带访问控制的{ldap用户/组映射

Question

我们正在尝试通过将用户/组映射到ldap服务器，将我们的用户群集中在我们的环境中，使用Rhel6服务器。我知道该怎么做，但我需要考虑一些限制。 我有一个带有网关节点和其他工作节点（主节点和从节点）的hadoop集群。我希望所有用户使用ldap用户和密码信息而不是本地数据库（/ etc / passwd）登录网关节点和所有其他节点，但同时要限制用户登录除网关以外的其他节点节点。这可能是一个非常简单的问题，但我似乎无法想到这种情况可能的解决方案。如果其他人已经行使了相同的情况，那么在这个方向上的一点暗示将是一个很大的帮助。感谢阅读帖子。

Answer 1

有几种方法可以解决这个问题：

• 请勿使用更改LDAP设置来解决此问题，而是在网关主机上使用其他SSH配置。如果您将允许的用户登录到任何主机，则可以使用SSH守护程序的AllowGroups配置选项来限制访问。
• 另一个选项 - 假设您在RHEL 6上使用authconfig将用户/组映射到LDAP服务器 - 是使用PAM LDAP模块而不是authconfig（包名{{1} }）。 PAM LDAP有一些您可以利用的选项。一个是pam_ldap - 可用于选择用户子集 - 登录网关主机。另一个是pam_filter，您可以使用它来仅允许属于特定LDAP组的用户。
• 当然，您可以继续使用pam_groupdn并在网关主机上指定不同的基本DN。但是这需要让一些用户出现在目录树的两个不同部分。这可能是解决问题最简单但最不可取的方法。
• 我能想到的最后一个选项是将基于源主机/ IP的访问控制添加到LDAP服务器。这样，如果主机是网关服务器，LDAP服务器将授予对一组用户/组的访问权限，如果请求主机不是网关服务器，则LDAP服务器将授予另一组用户/组。

我希望这会有所帮助。