pagsh.openafs - En ligne dans le Cloud

PROGRAMME:

Nom

pagsh, pagsh.krb - Crée un nouveau PAG

SYNOPSIS

pagaille

pagsh.krb

DESCRIPTION

Le manuel de formation pagaille commande crée un nouveau shell de commande (appartenant à l'émetteur de la commande) et
associe un nouveau processus protocoles d'authentification groupe (PAG) avec le shell et l'utilisateur. Un PAG est
un numéro garanti pour identifier l'émetteur des commandes dans le nouveau shell uniquement au
gestionnaire de cache local. Le PAG est utilisé, au lieu de l'UID UNIX de l'émetteur, pour identifier le
l'émetteur dans la structure d'informations d'identification que le gestionnaire de cache crée pour suivre chaque utilisateur.

Tous les jetons acquis par la suite (vraisemblablement pour d'autres cellules) sont associés au
PAG, plutôt qu'avec l'UID UNIX de l'utilisateur. Cette méthode de distinction des utilisateurs comporte deux
avantages:

· Cela signifie que les processus générés par l'utilisateur héritent du PAG et partagent ainsi le jeton ; Donc
ils accèdent à AFS en tant qu'utilisateur authentifié. Dans de nombreux environnements, par exemple,
l'imprimante et d'autres démons s'exécutent sous des identités (telles que le superutilisateur local "root") qui
les processus du serveur AFS ne reconnaissent que comme « anonyme ». À moins que des PAG ne soient utilisés, de tels
les démons ne peuvent pas accéder aux fichiers dans les répertoires dont les listes de contrôle d'accès (ACL) ne
étendre les autorisations au système : n'importe quel groupe d'utilisateurs.

· Il comble une faille de sécurité potentielle : UNIX permet à toute personne déjà connectée en tant que
superutilisateur local "root" sur une machine pour assumer toute autre identité en émettant le UNIX su
commander. Si la structure des informations d'identification est identifiée par un UID UNIX plutôt qu'un PAG, alors
le superutilisateur local "root" peut assumer un UID UNIX et utiliser tous les jetons associés à celui-ci
UID. L'utilisation d'un PAG comme identifiant élimine cette possibilité.

Le (pour la plupart obsolète) pagsh.krb la commande est la même que pagaille sauf qu'il définit également le
La variable d'environnement KRBTKFILE, qui contrôle le cache de tickets Kerberos v4 par défaut, pour
/tmp/tktpX où X est le numéro du PAG de l'utilisateur. Ceci n'est utile que pour les cellules AFS
utilisant toujours Kerberos v4 en dehors d'AFS et n'a aucun effet sur les cellules utilisant Kerberos v5 et
aklog or klog.krb5.

ATTENTION

Chaque PAG créé utilise deux des emplacements mémoire que le noyau utilise pour enregistrer l'UNIX
groupes associés à un utilisateur. Si aucun de ces emplacements n'est disponible, le pagaille commander
échoue. Ce n'est pas un problème avec la plupart des systèmes d'exploitation, qui font au moins 16 emplacements
disponible par utilisateur.

Dans les cellules qui n'utilisent pas d'utilitaire de connexion modifié par AFS, utilisez cette commande pour obtenir un PAG
avant de délivrer le Journal commande (ou incluez le -setpag argument à la Journal commander). Si
un PAG n'est pas acquis, le gestionnaire de cache stocke le jeton dans une structure d'informations d'identification
identifié par l'UID local plutôt que par le PAG. Cela crée une exposition potentielle à la sécurité
décrit dans DESCRIPTION.

Si les utilisateurs de machines clientes NFS pour lesquelles AFS est pris en charge doivent émettre cette commande comme
partie de l'authentification avec AFS, n'utilisez pas le fs exportateurs de commande -uidcheck on
argument pour activer la vérification de l'UID sur les machines NFS/AFS Translator. Activer la vérification de l'UID
empêche cette commande de réussir. Voir Journal (1).

Si la vérification de l'UID n'est pas activée sur les machines Traducteur, il est alors possible par défaut de
émettez cette commande sur une machine cliente NFS correctement configurée qui accède à AFS via
le traducteur NFS/AFS, en supposant que la machine cliente NFS est un type de système pris en charge.
Le manuel de formation pagaille le binaire accessible par le client NFS doit appartenir à et accorder le privilège setuid
à, le superutilisateur local "root". L'ensemble complet des bits de mode doit être "-rwsr-xr-x". Cette
n'est pas obligatoire lorsque la commande est émise sur les machines clientes AFS.

Cependant, si l'administrateur de la machine de traduction a activé la vérification UID en incluant
le -uidcheck on argument à la fs exportateurs commande, la commande échoue avec une erreur
message semblable au suivant :

Avertissement : setpag à distance sur a échoué (err=8). . .
setpag : erreur de format d'exécution

EXEMPLES

Dans l'exemple suivant, l'émetteur invoque le shell C au lieu du Bourne par défaut
shell:

# pagsh -c /bin/csh

PRIVILÈGE REQUIS

Aucun

Utilisez pagsh.openafs en ligne à l'aide des services onworks.net