
mitgliedschaften zu. Diese Informationen werden unter anderem bei der Anmeldung am GDM, auf der
Textkonsole oder per SSH benötigt. Auch Samba benötigt diese Informationen, um vom Benutzer ab-
gelegte Informationen auf dem UNIX-Dateisystem speichern zu können oder um zu überprüfen, ob der
Zugriff auf Dateien und Verzeichnisse erlaubt ist. Daneben enthalten die Kontodaten aber auch noch Zu-
satzinformationen, z.B. zum Alter des Passworts, ob das Konto deaktiviert ist oder ob das Konto nur auf
bestimmten Rechnern gültig sein soll.
Auch hier werden über PAM verschiedene Verfahren genutzt, die sich teilweise ergänzen und ein-
schränken: unix verwendet die Informationen aus /etc/passwd, /etc/group, /etc/shadow sowie
/etc/nsswitch.conf, über die weitere Informationsquellen eingebunden werden können. Über letz-
teres werden in UCS alle Benutzer aus dem LDAP eingebunden. Dies ist insbesondere notwendig um
Programmen per per getent die Abfrage von Benutzern und Gruppen zu ermöglichen.
Es ist zu beachten, daß die Datenstrukturen für das shadow-Verfahren sehr eingeschränkt und nicht er-
weiterbar sind. Das verhindert u.a. die Nutzung von weiteren im LDAP hinterlegten Informationen. Deswe-
gen wird ldap noch ein weiteres mal eingebunden, um anhand weiterer Kriterien entscheiden zu können,
ob ein Benutzerkonto auf einem Rechner gültig ist oder nicht. Als drittes wird auch hier krb5 verwendet,
was ähnlich zu ldap die Möglichkeit bietet, weitere Kriterien bei der Überprüfung zu berücksichtigen. Ein
wichtiger Unterschied ist allerdings, daß der Kerberos-Dienst keine Zuordnung von Benutzername zu den
benötigten POSIX-Informationen wie UID, GID, GECOS, HOME, Shell etc. durchführt. Dienste, die diese
Informationen benötigen, müssen also zwingend zusätzlich ldap bzw. unix verwenden.
Jedes dieser drei Verfahren zur Kontoverifizierung nutzt in UCS Informationen aus dem LDAP: unix wertet
die shadow-Informationen aus, ldap verwendet ggf. zusätzlich das host-Attribut oder beliebige Filter, und
krb5 werdet die Samba-Attribute (sambaAcctFlags) aus. Von daher sind die Verfahren nicht vollständig
unabhängig voneinander und beeinflussen sich ggf. gegenseitig.
Die konfigurierten PAM-Anmeldeverfahren können über Univention Configuration Registry Registry kon-
figuriert werden. Dabei werden zwei Variablen unterschieden; in der Univention Configuration Registry-
Variable auth/admin/services werden Dienste konfiguriert, die administrativen Benutzern vorbehalten
sind und in auth/user/services Dienste für nicht-privilegierte Benutzer.
Folgende Authentifizierungs-Verfahren stehen standardmässig zur Verfügung:
246
Name Beschreibung des authentifi-
zierten Dienstes
ftp FTP-Dienst
gdm GDM für Anmeldungen an
KDE/X11
login Shadow-login
other Fallback für nicht-konfigurierte
Dienste
ppp PPP-Prozesse mit Login-
Option
rlogin Remote Login (rlogin) (veraltet)